---

Zwischen

sanyx – Inhaber: Daniel Beser, Zum Möhnewehr 4, 59755 Arnsberg
— nachfolgend „Auftragsverarbeiter" —

und

dem Kunden gemäß Hauptvertrag
— nachfolgend „Verantwortlicher" —

wird ergänzend zum Hauptvertrag über die Nutzung der Software „sanyx"
(nachfolgend „Hauptvertrag") Folgendes vereinbart.

Zustandekommen: Diese Vereinbarung wird zusammen mit dem Hauptvertrag
geschlossen; die Bestätigung im Registrierungsablauf genügt. Art. 28 Abs. 9
DSGVO lässt das elektronische Format ausdrücklich zu. Zeitpunkt der Zustimmung
und die zugestimmten Dokumentstände werden vom Auftragsverarbeiter
protokolliert und dem Verantwortlichen auf Anfrage nachgewiesen.

---

§ 1 Gegenstand, Dauer und Weisungsbindung

1. Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
2. Die Vereinbarung läuft für die Dauer des Hauptvertrags. Sie endet mit ihm, soweit sich aus § 7 (Löschung) nichts anderes ergibt.
3. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich einer Übermittlung in Drittländer (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der im Hauptvertrag beschriebenen Funktionen durch den Verantwortlichen und seine Nutzer gilt als solche Weisung; darüber hinausgehende Weisungen bedürfen der Textform.
4. Ist der Auftragsverarbeiter aufgrund des Unionsrechts oder des Rechts eines Mitgliedstaats zur Verarbeitung verpflichtet, teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
5. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt. Er darf die Ausführung bis zur Klärung aussetzen.

§ 2 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung befugten
Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen
gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b
DSGVO). Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

§ 3 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Der Stand bei Vertragsschluss ergibt sich aus Anlage 2 (Art. 28 Abs. 3 lit. c DSGVO).
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, solange das Schutzniveau nicht unterschritten wird.

§ 4 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten ergeben sich aus Anlage 3 (Art. 28 Abs. 3 lit. d, Abs. 2 DSGVO).
2. Beabsichtigte Änderungen — Hinzuziehung oder Austausch — teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen ab Zugang aus einem datenschutzrechtlichen Grund widersprechen. Widerspricht er, sind beide Parteien berechtigt, den Hauptvertrag zum vorgesehenen Änderungszeitpunkt zu kündigen.
3. Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus und verpflichtet sie vertraglich auf Datenschutzpflichten, die denen dieser Vereinbarung entsprechen.
4. Keine Unterauftragsverarbeitung im Sinne dieser Vereinbarung ist die Nutzung von Nebenleistungen ohne bestimmungsgemäßen Zugriff auf Kundendaten. Ebenfalls nicht erfasst ist der vom Verantwortlichen selbst beigestellte E-Mail-Zugang (eigener SMTP-Anbieter oder Microsoft 365): Dessen Anbieter ist Vertragspartner des Verantwortlichen, nicht des Auftragsverarbeiters.

§ 5 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person unmittelbar an ihn, verweist er sie an den Verantwortlichen und informiert diesen unverzüglich; er beantwortet solche Anträge nicht selbst.
2. Er unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten und der Datenschutz-Folgenabschätzung (Art. 28 Abs. 3 lit. f DSGVO) — jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

§ 6 Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene
Verletzung des Schutzes personenbezogener Daten **unverzüglich, spätestens
innerhalb von 48 Stunden nach Kenntniserlangung**, in Textform. Die Meldung
enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO. Der
Auftragsverarbeiter ergreift unverzüglich angemessene Maßnahmen zur Sicherung
der Daten und zur Minderung nachteiliger Folgen und stimmt sich hierzu mit dem
Verantwortlichen ab.

§ 7 Löschung und Rückgabe

1. Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die personenbezogenen Daten oder gibt sie zurück — nach Wahl des Verantwortlichen (Art. 28 Abs. 3 lit. g DSGVO). Die Modalitäten des Datenexports richten sich nach dem Hauptvertrag.
2. Die Löschung erfolgt innerhalb von 90 Tagen nach Vertragsende und wird auf Anfrage in Textform bestätigt.
3. Bestehen gesetzliche Aufbewahrungspflichten, bleiben die betroffenen Daten bis zum Ablauf der Frist gespeichert und werden für jede weitere Verarbeitung gesperrt.
4. Ist eine sofortige Löschung nur mit unverhältnismäßigem Aufwand möglich — insbesondere in Datensicherungen —, werden die Daten für jede weitere Verarbeitung gesperrt und mit dem turnusmäßigen Überschreiben der Sicherungen endgültig gelöscht.

§ 8 Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO).
2. Der Nachweis erfolgt vorrangig durch Auskunft in Textform, aktualisierte Fassungen der Anlage 2 oder Nachweise der Unterauftragsverarbeiter.
3. Eine Überprüfung vor Ort setzt eine Ankündigung von mindestens vier Wochen voraus, findet während der üblichen Geschäftszeiten statt, darf den Betrieb nicht unangemessen beeinträchtigen und ist auf einmal jährlich begrenzt — sowie zusätzlich anlassbezogen nach einer Verletzung des Schutzes personenbezogener Daten. Die Kosten trägt der Verantwortliche, es sei denn, die Prüfung deckt einen erheblichen Verstoß des Auftragsverarbeiters auf.

