Auftragsverarbeitungsvertrag

Geschlossen gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO) Version 1.1 | Gültig ab 1. November 2026

Dies ist eine Übersetzung des tschechischen Originals. Bei Abweichungen zwischen den Sprachfassungen ist die tschechische Fassung maßgeblich.

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag" oder „AVV") ist wesentlicher Bestandteil des Vertrags über die Bereitstellung des Dienstes flowlogis, geschlossen nach den Allgemeinen Geschäftsbedingungen (nachfolgend „Hauptvertrag").

Vertragsparteien:

• Verantwortlicher — die Organisation, die auf der Plattform flowlogis ein Konto eingerichtet hat und deren Identifikationsdaten in ihrem Profil in der Plattform hinterlegt sind.
• Auftragsverarbeiter — Jan Prokop, Identifikationsnummer 01680188, Sitz Lomená 668, 294 04 Dolní Bousov, Tschechische Republik, Betreiber der Plattform flowlogis.

Der Vertrag gilt mit Abschluss des Hauptvertrags als geschlossen, also mit der Bestätigung der Bestellung durch den Auftragsverarbeiter. Auf Verlangen des Verantwortlichen stellt der Auftragsverarbeiter eine gesondert unterzeichnete Ausfertigung dieses Vertrags aus.

Der Verantwortliche erklärt, dass er in Bezug auf die in die Plattform eingestellten personenbezogenen Daten Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist und dass die Verarbeitung auf einer von ihm bestimmten Rechtsgrundlage erfolgt.

1. Gegenstand und Umfang der Verarbeitung

1.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung der Plattform flowlogis an den Verantwortlichen im nach dem Hauptvertrag vereinbarten Umfang.

1.2 Eine detaillierte Beschreibung der Verarbeitung enthält Anlage A.

1.3 Dieser Vertrag gilt nicht für Verarbeitungen, bei denen der Auftragsverarbeiter als eigener Verantwortlicher auftritt, insbesondere für Registrierungs- und Rechnungsdaten. Diese regelt die Datenschutzerklärung.

2. Laufzeit

2.1 Dieser Vertrag gilt für die Dauer des Hauptvertrags einschließlich des Zeitraums, in dem das Konto des Verantwortlichen nach den Allgemeinen Geschäftsbedingungen im Nur-Lese-Modus geführt wird.

2.2 Bestimmungen, die ihrem Wesen nach fortgelten sollen, insbesondere zu Verschwiegenheit, Datenlöschung und Haftung, bleiben auch nach Beendigung wirksam.

3. Weisungen des Verantwortlichen

3.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall unterrichtet er den Verantwortlichen vorab, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Als dokumentierte Weisung des Verantwortlichen gelten:

a) dieser Vertrag und der Hauptvertrag; b) die vom Verantwortlichen in der Plattform vorgenommene Konfiguration und Einstellungen; c) die übliche Nutzung der Plattform durch die Benutzer des Verantwortlichen, also Eingabe, Bearbeitung, Löschung und Freigabe von Daten; d) gesonderte schriftliche Weisungen an info@flowlogis.com.

3.3 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, und ist berechtigt, die Ausführung einer solchen Weisung abzulehnen.

3.4 Der Auftragsverarbeiter nutzt die personenbezogenen Daten des Verantwortlichen nicht für eigene Zwecke. Insbesondere verkauft oder vermietet er sie nicht, verwendet sie nicht für eigenes Marketing und nicht zum Training von Modellen des maschinellen Lernens.

4. Verschwiegenheit

4.1 Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Pflicht besteht auch nach Beendigung ihrer Tätigkeit für den Auftragsverarbeiter fort.

4.2 Zugang zu den personenbezogenen Daten des Verantwortlichen haben ausschließlich Personen, die ihn zur Erfüllung des Hauptvertrags benötigen.

5. Sicherheit der Verarbeitung

5.1 Der Auftragsverarbeiter hat die in Anlage C beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO umgesetzt.

5.2 Der Auftragsverarbeiter darf die Maßnahmen aktualisieren, das Gesamtniveau der Sicherheit jedoch nicht verringern.

5.3 Der Verantwortliche bestätigt, dass er die Maßnahmen nach Anlage C angesichts der Art der Verarbeitung für angemessen hält. Der Verantwortliche nimmt Ziffer C.3 der Anlage C zum Umfang der Datensicherung ausdrücklich zur Kenntnis.

6. Weitere Auftragsverarbeiter

6.1 Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter unter den Bedingungen dieser Ziffer.

6.2 Die aktuelle Liste weiterer Auftragsverarbeiter enthält Anlage B.

6.3 Über die beabsichtigte Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage im Voraus per E-Mail an dessen Kontaktadresse.

