Rechtliches

Auftragsverarbeitungsvertrag

Dies ist eine Übersetzung. Nur die niederländische Version ist rechtlich bindend.

Version vom · Teil der Allgemeinen Geschäftsbedingungen

Wenn du Kwantro nutzt, verarbeiten wir personenbezogene Daten deiner Mitarbeiter in deinem Auftrag. Die Datenschutz-Grundverordnung (DSGVO, Artikel 28) schreibt dann einen Auftragsverarbeitungsvertrag vor. Dies ist dieser Vertrag. Er gilt automatisch durch das Bestellen oder Nutzen des Dienstes; der Inhaber kann ihn in der App (Einstellungen → Datenschutz und Daten) ausdrücklich akzeptieren und die akzeptierte Version einsehen. Für Enterprise-Kunden kann zusätzlich eine unterschriebene, individuelle Version geschlossen werden.

1. Parteien und Begriffe

1.1 Verantwortlicher (nachfolgend: der Kunde): das Unternehmen oder die Organisation, die den Dienst Kwantro gemäß den Allgemeinen Geschäftsbedingungen bezieht.

1.2 Auftragsverarbeiter (nachfolgend: Kwantro): , Handelskammer (KvK) , .

1.3 Begriffe wie personenbezogene Daten, Verarbeitung, Betroffener, Unterauftragsverarbeiter und Verletzung des Schutzes personenbezogener Daten haben die Bedeutung aus der DSGVO. Die Begriffe Dienst, Inhaber, Benutzer, Standort und Kundendaten haben hier, auch ohne Großschreibung als definierter Begriff, dieselbe Bedeutung wie in den Allgemeinen Geschäftsbedingungen.

2. Gegenstand und Dauer

2.1 Kwantro verarbeitet im Auftrag des Kunden die personenbezogenen Daten, die für die Erbringung des Dienstes nötig sind, wie in Anlage 1 beschrieben. Der Kunde bestimmt Zweck und Mittel der Verarbeitung und garantiert, dass er die Daten rechtmäßig verarbeiten lassen darf.

2.2 Dieser Vertrag gilt, solange der Vertrag über den Dienst besteht, und danach, solange Kwantro noch personenbezogene Daten des Kunden in Besitz hat.

3. Weisungen des Kunden

3.1 Kwantro verarbeitet die personenbezogenen Daten ausschließlich auf Grundlage dokumentierter Weisungen des Kunden. Der Vertrag, dieser Auftragsverarbeitungsvertrag und die Nutzung der Funktionen und Einstellungen des Dienstes durch den Kunden gelten als diese Weisungen. Kwantro verarbeitet die Daten nicht für eigene Zwecke und verkauft sie nicht.

3.2 Kwantro darf technische Nutzungsdaten, die nicht auf Personen rückführbar sind (wie Anzahlen und Leistungswerte), nutzen, um den Dienst abzusichern und zu verbessern.

3.3 Ist Kwantro der Ansicht, dass eine Weisung gegen die DSGVO oder andere Rechtsvorschriften verstößt, teilt Kwantro dies dem Kunden unverzüglich mit und darf die Ausführung aussetzen, bis der Kunde die Weisung angepasst oder bestätigt hat.

3.4 Ist Kwantro gesetzlich verpflichtet, personenbezogene Daten an eine Behörde herauszugeben, informiert Kwantro den Kunden vorab, sofern das Gesetz dies nicht verbietet, und beschränkt die Herausgabe auf das Vorgeschriebene.

4. Sicherheit

4.1 Kwantro trifft geeignete technische und organisatorische Maßnahmen, um die personenbezogenen Daten gegen Verlust und unrechtmäßige Verarbeitung zu schützen, unter Berücksichtigung des Stands der Technik, der Kosten, der Art der Daten und der Risiken. Die Maßnahmen stehen in Anlage 2. Kwantro darf sie anpassen, solange das Sicherheitsniveau nicht sinkt.

