gemäß Art. 28 DSGVO
Auftraggeber / Verantwortlicher: die Velqio nutzende Werkstatt (nachfolgend „Verantwortlicher").
Auftragnehmer / Auftragsverarbeiter: Margency UG (haftungsbeschränkt), Marktplatz 7, 72379 Hechingen (nachfolgend „Auftragsverarbeiter").
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der Software Velqio. Die Dauer entspricht der Laufzeit des Hauptvertrags (Nutzung von Velqio).
Der Auftragsverarbeiter verarbeitet Daten ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen (Speicherung und Verarbeitung von Auftrags-, Kunden- und Betriebsdaten der Werkstatt, Kommunikation, Backups, KI-gestützte Textformulierung auf Anforderung).
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Weisungen erfolgen in der Regel durch die Nutzung der Softwarefunktionen; darüber hinausgehende Weisungen in Textform.
Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 S. 3 DSGVO). Er ist berechtigt, die Durchführung der betreffenden Weisung bis zur Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.
Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Auftragsverarbeiter trifft geeignete TOM nach Art. 32 DSGVO, insbesondere:
Die aktuelle, ausführliche TOM-Beschreibung wird auf Anfrage bereitgestellt [ggf. verlinken/anhängen].
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu. Beabsichtigte Änderungen (Hinzuziehung oder Austausch) kündigt der Auftragsverarbeiter mindestens vier Wochen im Voraus in Textform (z. B. per E-Mail oder in der Anwendung) an. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kann keine Einigung erzielt werden, steht dem Verantwortlichen ein Sonderkündigungsrecht zu. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter zu denselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).
| Unterauftragsverarbeiter | Leistung | Ort |
|---|---|---|
| Hetzner Online GmbH | Hosting / Serverbetrieb | Deutschland |
| Anthropic PBC | KI-Textformulierung (nur auf Anforderung) | USA (SCC/DPF) |
| IONOS SE | E-Mail-Versand | Deutschland/EU |
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten (Art. 32–36 DSGVO).
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.
Nach Abschluss der Leistungen löscht der Auftragsverarbeiter die Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Wunsch wird vor der Löschung ein Datenexport bereitgestellt.
Der Auftragsverarbeiter stellt dem Verantwortlichen die zur Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen in angemessenem Rahmen.
Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.