Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) ergänzt die Nutzungsbedingungen (die „Vereinbarung“) zwischen Ihnen (dem „Kunden“, handelnd als Verantwortlicher) und Yasin Mustafa Yilmaz, handelnd als Yilmaz - Einzelunternehmen, Inh. Yilmaz, Yasin („noryas“, dem „Auftragsverarbeiter“), immer wenn noryas im Auftrag des Kunden personenbezogene Daten im Rahmen der Bereitstellung des Dienstes verarbeitet. Dieser AVV wird durch Verweis in die Vereinbarung einbezogen und ist Bestandteil davon. Falls Ihre Organisation eine gesondert gegengezeichnete Kopie benötigt, kontaktieren Sie support@noryas.com.

Gegenstand: die Verarbeitung personenbezogener Daten, die der Kunde in die noryas-Anwendung eingibt oder durch deren Nutzung erzeugt (Anleitungen, Objektdatensätze, freie Notizen wie „Besonderheiten“, Checklisten-/Abschlussdatensätze sowie zugehörige Bilder oder Dateien), zum Zweck der Bereitstellung des Dienstes durch noryas an den Kunden. Dauer: solange die Vereinbarung besteht, zuzüglich eines Zeitraums, in dem noryas Daten danach aufbewahrt, wie in §7 (Löschung und Rückgabe von Daten) unten beschrieben.

Art und Zweck: Hosting, Speicherung, Anzeige und Übermittlung von Kundeninhalten zum Betrieb der Dokumentations- und Ausführungsverfolgungsfunktionen des Dienstes, einschließlich des login-freien öffentlichen QR-Code-Zugriffs gemäß Datenschutzerklärung §3.

Kategorien betroffener Personen: das eigene Personal des Kunden (z. B. der Vorname eines Kontoinhabers) sowie Dritte, die der Kunde in von ihm erstellten Inhalten benennt — etwa ein im „Besonderheiten“-Feld eines Objekts genannter Ansprechpartner vor Ort oder ein in einer Anleitungsnotiz genannter Kollege.

Kategorien personenbezogener Daten: Namen, Kontaktdaten und andere personenbezogene Daten, die der Kunde in Anleitungen, Notizen oder hochgeladenen Bildern/Dateien angibt; Abschluss-Metadaten (Zeitstempel, welches Konto einen Anleitungsdurchlauf abgeschlossen hat, falls angemeldet); und bei anonymen QR-Scans eine zufällige, geräteseitige Kennung, die selbst nicht mit einem Namen oder Kontaktdaten verknüpft ist (siehe Datenschutzerklärung §2). Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden vom Dienst nicht absichtlich erhoben; der Kunde sollte keine solchen Daten in noryas eingeben.

noryas verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, bestehend aus: (a) der Vereinbarung und diesem AVV, und (b) der eigenen Konfiguration und Nutzung der Funktionen des Dienstes durch den Kunden (z. B. welche Inhalte er erstellt, was er über eine öffentliche QR-Seite offenlegt und welche Support-Anfragen er an uns sendet). noryas informiert den Kunden, falls eine Weisung nach seiner Einschätzung gegen die DSGVO oder anderes anwendbares Datenschutzrecht verstößt.

