Vereinbarung zur Auftragsverarbeitung

1. Parteien und Einbeziehung

Kunde ist die im Hauptvertrag, Bestellformular oder Administrationskonto bezeichnete Organisation. Er handelt je nach Verarbeitung als Verantwortlicher oder als Auftragsverarbeiter für einen weiteren Verantwortlichen. Firma, Anschrift, vertretungsberechtigte Person, Datenschutzkontakt, Rolle und Beitrittsdatum ergeben sich aus den Vertragsunterlagen.

Auftragsverarbeiter ist Ouhud GmbH, Kaiserswerther Straße 135, 40474 Düsseldorf, Deutschland, E-Mail: info@ouhud.com. Die Ouhud Digital GmbH (in Gründung) ist vor ihrer Eintragung und einem ausdrücklichen Vertragsbeitritt keine Partei dieser Vereinbarung.

Handelt der Kunde selbst als Auftragsverarbeiter, gilt er für diese Vereinbarung als weiterer Auftragsverarbeiter und Ouhud GmbH als Unterauftragsverarbeiter. Der Kunde bestätigt, zur Beauftragung von Ouhud GmbHund zur Erteilung der Weisungen durch den jeweiligen Verantwortlichen befugt zu sein.

2. Gegenstand, Umfang und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten zur Bereitstellung von OUHUD Search Intelligence im Umfang des Hauptvertrags. Dazu können je nach gebuchten und aktivierten Modulen Website-Analyse und Crawling, Wissensverarbeitung, Themenrecherche, Content-Erstellung und Qualitätsprüfung, Messung von Such- und KI-Sichtbarkeit, Berichte, Integrationen sowie eine vom Kunden ausgelöste Veröffentlichung gehören.

Diese Vereinbarung gilt ab ihrer wirksamen Einbeziehung für die Dauer des Hauptvertrags und darüber hinaus, solange Ouhud GmbH Auftragsdaten für den Kunden verarbeitet. Art, Zweck, Datenkategorien, betroffene Personen und Frequenz sind in Anlage B konkretisiert. Verarbeitungen, bei denen Ouhud GmbH eigene Zwecke festlegt, fallen ausschließlich unter Ziffer 13.

3. Dokumentierte Weisungen und Pflichten des Kunden

Hauptvertrag, Leistungsbeschreibung, diese Vereinbarung sowie die vom Kunden in der Plattform vorgenommenen Einstellungen und ausgelösten Funktionen bilden die dokumentierten Weisungen. Weitere Weisungen erteilt der Kunde über dafür vorgesehene Produktfunktionen oder in Textform an den Datenschutzkontakt. Mündliche Weisungen in einem dringenden Ausnahmefall sind unverzüglich in Textform zu bestätigen.

Ouhud GmbH informiert den Kunden unverzüglich, wenn eine Weisung nach ihrer Auffassung gegen anwendbares Datenschutzrecht verstößt, und darf die betroffene Verarbeitung bis zur Klärung aussetzen. Muss Ouhud GmbH aufgrund von Unionsrecht oder mitgliedstaatlichem Recht ohne Weisung verarbeiten, wird der Kunde vorab über diese Pflicht informiert, soweit das Recht eine Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Der Kunde bleibt insbesondere verantwortlich für Rechtsgrundlage, Transparenz, Datenminimierung, Richtigkeit, Speicherfristen, die Erfüllung von Betroffenenrechten und die Zulässigkeit seiner Weisungen. Er übermittelt nur Daten, die Ouhud GmbH nach seiner Weisung verarbeiten darf, und informiert vorab über besondere Schutzbedarfe, Berufsgeheimnisse oder gesetzliche Geheimhaltungspflichten.

