Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Dieser Auftragsverarbeitungsvertrag ("AVV") gemäß Art. 28 DSGVO ergänzt die Allgemeinen Geschäftsbedingungen ("AGB") zwischen dem Auftraggeber ("Sie", "Verantwortlicher") und der Nuqo GmbH, Körnerstraße 10, 13585 Berlin ("Nuqo", "Auftragsverarbeiter").

Der AVV gilt für die Dauer der Nutzung des Dienstes gemäß den AGB.

2. Art und Zweck der Verarbeitung

Nuqo verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Erbringung der in den AGB beschriebenen Dienstleistungen, insbesondere:

• Extraktion und Strukturierung von Stücklisten und Spezifikationen aus hochgeladenen Dokumenten
• KI-gestützte Analyse technischer Dokumente
• Speicherung und Verwaltung von Angebots- und Anfragedaten
• Benutzerkontenverwaltung und Authentifizierung

3. Kategorien betroffener Personen

• Mitarbeiter und Beauftragte des Verantwortlichen (Benutzerkonten)
• Ansprechpartner in hochgeladenen Anfragedokumenten (Kontaktdaten in RFQs, Stücklisten, Zeichnungen)

4. Kategorien personenbezogener Daten

• Kontodaten: Name, E-Mail-Adresse, Telefonnummer, Anmeldeinformationen
• Organisationsdaten: Firmenname, Organisationseinstellungen
• Dokumentdaten: In hochgeladenen Dateien enthaltene personenbezogene Daten (z. B. Ansprechpartner, Kontaktdaten)
• Nutzungsdaten: IP-Adresse, Sitzungsdaten, Ereignisprotokolle

5. Pflichten des Auftragsverarbeiters

Nuqo verpflichtet sich:

• Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten
• Den Verantwortlichen unverzüglich zu informieren, wenn Nuqo der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Nuqo ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen (Art. 28 Abs. 3 lit. h DSGVO)
• Sicherzustellen, dass sich zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet haben
• Angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu ergreifen
• Anfragen betroffener Personen nicht selbst zu beantworten, sondern unverzüglich an den Verantwortlichen weiterzuleiten, und ihn bei der Erfüllung der Betroffenenrechte zu unterstützen; etwas anderes gilt nur, wenn der Verantwortliche Nuqo zur Beantwortung anweist (Art. 28 Abs. 3 lit. e DSGVO)
• Den Verantwortlichen unverzüglich über Datenschutzverletzungen zu informieren
• Den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO zu unterstützen — insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde — unter Berücksichtigung der Art der Verarbeitung und der Nuqo zur Verfügung stehenden Informationen
• Nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben und vorhandene Kopien zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht

6. Pflichten und Rechte des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage für die Erhebung der Daten und für ihre Übermittlung an Nuqo. Er stellt sicher, dass er berechtigt ist, die in den Dienst eingebrachten Daten zu diesem Zweck zu verwenden — das gilt auch für personenbezogene Daten in Anfragedokumenten seiner eigenen Kunden — und dass die betroffenen Personen, soweit erforderlich, informiert sind.

Der Verantwortliche ist gegenüber Nuqo weisungsbefugt. Die Nutzung des Dienstes im vertraglich vorgesehenen Umfang gilt als Weisung; darüber hinausgehende Weisungen ergehen in Textform an [email protected]. Nuqo dokumentiert erteilte Weisungen.

Der Verantwortliche kann Weisungen jederzeit ändern oder widerrufen, die Einhaltung dieses AVV nach Abschnitt 11 überprüfen und die Löschung oder Rückgabe der Daten nach Abschnitt 7 verlangen.

7. Löschung und Rückgabe

Die Wahl zwischen Löschung und Rückgabe trifft der Verantwortliche. Nuqo führt sie innerhalb von 30 Tagen nach Zugang der Weisung oder nach Ende des Vertragsverhältnisses aus und zieht die eingesetzten Unterauftragsverarbeiter nach. Sicherungskopien werden nicht einzeln bereinigt, sondern laufen nach ihrer Aufbewahrungsdauer ab. Wird eine Sicherungskopie eingespielt, die bereits gelöschte Daten enthält, wird die Löschung unverzüglich wiederholt. Auf Verlangen bestätigt Nuqo die Löschung in Textform.

Protokolldaten mit Bezug zu Auftragsdaten — insbesondere die Verarbeitungsprotokolle zu einzelnen Anfragen — werden darüber hinaus laufend gelöscht, spätestens 61 Tage nach ihrer Entstehung. Endet das Vertragsverhältnis vorher, wird dieser Ablauf nicht abgewartet: Sie werden zusammen mit den übrigen personenbezogenen Daten nach Absatz 1 gelöscht.

