Auftragsverarbeitungsvereinbarung (Art. 28 DSGVO)

1. Vertragsparteien

Verantwortlicher ist der Kunde, der den Vertrag über BOXLY geschlossen hat. Auftragsverarbeiter ist REKAG digital s.r.o., Šustekova 3618/47, 851 04 Bratislava, Slowakei, Firmennummer (IČO) 51 897 881, UID SK2120830250, eingetragen im Handelsregister des Stadtgerichts Bratislava III, Abteilung Sro, Einlage Nr. 130848/B (nachfolgend „Anbieter“).

2. Gegenstand, Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Bereitstellung von BOXLY: Speicherung und Bereitstellung von Daten, Reservierungen und Vermietung von Lagerräumen, Ausstellung und Versand von Belegen und Benachrichtigungen, Kundenportal, Support und Sicherung.

3. Datenkategorien und betroffene Personen

• Betroffene Personen: Endkunden des Verantwortlichen (Privatpersonen und Vertreter von Unternehmen), Mietinteressenten und Personen aus dem Team des Verantwortlichen.
• Daten: Name, E-Mail-Adresse, Telefonnummer, Anschrift, Firmendaten (Firmenbuchnummer, Steuernummer, UID), Daten zu Reservierung und Miete (Lagerraum, Zeitraum, Preis), Rechnungen, Zahlungsstatus und Zahlungskennungen beim Zahlungsdienstleister, Zutrittscode zum Lagerraum, Kommunikation und Einwilligungen. Besondere Kategorien personenbezogener Daten werden nicht verarbeitet.

4. Pflichten des Auftragsverarbeiters

• Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (diese Vereinbarung, Einstellungen und Nutzung des Dienstes); hält er eine Weisung für rechtswidrig, teilt er das unverzüglich mit.
• Dafür zu sorgen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben.
• Die technischen und organisatorischen Maßnahmen nach Anlage 1 zu treffen.
• Weitere Auftragsverarbeiter nur unter den Bedingungen von Punkt 5 einzusetzen.
• Den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen zu unterstützen: Der Dienst enthält einen Datenexport und die Anonymisierung eines Kunden; weitere Unterstützung leistet er auf Anfrage innerhalb angemessener Frist.
• Bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Folgenabschätzung) im Umfang zu unterstützen, der der Art der Verarbeitung entspricht.
• Eine Verletzung des Schutzes personenbezogener Daten dem Verantwortlichen unverzüglich nach Bekanntwerden, spätestens innerhalb von 48 Stunden, mit den verfügbaren Informationen zu melden.
• Nach Vertragsende die Daten gemäß den Allgemeinen Geschäftsbedingungen zu löschen (Export 30 Tage, danach Löschung; Sicherungen bis zu 90 Tage), sofern das Recht keine Aufbewahrung verlangt.
• Audits zu ermöglichen und die zum Nachweis der Pflichterfüllung erforderlichen Informationen zu geben; ein Audit führt der Verantwortliche oder ein von ihm beauftragter Prüfer nach vorheriger Ankündigung, in angemessenem Umfang und ohne Beeinträchtigung des Dienstes für andere Kunden durch.

5. Weitere Auftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der auf der Seite Unterauftragsverarbeiter genannten weiteren Auftragsverarbeiter. Über die beabsichtigte Hinzuziehung oder Ersetzung informiert der Auftragsverarbeiter mindestens 14 Tage im Voraus per E-Mail; der Verantwortliche kann aus berechtigten Gründen widersprechen und, wenn keine Einigung erzielt wird, den Vertrag beenden.

Der weitere Auftragsverarbeiter wird auf demselben Schutzniveau wie diese Vereinbarung verpflichtet. Der Auftragsverarbeiter haftet dem Verantwortlichen für die Erfüllung seiner Pflichten.

6. Übermittlungen in Drittländer

Die Daten werden in der EU gespeichert. Bei weiteren Auftragsverarbeitern mit Sitz außerhalb des EWR sorgt der Auftragsverarbeiter für geeignete Garantien (Standardvertragsklauseln oder Zertifizierung nach dem EU-US Data Privacy Framework).

7. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, die Information der betroffenen Personen und die Rechtsgrundlage verantwortlich. Er darf keine Daten in den Dienst einbringen, die für dessen Zweck nicht erforderlich sind, und keine besonderen Kategorien von Daten; beim Einsatz des KI-Assistenten darf er keine personenbezogenen Daten von Endkunden eingeben.

8. Dauer

Die Vereinbarung gilt für die Dauer des Vertrags über den Dienst und so lange, wie der Auftragsverarbeiter Daten verarbeitet oder aufbewahrt.

Anlage 1: technische und organisatorische Maßnahmen

• Trennung der Kundendaten: Jede Datenbankabfrage ist zentral an einen bestimmten Kunden gebunden, der Zugriff auf Daten eines anderen Kunden ist über die Anwendung technisch nicht möglich.
• Verschlüsselung der Übertragung (HTTPS) und Schutz vor gängigen Webangriffen (Sicherheits-Header, Begrenzung der Versuche, Eingabeprüfung).
• Passwörter werden als Hash gespeichert (Argon2id). Die Zwei-Faktor-Authentifizierung steht den Benutzern zur Verfügung; für das interne Team des Anbieters ist sie verpflichtend.
• Geheimnisse des Kunden (Schlüssel für Zahlung, Abrechnung und E-Mail) und Zutrittscodes zu Lagerräumen sind in der Datenbank verschlüsselt gespeichert (AES-256-GCM).
• Rollenbasierte Zugriffssteuerung, Protokollierung sensibler Änderungen im Audit-Protokoll.
• Betrieb in einem Rechenzentrum in der EU (Deutschland), getrennte Produktionsumgebung, Überwachung der Verfügbarkeit.
• Regelmäßige Datenbanksicherungen mit Prüfung; Kopien außerhalb des Servers sind verschlüsselt, die Wiederherstellbarkeit wird regelmäßig getestet.
• Verfahren bei Sicherheitsvorfällen einschließlich unverzüglicher Benachrichtigung der Kunden.
• Zugriff von Mitarbeitern und Mitwirkenden des Anbieters nur im für Betrieb und Support erforderlichen Umfang, zur Vertraulichkeit verpflichtet.