Fassung 1.0 — Stand 26. September 2026
Wie dieser Vertrag geschlossen wird. Dieser Vertrag ist Bestandteil der Ridian-Nutzungsbedingungen und kommt mit ihnen zustande, ohne Unterschrift (Ziffer 13).
Über die Druckansicht können Sie den vollständigen Text speichern oder ausdrucken. Sie müssen uns nichts zurücksenden.
1. Geltung, Rollen und Laufzeit
Dieser Auftragsverarbeitungsvertrag ist Bestandteil der Ridian-Nutzungsbedingungen zwischen Ihnen („Kunde“) und der PPJ Venture Labs UG (haftungsbeschränkt), Hohenzollernstraße 30, 80801 München, eingetragen beim Amtsgericht München unter HRB 308771 („PPJ“). Ridian ist eine Marke von PPJ. Er regelt jede Verarbeitung personenbezogener Daten, die PPJ bei Ihrer Nutzung von Ridian in Ihrem Auftrag vornimmt, und wird mit Annahme der Nutzungsbedingungen wirksam.
Sie handeln als Verantwortlicher oder als Auftragsverarbeiter, der von seinem eigenen Verantwortlichen zur Beauftragung von PPJ berechtigt ist. Rollen und Berechtigungen je angebundener Organisation dokumentieren Sie. Binden Sie Daten an, für die ein Dritter Verantwortlicher ist, tragen Sie die Verantwortung für die erforderliche Beauftragung.
Für in Ihrem Auftrag verarbeitete personenbezogene Daten geht dieser Vertrag widersprechenden Regelungen der Nutzungsbedingungen vor. Er gilt, solange PPJ solche Daten verarbeitet, und bis zur abgeschlossenen Rückgabe oder Löschung.
Dieser Vertrag gilt, soweit Sie Ridian beruflich, gewerblich oder für eine Organisation nutzen. Nutzen Sie Ridian rein privat, liegt keine Auftragsverarbeitung vor; PPJ verarbeitet Ihre Daten dann als Verantwortlicher, wie in der Datenschutzerklärung beschrieben.
2. Gegenstand, Daten und betroffene Personen
PPJ verarbeitet personenbezogene Daten, um die von Ihnen freigeschalteten Kalenderfunktionen zu erbringen: Verbindungen einrichten, Quellkalender lesen, abgleichen und in Zielkalender schreiben, löschen sowie den dafür erforderlichen Support.
Betroffene Personen sind Ihre Nutzer und Beschäftigten, Ihre Ansprechpartner, Teilnehmer der betroffenen Termine und weitere in den freigegebenen Anbieterdaten genannte Personen. Verarbeitet werden Konto- und Organisationskennungen, Kalenderkennungen, Kontaktdaten, verschlüsselte Verbindungsgeheimnisse, vollständige Quell-Terminzustände einschließlich Titel, Beschreibung, Ort, Zeiten, Wiederholungen und vorhandener Teilnehmer, Zielzuordnungen sowie Betriebs- und Berechtigungsnachweise. Eine Beschränkung der Ausgabe auf Belegtinformationen begrenzt, was geschrieben wird, nicht, was aus der Quelle gelesen und gespeichert wird.
Soweit Sie sie ausdrücklich freischalten, werden Aufgaben-, Kontakt- und Verzeichnis-, Klartext-Mailversand- und Raumdaten für die jeweils angeforderte Aktion verarbeitet. Diese Nichtkalender-Inhalte werden nicht als Anwendungsinhaltsbestand gespeichert; begrenzte Hashes, verschlüsselte Anbieterkennungen und Herkunftsnachweise sichern Wiederholungen ab.
Aktivieren Sie den Assistenten in der Anwendung, werden Ihre Anfrage, geprüfte vorherige Nachrichten und die zur Antwort benötigten Kalender-, Aufgaben-, Kontakt- und Kontoinformationen an den auf der Seite Unterauftragnehmer genannten Sprachmodellanbieter übermittelt. Das geschieht nur für Ihre Anfrage und nicht zum Training.
Besondere Kategorien personenbezogener Daten sind für diese Verarbeitung nicht vorgesehen. Kalendereinträge können sie gleichwohl enthalten. Ist eine solche Nutzung absehbar, stimmen Sie geeignete Maßnahmen und eine Rechtsgrundlage vorab mit uns ab.
