Vertrag zur Auftragsverarbeitung (AVV)

Verantwortlicher ist der Kunde, also das Unternehmen, das eine Gewerbe- oder Enterprise-Lizenz für Dayboard abgeschlossen hat. Die im Hub hinterlegten Firmen- und Rechnungsdaten gelten als Angabe des Verantwortlichen.

Auftragsverarbeiter ist die E-Blend GmbH, Mannheim (Kontaktdaten siehe Impressum).

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen des Dayboard Connect-Hubs. Die Laufzeit entspricht der Laufzeit des Lizenzvertrags. Der Vertrag endet automatisch mit dem Ende der Lizenz.

• Board-Spiegel: Speicherung des vom Gerät des Kunden übermittelten Board-Inhalts zur Anzeige im Web-Viewer.
• Display-Kopplung: Verwaltung gekoppelter Bildschirme (Name, Kopplungszeitpunkt, letzter Kontakt, Nachtmodus).
• Feed-Kennzahlen: Entgegennahme und Speicherung der über die JSON-Schnittstelle gesendeten Werte.
• Kontodaten: E-Mail-Adresse, Anzeigename, Zeitzone, Lizenz- und Rechnungsdaten.
• Verbundene Dienste: Zugriffsschlüssel und abgerufene Kennzahlen der vom Kunden freigegebenen Dienste.

Betroffene Personen sind Beschäftigte und Nutzerinnen und Nutzer des Kunden sowie Personen, deren Daten in den Board-Inhalten enthalten sind.

Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen. Diese Vereinbarung und die Nutzung der Funktionen im Hub gelten als Weisung. Weitere Weisungen sind in Textform an die im Impressum genannte Adresse zu richten.

Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Supabase (Datenbank und Konten-Verwaltung, Hosting in der EU)
• Lovable (Hosting und Auslieferung der Website und Schnittstellen)
• Stripe Payments Europe Ltd., Irland (Zahlungsabwicklung und Rechnungen)
• E-Mail-Versanddienstleister für System- und Anmelde-E-Mails

Wechsel oder Ergänzungen werden dem Kunden vorab mitgeteilt; er kann innerhalb von 14 Tagen widersprechen.

• Verschlüsselte Übertragung ausschließlich über HTTPS/TLS
• Verschlüsselte Speicherung der Datenbank beim Hoster
• Zugriffstrennung je Konto über Datenbank-Regeln (Row Level Security)
• Zugangstoken für Displays und Feeds nur als Hashwert gespeichert
• Beschränkte Anzahl von Zugriffen je Minute (Missbrauchsschutz)
• Zugriff auf Produktivsysteme nur für benannte Personen, mit Zwei-Faktor-Anmeldung
• Regelmäßige Sicherungen und protokollierte Änderungen
• Datensparsamkeit: keine Werbe- oder Analyse-Profile, keine Weitergabe an Dritte

Die E-Blend GmbH unterstützt den Verantwortlichen bei Auskunft, Berichtigung, Löschung und Datenübertragbarkeit sowie bei Meldepflichten nach Art. 33 und 34 DSGVO. Datenschutzvorfälle werden unverzüglich gemeldet.

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Der Verantwortliche kann die Einhaltung dieser Vereinbarung nach Ankündigung prüfen oder durch Nachweise (z. B. Auskünfte, Zertifikate der Unterauftragsverarbeiter) belegen lassen.

Nach Ende des Vertrags werden Board-Spiegel, Display-Kopplungen, Feed-Werte und Verbindungsdaten gelöscht. Rechnungsdaten bleiben aufgrund gesetzlicher Aufbewahrungspflichten (§ 147 AO, 10 Jahre) gespeichert. Der Kunde kann die Löschung jederzeit selbst im Hub anstoßen.