Vertragssprache ist Deutsch. Maßgeblich ist ausschließlich die deutsche Fassung.
gemäß Art. 28 DSGVO — Paragogoi by FlyDropGlobal
Vertragsschluss: Dieser Vertrag kommt zwischen dem Anbieter und dem Erzeuger zustande, sobald der Erzeuger ihn bei der Einrichtung seines Zugangs in Textform bestätigt. Als Angaben des Auftraggebers gelten die im Kundenkonto hinterlegten Stammdaten (Name bzw. Firma, Rechtsform, Anschrift, Kontakt-E-Mail).
Auftragnehmer: Michail Frantzeskakis, handelnd unter „Paragogoi by FlyDropGlobal“, Am Hackenbruch 68e, 40231 Düsseldorf, Deutschland.
Auftraggeber: der Erzeuger, der diesen Vertrag im Rahmen der Einrichtung seines Zugangs bestätigt.
1.1 Dieser Vertrag regelt die Rechte und Pflichten von Auftraggeber und Auftragnehmer im Rahmen einer Verarbeitung personenbezogener Daten im Auftrag im Sinne des Art. 28 DSGVO.
1.2 Dieser Vertrag findet auf alle Tätigkeiten Anwendung, bei denen der Auftragnehmer, seine Mitarbeiter oder durch ihn beauftragte Subunternehmer personenbezogene Daten des Auftraggebers verarbeiten.
1.3 Verwendete Begriffe sind entsprechend ihrer Definition in der DSGVO zu verstehen. Soweit Erklärungen „schriftlich“ zu erfolgen haben, ist die Schriftform nach § 126 BGB gemeint. Im Übrigen können Erklärungen auch in Textform (z. B. per E-Mail) erfolgen, soweit eine angemessene Nachweisbarkeit gewährleistet ist.
2.1 Der Auftragnehmer betreibt die B2B-SaaS-Plattform „Paragogoi“ (paragogoi.com), über die Endkunden Bestell- bzw. Produktanfragen an den Auftraggeber richten können. Der Auftragnehmer übernimmt folgende Verarbeitungen im Auftrag des Auftraggebers: Erhebung und Speicherung der von Endkunden über die Plattform eingegebenen Anfrage- bzw. Bestelldaten; Übermittlung dieser Daten an den Auftraggeber über das Erzeuger-Panel; Bereitstellung der Daten zum Abruf im Erzeuger-Panel; Versand von Eingangs-, Bestätigungs- und Absagenachrichten per E-Mail an die anfragenden Endkunden. Die Verarbeitung beruht auf dem Nutzungsvertrag über die Plattform Paragogoi („Hauptvertrag“).
2.2 Die Verarbeitung beginnt mit Freischaltung des Erzeuger-Zugangs und erfolgt auf unbestimmte Zeit bis zur Beendigung des Hauptvertrags oder dieses Vertrags durch eine Partei.
3.1 Der Auftragnehmer betreibt eine digitale Plattform und erhält in diesem Rahmen Zugriff auf personenbezogene Daten von Endkunden, die über die Plattform Anfragen an den Auftraggeber richten.
3.2 Die Verarbeitung erfolgt in Form der Erfassung, Speicherung, Übermittlung und Anzeige der betreffenden Anfragedaten. Der Auftraggeber ist landwirtschaftlicher bzw. gewerblicher Erzeuger, der über die Plattform Anfragen von Endkunden entgegennimmt.
3.3 Die Verarbeitung dient der Anbahnung und Abwicklung von Geschäften zwischen Endkunden und dem Auftraggeber.
3.4 Es werden folgende Kategorien personenbezogener Daten verarbeitet: Bestandsdaten (Name des Endkunden); Kontaktdaten (E-Mail-Adresse, ggf. Telefonnummer); Inhalt der Anfrage bzw. Bestellung; ggf. Liefer- bzw. Abholangaben. Eine Verarbeitung von Zahlungsdaten, Gesundheitsdaten oder besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO findet nicht statt. Eine Nachverfolgung des Öffnungs- oder Klickverhaltens der Empfänger versendeter E-Mails findet nicht statt.
