Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch METEORA, Herausgeber von Brandesk, im Auftrag seiner Kunden gemäß Artikel 28 der Verordnung (EU) 2016/679 („DSGVO“).

Version

1.0

Datum des Inkrafttretens

22. Oktober 2026

Diese Übersetzung dient der Information. Bei Abweichungen ist die französische Fassung maßgeblich.

Parteien

Der Kunde: die juristische Person, die ein Abonnement für Brandesk abgeschlossen hat, handelnd als Verantwortlicher.

METEORA, SARL mit einem Stammkapital von 500 €, eingetragen im RCS (Handels- und Gesellschaftsregister) Annecy unter der Nummer 807 875 315, Herausgeber von Brandesk, handelnd als Auftragsverarbeiter.

Dieser Vertrag ist integraler Bestandteil der Allgemeinen Geschäftsbedingungen von Brandesk (der „Hauptvertrag“). Bei Widersprüchen in Fragen des Datenschutzes hat er Vorrang vor dem Hauptvertrag.

1. Begriffsbestimmungen

Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen in Artikel 4 DSGVO zugewiesen ist. Ergänzend gilt:

• Dienst: die unter app.brandesk.io zugängliche Plattform Brandesk (E-Mail-Signaturen, digitale Visitenkarten, NFC-Karten, Lead-Erfassung, Kampagnen, Statistiken).
• Mitarbeitende: die Personen, deren Profil der Kunde im Dienst anlegt, per Verzeichnissynchronisation, SCIM-Provisioning, CSV-Import oder manueller Eingabe.
• Kontakte: die Personen, die ihre Kontaktdaten über das Formular „Kontaktdaten austauschen“ einer digitalen Karte hinterlassen.
• Unterauftragsverarbeiter: jeder Dienstleister, dem METEORA die Verarbeitung ganz oder teilweise überträgt.

2. Gegenstand und Dauer

METEORA verarbeitet die in Artikel 3 beschriebenen personenbezogenen Daten ausschließlich zur Erbringung des Dienstes für den Kunden. Dieser Vertrag gilt für die gesamte Dauer des Hauptvertrags und darüber hinaus bis zur Löschung der Daten gemäß Artikel 12.

3. Beschreibung der Verarbeitung

4. Pflichten des Kunden

• Er dokumentiert seine Weisungen; diese bestehen aus dem Hauptvertrag, diesem Vertrag und der Konfiguration des Dienstes (synchronisierte Felder, von Mitarbeitenden bearbeitbare Felder, Zuweisungsregeln, CRM-Anbindung, Webhooks, Speicherdauer der Statistiken).
• Er verfügt für jede Verarbeitung über eine Rechtsgrundlage und informiert die Mitarbeitenden über die Verarbeitung ihrer Daten.
• Er verfasst den Einwilligungstext, der den Kontakten angezeigt wird, und stellt dessen Rechtskonformität sicher.
• Er sorgt für die Sicherheit seiner eigenen Zugänge (Kontoverwaltung, Zwei-Faktor-Authentifizierung, SSO).

5. Pflichten von METEORA

METEORA verpflichtet sich,

• die Daten ausschließlich auf dokumentierte Weisung des Kunden zu verarbeiten, auch im Hinblick auf Übermittlungen, und den Kunden unverzüglich zu informieren, wenn eine Weisung nach seiner Auffassung gegen die DSGVO verstößt;
• die Daten nicht für andere, insbesondere kommerzielle Zwecke zu nutzen und sie weder zu verkaufen noch zu vermieten;
• zu gewährleisten, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind;
• die in Anlage 1 beschriebenen Sicherheitsmaßnahmen umzusetzen;
• den Kunden bei der Erfüllung seiner Pflichten zu unterstützen (Betroffenenrechte, Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung);
• ein Verzeichnis der im Auftrag seiner Kunden durchgeführten Verarbeitungstätigkeiten zu führen (Artikel 30 Absatz 2 DSGVO).

6. Sicherheit

METEORA setzt dem Risiko angemessene technische und organisatorische Maßnahmen um, die in Anlage 1 beschrieben sind. Diese können weiterentwickelt werden, sofern das Gesamtschutzniveau nicht gesenkt wird.

7. Unterauftragsverarbeiter

Der Kunde genehmigt METEORA, die in Anlage 2 aufgeführten Unterauftragsverarbeiter einzusetzen. METEORA erlegt jedem von ihnen vertraglich Datenschutzpflichten auf, die denen dieses Vertrags gleichwertig sind, und haftet gegenüber dem Kunden für deren Erfüllung.

METEORA informiert den Kunden mindestens 30 Tage im Voraus über jede Hinzufügung oder jeden Austausch. Der Kunde kann aus einem berechtigten datenschutzbezogenen Grund widersprechen; wird keine Lösung gefunden, kann er den betreffenden Dienst ohne Vertragsstrafe kündigen.

8. Standort und Übermittlungen

Die Daten des Dienstes werden in Frankreich gehostet. METEORA übermittelt keine Daten außerhalb der Europäischen Union, es sei denn, ein in Anlage 2 aufgeführter Unterauftragsverarbeiter sieht dies vor; eine solche Übermittlung erfolgt dann auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der Europäischen Kommission.

