Parteien und Geltung
Diese Vereinbarung zur Auftragsverarbeitung ist Teil der Nutzungsbedingungen zwischen dem über sein Konto bezeichneten Geschäftskunden und Rayquest Ventures LLC mit den oben genannten Unternehmensangaben. Sie gilt für personenbezogene Daten, die wir im Workspace für den Kunden verarbeiten. Der Kunde ist Verantwortlicher oder ein von seinem Verantwortlichen befugter Auftragsverarbeiter; Rayquest Ventures LLC ist entsprechend Auftragsverarbeiter oder Unterauftragsverarbeiter. Bei Widersprüchen zu allgemeinen Bedingungen gehen diese Verarbeitungsregeln für die betroffene Verarbeitung vor.
Für Kontoverwaltung, eigene Sicherheit, Supportverwaltung und Geschäftsunterlagen gelten die gesonderten Verantwortlichkeiten der Datenschutzerklärung. Paddle verarbeitet eigene Kaufunterlagen unabhängig. Diese Vereinbarung macht eigenständig verantwortete Tätigkeiten keiner Partei zu einer Auftragsverarbeitung für die andere.
Gegenstand, Art und Dauer
Gegenstand sind die FakturFokus-Funktionen zur Rechnungserstellung, Prüfung, Speicherung, Bereitstellung und Löschung sowie vom Kunden angeforderter Support. Die Verarbeitung umfasst Empfang, Organisation, Berechnung, Prüfung, Speicherung, Abruf, Übermittlung an berechtigte Empfänger und Löschung. Sie dauert während des Vertragsverhältnisses und der anwendbaren Lösch-/Aufbewahrungsfristen an.
Betroffene können Beschäftigte, Lieferanten, Kunden, Rechnungsempfänger und deren Vertreter sein. Daten können Namen, Kontakt- und Anschriftsdaten, Steuerkennungen, Bank-/Zahlungsdaten, Rechnungspositionen und Beträge, Korrespondenz, Dokumentkennungen und zugehörige Metadaten umfassen. Besondere Kategorien personenbezogener Daten und Strafregisterdaten sind nicht vorgesehen und dürfen nicht übermittelt werden. Konkrete Inhalte, Zwecke und Rechtsgrundlagen bestimmt der Kunde.
Weisungen und Vertraulichkeit
Wir verarbeiten Kundeninhalte nur nach dokumentierten Weisungen einschließlich vereinbarter Dienstfunktionen, Kontoeinstellungen, berechtigter Kundenanfragen und dieser Vereinbarung, sofern anwendbares Recht nichts anderes verlangt. Über eine rechtlich vorgeschriebene Verarbeitung informieren wir den Kunden vorher, soweit nicht verboten. Halten wir eine Weisung für datenschutzwidrig, informieren wir unverzüglich und können die betroffene Verarbeitung bis zur Klärung aussetzen.
Der Kunde verantwortet rechtmäßige Erhebung, erforderliche Hinweise, zutreffende Weisungen und die Befugnis zu unserer Beauftragung. Berechtigte Personen müssen zur Vertraulichkeit verpflichtet sein oder einer geeigneten gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe sind auf den für die Aufgabe nötigen Umfang zu begrenzen. Kundeninhalte dürfen weder für Werbung verwendet noch verkauft werden.
Sicherheitsmaßnahmen
Wir müssen dem Verarbeitungsrisiko angemessene technische und organisatorische Maßnahmen unterhalten und bei Änderungen des Dienstes überprüfen. Der Dienst verwendet HTTPS, authentifizierte private Workspaces, serverseitige Eigentumsprüfungen, datenbankseitige Zeilensicherheit, getrennte API-/Worker-Rollen und privaten Objektspeicher. Downloads benötigen berechtigte Anfragen oder kurzlebige signierte Zugriffe. Hintergrundaufträge und Zugriffe sind begrenzt; Anwendungsprotokolle enthalten keine Dokumentinhalte oder Zugangsdaten.
Supportzugriffe sind auf berechtigte Betreiber beschränkt. Die Betreiberkonsole zeigt Konto-/Dokumentmetadaten statt Dokumentdownloads. Im Support absichtlich bereitgestellte Inhalte sind für diesen lesbar. Kontozugriffe werden protokolliert. Aufbewahrungsfristen, Kontoschließung und Hintergrundlöschung begrenzen die weitere Verfügbarkeit. Zugangsdaten und Dienstleisterzugriffe müssen beschränkt sowie Vorfalls- und Wiederherstellungsabläufe unterhalten werden. Diese Maßnahmen sind keine Ende-zu-Ende-Verschlüsselung, bestimmte Zertifizierung, gesetzliche Archivierung oder Verfügbarkeits-/Wiederherstellungsgarantie.
Unterauftragsverarbeiter
Der Kunde genehmigt allgemein WIIT AG (webtropia), Deutschland, für Anwendungshosting und Supabase einschließlich dessen offengelegter Infrastruktur- und Kontomail-Unterauftragnehmer für Authentifizierung, Datenbank und privaten Speicher. Die Projektregion ist Frankfurt, Deutschland. Supabase bezeichnet seine Gesellschaften, weitere Unterauftragnehmer und internationale Regelungen in der Auftragsverarbeitungsvereinbarung und den Rechtsinformationen. Die Datenschutzerklärung grenzt andere eigenständige Empfänger wie DNS- und Zahlungsdienstleister ab.
