Trust & Privacy

Data Processing Agreement
under Art. 28 GDPR · Appendix to «Main Contract» no. «Contract number»
Template v1.0 · as of 31 October 2026

If the parties also sign the German version, the German version prevails in case of doubt.

CONTROLLER
«Company»
«Street»
«Postcode City, Country»
«Register court, register number»
represented by «Name, function»
("Controller")

PROCESSOR
Outcomet UG (haftungsbeschränkt)
Amalie-Baader-Straße 1
76137 Karlsruhe, Germany
Amtsgericht Mannheim, HRB 758563
represented by its managing director Andy Görnt
("Processor")

1. Subject matter and duration
The Processor operates the Outcomet software for the Controller as Software as a Service under «Main Contract» no. «Contract number» (the "Main Contract"). In doing so, it processes personal data on behalf of the Controller.
This agreement applies for as long as the Main Contract runs, and beyond that until all data has been deleted or returned under Section 10.

2. Nature, purpose and scope of processing
Purpose: providing Outcomet to collect, structure and analyse customer feedback, product content and decisions, including AI-assisted analysis.
Nature of processing: collecting, storing, organising, structuring, analysing, retrieving, transferring to the sub-processors in Annex B, deleting.

Types of personal data:
- User account data: name, e-mail address, role, login data
- Content the Controller brings in: feedback, interview notes and transcripts, comments, product and strategy content, insofar as it relates to persons
- Contact data of the Controller's interviewees and customers: name, e-mail address, role, company, and the classifications the Controller or Outcomet stores about them in the workspace
- Data from integrations the Controller connects: issues, comments, commits and pull requests with author details
- E-mails that Outcomet sends on behalf of the Controller
- Usage and log data: IP address, browser data, error logs, session recordings with masked inputs

Categories of data subjects:
- Employees and agents of the Controller whom it invites as users
- Customers, users and interviewees of the Controller whose data it brings in
- Persons who appear as authors or editors in systems the Controller connects

Outcomet does not process special categories of data under Art. 9 GDPR as intended use. The Controller does not bring in such data.

3. Instructions
The Processor processes the data only on documented instructions from the Controller. This agreement, the Main Contract and the Controller's use of Outcomet's features are such instructions. The Controller gives further instructions in text form.
If the Processor considers an instruction unlawful, it informs the Controller without undue delay.
There is no processing for the Processor's own purposes. In particular, the Controller's data is not used to train AI models, neither by the Processor nor by its sub-processors. The only exception to processing for own purposes concerns TypeSafe: aggregated statistics and insights from the requests, no model training (Annex B). The Controller consents to it with this agreement.

4. Confidentiality
All persons at the Processor who have access to the data are bound to confidentiality. At present, only the managing director has access to the data in the Solution. Anyone reading along in a channel shared with the Controller is bound to confidentiality in writing. Further persons receive access only after a written confidentiality commitment.

5. Security of processing
The Processor takes the technical and organisational measures under Art. 32 GDPR described in Annex A. It may develop them further as long as the level of protection does not decrease.

6. Sub-processors
The Controller approves the sub-processors in Annex B.
The Processor informs the Controller in text form at least 30 days in advance of new or replaced sub-processors. Within this period, the Controller may object for an important data protection reason. If the parties do not agree, the Controller may terminate the Main Contract as of the date of the change.
The Processor contractually binds every sub-processor to an equivalent level of data protection. The sub-processors' own service providers follow their published lists, which Annex B names.

7. Transfers to third countries
The database with all of the Controller's content is located in the EU. Some sub-processors process data in the USA or the United Kingdom (Annex B). The basis in each case is an adequacy decision of the EU Commission, including the EU-US Data Privacy Framework, or the EU Standard Contractual Clauses.

8. Assistance to the Controller
The Processor assists the Controller with requests from data subjects (Art. 12 to 23 GDPR) and with its obligations under Art. 32 to 36 GDPR. It forwards requests received directly by the Processor without undue delay.

