Auftragsverarbeitungsvertrag

1. Einleitung

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil des Hauptvertrags über das Abonnement zwischen der Labb Holding Ltd, einer zypriotischen Gesellschaft mit beschränkter Haftung (private company limited by shares) mit eingetragenem Sitz in Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Zypern, eingetragen unter HE 424230 (Betreiberin der PersoHR-Plattform, der „Auftragsverarbeiter“), und dem Kunden (dem „Verantwortlichen“). Er regelt die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der PersoHR-Plattform durchführt, und ist darauf ausgelegt, der Verordnung (EU) 2016/679 (der „DSGVO“) zu entsprechen. Steht eine Bestimmung dieses AVV im Widerspruch zum Hauptvertrag, hat dieser AVV in Angelegenheiten der Verarbeitung personenbezogener Daten Vorrang. Großgeschriebene Begriffe, die hier verwendet, aber nicht definiert werden, haben die Bedeutung, die ihnen im Hauptvertrag oder, soweit anwendbar, in der DSGVO zukommt.

2. Gegenstand, Dauer, Art und Zweck

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Erbringung des HR-Management-Dienstes PersoHR. Die Verarbeitung umfasst die Verwaltung von Personalakten, Urlaub und Abwesenheiten, Onboarding, Offboarding, Zeiterfassung, die Vorbereitung der Lohnabrechnung, Leistungsbeurteilungen, Recruiting, Dokumentenablage, interne Kommunikation und sonstige vom Verantwortlichen konfigurierte HR-Abläufe. Die Verarbeitung umfasst für diese Leistungen das Erheben, Erfassen, Ordnen, Speichern, Abfragen, Verwenden, die befugte Offenlegung, den Export und das Löschen. Dieser AVV schützt personenbezogene Daten der Kunden weiterhin, solange sie aufbewahrt werden, auch während eines vereinbarten Rückgabe- oder Löschverfahrens nach Abschnitt 13. Die Verarbeitung für eigene Zwecke von PersoHR, wie in der Datenschutzerklärung beschrieben, ist von dieser Auftragsverarbeitung getrennt. Der Verantwortliche nimmt zur Kenntnis, dass der genaue Umfang und die Tiefe der Verarbeitung von den Modulen und der Konfiguration abhängen, die der Verantwortliche aktiviert.

3. Kategorien personenbezogener Daten

Die Kategorien der verarbeiteten personenbezogenen Daten hängen von der Konfiguration der Plattform durch den Verantwortlichen ab und können umfassen: Personalstammdaten (Name, Kontaktdaten, Postanschrift, Geburtsdatum, Foto, Angaben zu Notfallkontakten); Beschäftigungsstammdaten (Stellenbezeichnung, Abteilung, Beschäftigungsart, Eintritts- und Austrittsdatum, Arbeitszeit, Vorgesetzte, Angaben zu einer Behinderung); Dokumenteninhalte (Arbeitsverträge, Zertifikate, Ausweisdokumente, sonstige vom Verantwortlichen hochgeladene Dateien); Leistungs- und Entwicklungsdaten (Ziele, Beurteilungen, Feedback, Schulungsnachweise); Urlaubs- und Abwesenheitsdaten (Anträge, Salden, Feiertage); Zeiterfassungsdaten (Ein- und Ausstempelvorgänge, Stundenzettel, Überstunden); Daten zur Vorbereitung der Lohnabrechnung (Gehaltsdaten, IBAN, sofern angegeben, Steuer- und Sozialversicherungskennungen, sofern angegeben, Staatsangehörigkeit, Geschlecht, Familienstand, Anzahl der Kinder, Geburtsort, Krankenkasse und Art der Krankenversicherung, Konfession für die Kirchensteuer); Recruiting-Daten (Bewerbungen, Lebensläufe, Gesprächsnotizen, Referenzen); Kommunikations- und Chatdaten; Authentifizierungs- und Sicherheitsdaten (Anmeldezeitpunkte, IP-Adressen, User-Agent-Informationen zu Browser und Gerät sowie Aufzeichnungen zu Gerätesitzungen, Status der Zwei-Faktor-Authentifizierung); sowie alle sonstigen personenbezogenen Daten, die der Verantwortliche innerhalb der Plattform hochlädt oder erzeugt. Die Verarbeitung kann auch Inhalte elektronischer Signaturen und Nachweise zum Signaturvorgang umfassen. Die Konfession für die Kirchensteuer kann die Religionszugehörigkeit offenbaren. Angaben zu einer Behinderung, krankheitsbedingte Abwesenheiten und Aufzeichnungen zu ärztlichen Bescheinigungen können auch ohne hochgeladene medizinische Dokumente Gesundheitsdaten offenbaren. Soweit besondere Kategorien personenbezogener Daten verarbeitet werden, muss der Verantwortliche eine Rechtsgrundlage nach Art. 6 sowie eine einschlägige Bedingung nach Art. 9 festlegen und den Auftragsverarbeiter zu den erforderlichen Schutzmaßnahmen anweisen. Daten über strafrechtliche Verurteilungen erfordern die Voraussetzungen nach Art. 10 und dürfen nicht ohne eine vereinbarte, rechtmäßige und unterstützte Verarbeitungsregelung bereitgestellt werden. Der Auftragsverarbeiter bleibt für seine eigenen anwendbaren Datenschutz- und Sicherheitspflichten verantwortlich.

