modudek
DE
Zurück

Auftragsverarbeitungsvertrag

Zuletzt aktualisiert am 7. November 2026

Diese Übersetzung dient Ihrer Bequemlichkeit. Bei Abweichungen gilt die niederländische Fassung.

Wenn Sie in Modudek Daten über Ihre eigenen Kunden speichern, verarbeiten wir diese in Ihrem Auftrag. Die DSGVO (Artikel 28) verlangt dafür einen Auftragsverarbeitungsvertrag. Dies sind diese Vereinbarungen. Sie sind Teil unserer AGB.

1. Parteien und Rollen

Der Kunde (das Unternehmen mit einem Modudek-Konto) ist Verantwortlicher. Creative Communication, Koerselsesteenweg 192, 3582 Koersel, Unternehmensnummer BE 0683.857.720, ist Auftragsverarbeiter. Dieser Vertrag gilt, solange der Kunde Modudek nutzt, und danach, bis alle Daten gelöscht oder zurückgegeben sind.

Gibt der Kunde einem Partner (Agentur oder Buchhalter) Zugriff, handelt dieser Partner im Auftrag und für Rechnung des Kunden. Der Kunde entscheidet über diesen Zugriff und kann ihn in den Einstellungen jederzeit entziehen. Modudek gewährt dem Partner nur den vom Kunden erlaubten Zugriff (voll oder nur Rechnungen und Ausgaben) und speichert, was der Partner ändert, im Protokoll des Kunden.

2. Gegenstand und Zweck

Wir verarbeiten personenbezogene Daten nur, um Modudek so bereitzustellen, wie der Kunde es nutzt: seine Website und seinen Webshop anzeigen, Kontakte und Termine verwalten, E-Mails und Newsletter senden und empfangen, Chat und KI-Funktionen betreiben, Angebote, Rechnungen und Arbeitsaufträge erstellen (mit Online-Annahme und -Unterschrift von Angeboten), Lieferscheine, Packzettel und Rücknahmescheine erstellen und bei Empfang unterschreiben lassen, Gutscheine und Mehrfachkarten/Abos verkaufen und einlösen, ein Kundenportal anbieten, in dem der Kunde des Kunden seine Dokumente einsieht und Statistiken anzeigen. Wir nutzen die Daten nie für eigene Zwecke und verkaufen sie nie.

3. Datenarten und betroffene Personen

Datenarten: Identitäts- und Kontaktdaten (Name, E-Mail, Telefon, Adresse), Kommunikation (Nachrichten, Chatgespräche, E-Mails), Termine, Bestellungen und Rechnungen, Notizen, Newsletter-Einstellungen und technische Daten (wie eine zur Sicherheit unkenntlich gemachte IP-Adresse). Bei Vermietung auch Reservierungen (Zeitraum, Personenzahl, Zahlungen) und, wenn der Kunde das Gästeverzeichnis aktiviert, Name, Geburtsdatum, Staatsangehörigkeit und Adresse des Hauptgastes; diese Meldescheine werden nach der vom Kunden gewählten Aufbewahrungsfrist automatisch gelöscht. Bei Angeboten auch, wann das Angebot geöffnet wurde, die gewählten Optionen, Name und Unterschrift, mit denen der Kunde des Kunden annimmt, der Zeitpunkt und eine unkenntlich gemachte (gehashte) IP-Adresse als Nachweis, Fragen und Ablehnungsgründe sowie Anzahlungen. Bei Gutscheinen Name und E-Mail des Käufers und gegebenenfalls des Empfängers, eine persönliche Nachricht, der Betrag, das Guthaben und die Einlösungen. Bei Mehrfachkarten und Abos Name und E-Mail des Inhabers, die Zahl der Einheiten, die Gültigkeit, die Abbuchungen (mit dem Termin) und der Zahlungsstatus des Abos. Beim Kundenportal die E-Mail-Adresse, mit der sich der Kunde des Kunden anmeldet, die Zeitpunkte von Anmeldelinks und Sitzungen (nur als verschlüsselter Code gespeichert; Links nach einem Tag gelöscht, Sitzungen nach 30 Tagen) sowie die Fragen und geänderten Daten, die er selbst eingibt. Bei Lieferungen auch die Lieferadresse, Name und Unterschrift der Person, die die Lieferung entgegennimmt, die Uhrzeit, eine unkenntlich gemachte (gehashte) IP-Adresse und das Gerät als Empfangsnachweis (oder der Grund für eine Lieferung ohne Unterschrift) sowie Fotos der Lieferung. Sie gehören zu den Buchhaltungsbelegen und werden ebenso lange aufbewahrt.

Betroffene Personen: Kunden, Interessenten, Websitebesucher, Newsletter-Abonnenten und Mitarbeiter des Kunden. Bei Vermietung auch die Gäste des Kunden. Bei der Lagerverwaltung auch Lieferanten und ihre Ansprechpartner (geschäftliche Kontaktdaten und Bestellungen). Bei Lieferungen auch die Person, die eine Lieferung entgegennimmt.

Der Kunde speichert in Modudek keine besonderen Kategorien von Daten (wie Gesundheits- oder Strafdaten), außer wenn dies gesetzlich erlaubt und für seine Tätigkeit nötig ist, und dann in eigener Verantwortung.