4. Pflichten von Ouhud GmbH

Ouhud GmbH verpflichtet sich,

• Auftragsdaten ausschließlich nach dokumentierter Weisung und nur für die vereinbarten Zwecke zu verarbeiten, einschließlich Weisungen zu internationalen Übermittlungen,
• Zugriff nur befugten Personen zu gewähren, die vor dem Zugriff zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterworfen sind,
• diese Personen angemessen zu unterweisen und ihre Zugriffsrechte auf das für ihre Aufgabe Erforderliche zu begrenzen,
• die Anforderungen an Unterauftragsverarbeiter nach Ziffer 9 einzuhalten,
• den Kunden nach Maßgabe dieser Vereinbarung bei der Erfüllung seiner Datenschutzpflichten zu unterstützen,
• erforderliche Verzeichnisse und Nachweise zu führen und mit zuständigen Aufsichtsbehörden zusammenzuarbeiten.

Ouhud GmbH verwendet Auftragsdaten nicht für Werbung, den Verkauf von Daten oder das Training beziehungsweise die Verbesserung eigener oder fremder KI-Modelle. Das gilt auch für eingesetzte Unterauftragsverarbeiter. Eine abweichende Nutzung setzt eine ausdrücklich gesondert dokumentierte Weisung des Kunden, eine zulässige datenschutzrechtliche Rollenverteilung und alle erforderlichen Rechtsgrundlagen voraus. Die bloße Aktivierung einer KI-Funktion ist keine solche Weisung zum Modelltraining.

5. Sicherheit der Verarbeitung

Ouhud GmbH trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen, Zwecken und Risiken der Verarbeitung angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Anlage C unterscheidet den nachweisbaren Entwicklungsstand von den dort ausdrücklich als vor Produktivbetrieb abzuschließen gekennzeichneten Betriebsmaßnahmen. Solange diese offenen Maßnahmen nicht umgesetzt und dokumentiert sind, ist diese Fassung nicht zur Einbeziehung in einen Produktivvertrag freigegeben.

Die Maßnahmen dürfen an technische Entwicklungen angepasst werden, sofern das vereinbarte Schutzniveau insgesamt nicht unterschritten wird. Wesentliche nachteilige Änderungen werden dokumentiert und dem Kunden auf Anfrage oder, wenn sie ein erhebliches Risiko betreffen, aktiv mitgeteilt. Absolute Sicherheit wird nicht zugesagt.

6. Unterstützung bei Betroffenenrechten

Unter Berücksichtigung der Art der Verarbeitung unterstützt Ouhud GmbH den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei Anträgen nach Art. 12 bis 22 DSGVO sowie den entsprechenden Rechten nach Schweizer DSG. Dies umfasst, soweit technisch verfügbar und vom Kunden angewiesen, Suche, Auskunft, Berichtigung, Export, Einschränkung und Löschung von Auftragsdaten.

Unmittelbar bei Ouhud GmbH eingehende Anfragen, die Auftragsdaten betreffen, werden unverzüglich an den Kunden weitergeleitet. Ouhud GmbH beantwortet sie nur auf dokumentierte Weisung oder aufgrund einer eigenen zwingenden gesetzlichen Pflicht. Der Kunde bleibt für die inhaltliche Prüfung und fristgerechte Antwort verantwortlich.

7. Weitere Unterstützung und Behörden

Unter Berücksichtigung von Art der Verarbeitung und verfügbaren Informationen unterstützt Ouhud GmbH den Kunden bei seinen Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Risikobewertungen, Datenschutz-Folgenabschätzungen, Vorabkonsultationen sowie Anfragen oder Prüfungen einer Aufsichtsbehörde. Die für Ouhud GmbH als Auftragsverarbeiter erforderlichen Verzeichnisse werden nach Art. 30 Abs. 2 DSGVO geführt; der Kunde wird bei seinen eigenen Dokumentationspflichten im erforderlichen Umfang unterstützt.

Unterstützung, die wegen eines Verstoßes von Ouhud GmbH erforderlich wird, ist mit der vereinbarten Vergütung abgegolten. Sonstige außergewöhnliche, kundenspezifische Zusatzleistungen können nach vorheriger Abstimmung zu den vereinbarten oder üblichen Sätzen berechnet werden.

8. Verletzungen des Schutzes personenbezogener Daten

Ouhud GmbH meldet dem Kunden eine Verletzung des Schutzes von Auftragsdaten unverzüglich nach Bekanntwerden. Die Erstmeldung enthält, soweit verfügbar, die Art der Verletzung, Kategorien und ungefähre Zahl betroffener Personen und Datensätze, eine Kontaktstelle, wahrscheinliche Folgen sowie bereits ergriffene oder geplante Abhilfemaßnahmen. Fehlende Angaben werden ohne unangemessene Verzögerung schrittweise nachgereicht.