9. Personal data breaches
The Processor notifies the Controller of a breach without undue delay, at the latest 48 hours after becoming aware of it. The notification contains, as far as known, the information under Art. 33(3) GDPR.

10. Deletion and return
After the end of the Main Contract, the Controller can export its data for 30 days. The Processor then deletes it, including in the development environment, unless a statutory retention obligation applies. Copies in backups are overwritten in the regular backup cycle. For sub-processors, deletion follows Annex B. The Processor deletes messages in a shared channel on request.

11. Evidence and audits
The Processor provides the Controller with the information needed to demonstrate compliance with this agreement. It allows audits by the Controller or an auditor appointed by it and bound to confidentiality, with at least 14 days' notice, during normal business hours and at most once a year, unless there is a specific reason.

12. Relationship to other agreements and final provisions
Liability is governed by Art. 82 GDPR. Otherwise, the liability provisions of the Main Contract apply.
In case of conflict, this agreement prevails over the Main Contract and over any non-disclosure agreement (NDA) between the parties, insofar as the processing of personal data is concerned. Using the sub-processors named in Annex B does not breach such an NDA.
Changes require text form. German law applies, the place of jurisdiction is Karlsruhe.

Annexes:
- Annex A: Technical and organisational measures under Art. 32 GDPR (see Controls tab)
- Annex B: Sub-processors (see Subprocessors tab)

Auftragsverarbeitungsvertrag
nach Art. 28 DSGVO · Anlage zum «Hauptvertrag» Nr. «Vertragsnummer»
Vorlage v1.0 · Stand 31. Oktober 2026

VERANTWORTLICHER
«Firma»
«Straße»
«PLZ Ort»
«Registergericht, HRB»
vertreten durch «Name, Funktion»
(„Verantwortlicher“)

AUFTRAGSVERARBEITER
Outcomet UG (haftungsbeschränkt)
Amalie-Baader-Straße 1
76137 Karlsruhe
Amtsgericht Mannheim, HRB 758563
vertreten durch den Geschäftsführer Andy Görnt
(„Auftragsverarbeiter“)

1. Gegenstand und Dauer
Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software Outcomet als Software-as-a-Service nach dem «Hauptvertrag» Nr. «Vertragsnummer» („Hauptvertrag“). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.
Dieser Vertrag gilt, solange der Hauptvertrag läuft, und darüber hinaus, bis alle Daten nach Ziffer 10 gelöscht oder zurückgegeben sind.

2. Art, Zweck und Umfang der Verarbeitung
Zweck: Bereitstellung von Outcomet zur Sammlung, Strukturierung und Auswertung von Kundenfeedback, Produktinhalten und Entscheidungen, einschließlich KI-gestützter Auswertung.
Art der Verarbeitung: Erheben, Speichern, Ordnen, Strukturieren, Auswerten, Abfragen, Übermitteln an die Unterauftragsverarbeiter nach Anlage B, Löschen.

Arten personenbezogener Daten:
- Kontodaten der Nutzer: Name, E-Mail-Adresse, Rolle, Anmeldedaten
- Inhalte, die der Verantwortliche einbringt: Feedback, Interviewnotizen und -transkripte, Kommentare, Produkt- und Strategieinhalte, soweit sie Personenbezug haben
- Kontaktdaten von Gesprächspartnern und Kunden des Verantwortlichen: Name, E-Mail-Adresse, Rolle, Unternehmen sowie die Einstufungen, die der Verantwortliche oder Outcomet dazu im Workspace speichert
- Daten aus Integrationen, die der Verantwortliche verbindet: Vorgänge, Kommentare, Commits und Pull Requests mit Autorenangaben
- E-Mails, die Outcomet im Auftrag des Verantwortlichen versendet
- Nutzungs- und Protokolldaten: IP-Adresse, Browserdaten, Fehlerprotokolle, Sitzungsaufzeichnungen mit maskierten Eingaben

Kategorien betroffener Personen:
- Beschäftigte und Beauftragte des Verantwortlichen, die er als Nutzer einlädt
- Kunden, Nutzer und Interviewpartner des Verantwortlichen, deren Daten er einbringt
- Personen, die in verbundenen Systemen des Verantwortlichen als Autoren oder Bearbeiter erscheinen

Besondere Kategorien nach Art. 9 DSGVO verarbeitet Outcomet nicht bestimmungsgemäß. Der Verantwortliche bringt solche Daten nicht ein.

