Facento

Vereinbarung zur Auftragsverarbeitung

Fassung vom 15. Oktober 2026 · Nach Artikel 28 DSGVO

1. Parteien, Gegenstand und Dauer

Verantwortlicher ist der bei der Facento-Registrierung angegebene Kundenbetrieb, vertreten durch die dort benannte berechtigte Person. Auftragsverarbeiter ist Silas Schüttel, Hauptstr. 7E, 76848 Spirkelbach, Deutschland, info@automatework.de („Facento“). Diese Vereinbarung wird durch die ausdrückliche elektronische Bestätigung im Registrierungsablauf geschlossen; eine zusätzliche handschriftliche Unterschrift ist nicht erforderlich. Die Vertragsparteien und die bestätigte Fassung werden dem Unternehmenskonto zugeordnet.

Gegenstand sind die in Anlage 1 beschriebenen Verarbeitungen für Facento Angebote. Die Vereinbarung gilt für die Dauer der Verarbeitung einschließlich Rückgabe und Löschung. Vertraulichkeitspflichten wirken über das Vertragsende hinaus fort. Eigene Facento-Konto- und Vertragsverwaltung sowie Polars eigene Kauf- und Steuerzwecke sind keine Auftragsdatenverarbeitung im Sinne dieser Vereinbarung.

2. Weisungen und Verantwortlichkeit

Facento verarbeitet Auftragsdaten ausschließlich aufgrund dokumentierter Weisungen des Kundenbetriebs, auch bei Übermittlungen in Drittländer. Weisungen erfolgen durch berechtigte App-Aktionen oder an die oben genannte Kontaktadresse. Mündliche Weisungen werden dokumentiert bestätigt. Bei sensiblen Anfragen prüfen wir Identität und Berechtigung. Der Kundenbetrieb verantwortet die Rechtsgrundlagen seiner Eingaben, Informationen an Betroffene und seine Weisungen.

Verpflichtet Unions- oder Mitgliedstaatenrecht Facento zu anderer Verarbeitung, informieren wir den Kundenbetrieb vorab, soweit dies rechtlich erlaubt ist. Eine nach unserer Auffassung rechtswidrige Weisung beanstanden wir unverzüglich und setzen den betroffenen Vorgang bis zur Klärung aus. Wir verwenden Auftragsdaten nicht für eigene Werbung oder eigenes Modelltraining.

3. Vertraulichkeit und Sicherheit

Zugriff erhalten nur hierfür erforderliche Personen, die zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Pflicht unterliegen. Facento trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO. Wir prüfen sie regelmäßig sowie bei wesentlichen Änderungen und dürfen sie weiterentwickeln, ohne das vereinbarte Schutzniveau zu verringern.

4. Unterstützung und Datenschutzverletzungen

Facento unterstützt den Kundenbetrieb unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Betroffenenrechten sowie den Pflichten aus Artikeln 32 bis 36 DSGVO. Direkt eingehende Anfragen zu Auftragsdaten leiten wir ohne unnötige Verzögerung weiter; darüber entscheiden wir nicht eigenständig, soweit keine eigene gesetzliche Pflicht besteht. Unterstützungsleistungen, die über die gesetzlich geschuldete Mitwirkung hinausgehen oder nicht auf einem Verstoß von Facento beruhen, können wir nach vorheriger Ankündigung zu angemessenen Sätzen nach Aufwand berechnen.

Bekannt gewordene Verletzungen des Schutzes von Auftragsdaten melden wir ohne unnötige Verzögerung. Die Meldung enthält, soweit bekannt, Art und Umfang, betroffene Kategorien, wahrscheinliche Folgen, Maßnahmen und einen Ansprechpartner. Fehlende Informationen reichen wir nach; die Erstmeldung wartet nicht auf den Abschluss der Untersuchung. Meldungen im Namen des Kundenbetriebs an Behörden oder Betroffene erfolgen auf dessen Weisung, soweit keine eigene gesetzliche Pflicht besteht.