4.2 Der Kunde ist für die Sicherheit auf seiner Seite verantwortlich: welche Benutzer er einlädt, welche Rollen und Rechte er vergibt, ob er die Zwei-Schritt-Verifizierung verpflichtend macht und ob Benutzer ihre Anmeldedaten geheim halten.

5. Unterauftragsverarbeiter

5.1 Der Kunde erteilt Kwantro eine allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die aktuelle Liste, mit Aufgabe und Sitz je Unterauftragsverarbeiter, steht in der Datenschutzerklärung und gilt als Anlage zu diesem Vertrag.

5.2 Kwantro legt Unterauftragsverarbeitern dieselben Pflichten auf, wie sie in diesem Vertrag stehen, soweit auf ihre Aufgabe anwendbar, und bleibt gegenüber dem Kunden für deren Arbeit verantwortlich.

5.3 Einen neuen oder ersetzenden Unterauftragsverarbeiter, der personenbezogene Daten des Kunden verarbeitet, kündigt Kwantro mindestens 30 Tage vorher per E-Mail an den Inhaber und auf der Website an. Der Kunde kann innerhalb dieser Frist begründet Einspruch erheben. Einigen sich die Parteien nicht, darf der Kunde den Vertrag zum Datum kündigen, an dem der Unterauftragsverarbeiter eingesetzt wird; der vorausbezahlte Anteil für den verbleibenden Zeitraum wird zurückerstattet.

6. Übermittlung außerhalb des EWR

6.1 Die personenbezogenen Daten werden in der Europäischen Union (Irland) gespeichert; nur das verschlüsselte nächtliche Backup liegt bei GitHub (Vereinigte Staaten), mit einem Schlüssel, den nur Kwantro verwaltet. Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums erfolgt nur durch Unterauftragsverarbeiter aus der Liste, mit geeigneten Garantien nach Kapitel V der DSGVO: ein Angemessenheitsbeschluss (darunter das EU-US Data Privacy Framework) oder die EU-Standardvertragsklauseln, bei Bedarf mit zusätzlichen Maßnahmen wie Verschlüsselung.

6.2 Bei den KI-Funktionen werden nur die Daten übermittelt, die für diesen einen Auftrag nötig sind (siehe Anlage 1).

7. Datenpannen

7.1 Kwantro meldet eine Verletzung des Schutzes personenbezogener Daten, die die Daten des Kunden betrifft, ohne unangemessene Verzögerung und spätestens 48 Stunden nach Entdeckung per E-Mail an den Inhaber. Die Meldung enthält, soweit bekannt: die Art der Verletzung, die Kategorien und die geschätzte Zahl der Betroffenen und Daten, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Maßnahmen und eine Kontaktstelle. Noch nicht bekannte Informationen folgen, sobald sie vorliegen.

7.2 Kwantro unterstützt den Kunden bei seiner etwaigen Meldung an die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) und an Betroffene. Der Kunde entscheidet selbst, ob und wie er meldet; Kwantro meldet nicht im Namen des Kunden, es sei denn, der Kunde bittet darum.

7.3 Kwantro führt ein Verzeichnis der Verletzungen, ihrer Folgen und der ergriffenen Maßnahmen.

8. Rechte der Betroffenen und Unterstützung

8.1 Erhält Kwantro einen Antrag eines Betroffenen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit oder Widerspruch), der die Daten des Kunden betrifft, leitet Kwantro ihn an den Kunden weiter und bearbeitet ihn nicht selbst, es sei denn, der Kunde bittet darum.

8.2 Kwantro unterstützt den Kunden mit den Mitteln im Dienst: Der Kunde kann selbst Benutzer hinzufügen, ändern und löschen, Daten berichtigen, einen vollständigen Export erstellen (JSON) und Aufbewahrungsfristen einstellen. Wo das nicht ausreicht, leistet Kwantro angemessene Unterstützung. Verursacht diese Unterstützung unverhältnismäßig viel Arbeit, darf Kwantro dafür nach Absprache eine angemessene Vergütung verlangen.

