Auftragsverarbeitungsvertrag

Dieser Vertrag legt fest, wie wir personenbezogene Daten für Unternehmen verarbeiten, die TagOrbit nutzen, so wie es Artikel 28 der DSGVO verlangt. Er gilt automatisch, wenn ein Unternehmen ein TagOrbit-Konto anlegt.

1. Parteien und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag wird geschlossen zwischen:

• ΑΦΟΙ ΚΑΛΟΦΟΡΙΔΗ ΟΕ (AFOI KALOFORIDI OE), Chr. Smirnis 67, 151 21 Athens, Greece, Handelsregisternummer (Γ.Ε.ΜΗ.) 069222103000 („wir“, „uns“, der Auftragsverarbeiter), und
• dem Unternehmen, das TagOrbit nutzt („Sie“, „der Kunde“, der Verantwortliche).

Er ist Teil unserer Nutzungsbedingungen. Er tritt in Kraft, wenn ein Unternehmen ein TagOrbit-Konto anlegt, und gilt, solange wir personenbezogene Daten für dieses Unternehmen verarbeiten. Sie müssen ihn nicht unterschreiben. Wenn Ihr Unternehmen ein unterschriebenes Exemplar braucht, schreiben Sie uns.

Dieser Vertrag gilt für die personenbezogenen Daten, die der Kunde und seine Nutzer in TagOrbit eingeben. Er gilt auch für die Kontodaten der Nutzer des Kunden, soweit wir sie verarbeiten, um TagOrbit für den Kunden bereitzustellen. Wir verwenden Kontodaten auch für eigene Zwecke, etwa um Personen anzumelden und TagOrbit sicher zu halten. Unsere Datenschutzerklärung gilt für diese Verwendung und für unsere öffentliche Website.

Widersprechen sich dieser Vertrag und die Nutzungsbedingungen in Bezug auf personenbezogene Daten, hat dieser Vertrag Vorrang. Für Änderungen dieses Vertrags gelten die Regeln für Änderungen in den Nutzungsbedingungen.

2. Rollen der Parteien

Der Verantwortliche entscheidet, warum und wie personenbezogene Daten verarbeitet werden. Der Auftragsverarbeiter verarbeitet sie nur im Auftrag des Verantwortlichen.

• Der Kunde ist der Verantwortliche. Er entscheidet, was er in TagOrbit erfasst, wen er einlädt und welche Rolle jede Person erhält. Er ist dafür verantwortlich, für die personenbezogenen Daten, die er erfasst, eine Rechtsgrundlage zu haben und die betroffenen Personen zu informieren.
• Wir sind der Auftragsverarbeiter. Wir verarbeiten die Daten nur, um TagOrbit für den Kunden bereitzustellen, und nur nach seinen Weisungen.

Aufzeichnungen über Beschäftigte. TagOrbit hält fest, wer welchen Gegenstand hat und wer welche Änderung vorgenommen hat. In manchen Ländern bringen solche Aufzeichnungen zusätzliche Pflichten für Arbeitgeber mit sich, zum Beispiel die Beteiligung eines Betriebsrats in Deutschland. Diese Pflichten zu erfüllen, ist Sache des Kunden. Wir geben dem Kunden die Informationen, die er dafür vernünftigerweise braucht, zum Beispiel für eine Datenschutz-Folgenabschätzung (eine Bewertung der Risiken der Verarbeitung).