6.4 Der Verantwortliche kann der Änderung binnen 15 Tagen nach der Mitteilung begründet widersprechen. Kommt keine Einigung zustande, kann der Verantwortliche den Hauptvertrag zum Tag des Einsatzes des neuen Auftragsverarbeiters beenden und hat Anspruch auf Erstattung des anteiligen gezahlten Entgelts.

6.5 Der Auftragsverarbeiter erlegt jedem weiteren Auftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag vereinbart sind, und haftet dem Verantwortlichen für deren Pflichterfüllung wie für eigenes Handeln gemäß Art. 28 Abs. 4 DSGVO.

7. Übermittlung in Drittländer

7.1 Personenbezogene Daten werden ausschließlich auf Servern innerhalb der Europäischen Union, in Irland, gespeichert.

7.2 Die in Anlage B genannten weiteren Auftragsverarbeiter haben ihren Sitz in den Vereinigten Staaten. Auch bei Speicherung der Daten in der Europäischen Union lässt sich ein Zugriff ihres Supports aus einem Drittland nicht ausschließen. Für diese Fälle ist die Übermittlung abgesichert durch:

a) eine Zertifizierung nach dem EU–U.S. Data Privacy Framework auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission vom 10. Juli 2023, oder b) die Standardvertragsklauseln gemäß dem Durchführungsbeschluss (EU) 2021/914 der Kommission nebst einer Folgenabschätzung der Übermittlung und ergänzenden technischen Maßnahmen, insbesondere Verschlüsselung bei der Übertragung und im Ruhezustand.

7.3 Eine Kopie der angewandten Garantien stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage zur Verfügung.

8. Unterstützung bei Betroffenenrechten

8.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht, auf Anträge betroffener Personen nach den Art. 12 bis 23 DSGVO zu reagieren.

8.2 Die Plattform ermöglicht es dem Verantwortlichen, Daten selbst zu finden, zu berichtigen, zu exportieren und zu löschen. Erfordert die Bearbeitung eines Antrags ein Eingreifen des Auftragsverarbeiters, erfolgt dieses unverzüglich, spätestens binnen fünf Werktagen nach Eingang des Antrags des Verantwortlichen.

8.3 Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, bearbeitet dieser den Antrag nicht selbst, sondern leitet ihn unverzüglich an den Verantwortlichen weiter.

8.4 Unterstützung über den üblichen Umfang hinaus, insbesondere wiederholte oder umfangreiche Anfragen, das Ausfüllen umfangreicher Sicherheitsfragebögen, die Teilnahme an einer Vor-Ort-Prüfung oder forensische Analysen, kann der Auftragsverarbeiter nach vorheriger Zustimmung des Verantwortlichen mit 1.500 CZK je Stunde berechnen.

9. Unterstützung bei weiteren Pflichten des Verantwortlichen

9.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten nach den Art. 32 bis 36 DSGVO, insbesondere bei der Gewährleistung der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen.

9.2 Die Unterstützung erfolgt unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

10. Verletzung des Schutzes personenbezogener Daten

10.1 Stellt der Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten des Verantwortlichen fest, meldet er diese dem Verantwortlichen unverzüglich, spätestens binnen 48 Stunden nach Kenntniserlangung.

10.2 Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, Kontaktdaten für weitere Informationen, eine Beschreibung der wahrscheinlichen Folgen sowie eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen.

10.3 Sind nicht alle Informationen gleichzeitig verfügbar, stellt der Auftragsverarbeiter sie schrittweise ohne weitere unangemessene Verzögerung bereit.

10.4 Die Meldung an die Aufsichtsbehörde und an die betroffenen Personen nimmt der Verantwortliche vor. Der Auftragsverarbeiter leistet die erforderliche Unterstützung und stellt Unterlagen bereit.

10.5 Der Auftragsverarbeiter führt ein Verzeichnis der Sicherheitsverletzungen.

11. Kontrollen und Prüfungen

11.1 Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlichen Informationen zur Verfügung.

11.2 Der Auftragsverarbeiter ermöglicht Prüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer unter folgenden Bedingungen:

a) eine Prüfung kann höchstens einmal in zwölf Monaten durchgeführt werden, ausgenommen im Fall einer Sicherheitsverletzung oder auf Verlangen einer Aufsichtsbehörde; b) eine Prüfung ist mindestens 30 Tage im Voraus schriftlich anzukündigen; c) eine Prüfung erfolgt während der Geschäftszeiten in der den Betrieb am wenigsten beeinträchtigenden Weise und darf nicht in Daten anderer Kunden eingreifen; d) der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und muss zur Verschwiegenheit verpflichtet sein; e) die Kosten der Prüfung trägt der Verantwortliche, es sei denn, die Prüfung deckt eine wesentliche Pflichtverletzung des Auftragsverarbeiters auf.