4. Kategorien betroffener Personen

Die Kategorien betroffener Personen umfassen in Bezug auf den Verantwortlichen und alle verbundenen Unternehmen, die der Verantwortliche über die Plattform verwaltet, typischerweise: aktuelle Beschäftigte, Auftragnehmer, freie Mitarbeitende und sonstiges Personal, einschließlich Beschäftigter unter 18 Jahren, soweit sie rechtmäßig beschäftigt sind; ehemalige Beschäftigte, Auftragnehmer und ehemaliges Personal; Bewerberinnen und Bewerber in laufenden oder abgeschlossenen Auswahlverfahren; sowie Angehörige oder Notfallkontakte, die von einer der vorgenannten Personen angegeben werden. Der Verantwortliche ist für die Rechtmäßigkeit der Einbeziehung einer bestimmten betroffenen Person in den Umfang der Verarbeitung verantwortlich.

5. Weisungen und Recht zur Ablehnung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf internationale Übermittlungen, sofern er nicht nach dem Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet ist. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen dies vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche benennt die Personen, die ausschließlich befugt sind, über die Plattform Verarbeitungsweisungen zu erteilen; fehlt eine solche Benennung, dürfen nur natürliche Personen Weisungen erteilen, die zur gesetzlichen Vertretung des Verantwortlichen befugt sind. Ist der Auftragsverarbeiter begründet der Auffassung, dass eine Weisung gegen die DSGVO oder anderes anwendbares Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich und kann die Ausführung dieser Weisung aussetzen, bis die Angelegenheit zwischen den Parteien geklärt ist.

6. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle natürlichen Personen, die befugt sind, personenbezogene Daten in seinem Auftrag zu verarbeiten, vertraglich oder aufgrund einer gesetzlichen Pflicht zur Vertraulichkeit verpflichtet sind. Jede Partei verpflichtet sich ferner, alle nicht öffentlichen Informationen, die sie im Zusammenhang mit diesem AVV von der anderen Partei erhält, einschließlich der Inhalte von Überprüfungen, Sicherheitsdokumentationen und Vorfallberichten, vertraulich zu behandeln und diese Informationen ausschließlich zur Erfüllung des Hauptvertrags und dieses AVV zu verwenden. Ausgenommen sind Informationen, die öffentlich bekannt sind, ohne Verwendung vertraulicher Informationen der offenlegenden Partei unabhängig entwickelt wurden, rechtmäßig von einem Dritten ohne Vertraulichkeitsverpflichtung erlangt wurden oder aufgrund eines verbindlichen rechtlichen Verfahrens offengelegt werden müssen. Allgemeine Vertraulichkeitspflichten gelten nach Vertragsbeendigung fünf Jahre fort. Pflichten zum Schutz personenbezogener Daten gelten fort, solange diese Daten aufbewahrt werden, auch wenn eine längere gesetzliche Pflicht besteht.