3. Unsere Pflichten

• Dokumentierte Weisungen. Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Kunden. Das gilt auch für die Übermittlung von Daten in andere Länder. Die Weisungen sind dieser Vertrag, die Nutzungsbedingungen sowie die Einstellungen und Aktionen, die die Nutzer des Kunden in TagOrbit wählen. Wenn uns das Recht der Europäischen Union oder eines Mitgliedstaats zu etwas anderem verpflichtet, teilen wir das dem Kunden vorher mit, sofern dieses Recht das nicht verbietet. Wenn wir der Auffassung sind, dass eine Weisung gegen Datenschutzrecht verstößt, informieren wir den Kunden unverzüglich.
• Vertraulichkeit. Alle Personen, die wir zur Verarbeitung der Daten befugen, sind zur Vertraulichkeit verpflichtet.
• Sicherheit. Wir treffen die Maßnahmen aus Anlage 2, wie es Artikel 32 der DSGVO verlangt.
• Unterauftragsverarbeiter. Wir setzen Unterauftragsverarbeiter nur so ein, wie Abschnitt 4 es beschreibt.
• Anträge betroffener Personen. Wir unterstützen den Kunden dabei, Anträge der Personen zu beantworten, deren Daten er erfasst (Artikel 15 bis 22 der DSGVO), soweit die Art der Verarbeitung es zulässt. Der Kunde kann Datensätze in TagOrbit selbst finden, berichtigen und exportieren. Wo das nicht reicht, etwa um die Daten einer Person vollständig zu löschen, kann der Kunde uns schreiben, und wir unterstützen ihn.
• Sicherheit, Datenschutzverletzungen und Folgenabschätzungen. Wir unterstützen den Kunden bei der Erfüllung seiner Pflichten aus den Artikeln 32 bis 36 der DSGVO, unter Berücksichtigung der uns zur Verfügung stehenden Informationen. Diese Pflichten betreffen die Sicherheit, die Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und die vorherige Konsultation (die Aufsichtsbehörde vor einer Verarbeitung mit hohem Risiko fragen).
• Löschung oder Rückgabe. Nach dem Ende des Vertrags geben wir die Daten zurück oder löschen sie, wie Abschnitt 6 es beschreibt.
• Informationen und Überprüfungen. Wir stellen Informationen bereit und ermöglichen Überprüfungen, wie Abschnitt 7 es beschreibt.

4. Unterauftragsverarbeiter

Ein Unterauftragsverarbeiter ist ein anderes Unternehmen, das personenbezogene Daten des Kunden für uns verarbeitet, damit wir TagOrbit bereitstellen können.

• Der Kunde erteilt uns eine allgemeine Genehmigung, die Unterauftragsverarbeiter aus Anlage 3 einzusetzen.
• Bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informieren wir die Admins des Kunden per E-Mail, damit der Kunde Einspruch erheben kann.
• Erhebt der Kunde aus nachvollziehbaren Gründen des Datenschutzes Einspruch, suchen wir gemeinsam nach einer Lösung. Gibt es keine, kann der Kunde den Vertrag beenden.
• Jeder Unterauftragsverarbeiter ist vertraglich an dieselben Datenschutzpflichten gebunden, die dieser Vertrag festlegt. Für seine Arbeit haften wir dem Kunden gegenüber weiterhin in vollem Umfang.

5. Verletzungen des Schutzes personenbezogener Daten

Wenn eine Verletzung personenbezogene Daten betrifft, die wir für den Kunden verarbeiten, informieren wir den Kunden unverzüglich, nachdem sie uns bekannt geworden ist. Unsere Mitteilung beschreibt:

• was geschehen ist;
• die Art der Daten sowie die ungefähre Zahl der betroffenen Personen und Datensätze;
• die wahrscheinlichen Folgen;
• was wir dagegen getan haben oder zu tun vorschlagen;
• an wen man sich für weitere Informationen wenden kann.

Können wir nicht alles auf einmal mitteilen, stellen wir die Informationen schrittweise zur Verfügung, ohne unangemessene weitere Verzögerung.

