Vertrag zur Auftragsverarbeitung

Fassung 1.0 vom 12. November 2026. Maßgeblich ist die deutsche Fassung; die englische ist eine Übersetzung.

zwischen

dem Kunden — dem Unternehmen, das ein Autoflowly-Konto führt und eine oder mehrere Apps betreibt („Verantwortlicher“),

und

Jules Guilain Kenfack, handelnd als Autoflowly Software, Bernhardhausen Str. 1/2, 75417 Mühlacker, Deutschland, privacy@autoflowly.com („Auftragsverarbeiter“).

1. Gegenstand und Dauer

1.1 Der Auftragsverarbeiter erstellt, hostet und betreibt für den Verantwortlichen Geschäftsanwendungen („Apps“) samt Datenbank, Dateien und KI-Assistenten und verarbeitet dabei personenbezogene Daten der Kunden, Interessenten und Beschäftigten des Verantwortlichen ausschließlich in dessen Auftrag.

1.2 Dieser Vertrag gilt für die Dauer des Nutzungsvertrags (Nutzungsbedingungen von Autoflowly) und endet mit ihm. Er geht den Nutzungsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht.

1.3 Nicht erfasst sind die Daten des Kontoinhabers selbst (Registrierung, Abrechnung, Nutzung der Plattform). Für sie ist Autoflowly eigener Verantwortlicher; es gilt die Datenschutzerklärung.

2. Art, Zweck, Daten und Betroffene

3. Weisungen

3.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Als Weisungen gelten dieser Vertrag, die Nutzungsbedingungen sowie die Einstellungen und Eingaben des Verantwortlichen in der Plattform (Builder, Dashboard, Mobile-App) und seine Freigaben im Posteingang.

3.2 Einzelweisungen erteilt der Verantwortliche in Textform an privacy@autoflowly.com.

3.3 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

3.4 Der Auftragsverarbeiter verwendet die Daten nicht für eigene Zwecke und nicht zum Training von KI-Modellen, weder eigener noch fremder.

4. Vertraulichkeit

Alle Personen, die beim Auftragsverarbeiter Zugang zu den Daten haben, sind auf Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Zugriffe auf eine App durch Autoflowly erfolgen nur zur Störungsbeseitigung oder auf Anfrage des Verantwortlichen und werden protokolliert.

5. Technische und organisatorische Maßnahmen (Art. 32)

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen. Er darf sie fortentwickeln, solange das Schutzniveau nicht sinkt; wesentliche Änderungen dokumentiert er.

6. Unterauftragsverarbeiter

6.1 Der Verantwortliche erteilt die allgemeine Genehmigung für den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.

6.2 Über einen neuen oder ersetzten Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail an die Kontoadresse und auf autoflowly.com/de/datenschutz. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Lässt sich der Einwand nicht ausräumen, kann er den betroffenen Dienst zum Wirksamwerden der Änderung kündigen.

6.3 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten und haftet für dessen Pflichtverletzungen wie für eigene.

6.4 Dienste, die der Verantwortliche selbst anbindet (eigenes Stripe-, PayPal-, Twilio-, WhatsApp-, Telegram-, Google- oder sonstiges Konto), sind keine Unterauftragsverarbeiter von Autoflowly, sondern eigene Dienstleister des Verantwortlichen.

7. Übermittlungen in Drittländer

7.1 Die Datenbank und die Dateien der App eines Verantwortlichen mit Sitz in der EU/im EWR, im Vereinigten Königreich oder in der Schweiz liegen auf Servern in Deutschland (Frankfurt am Main oder Berlin). Ist dort bei Erstellung der App ausnahmsweise kein Platz, teilt der Auftragsverarbeiter den Standort mit und verlegt die App auf Verlangen nach Deutschland.

7.2 Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind: Angemessenheitsbeschluss (insbesondere EU-US Data Privacy Framework bei zertifizierten Empfängern) oder EU-Standardvertragsklauseln mit ergänzenden Maßnahmen. Die Empfänger und Grundlagen stehen in Anlage 2.

7.3 Nutzt der Verantwortliche den KI-Assistenten, werden die dafür nötigen Inhalte an die in Anlage 2 genannten KI-Anbieter übermittelt. Der Verantwortliche kann KI-Funktionen je App abschalten.

8. Unterstützung des Verantwortlichen

8.1 Betroffenenrechte: Wendet sich eine betroffene Person an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst. Die Plattform stellt dem Verantwortlichen Auskunft, Berichtigung, Export und Löschung einzelner Datensätze im Dashboard bereit.

8.2 Sicherheit, Datenschutz-Folgenabschätzung, Konsultation: Der Auftragsverarbeiter unterstützt den Verantwortlichen im angemessenen Umfang bei den Pflichten aus Art. 32 bis 36 DSGVO.

9. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die Kontoadresse. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenarten und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktstelle. Fehlende Angaben werden nachgereicht.

10. Kontrollrechte

10.1 Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags durch geeignete Unterlagen nach (Beschreibung der Maßnahmen, Protokolle, Berichte; Zertifikate, sobald vorhanden).

10.2 Reichen diese nicht aus, kann der Verantwortliche selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer nach Ankündigung von mindestens 30 Tagen, höchstens einmal im Jahr (bei begründetem Anlass auch öfter), während der üblichen Geschäftszeiten prüfen. Prüfungen dürfen den Betrieb und die Daten anderer Kunden nicht gefährden.

11. Löschung und Rückgabe

11.1 Der Verantwortliche kann seine Daten jederzeit exportieren.

11.2 Nach Ende des Nutzungsvertrags oder nach Löschung einer App löscht der Auftragsverarbeiter deren Daten innerhalb von 30 Tagen; Sicherungskopien werden innerhalb von weiteren 30 Tagen überschrieben. Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt.

11.3 Eine App, die wegen Inaktivität stillgelegt wird, bleibt mit ihren Daten bis zur Löschung nach den Nutzungsbedingungen erhalten; der Verantwortliche wird vor der Löschung benachrichtigt.

12. Berufsgeheimnisträger und besondere Kategorien

Unterliegt der Verantwortliche einer beruflichen Verschwiegenheitspflicht (§ 203 StGB, § 43e BRAO), gilt für seine App der Auftragsverarbeitungsvertrag mit Verschwiegenheitsklausel, den er im Dashboard der App annimmt; er geht diesem Vertrag für diese App vor. Für Gesundheitsdaten und andere Daten nach Art. 9 DSGVO gilt: Verarbeitung nur in Deutschland, soweit der Verantwortliche nichts anderes wählt; KI-Funktionen nur nach ausdrücklicher Aktivierung durch den Verantwortlichen.

13. Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen.

14. Schlussbestimmungen

14.1 Änderungen bedürfen der Textform. Der Auftragsverarbeiter kann den Vertrag an geänderte Rechtslage anpassen und teilt Änderungen 30 Tage vorher mit.

14.2 Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters.

14.3 Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

14.4 Dieser Vertrag ist Bestandteil der Nutzungsbedingungen von Autoflowly (Ziffer 8). Er kommt zustande, wenn der Verantwortliche die Nutzungsbedingungen annimmt, und gilt, sobald er in einer App personenbezogene Daten Dritter verarbeitet. Eine gesonderte Unterschrift ist nicht erforderlich. Auf Wunsch stellt der Auftragsverarbeiter eine unterzeichnete Ausfertigung in Textform aus: privacy@autoflowly.com.

Anlage 1 — Technische und organisatorische Maßnahmen

Anlage 2 — Unterauftragsverarbeiter