Vertrag zur Auftragsverarbeitung (AVV)

Vertragsparteien

Verantwortlicher („Kunde“): das Unternehmen, das Kantwerk nach den AGB nutzt – mit den bei der Buchung bzw. im Angebot angegebenen Firmendaten.

Auftragsverarbeiter („Anbieter“): LuminaX Digital, vertreten durch Fabian Faraz Farid, Richard-Wagner-Straße 137, 41065 Mönchengladbach, Deutschland · E-Mail: [email protected].

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Kantwerk-Vertrag (Hauptvertrag). Er wird mit dem Hauptvertrag geschlossen – bei Online-Buchung mit Abschluss des Bezahlvorgangs, sonst mit Annahme des Angebots – und bedarf keiner gesonderten Unterschrift. Er erfüllt die Anforderungen des Art. 28 Abs. 3 und 9 DSGVO (Textform genügt). Auf Wunsch stellen wir ihn zusätzlich als unterschriebenes PDF bereit.

§ 1 Gegenstand und Dauer

(1) Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies für die Bereitstellung von Kantwerk als Online-Software (Software as a Service) nach dem Hauptvertrag erforderlich ist, einschließlich Hosting, Wartung und Support.

(2) Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach fortwirken (insbesondere Löschung, Vertraulichkeit, Nachweise), gelten über das Vertragsende hinaus.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck: Erzeugung, Prüfung und Speicherung von Fertigungsdaten (DXF, PDF) für Blechteile, Verwaltung der Benutzer des Kunden, Entgegennahme und Weiterleitung von Anfragen und bezahlten Bestellungen aus dem Shop-Konfigurator des Kunden, Support.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Abfragen, Übermitteln per E-Mail an den Kunden, Löschen – ausschließlich automatisiert nach festen Regeln, ohne KI und ohne Profilbildung.

Kategorien betroffener Personen:

• Beschäftigte und sonstige Benutzer des Kunden,
• Kunden und Interessenten des Kunden (z. B. Endkunden, die über den Shop-Konfigurator eine Anfrage senden oder deren Namen in Aufträgen stehen).

Arten personenbezogener Daten:

• Benutzerdaten: E-Mail-Adresse, Passwort (nur als Hash), Rolle, Zeitpunkte der Nutzung, Ersteller von Aufträgen.
• Auftragsdaten: Kunden- bzw. Projektnamen, Konfigurations-IDs, Maße, Notizen, importierte Dateien sowie erzeugte DXF-/PDF-Dateien.
• Shop-Anfragen: Name, E-Mail-Adresse, optional Telefonnummer, Firma und Nachricht, konfiguriertes Bauteil, Adresse der absendenden Seite, Zeitpunkt, gesalzener Hash der IP-Adresse (keine IP-Adresse im Klartext).
• Shop-Bestellungen (Warenkorb-Modus): konfiguriertes Bauteil mit Preis, Adresse der Seite, Zeitpunkt, IP-Hash; nach Zahlung die vom Shop des Kunden gemeldete Bestellnummer und der Name des Bestellers (ggf. mit Firma).
• Support-Protokoll: Zeitpunkt und Person jedes Support-Zugriffs.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet; der Kunde gibt solche Daten nicht ein.

Nicht Gegenstand dieses Vertrags sind Daten, die der Anbieter als eigener Verantwortlicher verarbeitet (z. B. Vertrags-, Rechnungs- und Zahlungsdaten des Kunden, Website-Besuche, Musterzeichnungen) – dafür gilt die Datenschutzerklärung.

§ 3 Weisungen des Kunden

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, er ist nach Unionsrecht oder deutschem Recht zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dem Kunden diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen sind durch den Hauptvertrag, diesen Vertrag und die Einstellungen festgelegt, die der Kunde in Kantwerk selbst vornimmt (z. B. Benutzer, Shop-Konfigurator, Empfänger von Anfragen). Weitere Weisungen erteilt der Kunde in Textform an [email protected].