7. Sicherheit der Verarbeitung (Art. 32)

Der Auftragsverarbeiter trifft und unterhält dem Risiko angemessene technische und organisatorische Maßnahmen unter Berücksichtigung der in Art. 32 DSGVO genannten Faktoren. Zu den Schutzvorkehrungen der Anwendung gehören rollenbasierte und mandantenbezogene Zugriffskontrollen, zeitlich begrenzte Authentifizierungstoken, verpflichtende Zwei-Faktor-Authentifizierung für die Rollen Owner und HR-Admin, die Verschlüsselung ausgewählter sensibler Felder sowie Audit-Einträge für unterstützte Aktionen. Die Sicherheitsanlage unter /legal/security beschreibt diese Schutzvorkehrungen. Die Pflichten des Auftragsverarbeiters, angemessenen Schutz, Verfügbarkeit und Wiederherstellbarkeit zu gewährleisten, sind nicht auf die hier aufgeführten Funktionen beschränkt. Aktualisierungen der Maßnahmen dürfen das Gesamtsicherheitsniveau nicht wesentlich verringern.

8. Unterauftragsverarbeiter

Der Verantwortliche ermächtigt den Auftragsverarbeiter, die unter /legal/sub-processors aufgeführten Unterauftragsverarbeiter einzusetzen. Der Auftragsverarbeiter informiert den Verantwortlichen schriftlich (einschließlich per E-Mail) mindestens 30 Tage, bevor er einen Unterauftragsverarbeiter hinzufügt oder ersetzt. Der Verantwortliche kann innerhalb von 14 Tagen nach dieser Mitteilung aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben; erfolgt kein fristgerechter Einspruch, gilt die Änderung als genehmigt. Können die Parteien einen begründeten Einspruch nicht innerhalb weiterer 30 Tage ausräumen, kann jede Partei den Hauptvertrag durch schriftliche Mitteilung ohne weitere Haftung kündigen; in diesem Fall hat der Verantwortliche Anspruch auf eine anteilige Erstattung im Voraus gezahlter Entgelte, die den ungenutzten Rest der Abonnementlaufzeit abdecken. Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter schriftliche Vereinbarungen, die Datenschutzpflichten auferlegen, die denen dieses AVV gleichwertig sind, und bleibt für Handlungen und Unterlassungen seiner Unterauftragsverarbeiter verantwortlich.

9. Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen angesichts der Art der Verarbeitung und nach Möglichkeit bei Anträgen nach Kapitel III DSGVO. Die Anwendung stellt Werkzeuge für Datenexport, Berichtigung und Löschung mit Rollen- und Umfangsbeschränkungen bereit. Diese Werkzeuge unterstützen den Verantwortlichen, bestimmen jedoch nicht, ob einem einzelnen Antrag stattzugeben ist. Die Datenübertragbarkeit nach Art. 20 ist auf Daten beschränkt, die von der betroffenen Person bereitgestellt wurden und automatisiert auf Grundlage einer Einwilligung oder eines Vertrags verarbeitet werden; andere Datensätze können unter das Auskunftsrecht nach Art. 15 fallen. Der Auftragsverarbeiter leistet angemessene zusätzliche Unterstützung, wenn die Werkzeuge nicht ausreichen. Anträge zur HR-Verarbeitung des Verantwortlichen, die direkt von einer betroffenen Person eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet.

