Auftragsverarbeitungsvertrag (AVV) — Anhang 1 zu den Nutzungsbedingungen

Version 1.0 — 3. November 2026. Diese Vereinbarung (umowa powierzenia przetwarzania danych osobowych, Artikel 28 DSGVO) wird zwischen dem Unternehmen, das ein PolyMatch-Konto innehat (der „Kunde“), und [Vorname NACHNAME], [Anschrift des Sitzes], Polen, NIP [NIP] („PolyMatch“) geschlossen. Sie wird zusammen mit den Nutzungsbedingungen von einer Person angenommen, die befugt ist, den Kunden zu verpflichten; eine datierte Ausfertigung auf den Namen des Kunden kann unter Mein Unternehmen heruntergeladen werden.

1. Gegenstand und Anwendungsbereich

1.1 Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten Dritter durch PolyMatch im Auftrag des Kunden, die in den Inhalten enthalten sind, die der Kunde in die Plattform hochlädt oder eingibt („Kundendaten“): Kontaktdaten seiner Subunternehmer, Abnehmer oder Partner, in seinen Dokumenten, Nachrichten, Projekten oder Angeboten genannte Personen.

1.2 Folgendes sind keine Kundendaten und wird von PolyMatch als eigenständig Verantwortlichem gemäß der Datenschutzerklärung verarbeitet: die Konten der Nutzer des Kunden, die Identifikations- und Listungsdaten des Unternehmens, die technischen Daten der Grades, die Projekte in ihrer technischen Dimension, Leads, Matches und Rankings, Abrechnung, Sicherheits- und Aktivitätsprotokolle, Einwilligungen. Der Kunde und PolyMatch sind jeweils eigenständig Verantwortliche für die Daten, die zwischen Unternehmen nach einer Freischaltung ausgetauscht werden.

1.3 Beschreibung der Verarbeitung: Art — Hosting, Speicherung, Anzeige für den Kunden und seine Nutzer, Übermittlung an die Unternehmen, mit denen der Kunde über die Plattform in Kontakt tritt, automatische Übersetzung von Nachrichten, Datensicherung; Zweck — Erbringung der in den Nutzungsbedingungen beschriebenen Dienste; Dauer — die Laufzeit des Vertrags; Kategorien betroffener Personen — geschäftliche Kontakte der Subunternehmer, Abnehmer und Partner des Kunden, von seinen Nutzern erwähnte Personen; Kategorien von Daten — berufliche Identität, Funktion, geschäftliche Kontaktdaten, Inhalt von Nachrichten und Dokumenten; es werden keine besonderen Kategorien von Daten (Artikel 9 DSGVO) erwartet, und der Kunde verpflichtet sich, keine solchen hochzuladen.

2. Weisungen des Kunden

2.1 PolyMatch verarbeitet Kundendaten ausschließlich auf dokumentierte Weisung des Kunden. Die Weisungen sind: die Nutzungsbedingungen, diese Vereinbarung und die Handlungen, die der Kunde und seine Nutzer in der Plattform vornehmen (Hochladen, Teilen, Senden, Löschen).

2.2 Ist PolyMatch der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert es den Kunden unverzüglich. PolyMatch darf Kundendaten ohne Weisung verarbeiten, wenn das Recht der Union oder eines Mitgliedstaats dies verlangt; es informiert den Kunden dann, sofern dies nicht gesetzlich verboten ist.

3. Pflichten des Kunden

Der Kunde gewährleistet, dass er über eine Rechtsgrundlage für die Kundendaten verfügt, dass er die betroffenen Personen informiert hat, dass seine Weisungen rechtmäßig sind und dass er die Kundendaten auf das Erforderliche beschränkt. Er allein beantwortet Anfragen betroffener Personen und von Behörden zu Kundendaten, mit Unterstützung von PolyMatch nach Artikel 6.