3. Weisungen und Zweckbindung
PPJ verarbeitet personenbezogene Daten ausschließlich auf Ihre dokumentierte Weisung. Diese ergibt sich aus diesem Vertrag, den Nutzungsbedingungen, der von Ihnen im Produkt vorgenommenen Konfiguration und Anweisungen in Textform durch die von Ihnen benannten Ansprechpartner.
PPJ nutzt in Ihrem Auftrag verarbeitete Daten nicht für eigene Werbung, nicht zur Profilbildung und nicht zum Training von KI-Modellen. Das gilt auch gegenüber den von uns eingesetzten Anbietern.
Ist PPJ gesetzlich zu einer von Ihrer Weisung abweichenden Verarbeitung verpflichtet, teilt PPJ Ihnen dies vorher mit, sofern das Gesetz es nicht verbietet. Hält PPJ eine Weisung für datenschutzrechtlich unzulässig, informiert PPJ Sie unverzüglich und darf den betroffenen Vorgang bis zur Klärung aussetzen.
Der technische Zugang zu einer Funktion ist keine Weisung und erweitert den vereinbarten Umfang nicht.
4. Vertraulichkeit und Personal
PPJ verpflichtet jede zum Zugriff auf personenbezogene Daten befugte Person vor Gewährung des Zugriffs schriftlich zur Vertraulichkeit, unterweist sie und begrenzt den Zugriff auf das für ihre Aufgabe Erforderliche.
Zugriffe werden bei Aufgaben- oder Rollenwechsel überprüft und nach Wegfall des Bedarfs unverzüglich entzogen.
5. Sicherheit der Verarbeitung
PPJ trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO und überprüft ihre Wirksamkeit regelmäßig und anlassbezogen. Dazu gehören: Transportverschlüsselung auf allen Verbindungen; verschlüsselte Speicherung der Provider-Zugangsdaten mit AES-256-GCM und versionierten Schlüsseln, die getrennt von den Datensätzen gehalten werden; Verschlüsselung gespeicherter Daten und Sicherungen durch den Plattformanbieter; individuelle Betreiberkonten mit erforderlicher Mindestberechtigung und gesicherter Geheimnisablage; an die Organisation gebundene Rollen und Berechtigungen, sodass die Kenntnis einer Kennung keinen Zugriff auf den Kalender einer anderen Organisation eröffnet; Betreiberansichten ohne rohe Kalenderinhalte; Sicherheits- und Betriebsprotokolle mit ausschließlich freigegebenen Metadaten, wobei Tokens, Passwörter und Kalenderinhalte von Fehlerberichten ausgenommen sind; sowie versionierte, automatisiert geprüfte Änderungen mit gezielter Abnahme, bevor neue Rechte- oder Datenpfade freigeschaltet werden.
Die Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau mindestens gleichwertig bleibt. Wesentliche Änderungen zu Ihrem Nachteil bedürfen der vorherigen Abstimmung.
Kundendaten werden ausschließlich in freigegebenen Produktionsumgebungen verarbeitet. Entwicklung und Staging verwenden künstliche oder tatsächlich anonymisierte Daten mit getrennten Datenbanken und Geheimnissen.
Sie schützen Ihre eigenen Zugangsdaten und vergeben nur die erforderlichen Berechtigungen.
6. Unterauftragnehmer
Sie erteilen die allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO für die auf der Seite Unterauftragnehmer aufgeführten Dienste; diese Seite ist Bestandteil dieses Vertrags. Jeder Dienst ist nur für den dort beschriebenen Zweck genehmigt; die Nennung allein gibt keine weitere Verarbeitung frei.
Vor jeder Verarbeitung personenbezogener Daten verpflichtet PPJ den Unterauftragnehmer auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, prüft seine Garantien und bleibt für seine Leistung voll verantwortlich. Auf Anfrage legt PPJ die maßgeblichen Regelungen des Unterauftrags vor; kaufmännische Angaben dürfen geschwärzt werden.
Ergänzungen, Ersetzungen und wesentliche Erweiterungen kündigt PPJ mindestens 30 Kalendertage vor dem Einsatz an, per E-Mail an die Adresse Ihres Kontos oder an einen von Ihnen benannten Vertragskontakt und durch Aktualisierung der Seite Unterauftragnehmer. Diese Adresse aktuell zu halten liegt bei Ihnen.
Sie können innerhalb dieser 30 Tage aus begründetem datenschutzrechtlichem Anlass widersprechen. Die betroffene Verarbeitung beginnt dann erst, wenn der Widerspruch geklärt ist. Steht keine zumutbare Alternative zur Verfügung, kann jede Partei die betroffene Leistung beenden, für Sie kostenfrei.
