Vereinbarung zur Auftragsverarbeitung

1. Parteien und Rollen

Verantwortlicher ist der Betrieb, der ein Firmenkonto in RELYRO führt. Er entscheidet, welche Daten seiner Kunden und Mitarbeiter er einträgt und zu welchem Zweck.

Auftragsverarbeiter ist:

Mit der Nutzung von RELYRO kommt diese Vereinbarung zustande. Ein Betrieb, der zusätzlich ein unterschriebenes Exemplar für seine Unterlagen benötigt, erhält es auf Anfrage an service@app-relyro.com.

2. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand ist die Bereitstellung der Software RELYRO. RELYRO speichert, ordnet, zeigt an, verändert auf Anweisung, exportiert, sichert und löscht die vom Betrieb eingetragenen Daten. Zweck ist ausschließlich die Organisation der betrieblichen Abläufe des Betriebs. Eine Verarbeitung zu eigenen Zwecken des Betreibers findet nicht statt.

3. Dauer

Die Vereinbarung gilt für die Dauer des Nutzungsverhältnisses und endet mit dessen Beendigung sowie der anschließenden Löschung oder Rückgabe der Daten.

4. Kategorien betroffener Personen

• Kunden und Interessenten des Betriebs
• Ansprechpartner bei Kunden, Lieferanten und Partnern
• Mitarbeiter, Lehrlinge und Büropersonal des Betriebs

5. Kategorien personenbezogener Daten

• Stammdaten: Name, Firma, Adresse, Telefonnummer, E-Mail-Adresse
• Auftragsdaten: Titel, Beschreibung, Status, Termine, Baustelle, Zuweisung
• Beschäftigtendaten: Rolle, Berechtigungen, Arbeitszeiten, Stundensätze
• Kaufmännische Daten: Material, Preise, Angebote, Rechnungen
• Dokumentation: Fotos, Unterschriften, Berichte, Notizen, Dokumente
• Nutzungsdaten: Anmeldungen, Zugriffszeitpunkte, technische Protokolle

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht vorgesehen. Der Betrieb soll solche Daten nicht in RELYRO eintragen.

6. Weisungen

Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Betriebs. Als Weisung gelten der Nutzungsvertrag, diese Vereinbarung und die Bedienung der Software durch die Benutzer des Betriebs. Weitere Weisungen sind in Textform an service@app-relyro.com zu richten. Hält der Betreiber eine Weisung für rechtswidrig, teilt er das mit und darf ihre Ausführung aussetzen.

7. Vertraulichkeit

Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Der Zugriff auf Produktivdaten ist auf die Fälle beschränkt, in denen er für Betrieb, Fehlerbehebung oder Support nach Anfrage des Betriebs erforderlich ist.

8. Technische und organisatorische Maßnahmen

• Zugangsschutz über Supabase Auth mit persönlichen Konten je Benutzer.
• Trennung der Firmendaten über die Firmenzuordnung und zusätzlich über Row Level Security direkt im Datenbankserver.
• Rollen- und Rechtesystem: Mitarbeiter sehen nur die Aufträge und Daten, für die sie berechtigt sind.
• Geldwerte wie Stundensätze, Materialpreise und Rechnungsbeträge sind spaltenweise gesperrt und nur über geprüfte Serverfunktionen abrufbar.
• Fotos, Unterschriften und Dokumente liegen in privaten Speicherbereichen ohne öffentliche Adressen; der Zugriff erfolgt über kurzlebige signierte Links.
• Verschlüsselte Übertragung über TLS und verschlüsselte Speicherung beim Hoster.
• Serverseitige Schlüssel liegen ausschließlich in der Serverumgebung und sind für Benutzer nicht erreichbar.
• Tägliche automatische Sicherung, getrennt je Betrieb, in einem privaten Speicherbereich.
• Exportfunktion, damit der Betrieb jederzeit eine eigene Kopie seiner Daten erstellen kann.

9. Unterauftragsverarbeiter

Der Betrieb stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Supabase Pte. Ltd. (Singapur): Authentifizierung, Datenbank, Dateispeicher und Sicherungen der Firmendaten. Speicherort: Paris, Frankreich (EU).
• Vercel Inc. (USA): Hosting, Auslieferung der Anwendung, Serverfunktionen und geplante Aufgaben. Serverfunktionen in Paris, Frankreich (EU).
• OpenAI Ireland Ltd. (Irland), Verarbeitung durch die OpenAI-Gruppe in den USA: Verarbeitung jener Inhalte, die ein Benutzer mit dem Aufruf einer KI-Funktion übermittelt. Verarbeitung in den USA, keine Verwendung zum Training der Modelle.

Ein Wechsel oder eine Ergänzung wird mindestens vier Wochen vorher per E-Mail angekündigt. Der Betrieb kann aus wichtigem Grund widersprechen; in diesem Fall kann er den Vertrag zum Zeitpunkt der Umstellung kündigen. Mit allen Unterauftragsverarbeitern bestehen Verträge mit Datenschutzpflichten, die dieser Vereinbarung entsprechen. Erfolgt eine Übermittlung oder Verarbeitung außerhalb des EWR, geschieht das für die USA auf Grundlage des EU-US Data Privacy Framework, soweit der Anbieter danach zertifiziert ist, und im Übrigen auf Grundlage der Standardvertragsklauseln der Europäischen Kommission.

10. Unterstützung des Betriebs

Der Betreiber unterstützt den Betrieb bei Auskunfts-, Berichtigungs-, Lösch- und Übertragbarkeitsanfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei Meldungen an die Aufsichtsbehörde, soweit dafür Informationen benötigt werden, über die nur der Betreiber verfügt. Wendet sich eine betroffene Person direkt an den Betreiber, wird sie an den Betrieb verwiesen.

11. Datenschutzverletzungen

Wird eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert der Betreiber den betroffenen Betrieb unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, und stellt die Informationen bereit, die der Betrieb für eine Meldung nach Art. 33 DSGVO benötigt.

12. Nachweise und Kontrolle

Der Betreiber stellt dem Betrieb auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung nötig sind. Kontrollen sind nach Vorankündigung und ohne Störung des Betriebs möglich, wobei vorrangig Auskünfte und vorhandene Nachweise der Unterauftragsverarbeiter verwendet werden.

13. Löschung und Rückgabe

Nach Ende des Nutzungsverhältnisses bleiben die Daten 30 Tage abrufbar, damit der Betrieb sie exportieren kann. Danach werden sie gelöscht. Sicherungen werden spätestens 90 Tage nach ihrer Erstellung gelöscht, gesicherte Kopien von Fotos und Dokumenten spätestens 90 Tage nach dem Löschen des Originals. Gesetzliche Aufbewahrungspflichten bleiben unberührt; betroffene Daten werden bis zum Ablauf der Frist gesperrt statt gelöscht.

14. Schlussbestimmungen

Bei Widersprüchen zwischen dieser Vereinbarung und dem Nutzungsvertrag geht diese Vereinbarung vor. Es gilt österreichisches Recht.