6. Löschung und Rückgabe von Daten

• Der Kunde kann seine Daten jederzeit als CSV- oder Excel-Dateien exportieren.
• Wenn der Vertrag endet, erhält der Kunde zuerst die Gelegenheit, seine Daten zu exportieren. Danach löschen wir die personenbezogenen Daten, die wir für den Kunden verarbeiten, aus TagOrbit, sofern uns nicht das Recht der Europäischen Union oder eines Mitgliedstaats verpflichtet, sie aufzubewahren.
• Kopien in unseren täglichen Sicherungen werden nach 14 Tagen gelöscht, Kopien in unseren wöchentlichen Sicherungen nach 90 Tagen. Außerdem behalten wir eine Sicherung vom ersten Tag jedes Monats. Für diese monatlichen Sicherungen gibt es noch kein festes Enddatum.
• KI-Anfragen und Fehlerberichte werden spätestens nach 30 Tagen gelöscht, außerdem zusammen mit den Daten des Kunden, wenn diese gelöscht werden.
• Der Kunde kann uns schriftlich bitten, seine Daten früher zu löschen; dieser Bitte kommen wir nach.

7. Informationen und Überprüfungen

• Auf schriftliche Anfrage stellen wir dem Kunden die Informationen zur Verfügung, die er braucht, um zu prüfen, ob wir Artikel 28 der DSGVO einhalten. Dazu gehören eine Beschreibung unserer Sicherheitsmaßnahmen und die aktuelle Liste der Unterauftragsverarbeiter.
• Reichen diese Informationen nicht aus, kann der Kunde bei uns Überprüfungen durchführen, selbst oder durch einen unabhängigen Prüfer, der zur Vertraulichkeit verpflichtet und nicht unser Wettbewerber ist.
• Überprüfungen müssen mit angemessener Frist angekündigt werden, während der Geschäftszeiten stattfinden und unsere Arbeit nicht mehr als nötig stören.

8. Internationale Übermittlungen

Die Daten des Kunden werden in der Europäischen Union gespeichert, auf Servern der Hetzner Online GmbH in Nürnberg, Deutschland. Einige Unterauftragsverarbeiter aus Anlage 3 haben ihren Sitz in den Vereinigten Staaten.

Erhält ein Dienstleister außerhalb des Europäischen Wirtschaftsraums personenbezogene Daten, erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Vertragsklauseln, die die Kommission für diesen Zweck festgelegt hat) und, wenn der Dienstleister zertifiziert ist, auf Grundlage des Datenschutzrahmens EU-USA.

9. Haftung

Gegenüber den Personen, deren Daten verarbeitet werden, haftet jede Partei nach Artikel 82 der DSGVO. Zwischen dem Kunden und uns gelten die Haftungsbeschränkungen der Nutzungsbedingungen, soweit das Gesetz es erlaubt. Für die Arbeit unserer Unterauftragsverarbeiter haften wir dem Kunden gegenüber weiterhin in vollem Umfang.

10. Anwendbares Recht und Gerichtsstand

Für diesen Vertrag gilt griechisches Recht. Über Streitigkeiten aus diesem Vertrag entscheiden die zuständigen Gerichte in Athen, Griechenland.

Anlage 1: Einzelheiten der Verarbeitung

Gegenstand. Die Bereitstellung von TagOrbit für den Kunden.

Dauer. Solange der Vertrag besteht, zuzüglich der Löschfristen aus Abschnitt 6.

Art und Zweck. Wir speichern, ordnen, zeigen, durchsuchen, exportieren, sichern und löschen die Daten, die der Kunde in TagOrbit erfasst, und erstellen Berichte daraus. Wenn ein Nutzer eine KI-Funktion um Hilfe bittet, senden wir, was die Funktion braucht, an Anthropic und zeigen dem Nutzer die Antwort. Wir versenden Konto-E-Mails. Wir speichern KI-Anfragen und Fehlerberichte 30 Tage lang, um Probleme zu finden und zu beheben. Zweck ist es, dass der Kunde erfassen kann, was er besitzt, wer es hat, was es braucht und wann.

