Vereinbarung zur Auftragsverarbeitung

Stand: 27. August 2026 · gemäß Art. 28 DSGVO

Diese Vereinbarung wird zwischen dem im Polyquote-Konto bezeichneten Geschäftskunden („Verantwortlicher“) und Polyquote — Liam Vendel, Stein 6, 4851 Gampern, Österreich („Auftragsverarbeiter“) geschlossen. Sie gilt automatisch, sobald der Verantwortliche personenbezogene Endkundendaten über Polyquote verarbeitet.

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung der Polyquote-SaaS einschließlich Widget, Speicherung von Preisanfragen und CAD-Dateien, Händlerportal und Benachrichtigungen an den Händler. Polyquote versendet keine automatisierten Angebote, Auftragsbestätigungen oder Rechnungen an Endkund:innen des Händlers. Die Verarbeitung dauert bis zur Löschung oder Rückgabe der Auftragsdaten nach Vertragsende, vorbehaltlich gesetzlicher Pflichten und zeitlich begrenzter Sicherungskopien.

2. Art, Zweck, Daten und betroffene Personen

• Art und Zweck: Erhebung, Übertragung, Speicherung, Berechnung, Anzeige, Sicherung und Löschung von Preisanfragen.
• Datenarten: Name, Firma, E-Mail-Adresse, Angebots- und Fertigungsparameter, Dateiname, CAD-/Modelldatei, technische Protokoll- und Sicherheitsdaten.
• Betroffene: Kund:innen, Interessent:innen und Kontaktpersonen des Verantwortlichen.
• Besondere Datenkategorien nach Art. 9 DSGVO sind nicht vorgesehen und dürfen nicht gezielt übermittelt werden.

3. Weisungen

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung. Als Weisungen gelten Vertrag, Kontoeinstellungen, dokumentierte Nutzung der Funktionen und spätere Weisungen in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen und setzt sie bis zur Klärung aus, soweit dies rechtlich zulässig ist.

4. Pflichten des Auftragsverarbeiters

• Vertraulichkeitsverpflichtung aller befugten Personen;
• angemessene Maßnahmen nach Art. 32 DSGVO;
• Unterstützung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Behördenkonsultationen;
• unverzügliche Information über Verletzungen des Schutzes von Auftragsdaten mit den verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO;
• Nachweis der Einhaltung und angemessene Audits nach vorheriger Abstimmung, vorrangig durch aktuelle Berichte, Zertifikate und Fragebögen.

5. Unterauftragsverarbeiter

Allgemein genehmigt sind: Vercel Inc. (Hosting und Serverless-Ausführung), Supabase Inc. (Datenbank, Authentifizierung und Dateispeicher) und Resend Inc. (Konto- und Anwendungsbenachrichtigungen an Händler sowie Support-E-Mail). Stripe verarbeitet Abrechnungsdaten ausschließlich für das Vertragsverhältnis zwischen Polyquote und dem Händler und ist insoweit nicht Unterauftragsverarbeiter für Endkunden-CAD-Daten. Änderungen werden mindestens 14 Tage vorher in Textform angekündigt; aus wichtigem Datenschutzgrund kann widersprochen werden.

6. Drittlandübermittlungen

Übermittlungen außerhalb des EWR erfolgen nur bei Vorliegen der Voraussetzungen des Kapitels V DSGVO, insbesondere Angemessenheitsbeschluss, wirksamer Zertifizierung unter dem EU-US Data Privacy Framework oder Standardvertragsklauseln samt erforderlichen ergänzenden Maßnahmen. Aktuelle Anbieterbedingungen und Subprozessorlisten sind zu prüfen und Vertragsbestandteil, soweit sie die gesetzlichen Anforderungen erfüllen.

7. Löschung, Rückgabe und Sicherungen

Während der Vertragsdauer kann der Verantwortliche Daten im Portal verwalten und das Konto löschen. Nach Vertragsende löscht der Auftragsverarbeiter Auftragsdaten, sofern keine dokumentierte Rückgabe verlangt wurde und keine gesetzliche Speicherung erforderlich ist. Sicherungskopien werden nach dem technischen Rotationsplan überschrieben und bis dahin gesperrt.

8. Technische und organisatorische Maßnahmen

• Mandantentrennung durch Row Level Security und serverseitige Autorisierung;
• private Dateispeicherung mit zeitlich begrenzten signierten Links;
• TLS-Transportverschlüsselung und verschlüsselte Anbieter-Infrastruktur;
• Least-Privilege-Zugriffe, getrennte öffentliche und privilegierte Schlüssel;
• signierte Stripe- und Resend-Webhooks, Eingabevalidierung und Missbrauchsbegrenzung;
• Protokollierung sicherheitsrelevanter Provider-Ereignisse, Backups und Wiederherstellungsverfahren;
• regelmäßige Überprüfung, Aktualisierung und dokumentierte Behandlung von Sicherheitsvorfällen.

9. Verantwortlichkeit

Der Verantwortliche gewährleistet die Rechtmäßigkeit der Verarbeitung, erfüllt Informationspflichten gegenüber seinen Endkund:innen und konfiguriert zugelassene Domains und Rechtstexte korrekt. Bei Widerspruch gehen zwingende Bestimmungen der DSGVO dieser Vereinbarung vor.