Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

(1) Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies für die Leistungen von Dialframe Studio nach den AGB erforderlich ist: das Ankaufsformular, die Ankaufsseite, das Dashboard, die Händler-Website und die Bestandsverwaltung.

(2) Der Vertrag gilt für die Dauer des Hauptvertrags. Die Pflichten zur Löschung und Vertraulichkeit gelten darüber hinaus.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck: Entgegennahme, Speicherung und Bereitstellung von Ankaufsanfragen privater Verkäufer für den Kunden, Benachrichtigung des Kunden per E-Mail, Versand einer Eingangsbestätigung an den Verkäufer, Betrieb der Website des Kunden und Zugang zum Dashboard.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Übermitteln an den Kunden, Löschen.

Betroffene Personen: Verkäufer, die eine Ankaufsanfrage senden; Mitarbeiter des Kunden mit Zugang zum Dashboard; Besucher der Website des Kunden (technische Zugriffsdaten).

Datenarten: Name, E-Mail-Adresse, Telefonnummer, gewünschter Kontaktweg, Angaben zur Uhr (Marke, Referenz, Baujahr, Zustand, Lieferumfang, Preisvorstellung), Fotos, Nachricht, Zeitpunkt der Einwilligung, Herkunftsseite; IP-Adressen nur als gesalzener Hash zur Missbrauchsabwehr; bei Mitarbeitern E-Mail-Adresse und Rolle; bei Website-Besuchern Zugriffsdaten in Server-Protokollen.

§ 3 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet; in diesem Fall teilt er dies dem Kunden vorher mit, soweit das Gesetz es nicht verbietet. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen des Kunden im Dashboard; weitere Weisungen erteilt der Kunde in Textform.

(2) Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin.

§ 4 Vertraulichkeit

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Technische und organisatorische Maßnahmen

Der Anbieter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Anbieter verpflichtet sie vertraglich auf ein gleichwertiges Datenschutzniveau.

(2) Über die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Anbieter den Kunden mindestens vier Wochen vorher in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, können beide Parteien den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

(3) Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage des EU-US Data Privacy Framework oder der EU-Standardvertragsklauseln.

§ 7 Unterstützung des Kunden

(1) Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Anfragen, die sich direkt an den Anbieter richten, leitet er unverzüglich an den Kunden weiter. Im Dashboard kann der Kunde Anfragen selbst einsehen und löschen.

(2) Der Anbieter unterstützt den Kunden bei Datenschutz-Folgenabschätzungen und der Zusammenarbeit mit Aufsichtsbehörden, soweit dies seine Verarbeitung betrifft.

§ 8 Meldung von Verletzungen

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

§ 9 Löschung und Rückgabe

(1) Während der Laufzeit gelten diese Fristen: Unvollständige Anfragen werden nach 24 Stunden, spätestens am folgenden Tag gelöscht; Anfragen mit Fotos nach Ablauf der vereinbarten Aufbewahrungsfrist (Standard: 24 Monate) automatisch, früher, wenn der Kunde sie löscht.

(2) Nach Vertragsende stellt der Anbieter dem Kunden die Daten auf Wunsch nach § 9 der AGB bereit und löscht sie anschließend, spätestens 30 Tage nach Vertragsende, einschließlich Kopien in Sicherungen nach deren regulärem Ablauf. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 10 Nachweise und Kontrollen

Der Anbieter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen nach angemessener Vorankündigung, in der Regel durch Vorlage von Dokumentation und Zertifikaten der Unterauftragsverarbeiter.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.

(2) Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Änderungen bedürfen der Textform.

Anlage 1: Technische und organisatorische Maßnahmen

Zugriffstrennung: Die Daten jedes Kunden sind in der Datenbank per Row Level Security getrennt; Mitarbeiter eines Kunden sehen nur dessen Daten. Die Trennung wird automatisiert getestet.

Zugang: Anmeldung per einmaligem Link an die hinterlegte E-Mail-Adresse, ohne Passwörter; Rollen Inhaber und Mitarbeiter; Administratorzugang nur für den Anbieter.

Verschlüsselung: Übertragung ausschließlich per TLS (HTTPS); Speicherung in verschlüsselten Datenträgern des Rechenzentrums.

Fotos: in einem nicht öffentlichen Speicher, Zugriff nur über kurzlebige signierte Links; Standortdaten (GPS) und andere Metadaten werden vor der Speicherung entfernt.

Datensparsamkeit: IP-Adressen nur als gesalzener Hash zur Ratenbegrenzung; keine Tracking- oder Werbe-Cookies; Spamschutz ohne Drittanbieter; Schriften und Medien selbst gehostet.

Verfügbarkeit und Wiederherstellung: tägliche Datensicherungen der Datenbank durch den Hosting-Dienstleister; Betrieb in Rechenzentren in der EU (Frankfurt am Main).

Löschung: automatische Löschfristen nach § 9; Löschung durch den Kunden im Dashboard jederzeit möglich.

Organisation: Verpflichtung auf Vertraulichkeit; Zugriff auf Kundendaten durch den Anbieter nur, soweit für Support oder Betrieb erforderlich.

Anlage 2: Unterauftragsverarbeiter

Supabase Inc. (USA): Datenbank, Dateispeicher und Anmeldung; Speicherort der Daten: Rechenzentrum in Frankfurt am Main (EU).

Vercel Inc. (USA): Hosting der Anwendung; Ausführung in der Region Frankfurt am Main (EU), Auslieferung über ein weltweites Netz.

Resend (Plus Five Five, Inc., USA): Versand von E-Mails (Benachrichtigungen, Bestätigungen, Anmeldelinks).

Nur mit Sichtbarkeits-Paket: Plausible Insights OÜ (Estland, EU): Besucherstatistik der Website des Kunden ohne Cookies und ohne Speicherung von IP-Adressen.