Verlangt eine betroffene Person vom Auftragsverarbeiter die Löschung ihres persönlichen PersoHR-Kontos, schließt der Auftragsverarbeiter das Konto sofort. Er beendet den Zugang der Person, löscht die Kontodaten, die er als Verantwortlicher speichert (Anmeldedaten, Einstellungen der Zwei-Faktor-Authentifizierung, Sitzungen, Kontoeinstellungen und die Support-Anfragen, die die Person in der Anwendung gestellt hat, mit ihren Screenshots), und löscht die Unterhaltungen der Person mit dem KI-Assistenten, die die Anwendung niemand anderem anzeigt. Kopien dieser Support-Anfragen, die im Support-Postfach des Auftragsverarbeiters eingegangen sind, und sonstige Korrespondenz mit dem Auftragsverarbeiter werden wie in der Datenschutzerklärung beschrieben aufbewahrt. Er löscht oder ändert keine anderen Datensätze, die der Verantwortliche über die Person führt. Er vermerkt den Antrag bei der Mitgliedschaft der Person in jedem Workspace des Verantwortlichen und benachrichtigt die Inhaber und HR-Administratoren des Verantwortlichen unverzüglich in der Anwendung und per E-Mail. Der Verantwortliche entscheidet, ob er die Datensätze mit dem Löschwerkzeug der Anwendung löscht oder sie aufbewahrt, und antwortet der Person. Der Auftragsverarbeiter bestätigt der Person den Antrag per E-Mail und teilt ihr per E-Mail mit, sobald der Verantwortliche seine Entscheidung in der Anwendung erfasst hat oder sobald die Datensätze gelöscht wurden, weil der Workspace gelöscht wird.

Die Identitätsangaben im Konto der Person, die die Datensätze des Verantwortlichen verwenden (Name, E-Mail-Adresse, Geburtsdatum und Telefonnummer), werden im Auftrag des Verantwortlichen und jedes anderen Kunden, dessen Datensätze sie verwenden, aufbewahrt, bis jede Workspace-Mitgliedschaft der Person gelöscht oder ihr Workspace gelöscht wurde, und werden dann anonymisiert. Eine gelöschte Mitgliedschaft kann Datensätze hinterlassen, die der Verantwortliche gesetzlich aufbewahren muss, etwa ein unter dem Namen der Person geführtes Arbeitszeitverzeichnis, für die ihre eigene Aufbewahrungsfrist gilt. Die Identitätsangaben ändern sich nur auf Weisung eines Verantwortlichen: Der Verantwortliche kann ein fehlendes Geburtsdatum in der Anwendung ergänzen, und jede andere Berichtigung nimmt der Support des Auftragsverarbeiters vor. Der Auftragsverarbeiter verwendet sie, um der Person zu schreiben, nur für die oben beschriebene Bestätigung und Mitteilung der Entscheidung, für Mitteilungen, die der Verantwortliche gesetzlich geben muss, und für das nachstehend beschriebene letzte Archiv. Ein geschlossenes Konto kann nicht wieder geöffnet werden, und seine E-Mail-Adresse kann weder für ein neues Konto verwendet noch in einen Workspace eingeladen werden, bis jede Workspace-Mitgliedschaft der Person gelöscht oder ihr Workspace gelöscht wurde.

Hat der Verantwortliche die Löschung seines Workspace verlangt, wird ein Antrag, der bei Beginn der Schließung des Workspace offen ist oder während der Schließung eingeht, ausgeführt, sobald das letzte Archiv des Workspace fertiggestellt ist (im nächtlichen Lauf nach der Fertigstellung oder, wenn das Archiv bereits fertiggestellt war, nach dem Antrag), oder bei der Löschung des Workspace, falls diese früher erfolgt, sodass die Datensätze der Person in jedem letzten Archiv enthalten sind, das der Verantwortliche erhält. Die Kopie des letzten Archivs beim Auftragsverarbeiter wird mit dem Workspace gelöscht. Ist die Person der Kontakt, den der Verantwortliche für dieses Archiv angegeben hat, geht das Archiv an einen anderen Inhaber des Workspace, der sich noch anmelden kann, und nur dann an die Adresse der Person, wenn es keinen solchen gibt. Ist die Person einziger Inhaber eines Workspace, der sich nicht in Löschung befindet, kann der Antrag erst abgeschlossen werden, wenn der Workspace einen weiteren aktiven Inhaber oder einen aktiven HR-Administrator hat oder sich in Löschung befindet; gibt es einen aktiven HR-Administrator, macht der Auftragsverarbeiter den dienstältesten zum Inhaber, damit der Verantwortliche einen Inhaber behält.

10. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen gemäß Art. 33 Abs. 2 DSGVO unverzüglich, in jedem Fall jedoch innerhalb von 72 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Daten des Verantwortlichen betrifft. Zu den verfügbaren Informationen gehören die Art der Verletzung, die betroffenen Kategorien sowie die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, Kontaktdaten sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen können ohne weitere unangemessene Verzögerung schrittweise bereitgestellt werden. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Bewertungs- und Meldepflichten nach Art. 33 und 34. Die an Bedingungen geknüpfte 72-Stunden-Frist des Verantwortlichen für die Meldung an die Aufsichtsbehörde ist keine Wartefrist für den Auftragsverarbeiter.

11. Datenschutz-Folgenabschätzung und vorherige Konsultation

Der Auftragsverarbeiter unterstützt den Verantwortlichen auf angemessene Anfrage bei Datenschutz-Folgenabschätzungen nach Art. 35 und bei vorherigen Konsultationen der Aufsichtsbehörden nach Art. 36, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

12. Überprüfungen und Inspektionen

Der Auftragsverarbeiter stellt alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu ihnen bei. Die Parteien vereinbaren angemessene Regelungen zu Ankündigung, Zeitpunkt, Vertraulichkeit und zum Schutz der Informationen anderer Kunden. Unabhängige Berichte und Sicherheitsdokumentationen können zum Nachweis der Einhaltung beitragen, ersetzen jedoch nicht die gesetzlichen Prüfrechte des Verantwortlichen. Vorgaben zu Terminierung, Häufigkeit und Anforderungen an Prüfer dürfen eine Überprüfung nicht verhindern, die gesetzlich, von einer Aufsichtsbehörde, aufgrund einer Verletzung des Schutzes personenbezogener Daten oder aufgrund begründeter Anhaltspunkte für einen Verstoß erforderlich ist. Jede Partei trägt ihre eigenen Kosten grundsätzlich selbst, sofern nichts anderes vereinbart oder gesetzlich vorgeschrieben ist.

13. Rückgabe oder Löschung personenbezogener Daten

Nach Beendigung der Verarbeitungsleistungen gibt der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen zurück oder löscht sie und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Aufbewahrung besteht, gemäß Art. 28 Abs. 3 lit. g DSGVO. Der Verantwortliche sollte die benötigten Exporte herunterladen, bevor der kostenpflichtige Zugang endet, und sich an den Support wenden, um eine weitere Rückgabe oder Löschung zu vereinbaren. Die Beendigung der Abonnementverlängerung stellt für sich genommen keinen Antrag auf Kontolöschung dar. Das In-App-Verfahren zur Kontolöschung plant die Löschung nach Ablauf einer 30-tägigen Frist ein, in der sie abgebrochen werden kann; ein früherer oder anderer gesetzlich erforderlicher Antrag ist direkt an den Auftragsverarbeiter zu richten. Die Parteien müssen das Rückgabe- oder Löschverfahren vereinbaren und durchführen, ohne Daten länger als erforderlich aufzubewahren. Sicherungskopien bleiben durch diesen AVV geschützt, bis sie gemäß dem geltenden Sicherungsplan entfernt werden; jede Wiederherstellung muss frühere Löschweisungen beachten. Abrechnungsdaten, die zur Erfüllung der eigenen rechtlichen Pflichten des Auftragsverarbeiters verarbeitet werden, werden gesondert nach der Datenschutzerklärung behandelt.