11.3 Der Auftragsverarbeiter kann ein Prüfungsverlangen vorrangig durch Vorlage aktueller Sicherheitsdokumentation, eines ausgefüllten Sicherheitsfragebogens oder von Zertifikaten und Berichten unabhängiger Prüfer seiner Infrastrukturanbieter erfüllen.

12. Löschung und Rückgabe der Daten

12.1 Nach Beendigung der Leistungserbringung gibt der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen in Form eines Exports zurück oder löscht sie einschließlich vorhandener Kopien, sofern nicht das Unionsrecht oder das Recht eines Mitgliedstaats eine Aufbewahrung vorschreibt.

12.2 Trifft der Verantwortliche keine andere Wahl, gilt Ziffer 7 der Allgemeinen Geschäftsbedingungen: Das Konto wird für zwölf Monate in den Nur-Lese-Modus umgestellt; nach deren Ablauf wird der Verantwortliche aufgefordert und hat weitere 30 Tage zum Datenexport; nach fruchtlosem Ablauf dieser Frist werden die Daten endgültig gelöscht. Während dieses gesamten Zeitraums steht der Export in den Formaten JSON und XLSX zur Verfügung.

12.3 Der Verantwortliche kann jederzeit früher den Export oder die Löschung der Daten verlangen; der Auftragsverarbeiter kommt dem unverzüglich nach.

12.4 Auf Verlangen stellt der Auftragsverarbeiter dem Verantwortlichen eine schriftliche Bestätigung der durchgeführten Löschung aus.

13. Haftung

13.1 Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und den einschlägigen Bestimmungen des Hauptvertrags.

13.2 Die im Hauptvertrag vereinbarte Haftungsbeschränkung gilt auch für diesen Vertrag; sie gilt jedoch nicht, soweit sie zwingenden Bestimmungen der DSGVO widerspricht.

13.3 Der Verantwortliche haftet für die Rechtmäßigkeit der Verarbeitung, für das Bestehen einer Rechtsgrundlage, für die Erfüllung der Informationspflicht gegenüber betroffenen Personen sowie für die Richtigkeit und Angemessenheit der eingestellten Daten.

14. Schlussbestimmungen

14.1 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Schutzes personenbezogener Daten vor.

14.2 Der Auftragsverarbeiter ist berechtigt, diesen Vertrag nach dem Verfahren gemäß Ziffer 14 der Allgemeinen Geschäftsbedingungen zu aktualisieren, insbesondere aufgrund von Änderungen der Rechtslage oder von Entscheidungen der Aufsichtsbehörden. Eine Aktualisierung darf das Schutzniveau personenbezogener Daten nicht verringern.

14.3 Dieser Vertrag unterliegt dem Recht der Tschechischen Republik. Maßgeblich ist die tschechische Sprachfassung.

Anlage A — Beschreibung der Verarbeitung

A.1 Gegenstand der Verarbeitung Bereitstellung der Cloud-Plattform flowlogis für Produktionsplanung, Logistik, Einkauf und Beauftragung von Transporten (Modul Transport), Projektverwaltung und damit verbundene Aufgaben.

A.2 Art und Zweck der Verarbeitung Speicherung, Strukturierung, Anzeige, Bearbeitung, Abfrage, Freigabe innerhalb der Organisation, Export, Versand zugehöriger E-Mail-Benachrichtigungen und Löschung der vom Verantwortlichen eingestellten personenbezogenen Daten, ausschließlich zum Zweck der Bereitstellung der Plattformfunktionen.

Im Modul Transport zusätzlich: Versand von Anfragen, Einladungen zu Ausschreibungen, Aufträgen und Erinnerungen an vom Verantwortlichen angesprochene Spediteure in dessen Namen, Bereitstellung des betreffenden Dokuments für den angesprochenen Spediteur sowie Entgegennahme seiner Angebote, Antworten, Nachrichten und Anhänge für den Verantwortlichen.

A.3 Dauer der Verarbeitung Für die Dauer des Hauptvertrags und anschließend gemäß Ziffer 12 dieses Vertrags.

A.4 Kategorien betroffener Personen

• Beschäftigte und Mitarbeitende des Verantwortlichen, die Benutzer der Plattform sind;
• Kontaktpersonen von Kunden, Lieferanten und Geschäftspartnern des Verantwortlichen;
• Personen, die der Verantwortliche in Projekten, Tabellen, Aufgaben, Berichten und Anhängen benennt;
• Spediteure und deren Kontaktpersonen, die der Verantwortliche in seinem Spediteurverzeichnis führt oder im Modul Transport anspricht, einschließlich der Personen, die für einen Spediteur auf Anfragen, Ausschreibungen und Aufträge antworten.

