Tschechische Fassung (verbindlich)
Sprache: Deutsch
ČeštinaEnglishБългарскиDanskDeutschΕλληνικάEspañolEestiSuomiFrançaisHrvatskiMagyarItalianoLietuviųLatviešuNorsk bokmålNederlandsPolskiPortuguêsRomânăSlovenčinaSlovenščinaSvenska

Auftragsverarbeitungsvertrag

Anlage zu den Nutzungsbedingungen · wirksam ab 2026-10-06 · Deutsche Übersetzung; maßgeblich ist die tschechische Fassung

Dieser Vertrag nach Art. 28 der Verordnung (EU) 2016/679 (die „DSGVO“) wird zwischen der Organisation, die die Plattform Negotiq nutzt (der „Verantwortliche“), und SynQflows, s.r.o., ID-Nr. 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (der „Auftragsverarbeiter“) geschlossen und ist Bestandteil der Nutzungsbedingungen. Er wird durch die Annahme der Nutzungsbedingungen geschlossen und gilt für die Laufzeit des Vertrags. Großgeschriebene Begriffe haben die Bedeutung, die ihnen in den Nutzungsbedingungen zugewiesen ist.

1. Gegenstand und Umfang der Verarbeitung

GegenstandVerarbeitung personenbezogener Daten, die der Verantwortliche oder seine Nutzer auf die Plattform einstellen oder die die Plattform auf ihre Weisung empfängt oder versendet: Nutzerinhalte (Anfragen, Spezifikationen, Anhänge, Preislisten, Daten von Kollegen und Ansprechpartnern), an die Eingangsadresse gesendete Nachrichten, Zugangsdaten zu angebundenen Systemen und daraus abgerufene Daten sowie an die Webhooks des Verantwortlichen gesendete Daten
Art und ZweckSpeicherung, Offenlegung gegenüber berechtigten Personen und Verhandlungsgegenparteien, Import und Umwandlung von Preislisten, Empfang und Auswertung von E-Mail-Nachrichten, Abruf von Daten aus angebundenen Systemen, Export von Bestellungen, Versand von Benachrichtigungen an Webhooks, Datensicherungen und sonstige für die Bereitstellung der Plattform erforderliche technische Verarbeitung
Betroffene PersonenBeschäftigte und sonstige Mitarbeiter des Verantwortlichen; Ansprechpartner seiner Geschäftspartner; Absender von Nachrichten an die Eingangsadresse; Personen, deren Daten in einer aus einem angebundenen System abgerufenen Preisliste enthalten sind
DatenkategorienIdentifikations- und Kontaktdaten (Name, berufliche E-Mail-Adresse, Telefon, Funktion); Daten zu E-Mail-Nachrichten (Absender, Empfänger, Betreff, Empfangszeitpunkt, Ergebnisse der Absenderauthentifizierung) und deren Anhänge; Zugangsdaten zu angebundenen Systemen; sonstige Daten, die der Verantwortliche in Inhalte aufnimmt. Besondere Kategorien personenbezogener Daten und Daten über strafrechtliche Verurteilungen stellt der Verantwortliche nicht ein
Dauerfür die Laufzeit des Vertrags und bis zur Löschung gemäß Artikel 8; an der Eingangsadresse empfangene Nachrichten 90 Tage ab Empfang; Aufzeichnungen über die Zustellung an Webhooks höchstens 90 Tage

