Vertrag zur Auftragsverarbeitung

Layers verarbeitet personenbezogene Daten im Auftrag des Kunden, um Layers nach den AGB und der Leistungsbeschreibung bereitzustellen. Der Vertrag gilt, solange der Kunde Layers nutzt, und danach bis zur Löschung oder Rückgabe der Daten.

• Kunden und Interessenten des Kunden: Stammdaten, Kontaktdaten, Einwilligungen, Bankverbindung, Aufträge, Rechnungen, Termine, Dateien, eingelagerte Gegenstände, mit dem Add-on Werkstatt auch Fahrzeugdaten
• Mitarbeiter des Kunden: Name, Kontaktdaten, Rolle, Arbeitszeiten, Stempelzeiten, Abwesenheiten (ohne Grund für andere sichtbar), Urlaubsanträge, Aufgaben
• Nutzungsdaten: Änderungsprotokoll, Anmeldungen

Besondere Kategorien von Daten (Art. 9 DSGVO) sind nicht vorgesehen; der Kunde speichert sie nicht in Layers.

Layers verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus den AGB, diesem Vertrag und der Nutzung von Layers durch den Kunden. Hält Layers eine Weisung für rechtswidrig, weist Layers den Kunden darauf hin.

Personen, die bei Layers Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet und erhalten nur Zugriff, soweit es für ihre Aufgabe nötig ist.

• Speicherung in einem Rechenzentrum in Frankfurt am Main (EU) mit physischer Zutrittskontrolle des Betreibers
• Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung
• Zugriffsbeschränkung pro Team und Rolle in der Datenbank selbst (Row Level Security)
• Optionale Zwei-Faktor-Anmeldung, Pflicht für Administratoren von Layers
• Protokoll aller Änderungen; Datensätze werden ausgeblendet statt überschrieben
• Regelmäßige Sicherungen
• Zugangsschlüssel zu Drittdiensten nur in gesicherten Umgebungsvariablen, nicht in der Datenbank

Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Supabase Inc. (USA): Datenbank, Anmeldung, Dateispeicher und Server-Funktionen; Speicherort Frankfurt am Main (EU)
• Vercel Inc. (USA): Auslieferung der Web-App
• OpenAI (USA): Suche nach Bedeutung; dazu werden Texte der Datensätze in Zahlenfolgen (Vektoren) umgewandelt, ohne dass OpenAI die Daten für eigenes Training nutzt
• Nuntly, Brevo und Resend: Versand und Absender-Verifizierung von E-Mails, soweit der Kunde E-Mail-Funktionen nutzt

Für Empfänger in Drittländern bestehen geeignete Garantien (EU-Standardvertragsklauseln bzw. Zertifizierung nach dem EU-U.S. Data Privacy Framework). Über neue oder ersetzte Unterauftragsverarbeiter informiert Layers den Kunden vorab; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

Layers unterstützt den Kunden bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen, soweit es Layers betrifft. Viele Anfragen kann der Kunde direkt in Layers erledigen.

Layers meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie Layers bekannt wird, mit den Informationen, die der Kunde für eine eigene Meldung braucht.

Nach Vertragsende stellt Layers dem Kunden seine Daten auf Anfrage innerhalb von 30 Tagen bereit und löscht sie danach, einschließlich vorhandener Kopien, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Sicherungen werden im regulären Zyklus überschrieben.

Layers stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, und ermöglicht Überprüfungen nach angemessener Vorankündigung, soweit sie den Betrieb nicht unzumutbar stören.

Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Im Übrigen gelten die Schlussbestimmungen der AGB.