Vereinbarung zur Auftragsverarbeitung

Wenn Sie unsere Software nutzen, erfassen Sie darin Daten Ihrer eigenen Kundinnen und Kunden sowie Ihrer Mitarbeitenden. Für diese Daten sind Sie der Verantwortliche im Sinne der DSGVO. Wir verarbeiten sie ausschließlich in Ihrem Auftrag und nach Ihren Weisungen – wir sind Auftragsverarbeiter.

Für die Daten, die wir für unsere eigene Geschäftsbeziehung mit Ihnen verarbeiten (Vertrag, Rechnung, Support), sind wir selbst Verantwortlicher; dazu informiert die Datenschutzerklärung.

Diese Vereinbarung wird mit Abschluss des Nutzungsvertrags automatisch Vertragsbestandteil; eine gesonderte Unterschrift ist nicht erforderlich. Sie können diese Seite jederzeit ausdrucken oder als PDF speichern. Auf Wunsch stellen wir Ihnen ein unterschriebenes Exemplar per E-Mail an kontakt@vendara-retail.de zur Verfügung.

Gegenstand ist die Bereitstellung der cloudbasierten Software zur Erfassung und Auswertung von Beratungs- und Verkaufskontakten im stationären Handel. Die Verarbeitung dauert so lange, wie der Nutzungsvertrag besteht. Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Auswerten, Übermitteln (nur an die unten genannten Unterauftragsverarbeiter) und Löschen.

• Mitarbeitende des Kunden: Name, dienstliche E-Mail-Adresse, Rolle, Abteilung/Filiale, Aktivitäts- und Leistungsdaten (z. B. erfasste Kontakte, Abschlussquote), Anmeldezeitpunkte.
• Endkunden des Kunden: Name, Kontaktdaten (Telefon, E-Mail, PLZ/Ort), Beratungs- und Kaufhistorie, Verlustgründe, Notizen, Angebots- und Umsatzdaten, ggf. Wiedervorlagen und Einwilligungsnachweise.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht vorgesehen und dürfen im System nicht erfasst werden.

Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Kunden. Weisungen erfolgen in Textform an kontakt@vendara-retail.de oder durch die Nutzung der Funktionen der Anwendung selbst. Halten wir eine Weisung für rechtswidrig, weisen wir darauf hin und dürfen die Ausführung aussetzen.

Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet und im Datenschutz unterwiesen. Zugriff erhalten sie nur, soweit es für Support, Betrieb oder Fehlerbehebung erforderlich ist.

• Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung (at rest).
• Mandantentrennung auf Datenbankebene: jede Tabelle ist an die Organisation gebunden und durch Row-Level-Security abgesichert.
• Rollen- und Rechtekonzept (Verkäufer, Filialleitung, Geschäftsführung, Marketing, Controlling) mit funktionsbezogener Sichtbarkeit.
• Authentifizierung über gehashte Passwörter, Sitzungs-Token mit Ablauf.
• Protokollierung sicherheitsrelevanter Vorgänge (Audit-Log) und KI-Nutzungsprotokoll.
• Regelmäßige Backups mit Wiederherstellungsmöglichkeit (Point-in-Time).
• Datenminimierung bei Übermittlungen an KI- und CRM-Schnittstellen (Bereinigung nicht benötigter personenbezogener Felder).
• Trennung von Test-, Vorschau- und Produktivumgebung.

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter. Änderungen kündigen wir mit angemessener Frist an; der Kunde kann widersprechen und bei berechtigtem Grund den Vertrag außerordentlich kündigen.

• Supabase Inc. (USA, Serverstandort EU) – Datenbank, Authentifizierung, Dateispeicher.
• Lovable AB (Schweden) mit Cloudflare, Inc. (USA/EU) – Hosting und Auslieferung der Anwendung.
• Google LLC / Google Ireland Ltd. über das Lovable AI Gateway – Verarbeitung von KI-Anfragen (Gemini). Kein Training auf Kundendaten.
• Stripe Payments Europe, Ltd. (Irland) – Zahlungsabwicklung (betrifft Vertrags- und Zahlungsdaten des Kunden, keine Endkundendaten).
• Mailgun Technologies / Sinch über die E-Mail-Infrastruktur von Lovable – Versand von System- und Benachrichtigungs-E-Mails.

Bei Übermittlungen in Drittländer gelten die EU-Standardvertragsklauseln (Art. 46 DSGVO) nebst ergänzenden Schutzmaßnahmen.

Wir unterstützen den Kunden bei Betroffenenanfragen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit), bei Datenschutz-Folgenabschätzungen und bei Meldepflichten. Wenden sich betroffene Personen direkt an uns, leiten wir die Anfrage unverzüglich an den Kunden weiter. Die Anwendung enthält Export-Funktionen (CSV/XLSX/PDF), mit denen der Kunde Auskunfts- und Übertragbarkeitsansprüche selbst erfüllen kann.

Wir informieren den Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten und stellen die für die Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit.

Der Kunde kann sich von der Einhaltung dieser Vereinbarung überzeugen. In der Regel geschieht dies durch Selbstauskunft und Vorlage vorhandener Nachweise unserer Unterauftragsverarbeiter. Vor-Ort-Prüfungen sind nach vorheriger Ankündigung mit angemessener Frist und ohne Störung des Betriebs möglich.

Nach Ende des Vertrags kann der Kunde seine Daten 30 Tage lang exportieren. Danach löschen wir die Daten des Kunden. Buchhaltungsrelevante Unterlagen (Rechnungen, Zahlungsbelege) bewahren wir aufgrund handels- und steuerrechtlicher Pflichten bis zu 10 Jahre auf; sie sind für den laufenden Betrieb gesperrt. Nutzerkonten, die auf eigenen Wunsch gelöscht werden, werden sofort pseudonymisiert und nach Ablauf der gesetzlichen Aufbewahrungsfrist endgültig entfernt.

Es gilt die Haftungsregelung des Nutzungsvertrags (Ziffer 11 der AGB), unbeschadet Art. 82 DSGVO. Bei Widersprüchen zwischen AGB und dieser Vereinbarung geht diese Vereinbarung für Fragen der Auftragsverarbeitung vor. Es gilt deutsches Recht.