Auftragsverarbeitungsvertrag

Verbindlich ist die slowakische Fassung. Die Übersetzung dient nur zur Information.

Vertrag über die Auftragsverarbeitung personenbezogener Daten

Dies ist eine Übersetzung. Verbindlich ist ausschließlich die slowakische Fassung.

Wirksam ab: 12.10.2026

Dieser Vertrag über die Auftragsverarbeitung personenbezogener Daten (im Folgenden „Auftragsverarbeitungsvertrag“) wird geschlossen zwischen der NUMIQ s.r.o. mit Sitz in Kominárska 1552/3A, Bratislava - mestská časť Nové Mesto 831 04, Slovenská republika, IČO 55 880 592, eingetragen im Obchodný register Mestského súdu Bratislava III (Handelsregister des Stadtgerichts Bratislava III), oddiel Sro (Abteilung Sro), vložka č. (Einlage Nr.) 174081/B (in diesem Auftragsverarbeitungsvertrag als „Gesellschaft“ bezeichnet, in der Rolle des Auftragsverarbeiters), und dem Nutzer (in der Rolle des Verantwortlichen für die personenbezogenen Daten). Grundlage sind Artikel 28 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr (im Folgenden „DSGVO“) sowie das Gesetz zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (Gesetz Nr. 18/2018 Slg. über den Schutz personenbezogener Daten und über die Änderung und Ergänzung einiger Gesetze in der jeweils geltenden Fassung).

Der Auftragsverarbeitungsvertrag ist gemäß Artikel XVIII Ziffer 2 und Artikel XXI Ziffer 10 der Allgemeinen Geschäftsbedingungen der Gesellschaft (im Folgenden „AGB“) ein untrennbarer Bestandteil der AGB. Er ist zudem Bestandteil des zwischen der Gesellschaft und dem Nutzer geschlossenen Vertrags. Er wird elektronisch durch Annahme der AGB im Verfahren nach Artikel III der AGB geschlossen. Eine Unterzeichnung durch die Vertragsparteien ist nicht erforderlich.

Artikel 1 - Einleitende Bestimmungen und Begriffe

  1. Mit Großbuchstaben beginnende Begriffe, die in diesem Auftragsverarbeitungsvertrag nicht gesondert definiert sind, haben die in Artikel I der AGB festgelegte Bedeutung. Dies gilt insbesondere für Gesellschaft, Nutzer, Kunde, Anwendung, Dienste, Konto, Informationen, Kalkulation, Preisangebot, Server, Website und Vertrag.

  2. Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“, „Drittland“ sowie weitere in diesem Auftragsverarbeitungsvertrag ohne gesonderte Definition verwendete Begriffe haben die Bedeutung nach Artikel 4 DSGVO.

  3. „Unterauftragsverarbeiter“ ist ein Subunternehmer, den die Gesellschaft gemäß Artikel 8 dieses Auftragsverarbeitungsvertrags mit der Verarbeitung personenbezogener Daten im Namen des Nutzers beauftragt. „Betroffene Personen“ sind die in Anlage 1 genannten Personen. „Personenbezogene Daten des Nutzers“ sind personenbezogene Daten Betroffener Personen, die der Nutzer in die Anwendung eingegeben, importiert, erstellt oder erstellen lassen hat oder die in der Anwendung im Zusammenhang mit der Nutzung der Dienste durch den Nutzer entstehen.

  4. Dieser Auftragsverarbeitungsvertrag regelt die Verarbeitung der Personenbezogenen Daten des Nutzers durch die Gesellschaft in der Rolle des Auftragsverarbeiters. Er gilt nicht für personenbezogene Daten, die die Gesellschaft als Verantwortlicher im eigenen Namen verarbeitet. Dazu gehören Daten des Nutzers, der im Namen des Nutzers handelnden Personen und der Besucher der Website, insbesondere Kontodaten, Anmeldedaten einschließlich der Anmeldung über ein Google- oder Apple-Konto, Rechnungs- und Zahlungsdaten sowie Analysedaten über die Nutzung der Anwendung. Diese Verarbeitungen richten sich nach der auf der Website abrufbaren Datenschutzerklärung.

  5. Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und den AGB in Fragen des Datenschutzes hat dieser Auftragsverarbeitungsvertrag Vorrang. In allen übrigen Fragen gelten die AGB.

Artikel 2 - Gegenstand, Art, Zweck und Dauer der Verarbeitung

  1. Gegenstand dieses Auftragsverarbeitungsvertrags ist die Verarbeitung der Personenbezogenen Daten des Nutzers durch die Gesellschaft im Namen des Nutzers in dem Umfang, der zur Erbringung der Dienste nach dem Vertrag erforderlich ist. Dies umfasst insbesondere:

    • die Speicherung von Daten über Kunden und Baustellenadressen,
    • die Erstellung von Kalkulationen und Preisangeboten und deren Versand an Kunden,
    • die Nachverfolgung, ob Preisangebote geöffnet und angenommen wurden,
    • den Import von Preislisten und Bewertungen des Nutzers,
    • den damit verbundenen technischen Support.

  2. Gegenstand, Art und Zweck der Verarbeitung, die Kategorien Betroffener Personen, die Kategorien personenbezogener Daten und die Dauer der Verarbeitung sind in Anlage 1 dieses Auftragsverarbeitungsvertrags im Einzelnen aufgeführt.

  3. Die Gesellschaft verarbeitet die Personenbezogenen Daten des Nutzers für die Dauer des Vertrags. Danach verarbeitet sie diese für die Zeit, die für ihre Löschung oder Anonymisierung gemäß Artikel 13 dieses Auftragsverarbeitungsvertrags erforderlich ist.

  4. Die Gesellschaft verarbeitet die Personenbezogenen Daten des Nutzers ausschließlich zu den in diesem Auftragsverarbeitungsvertrag und in den AGB genannten Zwecken. Die Gesellschaft verwendet die Personenbezogenen Daten des Nutzers nicht für eigene Zwecke. Ausgenommen ist ihre Verwendung in anonymisierter und aggregierter Form gemäß Artikel X Ziffer 8 der AGB. Bei dieser Verwendung ist eine Identifizierung des Nutzers oder des Kunden nicht möglich, und sie gilt nach der Anonymisierung nicht als Verarbeitung personenbezogener Daten.

Artikel 3 - Weisungen des Nutzers

  1. Die Gesellschaft verarbeitet die Personenbezogenen Daten des Nutzers nur auf Grundlage dokumentierter Weisungen des Nutzers. Als dokumentierte Weisungen des Nutzers gelten:
  • dieser Auftragsverarbeitungsvertrag und die AGB,
  • die vom Nutzer gewählten Einstellungen des Kontos und der Anwendung sowie die Handlungen des Nutzers in der Anwendung, zum Beispiel:
    • Speicherung von Daten über einen Kunden,
    • Eingabe einer Baustellenadresse,
    • Erstellung einer Kalkulation mithilfe des Kalkulanten,
    • Import einer Preisliste oder von Bewertungen,
    • Versand eines Preisangebots an einen Kunden,
    • Löschung von Daten,
  • weitere schriftliche Weisungen des Nutzers, die der Gesellschaft per E-Mail an support@numiq.com zugehen. Voraussetzung ist, dass sie die Verarbeitung nach diesem Auftragsverarbeitungsvertrag betreffen und mit dem Vertrag im Einklang stehen.