A.5 Kategorien personenbezogener Daten

A.6 Besondere Datenkategorien Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie von Daten nach Art. 10 DSGVO ist weder vorgesehen noch zulässig, sofern die Parteien nichts anderes schriftlich vereinbaren.

A.7 Kontaktstellen Für den Auftragsverarbeiter: info@flowlogis.com. Für den Verantwortlichen: die in der Plattform hinterlegte Kontakt-E-Mail-Adresse des Administrators.

Anlage B — Liste weiterer Auftragsverarbeiter

Der Umfang der an Upstash, Inc. übermittelten Daten beschränkt sich auf eine IP-Adresse oder Benutzerkennung sowie einen Zähler der Anfragen. Namen, E-Mail-Adressen und Inhaltsdaten werden nicht übermittelt.

Das Werkzeug zur Quellcodeverwaltung enthält keine Produktivdaten des Verantwortlichen und ist daher kein weiterer Auftragsverarbeiter.

Letzte Aktualisierung: 1. November 2026

Anlage C — Technische und organisatorische Maßnahmen

C.1 Zugriffskontrolle

• Authentifizierung per E-Mail und Passwort; Passwörter werden ausschließlich als kryptografischer Hash gespeichert.
• Mindestlänge des Passworts zwölf Zeichen. Eine Zwei-Faktor-Authentifizierung steht derzeit nicht zur Verfügung.
• Trennung der Daten einzelner Organisationen auf Datenbankebene mittels Row Level Security. Ein Benutzer hat keine technische Möglichkeit, auf Daten einer anderen Organisation zuzugreifen.
• Rollen für Administrator und Benutzer, Zugriff auf Module durch ausdrückliche Zuweisung gesteuert.
• Freigabe von Projekten ausschließlich durch ausdrückliche Handlung eines berechtigten Benutzers.
• Begrenzung der Anfragehäufigkeit auf Anwendungs- und Serverfunktionsebene.
• Im Modul Transport angesprochene Spediteure greifen nur auf das Dokument zu, zu dem sie eingeladen wurden, und zwar über einen Link mit einem zufälligen Zugangstoken, von dem in der Datenbank nur ein kryptografischer Hashwert gespeichert wird. Der Link ist an eine einzige Einladung gebunden, zeitlich begrenzt gültig und wird nach dem Öffnen gegen eine Sitzung in einem gesicherten Cookie ausgetauscht. Angebote anderer Spediteure und deren Anzahl sieht der Spediteur nicht.

C.2 Verschlüsselung

• Die gesamte Kommunikation ist mit TLS 1.2 oder höher verschlüsselt.
• Ruhende Daten werden beim Anbieter der Datenbankplattform verschlüsselt.

C.3 Verfügbarkeit und Belastbarkeit

• Die Daten werden auf redundantem Speicher des Anbieters der Datenbankplattform in Irland gespeichert.
• Eine automatisierte Datensicherung mit Wiederherstellung zu einem bestimmten Zeitpunkt ist derzeit nicht Bestandteil des Leistungsumfangs. Dem Verantwortlichen wird daher empfohlen, seine Daten regelmäßig mit den Mitteln der Plattform zu exportieren. Eine Erweiterung des Leistungsumfangs wird dem Verantwortlichen nach dem Verfahren gemäß Ziffer 14.2 mitgeteilt.

C.4 Integrität und Nachweise

• Für jedes Projekt werden Eigentümer sowie Zeitpunkt der Erstellung und der letzten Änderung geführt.
• Zugriffs- und Fehlerprotokolle werden von den Plattformanbietern im Rahmen ihrer Tarife geführt.
• Im Modul Transport wird ein Audit-Protokoll der Änderungen an Anfragen, Ausschreibungen, Preisen und Aufträgen geführt (wer welche Änderung wann vorgenommen hat). In den übrigen Modulen wird derzeit kein gesondertes anwendungsseitiges Audit-Protokoll geführt.

C.5 Organisatorische Maßnahmen

• Der Zugriff auf Produktivdaten ist auf den erforderlichen, zur Verschwiegenheit verpflichteten Personenkreis beschränkt.
• Entwicklungs- und Produktivumgebung sind getrennt.
• Der Quellcode wird in einem privaten Repository mit automatisiertem Scannen auf offengelegte Zugangsdaten und automatisierter Prüfung der Aktualität von Abhängigkeiten geführt.
• Es besteht ein Verfahren zur Behandlung von Sicherheitsvorfällen einschließlich der Meldefristen nach Ziffer 10.

C.6 Datenminimierung

• Es werden ausschließlich die zur Leistungserbringung erforderlichen Daten erhoben.
• Die Plattform unterstützt Export und Löschung von Daten auf Projekt- und Organisationsebene.