Ouhud GmbH ergreift angemessene Maßnahmen zur Eindämmung, Beweissicherung, Ursachenanalyse und Vermeidung einer Wiederholung und unterstützt den Kunden bei Meldungen nach Art. 33 und 34 DSGVO sowie Art. 24 DSG. Eine Meldung an Betroffene oder Behörden im Namen des Kunden erfolgt nur auf dokumentierte Weisung oder aufgrund einer eigenen gesetzlichen Pflicht. Die Meldung an den Kunden ist kein Anerkenntnis eines Rechtsverstoßes oder einer Haftung.

9. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung ausschließlich für Anbieter, die bei Vertragsschluss in der Liste Dienstleister und Datenempfänger mit dem Status „im Einsatz“ und der Rolle „Auftragsverarbeiter“ gekennzeichnet sind. Geplante, noch nicht ausgewählte oder nur vom Kunden aktivierte Empfänger sind von dieser Genehmigung nicht erfasst.

Ouhud GmbH informiert die im Kundenkonto hinterlegte Administratoradresse mindestens 30 Tage vor der Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters aktiv in Textform. Die Mitteilung nennt Anbieter, Aufgabe, Datenkategorien, Verarbeitungsorte und gegebenenfalls die Transfergrundlage. Der Kunde kann innerhalb dieser Frist aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen.

Bei einem berechtigten Widerspruch suchen die Parteien eine zumutbare Lösung. Ist keine Lösung möglich, darf Ouhud GmbH die betroffene Funktion nicht über den beanstandeten Anbieter erbringen; der Kunde kann den betroffenen Leistungsteil zum Änderungstermin ohne zusätzliche Kosten kündigen. Ouhud GmbH auferlegt dem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten, die fürOuhud GmbH aus dieser Vereinbarung gelten, bleibt für deren Einhaltung und Pflichtverletzungen verantwortlich und stellt dem Kunden auf Anfrage eine erforderlichenfalls zum Schutz von Geschäftsgeheimnissen geschwärzte Vertragskopie bereit.

10. Übermittlungen in Drittländer

Übermittlungen in Drittländer oder an internationale Organisationen erfolgen nur auf dokumentierte Weisung und unter Einhaltung von Kapitel V DSGVO sowie, soweit anwendbar, Art. 16 bis 18 DSG. Diese AVV allein ist kein Transferinstrument.

Soweit kein anwendbarer Angemessenheitsbeschluss besteht, verwendet Ouhud GmbHinsbesondere die Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 im jeweils passenden Modul, führt die erforderliche Transferprüfung durch und ergreift erforderliche ergänzende Maßnahmen. Eine Zertifizierung nach einem Datenschutzrahmen wird nur herangezogen, wenn der konkrete Empfänger und die konkrete Datenkategorie aktuell von ihr umfasst sind.

Für Daten aus der Schweiz werden anerkannte Standarddatenschutzklauseln mit den vom EDÖB verlangten Schweizer Anpassungen verwendet. Die konkrete Transfergrundlage jedes genehmigten Anbieters wird in der Dienstleisterliste ausgewiesen.

11. Rückgabe und Löschung

Nach Beendigung der Auftragsverarbeitung löscht Ouhud GmbH nach Wahl des Kunden sämtliche Auftragsdaten und bestätigt die Löschung oder gibt die Daten in einem verfügbaren, gängigen Format zurück und löscht anschließend bestehende Kopien. Der Kunde teilt seine Wahl spätestens zum Vertragsende mit. Ohne rechtzeitige Weisung werden aktive Auftragsdaten nach Ablauf einer 30-tägigen Abholfrist gelöscht.