  1. Die Weisung des Nutzers umfasst auch die Übermittlung der Personenbezogenen Daten des Nutzers an die in Anlage 3 genannten Unterauftragsverarbeiter. Dies schließt die Übermittlung von Eingaben an die Dienste des Anbieters von Modellen künstlicher Intelligenz ein, soweit dies für die Erstellung einer Kalkulation oder sonstiger KI-Inhalte, für die Geokodierung von Baustellenadressen, für den Import von Bewertungen und für den Versand von E-Mails erforderlich ist. Ebenfalls umfasst ist die Übermittlung in Drittländer unter den Voraussetzungen des Artikels 9 dieses Auftragsverarbeitungsvertrags.

  2. Gelangt die Gesellschaft zu der Auffassung, dass eine Weisung des Nutzers gegen die DSGVO oder andere Datenschutzvorschriften der Europäischen Union oder eines Mitgliedstaats verstößt, weist sie den Nutzer unverzüglich darauf hin. Die Gesellschaft ist berechtigt, die Ausführung einer solchen Weisung auszusetzen, bis der Nutzer sie bestätigt oder ändert.

  3. Weisungen des Nutzers, die über die Funktionen der Anwendung und diesen Auftragsverarbeitungsvertrag hinausgehen, muss die Gesellschaft nur ausführen, wenn zwei Voraussetzungen erfüllt sind: Die Weisungen müssen technisch umsetzbar sein, und der Nutzer muss die damit verbundenen angemessenen Kosten erstatten, die die Gesellschaft ihm vorab mitteilt.

  4. Die Gesellschaft ist berechtigt, die Personenbezogenen Daten des Nutzers ohne Weisung des Nutzers zu verarbeiten, wenn sie nach dem Recht der Europäischen Union oder dem Recht der Slowakischen Republik dazu verpflichtet ist. In diesem Fall teilt die Gesellschaft dem Nutzer diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Artikel 4 - Pflichten der Gesellschaft

  1. Die Gesellschaft verpflichtet sich:
  • die Personenbezogenen Daten des Nutzers nur auf Grundlage dokumentierter Weisungen des Nutzers gemäß Artikel 3 dieses Auftragsverarbeitungsvertrags zu verarbeiten,
  • sicherzustellen, dass die zur Verarbeitung der Personenbezogenen Daten des Nutzers befugten Personen gemäß Artikel 6 dieses Auftragsverarbeitungsvertrags zur Vertraulichkeit verpflichtet sind,
  • technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO und Artikel 7 dieses Auftragsverarbeitungsvertrags zu treffen und aufrechtzuerhalten,
  • die Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern gemäß Artikel 8 dieses Auftragsverarbeitungsvertrags einzuhalten,
  • den Nutzer bei der Erfüllung seiner Pflichten gegenüber Betroffenen Personen gemäß Artikel 10 dieses Auftragsverarbeitungsvertrags zu unterstützen,
  • den Nutzer bei der Erfüllung seiner Pflichten nach den Artikeln 32 bis 36 DSGVO zu unterstützen, und zwar unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen,
  • die Personenbezogenen Daten des Nutzers nach Beendigung der Erbringung der Dienste gemäß Artikel 13 dieses Auftragsverarbeitungsvertrags zu löschen oder zu anonymisieren,
  • dem Nutzer die Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der Pflichten nach Artikel 28 DSGVO erforderlich sind, und Audits gemäß Artikel 12 dieses Auftragsverarbeitungsvertrags zu ermöglichen.

  1. Die Gesellschaft führt ein Verzeichnis der im Namen des Nutzers durchgeführten Verarbeitungstätigkeiten im Umfang nach Artikel 30 Abs. 2 DSGVO.

  2. Die Gesellschaft hat für Datenschutzfragen folgende Kontaktstelle eingerichtet: support@numiq.com. Benennt die Gesellschaft einen Datenschutzbeauftragten, veröffentlicht sie dessen Kontaktdaten auf der Website.

  3. Die Gesellschaft verkauft und vermietet die Personenbezogenen Daten des Nutzers nicht und legt sie Dritten nicht für deren eigene Zwecke offen. Die Gesellschaft verwendet die Personenbezogenen Daten des Nutzers nicht im eigenen Namen zum Training von Modellen künstlicher Intelligenz. Ausgenommen ist die Verwendung in anonymisierter und aggregierter Form gemäß Artikel X Ziffer 8 der AGB.

Artikel 5 - Pflichten und Erklärungen des Nutzers

  1. Der Nutzer ist Verantwortlicher für die Personenbezogenen Daten des Nutzers und ist für die Rechtmäßigkeit ihrer Verarbeitung verantwortlich. Dies umfasst insbesondere:

    • das Vorliegen einer Rechtsgrundlage nach Artikel 6 DSGVO,
    • die Erfüllung der Informationspflichten gegenüber Betroffenen Personen nach den Artikeln 13 und 14 DSGVO,
    • die Richtigkeit und Aktualität der personenbezogenen Daten,
    • die Rechtmäßigkeit der der Gesellschaft erteilten Weisungen.

  2. Der Nutzer darf in die Anwendung nur personenbezogene Daten eingeben, die zur Erbringung der Dienste erforderlich sind. Gemäß Artikel XI Ziffer 2 und Artikel XVIII Ziffer 3 der AGB darf er weder in die Anwendung noch in Eingaben für künstliche Intelligenz (einschließlich importierter Preislisten) folgende Daten eingeben:

    • besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO,
    • personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten oder Ordnungswidrigkeiten,
    • Geburtsnummern (rodné čísla),
    • Nummern von Ausweisdokumenten,
    • sonstige personenbezogene Daten, die für den jeweiligen Zweck nicht erforderlich sind.

  3. Der Nutzer ist dafür verantwortlich, dass Kunden und weitere Betroffene Personen über die Verarbeitung ihrer personenbezogenen Daten mittels der Anwendung informiert wurden. Dies umfasst den elektronischen Versand von Preisangeboten, die Nachverfolgung des Öffnens eines Preisangebots, die Geokodierung der Baustellenadresse, den Import von Bewertungen und den Einsatz von Werkzeugen künstlicher Intelligenz bei der Erstellung von Kalkulationen.

  4. Der Nutzer ist verpflichtet:

    • die Zugangsdaten zum Konto zu schützen,
    • die Berechtigungen der Personen zu verwalten, denen er Zugang zum Konto gewährt, sofern die Anwendung dies ermöglicht,
    • der Gesellschaft jeden Verdacht auf unbefugten Zugriff auf das Konto unverzüglich mitzuteilen.

  5. Der Nutzer nimmt zur Kenntnis, dass die Anwendung die selbstständige Löschung, Berichtigung und den Export von Kundendaten, Kalkulationen und Preisangeboten ermöglicht. Diese Werkzeuge sind das vorrangige Mittel zur Erfüllung der Pflichten des Nutzers gegenüber Betroffenen Personen.

  6. Der Nutzer ist verpflichtet, die Gesellschaft unverzüglich zu informieren, wenn er feststellt, dass die Verarbeitung nach diesem Auftragsverarbeitungsvertrag gegen Rechtsvorschriften verstößt. Gleiches gilt, wenn er von Umständen Kenntnis erlangt, die sich auf die Erfüllung der Pflichten der Gesellschaft nach diesem Auftragsverarbeitungsvertrag auswirken können.