3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag, der Hauptvertrag und die Nutzung der Funktionen von Outcomet durch den Verantwortlichen sind solche Weisungen. Weitere Weisungen erteilt der Verantwortliche in Textform.
Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit.
Eine Verarbeitung für eigene Zwecke findet nicht statt. Insbesondere werden Daten des Verantwortlichen nicht zum Training von KI-Modellen verwendet, weder vom Auftragsverarbeiter noch von seinen Unterauftragsverarbeitern. Die einzige Ausnahme von der Verarbeitung für eigene Zwecke betrifft TypeSafe: zusammenfassende Statistiken und Erkenntnisse aus den Anfragen, kein Modelltraining (Anlage B). Der Verantwortliche stimmt ihr mit diesem Vertrag zu.

4. Vertraulichkeit
Alle Personen, die beim Auftragsverarbeiter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Zugang zu den Daten in der Lösung hat derzeit ausschließlich der Geschäftsführer. Wer in einem gemeinsamen Kanal mit dem Verantwortlichen mitliest, ist schriftlich zur Vertraulichkeit verpflichtet. Weitere Personen erhalten Zugang erst nach schriftlicher Verpflichtung auf Vertraulichkeit.

5. Sicherheit der Verarbeitung
Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage A beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter
Der Verantwortliche genehmigt die Unterauftragsverarbeiter in Anlage B.
Über neue oder ersetzte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 30 Tage vorher in Textform. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau. Die Dienstleister der Unterauftragsverarbeiter richten sich nach deren veröffentlichten Listen, die Anlage B nennt.

7. Übermittlung in Drittländer
Die Datenbank mit allen Inhalten des Verantwortlichen liegt in der EU. Einige Unterauftragsverarbeiter verarbeiten Daten in den USA oder im Vereinigten Königreich (Anlage B). Grundlage sind jeweils Angemessenheitsbeschlüsse der EU-Kommission, einschließlich des EU-US Data Privacy Framework, oder die EU-Standardvertragsklauseln.

8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei seinen Pflichten nach Art. 32 bis 36 DSGVO. Anfragen, die direkt beim Auftragsverarbeiter eingehen, leitet er unverzüglich weiter.

9. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung unverzüglich, spätestens 48 Stunden nachdem er davon erfahren hat. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

10. Löschung und Rückgabe
Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter sie, auch in der Entwicklungsumgebung, soweit keine gesetzliche Aufbewahrungspflicht besteht. Kopien in Datensicherungen werden im regulären Sicherungszyklus überschrieben. Bei Unterauftragsverarbeitern richtet sich die Löschung nach Anlage B. Nachrichten in einem gemeinsamen Kanal löscht der Auftragsverarbeiter auf Verlangen.

11. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind. Er ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach Ankündigung von mindestens 14 Tagen, zu den üblichen Geschäftszeiten und höchstens einmal im Jahr, außer bei konkretem Anlass.

12. Verhältnis zu anderen Vereinbarungen und Schlussbestimmungen
Die Haftung richtet sich nach Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag und einer Geheimhaltungsvereinbarung (NDA) der Parteien vor, soweit es um die Verarbeitung personenbezogener Daten geht. Der Einsatz der in Anlage B genannten Unterauftragsverarbeiter verstößt nicht gegen eine solche NDA.
Änderungen bedürfen der Textform. Es gilt deutsches Recht, Gerichtsstand ist Karlsruhe.

Anlagen:
- Anlage A: Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (siehe Tab „Controls“)
- Anlage B: Unterauftragsverarbeiter (siehe Tab „Subprocessors“)