Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO gilt für Kunden, in deren Auftrag GETALWIN personenbezogene Daten verarbeitet (z. B. Website-Formulare, Kundenportal, vereinbarte Automatisierungen).

So schließen Sie die Vereinbarung: Senden Sie uns eine kurze Nachricht an hallo@getalwin.com mit Firmenname, Anschrift und vertretungsberechtigter Person. Sie erhalten die Vereinbarung gegengezeichnet zurück. Diese Seite können Sie über die Druckfunktion als PDF speichern.

---

zwischen

Firma, Anschrift und vertretungsberechtigte Person des Kunden (werden beim Abschluss der Vereinbarung eingesetzt)
als Verantwortlicher, nachfolgend „Kunde“

und

Skylumina GmbH, Horster Park 43, 4731 Raeren, Belgien, vertreten durch Johannes Eidens
als Auftragsverarbeiter, nachfolgend „GETALWIN“

1. Gegenstand und Dauer

1. GETALWIN verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies für Website-Betrieb, Formulare, Kundenportal, Kommunikation, Hosting-Unterstützung, Automatisierungen oder KI-Agenten erforderlich ist.
2. Gegenstand, Dauer und Leistungsumfang richten sich nach dem Hauptvertrag und Anlage 1.
3. Die Verarbeitung dauert grundsätzlich für die Laufzeit des Hauptvertrags zuzüglich Übergabe-, Sicherungs- und Löschfristen.

2. Weisungen

1. GETALWIN verarbeitet Daten nur auf dokumentierte Weisung des Kunden, einschließlich Übermittlungen in Drittländer, sofern keine gesetzliche Verpflichtung entgegensteht.
2. Der Hauptvertrag, Konfigurationen im Kundenbereich, schriftliche Projektbeschreibungen und freigegebene Agentenregeln gelten als dokumentierte Weisungen.
3. Hält GETALWIN eine Weisung für datenschutzwidrig, informiert GETALWIN den Kunden und darf die Ausführung bis zur Klärung aussetzen.

3. Vertraulichkeit

GETALWIN stellt sicher, dass berechtigte Personen zur Vertraulichkeit verpflichtet sind und nur im erforderlichen Umfang Zugriff erhalten.

4. Sicherheit

1. GETALWIN setzt angemessene technische und organisatorische Maßnahmen gemäß Anlage 2 ein.
2. Maßnahmen werden risikobasiert weiterentwickelt.
3. Änderungen dürfen das vereinbarte Sicherheitsniveau nicht wesentlich unterschreiten.

5. Unterauftragsverarbeiter

1. Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz der in Anlage 3 bzw. auf der öffentlichen Unterauftragsverarbeiterliste genannten Anbieter.
2. GETALWIN informiert mindestens 14 Tage vor einem neuen Unterauftragsverarbeiter, soweit die Änderung nicht aus einem dringenden Sicherheits- oder Betriebsgrund schneller erforderlich ist.
3. Der Kunde kann aus nachvollziehbaren Datenschutzgründen widersprechen.
4. Können die Parteien keine zumutbare Lösung finden, kann der betroffene Leistungsteil zum Änderungszeitpunkt gekündigt werden.
5. GETALWIN verpflichtet Unterauftragsverarbeiter inhaltlich angemessen nach Art. 28 DSGVO.

6. Unterstützung des Kunden

GETALWIN unterstützt den Kunden angemessen bei:

• Anfragen betroffener Personen,
• Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit,
• Sicherheit und Datenschutzverletzungen,
• Datenschutz-Folgenabschätzungen,
• Konsultationen mit Behörden,
• Nachweis der Einhaltung.

Aufwand, der über die übliche Leistung hinausgeht und nicht durch ein Verschulden von GETALWIN verursacht ist, kann nach vorheriger Abstimmung berechnet werden.

7. Datenschutzverletzungen

1. GETALWIN informiert den Kunden nach Kenntnis unverzüglich über eine Verletzung personenbezogener Daten im Verantwortungsbereich von GETALWIN.
2. Die Information enthält, soweit verfügbar:
• Art des Vorfalls,
• betroffene Daten und Personen,
• wahrscheinliche Folgen,
• getroffene oder vorgeschlagene Maßnahmen,
• Ansprechpartner.
3. GETALWIN unterstützt die weitere Bewertung und Dokumentation.