Artikel 6 - Vertraulichkeit

  1. Die Gesellschaft stellt sicher, dass Mitarbeiter und sonstige zur Verarbeitung der Personenbezogenen Daten des Nutzers befugte Personen vertraglich oder gesetzlich zur Verschwiegenheit verpflichtet sind. Sie stellt ferner sicher, dass diese Personen über ihre Pflichten im Bereich des Datenschutzes belehrt wurden.

  2. Die Gesellschaft beschränkt den Zugang zu den Personenbezogenen Daten des Nutzers auf Personen, die diesen Zugang für folgende Zwecke benötigen: die Erbringung der Dienste und der Supportleistungen, die Wartung der Anwendung oder die Erfüllung rechtlicher Pflichten.

  3. Die Verschwiegenheitspflicht besteht auch nach Beendigung des Arbeits- oder sonstigen Verhältnisses der betreffenden Person mit der Gesellschaft und nach Beendigung dieses Auftragsverarbeitungsvertrags fort.

Artikel 7 - Sicherheit der Verarbeitung

  1. Die Gesellschaft trifft angemessene technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO und erhält diese aufrecht, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dabei berücksichtigt sie:

    • den Stand der Technik,
    • die Implementierungskosten,
    • Art, Umfang, Umstände und Zwecke der Verarbeitung,
    • die Risiken für die Rechte und Freiheiten der Betroffenen Personen.

  2. Die von der Gesellschaft getroffenen Maßnahmen sind in Anlage 2 dieses Auftragsverarbeitungsvertrags beschrieben. Die Gesellschaft ist berechtigt, die Maßnahmen laufend zu aktualisieren und zu verbessern, sofern das Gesamtschutzniveau der Verarbeitung dadurch nicht sinkt.

  3. Der Nutzer hat die in Anlage 2 genannten Maßnahmen geprüft und hält sie für angemessen im Hinblick auf die Risiken der Verarbeitung der Personenbezogenen Daten des Nutzers nach diesem Auftragsverarbeitungsvertrag. Benötigt der Nutzer aufgrund der Art seiner Daten ein höheres Schutzniveau, muss er dies mit der Gesellschaft erörtern, bevor er solche Daten in die Anwendung eingibt.

Artikel 8 - Unterauftragsverarbeiter

  1. Der Nutzer erteilt der Gesellschaft gemäß Artikel 28 Abs. 2 DSGVO eine allgemeine schriftliche Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern bei der Verarbeitung der Personenbezogenen Daten des Nutzers. Das Verzeichnis der zum Tag des Wirksamwerdens dieses Auftragsverarbeitungsvertrags hinzugezogenen Unterauftragsverarbeiter ist in Anlage 3 enthalten. Das jeweils aktuelle Verzeichnis ist auf der Website abrufbar.

  2. Die Gesellschaft schließt mit jedem Unterauftragsverarbeiter einen Vertrag oder ein anderes Rechtsinstrument. Darin werden dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt, die der Gesellschaft nach diesem Auftragsverarbeitungsvertrag obliegen. Dazu gehört insbesondere die Pflicht, hinreichende Garantien für geeignete technische und organisatorische Maßnahmen zu bieten. Als Unterauftragsverarbeiter gelten auch Anbieter, mit denen der Vertrag durch Annahme ihrer Standardbedingungen zur Datenverarbeitung (Data Processing Addendum) geschlossen wird.

  3. Die Gesellschaft teilt dem Nutzer jede beabsichtigte Änderung des Verzeichnisses der Unterauftragsverarbeiter (Hinzufügung oder Ersetzung) mindestens 15 Tage vor ihrem Wirksamwerden mit. Die Mitteilung erfolgt per E-Mail an die im Konto angegebene Adresse oder durch eine Mitteilung in der Anwendung. Gleichzeitig aktualisiert die Gesellschaft das Verzeichnis auf der Website. Ausnahmsweise kann die Gesellschaft einen Unterauftragsverarbeiter mit sofortiger Wirkung hinzuziehen, wenn die Änderung zur Gewährleistung der Sicherheit oder des Betriebs der Anwendung unerlässlich ist. In diesem Fall informiert sie den Nutzer unverzüglich.

  4. Der Nutzer ist berechtigt, der Hinzuziehung eines neuen Unterauftragsverarbeiters aus begründeten datenschutzrechtlichen Gründen zu widersprechen. Der Widerspruch ist innerhalb von 15 Tagen ab Mitteilung der Änderung per E-Mail an support@numiq.com zu richten. Einigen sich die Vertragsparteien nicht auf eine Lösung (zum Beispiel durch Deaktivierung der betroffenen Funktion der Anwendung), ist der Nutzer berechtigt, den Vertrag vor Wirksamwerden der Änderung im Verfahren nach Artikel XV der AGB mit sofortiger Wirkung zu kündigen. Der nicht genutzte Teil des Abonnements wird in diesem Fall anteilig erstattet. Widerspricht der Nutzer nicht innerhalb der genannten Frist und nutzt er die Dienste weiter, gilt seine Zustimmung zur Hinzuziehung des Unterauftragsverarbeiters als erteilt.

  5. Die Gesellschaft haftet gegenüber dem Nutzer für die Pflichterfüllung durch Unterauftragsverarbeiter in demselben Umfang, in dem sie für die eigene Pflichterfüllung nach diesem Auftragsverarbeitungsvertrag und den AGB haftet.

  6. Die folgenden Dienste verarbeiten ausschließlich Daten des Nutzers (insbesondere Rechnungs-, Zahlungs-, Anmelde- und Analysedaten), für die die Gesellschaft als Verantwortlicher handelt:

    • das Zahlungsgateway (Stripe),
    • die Anmeldung über ein Google- oder Apple-Konto,
    • die Analysewerkzeuge (Google Analytics 4).

    Ihre Verarbeitung richtet sich nach der auf der Website abrufbaren Datenschutzerklärung. Für die Verarbeitung der Personenbezogenen Daten des Nutzers (insbesondere der Daten von Kunden) werden diese Dienste nicht eingesetzt. Ihre Anbieter sind keine Unterauftragsverarbeiter im Sinne dieses Auftragsverarbeitungsvertrags.

Artikel 9 - Übermittlungen in Drittländer

  1. Die Gesellschaft speichert die Personenbezogenen Daten des Nutzers auf Servern in der Europäischen Union (Region Frankfurt, eu-central-1). Einige der in Anlage 3 genannten Unterauftragsverarbeiter haben ihren Sitz außerhalb des Europäischen Wirtschaftsraums oder verarbeiten Daten dort, insbesondere in den Vereinigten Staaten von Amerika und im Vereinigten Königreich. Bei einigen Unterauftragsverarbeitern ist der Ort der Verarbeitung nicht fest bestimmt.

