Auftragsverarbeitungsvertrag

Parteien und Geltungsbereich

Verantwortlicher ist das Unternehmen, das ein Teklif-Atölyesi-Konto eröffnet und personenbezogene Daten seiner Kunden, Lieferanten und Beschäftigten in die App eingibt. Auftragsverarbeiter ist Teklif Atölyesi, das diese Daten ausschließlich zur Erbringung des Dienstes und nach Weisung des Verantwortlichen verarbeitet.

Daten, die Teklif Atölyesi für eigene Zwecke verarbeitet (Anmeldedaten der Kontoinhaber, Abrechnung, Support-Korrespondenz), fallen unter die Datenschutzerklärung und nicht unter diesen Vertrag; für diese Daten ist Teklif Atölyesi Verantwortlicher.

Gegenstand, Art und Dauer der Verarbeitung

• Gegenstand: Abwicklung von Angebots-, Auftrags-, Produktions-, Versand-, Zahlungs- und Kundenkommunikationsprozessen einschließlich Kundenportal, Benachrichtigungen und Dokumenterstellung.
• Art: Erfassung, Speicherung, Bearbeitung, Anzeige, Übermittlung (über die vom Unternehmen gewählten Kanäle: E-Mail, WhatsApp, SMS), Sicherung und Löschung.
• Dauer: für die Laufzeit des Abonnements; bei Kontoschließung gemäß „Vertragsende“ unten.

Kategorien personenbezogener Daten und betroffene Personen

• Betroffene Personen: Kunden des Verantwortlichen und deren Ansprechpartner, Lieferanten, Beschäftigte und App-Nutzer.
• Datenkategorien: Identität (Name, Funktion), Kontakt (Telefon, E-Mail, Adresse), Kundentransaktionen (Angebote, Aufträge, Zahlungen, Kontoauszüge), Steuerdaten (Finanzamt und Steuernummer), hochgeladene Dateien und Nachrichteninhalte, Transaktionssicherheit (IP-Adresse, Freigabeprotokolle).
• Die Verarbeitung besonderer Kategorien personenbezogener Daten (Gesundheits-, biometrische Daten usw.) ist nicht vorgesehen; der Verantwortliche soll solche Daten nicht in die App eingeben.

Weisungen des Verantwortlichen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Einstellungen in der App und Handlungen der Nutzer des Verantwortlichen (z. B. ein Angebot senden oder eine Integration verbinden) gelten als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke, verkauft sie nicht, verarbeitet sie nicht für Werbung und führt sie nicht mit Daten anderer Unternehmen zusammen.

Vertraulichkeit

Beschäftigte und Auftragnehmer mit Zugriff auf die Daten sind schriftlich zur Vertraulichkeit verpflichtet; der Zugriff ist auf die Personen und den Umfang beschränkt, die für Support, Wartung und Sicherheit erforderlich sind.

Technische und organisatorische Maßnahmen (Art. 12 KVKK)

• Mandantentrennung: Jede Abfrage wird nach Unternehmen gefiltert; kein Unternehmen kann auf Datensätze eines anderen zugreifen.
• Transportverschlüsselung (TLS), Passwort-Hashing mit Argon2 und verschlüsselte Speicherung von Integrationsschlüsseln.
• Rollen- und Rechtematrix, serverseitiges Ausblenden von Kosten und Margen für Unbefugte, Zwei-Faktor-Anmeldung und erneute Authentifizierung bei sensiblen Aktionen.
• Protokollierung kritischer Aktionen; tägliche verschlüsselte Sicherungen und regelmäßige Wiederherstellungstests.
• Regelmäßige Sicherheitsupdates und Überwachung der Zugriffsprotokolle.

Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für die auf der Seite „Unterauftragsverarbeiter“ aufgeführten Dienstleister. Der Auftragsverarbeiter schließt mit ihnen Verträge mit mindestens gleichwertigen Schutzpflichten und haftet gegenüber dem Verantwortlichen für deren Verarbeitung.

Der Verantwortliche wird mindestens 30 Tage vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail und in der App informiert. Er kann aus berechtigtem Grund widersprechen; kommt keine Einigung zustande, kann er das Abonnement ohne Mehrkosten beenden.

Dienste, die das Unternehmen selbst verbindet (eigener KI-Schlüssel, WhatsApp-Business-Konto, E-Rechnungsanbieter, Zahlungskonto, E-Mail-Server), unterliegen den eigenen Verträgen des Verantwortlichen; Daten werden auf seine Weisung an diese Dienste übermittelt.

Übermittlung in Drittländer

Die Daten werden auf Servern in Deutschland (EU) gespeichert. Übermittlungen ins Ausland erfolgen mit den nach Art. 9 KVKK erforderlichen geeigneten Garantien (vom türkischen Datenschutzausschuss veröffentlichte Standardverträge und erforderliche Meldungen) und mit den Standardvertragsklauseln der DSGVO. Welcher Dienst in welchem Land verarbeitet, steht auf der Seite „Unterauftragsverarbeiter“.

Anfragen betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen angemessen bei der Beantwortung von Anfragen nach Art. 11 KVKK und Art. 15–22 DSGVO: Werkzeuge zum Berichtigen, Exportieren (JSON/CSV) und Löschen von Datensätzen stehen in der App bereit. Direkt beim Auftragsverarbeiter eingehende Anfragen werden unverzüglich an den Verantwortlichen weitergeleitet.

Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung, die dessen Daten betrifft, unverzüglich und spätestens 48 Stunden nach Kenntnis; die Meldung beschreibt Art der Verletzung, betroffene Daten- und Personenkategorien, wahrscheinliche Folgen und ergriffene Maßnahmen. Er unterstützt den Verantwortlichen bei dessen Meldepflichten gegenüber der Aufsichtsbehörde und den Betroffenen.

Kontrollen und Informationen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen bereit. Er wirkt an Kontrollen mit, die mit angemessener Vorankündigung, höchstens einmal jährlich und unter Vertraulichkeit durchgeführt werden; die Kosten trägt der Verantwortliche. Kontrollen durch Aufsichtsbehörden unterliegen dieser Grenze nicht.

Vertragsende

Endet das Abonnement oder wird das Konto geschlossen, kann der Verantwortliche seine Daten aus der App exportieren. Nach der Kontoschließung werden die Daten spätestens innerhalb von 30 Tagen gelöscht oder anonymisiert; in Sicherungen können sie bis zu 30 weitere Tage verbleiben. Datensätze mit gesetzlicher Aufbewahrungspflicht (z. B. Rechnungen) werden für die vorgeschriebene Dauer aufbewahrt.

Haftung, Inkrafttreten und Änderungen

Für Haftungsbeschränkungen und anwendbares Recht gelten die Nutzungsbedingungen. Dieser Vertrag tritt mit der Annahme in Kraft und gilt für die Laufzeit des Abonnements. Bei Änderungen wird die Versionsnummer aktualisiert und der Inhaber des Unternehmens in der App um erneute Zustimmung gebeten. Version dieses Textes: 2026-10-01.