Gesetzlich aufzubewahrende Daten werden getrennt, für andere Zwecke gesperrt und nur für die Dauer und den Zweck der gesetzlichen Pflicht verarbeitet. Sicherungskopien werden, soweit sie produktiv geführt werden, gegen reguläre Wiederverarbeitung gesperrt und am Ende des vor Produktivbetrieb verbindlich festzulegenden maximalen Sicherungszyklus gelöscht. Bei einer Wiederherstellung werden fällige Löschaufträge erneut angewendet.

12. Informationen, Nachweise und Audits

Ouhud GmbH stellt dem Kunden alle Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind. Aktuelle Zertifikate, Prüfberichte, TOM-Dokumentation und standardisierte Fragebögen können vorrangig zur Nachweisführung verwendet werden.

Der Kunde oder ein von ihm beauftragter unabhängiger und zur Vertraulichkeit verpflichteter Prüfer darf die vertragsgegenständliche Verarbeitung in angemessenen Abständen sowie zusätzlich bei konkreten Anzeichen eines Verstoßes oder nach einem relevanten Vorfall prüfen. Erforderliche Inspektionen erfolgen mit angemessener Vorankündigung während üblicher Geschäftszeiten, soweit Dringlichkeit oder eine Behördenanordnung nichts anderes verlangen, und ohne unnötige Beeinträchtigung des Betriebs oder der Rechte anderer Kunden.

Die Parteien stimmen Umfang, Sicherheitsvorkehrungen und Zeitplan vorab ab. Der Kunde trägt angemessene Kosten einer von ihm veranlassten Sonderprüfung, es sei denn, die Prüfung weist einen wesentlichen Verstoß von Ouhud GmbH nach. Gesetzliche Prüf- und Zugriffsrechte von Aufsichtsbehörden bleiben unberührt.

13. Verarbeitungen in eigener Verantwortlichkeit

Nicht Gegenstand dieser AVV sind Verarbeitungen, bei denen Ouhud GmbH eigene Zwecke und wesentliche Mittel festlegt. Dazu gehören insbesondere Vertragsanbahnung und -verwaltung, Abrechnung und Steuern, Verwaltung eigener Geschäftskontakte, Nachweis rechtlicher Erklärungen, Sicherheit eigener Konten und Infrastruktur sowie die Erfüllung eigener gesetzlicher Pflichten. Sicherheitsmaßnahmen, Protokolle und Prüfungen, die der geschuldeten Verarbeitung von Auftragsdaten dienen, bleiben dagegen Teil dieser AVV. Für die eigenen Verarbeitungen gilt die Datenschutzerklärung.

14. Aussetzung und Beendigung bei Datenschutzverstößen

Kann Ouhud GmbH diese Vereinbarung aus rechtlichen oder tatsächlichen Gründen nicht mehr einhalten, informiert sie den Kunden unverzüglich und setzt die betroffene Verarbeitung aus, soweit dies zum Schutz der Daten erforderlich ist. Behebt Ouhud GmbH einen wesentlichen Verstoß nicht innerhalb einer angemessenen Frist, darf der Kunde den betroffenen Leistungsteil oder, wenn eine Fortsetzung unzumutbar ist, den Hauptvertrag außerordentlich kündigen.

Entsprechendes gilt zugunsten von Ouhud GmbH, wenn eine rechtswidrige Weisung oder ein erheblicher Verstoß des Kunden trotz Hinweis und angemessener Frist fortbesteht. Zwingende Rechte von Betroffenen und Aufsichtsbehörden bleiben unberührt.

15. Ergänzende Bestimmungen für die Schweiz

Soweit das Schweizer Datenschutzgesetz anwendbar ist, umfassen die Begriffe dieser Vereinbarung auch „Personendaten“, „Verantwortlicher“ und „Auftragsbearbeiter“ nach Schweizer Recht. Art. 9 DSG, die Vorgaben zur Datensicherheit, die vorgängige Genehmigung weiterer Auftragsbearbeiter, die Unterstützung bei Meldungen nach Art. 24 DSG sowie Art. 16 bis 18 DSG gelten ergänzend.

Datensicherheitsverletzungen werden so rasch als möglich gemeldet. Bei Widersprüchen geht die zwingende Vorschrift vor, die den betroffenen Personen den stärkeren Schutz gewährt. Die Ouhud Digital GmbH (in Gründung) wird erst nach Handelsregistereintrag, Festlegung ihrer Rolle und ausdrücklichem Vertragsbeitritt Partei dieser Vereinbarung.