  2. Eine Übermittlung der Personenbezogenen Daten des Nutzers in ein Drittland oder an eine internationale Organisation erfolgt nur unter den Voraussetzungen des Kapitels V DSGVO, insbesondere:

  • auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission. Dazu zählen der Durchführungsbeschluss (EU) 2023/1795 der Kommission über den Datenschutzrahmen EU-USA (EU-US Data Privacy Framework), sofern der Empfänger nach diesem Rahmen zertifiziert ist, sowie der Angemessenheitsbeschluss für das Vereinigte Königreich, oder
  • auf Grundlage der von der Europäischen Kommission erlassenen Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission), bei Bedarf ergänzt um zusätzliche Maßnahmen, oder
  • auf Grundlage eines anderen Übermittlungsinstruments nach den Artikeln 46 bis 49 DSGVO.

  1. Der Nutzer beauftragt die Gesellschaft hiermit, in seinem Namen mit den Unterauftragsverarbeitern die Standardvertragsklauseln oder sonstigen Übermittlungsinstrumente abzuschließen, die zur Gewährleistung der Rechtmäßigkeit der Übermittlungen nach diesem Artikel erforderlich sind. Auf Anfrage des Nutzers teilt die Gesellschaft mit, welches Übermittlungsinstrument bei einem bestimmten Unterauftragsverarbeiter verwendet wird.

  2. Ist ein bei einem Unterauftragsverarbeiter verwendetes Übermittlungsinstrument keine gültige Übermittlungsgrundlage mehr, sorgt die Gesellschaft unverzüglich für ein Ersatzinstrument oder beendet die Hinzuziehung des Unterauftragsverarbeiters.

Artikel 10 - Rechte der Betroffenen Personen und Unterstützung

  1. Die Gesellschaft unterstützt den Nutzer unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflicht, Anträge Betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO zu beantworten. Dies betrifft insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

  2. Die Unterstützung nach Ziffer 1 leistet die Gesellschaft vorrangig über Funktionen der Anwendung, mit denen der Nutzer Kundendaten selbstständig einsehen, berichtigen, exportieren und löschen kann. Kann ein Antrag einer Betroffenen Person nicht über die Funktionen der Anwendung bearbeitet werden, leistet die Gesellschaft dem Nutzer auf dessen schriftliche Anfrage die erforderliche Unterstützung. Dies geschieht unverzüglich, in der Regel innerhalb von 10 Arbeitstagen.

  3. Wendet sich eine Betroffene Person mit einem Antrag auf Wahrnehmung ihrer Rechte direkt an die Gesellschaft und betrifft der Antrag Personenbezogene Daten des Nutzers, gilt Folgendes:

    • Die Gesellschaft antwortet der Betroffenen Person nicht in der Sache.
    • Sie leitet den Antrag unverzüglich an den Nutzer weiter, sofern dieser identifiziert werden kann.
    • Sie informiert die Betroffene Person darüber, dass der Antrag an den Verantwortlichen weitergeleitet wurde.

    Dies gilt nicht, wenn die Gesellschaft nach Rechtsvorschriften verpflichtet ist, direkt zu antworten.

  4. Die Gesellschaft unterstützt den Nutzer unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen bei der Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO und bei der vorherigen Konsultation der Aufsichtsbehörde nach Artikel 36 DSGVO. Voraussetzung ist, dass diese die Verarbeitung nach diesem Auftragsverarbeitungsvertrag betreffen.

  5. Die Gesellschaft ist berechtigt, die Erstattung angemessener Kosten zu verlangen, die sie dem Nutzer vorab mitteilt, wenn die Unterstützung nach diesem Artikel

    • im Hinblick auf Art und Preis der Dienste über den üblichen Umfang hinausgeht oder
    • durch ein Verhalten des Nutzers veranlasst wird, das gegen diesen Auftragsverarbeitungsvertrag verstößt.

Artikel 11 - Verletzung des Schutzes personenbezogener Daten

  1. Die Gesellschaft meldet dem Nutzer eine Verletzung des Schutzes der Personenbezogenen Daten des Nutzers unverzüglich, nachdem sie davon Kenntnis erlangt hat, spätestens jedoch innerhalb von 48 Stunden nach ihrer Feststellung. Die Meldung erfolgt per E-Mail an die im Konto angegebene Adresse.

  2. Die Meldung enthält, soweit der Gesellschaft zum Zeitpunkt der Meldung entsprechende Informationen vorliegen, insbesondere:

  • eine Beschreibung der Art der Verletzung, nach Möglichkeit mit Angabe der Kategorien und der ungefähren Zahl der Betroffenen Personen und der Datensätze,
  • die wahrscheinlichen Folgen der Verletzung,
  • die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Folgen,
  • eine Kontaktstelle für weitere Informationen.

  1. Können nicht alle Informationen gleichzeitig bereitgestellt werden, stellt die Gesellschaft sie schrittweise und unverzüglich nach ihrer Feststellung bereit.

  2. Die Gesellschaft unterstützt den Nutzer bei der Erfüllung seiner Pflichten, die Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde nach Artikel 33 DSGVO zu melden und die Betroffenen Personen nach Artikel 34 DSGVO zu benachrichtigen. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen Personen nimmt der Nutzer als Verantwortlicher vor. Die Gesellschaft nimmt sie nur auf ausdrückliche Weisung des Nutzers vor oder wenn sie durch Rechtsvorschriften dazu verpflichtet ist.

  3. Die Gesellschaft dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich der damit zusammenhängenden Tatsachen, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Auf Anfrage stellt sie dem Nutzer diese Informationen zur Verfügung.

  4. Eine Meldung einer Verletzung des Schutzes personenbezogener Daten nach diesem Artikel gilt weder als Anerkenntnis einer Verantwortung der Gesellschaft für die Verletzung noch als Anerkenntnis einer Haftung für einen daraus entstandenen Schaden.

Artikel 12 - Audits und Nachweis der Einhaltung

  1. Die Gesellschaft stellt dem Nutzer auf dessen schriftliche Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Artikel 28 DSGVO und nach diesem Auftragsverarbeitungsvertrag erforderlich sind. Der Nachweis erfolgt vorrangig durch Bereitstellung folgender Unterlagen:

    • schriftliche Informationen,
    • eine Beschreibung der getroffenen Maßnahmen,
    • Ergebnisse interner Kontrollen,
    • verfügbare Zertifikate, Auditberichte oder sonstige Konformitätsnachweise der Unterauftragsverarbeiter (zum Beispiel SOC 2, ISO/IEC 27001), sofern sie der Gesellschaft vorliegen und die Bedingungen der Unterauftragsverarbeiter ihre Offenlegung gestatten.

  2. Reichen die Informationen nach Ziffer 1 begründeterweise nicht zum Nachweis der Einhaltung aus, ist der Nutzer berechtigt, ein Audit oder eine Kontrolle der Verarbeitung nach diesem Auftragsverarbeitungsvertrag durchzuführen. Dies kann er selbst oder durch einen zur Verschwiegenheit verpflichteten unabhängigen Prüfer tun. Es gelten folgende Bedingungen:

  • Das Audit ist der Gesellschaft mindestens 30 Tage im Voraus schriftlich anzukündigen. Dabei sind Umfang, Gegenstand und voraussichtliche Dauer des Audits anzugeben.
  • Das Audit wird höchstens einmal alle 12 Monate durchgeführt. Ausgenommen sind Audits, die durch eine Verletzung des Schutzes personenbezogener Daten oder durch eine Anforderung der Aufsichtsbehörde veranlasst werden.
  • Das Audit wird während der üblichen Geschäftszeiten durchgeführt, und zwar so, dass der Betrieb der Gesellschaft nicht unangemessen gestört wird. Es ist auf die Verarbeitung der Personenbezogenen Daten des Nutzers beschränkt.
  • Der Prüfer darf kein Wettbewerber der Gesellschaft sein. Er muss vor Beginn des Audits mit der Gesellschaft eine Vertraulichkeitsvereinbarung abschließen.
  • Die Kosten des Audits trägt der Nutzer, einschließlich angemessener Kosten der Gesellschaft für ihre Mitwirkung am Audit. Dies gilt nicht, wenn das Audit einen wesentlichen Verstoß der Gesellschaft gegen diesen Auftragsverarbeitungsvertrag ergibt.

