MERCURIUS OS

Auftragsverarbeitungsvertrag — Mercurius OS

Bestandteil des Vertrags zwischen Incapital B.V. (handelnd unter dem Namen Mercurius OS, Handelsregister (KvK) 62844768, nachfolgend: „Auftragsverarbeiter“) und dem Kunden (nachfolgend: „Verantwortlicher“) im Sinne von Artikel 28 DSGVO.

1. Rollen und Gegenstand

• 1. Der Kunde bestimmt Zweck und Mittel der Verarbeitung und ist Verantwortlicher; Mercurius verarbeitet personenbezogene Daten ausschließlich im Auftrag des Kunden zur Erbringung des Dienstes.
• 2. Mercurius verarbeitet die personenbezogenen Daten nicht für eigene Zwecke und nicht zum Training von KI-Modellen Dritter.

2. Welche Verarbeitungen

(Sobald das Modul Kundenkontakt/Posteingang live geht, wird diese Tabelle um Nachrichten von Kunden des Kunden erweitert; dazu ist eine überarbeitete Fassung erforderlich.)

3. Weisungen

• 1. Mercurius verarbeitet nur auf Grundlage schriftlicher Weisungen des Kunden (dazu gehört: die Funktionsweise des Dienstes wie vereinbart).
• 2. Ist eine Weisung nach Ansicht von Mercurius datenschutzwidrig, teilt Mercurius dies unverzüglich mit.

4. Vertraulichkeit

Personen, die unter der Verantwortung von Mercurius personenbezogene Daten verarbeiten, sind zur Vertraulichkeit verpflichtet.

5. Sicherheit

Mercurius trifft geeignete technische und organisatorische Maßnahmen, darunter:

• verschlüsselte Verbindungen (TLS) und verschlüsselte Speicherung bei den Hosting-Anbietern;
• strikte Trennung der Kundendaten (Row Level Security je Kunde);
• Zugriffsverwaltung mit persönlichen Konten und Anmeldelinks ohne gemeinsame Passwörter;
• Token und Schlüssel ausschließlich serverseitig, niemals im Browser;
• Protokollierung von Handlungen in einem Audit-Protokoll;
• tägliche automatisierte Überwachung von Verbindungen und Veröffentlichungen.

6. Unterauftragsverarbeiter

• 1. Der Kunde erteilt eine allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern. Mercurius informiert den Kunden über Änderungen; der Kunde kann innerhalb von 14 Tagen begründet widersprechen.
• 2. Aktuelle Unterauftragsverarbeiter:

• 3. Mercurius erlegt Unterauftragsverarbeitern Pflichten auf, die denen dieses Vertrags gleichwertig sind.

7. Übermittlung außerhalb des EWR

Übermittlungen in Länder außerhalb des EWR erfolgen nur mit geeigneten Garantien (EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln).

8. Datenschutzverletzungen

• 1. Mercurius informiert den Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Entdeckung einer Verletzung des Schutzes personenbezogener Daten, mit den Informationen, die der Kunde für eine etwaige Meldung an die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) und an Betroffene benötigt.
• 2. Die Meldung an Aufsichtsbehörde und Betroffene obliegt dem Kunden; Mercurius leistet dabei jede zumutbare Unterstützung.

9. Rechte der Betroffenen

Mercurius unterstützt den Kunden, soweit möglich, bei Anträgen Betroffener (Auskunft, Berichtigung, Löschung, Widerspruch) und leitet direkt eingegangene Anträge unverzüglich an den Kunden weiter.

10. Audit

• 1. Mercurius stellt auf Verlangen Informationen zur Verfügung, mit denen der Kunde die Einhaltung dieses Vertrags überprüfen kann.
• 2. Höchstens einmal im Jahr darf der Kunde (oder ein unabhängiger Prüfer) nach angemessener Ankündigung und auf eigene Kosten ein Audit durchführen.

11. Laufzeit und Ende

• 1. Dieser Vertrag gilt, solange der Dienst erbracht wird.
• 2. Nach Beendigung löscht Mercurius alle personenbezogenen Daten des Kunden innerhalb von 30 Tagen oder gibt sie auf Verlangen zunächst als Export zurück — vorbehaltlich gesetzlicher Aufbewahrungspflichten.

12. Haftung und Rangfolge

• 1. Die Haftungsregelung der Allgemeinen Geschäftsbedingungen gilt auch für diesen Vertrag.
• 2. Bei Widerspruch zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen geht dieser Vertrag in Bezug auf die Verarbeitung personenbezogener Daten vor.