Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 DSGVO — zwischen dem Kunden (Verantwortlicher) und Enthalio (Auftragsverarbeiter)
Präambel & Parteien
Verantwortlicher („Kunde"): der registrierte Betrieb / Fachbetrieb, der Enthalio zur Verwaltung von Geräte-, Service- und Kundendaten nutzt.
Auftragsverarbeiter („Enthalio"): [Enthalio Ltd, Companies-House-Nr., Anschrift, E-Mail].
Der Kunde verarbeitet im Rahmen seiner Tätigkeit personenbezogene Daten (u. a. seiner Endkunden). Enthalio verarbeitet diese Daten ausschließlich im Auftrag und nach Weisung des Kunden. Für die reinen Kern-Nachschlagefunktionen (Fehlercode-Suche, Rechner) ohne Konto findet keine Auftragsverarbeitung statt.
§1 Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Gegenstand: Verarbeitung personenbezogener Daten zur Bereitstellung der Enthalio-SaaS (Geräteakte, Serviceprotokolle, betriebsweite Gerätesichtbarkeit). Angebots-/Rechnungsfunktionen sind für eine spätere Ausbaustufe vorgesehen und derzeit nicht Teil des Pilotzugangs.
- Dauer: für die Laufzeit des Hauptvertrags (Nutzungsverhältnis) zwischen Kunde und Enthalio.
- Art: Erheben, Speichern, Ordnen, Auslesen, Übermitteln (innerhalb der berechtigten Betriebsmitglieder), Löschen.
- Zweck: siehe Gegenstand; keine anderweitige Nutzung, insbesondere keine eigene Auswertung der Kundendaten durch Enthalio.
Art der Daten, Kategorien betroffener Personen: siehe Anlage 1.
§2 Weisungsrecht des Verantwortlichen (Art. 28 Abs. 3 lit. a)
Enthalio verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich Übermittlungen in ein Drittland. Der Nutzungsvertrag und dieser AVV sind die dauerhafte Grunddokumentation der Weisungen; Einzelweisungen erfolgen über die Konto-Funktionen oder in Textform an [datenschutz@enthalio.com]. Hält Enthalio eine Weisung für rechtswidrig, teilt es dies dem Kunden unverzüglich mit (Art. 28 Abs. 3 S. 2 DSGVO).
§3 Pflichten des Auftragsverarbeiters
- Vertraulichkeit (lit. b): Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet bzw. unterliegen einer gesetzlichen Verschwiegenheit.
- Datensicherheit (lit. c): Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO — siehe Anlage 2.
- Unterstützung (lit. e, f): Enthalio unterstützt den Kunden mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 15–22) sowie bei Datensicherheit, Meldung von Verletzungen (Art. 33/34) und Datenschutz-Folgenabschätzungen (Art. 35/36).
- Meldung von Datenschutzverletzungen: Enthalio informiert den Kunden unverzüglich nach Kenntnis einer Verletzung des Schutzes personenbezogener Daten (Art. 33 Abs. 2).
- Datengeheimnis / kein Verkauf: Enthalio verkauft oder vermietet Kundendaten nicht und nutzt sie nicht für eigene Zwecke.
§4 Technische und organisatorische Maßnahmen (Art. 32) — Anlage 2
Enthalio setzt insbesondere folgende Maßnahmen um (Stand: Pilotphase):
| Bereich | Maßnahme |
|---|---|
| Verschlüsselung | Transportverschlüsselung (TLS/HTTPS, HSTS) für alle Übertragungen; Speicherung verschlüsselt (at-rest) beim Infrastruktur-Anbieter; optionale Ende-zu-Ende-Verschlüsselung persönlicher Sicherungen (Schlüssel aus Nutzerpasswort, für Enthalio nicht lesbar). |
| Zugriffskontrolle / Mandantentrennung | Row-Level-Security (RLS) auf Datenbankebene: jeder Betrieb sieht ausschließlich seine eigenen Daten (firm-scoped). Rollenbasierte Rechte (Owner/Meister/Techniker/Helfer). |
| Zugangskontrolle | Passwortlose Authentifizierung per Magic-Link (E-Mail); Freigabekontrolle (Approval-Gate) für neue Zugänge. |
| Datenminimierung | Anonyme Nutzungsstatistik nur mit Einwilligung und ohne Kundennamen/Adressen/Seriennummern; automatische PII-Filterung in geteilten technischen Feldern. |
| Verfügbarkeit / Wiederherstellbarkeit | Verwaltete Datenbank mit Backups des Infrastruktur-Anbieters; Offline-Warteschlange (Outbox) gegen Datenverlust bei Verbindungsabbruch. |
| Infrastruktur-Zertifizierung | Hosting bei Supabase in der EU (Region Frankfurt/Deutschland), auf zertifizierter Cloud-Infrastruktur (ISO 27001 / SOC 2 des Unter-Infrastrukturanbieters). |
§5 Unterauftragsverhältnisse (Art. 28 Abs. 2, 4) — Anlage 3
Der Kunde erteilt seine allgemeine Genehmigung zum Einsatz der unten gelisteten Unterauftrags- verarbeiter. Enthalio informiert den Kunden über beabsichtigte Änderungen (Hinzuziehung/Ersetzung) mit angemessener Frist; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Enthalio verpflichtet Unterauftragsverarbeiter auf dieselben Datenschutzpflichten (Flow-Down) und bleibt dem Kunden gegenüber voll verantwortlich.
