Auftragsverarbeitungsvertrag
Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen oder einer anderen schriftlichen Vereinbarung zwischen bry3d llc („BRY3D“ oder „Auftragsverarbeiter“) und dem im jeweiligen Konto oder Bestellformular bezeichneten Kunden („Kunde“ oder „Verantwortlicher“). Er regelt die Verarbeitung von Kunden-Personendaten durch BRY3D im Auftrag des Kunden und dient der Erfüllung von Art. 28 DSGVO sowie entsprechender Pflichten nach sonstigem anwendbarem Datenschutzrecht.
1. Gegenstand und Rollen
- Der Kunde ist der Verantwortliche für personenbezogene Daten, die er von seinen eigenen Interessenten, Kunden und Mitarbeitenden erhebt und in der Plattform speichert („Kunden-Personendaten“).
- BRY3D ist der Auftragsverarbeiter und verarbeitet Kunden-Personendaten ausschließlich zur Erbringung der in den Nutzungsbedingungen beschriebenen Dienste: CRM, 3D-Viewer und Konfiguratoren, Anfrageformulare, Angebotserstellung, Messaging, Automatisierungen, KI-Unterstützung und das Kundenportal.
- Dieser AVV gilt, solange BRY3D Kunden-Personendaten verarbeitet.
2. Art und Zweck der Verarbeitung
Hosting, Speicherung, Anzeige, Übermittlung, Automatisierung und Analyse von Kunden-Personendaten, soweit dies zum Betrieb der vom Kunden genutzten Plattformfunktionen erforderlich ist.
Kategorien betroffener Personen: die Interessenten und Kunden des Kunden, Website-Besucher, die mit den Viewern, Formularen oder dem Chat-Assistenten des Kunden interagieren, sowie die Teammitglieder des Kunden.
Kategorien personenbezogener Daten: Kontaktdaten (Name, E-Mail, Telefon, Adresse), Unternehmensdaten, Produktkonfigurationen und Angebote, Auftrags- und Projektinformationen, Kommunikation (E-Mail, Chat, WhatsApp), Dokumente und Signaturen sowie technische Daten zur Plattformnutzung. Die Plattform ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) bestimmt; der Kunde verpflichtet sich, solche Daten nicht darin zu speichern.
3. Weisungen
BRY3D verarbeitet Kunden-Personendaten nur auf dokumentierte Weisung des Kunden — die Nutzungsbedingungen, dieser AVV und die Konfiguration der Plattform durch den Kunden gelten als diese Weisungen —, es sei denn, das Recht der EU oder eines Mitgliedstaats verlangt etwas anderes; in diesem Fall informiert BRY3D den Kunden vor der Verarbeitung (sofern das Gesetz dies nicht verbietet). BRY3D informiert den Kunden, wenn eine Weisung nach seiner Auffassung gegen die DSGVO verstößt.
4. Vertraulichkeit und Personal
BRY3D stellt sicher, dass die zur Verarbeitung von Kunden-Personendaten befugten Personen zur Vertraulichkeit verpflichtet sind und nur so weit auf Daten zugreifen, wie es ihre Rolle erfordert.
5. Sicherheit
BRY3D trifft geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO), einschließlich Verschlüsselung bei Übertragung und Speicherung, rollenbasierter Zugriffskontrolle, Mandantentrennung und Backups. Die aktuellen Maßnahmen sind auf der Sicherheitsseite beschrieben. BRY3D kann die Maßnahmen weiterentwickeln, sofern das Schutzniveau insgesamt nicht sinkt.
6. Subunternehmer
Der Kunde erteilt eine allgemeine schriftliche Genehmigung für die unten aufgeführten Subunternehmer. BRY3D erlegt jedem Subunternehmer Datenschutzpflichten auf, die diesem AVV gleichwertig sind, und bleibt für deren Erfüllung verantwortlich. Ergänzungen oder Ersetzungen kündigt BRY3D mindestens 14 Tage im Voraus an (per E-Mail oder In-App-Hinweis); der Kunde kann aus nachvollziehbaren Datenschutzgründen widersprechen. In diesem Fall suchen die Parteien eine Lösung; wird keine gefunden, kann der Kunde die betroffenen Dienste kündigen.
