Auftragsverarbeitung (AV-Vertrag)

Vorbemerkung

Dieser Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO gilt zwischen der Nutzerin von brook. (nachfolgend „Auftraggeberin“) und suvus, Ramon Sinai, Gärtnerstraße 17, 24649 Wiemersdorf (nachfolgend „Auftragnehmer“). Er wird Teil des Nutzungsvertrags, sobald die Auftraggeberin den Nutzungsbedingungen zustimmt, und gilt in Textform.

1. Gegenstand, Dauer, Art und Zweck

Der Auftragnehmer stellt der Auftraggeberin die Software brook. bereit, mit der sie Anfragen, Angebote, Verträge, Zahlungen, Rechnungen, Ablaufpläne, Nachrichten und Fragebögen ihrer Kundinnen verwaltet. Dabei verarbeitet der Auftragnehmer personenbezogene Daten ausschließlich im Auftrag der Auftraggeberin. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

2. Art der Daten und Kreis der Betroffenen

• Betroffene: Interessentinnen und Kunden der Auftraggeberin sowie von ihnen genannte Ansprechpersonen.
• Datenarten: Name, E-Mail, Telefon, Termin und Ort, Wünsche und Freitexte, Nachrichten, Antworten aus Fragebögen, Angebots-, Vertrags- und Rechnungsdaten, Zahlungsstatus, Nachweis der Zustimmung (gesalzener Hash der IP-Adresse).
• Besondere Kategorien (Art. 9 DSGVO), etwa Gesundheitsdaten, sollen nicht verarbeitet werden. Die Auftraggeberin weist ihre Kundinnen darauf hin und fragt solche Daten nicht ab.

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung der Auftraggeberin. Die Nutzung der Funktionen der Software gilt als Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er die Auftraggeberin darauf hin.

4. Pflichten des Auftragnehmers

• Die zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.
• Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen.
• Er unterstützt die Auftraggeberin bei Anfragen Betroffener, bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen, soweit das im Rahmen der Software möglich ist. Funktionen für Auskunft, Export, Löschung und Anonymisierung sind in der Software enthalten.
• Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.
• Er stellt der Auftraggeberin die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und ermöglicht Überprüfungen in angemessenem Umfang nach rechtzeitiger Ankündigung.

5. Unterauftragsverarbeiter

Die Auftraggeberin stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens 14 Tage vorher in Textform. Die Auftraggeberin kann innerhalb dieser Frist aus wichtigem Grund widersprechen. Der Auftragnehmer verpflichtet seine Unterauftragsverarbeiter vertraglich zu einem Schutzniveau, das diesem Vertrag entspricht.

6. Drittlandübermittlung

Soweit Unterauftragsverarbeiter Daten in einem Drittland verarbeiten oder von dort darauf zugreifen können, sichert der Auftragnehmer die Übermittlung durch Standardvertragsklauseln oder einen Angemessenheitsbeschluss ab.

7. Löschung und Rückgabe

Nach Vertragsende kann die Auftraggeberin ihre Daten herunterladen (Export in der Software). Danach löscht der Auftragnehmer die Daten innerhalb von 30 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung entgegensteht. Die Auftraggeberin bleibt selbst für ihre eigenen Aufbewahrungspflichten verantwortlich.

8. Verantwortung der Auftraggeberin

Die Auftraggeberin ist Verantwortliche im Sinne der DSGVO. Sie stellt sicher, dass sie die Daten ihrer Kundinnen rechtmäßig erhebt und diese informiert. Dafür erzeugt brook. automatisch einen Datenschutzhinweis aus ihren Profildaten (unter /s/<Adresse>/datenschutz, verlinkt am Anfrageformular). Die Auftraggeberin prüft ihn und ergänzt ihn bei Bedarf selbst.

9. Haftung und Schlussbestimmungen

Für die Haftung gelten die gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO, im Übrigen die Regelung in den Nutzungsbedingungen. Es gilt deutsches Recht. Änderungen dieses Vertrags bedürfen der Textform.

Anlage 1: Technische und organisatorische Maßnahmen

• Mandantentrennung: Jede Auftraggeberin sieht nur ihre eigenen Daten (Row-Level-Security in der Datenbank, automatisiert getestet).
• Verschlüsselung: Übertragung nur über TLS; Passwörter werden nur als Hash gespeichert.
• Zugriff durch Kundinnen: nur über geheime Links mit mindestens 256 Bit Zufall, die in der Datenbank nur als Hash liegen, ablaufen und jederzeit widerrufen werden können.
• Schlüssel und Zugangsdaten liegen ausschließlich auf dem Server; der privilegierte Datenbankzugriff wird nicht an Browser ausgeliefert.
• Missbrauchsschutz: Begrenzung von Anfragen, Honeypot, gesalzene Hashes statt IP-Adressen.
• Unveränderlichkeit: Verträge, Zustimmungen und ausgestellte Rechnungen sind nach dem Festschreiben gegen Änderungen gesperrt.
• Datenminimierung und Löschkonzept: Anonymisierung nicht gebuchter Anfragen nach 12 Monaten; Export und Löschung je Person.
• Verfügbarkeit: Datenbank bei einem professionellen Anbieter mit Sicherungen; Wiederherstellung nach dem Stand des Anbieters.
• Protokollierung: Versand von Erinnerungen und sicherheitsrelevante Ereignisse werden protokolliert; Inhalte von Nachrichten stehen nicht in Benachrichtigungs-Mails.
• Prüfung: Automatisierte Tests für Zugriffsrechte, Kernabläufe und Datenschutzfunktionen.

Anlage 2: Unterauftragsverarbeiter

• Hosting der Anwendung: [Hosting-Anbieter noch eintragen]
• Supabase, Inc.: Datenbank und Anmeldung (Rechenzentrum Frankfurt am Main).
• Resend, Inc.: Versand von E-Mails (USA).
• Anthropic PBC: Auswertung hochgeladener Preislisten, nur wenn die Funktion genutzt wird (USA); keine Speicherung bei uns.
• Dienste der Browserhersteller: Zustellung von Push-Mitteilungen an Geräte der Auftraggeberin, nur nach Aktivierung.
• Stripe: Abwicklung des Abos der Auftraggeberin (eigene Verantwortung von Stripe für Zahlungsdaten).