Vereinbarung zur Auftragsverarbeitung
gemäß Art. 28 DSGVO
1. Parteien
Auftragsverarbeiter:
Rehan Mohamed Akram, handelnd unter Kundly
Poststraße 41
44809 Bochum
Deutschland
E-Mail: rehanmohak12@gmail.com
Verantwortlicher:
der jeweilige gewerbliche oder selbständig beruflich tätige Kundly-Kunde, soweit Kundly personenbezogene Daten in dessen Auftrag verarbeitet.
2. Gegenstand und Dauer
Gegenstand der Verarbeitung ist die Bereitstellung der webbasierten Kundly-Software einschließlich Datenbank-, Authentifizierungs-, Datei- und Anwendungsfunktionen. Die Verarbeitung dauert grundsätzlich für die Dauer des jeweiligen Kundly-Nutzungsverhältnisses und darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten oder technisch erforderliche Löschfristen bestehen.
3. Art und Zweck der Verarbeitung
Kundly verarbeitet Daten automatisiert insbesondere durch Erheben, Speichern, Strukturieren, Auslesen, Übermitteln innerhalb der Anwendung, Bereitstellen, Ändern und Löschen, soweit dies erforderlich ist, um die vom Kunden genutzten CRM-, Auftrags-, Termin-, Aufgaben-, Angebots-, Rechnungs-, Zahlungs- und Dateifunktionen bereitzustellen.
4. Kategorien betroffener Personen und Daten
| Betroffene Personen | Mögliche Datenkategorien |
|---|---|
| Kunden und Interessenten des Kundly-Kunden | Name, Anschrift, Kontaktangaben, Notizen, Auftrags-, Termin-, Angebots-, Rechnungs- und Zahlungsinformationen |
| Mitarbeiter, Ansprechpartner und sonstige Geschäftskontakte | Name, geschäftliche Kontaktdaten, organisatorische Angaben, Termin- und Aufgabendaten |
| Nutzer des Kundly-Kontos | Konto-, Kontakt-, Authentifizierungs- und Nutzungsdaten |
Der Kunde soll keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO in Kundly speichern, sofern dies nicht für seinen zulässigen Verarbeitungszweck erforderlich und rechtlich abgesichert ist.
5. Weisungen
Kundly verarbeitet personenbezogene Daten grundsätzlich nur auf dokumentierte Weisung des Kunden. Die Nutzung der Funktionen von Kundly und die vom Kunden innerhalb der Anwendung vorgenommenen Handlungen gelten als Weisungen. Erkennt Kundly, dass eine Weisung gegen anwendbares Datenschutzrecht verstößt, wird der Kunde hierüber informiert, soweit dies rechtlich zulässig ist.
6. Vertraulichkeit
Personen, die Zugriff auf im Auftrag verarbeitete personenbezogene Daten erhalten, werden auf Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Verpflichtung. Zugriffe werden auf das für Betrieb, Sicherheit und Support erforderliche Maß beschränkt.
7. Technische und organisatorische Maßnahmen
Kundly setzt unter Berücksichtigung von Art, Umfang, Umständen und Zweck der Verarbeitung angemessene technische und organisatorische Maßnahmen ein. Dazu gehören insbesondere:
- verschlüsselte Datenübertragung über HTTPS,
- Authentifizierung für Nutzerkonten,
- nutzerbezogene Zugriffskontrollen und Datenisolation,
- serverseitige Speicherung geheimer Zugangsdaten und API-Schlüssel,
- Beschränkung administrativer Zugriffe,
- Protokollierung technischer Fehler- und Sicherheitsereignisse,
- regelmäßige Aktualisierung der eingesetzten Softwarekomponenten.
8. Unterauftragsverarbeiter
Der Kunde erteilt Kundly eine allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern, soweit diese für den Betrieb des Dienstes erforderlich sind. Wesentliche Änderungen sollen in geeigneter Form bekanntgegeben werden.
| Dienstleister | Zweck | Hinweis |
|---|---|---|
| Supabase Pte. Ltd. | Datenbank, Authentifizierung, Storage und serverseitige Funktionen | Kernprojekt in einer europäischen Hosting-Region; weitere Verarbeitung kann nach Maßgabe der Supabase-Vertrags- und Datenschutzregelungen stattfinden. |
9. Unterstützung des Kunden
Kundly unterstützt den Kunden im Rahmen der verfügbaren technischen Möglichkeiten bei der Erfüllung von Betroffenenrechten, bei Datenschutz-Folgenabschätzungen sowie bei der Erfüllung von Melde- und Informationspflichten im Zusammenhang mit Datenschutzverletzungen, soweit sich diese auf die von Kundly durchgeführte Auftragsverarbeitung beziehen.
10. Datenschutzverletzungen
Kundly informiert den Kunden unverzüglich, nachdem eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit die Verletzung die im Auftrag des Kunden verarbeiteten Daten betrifft und eine Mitteilung gesetzlich erforderlich ist.
11. Löschung und Rückgabe
Nach Beendigung des Nutzungsverhältnisses werden die im Auftrag verarbeiteten personenbezogenen Daten nach Maßgabe der technischen Löschprozesse gelöscht oder, soweit Kundly eine entsprechende Exportfunktion bereitstellt, zuvor zur Verfügung gestellt. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
12. Nachweise und Kontrollen
Kundly stellt dem Kunden auf angemessene Anfrage Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Prüfungen sind unter angemessener Berücksichtigung von Vertraulichkeit, Sicherheit, Betriebsabläufen und Verhältnismäßigkeit zu koordinieren.
13. Verhältnis zu den AGB
Diese Vereinbarung ergänzt die AGB von Kundly. Soweit Kundly personenbezogene Daten im Auftrag eines Kunden verarbeitet, wird diese Vereinbarung Bestandteil des Vertragsverhältnisses. Bei Widersprüchen zu allgemeinen Vertragsbedingungen gehen die datenschutzrechtlichen Regelungen dieser Vereinbarung für die Auftragsverarbeitung vor.
Stand: Oktober 2026