§1. Parteien und Vertragsschluss
Dieser Vertrag wird zwischen dem Inhaber eines Arbeitsbereichs in Velunta („Verantwortlicher“) und Bajeczne Balony Oleh Serhiienko, NIP (Steuernummer) 6832090873, ul. Ciesielskiego 6, 31-589 Kraków, Polska („Auftragsverarbeiter“) geschlossen.
Der Vertrag ist Bestandteil der Nutzungsbedingungen und kommt mit deren Annahme zustande. Er gilt, solange Velunta genutzt wird.
§2. Gegenstand, Art und Zweck
Der Verantwortliche beauftragt den Auftragsverarbeiter mit der Verarbeitung der in den Arbeitsbereich eingegebenen personenbezogenen Daten ausschließlich zur Erbringung der in den Nutzungsbedingungen beschriebenen Velunta-Dienste.
Die Verarbeitung umfasst: Erfassen, Speichern, Ordnen, Anzeigen, Bereitstellen für Teammitglieder des Arbeitsbereichs, Exportieren und Löschen der Daten.
§3. Kategorien von Personen und Daten
- Personen: Kunden des Verantwortlichen, Ansprechpartner von Lieferanten und Geschäftspartnern, Teammitglieder des Arbeitsbereichs, andere Personen, deren Daten der Verantwortliche eingibt.
- Daten: Name oder Firma, Telefonnummer, E-Mail-Adresse, Lieferadressen, Auftrags- und Zahlungsdetails, Notizen, Fotos und Dokumente in Anhängen (können das Bild einer Person zeigen).
Der Verantwortliche sollte keine besonderen Kategorien von Daten (Art. 9 DSGVO) und keine Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) eingeben.
§4. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter:
- verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen — die Nutzung der Velunta-Funktionen gilt als Weisung; verstößt eine Weisung gegen Recht, informiert er den Verantwortlichen,
- stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind,
- trifft die nach Art. 32 DSGVO erforderlichen Sicherheitsmaßnahmen (§7),
- unterstützt den Verantwortlichen bei Anfragen betroffener Personen — u. a. durch Funktionen zum Bearbeiten, Exportieren und Löschen in der App,
- unterstützt den Verantwortlichen bei den Pflichten nach Art. 32–36 DSGVO,
- meldet Datenschutzverletzungen unverzüglich, spätestens 48 Stunden nach Kenntnis,
- stellt die zum Nachweis der Einhaltung von Art. 28 DSGVO nötigen Informationen bereit und ermöglicht Prüfungen — vorrangig durch schriftliche Auskünfte, bei Bedarf durch Kontrollen nach Terminabsprache mit mindestens 14 Tagen Vorlauf.
§5. Unterauftragsverarbeiter
Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter:
- Unternehmen
- Supabase · Supabase, Inc. (USA)
- Zweck
- Datenbank, Anmeldung (Konten und Passwörter), Speicherung von Anhängen (Fotos, PDFs), E-Mails zur Kontobestätigung, Serverfunktionen (z. B. Kontolöschung)
- Speicherort der Daten
- Datenspeicherung in der EU: Frankfurt, Deutschland (AWS eu-central-1)
- Garantien bei Übermittlung
- EU-US Data Privacy Framework und Standardvertragsklauseln (SCC)
- Unternehmen
- Vercel · Vercel Inc. (USA)
- Zweck
- Hosting der Web-App, Auslieferung der Seiten, technische Server-Logs, anonyme Besuchsstatistik (Vercel Web Analytics, ohne Cookies)
- Speicherort der Daten
- Globales Servernetz (CDN), auch außerhalb des EWR
- Garantien bei Übermittlung
- EU-US Data Privacy Framework und Standardvertragsklauseln (SCC)
- Unternehmen
- Sentry · Functional Software, Inc. (USA)
- Zweck
- Fehlerberichte der App: Fehlermeldung und -stelle, Browser und System, technische Nutzer- und Arbeitsbereichs-ID — ohne Namen, E-Mails, Kundendaten oder Auftragsinhalte
- Speicherort der Daten
- Datenspeicherung in der EU: Frankfurt, Deutschland (Sentry-EU-Region)
- Garantien bei Übermittlung
- EU-US Data Privacy Framework und Standardvertragsklauseln (SCC)
Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern Datenschutzpflichten auf, die nicht weniger streng sind als in diesem Vertrag. Geplante Änderungen oder neue Unterauftragsverarbeiter kündigt er mindestens 14 Tage vorher an (in der App oder per E-Mail). Der Verantwortliche kann widersprechen; wird dem Widerspruch nicht abgeholfen, kann er den Vertrag durch Löschen des Arbeitsbereichs oder Kontos beenden.
§6. Übermittlung außerhalb des EWR
Datenbank- und Anhangsdaten werden in der EU (Frankfurt) gespeichert. Übermitteln Unterauftragsverarbeiter Daten außerhalb des Europäischen Wirtschaftsraums, geschieht dies auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder von Standardvertragsklauseln.
§7. Sicherheitsmaßnahmen
- verschlüsselte Verbindungen (HTTPS/TLS) und Verschlüsselung der beim Anbieter gespeicherten Daten,
- Trennung der Daten der Arbeitsbereiche und Zugriffskontrolle auf Datenbankebene (Row Level Security) unter Berücksichtigung von Rollen und Filialen,
- privater Dateispeicher nur für Mitglieder des Arbeitsbereichs,
- Administratorschlüssel nur auf dem Server, nie im Browser,
- Passwörter als kryptografische Hashes,
- Zugriff des Auftragsverarbeiters auf Daten nur, wenn nötig (z. B. Bearbeitung einer Anfrage auf Wunsch des Verantwortlichen).
§8. Ende der Verarbeitung
Nach dem Löschen eines Arbeitsbereichs oder Kontos löscht der Auftragsverarbeiter die Daten sofort; Sicherungskopien und Logs der Anbieter werden in einem Zyklus von höchstens 30 Tagen überschrieben, sofern das Gesetz keine weitere Speicherung verlangt. Vor der Löschung kann der Verantwortliche die Daten mit „Daten exportieren“ herunterladen.
§9. Haftung und Schlussbestimmungen
Die Haftung für Schäden aus Verstößen gegen das Datenschutzrecht richtet sich nach Art. 82 DSGVO; im Übrigen gelten die Nutzungsbedingungen.
Für nicht geregelte Fragen gelten die DSGVO, polnisches Recht und die Nutzungsbedingungen. Verbindlich ist die polnische Fassung dieses Vertrags.