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Nuqo kündigt die Beauftragung eines neuen oder den Wechsel eines bestehenden Unterauftragsverarbeiters mindestens 14 Tage im Voraus in Textform an. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem, datenschutzbezogenem Grund widersprechen. Im Fall eines Widerspruchs suchen die Parteien zunächst eine einvernehmliche Lösung. Kommt eine solche nicht zustande und kann Nuqo die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht in zumutbarer Weise erbringen, steht dem Verantwortlichen ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu (Art. 28 Abs. 2 DSGVO).

Nuqo verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem AVV festgelegt sind, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet Nuqo gegenüber dem Verantwortlichen für dessen Verstöße.

Aktuelle Unterauftragsverarbeiter:

Umfang der Stripe-Verarbeitung: Stripe wird ausschließlich zur Rechnungs- und Zahlungsabwicklung eingesetzt und erhält nur die Rechnungskontaktdaten des Kunden sowie Zahlungsmittel-/Bankdaten. Stripe erhält keine hochgeladenen Dokumente, Stücklisten, Zeichnungen, Angebotsinhalte, Kalkulationsdaten oder Endkundendaten des Kunden — solche Daten werden niemals an Stripe weitergegeben.

Umfang der Verarbeitung auf dem Azure-Jobs-Server: Auf diesem Server werden ausschließlich Lieferantenkataloge abgerufen und aufbereitet. Auftragsdaten des Verantwortlichen — hochgeladene Dokumente, Stücklisten, Zeichnungen, Angebotsinhalte und die zugehörigen Verarbeitungsprotokolle — werden dort weder gespeichert noch im Rahmen dieser Verarbeitung abgerufen.

9. Technische und organisatorische Maßnahmen

Nuqo ergreift die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind entlang der Schutzziele des Art. 32 Abs. 1 DSGVO gegliedert:

• Vertraulichkeit: Zugriff nur für befugte Personen über rollenbasierte Berechtigungen, Trennung der Daten nach Organisation, Passwörter ausschließlich als Hash nach dem Stand der Technik gespeichert, sichere Sitzungsverwaltung; alle Mitarbeiter sind schriftlich zur Vertraulichkeit verpflichtet.
• Integrität: Verschlüsselung der Übertragung mittels TLS und Verschlüsselung ruhender Daten; Änderungen an Angebotsdaten werden protokolliert und bleiben nachvollziehbar.
• Verfügbarkeit: Betrieb auf Servern in der Europäischen Union; Anwendung, Datenbank und Suchindex liegen in Deutschland. Laufende Überwachung mit Alarmierung, zeitnahe Sicherheitsupdates.
• Belastbarkeit: Die Systeme sind darauf ausgelegt, Last- und Störungsspitzen ohne Datenverlust zu überstehen; Störungen werden erkannt und behoben.
• Wiederherstellbarkeit: Regelmäßige Sicherungskopien, deren Wiederherstellung getestet wird, damit Verfügbarkeit und Zugang nach einem Zwischenfall rasch wiederhergestellt werden können.
• Regelmäßige Überprüfung: Die Wirksamkeit dieser Maßnahmen wird regelmäßig überprüft und bei Bedarf angepasst.

Eine ausführliche Darstellung der Maßnahmen stellt Nuqo dem Verantwortlichen auf Anfrage zur Verfügung.

10. Übermittlung in Drittländer

Die KI-gestützte Verarbeitung hochgeladener Dokumente (Stücklisten, Zeichnungen, Spezifikationen) erfolgt ausschließlich über EU-Endpunkte — die Azure EU Data Zone bzw. Vertex AI in der EU-Multiregion. Diese Inhalte verlassen die EU nicht.

Die eingesetzten KI-Anbieter dürfen die übermittelten Inhalte vertraglich nicht zum Training ihrer Modelle verwenden; es gelten die Datenschutzbedingungen von Microsoft bzw. Google Cloud. Bei Microsoft werden Ein- und Ausgaben im Rahmen der Missbrauchserkennung bis zu 30 Tage vorgehalten und anschließend gelöscht; eine darüber hinausgehende Speicherung findet nicht statt. Nuqo prüft die Freistellung hiervon (Zero Data Retention) und wird den Verantwortlichen über eine Umstellung informieren. Vertex AI speichert die übermittelten Inhalte nicht.

Eine Übermittlung in Drittländer findet allein bei der Zahlungsabwicklung über Stripe statt, die ausschließlich Abrechnungsdaten und keine Dokumenteninhalte umfasst. Sie erfolgt auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission, von Standardvertragsklauseln (SCC) oder anderer anerkannter Garantien gemäß Art. 44 ff. DSGVO.

11. Prüfrechte

Der Verantwortliche hat das Recht, die Einhaltung dieses AVV durch angemessene Maßnahmen zu überprüfen, einschließlich Audits. Nuqo stellt alle erforderlichen Informationen zur Verfügung und unterstützt bei Prüfungen.

12. Kontakt

Bei Fragen zu diesem AVV wenden Sie sich bitte an: [email protected]