4. Pflichten von PolyMatch

4.1 Vertraulichkeit: Die zur Verarbeitung der Kundendaten befugten Personen sind vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet; der Zugriff ist auf das für Betrieb und Support Erforderliche beschränkt.

4.2 Sicherheit: PolyMatch setzt die technischen und organisatorischen Maßnahmen gemäß Anlage A um und passt sie an die Entwicklung der Risiken an, ohne ihr Gesamtniveau zu senken.

4.3 Verzeichnis und Zusammenarbeit: PolyMatch führt das Verzeichnis der Kategorien von im Auftrag des Kunden durchgeführten Verarbeitungstätigkeiten und arbeitet auf Anfrage mit der Aufsichtsbehörde zusammen.

5. Unterauftragsverarbeiter

5.1 Der Kunde erteilt eine allgemeine Genehmigung für den Einsatz der in Anlage B aufgeführten Unterauftragsverarbeiter, die die in der Datenschutzerklärung veröffentlichte Liste wiedergibt.

5.2 PolyMatch informiert den Kunden per E-Mail über jede Hinzuziehung oder Ersetzung mindestens dreißig Tage vor deren Wirksamwerden. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen schriftlich widersprechen; kommt keine Einigung zustande, kann der Kunde den Vertrag vor dem Wirksamwerden der Änderung ohne Vertragsstrafe kündigen.

5.3 PolyMatch erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die seinen eigenen gleichwertig sind, und haftet gegenüber dem Kunden für deren Erfüllung.

6. Unterstützung und Rechte der betroffenen Personen

6.1 Unter Berücksichtigung der Art der Verarbeitung unterstützt PolyMatch den Kunden bei der Beantwortung von Anfragen betroffener Personen, die ihre Rechte ausüben (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Der Kunde verfügt in der Plattform über die Mittel, Kundendaten einzusehen, zu berichtigen und zu löschen; für das, was die Plattform nicht ermöglicht, wird PolyMatch auf schriftliche Anfrage innerhalb von zehn Arbeitstagen tätig.

6.2 Wendet sich eine betroffene Person wegen Kundendaten direkt an PolyMatch, leitet PolyMatch die Anfrage an den Kunden weiter, ohne in der Sache zu antworten, sofern dies nicht gesetzlich vorgeschrieben ist.

6.3 PolyMatch unterstützt den Kunden im Rahmen der ihm zur Verfügung stehenden Informationen bei der Einhaltung seiner Pflichten in Bezug auf Sicherheit, Meldung von Verletzungen und Datenschutz-Folgenabschätzung (Artikel 32 bis 36 DSGVO).

7. Verletzungen des Schutzes personenbezogener Daten

PolyMatch meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, unverzüglich und spätestens achtundvierzig Stunden, nachdem ihm diese bekannt geworden ist, per E-Mail an die Administratoren des Kunden. Die Meldung beschreibt die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie die Kontaktstelle; noch nicht verfügbare Informationen werden nachgereicht, sobald sie vorliegen.

8. Übermittlungen außerhalb der Europäischen Union

Kundendaten werden in der Europäischen Union gehostet. Jede Übermittlung in ein Drittland durch einen Unterauftragsverarbeiter stützt sich auf einen Angemessenheitsbeschluss oder auf die Standardvertragsklauseln der Europäischen Kommission mit geeigneten ergänzenden Maßnahmen; Anlage B gibt die für jeden Unterauftragsverarbeiter geltende Garantie an.

9. Audit

9.1 PolyMatch stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind: Beschreibung der Sicherheitsmaßnahmen, Liste der Unterauftragsverarbeiter, Beantwortung eines schriftlichen Fragebogens einmal jährlich.

9.2 Ein Audit vor Ort oder durch einen unabhängigen Dritten ist einmal jährlich oder nach einer Datenschutzverletzung oder auf Verlangen einer Behörde möglich, mit einer schriftlichen Ankündigungsfrist von dreißig Tagen, während der Geschäftszeiten, ohne den Betrieb zu stören oder Zugang zu Daten anderer Kunden zu gewähren, auf Kosten des Kunden. Die Feststellungen sind vertraulich.