3.5 Von der Verarbeitung betroffen sind Endkunden des Auftraggebers, die über die Plattform eine Anfrage stellen, sowie an den Leistungen des Auftraggebers interessierte Personen, soweit sie über die Plattform Kontakt aufnehmen.
4.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder wie vom Auftraggeber angewiesen, es sei denn, er ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Bestehen solche Verpflichtungen, teilt er sie dem Auftraggeber vor der Verarbeitung mit, es sei denn, die Mitteilung ist gesetzlich verboten. Der Auftragnehmer verwendet die Daten für keine anderen, insbesondere nicht für eigene Zwecke.
4.2 Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind, und beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung.
4.3 Der Auftragnehmer verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren.
4.4 Personen, die Kenntnis von den im Auftrag verarbeiteten Daten erhalten können, haben sich zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits gesetzlich einer Geheimhaltungspflicht unterliegen.
4.5 Der Auftragnehmer sichert zu, dass die zur Verarbeitung eingesetzten Personen vor Beginn der Verarbeitung mit den relevanten Bestimmungen des Datenschutzes und dieses Vertrags vertraut gemacht wurden.
4.6 Der Auftragnehmer unterstützt den Auftraggeber bei Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten sowie bei Durchführung einer Datenschutzfolgeabschätzung. Erforderliche Angaben werden auf Anforderung unverzüglich zugeleitet.
4.7 Wird der Auftraggeber durch Aufsichtsbehörden kontrolliert oder machen betroffene Personen ihm gegenüber Rechte geltend, unterstützt der Auftragnehmer im erforderlichen Umfang.
4.8 Auskünfte an Dritte oder Betroffene erteilt der Auftragnehmer nur nach vorheriger Zustimmung des Auftraggebers. Direkt an ihn gerichtete Anfragen leitet er unverzüglich weiter.
4.9 Der Auftragnehmer ist Kleinunternehmer und derzeit nicht gesetzlich zur Bestellung eines Datenschutzbeauftragten verpflichtet. Verantwortlich für Datenschutzanfragen ist Michail Frantzeskakis (info@paragogoi.com). Sollte künftig eine Bestellpflicht entstehen, wird der Auftraggeber unverzüglich informiert.
4.10 Die Speicherung der im Auftrag verarbeiteten Daten erfolgt ausschließlich auf Servern innerhalb der Europäischen Union. Für den Versand der Eingangs-, Bestätigungs- und Absagenachrichten an Endkunden wird ein in Anlage 2 genannter Subunternehmer mit Sitz in den Vereinigten Staaten von Amerika eingesetzt; die hierfür erforderliche Übermittlung und Verarbeitung findet auch in den Vereinigten Staaten statt. Diese Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission zum EU-US Data Privacy Framework, für das der Subunternehmer zertifiziert ist, sowie ergänzend auf Grundlage der mit ihm vereinbarten EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Module 2 und 3). Jede weitergehende Verlagerung in ein Drittland darf nur mit Zustimmung des Auftraggebers und unter den Bedingungen des Kapitels V der DSGVO erfolgen.
5.1 Die in Anlage 1 beschriebenen Maßnahmen werden als verbindlich festgelegt und definieren das geschuldete Minimum.
5.2 Die Maßnahmen können der technischen Weiterentwicklung entsprechend angepasst werden, solange das vereinbarte Niveau nicht unterschritten wird. Wesentliche Änderungen werden unverzüglich mitgeteilt.
5.3 Soweit die Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht mehr genügen, benachrichtigt der Auftragnehmer unverzüglich.
5.4 Der Auftragnehmer sichert zu, dass die im Auftrag verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden (siehe Anlage 1, Ziff. 8).