4. Weisungen des Kunden

Wir verarbeiten die Daten nur nach den Weisungen des Kunden. Diese Weisungen sind die Einstellungen und Handlungen in Modudek und dieser Vertrag. Halten wir eine Weisung für rechtswidrig, teilen wir dies sofort mit. Verlangt ein Gesetz oder eine Behörde die Herausgabe von Daten, informieren wir den Kunden vorher, sofern das nicht verboten ist.

5. Vertraulichkeit

Jeder, der bei uns Zugriff auf die Daten hat, ist zur Verschwiegenheit verpflichtet und erhält nur Zugriff, soweit es für seine Aufgabe nötig ist.

6. Sicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen, unter anderem:

  • verschlüsselte Verbindungen (https/TLS) und verschlüsselte Speicherung bei unserem Datenbankanbieter;
  • strikte Trennung je Kunde in der Datenbank (jeder Kunde sieht nur seine eigenen Daten);
  • verpflichtende Zwei-Schritt-Verifizierung für alle Nutzer und Passwörter, die nie lesbar gespeichert werden;
  • eine Firewall und Grenzen gegen Missbrauch und Angriffe;
  • Sicherungen bei unserem Datenbankanbieter und eine Sicherungsschaltfläche für den Kunden;
  • Zugriff unseres Teams nur, wenn nötig.

7. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für diese Unterauftragsverarbeiter:

  • Supabase (Datenbank, Login, Dateien) – Frankfurt, EU;
  • Vercel (Hosting und Firewall) – weltweites Netzwerk, US-Unternehmen;
  • Resend (Versand und Empfang von E-Mails) – US-Unternehmen, Versand aus der EU;
  • Stripe (Zahlungen) – Irland und USA;
  • Anthropic (KI-Funktionen; nutzt die Daten nicht zum Modelltraining) – USA;
  • Hostinger (Domainnamen und DNS) – EU.
  • Hostinger Mail (Postfächer, die der Kunde über Modudek nimmt).
  • CM.com (Versand von SMS- und WhatsApp-Nachrichten, wenn der Kunde Erinnerungen nutzt) – Niederlande, EU; WhatsApp-Nachrichten über Meta Platforms Ireland (WhatsApp Business), mit Übermittlung gemäß dem EU-US-Datenschutzrahmen.
  • OpenStreetMap Foundation (Ermittlung der Koordinaten der Geschäftsadresse auf der Website des Kunden; keine Daten von Endkunden) – Vereinigtes Königreich, Angemessenheitsbeschluss der Europäischen Kommission.

Wir erlegen Unterauftragsverarbeitern dieselben Pflichten auf wie in diesem Vertrag. Einen neuen Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vorher an. Der Kunde kann aus berechtigtem Grund widersprechen; finden wir keine Lösung, kann er das Abonnement kostenlos beenden.

8. Übermittlung außerhalb der EU

Daten verlassen den Europäischen Wirtschaftsraum nur bei einer gültigen Garantie, etwa einem Angemessenheitsbeschluss (z. B. dem EU-US-Datenschutzrahmen) oder den Standardvertragsklauseln der Europäischen Kommission.

9. Rechte der betroffenen Personen

Verlangt jemand vom Kunden Auskunft, Berichtigung, Löschung oder eine Kopie seiner Daten, hilft Modudek dabei: Der Kunde kann Kontakte in der App suchen, bearbeiten, exportieren und löschen. Erreicht uns eine solche Anfrage, leiten wir sie an den Kunden weiter.

Ein Auskunfts- oder Übertragbarkeitsersuchen kann der Kunde selbst beantworten: Auf der Kontaktseite lädt ein Administrator mit der Schaltfläche „Daten exportieren (DSGVO)“ eine Datei (JSON) mit den im Arbeitsbereich zu diesem Kontakt gespeicherten Daten herunter. Zum Löschen entfernt der Kunde den Kontakt; ausgestellte Rechnungen bleiben dabei erhalten, wie es das Buchhaltungsrecht verlangt. Auch Lieferscheine und Rücknahmescheine bleiben erhalten, mit Name und Adresse wie auf dem Schein.

10. Datenpannen

Entdecken wir eine Verletzung der Sicherheit, die Daten des Kunden betrifft, melden wir dies unverzüglich und spätestens innerhalb von 48 Stunden nach Feststellung. Wir geben die Informationen, die der Kunde für seine eigene Meldepflicht braucht (was geschah, welche Daten, die Folgen und die ergriffenen Maßnahmen), und wirken an der Lösung mit.

11. Unterstützung und Kontrolle

Wir unterstützen den Kunden in zumutbarem Umfang bei einer Datenschutz-Folgenabschätzung oder einer Konsultation der Datenschutzbehörde.

Auf Anfrage geben wir dem Kunden die Informationen, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen. Ein Audit ist einmal jährlich möglich, mit einer angemessenen Ankündigung von mindestens 30 Tagen, auf Kosten des Kunden und ohne Zugriff auf Daten anderer Kunden.

12. Ende des Vertrags

Nach Ende des Abonnements kann der Kunde seine Daten noch 3 Monate lang exportieren. Danach löschen wir sie, auch aus den Sicherungen innerhalb deren üblicher Aufbewahrungsfrist, außer was wir gesetzlich aufbewahren müssen.

13. Haftung und Rangfolge

Für die Haftung gelten die Regeln unserer AGB. Bei Widersprüchen zum Schutz personenbezogener Daten geht dieser Auftragsverarbeitungsvertrag den AGB vor. Für diesen Vertrag gilt belgisches Recht.