Art der personenbezogenen Daten. Alles, was der Kunde erfasst, zum Beispiel:

• die Namen, E-Mail-Adressen und Telefonnummern seiner Mitarbeitenden, Kunden und Lieferanten;
• der Verlauf der Zuweisungen: wer welchen Gegenstand wann hatte;
• Notizen und die Werte aller Felder, die der Kunde hinzufügt;
• Dokumente und Fotos, die er hochlädt, etwa Belege und Rechnungen;
• der Verlauf der Änderungen: wer welche Änderung wann vorgenommen hat, mit den Werten vorher und nachher;
• die Kontodaten der Nutzer des Kunden: Name, E-Mail-Adresse und Rolle;
• KI-Anfragen und Fehlerberichte, verknüpft mit dem Nutzer, von dem sie stammen, für 30 Tage.

Kategorien betroffener Personen.

• die Mitarbeitenden des Kunden;
• die Kunden, Lieferanten und anderen Kontakte des Kunden;
• die Personen, die der Kunde zur Nutzung von TagOrbit einlädt;
• jede andere Person, die der Kunde erfassen möchte.

Besondere Kategorien personenbezogener Daten. TagOrbit ist nicht für besondere Kategorien personenbezogener Daten ausgelegt, etwa Gesundheitsdaten (Artikel 9 der DSGVO). Der Kunde entscheidet, was er erfasst. Erfasst er solche Daten, ist er dafür verantwortlich, eine Rechtsgrundlage zu haben.

Anlage 2: Technische und organisatorische Maßnahmen

• Standort. Die Datenbank, die Dateien und die Sicherungen von TagOrbit liegen auf Servern der Hetzner Online GmbH in Nürnberg, Deutschland.
• Verschlüsselung bei der Übertragung. Alle Verbindungen nutzen HTTPS. Der Datenverkehr erreicht unsere Server über einen verschlüsselten Tunnel.
• Trennung der Kunden. Die Daten jedes Unternehmens werden durch Regeln in der Datenbank selbst von denen aller anderen Unternehmen getrennt (Sicherheit auf Zeilenebene), nicht nur durch die Anwendung.
• Rollen. Innerhalb eines Unternehmens begrenzen die Rollen Admin, Bearbeiter und Betrachter, wer was ändern darf.
• Verlauf. Jede Änderung wird protokolliert: wer sie vorgenommen hat, wann und mit welchen Werten vorher und nachher.
• Sicherungen. Wir sichern alle Daten jeden Tag. Tägliche Sicherungen werden 14 Tage aufbewahrt, wöchentliche Sicherungen 90 Tage. Außerdem behalten wir eine Sicherung vom ersten Tag jedes Monats. Für diese monatlichen Sicherungen gibt es noch kein festes Enddatum.
• KI-Funktionen. Sie senden nur, was die Funktion braucht. Die KI ändert Daten nie von selbst: Es entscheidet immer ein Nutzer. Es gibt ein tägliches Nutzungslimit pro Unternehmen.
• Supportdaten. KI-Anfragen und Fehlerberichte werden 30 Tage aufbewahrt und in der Anwendung nicht angezeigt.

Anlage 3: Unterauftragsverarbeiter

Diese Liste entspricht dem Stand vom Datum oben auf dieser Seite.

Fragen zu diesem Vertrag

Wenn Sie eine Frage zu diesem Vertrag haben, ein unterschriebenes Exemplar brauchen, Einspruch gegen einen Unterauftragsverarbeiter erheben oder eine Überprüfung vereinbaren möchten, schreiben Sie uns:

• ΑΦΟΙ ΚΑΛΟΦΟΡΙΔΗ ΟΕ (AFOI KALOFORIDI OE)
• Chr. Smirnis 67, 151 21 Athens, Greece
• Handelsregisternummer (Γ.Ε.ΜΗ.): 069222103000
• USt-IdNr. (Α.Φ.Μ.): 999267630
• E-Mail: info@tagpulse.ai