5.5 Kopien oder Duplikate werden ohne Wissen des Auftraggebers nicht erstellt, mit Ausnahme technisch notwendiger, temporärer Vervielfältigungen (z. B. Backups).
5.6 Die Verarbeitung von Daten im Auftrag in Privatwohnungen sowie mit Privatgeräten ist nicht gestattet.
5.7 Der Auftraggeber ist berechtigt, die Erfüllung der Pflichten unter Vorankündigung mit angemessener Frist zu kontrollieren.
6.1 Im Rahmen des Auftrags verarbeitete Daten wird der Auftragnehmer nur entsprechend der vertraglichen Vereinbarung oder nach Weisung des Auftraggebers berichtigen, löschen oder sperren.
6.2 Entsprechenden Weisungen wird der Auftragnehmer jederzeit, auch über die Beendigung dieses Vertrages hinaus, Folge leisten.
7.1 Die Beauftragung von Subunternehmern ist zulässig. Der Auftragnehmer erteilt auf Verlangen jederzeit Auskunft über die eingesetzten Subunternehmer.
7.2 Die Verantwortlichkeiten des Auftragnehmers und des Subunternehmers sind eindeutig voneinander abzugrenzen.
7.3 Weitere Subbeauftragung durch den Subunternehmer ist nach Maßgabe von Ziff. 7.1 zulässig.
7.4 Der Auftragnehmer wählt Subunternehmer unter besonderer Berücksichtigung ihrer technischen und organisatorischen Maßnahmen sorgfältig aus.
7.5 Die Beauftragung von Subunternehmern außerhalb der EU/des EWR ist nur unter den Bedingungen der Ziff. 4.10 zulässig.
7.6 Der Auftragnehmer überprüft die Einhaltung der Pflichten der Subunternehmer regelmäßig und dokumentiert die Ergebnisse.
7.7 Kommt der Subunternehmer seinen Datenschutzpflichten nicht nach, haftet hierfür der Auftragnehmer gegenüber dem Auftraggeber.
7.8 Zum Zeitpunkt des Vertragsschlusses sind die in Anlage 2 genannten Subunternehmer mit der Verarbeitung betraut.
7.9 Unterauftragsverhältnisse sind nur solche Leistungen mit direktem Zusammenhang zur Hauptleistung. Nebenleistungen (z. B. Wartung, Telekommunikationsdienste) sind nicht erfasst.
8.1 Für die Beurteilung der Zulässigkeit der beauftragten Verarbeitung sowie für die Wahrung der Rechte von Betroffenen ist allein der Auftraggeber verantwortlich.
8.2 Der Auftraggeber erteilt Weisungen dokumentiert, z. B. in Textform per E-Mail. In Eilfällen können Weisungen mündlich erteilt werden; sie werden unverzüglich dokumentiert bestätigt.
8.3 Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.
8.4 Der Auftraggeber ist berechtigt, die Einhaltung der vertraglichen und datenschutzrechtlichen Vorgaben in angemessenem Umfang zu kontrollieren.
8.5 Kontrollen erfolgen ohne vermeidbare Störung des Geschäftsbetriebs, nach angemessener Vorankündigung und höchstens einmal alle 12 Monate, sofern kein dringlicher Grund vorliegt.
9.1 Der Auftragnehmer teilt Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnis, an info@paragogoi.com bzw. die vom Auftraggeber benannte Adresse mit. Die Mitteilung enthält mindestens: Art der Verletzung, betroffene Kategorien und ungefähre Anzahl betroffener Personen und Datensätze, Kontaktdaten für Rückfragen, wahrscheinliche Folgen sowie ergriffene bzw. vorgeschlagene Abhilfemaßnahmen.
9.2 Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen bei der Auftragserledigung sowie Verstöße gegen datenschutzrechtliche Bestimmungen oder diesen Vertrag.
9.3 Der Auftragnehmer informiert unverzüglich über Kontrollen oder Maßnahmen von Aufsichtsbehörden mit Bezug zur Auftragsverarbeitung.