Die vom Kunden angebundenen Drittdienste (Google Workspace, Microsoft 365, SSO- oder SCIM-Identitätsanbieter, HubSpot, Salesforce, Pipedrive, Webhook-Empfänger) werden vom Kunden ausgewählt und vertraglich gebunden. Der Austausch mit diesen Diensten erfolgt auf seine Weisung und unterliegt seinen eigenen Verträgen.

9. Rechte der betroffenen Personen

Der Dienst ermöglicht es dem Kunden, die Daten von Mitarbeitenden oder Kontakten zu exportieren und zu löschen. Wendet sich eine Person direkt an METEORA, leitet METEORA ihre Anfrage innerhalb von 5 Werktagen an den Kunden weiter und bearbeitet sie nicht ohne dessen Weisung.

10. Datenschutzverletzungen

METEORA meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich und spätestens 48 Stunden, nachdem sie ihr bekannt geworden ist, an die Kontaktadresse des Kontoadministrators. Die Meldung beschreibt, soweit möglich, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder geplanten Maßnahmen. Für die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen bleibt allein der Kunde verantwortlich.

11. Datenschutz-Folgenabschätzung

METEORA stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die für die Durchführung einer Datenschutz-Folgenabschätzung und gegebenenfalls für die vorherige Konsultation der Aufsichtsbehörde erforderlich sind.

12. Umgang mit den Daten bei Vertragsende

Bei Ende des Hauptvertrags kann der Kunde seine Daten 30 Tage lang exportieren. METEORA löscht anschließend sämtliche personenbezogenen Daten des Kunden innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht; Sicherungskopien werden mit Ablauf ihres Rotationszyklus gelöscht, spätestens 30 Tage danach. METEORA bestätigt die Löschung auf Anfrage schriftlich.

13. Audit

METEORA stellt dem Kunden alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieses Vertrags nachzuweisen. Der Kunde kann ein Audit selbst oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer durchführen lassen, höchstens einmal pro Jahr, mit einer Vorankündigung von 30 Tagen, ohne den Betrieb des Dienstes zu beeinträchtigen und auf eigene Kosten.

14. Haftung und anwendbares Recht

Die Haftung jeder Partei richtet sich nach dem Hauptvertrag und Artikel 82 DSGVO. Dieser Vertrag unterliegt französischem Recht. Für alle Streitigkeiten sind die zuständigen Gerichte von Annecy zuständig.

15. Kontakt

Bei Fragen zu diesem Vertrag oder zum Datenschutz: hello@brandesk.io.

Anlage 1 – Technische und organisatorische Maßnahmen

• Verschlüsselung bei der Übertragung: Die gesamte Kommunikation mit dem Dienst erfolgt über HTTPS.
• Verschlüsselung gespeicherter Geheimnisse: OAuth-Token, Zugangsdaten für Verzeichnis und CRM, Geheimnisse der Zwei-Faktor-Authentifizierung, SSO- und Webhook-Geheimnisse werden verschlüsselt (libsodium). Passwörter und Wiederherstellungscodes werden gehasht.
• Datentrennung: Jede Anfrage ist der Organisation des Nutzers zugeordnet, was bei jedem Aufruf geprüft wird; die Daten einer Organisation sind für eine andere niemals zugänglich.
• Zugriffskontrolle: Rollen und Berechtigungen pro Organisation und pro Abteilung; Zwei-Faktor-Authentifizierung, optional verpflichtend; SSO per SAML 2.0 und OpenID Connect, optional verpflichtend.
• Audit-Log: Administrationsaktionen (Mitarbeitende, Signaturen, Regeln, Karten, NFC, Abrechnung, Sicherheit) werden mit ihrem Urheber und einer anonymisierten IP-Adresse protokolliert und sind für den Kunden einsehbar und exportierbar.
• Schutz vor Missbrauch: Begrenzung der Anzahl von Anmeldeversuchen, Magic-Link-Anfragen und Formularübermittlungen; CSRF-Schutz; Bot-Filterung.
• Datenminimierung: Statistiken ohne Cookies; die IP-Adresse wird anonymisiert und anschließend nur lokal zur Ermittlung des Landes verwendet, ohne gespeichert zu werden; erfasst werden nur Land und Gerätetyp. Importierte CSV-Dateien werden nach der Verarbeitung gelöscht.
• Speicherdauer: Statistikereignisse werden nach 13 Monaten automatisch gelöscht (Dauer konfigurierbar).
• Öffentliche Seiten: Digitale Karten werden standardmäßig nicht von Suchmaschinen indexiert. Eine NFC-Karte enthält nur eine Weiterleitungsadresse; sie kann jederzeit deaktiviert oder als verloren gemeldet werden, und ausgeschiedene Mitarbeitende sind nicht mehr abrufbar.
• Backups: tägliche, verschlüsselte Sicherung der Datenbank, 30 Tage lang auf OVHcloud Object Storage in Frankreich aufbewahrt.
• Organisation: Produktionszugriffe sind auf befugte, zur Vertraulichkeit verpflichtete Personen bei METEORA beschränkt.

Anlage 2 – Unterauftragsverarbeiter

Die Abrechnung des Abonnements erfolgt über Stripe. METEORA handelt dabei als Verantwortlicher ausschließlich für die Rechnungsdaten des Kunden; es werden keine Daten von Mitarbeitenden oder Kontakten an Stripe übermittelt.