Vereinbarung zur Auftragsverarbeitung

Version 2026-09-04-2 · Stand: 28. August 2026 · gemäß Art. 28 DSGVO

Diese Vereinbarung wird zwischen dem im Polyquote-Konto bezeichneten Geschäftskunden („Verantwortlicher“) und Liam Vendel (Geschäftsbezeichnung: Polyquote), Stein 6, 4851 Gampern, Österreich („Auftragsverarbeiter“) geschlossen. Der Verantwortliche akzeptiert sie bei der Registrierung ausdrücklich über die dortige, versionierte Pflichtbestätigung. Sie gilt ab der ersten Verarbeitung personenbezogener Endkundendaten über Polyquote.

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung der Polyquote-SaaS einschließlich Widget, Speicherung von Preisanfragen und CAD-Dateien, Händlerportal und Benachrichtigungen an den Händler. Polyquote versendet keine automatisierten Angebote, Auftragsbestätigungen oder Rechnungen an Endkund:innen des Händlers. Die Verarbeitung dauert bis zur Löschung oder Rückgabe der Auftragsdaten nach Vertragsende, vorbehaltlich gesetzlicher Pflichten und zeitlich begrenzter Sicherungskopien.

2. Art, Zweck, Daten und betroffene Personen

• Art und Zweck: Erhebung, Übertragung, Speicherung, Berechnung, Anzeige, Sicherung und Löschung von Preisanfragen.
• Datenarten: Name, Firma, E-Mail-Adresse, Preis- und Fertigungsparameter, Dateiname, CAD-/Modelldatei sowie technische Protokoll- und Sicherheitsdaten.
• Betroffene: Kund:innen, Interessent:innen und Kontaktpersonen des Verantwortlichen.
• Besondere Datenkategorien nach Art. 9 DSGVO sind nicht vorgesehen und dürfen nicht gezielt übermittelt werden.

3. Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Dies gilt auch für Übermittlungen personenbezogener Daten an ein Drittland oder eine internationale Organisation. Als dokumentierte Weisungen gelten insbesondere dieser Vertrag, die Kontoeinstellungen, die dokumentierte Nutzung der Funktionen und spätere Weisungen in Textform. Ist der Auftragsverarbeiter durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer darüber hinausgehenden Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Hält der Auftragsverarbeiter eine Weisung für einen Verstoß gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten, informiert er den Verantwortlichen unverzüglich und setzt sie bis zur Klärung aus, soweit dies rechtlich zulässig ist.

4. Pflichten des Auftragsverarbeiters

• Vertraulichkeitsverpflichtung aller befugten Personen;
• Umsetzung angemessener technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO;
• Unterstützung bei Betroffenenrechten durch geeignete technische und organisatorische Maßnahmen, soweit dies unter Berücksichtigung der Art der Verarbeitung möglich ist;
• Unterstützung des Verantwortlichen bei der Einhaltung seiner Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen, insbesondere bei Sicherheit, Meldung und Benachrichtigung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Behördenkonsultationen;
• unverzügliche Information über Verletzungen des Schutzes von Auftragsdaten mit den jeweils verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO und angemessene laufende Ergänzung noch fehlender Informationen;
• Bereitstellung aller zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen. Der Verantwortliche oder ein von ihm beauftragter, unabhängiger und angemessen zur Vertraulichkeit verpflichteter Prüfer darf Inspektionen und Audits durchführen; Polyquote ermöglicht diese und wirkt daran mit. Soweit der Nachweis gleichwertig geführt werden kann, werden zur Begrenzung von Aufwand, Risiken für andere Kunden und Eingriffen in die Sicherheit zunächst aktuelle Berichte, Zertifikate und Fragebögen genutzt. Dies ersetzt oder beschränkt das gesetzliche Inspektionsrecht nicht. Zeitpunkt, Umfang, Sicherheits-, Vertraulichkeits- und Zugangsregeln werden angemessen abgestimmt; gesetzlich zwingende oder anlassbezogene Prüfungen bleiben unberührt.

5. Unterauftragsverarbeiter

Allgemein genehmigt sind, vorbehaltlich der vor Produktivstart zu bestätigenden konkreten Vertragsparteien und Unterauftragsverarbeiter: Vercel (Hosting und Serverless-Ausführung), Supabase (Datenbank, Authentifizierung und Dateispeicher) und Resend (Konto- und Anwendungsbenachrichtigungen an Händler sowie Support-E-Mail). Die Browserbibliotheken für 3D-Ansicht, CAD-Import und Datenübertragung werden von Polyquote selbst ausgeliefert; beim Aufruf entsteht deshalb keine zusätzliche Verbindung zu einem öffentlichen Bibliotheks-CDN. Änderungen werden mindestens 14 Tage vorher in Textform angekündigt; aus wichtigem Datenschutzgrund kann widersprochen werden.

Polyquote verpflichtet jeden Unterauftragsverarbeiter vertraglich mindestens zu denselben Datenschutzpflichten, die Polyquote aus dieser AVV und Art. 28 DSGVO treffen, insbesondere zu hinreichenden technischen und organisatorischen Maßnahmen. Erfüllt ein Unterauftragsverarbeiter diese Pflichten nicht, bleibt Polyquote dem Verantwortlichen gegenüber für die Erfüllung der Pflichten des Unterauftragsverarbeiters voll verantwortlich.

6. Drittlandübermittlungen

Übermittlungen außerhalb des EWR erfolgen nur bei Vorliegen der Voraussetzungen des Kapitels V DSGVO, insbesondere Angemessenheitsbeschluss, wirksamer Zertifizierung unter dem EU-US Data Privacy Framework oder Standardvertragsklauseln samt erforderlichen ergänzenden Maßnahmen. Aktuelle Anbieterbedingungen und Subprozessorlisten sind zu prüfen und Vertragsbestandteil, soweit sie die gesetzlichen Anforderungen erfüllen.

7. Löschung, Rückgabe und Sicherungen

Während der Vertragsdauer kann der Verantwortliche einzelne Preisanfragen einschließlich ihrer CAD-Datei löschen und getrennte automatische Fristen konfigurieren: für private CAD-/Modelldateien mindestens einen Tag und höchstens die Frist der zugehörigen Preisanfrage (standardmäßig 30 Tage), für die verbleibenden Preisanfrage-Metadaten 30 bis 2555 Tage (standardmäßig 365 Tage). Nach Ablauf der kürzeren CAD-Frist bleibt die Preisanfrage ohne Modelldatei bestehen. Nach Abschluss der Verarbeitung erteilt der Verantwortliche die dokumentierte Wahl, ob die personenbezogenen Auftragsdaten zurückzugeben oder zu löschen sind. Der Auftragsverarbeiter führt diese Wahl aus und löscht vorhandene Kopien, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine weitere Speicherung verlangt; über eine solche Pflicht wird der Verantwortliche informiert, soweit dies rechtlich zulässig ist. Bis zur Ausführung einer Rückgabe oder Löschung gelten diese Vereinbarung und die Weisungsbindung fort. Nur soweit für den tatsächlich eingesetzten Tarif und Datentyp Sicherungen aktiviert und dokumentiert sind, bleiben gelöschte Daten bis zum bestätigten Ablauf des Anbieter- oder eigenen Rotationsplans für den normalen Betrieb gesperrt und werden anschließend überschrieben beziehungsweise verworfen. Sicherungen sind kein Archiv; Datenbank-Sicherungen umfassen nicht automatisch den privaten CAD-Objektspeicher, und eine Wiederherstellung gelöschter CAD-Dateien wird nicht zugesagt.

8. Technische und organisatorische Maßnahmen

• Mandantentrennung durch Row Level Security und serverseitige Autorisierung;
• private Dateispeicherung mit zeitlich begrenzten signierten Links;
• TLS-Transportverschlüsselung und verschlüsselte Anbieter-Infrastruktur;
• Least-Privilege-Zugriffe, getrennte öffentliche und privilegierte Schlüssel;
• signierte Resend-Webhooks, Eingabevalidierung und Missbrauchsbegrenzung;
• Protokollierung sicherheitsrelevanter Provider-Ereignisse sowie dokumentierte und getestete Wiederherstellungsverfahren nur für tatsächlich aktivierte Sicherungen und deren bestätigten Datenumfang;
• regelmäßige Überprüfung, Aktualisierung und dokumentierte Behandlung von Sicherheitsvorfällen.

9. Verantwortlichkeit

Der Verantwortliche gewährleistet die Rechtmäßigkeit der Verarbeitung, erfüllt Informationspflichten gegenüber seinen Endkund:innen und konfiguriert zugelassene Domains und Rechtstexte korrekt. Bei Widerspruch gehen zwingende Bestimmungen der DSGVO dieser Vereinbarung vor.