Von Ihnen selbst verbundene Systeme sind keine Unterauftragnehmer von PPJ. Dazu gehören die von Ihnen angebundenen Kalender-, Verzeichnis- und Mailsysteme wie Google, Microsoft, Apple, Exchange und CalDAV sowie die von Ihnen eingesetzten Assistenten- oder MCP-Clients. Ihre Auswahl und vertragliche Absicherung liegen bei Ihnen.
7. Drittlandübermittlungen
Gespeicherte Daten, Sicherungen und Ausfallsysteme der Anwendung verbleiben in der Europäischen Union. Eine Verarbeitung in Drittländern findet gleichwohl statt, und zwar in zwei Formen: Technische Metadaten zum Betrieb werden zur Leistungsüberwachung in die Vereinigten Staaten übermittelt. Zudem sitzt der technische Support unseres Plattformanbieters in den Vereinigten Staaten und kann bei der Bearbeitung gemeldeter Störungen auf die Betriebsumgebung zugreifen; eine Variante ohne diesen Zugriff bietet der Anbieter nicht an. Hinzu kommen die globalen Netze der auf der Seite Unterauftragnehmer genannten Anbieter. Diese Seite benennt den Verarbeitungsort je Anbieter.
Solche Übermittlungen erfolgen auf Grundlage der Standardvertragsklauseln der Europäischen Kommission, bei Bedarf ergänzt um das UK-Addendum, zusammen mit den in Ziffer 5 genannten Maßnahmen.
8. Unterstützung bei Betroffenenrechten
PPJ leitet Anfragen betroffener Personen unverzüglich an Sie weiter und antwortet inhaltlich nur auf Ihre Weisung oder soweit gesetzlich geboten.
Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt PPJ Sie mit geeigneten technischen und organisatorischen Maßnahmen bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch sowie bei Ihren Pflichten nach Art. 32 bis 36 DSGVO.
Übliche Unterstützung ist eingeschlossen. Außergewöhnlicher Aufwand ist nur nach vorheriger Vereinbarung vergütungspflichtig; eine solche Vereinbarung darf keine gesetzliche Frist verzögern.
9. Verletzungen des Schutzes personenbezogener Daten
PPJ benachrichtigt Sie unverzüglich, nachdem eine Verletzung des Schutzes der in Ihrem Auftrag verarbeiteten personenbezogenen Daten bekannt geworden ist, und wartet den Abschluss der Untersuchung nicht ab.
Die Erstmeldung nennt das Bekannte zu Art der Verletzung, Kategorien und ungefährer Zahl betroffener Personen und Datensätze, voraussichtlichen Folgen, ergriffenen Maßnahmen und einen Ansprechpartner. Fehlende Angaben werden nachgereicht, sobald sie vorliegen.
PPJ begrenzt die Auswirkungen, sichert die erforderlichen Nachweise und unterstützt Ihre Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.
10. Nachweise und Überprüfungen
PPJ stellt die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch Sie oder einen von Ihnen beauftragten, zur Vertraulichkeit verpflichteten Prüfer und trägt dazu bei.
Der Nachweis erfolgt vorrangig über die Angaben dieses Vertrags, eine aktuelle Dokumentation der Maßnahmen und schriftliche Antworten auf Ihre Fragen. Inspektionen werden mit angemessener Vorankündigung abgestimmt, finden höchstens einmal je Kalenderjahr statt und erfolgen auf Ihre Kosten, sofern sie keinen wesentlichen Verstoß von PPJ ergeben. Diese Grenzen gelten nicht für eine Prüfung aus konkretem Anlass oder auf Verlangen einer Aufsichtsbehörde. Daten anderer Kunden, Geschäftsgeheimnisse und die Systemsicherheit bleiben geschützt.
Anbieterberichte werden nur weitergegeben, soweit deren Vertraulichkeitsbedingungen es zulassen. Erforderlichenfalls unterstützt PPJ alternative Nachweise oder stellt den Kontakt zum Anbieter her.
11. Aufbewahrung, Rückgabe und Löschung
Aufbewahrung: Abgleichstand, Zielzuordnungen und Verbindungsgeheimnisse werden vorgehalten, solange die Verbindung oder das Konto besteht. Laufprotokolle, die keine Termininhalte enthalten, 90 Tage. Technische Zähler 24 Stunden. Einträge im Sicherheitsprotokoll verlieren mit der Kontolöschung ihren Personenbezug. Sicherungen rollieren automatisch und werden höchstens 30 Tage vorgehalten.