8. Internationale Übermittlungen

1. Übermittlungen außerhalb des EWR erfolgen nur mit zulässigem Mechanismus, etwa Angemessenheitsbeschluss oder Standardvertragsklauseln.
2. Soweit erforderlich, werden zusätzliche Maßnahmen und eine Transferbewertung dokumentiert.
3. Die aktuelle Unterauftragsverarbeiterliste nennt bekannte Verarbeitungsregionen und Mechanismen.

9. Rückgabe und Löschung

1. Nach Ende der Leistung gibt GETALWIN personenbezogene Kundendaten nach Wahl und technischer Möglichkeit zurück oder löscht sie, soweit keine gesetzliche Pflicht zur Speicherung besteht.
2. Operative Daten werden nach Ablauf der Übergabefrist gelöscht; Backups werden nach ihrem regulären Zyklus überschrieben.
3. Gesetzlich aufzubewahrende Vertrags- und Rechnungsdaten werden gesperrt und nur für den Aufbewahrungszweck verwendet.

10. Nachweise und Audits

1. GETALWIN stellt dem Kunden auf Anfrage angemessene Informationen zur Einhaltung dieser Vereinbarung bereit.
2. Audits erfolgen nach angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung der Sicherheit anderer Kunden.
3. Zunächst sollen Dokumente, Zertifikate oder Remote-Nachweise genutzt werden.
4. Vor-Ort-Audits sind zulässig, wenn ein dokumentierter Anlass besteht und mildere Nachweise nicht ausreichen.
5. Unverhältnismäßiger Aufwand kann berechnet werden, soweit GETALWIN keinen Verstoß zu vertreten hat.

11. Verantwortlichkeit des Kunden

Der Kunde ist verantwortlich für:

• Rechtmäßigkeit der Verarbeitung,
• Informationspflichten und Einwilligungen,
• zulässige Weisungen,
• Richtigkeit und Qualität der Daten,
• Konfiguration von Berechtigungen,
• branchenspezifische Vorgaben,
• Festlegung notwendiger Lösch- und Aufbewahrungsfristen.

12. Schlussbestimmungen

1. Bei Widersprüchen geht diese AVV für Fragen der Auftragsverarbeitung dem Hauptvertrag vor.
2. Im Übrigen gelten die AGB und das im Hauptvertrag vereinbarte Recht.

Anlage 1: Beschreibung der Verarbeitung

Gegenstand: Betrieb und Betreuung von Websites, Formularen, Kundenportal, Hosting, Support, Automatisierungen und vereinbarten KI-Agenten.

Zwecke: Bereitstellung, Kommunikation, Bearbeitung von Anfragen, technische Betreuung, Automatisierung, Support, Sicherheit.

Datenarten, je nach Projekt:

• Stamm- und Kontaktdaten,
• Website-Besucher- und Formulardaten,
• Kommunikationsdaten,
• Kunden-, Interessenten- und Beschäftigtendaten,
• Vertrags- und Rechnungsdaten,
• Nutzungs- und Logdaten,
• Bilder, Dateien, Audio oder Video,
• Inhalte verbundener Systeme,
• Agentenprotokolle.

Betroffene Personen, je nach Projekt:

• Beschäftigte und Ansprechpartner des Kunden,
• Website-Besucher,
• Interessenten und Kunden des Kunden,
• Lieferanten und Geschäftspartner,
• Bewerber, sofern ausdrücklich vereinbart und rechtlich geprüft.

Besondere Kategorien: Standardmäßig nicht vorgesehen. Nur nach ausdrücklicher Vereinbarung, Risikoanalyse und zusätzlichen Maßnahmen.

Dauer: Hauptvertragslaufzeit plus Übergabe-, Sicherungs- und gesetzliche Aufbewahrungsfristen.

Anlage 2: Technische und organisatorische Maßnahmen

Weitere Maßnahmen werden ergänzt, sobald sie umgesetzt und intern dokumentiert sind. Wir behaupten keine Maßnahme, die nicht belegt ist.

Anlage 3: Unterauftragsverarbeiter

Verweis auf die versionierte aktuelle Unterauftragsverarbeiterliste, ergänzt um Datum und bei Bedarf kundenspezifische Anbieter.