Auftragsverarbeitungsvertrag

Diese Seite ist eine Übersetzung; die französische Fassung ist maßgeblich.

Fassung vom 23. Oktober 2026.

Dieser Vertrag regelt nach Artikel 28 der Verordnung (EU) 2016/679, der Datenschutz-Grundverordnung (DSGVO), das Verhältnis zwischen dem Kunden als Verantwortlichem und dem Hersteller, Ghislain Levrat, Einzelunternehmer, SIREN 999 243 322, als Auftragsverarbeiter. Er ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird zusammen mit ihnen angenommen; jeder Kunde, der es verlangt, erhält ein unterzeichnetes Exemplar. Für personenbezogene Daten hat er Vorrang vor ihnen.

1. Gegenstand und Dauer

Der Hersteller verarbeitet personenbezogene Daten im Auftrag des Kunden, um ihm Escouade online bereitzustellen: die Anwendung Escouade und ihre Anwendungen Meet, Mail, Social und Tools, mit Prescriptio, wenn es im Tarif enthalten ist. Die Verarbeitung dauert so lange wie der Vertrag, danach bis zur Rückgabe und Löschung nach Artikel 12.

2. Art und Zwecke

Hosting, Speicherung, Indexierung, Suche und KI-Analyse der Datensätze, E-Mails, Dokumente und Besprechungen des Kunden; Senden und Empfangen seiner E-Mails; Aufnahme, Transkription und Protokoll seiner Besprechungen; Vorbereitung und Planung seiner Beiträge; Weiterleitung von Ereignissen zwischen seinen Anwendungen. All dies ausschließlich für die Nutzungen, die der Kunde konfiguriert.

3. Daten und betroffene Personen

Die Daten: Identität und Kontaktdaten, Funktionen und berufliche Daten, Inhalt von E-Mails und ihren Anhängen, Dokumente, Audioaufnahmen, Transkripte und Protokolle von Besprechungen, Stimme im Sprachmodus, Notizen, Aufgaben und Datensätze des CRM, Verbindungsdaten der Nutzer. Die betroffenen Personen: die Nutzer des Kunden, seine Kunden, Interessenten, Lieferanten und Partner, deren Kontakte sowie die Teilnehmer seiner Besprechungen.

Der Dienst ist nicht für sensible Daten im Sinne von Artikel 9 DSGVO ausgelegt, und sein Hosting ist nicht für Gesundheitsdaten zertifiziert. Der Kunde gibt solche Daten nur ein, nachdem er die Rechtsgrundlage dafür geprüft hat.

4. Weisungen des Kunden

Der Hersteller verarbeitet die Daten nur auf dokumentierte Weisung des Kunden: die Allgemeinen Geschäftsbedingungen, dieser Vertrag und die Einstellungen seines Workspaces, etwa die verbundenen Connectors, die gewählten KI-Anbieter, die Erfassungsregeln und die Rechte der Nutzer. Er verwendet sie für keinen anderen Zweck, verkauft sie nicht und trainiert kein KI-Modell mit ihnen. Erscheint ihm eine Weisung als Verstoß gegen die DSGVO, informiert er den Kunden unverzüglich.

5. Vertraulichkeit

Nur die vom Hersteller berechtigten Personen greifen auf die Daten zu, soweit es für den Dienst erforderlich ist, und sie sind zur Vertraulichkeit verpflichtet. Der Hersteller meldet sich im Workspace des Kunden nur auf dessen schriftliche Anfrage an, zeitlich begrenzt und protokolliert, oder um einer gesetzlichen Pflicht nachzukommen.

6. Sicherheit

Der Hersteller setzt die im Anhang beschriebenen Maßnahmen nach Artikel 32 DSGVO um und hält sie auf dem neuesten Stand.

7. Weitere Auftragsverarbeiter

Der Kunde ermächtigt den Hersteller zum Einsatz der weiteren Auftragsverarbeiter auf der Seite Unterauftragsverarbeiter, jeweils für die dort genannte Funktion. Der Hersteller erlegt ihnen vertraglich Datenschutzpflichten auf, die denen dieses Vertrags gleichwertig sind, und bleibt gegenüber dem Kunden für deren Erfüllung verantwortlich.

Der Hersteller kündigt jede Ergänzung oder Ersetzung mindestens einen Monat im Voraus an, per E-Mail an die Administratoren und auf jener Seite. Der Kunde kann aus einem Grund, der mit dem Datenschutz zusammenhängt, widersprechen; kommt keine Einigung zustande, kann er vor dem angekündigten Datum ohne Vertragsstrafe kündigen, und die für einen nicht erbrachten Zeitraum gezahlten Beträge werden ihm erstattet. Ein Anbieter, den der Kunde selbst wählt, etwa ein KI-Modell anderer Herkunft, wird durch diese Wahl in Betrieb genommen.

