Auftragsverarbeitungsvertrag

1. Geltungsbereich und Rollen

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Teil der Nutzungsbedingungen zwischen NoSix und dem Kunden. Er gilt für personenbezogene Daten, die NoSix bei der Bereitstellung des Dienstes im Auftrag des Kunden verarbeitet.

Für diese Daten ist der Kunde der Verantwortliche und NoSix der Auftragsverarbeiter. In der DSGVO definierte Begriffe haben hier dieselbe Bedeutung.

Soweit NoSix die Zwecke selbst bestimmt, etwa für Kontoverwaltung, Abrechnung und Sicherheit, ist NoSix Verantwortlicher und es gilt die Datenschutzerklärung.

2. Angaben zur Verarbeitung

• Gegenstand und Zweck: die Bereitstellung der NoSix-Plattform für den Kunden, wie in den Nutzungsbedingungen beschrieben.
• Art: Daten hosten, speichern, strukturieren, auswerten (auch mit KI-Funktionen), anzeigen und löschen.
• Dauer: die Laufzeit des Vertrags sowie die Zeit bis zur Löschung nach diesem AVV.
• Betroffene Personen: die Nutzer des Kunden und andere Personen, die in den Daten oder Dokumenten vorkommen, die der Kunde einbringt, etwa Mitarbeitende, Lieferanten und Ansprechpartner.
• Arten personenbezogener Daten: Namen, geschäftliche Kontaktdaten, Rollen, Konto- und Nutzungsdaten sowie personenbezogene Daten in hochgeladenen Dokumenten wie Energieabrechnungen und Rechnungen.
• Besondere Kategorien personenbezogener Daten: nicht vorgesehen. Der Kunde bringt sie nicht ein.

3. Weisungen des Kunden

• NoSix verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Kunden. Die Nutzungsbedingungen, dieser AVV und die Nutzung der Funktionen des Dienstes durch den Kunden sind diese Weisungen.
• NoSix teilt dem Kunden mit, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt, und darf diese Weisung aussetzen, bis sie geklärt ist.
• Verpflichtet das Gesetz NoSix, die Daten anders zu verarbeiten, teilt NoSix das dem Kunden vorher mit, außer das Gesetz verbietet es.
• Der Kunde ist dafür verantwortlich, dass es für die Daten, die er einbringt, eine Rechtsgrundlage gibt und dass die betroffenen Personen informiert werden.

4. Vertraulichkeit

NoSix stellt sicher, dass alle Personen, die es zur Verarbeitung der personenbezogenen Daten befugt, zur Vertraulichkeit verpflichtet sind und nur so weit Zugang haben, wie ihre Arbeit es erfordert.

5. Sicherheit

NoSix trifft geeignete technische und organisatorische Maßnahmen nach Artikel 32 DSGVO. Dazu gehören:

• Verschlüsselung der Daten bei der Übertragung und im Ruhezustand;
• rollenbasierte Zugriffskontrolle in der App und beschränkter Zugang zu Produktivsystemen;
• Protokollierung von Änderungen an Daten;
• regelmäßige Aktualisierungen und Schwachstellenprüfungen der Softwareabhängigkeiten.

NoSix darf diese Maßnahmen anpassen, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

• Der Kunde erteilt NoSix die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die aktuellen Unterauftragsverarbeiter stehen in Anlage 1.
• NoSix verpflichtet jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die nicht weniger Schutz bieten als die in diesem AVV, und bleibt für deren Arbeit verantwortlich.
• NoSix kündigt einen neuen oder ersetzenden Unterauftragsverarbeiter mindestens 30 Tage vorher an, per E-Mail oder auf dieser Seite. Der Kunde kann innerhalb dieser Frist aus berechtigten Datenschutzgründen widersprechen. Finden die Parteien keine Lösung, kann der Kunde den betroffenen Dienst beenden und erhält vorausbezahlte Entgelte für den verbleibenden Zeitraum zurück.

7. Internationale Übermittlungen

NoSix speichert Kundendaten in der Europäischen Union.

Verarbeitet ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums, stellt NoSix sicher, dass ein gültiges Übermittlungsinstrument greift: ein Angemessenheitsbeschluss oder die Standardvertragsklauseln der Europäischen Kommission.

8. Anfragen betroffener Personen

NoSix unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen von Personen zu beantworten, die ihre Rechte nach der DSGVO ausüben. Erhält NoSix eine solche Anfrage direkt, leitet es sie unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, außer das Gesetz verlangt es.

9. Verletzungen des Schutzes personenbezogener Daten

NoSix meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die die Daten des Kunden betrifft, unverzüglich und nach Möglichkeit innerhalb von 48 Stunden, nachdem es davon Kenntnis erlangt hat.

Die Meldung beschreibt, was bekannt ist: die Art der Verletzung, die betroffenen Daten und Personen, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. NoSix ergänzt Informationen, sobald sie vorliegen, und unterstützt den Kunden bei seinen eigenen Meldepflichten.

10. Unterstützung bei der Einhaltung

NoSix unterstützt den Kunden in zumutbarem Umfang bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde, unter Berücksichtigung der Art der Verarbeitung und der NoSix vorliegenden Informationen.

11. Rückgabe und Löschung

Während des Vertrags und bis 30 Tage nach seinem Ende kann der Kunde seine Daten exportieren oder NoSix um einen Export bitten.

Danach löscht NoSix die personenbezogenen Daten innerhalb von 90 Tagen, außer das Gesetz verlangt ihre Aufbewahrung. Sicherungskopien werden in ihrem normalen Zyklus überschrieben und in der Zwischenzeit für nichts anderes verwendet.

12. Prüfungen

Auf Anfrage gibt NoSix dem Kunden die Informationen, die nötig sind, um die Einhaltung von Artikel 28 DSGVO nachzuweisen.

Reichen diese Informationen nicht aus, darf der Kunde eine Prüfung durchführen, selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer. Eine Prüfung findet höchstens einmal im Jahr statt, mit mindestens 30 Tagen Vorankündigung, während der Arbeitszeiten und ohne den Dienst zu stören. Der Kunde trägt seine eigenen Kosten. NoSix darf für eine Prüfung, die länger als einen Arbeitstag dauert, angemessene Kosten berechnen.

13. Haftung und Rangfolge

Die Haftungsbeschränkungen der Nutzungsbedingungen gelten auch für diesen AVV.

Widersprechen sich dieser AVV und die Nutzungsbedingungen beim Schutz personenbezogener Daten, geht dieser AVV vor. Gelten Standardvertragsklauseln und widersprechen sie diesem AVV, gehen die Klauseln vor.

Anlage 1: Unterauftragsverarbeiter

• Supabase: Datenbank, Authentifizierung und Dateispeicher.
• Vercel: Hosting der Anwendung.
• Anthropic: KI-Modelle, die Dokumente lesen und den KI-Assistenten betreiben.
• Resend: Service-E-Mails wie Einladungen und Benachrichtigungen.
• Sentry: Fehlerüberwachung.