16. Rangfolge, Haftung und Schlussbestimmungen

Bei Widersprüchen zu anderen Vertragsbestandteilen geht diese Vereinbarung für die Verarbeitung von Auftragsdaten vor. Für internationale Übermittlungen gehen zwingende Bestimmungen wirksam einbezogener Standardvertragsklauseln entgegenstehenden Vertragsregelungen vor. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, ohne gesetzliche Rechte betroffener Personen oder zwingende datenschutzrechtliche Haftung zu beschränken.

Änderungen und Ergänzungen bedürfen einer dokumentierten elektronischen Form oder Textform, soweit das Datenschutzrecht keine strengere Form verlangt. Es gilt die Rechtswahl und der Gerichtsstand des Hauptvertrags. Die Unwirksamkeit einer Bestimmung lässt die übrige Vereinbarung unberührt; an ihre Stelle tritt die gesetzliche Regelung.

Anlage A – Parteien und Beitritt

Anlage B – Beschreibung der Verarbeitung

Gegenstand, Zweck, Art und Häufigkeit

Fortlaufende oder vom Kunden ausgelöste Bereitstellung der Plattform: Erheben, Erfassen, Organisieren, Strukturieren, Speichern, Auslesen, Abfragen, Abgleichen, Analysieren, Indexieren, Umwandeln, Generieren, Übermitteln, Bereitstellen, Veröffentlichen, Einschränken und Löschen. Die Verarbeitung erfolgt bei Nutzung der Plattform, bei geplanten Hintergrundaufträgen und nach konkreten Weisungen des Kunden für die Dauer des Hauptvertrags.

Datenkategorien

• Kontaktdaten und vom Kunden verwaltete Profildaten seiner Benutzer, Rollen und Teamzuordnungen
• Organisations-, Projekt-, Domain-, Website- und Konfigurationsdaten
• öffentlich abrufbare URLs, Website-Inhalte, technische Crawl- und SEO-Daten
• hochgeladene Dokumente, extrahierte Texte, Chunks, Quellen, Fakten, Entitäten und – bei Aktivierung – Embeddings
• Themen, Keywords, Suchintentionen, Prompts, Briefings, Entwürfe, KI-Ausgaben, Qualitätsbefunde und Freigaben
• Integrationseinstellungen, verschlüsselte OAuth- oder CMS-Zugangsdaten und vom Kunden ausgelöste Übertragungen
• Search-, Analytics-, Visibility-, Publishing-, Nutzungs-, Fehler- und Auditdaten, soweit sie im Auftrag verarbeitet werden
• sonstige personenbezogene Angaben, die der Kunde zulässigerweise in Inhalte oder Dokumente einbringt

Kategorien betroffener Personen

• Beschäftigte, freie Mitarbeitende und sonstige autorisierte Nutzer des Kunden
• Kunden, Interessenten, Lieferanten und geschäftliche Ansprechpartner des Kunden
• Autoren, Websitebesucher und Personen, die in öffentlich erreichbaren Website-Inhalten vorkommen
• Personen, die in hochgeladenen Unterlagen, Betriebswissen, Bewertungen, Entwürfen oder veröffentlichten Inhalten genannt werden

Besonders geschützte Daten

Daten nach Art. 9 oder 10 DSGVO sowie besonders schützenswerte Personendaten nach Schweizer DSG sind für den regulären Dienst nicht vorgesehen. Ihre Verarbeitung setzt eine vorherige dokumentierte Weisung, eine tragfähige Rechtsgrundlage und ausdrücklich vereinbarte zusätzliche Schutzmaßnahmen voraus. Ohne diese Voraussetzungen darf der Kunde solche Daten nicht übermitteln.

