Auftragsverarbeitungsvertrag

• Verantwortlicher: das Unternehmen oder die Privatperson mit einer Vereinbarung über die Nutzung von Humryk („du“).
• Auftragsverarbeiter: Key-Tech AS, Organisationsnummer 932 472 112, Hans Tanks gate 19, 5008 Bergen, Norwegen („wir“).

Dieser Vertrag gilt, solange wir personenbezogene Daten für dich verarbeiten. Widerspricht etwas in den Nutzungsbedingungen diesem Vertrag, hat dieser Vertrag für personenbezogene Daten Vorrang.

Wir verarbeiten personenbezogene Daten nur, um dir Humryk bereitzustellen, und nur nach deinen Weisungen. Deine Weisungen sind die Nutzungsbedingungen, dieser Vertrag, die Einstellungen und Verbindungen, die du in Humryk wählst, sowie schriftliche Weisungen, die du uns gibst. Aktivierst du zum Beispiel eine Verbindung zu einem Versanddienstleister, ist das eine Weisung, Empfänger und Adresse dorthin zu übermitteln.

Sind wir der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informieren wir dich unverzüglich. Verpflichtet uns das Gesetz, die Daten auf andere Weise zu verarbeiten, informieren wir dich vorher, sofern das Gesetz dies nicht verbietet.

Zugriff auf die Daten erhalten nur diejenigen von uns, die ihn für Betrieb, Entwicklung und Support benötigen, und sie sind zur Vertraulichkeit verpflichtet. Die Vertraulichkeit gilt auch nach Vertragsende fort.

Wir treffen dem Risiko angemessene technische und organisatorische Maßnahmen (Artikel 32 DSGVO), darunter:

• Verschlüsselung des gesamten Datenverkehrs (HTTPS) sowie der Datenbank und der Sicherungskopien beim Anbieter
• Trennung zwischen den Shops, sodass jeder Shop nur seine eigenen Daten sieht
• rollenbasierte Zugriffsrechte für deine Nutzer und ein Protokoll, wer was im Shop getan hat
• verschlüsselte Zugriffstoken für Verbindungen
• Zugriff auf Produktionsdaten nur für diejenigen von uns, die ihn benötigen, und ein Protokoll dessen, was wir in der Systemverwaltung tun
• regelmäßige Sicherungskopien und ein Wiederherstellungsplan
• Code-Reviews und automatisierte Tests, bevor Änderungen live gehen

Du erteilst uns eine allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die Unterauftragsverarbeiter, die wir heute einsetzen, sind in der Datenschutzerklärung aufgeführt. Wir erlegen ihnen dieselben Pflichten auf, die wir nach diesem Vertrag haben, und wir sind dafür verantwortlich, dass sie diese einhalten.

Bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, benachrichtigen wir dich mindestens 30 Tage vorher per E-Mail. Wenn du einen berechtigten Grund für einen Einspruch hast, schreib an post@humryk.com. Finden wir keine Lösung, kannst du den Vertrag kündigen, bevor die Änderung wirksam wird, und wir erstatten dir, was du für die Zeit danach bezahlt hast.

Anbieter, die du selbst anbindest – zum Beispiel Stripe, Buchhaltungssoftware, Versanddienstleister, Google, Meta und KI-Assistenten –, sind nicht unsere Unterauftragsverarbeiter. Mit ihnen hast du eigene Verträge, und wir übermitteln Daten auf deine Weisung an sie.

Wir übermitteln Daten nur dann in Länder außerhalb des EWR, wenn die Übermittlung eine gültige Grundlage nach Kapitel V der DSGVO hat, etwa einen Angemessenheitsbeschluss, das EU-US Data Privacy Framework oder die Standardvertragsklauseln der Europäischen Kommission. Wo die Unterauftragsverarbeiter Daten verarbeiten, steht in der Datenschutzerklärung.

In Humryk kannst du Kunden und Kontakte selbst finden, korrigieren, exportieren und löschen. Wenn sich einer deiner Kunden an uns wendet, leiten wir die Anfrage unverzüglich an dich weiter und beantworten sie nicht selbst, es sei denn, du bittest uns darum. Brauchst du mehr Unterstützung bei der Antwort, helfen wir dir.

Wenn wir eine Verletzung des Schutzes personenbezogener Daten feststellen, die deine Daten betrifft, benachrichtigen wir dich unverzüglich und spätestens innerhalb von 48 Stunden. Wir teilen dir mit, was passiert ist, welche Daten und wie viele Personen betroffen sind, welche Folgen wahrscheinlich sind und was wir unternehmen. Wenn wir nicht sofort alle Informationen haben, liefern wir den Rest nach, sobald wir ihn kennen. Du meldest den Vorfall an Datatilsynet und an die betroffenen Personen, wenn das Gesetz es verlangt, und wir helfen dir mit allem, was du dafür brauchst.

Wir unterstützen dich außerdem bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Datatilsynet (Art. 35 und 36 DSGVO), auf Grundlage dessen, was wir über die Verarbeitung wissen.

Wir stellen dir die Informationen bereit, die du brauchst, um zu sehen, dass wir diesen Vertrag einhalten. Du kannst uns selbst prüfen oder durch einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer prüfen lassen, mit einer Frist von 30 Tagen, in der Regel einmal im Jahr und darüber hinaus nach einer Datenpanne oder einer behördlichen Anordnung. Wir antworten zuerst mit Unterlagen, und das reicht oft aus. Jede Partei trägt ihre eigenen Kosten.

Nach dem Ende des Vertrags über Humryk kannst du die Daten 30 Tage lang exportieren. Innerhalb von 90 Tagen nach Vertragsende löschen wir die Daten aus unseren Systemen und bei unseren Unterauftragsverarbeitern, mit Ausnahme dessen, was wir gesetzlich aufbewahren müssen. Gelöschte Daten können in Sicherungskopien verbleiben, bis diese nach einem festen Zeitplan überschrieben werden. Auf Anfrage bestätigen wir die Löschung schriftlich.

Die Haftung gegenüber betroffenen Personen richtet sich nach Artikel 82 DSGVO. Zwischen uns gelten die Haftungsregeln der Nutzungsbedingungen, soweit gesetzlich zulässig. Anwendbares Recht und Gerichtsstand richten sich nach den Nutzungsbedingungen.

Fragen zu diesem Vertrag schickst du an post@humryk.com.