8. Übermittlungen außerhalb der Europäischen Union

Die Workspaces werden in Frankreich gehostet. Eine Übermittlung außerhalb der Europäischen Union findet nur an die Unterauftragsverarbeiter der Liste statt, die dies angeben, abgesichert durch einen Angemessenheitsbeschluss oder durch die Standardvertragsklauseln der Europäischen Kommission, oder, bei einem Anbieter, den der Kunde selbst wählt, auf seine Weisung und in Kenntnis der Sachlage.

9. Rechte der betroffenen Personen

Mit den Funktionen des Workspaces kann der Kunde die Daten einer Person finden, exportieren, berichtigen und löschen. Der Hersteller leitet ihm jede Anfrage, die er direkt erhält, unverzüglich weiter, ohne sie selbst zu beantworten, und hilft ihm, sie innerhalb der Fristen der DSGVO zu beantworten.

10. Verletzungen des Schutzes personenbezogener Daten

Der Hersteller meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens achtundvierzig Stunden, nachdem er davon Kenntnis erlangt hat, mit dem, was er über ihre Art, die betroffenen Daten und Personen, ihre wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen weiß. Er ergänzt die Informationen fortlaufend, damit der Kunde die CNIL innerhalb von zweiundsiebzig Stunden benachrichtigen kann.

11. Unterstützung des Kunden

Der Hersteller stellt dem Kunden die Informationen bereit, die er für die Sicherheit der Verarbeitung, seine Datenschutz-Folgenabschätzungen und eine etwaige vorherige Konsultation der CNIL benötigt (Artikel 32 bis 36 DSGVO).

12. Ende der Verarbeitung

Am Vertragsende erhält der Kunde seine Daten über den Export seines Workspaces zurück (Allgemeine Geschäftsbedingungen, Artikel 13). Der Hersteller löscht sie anschließend spätestens neunzig Tage nach der Schließung des Kontos, einschließlich der Backups, sofern keine gesetzliche Aufbewahrungspflicht besteht, und bestätigt dem Kunden auf Anfrage die Löschung.

13. Audit

Der Hersteller hält für den Kunden die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags nötig sind. Er akzeptiert ein Audit pro Jahr, auf Kosten des Kunden, durchgeführt vom Kunden selbst oder von einem zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Herstellers ist, mit einer Vorankündigung von dreißig Tagen und ohne Zugang zu den Daten anderer Kunden.

14. Das Escouade-Konto und Full

Für das Escouade-Konto selbst, also die Organisationen, die Mitglieder, die Anmeldung, den Verbrauch und die Abrechnung, ist der Hersteller Verantwortlicher: Es gilt die Datenschutzerklärung. Für die Ereignisse, die das Relais zwischen den Anwendungen des Kunden übermittelt und die Personen wie Interessenten oder Kontakte betreffen können, ist er Auftragsverarbeiter, und dieser Vertrag gilt.

In Full, auf dem Server des Kunden installiert, erhält der Hersteller konstruktionsbedingt keine personenbezogenen Daten. Dieser Vertrag gilt dort nur für einen Eingriff, den der Kunde schriftlich anfordert, der zeitlich begrenzt und dokumentiert ist und bei dem der Hersteller auf seine Daten zugreift.

Anlage: die Sicherheitsmaßnahmen

Hosting: ein dedizierter Server in Frankreich bei Scaleway, dessen Firewall Webtraffic nur von Cloudflare annimmt, und der Objektspeicher von Scaleway in Paris für die Dokumente der kostenpflichtigen Workspaces. Kommunikation: TLS-verschlüsselt.

Datenbank: Jeder Workspace ist durch eine Sicherheitsrichtlinie auf Zeilenebene abgeschottet, die die Datenbank gegenüber der Anwendung durchsetzt; die Anmeldetokens der Postfächer und die API-Schlüssel sind verschlüsselt.

Zugriff: rollenbasiert, vom Kunden festgelegt; Zwei-Faktor-Authentifizierung im Konto angeboten; Sitzungen von vierzehn Tagen; ein Vorgangsjournal. Administration: dem Hersteller vorbehalten.

Sicherung: täglich, geprüft, vierzehn Tage aufbewahrt. KI: genannte Anbieter, standardmäßig in Europa gehostet; OCR und Vektorisierung laufen auf dem Server des Herstellers.