10. Ende der Verarbeitung

10.1 Bei Vertragsende löscht PolyMatch die Kundendaten innerhalb von dreißig Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht; in diesem Fall werden die Daten bis zum Ablauf dieser Pflicht gesondert aufbewahrt. Der Kunde exportiert seine Daten vor Vertragsende selbst über die Funktionen der Plattform.

10.2 Kundendaten, die auf Weisung des Kunden bereits im Wege einer Freischaltung, eines Angebots oder der Freigabe von Dokumenten an ein anderes Unternehmen übermittelt wurden, verbleiben bei diesem Unternehmen, das dafür Verantwortlicher ist. Die fortgesetzte Listung von Grades nach Vertragsende (Artikel 12.5 der Nutzungsbedingungen) betrifft technische und Unternehmensdaten, die keine Kundendaten sind.

11. Haftung und Laufzeit

11.1 Die Haftung jeder Partei aus dieser Vereinbarung unterliegt den Beschränkungen des Artikels 13 der Nutzungsbedingungen, soweit zwingende Bestimmungen der DSGVO nichts anderes vorsehen.

11.2 Diese Vereinbarung gilt für die gesamte Laufzeit des Vertrags und bis zur Löschung der Kundendaten. Sie unterliegt polnischem Recht; im Falle eines Widerspruchs zu den Nutzungsbedingungen in einer Angelegenheit, die personenbezogene Daten betrifft, hat diese Vereinbarung Vorrang.

Anlage A — Technische und organisatorische Maßnahmen

• Hosting von Daten und Dateien in der Europäischen Union (Irland) bei einem nach ISO 27001 und SOC 2 zertifizierten Anbieter.
• Verschlüsselung der Kommunikation (TLS 1.2 oder höher) und der gespeicherten Daten.
• Trennung der Daten je Unternehmen und je Rolle, durchgesetzt auf Datenbankebene (Zugriffskontrolle auf Zeilenebene); kein direkter Browserzugriff auf sensible Tabellen; sensible Funktionen nur durch den Server ausführbar.
• Authentifizierung per gehashtem Passwort, Schutz gegen kompromittierte Passwörter, Ablauf der Sitzung nach 7 Tagen Inaktivität, Bot-Schutzprüfung bei Registrierung, Anmeldung und Zurücksetzen des Passworts, Begrenzung der Anfragerate.
• Zugriff auf Dateien über zeitlich begrenzte signierte Links; Verzeichnis der zwischen Unternehmen geteilten Dokumente.
• Technische Geheimnisse in einem eigens dafür vorgesehenen Tresor, niemals im Code; namentlich zugeordneter und protokollierter Administratorzugang.
• Verschlüsselte Sicherungen, Kopie der Dateien bei einem zweiten Anbieter; Wiederherstellungsverfahren.
• Protokollierung von Aktionen und Fehlern; Alarm, wenn eine vertragliche Mitteilung nicht versendet werden kann.
• Entwicklung mit automatisierten Tests, Code-Review und Sicherheitsprüfungen vor jeder Veröffentlichung; Sicherheitsaudit vor dem Start und nach jeder wesentlichen Änderung.
• Unterauftragsverarbeiter durch einen Auftragsverarbeitungsvertrag gebunden; Überprüfung ihrer Zertifizierungen und Garantien für Übermittlungen.
• Verfahren zum Umgang mit Verletzungen: Erkennung, Eindämmung, Analyse, Meldung (Artikel 7), Abhilfemaßnahmen.

Anlage B — Unterauftragsverarbeiter

Liste für Kunden unter Mein Unternehmen (Vertragsdokumente) zugänglich. Jede Änderung folgt dem Verfahren nach Artikel 5.