  1. Das Audit erstreckt sich nicht auf Räumlichkeiten und Systeme der Unterauftragsverarbeiter. Insoweit wird die Einhaltung durch Nachweise nach Ziffer 1 sowie durch die Kontrollrechte belegt, die der Gesellschaft gegenüber den Unterauftragsverarbeitern zustehen.

  2. Die Vertragsparteien vereinbaren, dass die im Rahmen des Audits gewonnenen Informationen vertraulich sind. Der Nutzer verwendet sie ausschließlich zum Nachweis der Einhaltung der DSGVO. Der Nutzer stellt der Gesellschaft eine Kopie des Auditberichts zur Verfügung.

  3. Das Recht der Aufsichtsbehörde, Kontrollen nach den Rechtsvorschriften durchzuführen, bleibt von diesem Artikel unberührt.

Artikel 13 - Laufzeit, Beendigung und Löschung personenbezogener Daten

  1. Dieser Auftragsverarbeitungsvertrag wird für die Laufzeit des Vertrags geschlossen. Mit Beendigung des Vertrags, gleich aus welchem Grund, endet auch dieser Auftragsverarbeitungsvertrag. Ausgenommen sind Bestimmungen, die ihrer Natur nach über die Beendigung hinaus fortgelten sollen, insbesondere die Bestimmungen über Vertraulichkeit, Löschung personenbezogener Daten, Haftung und anwendbares Recht.

  2. Vor Beendigung des Vertrags ist der Nutzer verpflichtet, alle Personenbezogenen Daten des Nutzers und Informationen, die er behalten möchte, gemäß Artikel XV Ziffer 5 der AGB aus der Anwendung zu exportieren. Hierfür nutzt er die Funktionen der Anwendung, insbesondere den Export als PDF oder in ein anderes verfügbares Format. Auf eine vor Beendigung des Vertrags zugegangene Anfrage des Nutzers leistet die Gesellschaft angemessene Unterstützung beim Datenexport.

  3. Nach Beendigung des Vertrags löscht die Gesellschaft die Personenbezogenen Daten des Nutzers gemäß Artikel XV Ziffer 6 der AGB oder anonymisiert sie unumkehrbar, und zwar spätestens innerhalb von 90 Tagen ab dem Tag der Beendigung des Vertrags. Sie sorgt zudem für deren Löschung bei den Unterauftragsverarbeitern innerhalb der Fristen nach deren Bedingungen. Die Gesellschaft löscht vorhandene Kopien. Ausgenommen sind:

  • Daten, zu deren Aufbewahrung die Gesellschaft nach dem Recht der Europäischen Union oder der Slowakischen Republik verpflichtet oder berechtigt ist, insbesondere Buchhaltungs- und Steuerbelege,
  • Daten, die zur Feststellung, Geltendmachung oder Verteidigung von Rechtsansprüchen erforderlich sind,
  • Sicherungskopien, die im Rahmen des üblichen Rotationszyklus der Datensicherungen gelöscht werden, spätestens jedoch innerhalb von 90 Tagen nach Beendigung des Vertrags. Der Zugriff auf sie ist ausschließlich auf die Systemwiederherstellung beschränkt.

  1. Für die nach Ziffer 3 aufbewahrten Daten gelten nach Beendigung des Vertrags weiterhin die Vertraulichkeits- und Sicherheitspflichten nach diesem Auftragsverarbeitungsvertrag. Die Gesellschaft verarbeitet sie zu keinem anderen Zweck.

  2. Auf Anfrage des Nutzers bestätigt die Gesellschaft schriftlich die Durchführung der Löschung nach Ziffer 3.

Artikel 14 - Haftung

  1. Jede Vertragspartei haftet gemäß Artikel 82 DSGVO für Schäden, die durch die Verletzung ihrer Pflichten nach diesem Auftragsverarbeitungsvertrag und der DSGVO verursacht werden. Die Gesellschaft haftet für einen durch die Verarbeitung verursachten Schaden nur in folgenden Fällen:

    • Sie ist den speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen, oder
    • sie hat unter Nichtbeachtung oder gegen die rechtmäßigen Weisungen des Nutzers gehandelt.

  2. Die Haftung der Gesellschaft gegenüber dem Nutzer für Schäden nach diesem Auftragsverarbeitungsvertrag richtet sich nach Artikel XIII der AGB, einschließlich der Begrenzung der Gesamthöhe des Schadensersatzes und des Ausschlusses mittelbarer Schäden und Folgeschäden. Dies gilt, soweit zwingende Bestimmungen der DSGVO oder anderer Rechtsvorschriften nichts anderes vorsehen. Die Haftungsbeschränkungen gelten nicht für Schadensersatz gegenüber Betroffenen Personen nach Artikel 82 DSGVO, soweit dieser nicht beschränkt werden kann.

  3. Der Nutzer haftet gegenüber der Gesellschaft gemäß Artikel XVI der AGB für Schäden, Geldbußen und Kosten, die der Gesellschaft infolge der Verletzung der Pflichten des Nutzers als Verantwortlicher entstehen. Dies gilt insbesondere in folgenden Fällen:

    • Fehlen einer Rechtsgrundlage für die Verarbeitung,
    • Nichterfüllung der Informationspflichten gegenüber Betroffenen Personen,
    • Eingabe personenbezogener Daten entgegen Artikel 5 dieses Auftragsverarbeitungsvertrags,
    • Erteilung rechtswidriger Weisungen.

  4. Verhängt die Aufsichtsbehörde gegen eine Vertragspartei eine Geldbuße für einen Verstoß, für den die andere Vertragspartei verantwortlich ist, ist die andere Vertragspartei verpflichtet, ihr den entstandenen Nachteil zu ersetzen, soweit die Rechtsvorschriften dies zulassen.

Artikel 15 - Schlussbestimmungen

  1. Dieser Auftragsverarbeitungsvertrag tritt an dem in seiner Kopfzeile angegebenen Tag in Kraft und wird an diesem Tag wirksam. Im Verhältnis zu einem bestimmten Nutzer wird er mit dem Zeitpunkt der Annahme der AGB im Verfahren nach Artikel III der AGB wirksam. Für Nutzer, die den Vertrag vor diesem Tag geschlossen haben, wird er im Verfahren nach Artikel XX der AGB wirksam.