9.4 Der Auftragnehmer unterstützt den Auftraggeber bei dessen Pflichten nach Art. 33 und 34 DSGVO.
10.1 Der Auftraggeber behält sich ein umfassendes Weisungsrecht vor.
10.2 Die zur Erteilung und Annahme von Weisungen befugten Personen werden in Anlage 3 benannt.
10.3 Bei einem Wechsel der benannten Personen sind der anderen Partei Nachfolger unverzüglich mitzuteilen.
10.4 Der Auftragnehmer macht den Auftraggeber unverzüglich darauf aufmerksam, wenn eine Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Er ist berechtigt, die Durchführung auszusetzen, bis die Weisung bestätigt oder geändert wird.
10.5 Zu einer materiell-rechtlichen Prüfung von Weisungen ist der Auftragnehmer nicht verpflichtet.
11.1 Bei Beendigung des Auftragsverhältnisses oder jederzeit auf Verlangen des Auftraggebers hat der Auftragnehmer die im Auftrag verarbeiteten Daten nach Wahl des Auftraggebers zu löschen oder zu übergeben. Ebenfalls zu löschen sind vorhandene Kopien.
11.2 Der Auftragnehmer ist verpflichtet, die Löschung auch bei den eingesetzten Subunternehmern unverzüglich zu veranlassen. Der Auftragnehmer weist darauf hin, dass die tatsächlichen Löschfristen der Subunternehmer deren jeweiligen Vertragsbedingungen unterliegen; beim in Anlage 2 genannten Versanddienstleister beträgt die Löschfrist bis zu 90 Tage nach Beendigung des dortigen Kontos.
11.3 Der Auftragnehmer weist die ordnungsgemäße Löschung auf Verlangen nach.
11.4 Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, werden entsprechend der jeweiligen Aufbewahrungsfristen auch über das Vertragsende hinaus aufbewahrt.
Eine gesonderte Vergütung für diesen Vertrag erfolgt nicht; sie ist mit der im Hauptvertrag vereinbarten Vergütung abgegolten.
13.1 Für den Ersatz von Schäden, die eine Person wegen unzulässiger oder unrichtiger Datenverarbeitung erleidet, haften Auftraggeber und Auftragnehmer als Gesamtschuldner, soweit gesetzlich nichts anderes bestimmt ist.
13.2 Der Auftraggeber trägt die Beweislast dafür, dass ein Schaden nicht Folge eines von ihm zu vertretenden Umstandes ist, soweit Daten in seiner Verantwortung verarbeitet wurden.
13.3 Der Auftragnehmer haftet für Schäden, die er, seine Mitarbeiter oder von ihm eingesetzte Subdienstleister schuldhaft verursachen.
13.4 Ziffer 13.3 gilt nicht, soweit der Schaden durch die korrekte Umsetzung einer Weisung des Auftraggebers entstanden ist.
14.1 Der Auftraggeber kann den Hauptvertrag und diesen Vertrag außerordentlich kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers vorliegt, der Auftragnehmer eine rechtmäßige Weisung nicht ausführt oder Kontrollrechte vertragswidrig verweigert.
14.2 Ein schwerwiegender Verstoß liegt insbesondere vor, wenn der Auftragnehmer die vereinbarten technischen und organisatorischen Maßnahmen in erheblichem Maße nicht erfüllt.
14.3 Bei unerheblichen Verstößen setzt der Auftraggeber eine angemessene Frist zur Abhilfe; erfolgt diese nicht rechtzeitig, ist die außerordentliche Kündigung zulässig.
15.1 Beide Parteien behandeln erlangte Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen auch über die Vertragsbeendigung hinaus vertraulich.
15.2 Wird Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter gefährdet, verständigt der Auftragnehmer unverzüglich.
15.3 Für Nebenabreden ist die Textform erforderlich.
15.4 Die Einrede des Zurückbehaltungsrechts nach § 273 BGB wird hinsichtlich der im Auftrag verarbeiteten Daten und Datenträger ausgeschlossen.