Endet die Verarbeitung in Ihrem Auftrag, wählen Sie, ob PPJ die Daten in einem gängigen strukturierten Format zurückgibt oder löscht. PPJ führt dies unverzüglich aus, in der Regel innerhalb von 30 Tagen. Ist ein Anbieterzugang nicht mehr verfügbar oder besteht eine gesetzliche Pflicht, begründet PPJ dies und stimmt die Verlängerung mit Ihnen ab.
Von Ridian in Zielkalendern angelegte Kopien werden entfernt, bevor die dafür nötigen Zugangsdaten gelöscht werden, soweit beauftragt und technisch erreichbar. Nicht erreichbare Kopien werden Ihnen benannt. Auf ausdrücklichen Wunsch eines Nutzers angelegte Termine bleiben im Providerkalender, sofern Sie nichts anderes anweisen.
Sicherungen bleiben bis zu ihrem vorgesehenen Ablauf gesperrt; wird eine Sicherung wiederhergestellt, werden Löschaufträge erneut angewandt. Zweckbindung, Vertraulichkeit und Sicherheit gelten bis zum Abschluss der Löschung fort.
Unterlagen, die PPJ gesetzlich aufbewahren muss, sowie die eigene Vertragsverwaltung von PPJ verarbeitet PPJ gesondert in eigener Verantwortlichkeit; sie sind von dieser Löschpflicht nicht erfasst.
12. Änderungen dieses Vertrags
Jede Fassung dieses Vertrags trägt eine Versionsnummer und ein Datum. Frühere Fassungen erhalten Sie auf Anfrage.
PPJ kann diesen Vertrag ändern, wenn ein sachlicher Grund vorliegt, insbesondere eine Änderung der Rechtslage oder aufsichtsbehördlicher Vorgaben, eine Anpassung der technischen Maßnahmen oder eine Klarstellung, die Ihre Rechte nicht verkürzt. PPJ kündigt eine solche Änderung mindestens 30 Kalendertage vor Wirksamwerden per E-Mail an die in Ziffer 6 genannte Adresse an. Widersprechen Sie innerhalb dieser Frist, kann PPJ die betroffene Leistung zum Fristende beenden; andernfalls gilt die neue Fassung ab dem genannten Datum.
Änderungen, die Ihre Rechte oder die Pflichten von PPJ wesentlich verkürzen oder die Verarbeitungszwecke erweitern, bedürfen Ihrer erneuten ausdrücklichen Zustimmung. PPJ holt sie im Produkt ein, bevor die neue Fassung für Sie gilt.
Änderungen der Unterauftragnehmerliste richten sich nach Ziffer 6 und nicht nach dieser Ziffer.
13. Eine unterzeichnete Fassung
Dieser Vertrag wird in elektronischer Form geschlossen und ist ohne Unterschrift wirksam, wie Art. 28 Abs. 9 DSGVO es zulässt. Über die Druckansicht dieser Seite können Sie ihn jederzeit speichern und ausdrucken.
Benötigt Ihre Organisation ein gegengezeichnetes Exemplar mit Angabe beider Parteien, schreiben Sie an [email protected]. Wir ergänzen die Parteiangaben, zeichnen gegen und senden es Ihnen zur Unterschrift. Der Inhalt entspricht dieser Seite in der angegebenen Fassung.
14. Schlussbestimmungen
Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts und vorbehaltlich zwingender Vorschriften.
Dieser Vertrag wird in deutscher und englischer Sprache veröffentlicht. Bei Abweichungen ist die deutsche Fassung maßgeblich.
Sollte eine Bestimmung unwirksam sein oder werden, bleibt der übrige Vertrag wirksam; an ihre Stelle treten die gesetzlichen Regelungen.
Fragen zu diesem Vertrag, zum Datenschutz oder zu einem gegengezeichneten Exemplar: [email protected].
26. September 2026
Weitere Unterlagen
Die Unterauftragnehmerliste ist Bestandteil dieses Vertrags. Die Nutzungsbedingungen regeln die Leistung selbst, die Datenschutzerklärung beschreibt die Verarbeitung in unserer eigenen Verantwortlichkeit. Die englische Fassung steht unter Data Processing Agreement.