  2. Die Gesellschaft ist berechtigt, diesen Auftragsverarbeitungsvertrag im Verfahren nach Artikel XX der AGB zu ändern. Gründe hierfür sind insbesondere Änderungen von Rechtsvorschriften, Entscheidungen von Aufsichtsbehörden, Änderungen des Umfangs der Dienste oder Änderungen der Unterauftragsverarbeiter. Änderungen der Anlage 3 werden im Verfahren nach Artikel 8 dieses Auftragsverarbeitungsvertrags mitgeteilt.

  3. Dieser Auftragsverarbeitungsvertrag und die sich daraus ergebenden Rechtsverhältnisse unterliegen der Rechtsordnung der Slowakischen Republik, insbesondere der DSGVO und dem Gesetz zákon č. 18/2018 Z. z. o ochrane osobných údajov (Gesetz Nr. 18/2018 Slg. über den Schutz personenbezogener Daten). Über Streitigkeiten aus diesem Auftragsverarbeitungsvertrag entscheiden die Gerichte der Slowakischen Republik. Die Zuständigkeit bestimmt sich nach Artikel XXI Ziffer 3 der AGB.

  4. Ist oder wird eine Bestimmung dieses Auftragsverarbeitungsvertrags unwirksam, nichtig oder nicht durchsetzbar, berührt dies die übrigen Bestimmungen nicht. Die unwirksame Bestimmung wird durch eine Bestimmung ersetzt, die ihrem Zweck und den Anforderungen des Artikels 28 DSGVO am nächsten kommt.

  5. Ergeben sich für einen Nutzer mit Sitz in einem anderen Mitgliedstaat der Europäischen Union oder des Europäischen Wirtschaftsraums aus dem Recht dieses Staates zusätzliche Anforderungen an den Inhalt eines Vertrags mit einem Auftragsverarbeiter, verpflichten sich die Vertragsparteien, auf Verlangen des Nutzers einen Nachtrag abzuschließen, der diese Anforderungen berücksichtigt.

  6. Dieser Auftragsverarbeitungsvertrag ist in slowakischer Sprache abgefasst. Die Gesellschaft kann Übersetzungen davon zur Verfügung stellen. Bei Abweichungen hat die slowakische Fassung Vorrang.

  7. Untrennbare Bestandteile dieses Auftragsverarbeitungsvertrags sind:

    • Anlage 1 (Gegenstand, Art und Zweck der Verarbeitung),
    • Anlage 2 (Technische und organisatorische Maßnahmen),
    • Anlage 3 (Verzeichnis der Unterauftragsverarbeiter).

Anlage 1 - Gegenstand, Art und Zweck der Verarbeitung

Gegenstand der Verarbeitung: Verarbeitung personenbezogener Daten von Kunden und weiteren Betroffenen Personen im Namen und nach Weisung des Nutzers. Erfasst sind Daten, die der Nutzer in die Anwendung eingibt oder importiert oder die in der Anwendung bei der Nutzung der Dienste entstehen.

Art der Verarbeitung: Die Verarbeitung erfolgt mit automatisierten Mitteln über die Anwendung und umfasst:

  • Erheben, Erfassen, Ordnen und Speichern,
  • Abfragen und Verwenden zur Erstellung von Kalkulationen und Preisangeboten,
  • Geokodierung von Baustellenadressen,
  • Import und Verarbeitung von Preislisten und Bewertungen,
  • Übermittlung an Unterauftragsverarbeiter, soweit dies zur Erbringung der Dienste erforderlich ist,
  • Bereitstellung für Kunden per Link oder E-Mail nach Weisung des Nutzers,
  • Datensicherung, Einschränkung, Löschung und Anonymisierung.

Zweck der Verarbeitung: Erbringung der Dienste nach dem Vertrag, insbesondere:

  • Verwaltung von Daten über Kunden, Baustellenadressen und Projekte des Nutzers in der Anwendung,
  • Erstellung von Kalkulationen, einschließlich KI-gestützter Kalkulationen (Kalkulant), und Geokodierung der Baustellenadresse zur Bestimmung der Region,
  • Import von Preislisten des Nutzers (einschließlich Fotos, PDF- und Word-Dokumenten) und deren KI-gestützte Verarbeitung,
  • Import von Google-Bewertungen des Unternehmens des Nutzers und deren KI-gestützte Verarbeitung zur Anzeige in Preisangeboten und Präsentationsmaterialien des Nutzers,
  • Erstellung, Versand, Freigabe und Export von Preisangeboten sowie Nachverfolgung, ob der Kunde sie geöffnet und online angenommen hat,
  • Versand von E-Mail-Benachrichtigungen im Zusammenhang mit Preisangeboten,
  • Datensicherung, Absicherung und technischer Support der Anwendung.

Kategorien Betroffener Personen:

  • Kunden des Nutzers (natürliche Personen oder Kontaktpersonen juristischer Personen), an die der Nutzer Preisangebote richtet oder mit denen er Kalkulationen teilt,
  • Mitarbeiter, freie Mitarbeiter und sonstige zur Vertretung des Nutzers befugte Personen, sofern der Nutzer ihre Daten in die Anwendung eingibt (zum Beispiel in ein Preisangebot oder in die Kontoeinstellungen),
  • Verfasser von Bewertungen des Unternehmens des Nutzers (Rezensenten), deren Bewertungen der Nutzer aus Google in die Anwendung importiert,
  • Personen, deren Daten in vom Nutzer importierten Preislisten enthalten sind (zum Beispiel Kontaktpersonen von Lieferanten), sofern die Preislisten solche Daten enthalten,
  • sonstige Personen, deren Daten der Nutzer in die Anwendung eingibt (zum Beispiel Kontaktpersonen auf der Baustelle).

Kategorien personenbezogener Daten:

  • Identifikations- und Kontaktdaten: Vorname, Nachname, Firma, Anschrift, E-Mail-Adresse, Telefonnummer,
  • Projektdaten:
    • Adresse der Baustelle oder des Ausführungsorts (einschließlich ihrer Geokodierung zur Bestimmung der Region),
    • Beschreibung und Umfang des Projekts,
    • Inhalt von Kalkulationen und Preisangeboten einschließlich Preisen, Aufmaßen, Zeitplan und Ratenzahlungsplan,
  • Daten aus Bewertungen: Name oder Pseudonym des Rezensenten, Bewertungstext, Bewertung und Datum der Bewertung im aus Google importierten Umfang,
  • importierte Preislisten: Inhalt der vom Nutzer hochgeladenen Preislisten (einschließlich Fotos, PDF- und Word-Dokumenten), sofern sie personenbezogene Daten enthalten, zum Beispiel Namen oder Kontaktdaten von Lieferanten,
  • in Kalkulationen und Preisangebote eingefügte Daten über das Unternehmen des Nutzers: Name, Anschrift, Logo, Unternehmensbeschreibung und Kontaktdaten, sofern der Nutzer sie angibt,
  • Kommunikationsdaten: Anmerkungen des Kunden beim Anzeigen oder Annehmen des Preisangebots, Information über die Annahme des Preisangebots,
  • technische Interaktionsdaten: Datum und Uhrzeit des Öffnens des Preisangebots, gegebenenfalls IP-Adresse sowie grundlegende Daten über Gerät und Browser des Kunden. Diese Daten werden nur in dem Umfang verarbeitet, der zur Nachverfolgung des Öffnens und zur Absicherung des Zugriffs über den Link erforderlich ist,
  • Daten über Mitarbeiter und freie Mitarbeiter des Nutzers: Name, Funktion, Kontaktdaten, sofern der Nutzer sie angibt.

