Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag gilt zwischen dem Kunden als Verantwortlichem und Ulixes Consulting als Auftragsverarbeiter für die personenbezogenen Daten, die der Kunde und seine Nutzer in Lisso eingeben. Er ist Bestandteil der Allgemeinen Geschäftsbedingungen. Dort definierte Begriffe haben hier dieselbe Bedeutung.

1. Gegenstand und Dauer

Dieser Vertrag regelt, wie wir personenbezogene Daten im Auftrag des Kunden verarbeiten, wenn wir Lisso bereitstellen. Er gilt, solange wir solche Daten für den Kunden verarbeiten, also mindestens für die Dauer des Vertrags nach den Allgemeinen Geschäftsbedingungen.

2. Art und Zweck der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, um Lisso bereitzustellen: dem Kunden zu helfen, seine Lieferanten und Produkte zu verwalten, Bestellungen vorzubereiten, sie an seine Lieferanten zu senden und ihren Verlauf aufzubewahren. Dazu gehören das Speichern, Ordnen, Anzeigen und Versenden der Daten, das Erstellen von Sicherungskopien und der Support für den Kunden.

3. Arten personenbezogener Daten

Nutzer: Name, E-Mail-Adresse, Anmelde- und Sicherheitsdaten (Passwort als Hash gespeichert, Daten der Zwei-Faktor-Authentifizierung und der Passkeys), Einstellungen wie die Sprache.
Sitzungen: IP-Adresse und Browser aktiver Sitzungen.
Ansprechpartner bei Lieferanten: Name, E-Mail-Adresse, Telefonnummer.
Bestellungen: Inhalt und Verlauf der Bestellungen, mit den Namen der Nutzer, die sie angelegt, geändert, versendet oder bestätigt haben.

4. Kategorien betroffener Personen

Die Mitarbeiter und anderen Nutzer von Lisso beim Kunden.
Ansprechpartner bei den Lieferanten des Kunden.

5. Unsere Pflichten als Auftragsverarbeiter

Wir:

verarbeiten die personenbezogenen Daten nur auf dokumentierte Weisung des Kunden, wie sie in den Allgemeinen Geschäftsbedingungen, in diesem Vertrag und durch die Nutzung von Lisso durch den Kunden festgelegt ist, es sei denn, das Gesetz schreibt etwas anderes vor; in diesem Fall informieren wir den Kunden vorab, sofern das Gesetz dies nicht verbietet;
informieren den Kunden, wenn wir der Ansicht sind, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt;
stellen sicher, dass die Personen, die Zugang zu den personenbezogenen Daten haben, zur Vertraulichkeit verpflichtet sind;
treffen geeignete technische und organisatorische Sicherheitsmaßnahmen (siehe Abschnitt 8);
unterstützen den Kunden, soweit zumutbar, bei der Beantwortung von Anträgen betroffener Personen, die ihre Rechte ausüben;
unterstützen den Kunden bei Datenschutz-Folgenabschätzungen, vorherigen Konsultationen und der Bearbeitung von Verletzungen des Schutzes personenbezogener Daten, unter Berücksichtigung der Art der Verarbeitung und der uns vorliegenden Informationen;
melden dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich [und innerhalb von ... Stunden], nachdem sie uns bekannt wurde, mit den zu diesem Zeitpunkt verfügbaren Informationen.

6. Unterauftragsverarbeiter

Der Kunde erteilt uns eine allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die aktuelle Liste steht auf der Seite Unterauftragsverarbeiter.

Wir informieren den Kunden vorab über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann aus berechtigten Gründen Einspruch gegen die Änderung erheben. Können wir dem Einspruch nicht abhelfen, kann der Kunde den Vertrag kündigen, bevor die Änderung wirksam wird.

Wir erlegen jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf wie in diesem Vertrag und bleiben gegenüber dem Kunden für deren Einhaltung verantwortlich.

7. Übermittlungen

Wir verarbeiten die personenbezogenen Daten in der Europäischen Union oder im Europäischen Wirtschaftsraum. Wir übermitteln keine personenbezogenen Daten außerhalb des EWR ohne geeignete Garantien, wie sie die DSGVO verlangt.

8. Sicherheitsmaßnahmen

Folgende Maßnahmen sind umgesetzt:

der gesamte Datenverkehr von und zu Lisso ist mit HTTPS (TLS) verschlüsselt;
Passwörter werden als Hash gespeichert, nie in lesbarer Form;
Nutzer können die Zwei-Faktor-Authentifizierung aktivieren und Passkeys verwenden;
die Daten jedes Standorts sind strikt getrennt: Dies wird in der Datenbank selbst durchgesetzt und durch automatisierte Tests geprüft;
der Zugriff innerhalb von Lisso beruht auf Rollen je Standort (Inhaber, Leitung, Mitarbeiter);
der Zugriff durch Mitarbeiter von Ulixes Consulting ist auf das beschränkt, was für den Betrieb und den Support des Dienstes nötig ist;
die Server werden bei Hetzner in einem Rechenzentrum ([noch zu ergänzen]) betrieben;
von der Datenbank werden Sicherungskopien erstellt [Häufigkeit und Aufbewahrungsdauer der Sicherungen noch festzulegen].

Wir dürfen diese Maßnahmen anpassen, solange das Sicherheitsniveau nicht sinkt.

9. Audits

Auf Anfrage stellen wir dem Kunden die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen. Der Kunde darf auf eigene Kosten, mit angemessener Vorankündigung, während der Geschäftszeiten und ohne unseren Betrieb unnötig zu stören, ein Audit durchführen lassen. Der Prüfer ist zur Vertraulichkeit verpflichtet.

10. Ende der Verarbeitung

Bei Vertragsende löschen wir die personenbezogenen Daten oder geben sie heraus, nach Wahl des Kunden, innerhalb von [Frist], sofern wir nicht gesetzlich zur Aufbewahrung verpflichtet sind.

11. Haftung

Für die Haftung aus diesem Vertrag gilt der Abschnitt zur Haftung in den Allgemeinen Geschäftsbedingungen.

Eine unterzeichnete PDF-Fassung dieses Vertrags ist auf Anfrage erhältlich. Schreiben Sie an [noch zu ergänzen].