Auftragsverarbeitungsvertrag

1. Parteien und Geltung

Dieser Vertrag nach Art. 28 DSGVO gilt zwischen dem Kunden als Verantwortlichem und der BWSM GmbH, Bambergergasse 24, 1220 Wien, als Auftragsverarbeiter. Er ist Teil der AGB und gilt ab Vertragsabschluss ohne eigene Unterschrift. Auf Wunsch senden wir Ihnen ein unterschriebenes Exemplar.

2. Gegenstand, Dauer und Zweck

Wir betreiben Zenolik für den Kunden und verarbeiten dabei die Daten, die er und seine Nutzer speichern. Zweck ist allein die Bereitstellung der Software: speichern, anzeigen, berechnen, Belege erzeugen und versenden, Dateien ablegen, exportieren und sichern. Der Vertrag läuft so lange wie der Hauptvertrag.

3. Betroffene Personen und Datenarten

• Personen: Kunden, Interessenten, Lieferanten, Subunternehmer und deren Ansprechpartner, Mitarbeiter des Kunden, Empfänger von Belegen.
• Daten: Name, Adresse, Kontaktdaten, UID-Nummer, Bankverbindung, Angebote, Rechnungen und Zahlungen, Projekt- und Baustellendaten, Fotos und Dokumente, Arbeitszeiten und Berichte, Namen und Unterschriften bei Freigaben, E-Mail-Verläufe.
• Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen. Der Kunde speichert sie nur, wenn er dafür eine Rechtsgrundlage hat.

4. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Die Weisung ergibt sich aus diesem Vertrag und aus der Nutzung der Software. Weitere Weisungen erteilt der Kunde per E-Mail an office@zenolik.com. Halten wir eine Weisung für rechtswidrig, sagen wir das sofort. Daten des Kunden verwenden wir nicht für eigene Zwecke und nicht zum Training von KI-Modellen.

5. Vertraulichkeit

Alle Personen, die Zugriff auf Daten haben, sind zur Verschwiegenheit verpflichtet, auch nach dem Ende ihrer Tätigkeit. Unser Team greift auf Daten eines Kunden nur zu, wenn er um Hilfe bittet oder ein technischer Fehler es erfordert.

6. Technische und organisatorische Maßnahmen

• Server in einem Rechenzentrum in der EU, Zutritt nur für den Betreiber des Rechenzentrums.
• Verschlüsselte Verbindungen (TLS) für alle Zugriffe, auch zwischen den Diensten.
• Anmeldung per Einmalcode, Passkey oder Google; Rollen und Rechte je Nutzer im Betrieb.
• Strikte Trennung der Betriebe: Jede Abfrage ist an den Betrieb gebunden, ein automatischer Test prüft das.
• Festgeschriebene Belege lassen sich nicht mehr ändern; Änderungen stehen im Verlauf.
• Tägliche, verschlüsselte Sicherung an einem zweiten Ort in der EU, 30 Tage aufbewahrt, Wiederherstellung regelmäßig getestet.
• Server-Zugang nur per SSH-Schlüssel, Sicherheitsupdates laufend eingespielt.

Wir passen die Maßnahmen dem Stand der Technik an. Das Schutzniveau sinkt dabei nicht.

7. Unterauftragsverarbeiter

Der Kunde stimmt den folgenden Unterauftragsverarbeitern zu. Wir verpflichten jeden davon vertraglich auf dieselben Datenschutzpflichten. Neue oder geänderte Unterauftragsverarbeiter kündigen wir mindestens vier Wochen vorher per E-Mail an. Der Kunde kann aus wichtigem Datenschutzgrund widersprechen. Können wir uns nicht einigen, darf er den Vertrag zum Wechsel kündigen.

Verbindet der Kunde Zenolik über die Zen Bridge mit ChatGPT oder Claude, ist dieser Anbieter kein Unterauftragsverarbeiter von uns. Der Kunde beauftragt ihn selbst.

8. Unterstützung des Kunden

Wir helfen dem Kunden, Anfragen betroffener Personen zu beantworten: Auskunft, Berichtigung, Löschung und Export sind in der Software selbst möglich. Erreicht uns eine solche Anfrage direkt, leiten wir sie an den Kunden weiter. Wir unterstützen ihn auch bei Datenschutz-Folgenabschätzungen und Anfragen von Behörden.

9. Datenpannen

Bemerken wir eine Verletzung des Schutzes personenbezogener Daten, melden wir sie dem Kunden unverzüglich, möglichst innerhalb von 48 Stunden. Die Meldung nennt, soweit bekannt, was passiert ist, welche Daten und Personen betroffen sind und was wir dagegen tun. So kann der Kunde seine Meldepflicht nach Art. 33 DSGVO erfüllen.

10. Löschung nach Vertragsende

Nach Vertragsende kann der Kunde 30 Tage lang alle Daten exportieren. Danach löschen wir sie. In Sicherungskopien sind sie spätestens 30 Tage später überschrieben. Auf Wunsch bestätigen wir die Löschung per E-Mail.

11. Nachweise und Kontrollen

Wir geben dem Kunden auf Anfrage alle Informationen, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen. Kontrollen vor Ort sind nach Anmeldung mit angemessener Frist möglich, während der Geschäftszeiten und ohne den Betrieb zu stören.

12. Schluss

Für die Haftung gelten die AGB, soweit Art. 82 DSGVO nichts anderes vorschreibt. Bei Widersprüchen geht dieser Vertrag den AGB vor.