Besondere Kategorien personenbezogener Daten: werden nicht verarbeitet. Der Nutzer verpflichtet sich, keine besonderen Kategorien personenbezogener Daten in die Anwendung einzugeben.

Dauer der Verarbeitung: für die Laufzeit des Vertrags und anschließend bis zur Löschung oder Anonymisierung gemäß Artikel 13 dieses Auftragsverarbeitungsvertrags, spätestens bis 90 Tage nach Beendigung des Vertrags. Die Ausnahmen nach Artikel 13 Ziffer 3 bleiben unberührt. Der Nutzer kann Kundendaten, Kalkulationen, Preisangebote, importierte Preislisten und Bewertungen während der Laufzeit des Vertrags jederzeit selbst in der Anwendung löschen.

Anlage 2 - Technische und organisatorische Maßnahmen

Die Gesellschaft hat insbesondere die folgenden technischen und organisatorischen Maßnahmen getroffen und erhält diese aufrecht:

1. Verschlüsselung

  • Die Personenbezogenen Daten des Nutzers werden bei der Übertragung zwischen dem Gerät des Nutzers bzw. des Kunden und dem Server mittels TLS-Protokoll verschlüsselt.
  • In der Datenbank, im Dateispeicher und in Datensicherungen gespeicherte Daten werden im Ruhezustand verschlüsselt (Encryption at Rest). Hierfür werden Werkzeuge des Anbieters der Cloud-Infrastruktur eingesetzt.
  • Passwörter der Nutzer werden ausschließlich als kryptografischer Hashwert (Hash) gespeichert.

2. Datentrennung und Steuerung des Zugriffs auf Informationen

  • Der Zugriff auf Daten in der Datenbank wird durch Sicherheitsrichtlinien auf Zeilenebene (Row Level Security) gesteuert. Diese stellen sicher, dass der Nutzer ausschließlich auf seine eigenen Informationen und die Daten seiner eigenen Kunden zugreifen kann.
  • Preisangebote werden Kunden über eindeutige, schwer zu erratende Links bereitgestellt. Der Zugriff auf ein Preisangebot ist auf die Daten des jeweiligen Preisangebots beschränkt.

3. Steuerung des Personenzugriffs

  • Zugriff auf Produktivsysteme und Personenbezogene Daten des Nutzers haben nur beauftragte Personen der Gesellschaft, und zwar in dem zur Erfüllung ihrer Aufgaben erforderlichen Umfang (Prinzip der minimalen Berechtigungen).
  • Administratorzugänge sind durch starke Passwörter geschützt. Sofern das jeweilige System dies ermöglicht, ist zusätzlich eine Mehrfaktor-Authentifizierung eingerichtet.
  • Zugriffsberechtigungen werden regelmäßig überprüft und nach Beendigung der Zusammenarbeit mit einer Person unverzüglich entzogen.
  • Der Zugang des Nutzers zum Konto ist durch E-Mail-Adresse und ein Passwort gesichert, das den Anforderungen der Gesellschaft entspricht. Alternativ ist eine Anmeldung über ein Drittanbieterkonto (Google oder Apple) möglich.

4. Datensicherung und Verfügbarkeit

  • Die Datenbank wird regelmäßig automatisch über den Anbieter der Cloud-Infrastruktur gesichert. Die Datensicherungen sind verschlüsselt, und der Zugriff darauf ist beschränkt.
  • Datensicherungen werden für einen begrenzten Zeitraum aufbewahrt und nach dessen Ablauf automatisch überschrieben oder gelöscht.
  • Datenbank, Dateispeicher und Authentifizierungsdienste werden in einem Rechenzentrum in der Europäischen Union (Region Frankfurt, eu-central-1) betrieben. Das Rechenzentrum verfügt über Maßnahmen der physischen Sicherheit, Redundanz und Überwachung.
  • Serverfunktionen und die Auslieferung der Inhalte der Anwendung erfolgen über das globale Netzwerk des Hosting-Anbieters.

5. Protokollierung und Überwachung

  • Zugriffe auf Systeme, Authentifizierungsereignisse und wesentliche Datenoperationen werden in Protokollen mit beschränktem Zugriff aufgezeichnet.
  • Die Gesellschaft überwacht die Verfügbarkeit und Sicherheitsereignisse der Anwendung und nutzt die Sicherheitswarnungen der Infrastrukturanbieter.
  • Die Anwendung setzt Begrenzungen der Anzahl von Anfragen (Rate Limiting) und weitere Maßnahmen gegen automatisierten Missbrauch ein.

6. Datenminimierung beim Einsatz künstlicher Intelligenz und externer Dienste

  • An die Dienste des Anbieters von Modellen künstlicher Intelligenz (über Lovable AI aufgerufene Google-Gemini-Modelle) werden nur Eingaben übermittelt, die zur Erstellung einer Kalkulation oder sonstiger KI-Inhalte erforderlich sind. Dazu gehören insbesondere:

    • Projektparameter, Raum, Gewerk und Ort,
    • Antworten des Nutzers im Assistenten,
    • importierte Preislisten,
    • Daten über das Unternehmen des Nutzers,
    • Bewertungstexte.

    Identifikations- und Kontaktdaten von Kunden werden nicht in die Eingaben übernommen, es sei denn, der Nutzer fügt sie selbst in die Eingabe ein.

  • Die Gesellschaft nutzt ausschließlich für Geschäftskunden bestimmte Schnittstellen (API) der Anbieter von Modellen künstlicher Intelligenz. Bei diesen verwendet der Anbieter nach seinen Vertragsbedingungen Eingaben und Ausgaben nicht zum Training seiner Modelle.

  • An Geokodierungsdienste wird ausschließlich die Baustellenadresse ohne Identifikationsdaten des Kunden übermittelt. An den Dienst für den Import von Bewertungen werden ausschließlich Name und Anschrift des Unternehmens des Nutzers übermittelt.

  • Der Nutzer wird in der Anwendung auf die Pflicht hingewiesen, in Eingaben für künstliche Intelligenz keine personenbezogenen Daten über den erforderlichen Umfang hinaus einzugeben.

7. Organisatorische Maßnahmen

  • Zur Verarbeitung der Personenbezogenen Daten des Nutzers befugte Personen sind zur Verschwiegenheit verpflichtet und über die Grundsätze des Datenschutzes und der Datensicherheit belehrt.
  • Die Gesellschaft verfügt über ein Verfahren zur Behandlung von Sicherheitsvorfällen und Verletzungen des Schutzes personenbezogener Daten. Dieses umfasst deren Dokumentation und Meldung an den Nutzer.
  • Unterauftragsverarbeiter werden unter Berücksichtigung der von ihnen gebotenen Sicherheitsgarantien ausgewählt (insbesondere Zertifizierungen nach SOC 2 oder ISO/IEC 27001). Sie sind an vertragliche Bedingungen zur Datenverarbeitung gebunden.
  • Änderungen der Anwendung werden vor der Inbetriebnahme in der Produktivumgebung getestet. Abhängigkeiten und Infrastruktur werden laufend aktualisiert.

