Flowtly – Vereinbarung zur Auftragsverarbeitung

Dies ist eine deutsche Übersetzung der englischen Fassung, die lediglich der besseren Verständlichkeit dient. Verbindlich ist die englischsprachige Fassung (siehe Abschnitt 1). Englische Fassung · Polnische Fassung

1. Allgemeine Bestimmungen und Gegenstand

Diese Vereinbarung zur Auftragsverarbeitung („AVV“) wird geschlossen zwischen der Organisation, die die Plattform Flowtly nutzt und als Verantwortlicher im Sinne von Artikel 4 Nr. 7 der Verordnung (EU) 2016/679 vom 27. April 2016 („DSGVO“) handelt („Verantwortlicher“), und der Flowtly Prosta Spółka Akcyjna mit Sitz in Warschau (01-194), ul. Młynarska 8/12, Polen, eingetragen im Unternehmerregister des Landesgerichtsregisters unter KRS 0001188143, NIP 5273180297, REGON 542625051 („Flowtly“ oder „Auftragsverarbeiter“), die als Auftragsverarbeiter im Sinne von Artikel 4 Nr. 8 DSGVO handelt.

Die AVV konkretisiert die Pflichten der Parteien in Bezug auf die Verarbeitung personenbezogener Daten, auf die in § 11 der Allgemeinen Geschäftsbedingungen der Plattform Flowtly („Datensicherheit“) Bezug genommen wird, und gilt für jede Verarbeitung personenbezogener Daten, die Flowtly im Auftrag und auf dokumentierte Weisung des Verantwortlichen im Zusammenhang mit der Bereitstellung des Zugangs zur Plattform durchführt. Die AVV ändert nicht die in § 12 der Allgemeinen Geschäftsbedingungen festgelegten Haftungsregeln und -beschränkungen – siehe Abschnitt 13.

Die AVV setzt die Anforderungen von Artikel 28 DSGVO um und ist auf dieser Seite in der in der Versionshistorie (Abschnitt 13) bezeichneten Fassung abrufbar. Die AVV gilt für eine Organisation, die die Plattform nutzt, auf derselben Grundlage wie die Allgemeinen Geschäftsbedingungen, die – in der für diese Organisation geltenden Fassung – auf dieses Dokument verweisen. Verbindlich ist die englischsprachige Fassung dieses Dokuments; diese deutsche Übersetzung dient, wie alle Übersetzungen einschließlich der polnischen, lediglich der besseren Verständlichkeit.

2. Begriffsbestimmungen

In dieser AVV verwendete, großgeschriebene Begriffe, die in dieser AVV nicht definiert sind, haben die ihnen in den Allgemeinen Geschäftsbedingungen der Plattform Flowtly zugewiesene Bedeutung. Für die Zwecke dieser AVV bezeichnet:

• DSGVO – die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr;
• Verantwortlicher – die Organisation als Verantwortlicher im Sinne von Artikel 4 Nr. 7 DSGVO, handelnd durch die zu ihrer Vertretung befugten Personen; dies ist von der Rolle des „Administrators“ nach den Allgemeinen Geschäftsbedingungen zu unterscheiden, die eine Nutzerrolle auf der Plattform und nicht die Stellung als Verantwortlicher bezeichnet;
• TOM (technische und organisatorische Maßnahmen) – die im Dokument „Technische und organisatorische Maßnahmen“ von Flowtly beschriebenen Maßnahmen, das Anhang 1 zu dieser AVV bildet;
• Unterauftragsverarbeiter – ein weiterer Auftragsverarbeiter, dem Flowtly die Verarbeitung personenbezogener Daten zur Erfüllung dieser AVV weiter überträgt;
• Verletzung des Schutzes personenbezogener Daten – eine Verletzung im Sinne von Artikel 4 Nr. 12 DSGVO.

3. Dauer der Verarbeitung

Diese AVV gilt für die Laufzeit des Vertrags über den Zugang zur Plattform, der zwischen dem Verantwortlichen und Flowtly nach den Allgemeinen Geschäftsbedingungen besteht, und endet mit der Beendigung oder dem Ablauf dieses Vertrags, vorbehaltlich etwaiger Bestimmungen, die ihrer Natur nach über die Beendigung hinaus fortgelten, einschließlich der in Abschnitt 11 beschriebenen Pflicht zur Löschung oder Rückgabe der Daten.

4. Art, Zweck und Umfang der Verarbeitung; Kategorien von Daten und betroffenen Personen

Art und Zweck der Verarbeitung. Flowtly verarbeitet personenbezogene Daten ausschließlich, um dem Verantwortlichen den Zugang zur Plattform gemäß den Allgemeinen Geschäftsbedingungen und den dokumentierten Weisungen des Verantwortlichen bereitzustellen. Die Verarbeitungsvorgänge umfassen insbesondere: das Erheben, Speichern, Abrufen, Ändern, Exportieren und Löschen von Daten innerhalb des Organisationskontos im Zusammenhang mit den Funktionalitäten der Plattform für Personalwesen und Lohnabrechnung, Projekte, Abrechnung und Rechnungsstellung – bei denen es sich gemäß § 12 Abs. 2 der Allgemeinen Geschäftsbedingungen um Werkzeuge zur Unterstützung der Organisation bei der Steuerung dieser Bereiche und nicht um ein Buchführungstool handelt – sowie das Speichern von Daten auf von Flowtly verwalteten Servern, den technischen Support und die Gewährleistung der Sicherheit und Kontinuität der Plattform.