8.3 Kwantro unterstützt den Kunden, wo nötig und angemessen, bei einer Datenschutz-Folgenabschätzung (DSFA) und bei der vorherigen Konsultation der Aufsichtsbehörde, soweit diese den Dienst betreffen.

9. Vertraulichkeit

9.1 Jeder, der bei Kwantro Zugang zu personenbezogenen Daten des Kunden hat, ist zur Vertraulichkeit verpflichtet, aufgrund eines Vertrags oder des Gesetzes. Der Zugang ist auf diejenigen beschränkt, die ihn für ihre Aufgabe benötigen.

9.2 Kwantro sieht nur nach ausdrücklicher, zeitlich begrenzter Erlaubnis des Inhabers in der App in die Umgebung des Kunden hinein (nur lesend, protokolliert im Audit-Log), oder wenn dies zur Untersuchung einer Störung oder eines Sicherheitsvorfalls unbedingt nötig ist; auch das wird protokolliert.

10. Kontrolle (Audit)

10.1 Kwantro stellt dem Kunden alle Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen, darunter Beschreibungen der Sicherheitsmaßnahmen und, sofern verfügbar, Berichte oder Zertifikate der Unterauftragsverarbeiter.

10.2 Der Kunde darf höchstens einmal pro Jahr, nach schriftlicher Ankündigung von mindestens 30 Tagen, auf eigene Kosten eine Kontrolle, einschließlich Inspektionen, durchführen oder durch einen vom Kunden benannten, zur Vertraulichkeit verpflichteten unabhängigen Sachverständigen durchführen lassen. Die Kontrolle stört den Dienst für andere Kunden nicht und gewährt keinen Zugang zu Daten anderer Kunden. Zeigt die Kontrolle einen Mangel, behebt Kwantro ihn innerhalb einer angemessenen Frist.

11. Haftung

11.1 Für die Haftung der Parteien unter diesem Vertrag gilt die Regelung in den Allgemeinen Geschäftsbedingungen (Artikel 17), mit der Maßgabe, dass diese Beschränkung nicht gilt, soweit Artikel 82 DSGVO dies nicht zulässt.

11.2 Der Kunde stellt Kwantro von Bußgeldern und Ansprüchen frei, die aus einem Verstoß des Kunden gegen die DSGVO folgen, darunter die Eingabe von Daten, die er nicht verarbeiten lassen darf.

12. Ende und Löschung

12.1 Nach dem Ende des Vertrags über den Dienst kann der Kunde bis 30 Tage danach einen Export aller Daten anfordern (über die App oder per E-Mail). Kwantro löscht die personenbezogenen Daten, einschließlich Dateien, 30 Tage nach dem Enddatum, sofern keine gesetzliche Aufbewahrungspflicht gilt (Rechnungsdaten: 7 Jahre).

12.2 Verschlüsselte Backups werden nach 90 Tagen automatisch gelöscht, sodass spätestens 90 Tage nach der Löschung kein Backup die Daten mehr enthält. Backups werden nur zur Wiederherstellung nach einer Störung verwendet und nicht gesondert durchsucht.

