Vereinbarung zur Auftragsverarbeitung

1. Parteien

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Kunde, der ein LuchsFlow-Konto anlegt und die Software zur Verarbeitung personenbezogener Daten nutzt.

Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ist der im Impressum genannte Anbieter der Software LuchsFlow.

2. Gegenstand und Dauer

Gegenstand der Auftragsverarbeitung ist die Bereitstellung der Software LuchsFlow zur Dokumentation von Sanierungs- und Leckortungseinsätzen. Die Auftragsverarbeitung beginnt mit der Registrierung und endet mit der Beendigung des Nutzungsvertrags.

3. Art und Zweck der Verarbeitung

Erhebung, Speicherung, Strukturierung, Ordnung, Abfrage, Anzeige, Übermittlung an vom Verantwortlichen benannte Empfänger (etwa Kunden über zeitlich begrenzte Freigabelinks), Berichtigung und Löschung der eingegebenen Daten.

Sofern der Verantwortliche die entsprechenden Funktionen aktiv nutzt: automatisierte Transkription von Sprachaufnahmen, Textzusammenfassung sowie Extraktion strukturierter Angebotspositionen aus Freitext durch KI-Dienste über das eingesetzte Gateway.

4. Art der personenbezogenen Daten

• Stammdaten von Kunden und Ansprechpartnern (Name, Anschrift, Telefon, E-Mail).
• Auftrags- und Schadensdaten (Objektadresse, Versicherung, Schadennummer, Beschreibung, Messwerte).
• Dokumentationsdaten (Fotos einschließlich optionaler EXIF-/GPS-Metadaten, Audioaufnahmen, Transkripte, Skizzen, Unterschriften).
• Konto- und Nutzungsdaten (E-Mail-Adresse, Rolle, Log-Daten, IP-Adresse, Zeitstempel).

5. Kategorien betroffener Personen

• Mitarbeitende und Konten-Inhaberinnen und -Inhaber des Verantwortlichen.
• Kundinnen und Kunden sowie deren Ansprechpartner.
• Dritte, die auf Fotos oder in Sprachaufnahmen erscheinen.

Der Verantwortliche stellt sicher, dass keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO verarbeitet werden, sofern hierüber keine gesonderte Vereinbarung mit dem Auftragsverarbeiter besteht.

6. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzungshandlungen im Produkt gelten als Weisung.
• Verpflichtung aller mit der Verarbeitung befassten Personen zur Vertraulichkeit.
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO gemäß der TOM-Dokumentation.
• Unterstützung des Verantwortlichen bei der Erfüllung der Betroffenenrechte nach Art. 12–22 DSGVO, insbesondere durch Bereitstellung eines Datenexports.
• Unterstützung bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
• Unverzügliche Meldung erkannter Verletzungen des Schutzes personenbezogener Daten an den Verantwortlichen.
• Rückgabe oder Löschung der Daten nach Beendigung des Vertrags nach Wahl des Verantwortlichen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Betreiberzugriff für Administration, Support und Störungsbeseitigung

Der Auftragsverarbeiter hat für die Administration der Plattform, für die Bearbeitung von Support-Anfragen sowie für die Analyse und Beseitigung von Störungen technisch die Möglichkeit, auf Daten des Verantwortlichen zuzugreifen. Der Zugriff ist auf einen namentlich benannten Personenkreis beschränkt; zum Zeitpunkt dieser Fassung ist dies ein einzelnes Betreiberkonto, das im Impressum genannt ist.

Der Zugriff erfolgt ausschließlich weisungsgebunden im Sinne von Art. 29 DSGVO auf Grundlage dieser Vereinbarung sowie im Rahmen der Nutzung des Produkts durch den Verantwortlichen. Er ist auf das für den jeweiligen Zweck erforderliche Maß begrenzt und wird technisch über eine Prüffunktion in der Datenbank abgesichert, die eine mandantenübergreifende Einsicht ausschließlich der Betreiberrolle vorbehält.

Die zum Zugriff berechtigten Personen sind zur Vertraulichkeit verpflichtet. Weitere Einzelheiten zur Absicherung ergeben sich aus der TOM-Dokumentation.

8. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der in der Liste der Subprozessoren aufgeführten Unterauftragsverarbeiter zu. Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter eine Vereinbarung, die die Pflichten dieser AVV im Wesentlichen widerspiegelt.

Zum Zeitpunkt dieser Fassung umfasst die Liste insbesondere: Supabase (Hosting, EU), Cloudflare (Edge Delivery), Lovable / GPT Engineer (Anwendung und AI Gateway), OpenAI (Sprachtranskription, USA), Google (Gemini: Textanalyse, Foto-Beschreibung, Zähler-OCR; USA/EU) sowie AppSignal B.V. (Frontend-Fehlerüberwachung, Niederlande). Die jeweils aktuelle und maßgebliche Fassung steht unter /subprozessoren.

Beabsichtigte Änderungen der Liste werden dem Verantwortlichen mit angemessenem Vorlauf mitgeteilt. Der Verantwortliche kann einem neuen Unterauftragsverarbeiter aus wichtigem Grund widersprechen.

9. Ort der Verarbeitung

Die Kernverarbeitung (Datenbank, Authentifizierung, Datei-Storage) erfolgt in der Europäischen Union. Sofern der Verantwortliche optionale KI-Funktionen nutzt, kann eine Übermittlung an in der Subprozessoren-Liste ausgewiesene Modell-Provider erfolgen. Für Drittlandtransfers werden geeignete Garantien nach Kapitel V DSGVO verwendet, insbesondere Standardvertragsklauseln der Europäischen Kommission.

10. Kontrollrechte

Der Verantwortliche kann sich vom Auftragsverarbeiter die Einhaltung der vereinbarten Pflichten in angemessenem Umfang nachweisen lassen, insbesondere durch Vorlage der aktuellen TOM-Dokumentation oder anerkannter Zertifikate der eingesetzten Infrastrukturanbieter.

11. Haftung

Es gelten die Haftungsregelungen des Hauptvertrags. Die Haftung nach Art. 82 DSGVO gegenüber betroffenen Personen bleibt hiervon unberührt.

12. Zustimmung und Nachweis

Diese Vereinbarung wird durch ausdrückliche Zustimmung des Kunden im Registrierungsprozess geschlossen. Zeitpunkt und Version der Zustimmung werden im Profil des Kunden dauerhaft protokolliert und sind auf Anforderung als Nachweis nach Art. 5 Abs. 2 DSGVO verfügbar.