2. Weisungen des Verantwortlichen

  1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in Drittländer. Die Weisungen ergeben sich aus den Nutzungsbedingungen, diesem Vertrag und den Einstellungen der Plattform; durch die Einrichtung einer Integration (Eingangsadresse, ERP-Anbindung, Webhook, API-Schlüssel für einen Agenten Dritter) erteilt der Verantwortliche die Weisung zur Verarbeitung in dem Umfang, den die Integration erfordert. Weitere Weisungen erteilt der Organisationsadministrator in Textform.
  2. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich und muss die Weisung bis zu dessen Stellungnahme nicht ausführen.
  3. Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet, teilt er dies dem Verantwortlichen vorab mit, sofern das betreffende Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
  4. Der Auftragsverarbeiter verarbeitet personenbezogene Daten des Verantwortlichen nicht für eigene Zwecke. Anonymisierte und aggregierte Statistiken (Art. 11 Abs. 2 der Nutzungsbedingungen) enthalten keine personenbezogenen Daten. Einträge der Audit-Kette, Abschlussbestätigungen und AP2-Aufzeichnungen verarbeitet der Auftragsverarbeiter als eigenständiger Verantwortlicher gemäß der Datenschutzerklärung, nicht nach diesem Vertrag.
  5. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, die Information der betroffenen Personen und dafür verantwortlich, dass er berechtigt ist, die personenbezogenen Daten auf die Plattform einzustellen und Zugang zu angebundenen Systemen zu gewähren.

3. Pflichten des Auftragsverarbeiters

  1. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
  2. Der Auftragsverarbeiter trifft die in Anlage 1 aufgeführten technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Er darf sie ändern, sofern das Gesamtschutzniveau dadurch nicht gesenkt wird.
  3. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen, vorrangig durch Werkzeuge der Plattform (Datenexport im JSON-Format, Berichtigung, Löschung eines Nutzerkontos oder der Organisation). Einen unmittelbar von einer betroffenen Person erhaltenen Antrag leitet er unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst in der Sache.
  4. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

4. Unterauftragsverarbeiter

  1. Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Inanspruchnahme von Unterauftragsverarbeitern. Aktuelle Liste:
    UnterauftragsverarbeiterTätigkeitOrt, Garantien
    Railway CorporationHosting der Anwendung und der Datenbank, DatensicherungenUSA / EU; Standardvertragsklauseln (Modul 3) oder EU-U.S. Data Privacy Framework
    Anthropic, PBCUmwandlung unstrukturierter Preislisten in Tabellen (nur bei Nutzung der Funktion)USA; Standardvertragsklauseln (Modul 3); kein Training von Modellen mit den Daten
    Anbieter für den E-Mail-Empfang (der konkrete Anbieter wird vor dem Start der Funktion in diese Liste aufgenommen)Empfang der an Eingangsadressen gesendeten Nachrichten und deren Weitergabe an die Plattformwird zusammen mit dem Anbieter angegeben; Übermittlungen außerhalb des EWR nur mit Garantien gemäß Artikel 7
    Anbieter des E-Mail-Dienstes (SMTP)Zustellung von Rechnungen, Mahnungen und Betriebsnachrichten (Empfängeradresse und Inhalt der Nachricht)EU
  2. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 14 Tage im Voraus auf der Plattform oder per E-Mail an den Organisationsadministrator. Innerhalb dieser Frist kann der Verantwortliche aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben. Die Parteien bemühen sich um eine Lösung; finden sie keine, kann der Verantwortliche den Vertrag ohne Sanktion mit Wirkung vor der Hinzuziehung des Unterauftragsverarbeiters kündigen.
  3. Der Auftragsverarbeiter erlegt den Unterauftragsverarbeitern vertraglich dieselben Datenschutzpflichten auf, die ihm nach diesem Vertrag obliegen, einschließlich hinreichender Garantien für die Durchführung technischer und organisatorischer Maßnahmen, und haftet gegenüber dem Verantwortlichen für die Erfüllung ihrer Pflichten (Art. 28 Abs. 4 DSGVO).
  4. Vom Verantwortlichen selbst gewählte Systeme (angebundene ERP-Systeme, Produktfeeds, Webhook-Endpunkte und Agenten Dritter) sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; der Auftragsverarbeiter übermittelt ihnen Daten auf Weisung des Verantwortlichen.