Wir müssen Unterauftragnehmer zu Datenschutzpflichten verpflichten, die Kundendaten im gesetzlich erforderlichen Umfang schützen, und bleiben für die Erfüllung übertragener Verarbeitungspflichten verantwortlich. Vor Hinzunahme oder Austausch eines Unterauftragnehmers für Kundeninhalte müssen wir mindestens 30 Tage vorher per Kontomitteilung oder E-Mail informieren und einen Widerspruch aus nachvollziehbaren Datenschutzgründen ermöglichen. Die Parteien suchen eine angemessene Alternative. Bleibt der Widerspruch ungelöst, kann der Kunde die betroffene Verarbeitung ohne Beendigungsgebühr beenden; bestehende Zahlungs-/Erstattungsrechte bleiben unberührt.
Zoho Mail stellt das separate Support-E-Mail-Postfach bereit. Sendet der Kunde von ihm verantwortete personenbezogene Daten per E-Mail, verarbeitet Zoho diese Korrespondenz und Anhänge für E-Mail-Support; die Anwendung leitet Workspace-Dokumente nicht automatisch an Zoho weiter. Die Datenschutzhinweise beschreiben Gruppengesellschaften und internationale Verarbeitung. Die oben genannten Schutz- und Änderungsmitteilungspflichten für Unterauftragnehmer gelten auch dafür.
Standorte und internationale Übermittlungen
Die Kerninfrastruktur liegt in Deutschland; der Betreiber ist ein US-Unternehmen und Konto-/Supportverwaltung erfolgen aus den USA. Supabase unterhält weitere internationale Abläufe gemäß den verlinkten Bedingungen. Diese Standorte sind Teil der offengelegten Verarbeitung, keine Zusage ausschließlich europäischer Zugriffe.
Eine datenschutzrechtlich beschränkte Übermittlung darf nur auf dokumentierte Weisung und mit wirksamem Übermittlungsmechanismus sowie gegebenenfalls zusätzlichen Schutzmaßnahmen stattfinden. Wir müssen bei erforderlichen Übermittlungsprüfungen mitwirken und Informationen zu den anwendbaren Regelungen geben. Diese Vereinbarung ersetzt keine Standardvertragsklauseln der Europäischen Kommission und gibt sich nicht als solche aus. Ist ein gesondertes Übermittlungsinstrument rechtlich erforderlich, muss es vor der beschränkten Übermittlung die betroffenen Parteien und Verarbeitungen abdecken.
Unterstützung, Vorfälle und Nachweise
Unter Berücksichtigung der Verarbeitungsart und verfügbarer Informationen müssen wir den Kunden bei Betroffenenrechten, Sicherheit, Verletzungsmeldungen, Folgenabschätzungen und Konsultationen von Aufsichtsbehörden unterstützen. Anfragen zu kundenseitig verantworteten Rechnungsdaten leiten wir an den Kunden weiter, soweit Recht keine direkte Antwort verlangt.
Sobald wir von einer Verletzung des Schutzes der für den Kunden verarbeiteten personenbezogenen Daten erfahren, müssen wir ihn unverzüglich informieren, verfügbare Angaben zu Art, Folgen und Abhilfe bereitstellen und spätere Erkenntnisse nachreichen. Gesetzlich vorgeschriebene Meldungen an Behörden oder Betroffene bleiben Verantwortung des Kunden.
Wir müssen angemessen erforderliche Informationen zum Nachweis dieser Verarbeitungspflichten bereitstellen und gesetzlich erforderliche Audits einschließlich Inspektionen durch den Kunden oder einen zur Verschwiegenheit verpflichteten Prüfer ermöglichen und unterstützen. Auditregelungen müssen andere Kundendaten, Sicherheit und Verfügbarkeit angemessen schützen, dürfen eine gesetzlich erforderliche Prüfung aber nicht verhindern. Weisungen, Unterstützung und Audits können über die oben genannten Kontaktdaten abgestimmt werden.
Rückgabe und Löschung
Der Kunde kann verfügbare Dateien herunterladen und Datensätze oder das Konto löschen. Dateien/Berichte folgen ihrem angezeigten Ablauf, regelmäßig sieben Tage für Free und dreißig Tage für bestehende erweiterte Berichte. Entwürfe, Kontakte und Produkte bleiben bis zur Löschung oder Kontoschließung. Benötigte Inhalte sind vorher abzurufen.
Nach Wahl des Kunden müssen wir bei Verarbeitungsende verfügbare Kundendaten zurückgeben oder löschen und verbleibende Kopien entfernen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Automatischer Ablauf bleibt vereinbarte Weisung und verspricht keine Wiederherstellung abgelaufener Dateien. Etwaige Wiederherstellungskopien müssen vom Normalbetrieb isoliert sein und mit ihrer Aufbewahrungsrotation entfernt werden. Vor erneuter Bereitstellung wiederhergestellter Daten sind Löschbelege anzuwenden. Vertraulichkeits- und Schutzpflichten gelten für rechtmäßig aufbewahrte Daten weiter. Auf Anfrage müssen wir den Abschluss bestätigen.