Vertrag zur Auftragsverarbeitung für Agile-Software

§ 1 Gegenstand und Dauer

(1) Dieser Vertrag konkretisiert die Pflichten aus Artikel 28 DSGVO für die Verarbeitung personenbezogener Daten, die die Onestop Software e.K., Hummelbergweg 10/1, 72227 Egenhausen, nachfolgend Auftragsverarbeiter, im Auftrag des Kunden, nachfolgend Verantwortlicher, bei der Bereitstellung der Software-Produkte vornimmt.

(2) Er gilt für alle Daten, die der Verantwortliche oder seine Nutzer in den Dienst eingeben, hochladen oder über ihn empfangen, soweit sie Dritte betreffen, etwa Kontakte, Kunden, Beschäftigte, Gesprächspartner oder Besucher seiner Website. Daten zum eigenen Konto des Verantwortlichen und zur Abrechnung verarbeiten wir als eigene Verantwortliche nach unserer Datenschutzerklärung.

(3) Die Dauer entspricht der Laufzeit des Hauptvertrags einschließlich Übergangs- und Abrufzeitraum nach § 6 der AGB.

§ 2 Art, Zweck, Daten und Betroffene je Produkt

Agile CRM

Verwaltung von Kontakten, Leads, Vorgängen und Aufgaben, Recherche öffentlicher Firmenangaben, Versand von Nachrichten. Betroffene: Kontakte und Interessenten des Verantwortlichen. Daten: Stamm- und Kontaktdaten, Kommunikations- und Vorgangsdaten.

Agile Buchhaltung

Rechnungen, Belege, Buchungen, Fahrtenbuch. Betroffene: Kunden, Lieferanten, Beschäftigte des Verantwortlichen. Daten: Stamm-, Vertrags-, Zahlungs- und Buchhaltungsdaten, bei aktivem Fahrtenbuch Standortdaten der Fahrten.

Agile Projektmanagement, Kalender, Clips und Meeting

Aufgaben, Termine, Bildschirmvideos mit Transkript, Videomeetings. Betroffene: Teammitglieder, Gäste und Terminpartner. Daten: Namen, Kontaktdaten, Inhalte, Bild und Ton der Videos und Meetings.

Agile Voice

Telefonate durch KI-Agents. Betroffene: Anrufer und Angerufene. Daten: Telefonnummern, Gesprächsinhalte als Audio und Transkript, im Gespräch erfasste Angaben.

Agile E-Mail

Postfächer, Empfang und Versand von E-Mails. Betroffene: Nutzer und Korrespondenzpartner. Daten: E-Mail-Inhalte, Anhänge, Adressen, Verbindungsdaten.

Agile Storage, Agile eSign, Agile Secrets

Speicherung und Freigabe von Dateien, elektronische Unterschriften, verschlüsselte Einmal-Links. Betroffene: in Dateien und Dokumenten genannte Personen, Unterzeichner, Empfänger. Daten: Dateiinhalte, Namen, E-Mail-Adressen, Protokolldaten (Zeit, IP-Adresse, Gerät). Inhalte von Agile Secrets sind Ende-zu-Ende verschlüsselt und für uns nicht lesbar.

Agile Kundensupport

Support-Chat und Posteingang. Betroffene: Besucher und Kunden des Verantwortlichen. Daten: Namen, Kontaktdaten, Nachrichten, technische Angaben zum Besuch.

Agile Webseite

Betrieb der WordPress-Website des Verantwortlichen. Betroffene: Besucher und Nutzer der Website. Daten: Zugriffsdaten, Formulareingaben und alle Inhalte der Website.

Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO verarbeitet der Auftragsverarbeiter nur, soweit der Verantwortliche sie selbst in den Dienst gibt; der Verantwortliche prüft dafür die Zulässigkeit.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen sind abschließend im Hauptvertrag, in diesem Vertrag und in den Einstellungen und Aktionen des Verantwortlichen im Dienst festgelegt; weitere Weisungen erteilt er in Textform.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

(3) Eine Übermittlung in ein Drittland erfolgt nur über die in § 6 genannten Unterauftragsverarbeiter mit den dort genannten Garantien oder wenn eine gesetzliche Pflicht besteht.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Zugriff auf Inhalte des Verantwortlichen nimmt er nur, soweit es für Betrieb, Support auf Anfrage oder die Abwehr von Störungen und Missbrauch erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die nach Artikel 32 DSGVO erforderlichen Maßnahmen, insbesondere:

• Betrieb auf Servern der Hetzner Online GmbH in Rechenzentren in Deutschland
• verschlüsselte Übertragung über TLS nach aktuellem Stand
• Passwörter und API-Schlüssel nur als nicht rückrechenbare Hashwerte
• Trennung der Daten je Kunde und Zugriffskontrolle nach Rollen
• Zugang zu den Servern nur per Schlüssel, Firewall, regelmäßige Sicherheitsupdates
• tägliche Sicherungen, verschlüsselte Sicherung außerhalb des Servers
• Protokollierung sicherheitsrelevanter Vorgänge, tägliche Fehler- und wöchentliche Sicherheitsprüfung

Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu, jeweils nur für die genannten Produkte:

Hetzner Online GmbH, Gunzenhausen, Deutschland

Rechenzentrum, Server und Sicherungsspeicher für alle Produkte

Twilio Inc. (SendGrid), USA, und Twilio Germany GmbH

Versand von E-Mails aus den Produkten sowie Ausgang von Agile E-Mail für Kundendomains; EU-Standardvertragsklauseln und EU-US Data Privacy Framework

Stripe Payments Europe, Limited, Dublin, Irland

Zahlungsabwicklung, nur Abrechnungsdaten

Sendinblue SAS (Brevo), Paris, Frankreich

Ausgang von Agile E-Mail für einzelne Bestandsdomains

OpenAI, L.L.C., USA

KI-Funktionen: Transkript und Zusammenfassung in Agile Clips, Sprachdialoge und Wissenssuche in Agile Voice (Konten ohne eigenen Anbieter-Schlüssel), KI-Antworten in Agile Kundensupport, Texte bei der Einrichtung von Agile Webseite; kein Training mit Kundendaten; EU-Standardvertragsklauseln und EU-US Data Privacy Framework

Anthropic PBC, USA

Belegerkennung in Agile Buchhaltung und KI-Funktionen in Agile CRM; kein Training mit Kundendaten; EU-Standardvertragsklauseln

Twilio Inc., USA

Telefonie für Agile Voice bei von uns bereitgestellten Rufnummern; EU-Standardvertragsklauseln und EU-US Data Privacy Framework

OpenStreetMap Foundation, Vereinigtes Königreich, und Betreiber öffentlicher Overpass- und OSRM-Server

Ortsnamen und Routen für das Fahrtenbuch in Agile Buchhaltung; übermittelt werden nur Koordinaten; für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss

Hinterlegt der Verantwortliche in Agile Voice eigene Zugangsdaten anderer Anbieter (etwa für Sprachmodelle, Spracherkennung, Sprachausgabe oder Telefonie), schließt er den Vertrag mit diesen Anbietern selbst; sie sind dann keine Unterauftragsverarbeiter des Auftragsverarbeiters.

(2) Weitere oder neue Unterauftragsverarbeiter teilen wir mindestens vier Wochen vorher in Textform oder im Dienst mit. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem Grund widersprechen; dann kann jede Seite den betroffenen Dienst zum Zeitpunkt des Wechsels kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt bei Anfragen betroffener Personen nach den Artikeln 15 bis 22 DSGVO, vorrangig durch die Funktionen des Dienstes (Auskunft, Export, Berichtigung, Löschung). Richtet sich eine betroffene Person direkt an ihn, leitet er die Anfrage unverzüglich weiter.

(2) Er unterstützt bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach den Artikeln 35 und 36 DSGVO, soweit es um den Dienst geht.

(3) Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den für eine Meldung nach Artikel 33 DSGVO erforderlichen Angaben, soweit sie ihm vorliegen.

§ 8 Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung auf Anfrage durch eine aktuelle Beschreibung der Maßnahmen nach § 5 nach. Darüber hinaus kann der Verantwortliche nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebs prüfen; Kosten trägt er selbst, soweit die Prüfung keinen Verstoß ergibt.

§ 9 Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten über die Exportfunktionen und die API herausnehmen (§ 6 der AGB). Danach löscht der Auftragsverarbeiter sie, soweit keine gesetzliche Aufbewahrungspflicht besteht.

(2) Sicherungskopien werden im Rahmen der üblichen Rotation gelöscht, spätestens 90 Tage nach Ende des Abrufzeitraums.

§ 10 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Artikel 82 DSGVO, im Innenverhältnis ergänzend der Hauptvertrag.

(2) Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor. Es gilt deutsches Recht.