7. Aktuelle Subunternehmer-Liste
| Subunternehmer | Zweck | Garantie bei Verarbeitung außerhalb des EWR |
|---|---|---|
| Supabase | Datenbank, Authentifizierung, Dateispeicherung | SCC / DPF, soweit anwendbar |
| Vercel | Anwendungs-Hosting, Auslieferung, Webanalyse und Leistungsmessung | SCC / DPF, soweit anwendbar |
| Stripe | Zahlungs- und Abonnementabwicklung | SCC / DPF, soweit anwendbar |
| Sentry | Fehlerüberwachung und Diagnose | SCC / DPF, soweit anwendbar |
| OpenAI (oder der für das Konto konfigurierte KI-Anbieter) | KI-Assistent-Antworten | SCC / DPF, soweit anwendbar |
| Meta Platforms (WhatsApp Business) | WhatsApp-Messaging und Lead-Integrationen, sofern vom Kunden angebunden | SCC / DPF, soweit anwendbar |
| Kalender- und Drive-Integrationen, sofern vom Kunden angebunden | SCC / DPF, soweit anwendbar | |
| n8n | Workflow-Automatisierung zwischen verbundenen Diensten | SCC / DPF, soweit anwendbar |
Integrationen, die der Kunde selbst anbindet (zum Beispiel das eigene E-Mail-Konto, ein Buchhaltungstool oder ein selbst bereitgestellter KI-Schlüssel), handeln im Auftrag des Kunden und auf Grundlage seines eigenen Vertrags mit dem jeweiligen Anbieter.
8. Internationale Datenübermittlungen
Der Kunde genehmigt Übermittlungen von Kunden-Personendaten in die Vereinigten Staaten und andere Rechtsordnungen, in denen BRY3D oder autorisierte Unterauftragsverarbeiter tätig sind. Für Übermittlungen, die der DSGVO unterliegen, gelten die Standardvertragsklauseln der Europäischen Kommission, Modul Zwei (Verantwortlicher an Auftragsverarbeiter), sofern kein anderer rechtmäßiger Übermittlungsmechanismus anwendbar ist.
9. Unterstützung
- Betroffenenanfragen: Unter Berücksichtigung der Art der Verarbeitung unterstützt BRY3D den Kunden mit geeigneten technischen und organisatorischen Maßnahmen (Export-, Korrektur- und Löschfunktionen in der Plattform; Support auf Anfrage) bei der Erfüllung der Betroffenenrechte nach Kapitel III DSGVO. Anfragen, die BRY3D direkt erreichen und Kunden-Personendaten betreffen, werden an den Kunden weitergeleitet.
- Sicherheit, Meldung von Verletzungen, DSFA: BRY3D unterstützt den Kunden bei den Pflichten aus Art. 32–36 DSGVO unter Berücksichtigung der BRY3D vorliegenden Informationen.
10. Verletzungen des Schutzes personenbezogener Daten
BRY3D benachrichtigt den Kunden unverzüglich, nachdem BRY3D von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die Kunden-Personendaten betrifft — mit den Informationen, die der Kunde für seine eigenen Meldepflichten vernünftigerweise benötigt —, und wirkt an der Untersuchung und Eindämmung der Verletzung mit.
11. Löschung und Rückgabe
Während der Laufzeit kann der Kunde seine CRM-Daten über die Plattform exportieren. Nach Beendigung der Dienste löscht BRY3D Kunden-Personendaten innerhalb von 30 Tagen, sofern nicht das Recht der EU oder eines Mitgliedstaats eine längere Aufbewahrung verlangt. Backups werden im regulären Backup-Rotationszyklus bereinigt.
12. Audits
BRY3D stellt die Informationen bereit, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, und ermöglicht Audits — einschließlich Inspektionen — durch den Kunden oder einen von ihm beauftragten Prüfer: höchstens einmal pro 12 Monate, mit mindestens 30 Tagen Vorankündigung, während der Geschäftszeiten, ohne Störung des Betriebs und unter Vertraulichkeit. Die Kosten trägt der Kunde, es sei denn, das Audit deckt einen wesentlichen Verstoß auf.
13. Haftung und Rangfolge
Die Haftung unter diesem AVV richtet sich nach der Haftungsbeschränkung in den Nutzungsbedingungen. Steht dieser AVV im Widerspruch zu den Nutzungsbedingungen, hat der AVV in Datenschutzfragen Vorrang. Übersetzungen dienen nur der Information; maßgeblich ist die englische Fassung.
14. Kontakt
Fragen zu Datenschutz und Auftragsverarbeitung: admin@bry3d.com.
Dieser AVV wird elektronisch als Bestandteil der Nutzungsbedingungen akzeptiert — eine Unterschrift ist nicht erforderlich. Kunden, die eine gegengezeichnete Ausfertigung benötigen, können diese unter der oben genannten Adresse anfordern.