5. Weitere Auftragsverarbeiter und Übermittlungen

Der Kundenbetrieb genehmigt die in Anlage 3 benannten Dienstleister für die dort beschriebenen Zwecke. Über beabsichtigte Ergänzungen oder Ersetzungen informieren wir mindestens 14 Tage vor dem Einsatz per E-Mail. Der Kundenbetrieb kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden wir keine einvernehmliche Lösung, kann der Kundenbetrieb den Vertrag zum Einsatzzeitpunkt ohne gesonderte Kosten kündigen; weitergehende Ansprüche bestehen insoweit nicht.

Facento verpflichtet weitere Auftragsverarbeiter zu den einschlägigen Datenschutzpflichten, prüft ausreichende Garantien und bleibt dem Kundenbetrieb für deren Erfüllung verantwortlich. Die Zustimmung zu einem Anbieter ersetzt nicht die Voraussetzungen für Drittlandübermittlungen nach Artikeln 44 ff. DSGVO. Andere KI-Anbieter oder Modell-Fallbacks sind nicht pauschal genehmigt. Informationen zu eingesetzten Garantien und Kopien erhältst du auf Anfrage; schutzwürdige fremde Informationen dürfen geschwärzt werden.

6. Nachweise und Kontrollen

Facento weist die Einhaltung dieser Pflichten in erster Linie durch geeignete Unterlagen nach, insbesondere durch die Beschreibung der technischen und organisatorischen Maßnahmen und Informationen zu eingesetzten Dienstleistern. Reichen diese im Einzelfall nicht aus, sind Kontrollen vor Ort nach Anmeldung mit einer Frist von mindestens vier Wochen, während der üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal pro Kalenderjahr möglich, sofern kein konkreter Anlass eine frühere Kontrolle erfordert. Prüfer müssen zur Vertraulichkeit verpflichtet sein und dürfen nicht im Wettbewerb zu Facento stehen. Die Kosten einer Kontrolle trägt der Kundenbetrieb, es sei denn, sie deckt einen wesentlichen Verstoß von Facento auf.

7. Rückgabe, Löschung und Vertragsende

Nach Ende der Verarbeitung gibt Facento die Auftragsdaten auf Anforderung zurück oder löscht sie, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Die Rückgabe erfolgt als strukturierter Export der vorhandenen Daten und Dateien und kann innerhalb von 30 Tagen nach Vertragsende angefordert werden. Danach löschen wir die Auftragsdaten im Rahmen unserer regulären Prozesse.

Sicherungskopien werden nicht einzeln bereinigt. Sie werden im regulären Rotationszyklus überschrieben, derzeit spätestens nach 24 Monaten, sind bis dahin zugriffsgeschützt und werden nur zur Wiederherstellung genutzt. Wird eine Sicherung wiederhergestellt, wenden wir zuvor erfolgte berechtigte Löschungen erneut an.

Für die Haftung gelten die Regelungen der Nutzungsbedingungen; die Haftung nach Artikel 82 DSGVO bleibt unberührt. Bei Widersprüchen geht diese Vereinbarung für die Auftragsverarbeitung den allgemeinen Nutzungsbedingungen vor.

Anlage 1: Beschreibung der Verarbeitung

Anlage 2: Technische und organisatorische Maßnahmen

Eine bestimmte Zertifizierung, feste Verfügbarkeitsquote oder vollständige Verschlüsselung sämtlicher aktiver Daten im Ruhezustand wird nicht zugesagt.

Anlage 3: Dienstleister

Polars eigenständige Zahlungs-, Kauf- und Steuerzwecke sind in den Datenschutzhinweisen getrennt beschrieben. Ein von dir verbundenes eigenes Google- oder Microsoft-Postfach unterliegt außerdem deinem jeweiligen Anbieter- und Berechtigungsverhältnis. Seine Verbindung ist keine Freigabe weiterer Dienstekategorien durch diese Anlage.