Auftragsverarbeitungsvereinbarung

1. Parteien und Geltungsbereich

Diese Vereinbarung ergänzt die Nutzungsbedingungen Ort MAXKEN, unter Bureau 3, 34 place du Général de Gaulle, 59800 Lille, France, verarbeitet personenbezogene Daten für den durch das Konto oder seine Organisation bezeichneten Kunden. Der Kunde ist Verantwortlicher oder befugter Auftragsverarbeiter seines Kunden; MAXKEN handelt als Auftragsverarbeiter oder Unterauftragsverarbeiter. Für die Verarbeitung von Kundendaten haben diese Bestimmungen Vorrang.

Kontoverwaltung, Abrechnung, Sicherheit und Website-Analyse sind eigenständige Tätigkeiten als Verantwortlicher und beschrieben in der Datenschutzerklärung. Diese Vereinbarung ist keine Zertifizierung und garantiert nicht die Rechtmäßigkeit jeder Kundennutzung.

2. Welche Daten wir wie lange verarbeiten

• Zweck und Verarbeitung: Projektnachrichten empfangen, speichern, ordnen, suchen, anzeigen und löschen; Antworten, Benachrichtigungen und vom Kunden aktivierte Assistentenantworten senden.
• Betroffene Personen: Website-Besucher, E-Mail-Korrespondenten, Kunden, Interessenten, Kundenkontakte und berechtigte Postfachmitglieder.
• Daten: Namen, Kontaktdaten, Betreff und Nachrichteninhalt, Unterhaltungskennungen, Zeitstempel, Lese- und Zustellstatus sowie vom Kunden bereitgestellte Formularfelder.
• Dauer: während der Dienstnutzung, vorbehaltlich Tarif-Speicherfrist, Löschanweisungen und nachfolgender Beendigungsregeln. Verarbeitung erfolgt fortlaufend oder wiederholt bei Nachrichten und Anfragen.

Der Dienst ist für normale Kontakt- und Supportkorrespondenz gedacht. Er ist nicht zur Erhebung besonderer Datenkategorien, Strafregister, Kartendaten, Passwörter oder regulierter Gesundheitsdaten ausgelegt. Richte solche Nutzungen nicht bewusst ohne gesonderte Prüfung und geeignete schriftliche Vereinbarung ein.

3. Weisungen des Kunden

Vereinbarung, Einstellungen, Anfragen und Löschaktionen des Kunden gelten als dokumentierte Weisungen. Wir verarbeiten Kundendaten einschließlich Übermittlungen nur danach, sofern EU- oder Mitgliedstaatenrecht nichts anderes verlangt. Über solche Pflichten informieren wir vorher, soweit erlaubt. Rechtswidrig erscheinende Weisungen melden wir unverzüglich.

Wir verkaufen keine Kundennachrichten und nutzen sie weder für eigene Werbung noch für KI-Modelltraining.

Der Kunde legt die Rechtsgrundlage fest, informiert Absender, beantwortet Anfragen und ist zur Datenbereitstellung und Beauftragung von Verarbeitern befugt. Er steuert Formulare, Freigaben, Benachrichtigungsempfänger und Assistentenrechte. Weitere Weisungen können gesendet werden an Show email address ; wesentliche Änderungen des Dienstes erfordern eine gesonderte Vereinbarung.

Mit Aktivierung von Slack, Discord, Webhook oder MCP-Assistent weist du uns zur Übermittlung der betreffenden Daten an diesen Empfänger an. Der Kunde muss Anbieter, Zugriffsrechte und internationale Übermittlungen prüfen. Ein Widerruf stoppt künftigen Zugriff oder Zustellungen, soweit technisch möglich. Abgeschlossene Übermittlungen oder laufende Antworten werden nicht zurückgerufen.

4. Vertraulichkeit und Sicherheit

Personen mit Kundendatenzugriff müssen zur Vertraulichkeit verpflichtet und auf ihre Aufgaben beschränkt sein. Wir treffen risikogerechte Maßnahmen nach Art. 32 DSGVO und prüfen sie bei Änderungen des Dienstes.

• HTTPS für öffentliche Anwendungsendpunkte, Passwort-Hashing und E-Mail-Bestätigung.
• Authentifizierter Workspace-Zugriff, serverseitige Eigentums- und Rollenprüfungen sowie Berechtigungsprüfungen für Assistenten-Tools.
• Anfragelimits, Prüfungen von Benachrichtigungszielen und administrative Prüfprotokolle.
• Beschränkter Infrastrukturzugriff, verschlüsselte externe Postal-Sicherungen und Wiederherstellungsverfahren.

Diese Maßnahmen bieten weder Ende-zu-Ende-Verschlüsselung, garantierte E-Mail-Zustellung noch eine vertragliche Verfügbarkeitszusage. Unsere anwendbaren Sicherheitspflichten bleiben bestehen.

5. Unterauftragsverarbeiter und Übermittlungen

Der Kunde erteilt die allgemeine schriftliche Genehmigung für die beschriebenen Dienstleister, vorbehaltlich gleichwertiger Datenschutzpflichten. MAXKEN bleibt für die Leistung seiner Unterauftragsverarbeiter nach dieser Vereinbarung verantwortlich.