| Unterauftragsverarbeiter | Leistung | Ort |
|---|---|---|
| Supabase Inc. | Datenbank, Authentifizierung, Speicher (Backend) | EU (Frankfurt/DE); Konzern-Kette per Supabase-DPA/SCC abgedeckt |
| Netlify Inc. | Website-/App-Hosting (CDN) | USA / globales CDN mit EU-Edge; Netlify-DPA |
| [E-Mail-Versand: Anbieter des Magic-Link/Systemmails, z. B. Supabase-SMTP / Resend / Postmark] | Zustellung von Anmelde-/Systemmails | [Ort] — DPA |
| Stripe (bei aktivem Bezahlmodul) | Zahlungsabwicklung / Abonnement | USA/EU — Stripe-DPA; Zahlungsdaten primär beim Zahlungsdienstleister |
Die aktuelle Liste wird gepflegt; die jeweils gültige Fassung stellt Enthalio auf Anfrage bereit.
§6 Betroffenenrechte (Art. 28 Abs. 3 lit. e)
Wenden sich betroffene Personen direkt an Enthalio, leitet Enthalio die Anfrage unverzüglich an den Kunden weiter. Enthalio unterstützt den Kunden bei Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch mit geeigneten technischen Mitteln (u. a. Export- und Löschfunktionen).
§7 Kontroll- und Nachweisrechte (Art. 28 Abs. 3 lit. h)
Enthalio stellt dem Kunden die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen. Nachweise können vorrangig durch Bereitstellung dieses AVV, der Anlage 2 (TOM) und vorhandener Zertifikate/Berichte der Infrastruktur-Anbieter erbracht werden; Vor-Ort-Prüfungen sind nach angemessener Vorankündigung möglich.
§8 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)
Nach Beendigung des Vertrags löscht Enthalio die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Kunden zurück (Export), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Kunde kann seine Betriebsdaten jederzeit über die Export-Funktion herausgeben.
§9 Drittlandbezug
Die Speicherung der Kundendaten erfolgt in der EU (Supabase, Frankfurt). Enthalio als Auftragsverarbeiter ist im Vereinigten Königreich niedergelassen. Für Datenübermittlungen EU→UK besteht ein Angemessenheitsbeschluss der EU-Kommission (erneuert am 19.12.2025, gültig bis 27.12.2031); ein zusätzliches Transferinstrument ist derzeit nicht erforderlich. Sollte der Angemessenheitsbeschluss entfallen, vereinbaren die Parteien die EU-Standarddatenschutzklauseln (Durchführungsbeschluss 2021/914) als Grundlage. Für in den USA ansässige Unterauftragsverarbeiter gelten deren jeweilige Transfermechanismen (DPF-Zertifizierung bzw. SCC).
§10 Haftung, Schlussbestimmungen
Es gelten die Haftungsregelungen des Hauptvertrags (AGB) und Art. 82 DSGVO. Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.
Enthalio · enthalio.com · Auftragsverarbeitungsvertrag nach Art. 28 DSGVO · Entwurf auf Basis GDD-Muster & EU-SCC 2021/915 · vor Launch anwaltlich zu prüfen · [Stand/Datum]