• Sicherzustellen, dass jede zur Verarbeitung befugte Person (d. h. der Betreiber von noryas) zur Vertraulichkeit verpflichtet ist.
• Geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen, einschließlich: Row-Level-Security-Richtlinien, die den Datenzugriff auf den eigenen Workspace des Kunden beschränken; gehashte (niemals im Klartext gespeicherte) Passwörter; private Speicher-Buckets für hochgeladene Dateien/Bilder, auf die nur über kurzlebige signierte URLs zugegriffen wird; sowie Verschlüsselung bei der Übertragung (HTTPS/TLS) — siehe Datenschutzerklärung §9 für den aktuellen Stand dieser Maßnahmen.
• Unter Berücksichtigung der Art der Verarbeitung den Kunden durch geeignete technische und organisatorische Maßnahmen, soweit vernünftigerweise möglich, bei der Erfüllung von Anfragen betroffener Personen nach Kapitel III DSGVO zu unterstützen, die der Kunde nicht über die eigenen Self-Service-Funktionen des Dienstes erfüllen kann (z. B. Einstellungen → Konto löschen).
• Den Kunden bei der Einhaltung seiner Pflichten nach Art. 32–36 DSGVO zu unterstützen, unter Berücksichtigung der noryas zur Verfügung stehenden Informationen, einschließlich der unverzüglichen Benachrichtigung des Kunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die die Daten des Kunden betrifft.
• Nach Wahl des Kunden alle personenbezogenen Daten nach Beendigung der dienstbezogenen Verarbeitung an den Kunden zurückzugeben oder zu löschen und bestehende Kopien zu löschen, vorbehaltlich §7 unten.
• Dem Kunden die Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung dieses Artikels und von Art. 28 DSGVO angemessen erforderlich sind, sowie Audits, einschließlich Inspektionen, durch den Kunden oder einen von ihm beauftragten Prüfer zu ermöglichen und daran mitzuwirken — vorbehaltlich angemessener vorheriger Ankündigung, der Vertraulichkeit der Daten anderer Kunden und höchstens einmal alle 12 Monate ohne besonderen Anlass (z. B. einen Verdacht auf eine Verletzung).

Der Kunde ermächtigt noryas, die derzeit in der Datenschutzerklärung §5 aufgeführten Unterauftragsverarbeiter einzusetzen (Supabase, Vercel, Resend, Zoho, Paddle und Geoapify, Stand des oben genannten letzten Aktualisierungsdatums dieses AVV), welche die maßgebliche, aktuelle Liste ist — dies ist eine generelle Ermächtigung, keine Einzelfallermächtigung. Jeder Unterauftragsverarbeiter ist an Datenschutzpflichten gebunden, die mit diesem AVV übereinstimmen. Befindet sich ein Unterauftragsverarbeiter außerhalb der EU/des EWR, stützen sich Übermittlungen auf Standardvertragsklauseln oder einen anderen gültigen DSGVO-Übermittlungsmechanismus, wie in der Datenschutzerklärung angegeben.

Beabsichtigt noryas, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, aktualisiert es die Datenschutzerklärung (was deren angegebenes Versionsdatum erhöht und für bestehende Konten eine erneute Zustimmungsaufforderung bei der nächsten Anmeldung auslöst) und benachrichtigt den Kunden auf Anfrage direkt an die hinterlegte E-Mail-Adresse. Der Kunde kann aus berechtigten datenschutzrechtlichen Gründen innerhalb von 14 Tagen nach dieser Änderung widersprechen, indem er support@noryas.com kontaktiert; kann der Widerspruch nicht ausgeräumt werden, kann jede Partei den betroffenen Teil des Dienstes kündigen.

Die Löschung des Kontos des Kunden in den Einstellungen entfernt dessen Workspace, Anleitungen, Ausführungen und hochgeladene Dateien dauerhaft aus den Systemen von noryas — dies geschieht sofort, und da die zugrunde liegende gehostete Datenbank derzeit ohne automatisierte Backups läuft, gibt es keine verbleibende Sicherungskopie, die gesondert zu löschen wäre. Der Kunde kann vor der Löschung einen Export seiner Inhalte anfordern — siehe Nutzungsbedingungen §7. Die einzige Ausnahme sind Abrechnungs-/Rechnungsdaten, die noryas oder Paddle (als Verkäufer und Rechnungssteller) bis zu 10 Jahre nach dem betreffenden Kalenderjahr aufbewahren, wie nach deutschem Steuer- und Handelsrecht vorgeschrieben (§ 147 AO, § 257 HGB), auch nach Löschung des Kontos.

Die Haftung aus diesem AVV unterliegt den in den Nutzungsbedingungen der Vereinbarung, §11 (Haftungsbeschränkung), festgelegten Beschränkungen.

Im Falle eines Widerspruchs zwischen diesem AVV und den Nutzungsbedingungen in einer datenschutzrechtlichen Angelegenheit geht dieser AVV vor. In allen anderen Angelegenheiten gehen die Nutzungsbedingungen vor.

Fragen zu diesem AVV oder zur Anforderung einer gegengezeichneten Kopie: support@noryas.com