• OVH SAS, Frankreich: Hosting von Anwendung, Datenbank und E-Mail-Infrastruktur. Postal ist auf dieser Infrastruktur betriebene Software, kein eigenständiges Empfängerunternehmen.
• Cloudflare: HTTPS-Proxy für die Anwendung einschließlich Formular- und Postfachanfragen, DNS und CDN-Auslieferung öffentlicher Dateien; Routing eingehender Projekt-E-Mails samt Inhalt über Email Routing. APIs und private Seiten umgehen gemeinsame Caches.
• Scaleway SAS, Frankreich: Speicherung verschlüsselter externer Postal-Sicherungen.

Das Anbieterland bezeichnet das Unternehmen und garantiert nicht, dass jeder Zugriff dort erfolgt. Kontakte und Datenschutzhinweise der Anbieter sind verlinkt in der Anbieterliste. Informationen zu relevanten Unternehmen, Verarbeitungsorten und Garantien stellen wir auf Anfrage bereit. Eine Übermittlung außerhalb des EWR erfordert einen anwendbaren Angemessenheitsbeschluss oder geeignete Garantien nach Kapitel V DSGVO. Diese Vereinbarung allein ist kein Übermittlungsinstrument.

Vor neuen oder ersetzten Unterauftragsverarbeitern informieren wir mindestens 30 Tage vorher schriftlich. Kunden können vorher aus sachlichen Datenschutzgründen widersprechen. Wir suchen eine Lösung. Gelingt sie nicht, endet die betroffene Verarbeitung vor der Datenübermittlung, mit Erstattung vorausbezahlter ungenutzter betroffener Leistungen.

Vom Kunden gewählte Benachrichtigungs- und Assistentenanbieter sind Empfänger des Kunden. Stripe und Google bieten getrennte Konto- oder Abrechnungsdienste. Ihre Einbindung berechtigt nicht zum Empfang von Projektinhalten.

6. Anfragen, Vorfälle und Unterstützung

Unter Berücksichtigung von Verarbeitung und Informationen unterstützen wir Betroffenenanfragen, Sicherheitspflichten, Folgenabschätzungen und vorherige Konsultation. Anfragen zu Kundeninhalten leiten wir weiter; ohne Weisung antworten wir nicht im Kundennamen, sofern das Gesetz nichts anderes verlangt.

Erfahren wir von einer Datenschutzverletzung mit Kundendaten, informieren wir den Kunden unverzüglich. Wir übermitteln verfügbare Angaben zum Vorfall, betroffenen Daten und Personen, wahrscheinlichen Folgen, Abhilfe und Kontakt sowie weitere Erkenntnisse der Untersuchung. Der Kunde entscheidet über Meldungen an Behörden und Betroffene. Wir unterstützen ihn mit den uns vorliegenden Informationen.

7. Auskunft und Prüfung

Wir stellen nötige Nachweise dieser Pflichten bereit und ermöglichen und unterstützen Prüfungen einschließlich Inspektionen durch Kunden oder beauftragte Prüfer. Kontakt: Show email address um verhältnismäßige Maßnahmen zum Schutz anderer Kunden, Vertraulichkeit und Dienstsicherheit zu vereinbaren. Diese verhindern keine gesetzlich oder behördlich erforderliche Prüfung.

8. Rückgabe und Löschung

Nach Verarbeitungsende wählt der Kunde zwischen Rückgabe und Löschung seiner personenbezogenen Daten sowie Löschung vorhandener Kopien, soweit EU- oder Mitgliedstaatenrecht keine Speicherung verlangt. Fordere die Rückgabe vor Kontolöschung oder automatischem Tarifablauf an. Wir unterstützen mit einer Kopie in einem nutzbaren elektronischen Format. Ein eigenständiger Self-Service-Export wird damit nicht zugesagt.

Für Free-Nachrichten gelten 30 Tage Speicherung und die Übergangsfrist nach Ende eines bezahlten Tarifs, wie erläutert in den Speicherrichtlinie. Für Postal-Transportprotokolle gelten gesondert sieben Tage für Inhalte und 30 Tage für Metadaten. Abrechnungs- oder Anspruchsdaten, die auf anderer Rechtsgrundlage gespeichert werden, bleiben auf diesen Zweck beschränkt.

Sicherungskopien können nach der geltenden Richtlinie bis zu zwei Jahre bestehen bleiben. Sie müssen vom normalen Betrieb getrennt, auf berechtigte Wiederherstellung beschränkt und spätestens dann gelöscht sein. Bei Wiederherstellung sind frühere Löschanweisungen erneut anzuwenden. Frühere Löschanfragen prüfen wir nach geltendem Recht. Die Richtlinie hebt zwingende Löschrechte nicht auf.

Das Beenden des Zugriffs entfernt keine bereits an kundenseitig gewählte Empfänger übermittelten Kopien. Für diese ist der Kunde nach seinen eigenen Vereinbarungen verantwortlich.