8. Löschung von Daten

  • Der Nutzer kann Kundendaten, Kalkulationen, Preisangebote, importierte Preislisten und Bewertungen jederzeit in der Anwendung löschen.
  • Nach Beendigung des Vertrags löscht die Gesellschaft die Personenbezogenen Daten des Nutzers oder anonymisiert sie unumkehrbar, und zwar spätestens innerhalb von 90 Tagen gemäß Artikel XV Ziffer 6 der AGB und Artikel 13 dieses Auftragsverarbeitungsvertrags. Die in diesem Auftragsverarbeitungsvertrag genannten Ausnahmen bleiben unberührt.

Anlage 3 - Verzeichnis der Unterauftragsverarbeiter

Die Gesellschaft zieht zum Tag des Wirksamwerdens dieses Auftragsverarbeitungsvertrags die nachfolgend aufgeführten Unterauftragsverarbeiter hinzu. Das aktuelle Verzeichnis der Unterauftragsverarbeiter einschließlich etwaiger Änderungen wird zusammen mit diesem Auftragsverarbeitungsvertrag auf der Website veröffentlicht. Änderungen des Verzeichnisses werden im Verfahren nach Artikel 8 dieses Auftragsverarbeitungsvertrags mitgeteilt.

1. Supabase, Inc. (über Lovable Cloud)

  • Sitz: Vereinigte Staaten von Amerika
  • Zweck der Verarbeitung: Datenbank, Authentifizierung der Nutzer, Dateispeicher, geplante Aufgaben, Datensicherung
  • Datenkategorien: alle in der Anwendung gespeicherten Daten (Kundendaten, Baustellenadressen, Kalkulationen, Preisangebote, importierte Preislisten, Bewertungen, Logos und weitere Dateien)
  • Ort der Verarbeitung: Europäische Union, Region Frankfurt (eu-central-1). Unterstützende und administrative Tätigkeiten können in den USA stattfinden.
  • Übermittlungsinstrument: EU-US Data Privacy Framework, sofern der Empfänger zertifiziert ist, andernfalls Standardvertragsklauseln der EU-Kommission

2. Lovable Labs Incorporated

  • Sitz: Vereinigte Staaten von Amerika
  • Zweck der Verarbeitung:
    • Hosting und Betrieb der Anwendung und der Serverfunktionen,
    • Vermittlung von Diensten künstlicher Intelligenz (Lovable AI) gegenüber dem in Ziffer 3 genannten Modellanbieter
  • Datenkategorien: Daten, die beim Betrieb die Anwendung und die Serverfunktionen durchlaufen. Ferner Eingaben und Ausgaben der KI-Funktionen im Umfang nach Ziffer 3.
  • Ort der Verarbeitung: Infrastruktur der Cloudflare, Inc. (Vereinigte Staaten von Amerika). Es handelt sich um ein globales Netzwerk, bei dem die Verarbeitung an dem Standort erfolgt, der dem Besucher der Anwendung am nächsten liegt.
  • Übermittlungsinstrument: EU-US Data Privacy Framework, sofern der Empfänger zertifiziert ist, andernfalls Standardvertragsklauseln der EU-Kommission

3. Google Ireland Limited / Google LLC (Modelle künstlicher Intelligenz Gemini)

  • Sitz: Irland / Vereinigte Staaten von Amerika
  • Zweck der Verarbeitung: Anbieter der über Lovable AI aufgerufenen Modelle künstlicher Intelligenz Gemini. Verarbeitung von Eingaben zur Erstellung von Kalkulationen und sonstiger KI-Inhalte in dem zur Generierung der Ausgabe erforderlichen Umfang.
  • Datenkategorien: Text von Kalkulationen und Antworten aus dem Assistenten, importierte Preislisten (einschließlich Fotos, PDF- und Word-Dokumenten), Daten über das Unternehmen des Nutzers, Bewertungstexte
  • Ort der Verarbeitung: Die Region ist nicht fest bestimmt (Europäische Union / USA / andere Regionen je nach Diensteinstellungen).
  • Übermittlungsinstrument: EU-US Data Privacy Framework, sofern der Empfänger zertifiziert ist, andernfalls Standardvertragsklauseln der EU-Kommission

4. Plus Five Five, Inc. (Resend)

  • Sitz: Vereinigte Staaten von Amerika
  • Zweck der Verarbeitung: Versand von E-Mails, einschließlich der Freigabe von Preisangeboten an Kunden und E-Mail-Benachrichtigungen
  • Datenkategorien: E-Mail-Adresse und Name des Empfängers, Inhalt der E-Mail, Link zum Preisangebot
  • Ort der Verarbeitung: USA
  • Übermittlungsinstrument: EU-US Data Privacy Framework, sofern der Empfänger zertifiziert ist, andernfalls Standardvertragsklauseln der EU-Kommission

5. OpenStreetMap Foundation (Dienst Nominatim)

  • Sitz: Vereinigtes Königreich
  • Zweck der Verarbeitung: Geokodierung der Baustellenadresse zur Bestimmung der Region bei der Erstellung einer Kalkulation
  • Datenkategorien: Baustellenadresse
  • Ort der Verarbeitung: Vereinigtes Königreich / Europäische Union
  • Übermittlungsinstrument: Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich. Innerhalb der Europäischen Union ist kein Übermittlungsinstrument erforderlich.

6. U.S. Census Bureau (Dienst Geocoder)

  • Sitz: Vereinigte Staaten von Amerika
  • Zweck der Verarbeitung: Geokodierung von Baustellenadressen in den USA. Der Dienst wird ausschließlich in der Länderversion USA verwendet.
  • Datenkategorien: Baustellenadresse
  • Ort der Verarbeitung: USA
  • Übermittlungsinstrument: EU-US Data Privacy Framework, sofern der Empfänger zertifiziert ist, andernfalls Standardvertragsklauseln der EU-Kommission

7. SerpApi, LLC

  • Sitz: Vereinigte Staaten von Amerika
  • Zweck der Verarbeitung: Import von Google-Bewertungen des Unternehmens des Nutzers in die Anwendung
  • Datenkategorien: Übermittelt werden Name und Anschrift des Unternehmens des Nutzers. Der Dienst liefert Namen der Rezensenten, Bewertungstexte und zugehörige Bewertungsdaten zurück.
  • Ort der Verarbeitung: USA
  • Übermittlungsinstrument: EU-US Data Privacy Framework, sofern der Empfänger zertifiziert ist, andernfalls Standardvertragsklauseln der EU-Kommission

Hinweis zu Diensten, die ausschließlich Daten des Nutzers verarbeiten: Die folgenden Dienste verarbeiten ausschließlich Daten des Nutzers, für die die Gesellschaft als Verantwortlicher handelt:

  • das Zahlungsgateway Stripe (Stripe Payments Europe, Ltd. und Stripe, Inc.),
  • die Anmeldung über ein Google- oder Apple-Konto,
  • die Analysewerkzeuge (Google Analytics 4).

Ihre Verarbeitung richtet sich nach der auf der Website abrufbaren Datenschutzerklärung. Für die Verarbeitung personenbezogener Daten von Kunden werden diese Dienste nicht eingesetzt. Ihre Anbieter sind keine Unterauftragsverarbeiter im Sinne dieses Auftragsverarbeitungsvertrags.