Vertrag zur Auftragsverarbeitung

1. Gegenstand und Dauer

Wir verarbeiten personenbezogene Daten im Auftrag des Kunden, um ihm MatProfit bereitzustellen. Der Vertrag gilt, solange wir solche Daten für den Kunden verarbeiten, also für die Dauer des Nutzungsvertrags einschließlich des Lesemodus danach.

2. Art der Daten und betroffene Personen

• Kunden und Ansprechpartner des Kunden: Namen, Anschriften, Kontaktdaten, Steuernummern, Projekte, Belege und Zahlungen.
• Mitarbeiter des Kunden: Namen, E-Mail-Adressen, Rollen, Arbeitszeiten, Arbeitstitel, Urlaubs- und Abwesenheitsanträge.
• Inhalte, die der Kunde hochlädt: Fotos, Pläne, Dokumente und Unterschriften.

3. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus diesem Vertrag und der Nutzung von MatProfit durch den Kunden. Halten wir eine Weisung für rechtswidrig, weisen wir den Kunden darauf hin.

4. Vertraulichkeit

Alle Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

Wir treffen geeignete Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Verschlüsselte Übertragung (HTTPS) und Server in der Europäischen Union.
• Trennung der Daten je Firma; jede Anfrage wird auf dem Server auf Anmeldung, Firma und Rolle geprüft.
• Passwörter nur verschlüsselt gespeichert, Zwei-Faktor-Anmeldung, Überblick und Abmeldung der Geräte.
• Regelmäßige automatische Sicherung der Datenbank; Sicherungen werden nach höchstens 30 Tagen gelöscht.
• Zugriff auf die Systeme nur für befugte Personen, mit eigener Anmeldung und Zwei-Faktor-Schutz.

6. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Railway Corporation, USA – Hosting, Datenbank und Dateispeicher in der Region EU West (Niederlande); Übermittlung technischer Protokolle in die USA auf Grundlage der EU-Standardvertragsklauseln.
• Brevo (Sendinblue SAS), Frankreich – Versand von E-Mails (z. B. Einladungen ins Team, Link zum Zurücksetzen des Passworts) über Server in der EU.

Über neue oder ersetzte Unterauftragsverarbeiter informieren wir mindestens vier Wochen vorher; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und in diesem Fall kündigen. Wir verpflichten Unterauftragsverarbeiter vertraglich auf dasselbe Schutzniveau.

7. Unterstützung des Kunden

Wir unterstützen den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anfragen betroffener Personen (z. B. Auskunft, Berichtigung, Löschung, Datenübertragbarkeit – auch über den Export in MatProfit) sowie bei seinen Pflichten nach Art. 32 bis 36 DSGVO.

8. Meldung von Datenschutzverletzungen

Wir informieren den Kunden unverzüglich, spätestens innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes seiner Daten bekannt wird, mit den Angaben, die er für eine Meldung an die Aufsichtsbehörde braucht.

9. Löschung und Rückgabe nach Vertragsende

Nach dem Ende des Vertrags kann der Kunde seine Daten 60 Tage lang im Lesemodus ansehen und vollständig exportieren. Danach löschen wir alle Daten der Firma, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht; aus den Sicherungskopien verschwinden sie spätestens 30 Tage später.

10. Nachweise und Kontrollen

Wir stellen dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglichen Überprüfungen durch ihn oder einen von ihm beauftragten Prüfer nach rechtzeitiger Ankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebs.