Brymio
Zurück zur Startseite

Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 10. Oktober 2026

Wenn Ihre Organisation Brymio nutzt, um Daten anderer Personen zu speichern — Ihrer Kunden und Lieferanten, Ihrer Beschäftigten, der Personen, die sich auf Ihre Stellen bewerben, der Käuferinnen und Käufer Ihres Shops —, ist Ihre Organisation für diese Daten verantwortlich, und Krokanti Games SL verarbeitet sie in ihrem Auftrag als Auftragsverarbeiter. Dieser Vertrag legt fest, wie wir das tun, wie es Artikel 28 der Datenschutz-Grundverordnung (DSGVO) und Artikel 33 des spanischen Datenschutzgesetzes, Organgesetz 3/2018 (LOPDGDD), verlangen.

Er ist Teil der Nutzungsbedingungen und wird mit ihnen angenommen: Wer ein Konto anlegt oder Brymio im Namen einer Organisation nutzt, nimmt ihn in deren Namen an, ohne gesondert etwas zu unterschreiben. Wenn Ihr Unternehmen ein unterzeichnetes Exemplar benötigt, fordern Sie es unter info@brymio.com an; wir schicken es Ihnen unterzeichnet und mit demselben Wortlaut.

1. Parteien

  • Verantwortlicher: die Organisation — Unternehmen oder selbstständige Person —, die Brymio nutzt, vertreten durch die Person, die die Nutzungsbedingungen in ihrem Namen annimmt. In diesem Vertrag „Sie“.
  • Auftragsverarbeiter: Krokanti Games SL (Steuernummer B22786248, Avenida Costera 6, 46185 La Pobla de Vallbona, Valencia, Spanien), die spanische Gesellschaft, die den Dienst Brymio (www.brymio.com) erbringt. In diesem Vertrag „wir“.

2. Gegenstand

Dieser Vertrag regelt die Verarbeitung der personenbezogenen Daten, die Ihre Organisation in Brymio hochlädt, mit Brymio verbindet oder über Brymio erhält, die wir in Ihrem Auftrag vornehmen, während wir Ihnen den Dienst erbringen.

Er umfasst nicht die Daten, für die wir selbst verantwortlich sind — Benutzerkonten, die Abrechnung des Abos, die öffentliche Website, den Support und den Newsletter —; für sie gilt die Datenschutzerklärung.

3. Laufzeit

Er gilt, solange Ihre Organisation Brymio nutzt: Er beginnt, wenn sie mit der Nutzung beginnt, und endet, wenn sie gelöscht wird. Die Regelungen für das Ende — Rückgabe, Löschung und Aufbewahrung dessen, was das Gesetz verlangt — und die Pflicht zur Vertraulichkeit gelten fort, solange wir Daten von Ihnen aufbewahren.

4. Art und Zweck

Wir verarbeiten die Daten ausschließlich, um Ihnen den Dienst mit den Modulen zu erbringen, die Sie aktiviert haben: Wir erheben sie über die Formulare, Importe und Integrationen, die Sie anbinden; wir speichern und ordnen sie und zeigen sie den Personen Ihrer Organisation gemäß ihrer Rolle; wir rechnen mit ihnen (Steuern, Stundensalden, Suchergebnisse); wir senden sie an die von Ihnen bestimmten Empfänger (E-Mails an Ihre Kunden, Beschäftigten und Bewerbenden, Ihren Shop, die von Ihnen eingerichteten Integrationen und, wenn Sie Veri*factu aktivieren, die spanische Steuerbehörde); und wir löschen sie. Außerdem verarbeiten wir sie im unbedingt nötigen Umfang, um den Dienst sicher und funktionsfähig zu halten: Datensicherungen, Fehlerdiagnose, Missbrauchsverhinderung und Durchsetzung der Tarifgrenzen.

Wir nutzen sie für nichts Eigenes: Wir verkaufen sie nicht, geben sie nicht zu Werbe- oder kommerziellen Zwecken an Dritte weiter, bilden keine Profile damit und nutzen sie nicht zum Trainieren von KI-Modellen.

Die KI-Funktionen erhalten nur, was die jeweilige Aufgabe braucht — einen Beleg lesen, eine Seite zusammenfassen, einen Produkteintrag vorschlagen, ein Audit erklären —, wie die Datenschutzerklärung beschreibt. Recruiting nutzt keine künstliche Intelligenz: Es übergibt Lebensläufe keinem Anbieter, der sie liest oder auswertet. Und Brymio trifft keine automatisierten Entscheidungen über Personen: Es sortiert keine Bewerbungen aus und entscheidet nichts über Beschäftigte; das entscheidet Ihr Team.

5. Welche Daten wir verarbeiten und von wem

Je nach den Modulen, die Sie aktivieren, verarbeiten wir in Ihrem Auftrag diese Datenkategorien zu diesen Personen:

  • Rechnungen — Ihre Kunden und Lieferanten und deren Ansprechpersonen: Name oder Firma, Steuernummer, Anschrift, E-Mail-Adresse und Telefon; Rechnungen, Angebote und Ausgaben mit ihren Belegen; und Bankdaten: die darin genannten Konten und die Umsätze der Kontoauszüge, die Sie importieren, mit Verwendungszweck und Zahlungspartner.
  • Team — Ihre Beschäftigten und freien Mitarbeitenden: Identifikations- und Kontaktdaten; Vertrag und vorgesehene Arbeitszeit; die Arbeitszeiterfassung mit jeder Stempelung zur Serverzeit; der Standort im Moment der Stempelung, sofern Sie ihn aktiviert haben und die Person eingewilligt hat; Abwesenheiten und Urlaub mit ihrem Grund; die Lohnabrechnungen und Dokumente, die Sie veröffentlichen, mit Empfangsbestätigung; das Geburtsdatum, falls die Person es angibt; das Kiosk-Foto, falls Sie diese Option aktivieren; und ihre Zugangsmittel (unumkehrbar gespeichertes Passwort, Passkeys, Kiosk-PIN, Telegram-Verknüpfung und Browser-Benachrichtigungen). Die Antworten auf das Stimmungsbarometer sind anonym.
  • Recruiting — die Personen, die sich auf Ihre Stellen bewerben: was sie in das Formular schreiben (Name, E-Mail-Adresse, Telefon, Nachricht und Antworten), ihr Lebenslauf und weitere Anhänge sowie der Datenschutzhinweis, den sie akzeptiert haben, und wann; und was Ihr Team mit jeder Bewerbung tut: Phasen, Notizen, Bewertungen und Gespräche.
  • Commerce — die Personen, die in Ihrem Shop kaufen: Name, E-Mail-Adresse, Telefon, Liefer- und Rechnungsadressen, Bestellungen und Erstattungen, so wie sie aus Ihrem Shopify oder WooCommerce kommen.
  • Suche — die Personen, die Ihren Shop besuchen: wonach sie suchen, wie viele Ergebnisse sie erhalten und auf welches Produkt sie klicken. Wir speichern weder ihre IP-Adresse noch ihren Browser, nur einen schlüsselbasierten Code, der täglich wechselt.
  • Projekte — was die Personen Ihrer Organisation schreiben oder hochladen: Seiten, Aufgaben, Kommentare, Erwähnungen, Verlauf und Anhänge. Das kann beliebige Daten enthalten, und das entscheiden Sie. Sichere Notizen werden im Browser verschlüsselt, und wir können sie nicht lesen.
  • Shop-Gesundheit — die öffentlichen Adressen der Websites, die Sie prüfen, die Ergebnisse und die Screenshots dieser Seiten. Das enthält in der Regel keine personenbezogenen Daten.
  • In allen Modulen — die Personen Ihrer Organisation, soweit es darum geht, was sie dort tun: wer was angelegt oder geändert hat, Kommentare, Zuweisungen und das Aktivitätsprotokoll. Ihre Benutzerkonten verarbeiten wir als Verantwortliche gemäß der Datenschutzerklärung.

Brymio braucht keine besonderen Kategorien personenbezogener Daten (Gesundheit, Gewerkschaftszugehörigkeit, ethnische Herkunft und die übrigen des Artikels 9 DSGVO) und keine Daten über Straftaten und verlangt keine. Sie können aber auftauchen, wenn Sie sie eingeben: eine krankheitsbedingte Abwesenheit, eine Lohnabrechnung mit Gewerkschaftsbeitrag, ein Lebenslauf oder Dokument mit Gesundheitsdaten. Dann brauchen Sie eine Rechtsgrundlage für ihre Verarbeitung, und wir wenden auf sie dieselben Maßnahmen an wie auf alles andere.

6. Ihre Weisungen

Wir verarbeiten die Daten auf Ihre dokumentierte Weisung: diesen Vertrag, die Nutzungsbedingungen und das, was Sie und Ihr Team in Brymio einstellen und tun — die Module, die Sie aktivieren, die Einstellungen, die Berechtigungen jeder Person, die Shops, die API-Token, die Webhooks und die Integrationen, die Sie anbinden. Wenn Sie eine andere Weisung brauchen, schreiben Sie uns an info@brymio.com.

Wir würden nur dann von Ihren Weisungen abweichen, wenn Recht der Europäischen Union oder Spaniens uns dazu verpflichtet; in diesem Fall würden wir Sie vorher informieren, sofern dasselbe Recht das nicht verbietet. Wenn wir der Auffassung sind, dass eine Weisung von Ihnen gegen die DSGVO oder andere Datenschutzvorschriften verstößt, teilen wir Ihnen das unverzüglich mit.

Als Verantwortlicher obliegt es Ihnen, eine Rechtsgrundlage für die Verarbeitung der hochgeladenen Daten zu haben; die betroffenen Personen zu informieren (etwa Ihre Beschäftigten über die Arbeitszeiterfassung und die Standortbestimmung und Ihre Bewerbenden über den Datenschutzhinweis, den Sie in Recruiting bearbeiten); erforderliche Einwilligungen einzuholen; zu entscheiden, wer in Ihrer Organisation worauf zugreift; und die Tools Dritter auszuwählen und zu beauftragen, die Sie per API, MCP oder Webhooks anbinden und die nicht unsere Unterauftragsverarbeiter sind.

7. Vertraulichkeit

Auf die Daten greifen nur die Personen von Krokanti Games SL zu, die den Dienst betreiben, und nur, wenn es für den Betrieb, die Behebung eines Vorfalls oder die Bearbeitung einer Anfrage von Ihnen nötig ist. Alle unterliegen der Vertraulichkeitspflicht nach Artikel 5 LOPDGDD, die auch nach dem Ende ihres Verhältnisses mit uns fortgilt. Wir sehen uns die Inhalte Ihrer Organisation nicht für eigene Zwecke an.

8. Sicherheitsmaßnahmen

Wir treffen dem Risiko angemessene technische und organisatorische Maßnahmen (Artikel 32 DSGVO). Das sind die heute vorhandenen, so beschrieben, wie sie sind:

  • Standort: Die Datenbank und die Ausführung der Anwendung befinden sich in Frankfurt (Deutschland). Dateien liegen in Cloudflare R2; Lebensläufe und Anhänge aus Recruiting in einem eigenen Speicher unter der Rechtshoheit der Europäischen Union.
  • Verschlüsselung bei der Übertragung: Alle Verbindungen zu Brymio laufen über HTTPS (TLS), mit HSTS, damit der Browser keine unverschlüsselte Verbindung akzeptiert, und die Anwendung verbindet sich über einen verschlüsselten Kanal mit der Datenbank. Sicherheits-Header verhindern, dass die Anwendung in eine andere Website eingebettet wird.
  • Verschlüsselung im Ruhezustand: Die Anbieter von Datenbank und Speicher verschlüsseln alles, was sie speichern, auf der Festplatte. Zusätzlich verschlüsseln wir die Zugangsdaten der Commerce-Shops und die Secrets der Shopify-Apps selbst mit AES-256-GCM, bevor wir sie speichern.
  • Zugangsdaten: Passwörter werden nie im Klartext gespeichert (bcrypt für Mitglieder, scrypt für Beschäftigte), und API-Token, Anmeldelinks und Kiosk-PINs liegen nur als kryptografischer Hash vor. Sichere Notizen in Projekte werden im Browser verschlüsselt, und wir können sie nicht lesen.
  • Trennung und Berechtigungen: Jedes Datum gehört zu einer Organisation, und jede Abfrage wird danach gefiltert, überwacht durch eine automatische Prüfung im Code. Innerhalb Ihrer Organisation sieht jede Person, was ihre Rolle erlaubt (Inhaber, Administrator, Mitglied, Buchhaltung oder Betrachter), die Module, die Sie ihr freigegeben haben, und in Team und Recruiting die spezielle Personal- bzw. Recruiting-Berechtigung. Ein API-Token hat nie mehr Befugnisse als die Person, die es erstellt hat, und kann weder Mitglieder noch das Abo noch das Konto verwalten.
  • Zugang der Personen: vorübergehende Sperre nach fünf Fehlversuchen, optionale Zwei-Faktor-Authentifizierung, einmal verwendbare Anmeldelinks mit Ablaufzeit und Sitzungen mit Ablaufzeit. Das Zurücksetzen des Passworts, die Abmeldung auf allen Geräten oder das Löschen des Kontos macht alle offenen Sitzungen sofort ungültig. Öffentliche Formulare haben Nutzungsgrenzen und eine Bot-Prüfung.
  • Dateien: Lohnabrechnungen und Dokumente aus Team, Lebensläufe und Ausgabenbelege lassen sich nur über die Anwendung herunterladen, mit Sitzung und Berechtigung, und nicht über eine öffentliche Adresse.
  • Nachvollziehbarkeit: Sensible Aktionen — Änderungen an Mitgliedern, Rollen und Modulen, Sicherheitsaktionen am Konto, Downloads von Rechnungen, Belegen und Lebensläufen, Abgleiche und Exporte — werden in einem Audit-Protokoll mit Person und Zeitpunkt festgehalten. Jede Stempelung ist per Hash mit der vorherigen verkettet, sodass eine Veränderung auffällt, und jede Korrektur wird gesondert mit Urheber und Grund gespeichert.
  • Datensicherungen: jede Nacht eine vollständige Kopie der Datenbank in einem getrennten Speicher und eine weitere vor jeder Aktualisierung des Dienstes auf Geräten von Krokanti Games SL; beide werden nach 35 Tagen gelöscht. Dateien sind in diesen Kopien nicht enthalten; für sie gilt die Redundanz des Speichers selbst.
  • Fehlerdiagnose: Fehlerberichte enthalten nur die internen Kennungen der Person und der Organisation; vor dem Versand werden E-Mail-Adressen, Token, Zugangscodes in Webadressen, Cookies und Inhalte der Anfragen entfernt.
  • Team: Der Standort wird nur im Moment der Stempelung gespeichert, wenn das Unternehmen ihn aktiviert und die Person eingewilligt hat; eine fortlaufende Ortung gibt es nicht. Das Kiosk-Foto ist standardmäßig ausgeschaltet und wird, wenn es aktiviert ist, nach 90 Tagen gelöscht.

Wir haben weder eine ISO-27001- noch eine SOC-2-Zertifizierung und behaupten nichts anderes. Wir überprüfen die Sicherheit des Codes regelmäßig und beheben, was wir finden; ändert sich eine dieser Maßnahmen wesentlich, halten wir das hier fest.

9. Unterauftragsverarbeiter

Sie erteilen uns eine allgemeine Genehmigung, die Unterauftragsverarbeiter dieser Liste einzusetzen. Wir verpflichten uns, dass jeder von ihnen vertraglich verpflichtet ist, die Daten in seinem Bereich mit Garantien zu schützen, die denen dieses Vertrags gleichwertig sind, und wir haften Ihnen gegenüber für deren Einhaltung (Artikel 28 Absatz 4 DSGVO).

Die aktuelle Liste, dieselbe, die die Datenschutzerklärung veröffentlicht:

  • Vercel — Hosting und Ausführung der Anwendung sowie cookiefreie Messung von Besuchen und Ladezeiten (Adressen mit einem Zugangsschlüssel werden ohne diesen übermittelt). Die Funktionen, die Ihre Daten verarbeiten, laufen in der Region Frankfurt (Deutschland). US-Unternehmen.
  • Neon — die PostgreSQL-Datenbank, in der alles liegt, was die Plattform speichert, gehostet in Frankfurt (Deutschland). US-Unternehmen.
  • Cloudflare R2 — Dateispeicher: Lohnabrechnungen, Dokumente und Kiosk-Fotos des Teams, Lebensläufe und Anhänge von Bewerbungen (diese in einem Speicher in der Europäischen Union), Ausgabenbelege, Rechnungsexporte als ZIP (sieben Tage), Projektanhänge, Audit-Bildschirmfotos, Logos, Profilfotos und die Sicherungen der Datenbank. US-Unternehmen.
  • Brevo — E-Mail-Versand: die E-Mails zu Ihrem Konto und zum Dienst (Bestätigung, Anmeldelinks, Hinweise und Erinnerungen), die E-Mails, die Ihre Organisation aus Brymio an ihre Kunden, Beschäftigten und Bewerbenden sendet (Rechnungen und Angebote mit PDF, Zahlungserinnerungen, Hinweise zu Lohnabrechnungen, Abwesenheiten und Bewerbungen, Zugangscodes), die Nachrichten aus dem Kontaktformular, die uns per E-Mail erreichen, und die Neuigkeiten an Abonnenten. Französisches Unternehmen, Verarbeitung in der Europäischen Union.
  • Cloudflare Turnstile — Bot-Prüfung in den öffentlichen Formularen für die Registrierung, für Bewerbungen, für Kontaktanfragen und für das Abonnement von Neuigkeiten. Es wertet technische Browsersignale aus, um einen Menschen von einem automatisierten Programm zu unterscheiden, und wird weder für Werbung noch für Analyse verwendet. US-Unternehmen.
  • OpenRouter — das Gateway, über das alle KI-Funktionen von Brymio laufen, auch der Assistent in der Hilfe-Blase. Es leitet jede Anfrage an ein Modell eines Anbieters wie Google oder OpenAI (auf Microsoft Azure) weiter und erhält nur den Inhalt dieser Anfrage. Brymio verlangt bei jeder Anfrage Anbieter, die das Erhaltene weder speichern noch zum Training nutzen (Zero Retention); ein Modell ohne einen solchen Anbieter wird nicht verwendet. Auch Brymio nutzt diesen Inhalt nicht zum Trainieren von Modellen. US-Unternehmen.
  • Inngest — steuert die Hintergrundjobs: im Modul Commerce die Importe von Katalog, Bestellungen und Kunden, die Synchronisierung von Shops, Massenänderungen im Shop und die Ausstellung von Rechnungen zu Bestellungen (auch die automatische bei Zahlungseingang einer Bestellung); im Modul Rechnungen den Export von Rechnungen als ZIP; den Aufbau des Suchindex; und die Audits von Shop-Gesundheit (geplante Läufe und Wiederholungen). Die Ereignisse, die wir senden, enthalten Kennungen (und bei Shop-Gesundheit die geprüfte öffentliche Adresse), nie Zugangsdaten; zu jedem Schritt speichert Inngest ein technisches Ergebnis (Status, Zähler und Kennungen und bei Shop-Gesundheit die Messwerte der geprüften Website). US-Unternehmen.
  • Sentry (Functional Software, Inc.) — Fehlerdiagnose: Wenn in der Anwendung etwas fehlschlägt, erhält Sentry den technischen Bericht des Fehlers (wo er auftrat, den Browser und den Aufrufstapel), damit wir ihn beheben können. Die Daten werden in der EU-Region von Sentry (Frankfurt, Deutschland) gespeichert. Übermittelt werden nur die internen Kennungen der Person und des Unternehmens, nie Name, E-Mail-Adresse oder IP-Adresse, und Zugangscodes und personenbezogene Daten werden vor dem Senden aus den Webadressen entfernt. US-Unternehmen.
  • GitHub — führt jede Nacht die Sicherung der Datenbank aus und legt sie in Cloudflare R2 ab. Die Sicherung läuft während des Vorgangs über seine Server und wird dort nicht aufbewahrt. US-Unternehmen.
  • Telegram — nur wenn eine beschäftigte Person oder ein Mitglied ihr Konto mit dem Bot verknüpft, um zu stempeln oder Hinweise zu erhalten. Dann verarbeitet Telegram die Nachrichten mit dem Bot, die Nutzerkennung und den Text der Hinweise, die wir senden (eine Zuweisung, eine Erwähnung, die Antwort auf einen Abwesenheitsantrag). Ohne Verknüpfung ist Telegram nicht beteiligt.
  • Benachrichtigungsdienste des Browsers (Google, Mozilla, Apple oder Microsoft, je nach Browser) — nur wenn Sie Push-Benachrichtigungen einschalten. Sie bringen den Hinweis auf Ihr Gerät; der Inhalt ist verschlüsselt, und sie können ihn nicht lesen.

Keine Unterauftragsverarbeiter sind: Stripe, das Ihr Abo abrechnet (dafür sind wir Verantwortliche); Google Analytics, das die Nutzung von Brymio für uns misst, und nur, wenn die besuchende Person Analyse-Cookies akzeptiert; die Anmeldung mit Google, die nur greift, wenn die Person, die sich anmeldet, sie wählt; Google PageSpeed Insights, Thum.io und die öffentliche GitHub-API, die nur die öffentliche Adresse der geprüften Website oder den Namen eines öffentlichen Repositorys erhalten; und auch nicht Ihr Shopify- oder WooCommerce-Shop, der Ihr Anbieter ist und nicht unserer. Ebenso wenig die Tools, die Sie per API, MCP oder Webhooks anbinden.

Bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informieren wir die Inhaberin oder den Inhaber Ihrer Organisation mindestens 30 Tage vorher per E-Mail und aktualisieren diese Liste und ihr Datum. Ist die Änderung dringend, um den Dienst oder seine Sicherheit aufrechtzuerhalten, informieren wir Sie, sobald wir davon wissen. Widersprechen Sie aus berechtigten Datenschutzgründen, schreiben Sie uns innerhalb dieser Frist: Wir suchen eine Alternative, und gibt es keine, können Sie kündigen, bevor die Änderung wirksam wird, und wir erstatten den anteiligen Betrag dessen, was Sie im Voraus bezahlt haben und nicht mehr nutzen.

10. Internationale Übermittlungen

Datenbank und Anwendung befinden sich in der Europäischen Union, aber mehrere Unterauftragsverarbeiter sind US-Unternehmen, und einige — etwa OpenRouter und die Anbieter der KI-Modelle, Inngest und GitHub, über dessen Server jede Nacht die Sicherung der Datenbank läuft — können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Diese Übermittlungen stützen sich auf die von der Europäischen Kommission erlassenen Standardvertragsklauseln und, sofern der Anbieter teilnimmt, auf den EU-US-Datenschutzrahmen. Wenn Sie die Einzelheiten zu einem bestimmten Anbieter benötigen, fragen Sie uns.

11. Rechte der betroffenen Personen

Die Bearbeitung der Rechte auf Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Einschränkung und Widerspruch obliegt Ihnen, und Brymio gibt Ihnen Werkzeuge, um das ohne uns zu erledigen:

  • Team: Jede beschäftigte Person hat in ihren Einstellungen „Ihre Daten“, wo sie herunterlädt, was wir über sie speichern, und die Löschung dessen beantragt, was nicht aufbewahrt werden muss; das gilt sofort: Ihr Datensatz wird pseudonymisiert, und ihre Stempelungen verlieren Standort und Foto.
  • Recruiting: Bewerbende können mit dem Link ihrer Bewerbung und einem Code, den sie per E-Mail erhalten, die Bewerbung einsehen, ihre Angaben berichtigen, solange das Verfahren läuft, ihre Daten herunterladen, den Talentpool verlassen oder sie löschen. Läuft die von Ihnen festgelegte Aufbewahrungsfrist ab, wird jede Bewerbung automatisch anonymisiert, außer solange ihre Stelle noch ausgeschrieben ist und bei den Personen, die Sie schließlich einstellen.
  • Commerce: Wir bearbeiten die Auskunfts- und Löschanfragen, die Shopify im Namen Ihrer Käuferinnen und Käufer sendet; die Löschung entfernt den Kundendatensatz und aus den Bestellungen alles, was die Person identifiziert, und lässt die Beträge und die ausgestellten Rechnungen stehen, die aufbewahrt werden müssen. Soll eine andere Person gelöscht werden, fragen Sie uns.
  • In allen Modulen können Sie einsehen und berichtigen, was Sie speichern, löschen, was das Gesetz nicht aufzubewahren verlangt, und es in den unter Punkt 13 genannten Formaten exportieren.

Wendet sich eine Person an uns, um ein Recht an Daten Ihrer Organisation auszuüben, antworten wir ihr nicht in der Sache: Wir leiten die Anfrage unverzüglich an Sie weiter und weisen sie an, sich an Sie zu wenden. Lässt sich etwas mit den Werkzeugen des Produkts nicht lösen, helfen wir Ihnen, soweit es uns möglich ist.

Wir stellen Ihnen außerdem die uns vorliegenden Informationen für Ihre Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Artikel 35 und 36 DSGVO) und zum Nachweis Ihrer Einhaltung zur Verfügung.

12. Datenschutzverletzungen

Erleiden wir eine Verletzung der Sicherheit, die Daten Ihrer Organisation betrifft, melden wir sie Ihnen unverzüglich und in jedem Fall innerhalb von 48 Stunden, nachdem wir davon Kenntnis erlangt haben, per E-Mail an die Inhaberin oder den Inhaber und an die Administratoren. Wir teilen Ihnen mit, was wir wissen — was geschehen ist, welche Daten und wie viele Personen betroffen sein können, die wahrscheinlichen Folgen, was wir unternommen haben und was wir empfehlen —, und ergänzen das, sobald wir mehr erfahren. Wir dokumentieren jede Verletzung, ihre Auswirkungen und die ergriffenen Maßnahmen.

Die Meldung an die Aufsichtsbehörde und gegebenenfalls an die betroffenen Personen obliegt Ihnen als Verantwortlichem (Artikel 33 und 34 DSGVO); wir unterstützen Sie dabei mit allem, was Sie brauchen.

13. Am Ende: Rückgabe und Löschung

Wenn Ihre Organisation Brymio nicht mehr nutzt:

  • Rückgabe: Bevor Sie sie löschen, können Sie die Daten über die Exporte jedes Moduls mitnehmen: Rechnungen und Angebote als PDF, Belege als ZIP und Steuerübersichten als CSV; die Arbeitszeiterfassung als PDF oder CSV; Bewerbungen als CSV; Seiten und Datenbanken aus Projekte als ZIP mit HTML und CSV; den Katalog als CSV und, über den Datendownload in den Einstellungen, Produkte, Bestellungen und Kunden aus Commerce als JSON; sowie die Berichte aus Shop-Gesundheit. Brauchen Sie etwas, das diese Exporte nicht abdecken, fragen Sie uns vor dem Löschen unter info@brymio.com, und wir übergeben es Ihnen in einem strukturierten Format.
  • Löschung: Wenn Sie die Organisation löschen, ist sie sofort für ihre Mitglieder, Beschäftigten und Bewerbenden unzugänglich, und 30 Tage lang können wir sie auf Ihren Wunsch wiederherstellen. Danach löschen wir sie endgültig, wenn die Inhaberin oder der Inhaber uns per E-Mail darum bittet: die Daten aller Module, ihre Dateien, die Token, die Shop-Verbindungen und die Integrationen. Diese Löschung führen wir selbst durch, sie erfolgt nicht automatisch, und wir bestätigen Ihnen schriftlich, wenn sie erledigt ist.
  • Was Ihre Organisation von Gesetzes wegen aufbewahren muss, wird nicht mit ihr gelöscht: ausgestellte Rechnungen mit den Daten ihrer Kunden und, wenn Sie Veri*factu nutzen, ihre verketteten Datensätze (vier Jahre für steuerliche Zwecke und sechs für Handelsbücher und Buchhaltungsunterlagen) sowie die Arbeitszeiterfassung mit ihren Korrekturen, Verträgen und Lohnabrechnungen (vier Jahre). Wir bewahren das gesperrt auf, in Ihrem Auftrag und ohne es für etwas anderes zu nutzen, damit Sie diese Pflicht erfüllen und eine Prüfung bestehen können, und löschen es nach Ablauf dieser Fristen. Ihre Beschäftigten werden pseudonymisiert, und ihre Stempelungen verlieren Standort und Foto. Möchten Sie das lieber selbst aufbewahren, bitten Sie uns um Herausgabe, und wir löschen es, sobald Sie es haben.
  • Datensicherungen: Gelöschtes verschwindet sofort aus der Anwendung, kann aber in den Datensicherungen bleiben, bis diese nach 35 Tagen ablaufen. Diese Kopien dienen nur der Wiederherstellung des Dienstes.

Die Benutzerkonten der Personen Ihrer Organisation werden nicht mit ihr gelöscht: Jedes gehört seiner Inhaberin oder seinem Inhaber, die es behalten oder löschen, wie die Datenschutzerklärung erklärt.

14. Prüfungen

Wir stellen Ihnen die Informationen zur Verfügung, die nötig sind, um nachzuweisen, dass wir diesen Vertrag einhalten: dieses Dokument, die Sicherheitsmaßnahmen, die Liste der Unterauftragsverarbeiter und schriftliche Antworten auf Ihre berechtigten Fragen. Reicht das nicht, können Sie oder eine zur Vertraulichkeit verpflichtete unabhängige prüfende Person uns prüfen, mit einer Ankündigungsfrist von mindestens 30 Tagen, höchstens einmal im Jahr, es sei denn, eine Behörde verlangt es oder eine Sicherheitsverletzung rechtfertigt es, auf Ihre Kosten, während der Geschäftszeiten und ohne Zugriff auf Daten anderer Kunden oder Gefährdung der Sicherheit des Dienstes.

15. Haftung

Jede Partei haftet für die Schäden, die sie durch einen Verstoß gegen die DSGVO oder diesen Vertrag verursacht, nach Artikel 82 DSGVO. Zwischen uns gilt die Haftungsbeschränkung der Nutzungsbedingungen, soweit das Gesetz es zulässt; sie berührt weder die Rechte der Personen, deren Daten verarbeitet werden, noch eine Haftung, die nicht ausgeschlossen werden kann.

16. Anwendbares Recht

Dieser Vertrag unterliegt spanischem Recht, der DSGVO und der LOPDGDD. Für Streitigkeiten sind die spanischen Gerichte zuständig.

17. Annahme, Vorrang und Änderungen

Dieser Vertrag wird mit den Nutzungsbedingungen angenommen, ohne gesondert etwas zu unterschreiben, und bindet beide Parteien ab dem Zeitpunkt, an dem Ihre Organisation Brymio zu nutzen beginnt. Wenn Sie ein unterzeichnetes Exemplar benötigen, fordern Sie es unter info@brymio.com an.

Sagen die Nutzungsbedingungen etwas anderes über unsere Verarbeitung personenbezogener Daten, hat dieser Vertrag Vorrang.

Wir können diesen Vertrag aktualisieren, etwa wenn ein Modul hinzukommt oder ein Unterauftragsverarbeiter wechselt. Ist die Änderung wesentlich, informieren wir Sie per E-Mail oder in der Anwendung, bevor sie wirksam wird. Das Datum oben zeigt die letzte Überarbeitung.

Kontakt

Bei Fragen zu diesem Vertrag oder zu den Daten, die wir in Ihrem Auftrag verarbeiten, schreiben Sie uns an info@brymio.com.