15.5 Sollten einzelne Teile dieser Vereinbarung unwirksam sein, berührt dies die Wirksamkeit im Übrigen nicht.
Der Auftragnehmer betreibt keine eigene physische Serverinfrastruktur. Die Server werden von den in Anlage 2 genannten Subunternehmern betrieben und unterliegen deren physischen Zutrittskontrollen.
Zugriff auf die Plattform-Datenbank erfolgt ausschließlich über authentifizierte Zugänge (Supabase Auth). Es werden komplexe, individuelle Zugangsdaten verwendet. Administrative Zugänge sind auf den Auftragnehmer beschränkt.
Der Zugriff auf Erzeuger- und Endkundendaten erfolgt rollenbasiert (Row Level Security): Erzeuger sehen ausschließlich die an sie gerichteten Anfragen. Datenbankseitige Berechtigungen trennen Producer-, Admin- und öffentliche Zugriffe strikt.
Sämtliche Datenübertragungen zwischen Endgerät, Plattform und Datenbank erfolgen TLS-verschlüsselt. Eine Weitergabe an Dritte außerhalb der in Anlage 2 genannten Subunternehmer findet nicht statt.
Anfragen werden ausschließlich über die validierten Formulare der Plattform erfasst; Systemprotokolle (Audit-Events) dokumentieren sicherheitsrelevante Vorgänge.
Die Einhaltung dieses Vertrags sowie der eingesetzten Subunternehmer wird regelmäßig, mindestens einmal jährlich, überprüft. Der Auftragnehmer verfolgt hierzu die von den Subunternehmern veröffentlichten Subunternehmerlisten und Prüfberichte.
Backups der Datenbank erfolgen automatisiert auf Infrastrukturebene durch den Subunternehmer. Es kommen aktuelle Sicherheitsmechanismen der Plattform-Infrastruktur zum Einsatz.
Daten unterschiedlicher Erzeuger werden innerhalb der Datenbank durch entsprechende Datenstruktur und Zugriffsregeln logisch getrennt gespeichert.
Die Löschung erfolgt bei Vertragsende oder auf Weisung des Auftraggebers und umfasst sowohl die Datenbankebene — durch unwiderrufliches Entfernen der betreffenden Datensätze — als auch den Objektspeicher, durch Löschung der zugehörigen Dateien. Der Auftragnehmer überprüft nach Abschluss der Löschung, dass keine Restbestände verbleiben, und dokumentiert das Ergebnis.
Eine Fernwartung durch Dritte außerhalb der in Anlage 2 genannten Subunternehmer erfolgt nicht.
Leistung: Hosting und Plattform-Infrastruktur (Anwendungsbetrieb paragogoi.com). Sitz und Verarbeitungsort: Schweden (EU).
Leistung: Datenbank, Authentifizierung, Datenspeicherung. Verarbeitungsort: eu-central-1, Frankfurt am Main (EU).
Anschrift: 2261 Market Street #5039, San Francisco, CA 94114, USA. Leistung: Versand transaktionaler E-Mails an Endkunden (Eingangs-, Bestätigungs- und Absagenachrichten zu Anfragen). Verarbeitungsort: Vereinigte Staaten von Amerika. Grundlage der Übermittlung: EU-US Data Privacy Framework (zertifiziert) sowie EU-Standardvertragsklauseln, Durchführungsbeschluss (EU) 2021/914, Module 2 und 3; Auftragsverarbeitungsvertrag geschlossen.
Änderungen dieser Liste werden dem Auftraggeber gemäß Ziffer 7 mitgeteilt.
Auftragnehmer (Paragogoi): Michail Frantzeskakis, info@paragogoi.com.
Auftraggeber (Erzeuger): die im Kundenkonto hinterlegte Kontaktperson und Kontakt-E-Mail-Adresse.