Anlage C – Technische und organisatorische Maßnahmen

1. Organisation und Zugriffssteuerung

• rollenbasiertes Berechtigungskonzept und personenbezogene Benutzerkonten nach dem Erforderlichkeitsprinzip
• Passwörter werden als nicht umkehrbare Argon2id-Prüfwerte gespeichert
• privilegierte Systemaufgaben sind von normalen Mandantenprozessen und Benutzerrollen getrennt
• Zugriffe befugter Personen sind auf Betrieb, Sicherheit und autorisierte Unterstützung beschränkt

2. Mandantentrennung und Berechtigungen

• mandantenbezogene Tabellen sind durch PostgreSQL Row Level Security und einen transaktionsgebundenen Organisationskontext geschützt
• die reguläre Anwendung verbindet sich mit einer nicht privilegierten Datenbankrolle; eng begrenzte Systemaufgaben verwenden einen getrennten Pfad
• automatisierte Isolationstests prüfen den Zugriff zwischen unterschiedlichen Kundenorganisationen

3. Übertragung, Geheimnisse und Schlüssel

• externe Produktivzugriffe werden verschlüsselt übertragen; sichere Cookies und HTTPS sind für die Produktionskonfiguration vorgesehen
• OAuth-Token, CMS-Zugangsdaten, MFA-Geheimnisse und vergleichbare Integrationsgeheimnisse werden anwendungsseitig verschlüsselt gespeichert
• Dienst-, Datenbank- und Objektspeicherzugänge werden rollenbezogen getrennt und nicht in Quellcode eingebettet

4. Upload- und Verarbeitungssicherheit

• Dateityp-, Größen-, Seitenzahl- und Archivgrenzen reduzieren Missbrauchs- und Ressourcenrisiken
• Uploads werden vor dem Parsen auf Schadsoftware geprüft; im vorgesehenen Produktivbetrieb schlägt die Verarbeitung bei fehlender eindeutiger Freigabe geschlossen fehl
• der Dokumentparser ist als isolierter Dienst ohne direkten Datenbank-, Objektspeicher- oder KI-Anbieterzugang ausgelegt

5. Protokollierung und Nachvollziehbarkeit

• sicherheitsrelevante Konto-, Rollen-, Freigabe-, Integrations- und Systemvorgänge werden nachvollziehbar protokolliert
• technische Verbindungsmetadaten und Auditdatensätze unterliegen dokumentierten, getrennten Aufbewahrungsregeln
• Hintergrundaufträge verwenden eindeutige Auftragskennungen, Wiederholungsgrenzen und nachvollziehbare Statusübergänge

6. Integrität, Verfügbarkeit und Wiederanlauf

• idempotente Verarbeitung, Transaktionen, Outbox- und Wiederholungsmechanismen reduzieren Doppelverarbeitung und verlorene Aufträge
• Löschaufträge für Objektspeicher werden durch persistente Tombstones nachverfolgt
• produktive Sicherungen, Wiederherstellungsproben und ihr maximaler Löschzyklus werden vor Produktivfreigabe im Betriebskonzept verbindlich festgelegt

7. Prüfung und Verbesserung

• Änderungen werden versioniert, geprüft und vor Freigabe automatisierten Typ-, Sicherheits- und Isolationstests unterzogen
• Sicherheitsvorfälle werden eingedämmt, dokumentiert, analysiert und in Verbesserungsmaßnahmen überführt
• Unterauftragsverarbeiter werden vor Freigabe hinsichtlich Vertrag, Rolle, Standort, Sicherheit und Transfergrundlage geprüft

Anlage D – Genehmigte Unterauftragsverarbeiter

Genehmigt sind ausschließlich Anbieter, die in der aktuellen Dienstleisterliste ausdrücklich den Status „im Einsatz“ und die Rolle „Auftragsverarbeiter“ tragen. Nach dem derzeit dokumentierten Entwicklungsstand ist noch kein externer Anbieter als produktiv im Einsatz bestätigt. Geplante Kandidaten und kundenaktivierte Empfänger sind keine genehmigten Unterauftragsverarbeiter.

Vor dem ersten Produktivbetrieb werden Anbieter, Vertragsgesellschaft, Anschrift, Leistung, Datenkategorien, Verarbeitungsorte, Beginn und Transfergrundlage verbindlich ergänzt. Spätere Änderungen richten sich nach Ziffer 9 dieser Vereinbarung.