(3) Ist der Anbieter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Kunden unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 4 Pflichten des Anbieters

• Er verarbeitet die Daten ausschließlich zu den in § 2 genannten Zwecken und nicht für eigene Zwecke (insbesondere nicht für Werbung oder zum Training von KI).
• Er verpflichtet alle Personen, die Zugang zu den Daten haben, auf Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.
• Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, beschrieben in Anlage 1.
• Er benennt dem Kunden eine Ansprechperson für den Datenschutz: [email protected]. Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO und § 38 BDSG nicht zu benennen.
• Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
• Er arbeitet auf Anfrage mit der zuständigen Aufsichtsbehörde zusammen und informiert den Kunden über Kontrollen oder Maßnahmen der Behörde, soweit sie diesen Vertrag betreffen.

§ 5 Unterauftragsverarbeiter

(1) Der Kunde genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Anbieter hat mit ihnen Verträge geschlossen, die mindestens das Schutzniveau dieses Vertrags gewährleisten (Art. 28 Abs. 4 DSGVO).

(2) Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) informiert der Anbieter den Kunden mindestens vier Wochen vorher per E-Mail und durch Aktualisierung dieser Seite. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist in Textform widersprechen. Können sich die Parteien nicht einigen, darf der Kunde den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.

(3) Eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss wie das EU-US Data Privacy Framework oder EU-Standardvertragsklauseln).

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation oder Postdienste.

§ 6 Unterstützung des Kunden

(1) Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst. Er unterstützt den Kunden bei der Erfüllung der Rechte nach Art. 15–22 DSGVO; Auskunft, Export und Löschung einzelner Aufträge kann der Kunde in Kantwerk weitgehend selbst vornehmen.

(2) Er unterstützt den Kunden bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) im Rahmen der ihm vorliegenden Informationen.

(3) Unterstützungsleistungen, die über das Übliche hinausgehen und nicht auf einem Verstoß des Anbieters beruhen, kann der Anbieter nach den Stundensätzen des Hauptvertrags abrechnen, nachdem er den Kunden vorab auf die Kosten hingewiesen hat.

§ 7 Verletzungen des Schutzes personenbezogener Daten

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die Admins des Kunden. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, betroffene Kategorien und ungefähre Anzahl, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen) und wird ergänzt, sobald weitere Informationen vorliegen. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung Betroffener obliegen dem Kunden; der Anbieter unterstützt dabei.

§ 8 Löschung und Rückgabe

(1) Während der Laufzeit kann der Kunde Aufträge, Dateien und Benutzer in Kantwerk selbst herunterladen und entfernen bzw. deren Löschung beim Anbieter veranlassen. Kontaktdaten aus Shop-Anfragen löscht der Anbieter automatisch 24 Monate nach Eingang, nicht bestellte Konfigurationen nach 30 Tagen, Bestellnummer und Name aus Shop-Bestellungen nach 24 Monaten.

(2) Nach Ende des Hauptvertrags löscht der Anbieter alle Daten des Kunden innerhalb von 90 Tagen, sofern keine gesetzliche Pflicht zur Speicherung besteht. Bis zur Löschung kann der Kunde einen Export seiner Aufträge (DXF, PDF, Auftragsdaten) anfordern. Daten in Datensicherungen werden mit deren regulärem Ablauf überschrieben. Die Löschung bestätigt der Anbieter auf Anfrage in Textform.

§ 9 Nachweise und Kontrollen

(1) Der Anbieter stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 1 und die Nachweise (z. B. Zertifikate, Prüfberichte) der Unterauftragsverarbeiter.

(2) Reicht dies nicht aus, kann der Kunde – nach Anmeldung mit angemessener Frist, in der Regel zwei Wochen, während der Geschäftszeiten und ohne Störung des Betriebs – Überprüfungen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, der kein Wettbewerber des Anbieters ist. Kontrollen bei Unterauftragsverarbeitern erfolgen über deren Nachweise und Prüfberichte.

§ 10 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.

(2) Bei Widersprüchen geht dieser Vertrag den Regelungen des Hauptvertrags zum Datenschutz vor. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

(3) Änderungen dieses Vertrags teilt der Anbieter entsprechend § 11 der AGB mit; Änderungen der Anlagen, die das Schutzniveau nicht senken, sowie Änderungen nach § 5 Abs. 2 gelten mit Veröffentlichung auf dieser Seite. Es gilt deutsches Recht, Gerichtsstand ist Mönchengladbach.