§ 9 Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich, insbesondere für die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO gegenüber seinen Mitarbeitern, seinen Kunden und weiteren Beteiligten.
2. Er benennt dem Auftragsverarbeiter einen Ansprechpartner für Fragen des Datenschutzes.

§ 10 Schlussbestimmungen

1. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen die Regelungen dieser Vereinbarung vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.
2. Änderungen bedürfen der Textform.
3. Die Unwirksamkeit einzelner Bestimmungen lässt die Wirksamkeit der übrigen unberührt.
4. Es gilt das Recht der Bundesrepublik Deutschland.

Ansprechpartner Datenschutz beim Auftragsverarbeiter: Daniel Beser,
info@sanyx.de

---

Anlage 1 — Gegenstand der Verarbeitung

Gegenstand. Betrieb der Software „sanyx" als Software-as-a-Service:
Auftrags- und Schadensdokumentation, Fotoverwaltung, Berichtserstellung,
Termin- und Einsatzplanung, Geräte- und Trocknungsverwaltung, Zeiterfassung
sowie Beleg- und E-Mail-Versand.

Dauer. Laufzeit des Hauptvertrags.

Art der Verarbeitung. Erheben, Speichern, Organisieren, Verändern,
Auslesen, Verwenden, Übermitteln (an den Verantwortlichen und dessen
Empfänger), Einschränken und Löschen. Zusätzlich: transiente Verarbeitung durch
KI-Dienste zur Transkription, Texterkennung und Textaufbereitung — ohne
Speicherung beim Anbieter.

Zweck. Erbringung der vertraglich vereinbarten Leistungen.

Kategorien betroffener Personen

• Mitarbeiter des Verantwortlichen
• Kunden und Auftraggeber des Verantwortlichen: Geschädigte, Eigentümer, Mieter, Versicherungsnehmer
• Ansprechpartner von Versicherungen, Hausverwaltungen und weiteren Beteiligten
• Empfänger und Absender der über die Software geführten E-Mail-Kommunikation

Arten personenbezogener Daten

---

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zugangskontrolle: Authentifizierung über Supabase Auth mit signierten Tokens; individuelle Benutzerkonten, keine gemeinsam genutzten Zugänge; Passwortmindestlänge; Zugangsentzug für ausgeschiedene Mitarbeiter durch den Verantwortlichen.
• Zugriffskontrolle: Rollen- und Berechtigungsmodell; Beschränkung des Zugriffs auf das für die jeweilige Aufgabe Erforderliche.
• Mandantentrennung: Jede Datenbankabfrage filtert auf die Kennung der Organisation. Die Einhaltung wird durch einen automatisierten Test bei jeder Codeänderung erzwungen, nicht nur durch Konvention.
• Verschlüsselung: Transportverschlüsselung (TLS) ausnahmslos; Verschlüsselung ruhender Daten (AES-256) beim Hosting-Anbieter; Zugangsdaten für E-Mail-Konten zusätzlich anwendungsseitig verschlüsselt mit rotierbaren Schlüsseln.

Integrität

• Eingabekontrolle: Auftragsaktivitäten und Statuswechsel werden mit Nutzer und Zeitpunkt protokolliert.
• Weitergabekontrolle: Zugriff auf Dateien ausschließlich über kurzlebige, signierte Links; keine öffentlich adressierbaren Speicherobjekte.
• Trennung maschineller und menschlicher Inhalte: KI-Entwurf und freigegebene Endfassung werden getrennt gespeichert, sodass die Herkunft eines Inhalts nachvollziehbar bleibt.

Verfügbarkeit und Belastbarkeit

• Standort: Speicherung ausschließlich in Deutschland (Frankfurt am Main und Falkenstein); KI-Verarbeitung transient innerhalb der EU ohne Speicherung beim Anbieter.
• Datensicherung: Regelmäßige Sicherung der Datenbank mit der Möglichkeit, den Datenbestand nach einem technischen Zwischenfall wiederherzustellen.

Verfahren zur Überprüfung und Bewertung

• Löschbarkeit: Hierarchische Ablagestruktur je Organisation und Auftrag, ausgelegt auf die vollständige Löschung einzelner Aufträge und ganzer Organisationen innerhalb der in § 7 genannten Frist.
• Auftragskontrolle: Verpflichtung der Unterauftragsverarbeiter auf entsprechende Datenschutzpflichten; Prüfung ihrer Zusagen bei Aufnahme und bei Änderungsmitteilungen.
• Trennung von Umgebungen: Entwicklung und Produktivbetrieb laufen in getrennten Projekten; für Entwicklung und Tests werden keine echten Kundendaten verwendet.

---

Anlage 3 — Unterauftragsverarbeiter

Drittlandbezug. Die Verarbeitung findet ausschließlich in der EU statt.
Allein bei Supabase besteht wegen des Sitzes der Muttergesellschaft in den USA
die Möglichkeit eines Zugriffs aus einem Drittland. Für diesen Fall gelten die
im Auftragsverarbeitungsvertrag mit Supabase vereinbarten Garantien
(Standardvertragsklauseln der EU-Kommission).

Künftige Ergänzungen. Ein Dienst zur Fehler- und Verfügbarkeitsüberwachung
ist geplant; er wird vor Inbetriebnahme über den Weg des § 4 Abs. 2
angekündigt und hier ergänzt.