12.3 Auf Wunsch bestätigt Kwantro schriftlich, dass die Löschung durchgeführt wurde.

Anlage 1: die Verarbeitung

Gegenstand	Die Bereitstellung von Kwantro: Bestandsverwaltung pro Standort mit mehreren Benutzern, einschließlich Meldungen, Berichten, Integrationen und Support.
Zweck	Benutzer des Kunden anmelden und zusammenarbeiten lassen, festhalten, wer welche Handlung durchgeführt hat (Bestand, Zählungen, Aufgaben, Bestellungen, Ausleihen, Freigaben), Meldungen und E-Mails senden, die Benutzer aktiviert haben, und dem Kunden Einblick und Rechenschaft geben.
Betroffene	Inhaber, Manager und Mitarbeiter des Kunden, die die App nutzen; Eingeladene; gegebenenfalls Ansprechpartner von Lieferanten des Kunden (Name, E-Mail-Adresse) und Personen, die etwas ausleihen (Name).
Personenbezogene Daten	Name, E-Mail-Adresse, Sprache, Rolle und eigene Rolle, zugewiesene Standorte, Einstellungen und Benachrichtigungseinstellungen, Push-Token, Zeitpunkt der Anmeldung, Status der Zwei-Schritt-Verifizierung; Handlungen im Dienst mit Zeitpunkt (Bewegungen, Zählungen, Aufgaben, Bestellungen, Ausleihen, Freigaben, Änderungen von Einstellungen); Fotos und Dateien, die Benutzer hochladen (Lieferscheine, Produktfotos, Fotos bei Verlust, Anhänge), soweit darauf oder darin Personen vorkommen; der Inhalt von Notizen und Fragen an den Assistenten, soweit diese personenbezogene Daten enthalten.
Keine besonderen Kategorien	Der Dienst ist nicht für besondere Kategorien personenbezogener Daten, Sozialversicherungsnummern (BSN) oder Daten von Kindern gedacht. Der Kunde gibt diese nicht ein.
Verarbeitungen	Speichern, Abfragen, Ändern, Löschen, Sichern, Versenden von E-Mails und Push-Meldungen, Exportieren, Übermitteln an den KI-Anbieter, soweit ein Benutzer eine KI-Funktion nutzt (Lieferschein, Foto, Frage und die nötigen Produkt- und Bestandsdaten).
Speicherdauer	Solange der Vertrag läuft; Bestandsbewegungen so lange, wie der Inhaber es einstellt (12 bis 120 Monate oder unbegrenzt); Audit-Log 3 Jahre; nach dem Ende 30 Tage, Backups 90 Tage.
Standort	Europäische Union (Irland); verschlüsselte Backups bei GitHub (USA). Unterauftragsverarbeiter außerhalb des EWR: siehe Datenschutzerklärung.

Anlage 2: Sicherheitsmaßnahmen

• Trennung der Kunden: Jede Tabelle hat einen Unternehmensschlüssel und Row Level Security; Zugriffsregeln werden bei jeder Änderung der Software automatisch getestet (Datenbank- und API-Tests).
• Zugang und Authentifizierung: Konten nur auf Einladung; Passwörter als Hash; Zwei-Schritt-Verifizierung (TOTP), pro Unternehmen verpflichtend einstellbar, auch für die Verwaltungsumgebung von Kwantro; PIN-Code pro Gerät; Rollen und Rechte pro Benutzer und pro Standort; Einkaufspreise auf Spaltenebene abgeschirmt.
• Verschlüsselung: TLS für alle Verbindungen; Speicherung beim Hosting-Anbieter verschlüsselt; Backups verschlüsselt (AES-256) mit einem Schlüssel, den nur Kwantro verwaltet.
• Protokollierung und Kontrolle: Audit-Log pro Unternehmen (Einstellungen, Rollen, Mitglieder, Integrationen, Support-Einblick), Aktivitätsprotokoll der Bestandsbewegungen, Systemprotokoll von Fehlern (90 Tage), Limits gegen Missbrauch (Anmeldeversuche, Formulare, API).
• Kontinuität: nächtliches Backup mit automatischem Wiederherstellungstest, 90 Tage aufbewahrt; öffentliche Statusseite; Hosting bei Anbietern mit eigenen Zertifizierungen (Supabase/AWS, Cloudflare).
• Organisation: minimaler Zugang für Mitarbeiter von Kwantro; Einblick nur mit Erlaubnis und nur lesend; Vertraulichkeit; Schemaänderungen nur über kontrollierte Migrationen; Geheimnisse nicht im Quellcode; Sicherheits-Header und eine Content Security Policy auf Website und App.
• Datenlöschung: Löschen von Benutzern und Unternehmen einschließlich Dateien; automatische Aufbewahrungsfristen (Bewegungen, Audit-Log, Push-Tokens, Logs); DSGVO-Export und Kontolöschung durch den Benutzer selbst.