14. Internationale Übermittlungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten vorwiegend innerhalb der Europäischen Union. Muss der Auftragsverarbeiter oder ein Unterauftragsverarbeiter personenbezogene Daten in ein Land außerhalb des Europäischen Wirtschaftsraums übermitteln, erfolgt die Übermittlung nur auf Grundlage eines Angemessenheitsbeschlusses nach Art. 45 DSGVO oder geeigneter Garantien nach Art. 46 DSGVO. In der Regel sind dies die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914/EU), soweit erforderlich ergänzt durch zusätzliche technische und organisatorische Maßnahmen. Die aktuelle Liste der Empfänger und der anwendbaren Übermittlungsmechanismen ist unter /legal/sub-processors veröffentlicht.

15. Insolvenz, Beschlagnahme und Ereignisse bei Dritten

Sind die personenbezogenen Daten des Verantwortlichen durch Pfändung oder Beschlagnahme, Einziehung, ein Insolvenz- oder Vergleichsverfahren oder sonstige Maßnahmen eines Dritten gefährdet, die die Fähigkeit des Auftragsverarbeiters zur Einhaltung dieses AVV beeinträchtigen könnten, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich und teilt dem Dritten schriftlich mit, dass die Daten in der Verantwortung des Verantwortlichen als Verantwortlichem im Sinne der DSGVO liegen. Bis zur Klärung der Maßnahme des Dritten ergreift der Auftragsverarbeiter angemessene Schritte, um die Integrität und Verfügbarkeit der Daten des Verantwortlichen zu schützen.

16. Haftung

Jede Partei haftet für Schäden, die durch ihren eigenen Verstoß gegen diesen AVV verursacht werden, nach Maßgabe von Art. 82 DSGVO und des anwendbaren Rechts. Dieser AVV schließt keine Haftung aus und beschränkt keine Haftung, die gesetzlich nicht ausgeschlossen oder beschränkt werden kann, einschließlich der Haftung für Tod oder Körperverletzung, Betrug, arglistige Täuschung oder vorsätzliches Fehlverhalten. Dieser AVV schränkt die Rechte betroffener Personen oder von Aufsichtsbehörden nicht ein. Im Übrigen gelten die im Hauptvertrag festgelegten Haftungsbeschränkungen und -ausschlüsse gleichermaßen für diesen AVV.

17. Salvatorische Klausel und Schlussbestimmungen

Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform, wobei die elektronische Form genügt, und müssen die geänderten Bestimmungen ausdrücklich bezeichnen. Art. 28 Abs. 9 DSGVO lässt die elektronische Form des Vertrags zu; daraus allein ergibt sich keine Annahme einer Änderung. Ist oder wird eine Bestimmung dieses AVV unwirksam, rechtswidrig oder nicht durchsetzbar, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, deren wirtschaftliche Wirkung derjenigen der unwirksamen Bestimmung möglichst nahekommt. Dieser AVV kann elektronisch abgeschlossen und aktualisiert werden und ersetzt alle früheren Vereinbarungen der Parteien zur Datenverarbeitung über denselben Gegenstand.

18. Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt dem Recht der Republik Zypern unter Ausschluss seiner Kollisionsnormen und des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf. Für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV sind ausschließlich die Gerichte von Paphos, Zypern, zuständig, unbeschadet zwingender verbraucherschutzrechtlicher Gerichtsstände oder der Gerichtsstandsrechte betroffener Personen nach der DSGVO.

19. Kontakt

Wenden Sie sich in Angelegenheiten dieses AVV an die Labb Holding Ltd unter privacy@persohr.eu oder schreiben Sie an Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Zypern. Ansprechpartner des Verantwortlichen für den Datenschutz ist das Benutzerkonto, das in der PersoHR-Plattform als OWNER festgelegt ist.