5. Verletzung des Schutzes personenbezogener Daten

  1. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist, per E-Mail an den Organisationsadministrator und auf der Plattform.
  2. Die Meldung enthält die dem Auftragsverarbeiter vorliegenden Informationen nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, Anlaufstelle, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen); noch nicht bekannte Informationen werden schrittweise nachgereicht.
  3. Der Auftragsverarbeiter ergreift unverzüglich Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Folgen, arbeitet mit dem Verantwortlichen zusammen und dokumentiert die Verletzung. Eine Meldung stellt kein Anerkenntnis einer Haftung dar.

6. Informationen und Audits

  1. Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung, vorrangig durch das Dokument Sicherheit & Vertrauen und durch die Beantwortung eines angemessenen Sicherheitsfragebogens.
  2. Reichen diese Informationen nicht aus, ermöglicht der Auftragsverarbeiter ein Audit durch den Verantwortlichen oder durch einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist, nach Ankündigung mindestens 30 Tage im Voraus, höchstens einmal pro Kalenderjahr (außer im Falle einer Verletzung oder auf Verlangen einer Aufsichtsbehörde), auf Kosten des Verantwortlichen, ohne Zugang zu Daten anderer Kunden und ohne Beeinträchtigung von deren Sicherheit.
  3. Die Untersuchungsbefugnisse der Aufsichtsbehörden bleiben unberührt.

7. Übermittlungen außerhalb des EWR

  1. Übermittlungen in Drittländer erfolgen nur mit Garantien gemäß Kapitel V DSGVO.
  2. Übermittelt der Auftragsverarbeiter personenbezogene Daten an einen Unterauftragsverarbeiter in einem Drittland, für das kein Angemessenheitsbeschluss besteht (oder ist der Empfänger nicht nach dem EU-U.S. Data Privacy Framework zertifiziert), schließt er mit ihm die Standardvertragsklauseln gemäß dem Durchführungsbeschluss (EU) 2021/914 der Kommission, Modul 3 (Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter), bewertet das Rechtsumfeld des Empfängerlandes und ergreift ergänzende Maßnahmen (insbesondere Verschlüsselung bei der Übertragung und im Ruhezustand sowie Datenminimierung).
  3. Der Verantwortliche genehmigt solche Übermittlungen hiermit. Der Auftragsverarbeiter stellt auf Anfrage eine Kopie der Garantien zur Verfügung; geschäftliche Vereinbarungen darin können geschwärzt werden.

8. Löschung und Rückgabe von Daten

  1. Während der Laufzeit des Vertrags kann der Verantwortliche die Daten der Organisation jederzeit im JSON-Format exportieren und Daten selbst löschen.
  2. Nach Beendigung des Vertrags gibt der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen innerhalb von 30 Tagen einschließlich Kopien zurück (Export) oder löscht sie, sofern nicht eine Rechtsvorschrift deren weitere Speicherung verlangt. Datensicherungen werden im regulären Zyklus spätestens innerhalb von 90 Tagen überschrieben; bis dahin sind sie geschützt und werden nicht verwendet.
  3. An der Eingangsadresse empfangene Nachrichten werden nach 90 Tagen automatisch gelöscht. Zugangsdaten zu einem angebundenen System verwendet der Auftragsverarbeiter ab der Aufhebung der Anbindung nicht mehr und löscht sie spätestens gemäß Absatz 2.
  4. Dieser Artikel gilt nicht für die Aufzeichnungen nach Art. 2 Abs. 4 Satz 2 und 3.

9. Haftung, Vorrang und anwendbares Recht

Die Haftung richtet sich nach Art. 82 DSGVO und den Nutzungsbedingungen, einschließlich deren Beschränkungen, soweit gesetzlich zulässig. In Angelegenheiten des Schutzes personenbezogener Daten hat dieser Vertrag Vorrang vor den Nutzungsbedingungen. Dieser Vertrag unterliegt tschechischem Recht.

Anlage 1 — Technische und organisatorische Maßnahmen

Eine ausführlichere Beschreibung enthält das Dokument Sicherheit & Vertrauen.