Auftragsverarbeitungsvertrag (AVV)

1. Zweck und Anwendungsbereich

Dieser Auftragsverarbeitungsvertrag ("AVV" / "DPA") ist Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) zwischen dem im Impressum genannten Anbieter von Lab Manager Pro ("Auftragsverarbeiter") und der Kundenorganisation ("Verantwortlicher" / "Kunde"). Er setzt Art. 28 DSGVO und anwendbares deutsches Recht (einschließlich BDSG) für die Verarbeitung personenbezogener Daten in Kundeninhalten um.

Konto-, Abrechnungs- und Marketingdaten, die wir als unabhängiger Verantwortlicher verarbeiten, sind in unserer Datenschutzerklärung beschrieben und fallen nicht in den Auftragsverarbeiter-Bereich dieses AVV.

2. Rollen der Parteien

• Kunde ist Verantwortlicher (oder Auftragsverarbeiter für eigene Verantwortliche) der in den Workspace hochgeladenen Kundeninhalte.
• Lab Manager Pro ist Auftragsverarbeiter und verarbeitet diese Daten nur auf dokumentierte Weisung zur Bereitstellung, Absicherung, Unterstützung und Verbesserung des Dienstes.

3. Einzelheiten der Verarbeitung (Art. 28 Abs. 3 DSGVO)

• Gegenstand: Hosting und Betrieb einer Multi-Tenant-Laborplattform
• Dauer: Laufzeit des Abonnements zuzüglich Lösch-/Backup-Auslauf und gesetzlicher Aufbewahrung
• Art und Zweck: Speicherung, Abruf, Übertragung, Anzeige, Backup, Protokollierung und Support-Zugriff
• Arten personenbezogener Daten: Namen, E-Mails, Telefonnummern, Rollen, Kundendaten und weitere vom Kunden hochgeladene personenbezogene Daten
• Betroffene: Mitarbeitende/Auftragnehmer des Kunden; Kunden und Kontakte des Kunden; sonstige Personen, deren Daten der Kunde speichert

4. Weisungen

Der Kunde weist uns an, personenbezogene Daten zu verarbeiten, soweit zur Erbringung des Dienstes erforderlich. Wir unterrichten den Kunden unverzüglich, wenn eine Weisung gegen die DSGVO oder sonstige Datenschutzvorschriften der Union oder der Mitgliedstaaten zu verstoßen scheint, soweit das Recht eine solche Mitteilung nicht verbietet.

5. Vertraulichkeit

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO) und erhalten Zugriff nur soweit erforderlich.

6. Sicherheit (Art. 32 DSGVO / TOMs)

• Verschlüsselung bei der Übertragung (TLS)
• Multi-Tenant-Isolation (inkl. PostgreSQL RLS) und rollenbasierter Zugriff
• Authentifizierung über Supabase Auth
• Zugriffskontrollen, Audit-Logging und sichere Entwicklungspraktiken
• Infrastrukturanbieter laut Unterauftragsverarbeiter-Liste

7. Unterauftragsverarbeiter (Art. 28 Abs. 2–4 DSGVO)

Der Kunde erteilt eine allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern. Die aktuelle Liste steht unter Unterauftragsverarbeiter. Wir verpflichten Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die materiell nicht weniger schützend sind als dieser AVV.

8. Internationale Übermittlungen (Kapitel V DSGVO)

Übermittlungen in Drittländer stützen sich auf SCCs, Angemessenheitsbeschlüsse oder andere rechtmäßige Mechanismen unserer Anbieter. Der Kunde bleibt für seine eigene Rechtsgrundlage zum Hochladen personenbezogener Daten verantwortlich.

9. Unterstützung

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir den Kunden — über Produktfunktionen und angemessenen Support — bei Betroffenenanfragen, Sicherheit, Meldung von Verletzungen, DPIAs und vorheriger Konsultation, soweit für Multi-Tenant-SaaS zumutbar.

10. Verletzungen des Schutzes personenbezogener Daten

Nach Kenntnis einer Verletzung, die Kundeninhalte betrifft, unterrichten wir den Kunden unverzüglich. Die Mitteilung ist kein Schuldeingeständnis.

11. Rückgabe und Löschung

Während des Abonnements kann der Kunde verfügbare Daten exportieren. Nach Beendigung oder schriftlicher Aufforderung löschen oder geben wir Kundeninhalte innerhalb eines wirtschaftlich angemessenen Zeitraums zurück, ausgenommen Backups bis zur Rotation und Daten, die wir gesetzlich aufbewahren müssen.

12. Prüfungen (Art. 28 Abs. 3 lit. h DSGVO)

Auf angemessene schriftliche Anfrage (in der Regel höchstens einmal jährlich oder nach einer wesentlichen Verletzung / Aufsichtsanfrage) stellen wir Informationen bereit, die zum Nachweis der Einhaltung vernünftigerweise erforderlich sind. Vor-Ort-Prüfungen der Multi-Tenant-Infrastruktur bedürfen gegenseitiger Absprache zu Umfang, Zeitpunkt, Vertraulichkeit und Kosten.

13. Haftung und anwendbares Recht

Die Haftung unter diesem AVV folgt den AGB, ohne zwingende Haftung nach der DSGVO einzuschränken. Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland.

14. Vorrang

Für Auftragsverarbeitungsfragen hat dieser AVV Vorrang vor den AGB. Im Übrigen gelten die AGB.

15. Kontakt

AVV- / Datenschutzanfragen: contact@labmanagerpro.com. Unterzeichnete PDF-Fassungen auf Anfrage für Enterprise-Kunden verfügbar.