Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert gemäß Art. 28 DSGVO die Pflichten des Anbieters bei der Verarbeitung personenbezogener Daten, die der Kunde als datenschutzrechtlich Verantwortlicher (Auftraggeber) im Rahmen der Nutzung von MiseAI verarbeitet — insbesondere Daten eigener Mitarbeitender (z.B. für die Dienstplanung). Er wird automatisch Bestandteil des Vertrags über die Nutzung von MiseAI (siehe AGB, Ziffer 9) und ergänzt diesen, ohne dass eine gesonderte Unterschrift erforderlich ist.

1. Gegenstand und Dauer

Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Anbieter (Auftragsverarbeiter) im Auftrag des Kunden (Auftraggeber) im Rahmen der Bereitstellung von MiseAI. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags (AGB) zwischen den Parteien.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Speichern, Anzeigen, Ändern und Löschen der vom Kunden in MiseAI eingegebenen Daten im Rahmen der Bereitstellung der Funktionen der Anwendung (u.a. Dienstplanung, Verkaufserfassung, Bestellwesen), ausschließlich zum Zweck der Erbringung des Dienstes gegenüber dem Kunden. Eine Verarbeitung zu eigenen Zwecken des Anbieters findet nicht statt.

3. Kategorien betroffener Personen und Art der Daten

Betroffene Personen sind insbesondere Mitarbeitende des Kunden (z.B. im Rahmen der Dienstplanung: Name, Kontaktdaten, Arbeitszeiten, Rolle) sowie, soweit vom Kunden eingegeben, weitere im Betrieb tätige Personen. Verarbeitet werden Stammdaten, Kontaktdaten und betriebliche Einsatzdaten; besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind für die Nutzung von MiseAI nicht vorgesehen und sollten vom Kunden nicht eingegeben werden.

4. Weisungsrecht des Auftraggebers

Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, es sei denn, er ist durch das Recht der Europäischen Union oder der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet. Die Nutzung der in MiseAI bereitgestellten Funktionen durch den Kunden gilt als Weisung im Sinne dieser Regelung. Weitergehende Weisungen sind an die im Impressum genannte Kontaktadresse zu richten.

5. Pflichten des Auftragsverarbeiters

Der Anbieter gewährleistet, dass mit der Verarbeitung befasste Personen zur Vertraulichkeit verpflichtet sind, trifft die in Anlage 1 (Ziffer 6) beschriebenen technischen und organisatorischen Maßnahmen, unterstützt den Kunden bei der Erfüllung von Betroffenenrechten und Datenschutz-Folgenabschätzungen, meldet Datenschutzverletzungen unverzüglich gemäß Ziffer 9 und löscht oder gibt Daten nach Vertragsende gemäß Ziffer 11 zurück.

6. Technische und organisatorische Maßnahmen (Anlage 1)

Verschlüsselte Übertragung (TLS) für sämtliche Verbindungen; Speicherung in einer Datenbank mit Zugriffskontrolle auf Datensatzebene (Row-Level-Security), sodass jede Organisation nur auf ihre eigenen Daten zugreifen kann; Verschlüsselung sensibler Zugangsdaten (z.B. OAuth-Tokens von Drittanbieter-Integrationen) im Ruhezustand; rollenbasierte Zugriffsrechte innerhalb einer Organisation (Inhaber/Manager/Mitglied); Hosting der Datenbank in einem Rechenzentrum innerhalb der EU. Der Anbieter passt diese Maßnahmen dem Stand der Technik entsprechend fortlaufend an.

7. Unterauftragsverarbeiter

Der Anbieter setzt zur Erbringung des Dienstes folgende Unterauftragsverarbeiter ein; der Kunde stimmt deren Einsatz mit Abschluss dieses AVV zu:

• Supabase Inc. — Datenbank und Authentifizierung, Hosting der Datenbank in der EU (Region Frankfurt).
• Vercel Inc. (USA) — Hosting der Anwendung. Datenübermittlung auf Grundlage der EU-Standardvertragsklauseln.
• Resend — Versand von System-E-Mails.
• Anthropic PBC (USA) — KI-Assistent, nur bei aktiver Nutzung dieser optionalen Funktion. Datenübermittlung auf Grundlage der EU-Standardvertragsklauseln.

Der Anbieter informiert den Kunden über den Austausch oder die Hinzunahme weiterer Unterauftragsverarbeiter; der Kunde kann diesem innerhalb angemessener Frist widersprechen.

8. Unterstützung bei Betroffenenrechten

Der Anbieter unterstützt den Kunden, soweit ihm dies möglich ist, bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) sowie bei Datenschutz-Folgenabschätzungen und der vorherigen Konsultation von Aufsichtsbehörden, soweit dies aufgrund der Art der Verarbeitung erforderlich ist.

9. Meldung von Datenschutzverletzungen

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die im Rahmen der Auftragsverarbeitung eingetreten ist, unverzüglich nach Kenntniserlangung, damit dieser seinen eigenen Meldepflichten (Art. 33, 34 DSGVO) nachkommen kann.

10. Kontrollrechte des Auftraggebers

Der Kunde ist berechtigt, sich in angemessenem Umfang von der Einhaltung der in diesem AVV vereinbarten Pflichten zu überzeugen, insbesondere durch Einholung von Auskünften beim Anbieter. Ein Zutritt zu den Geschäftsräumen des Anbieters oder seiner Unterauftragsverarbeiter ist ausgeschlossen; der Anbieter stellt hierfür geeignete Nachweise (z.B. Selbstauskünfte, Dokumentation der technischen und organisatorischen Maßnahmen) zur Verfügung.

11. Löschung und Rückgabe von Daten

Nach Beendigung des Hauptvertrags löscht der Anbieter sämtliche personenbezogenen Daten des Kunden, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen. Auf Wunsch des Kunden stellt der Anbieter die Daten vor der Löschung in einem gängigen, strukturierten Format zum Export zur Verfügung, sofern der Kunde dies vor Ablauf einer angemessenen Frist nach Vertragsende anfordert.

12. Haftung

Für die Haftung im Rahmen dieses AVV gelten die Haftungsregelungen der AGB (Ziffer 12) entsprechend, soweit sich aus zwingenden Vorschriften der DSGVO (insbesondere Art. 82 DSGVO) nichts Abweichendes ergibt.

13. Schlussbestimmungen

Bei Widersprüchen zwischen diesem AVV und der AGB gehen die Regelungen dieses AVV im Hinblick auf die Verarbeitung personenbezogener Daten vor. Im Übrigen gelten die Schlussbestimmungen der AGB (Ziffer 15) entsprechend.