Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO) · gültig ab 10. 11. 2026 · Version 1

1. Parteien

Verantwortlicher: der Kunde des Dienstes Lynxo gemäß den Angaben in seinem Konto.
Auftragsverarbeiter: ATRIA SK s.r.o., P. Mudroňa 5, 010 01 Žilina, Ident.-Nr. (IČO) 45473480, Kontakt skacel@atria.sk.
Der Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen und kommt mit der Registrierung des Kunden zustande.

2. Gegenstand, Art und Zweck

Der Auftragsverarbeiter stellt dem Verantwortlichen die Suche, Suchvorschläge, Suchstatistiken und je nach Tarif einen KI-Berater in dessen Online-Shop bereit. Dabei verarbeitet er personenbezogene Daten der Besucher des Shops ausschließlich zu diesem Zweck und nach den dokumentierten Weisungen des Verantwortlichen. Weisungen sind diese Bedingungen und die Einstellungen im Kundenbereich.

3. Kategorien von Daten und betroffenen Personen

Betroffene Personen: Besucher des Online-Shops des Verantwortlichen.

• Suchtext und Klick auf ein Ergebnis. Diese werden nur aggregiert gespeichert (Anzahl der Wörter und Klicks), ohne Personenbezug.
• IP-Adresse und Browserkennung. Diese werden nur im Arbeitsspeicher zum Schutz vor Missbrauch verarbeitet, höchstens 24 Stunden.
• Beim KI-Berater zusätzlich der Text der Frage, die der Besucher eingibt. Dieser kann personenbezogene Daten enthalten, wenn der Besucher sie selbst angibt.

Besondere Kategorien personenbezogener Daten werden nicht verarbeitet.

4. Dauer der Verarbeitung

Für die Dauer des Vertrags. Aggregierte Statistiken höchstens 13 Monate. Nach Vertragsende löscht der Auftragsverarbeiter die Daten innerhalb von 30 Tagen. Auf Verlangen gibt er sie vor der Löschung in einem gängigen Format zurück.

5. Pflichten des Auftragsverarbeiters

• Er verarbeitet die Daten nur auf Grundlage der Weisungen des Verantwortlichen. Würde eine Weisung gegen geltendes Recht verstoßen, weist er ihn darauf hin.
• Er stellt die Vertraulichkeit der Personen sicher, die Zugang zu den Daten haben.
• Er trifft geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO): verschlüsselte Kommunikation (HTTPS), Zugriff auf die Server nur mit kryptografischem Schlüssel, Firewall, getrennte Indizes der Kunden, tägliche Backups, Datenminimierung (Statistiken ohne IP-Adressen).
• Er unterstützt den Verantwortlichen bei der Bearbeitung von Anträgen betroffener Personen und bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO.
• Über eine Verletzung des Schutzes personenbezogener Daten informiert er den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Feststellung.
• Er stellt die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht nach vorheriger Ankündigung eine angemessene Prüfung (Audit).

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt seine allgemeine Genehmigung für folgende Unterauftragsverarbeiter:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Serverhosting in der EU (Deutschland).
• Anthropic PBC, San Francisco, USA – Sprachmodell für den KI-Berater, nur wenn der Verantwortliche diesen aktiviert hat. Übermittelt werden nur der Text der Frage und Katalogdaten, nicht die IP-Adresse. Die Übermittlung in die USA ist durch die Standardvertragsklauseln der Europäischen Kommission abgesichert.

Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage im Voraus per E-Mail. Der Verantwortliche kann Einspruch erheben und den Vertrag kündigen. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter zu denselben Datenschutzpflichten.

7. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information der Besucher seines Shops über die Nutzung des Dienstes in seiner Datenschutzerklärung.

8. Schlussbestimmungen

Dieser Vertrag unterliegt dem Recht der Slowakischen Republik und der DSGVO. Er gilt, solange der Auftragsverarbeiter personenbezogene Daten für den Verantwortlichen verarbeitet. Im Falle eines Widerspruchs zu den Allgemeinen Geschäftsbedingungen hat dieser Vertrag in Fragen des Datenschutzes Vorrang.