Kategorien betroffener Personen sind insbesondere: Beschäftigte und Mitwirkende des Verantwortlichen, Nutzer und Administratoren, Vertragspartner und deren Vertreter, Bewerber – soweit der Verantwortliche die entsprechende Funktionalität der Plattform nutzt – sowie sonstige natürliche Personen, deren Daten der Verantwortliche oder seine Nutzer im Zusammenhang mit der Nutzung der Plattform in diese eingeben.

Kategorien personenbezogener Daten sind insbesondere: Identifikations- und Kontaktdaten, Personal- und Beschäftigungsdaten (einschließlich Vergütung, Arbeitszeit, Abwesenheitsaufzeichnungen), Abrechnungs- und Rechnungsdaten, Daten von Vertragspartnern sowie – soweit der Verantwortliche sie rechtmäßig in die Plattform eingibt, sofern dies zur Erfüllung von Pflichten aus dem Arbeits- oder Sozialversicherungsrecht erforderlich ist – besondere Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO (z. B. Gesundheitsdaten im Zusammenhang mit krankheitsbedingter Abwesenheit, Gewerkschaftszugehörigkeit). Die Verantwortung für die Rechtsgrundlage der Eingabe solcher Daten in die Plattform trägt der Verantwortliche. Der genaue Umfang der Datenkategorien entspricht dem in der Datenschutzerklärung beschriebenen Umfang.

5. Pflichten des Auftragsverarbeiters

Flowtly verpflichtet sich,

1. personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation –, sofern Flowtly nicht durch das Recht der Union oder der Mitgliedstaaten, dem Flowtly unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt Flowtly dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet;
2. zu gewährleisten, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (siehe Abschnitt 7);
3. die in den TOM beschriebenen technischen und organisatorischen Maßnahmen gemäß Artikel 32 DSGVO umzusetzen und aufrechtzuerhalten (siehe Abschnitt 8);
4. die in Abschnitt 9 beschriebenen Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern einzuhalten;
5. den Verantwortlichen in dem in Abschnitt 10 beschriebenen Umfang zu unterstützen;
6. nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten gemäß Abschnitt 11 zu löschen oder dem Verantwortlichen zurückzugeben und die vorhandenen Kopien zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht;
7. dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Artikel 28 DSGVO niedergelegten Pflichten zur Verfügung zu stellen und Überprüfungen, einschließlich Inspektionen, gemäß Abschnitt 11 zu ermöglichen und dazu beizutragen.

6. Weisungen des Verantwortlichen

Als dokumentierte Weisungen des Verantwortlichen gelten die Allgemeinen Geschäftsbedingungen, die Konfiguration der Plattform und die Art und Weise, in der der Verantwortliche und die von ihm autorisierten Nutzer die Plattform nutzen, ebenso wie gesonderte Weisungen, die in Textform (einschließlich per E-Mail) an business.support@flowtly.eu übermittelt werden. Der Verantwortliche ist für die Rechtmäßigkeit der von ihm erteilten Weisungen verantwortlich. Ist eine Weisung des Verantwortlichen nach Einschätzung von Flowtly ein Verstoß gegen die DSGVO oder andere Datenschutzvorschriften, informiert Flowtly den Verantwortlichen unverzüglich darüber.

7. Vertraulichkeit

Flowtly stellt sicher, dass nur von Flowtly befugte Personen Zugang zu personenbezogenen Daten haben, und zwar in dem zur Erfüllung ihrer Aufgaben erforderlichen Umfang, und dass diese Personen in Bezug auf personenbezogene Daten zur Vertraulichkeit verpflichtet sind, auch nach Beendigung ihres Beschäftigungs- oder Auftragsverhältnisses mit Flowtly.

8. Sicherheit der Verarbeitung (Artikel 32 DSGVO)

Flowtly trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko der Verarbeitung angemessenes Schutzniveau zu gewährleisten. Die aktuelle Beschreibung dieser Maßnahmen ist das Dokument „Technische und organisatorische Maßnahmen“ von Flowtly, das Anhang 1 zu dieser AVV bildet.

Flowtly wird das in den TOM beschriebene Gesamtschutzniveau der Verarbeitung während der Laufzeit dieser AVV nicht absenken (das „Verschlechterungsverbot“); der Ersatz einer bestimmten Maßnahme durch eine andere, die ein gleichwertiges oder höheres Schutzniveau bietet, stellt keine Absenkung dar. Jede Änderung der TOM – einschließlich eines solchen Ersatzes – wird als neue, datierte Fassung in der auf der Seite dieses Dokuments verfügbaren Versionshistorie erfasst, sodass sich die an einem bestimmten Verarbeitungsdatum geltende Fassung der TOM stets anhand dieser Historie feststellen lässt.

9. Unterauftragsverarbeitung (Unterauftragsverarbeiter)

Der Verantwortliche erteilt Flowtly eine allgemeine schriftliche Genehmigung zur Inanspruchnahme von Unterauftragsverarbeitern zur Erfüllung dieser AVV (Artikel 28 Absatz 2 DSGVO). Flowtly schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem dieselben Datenschutzpflichten auferlegt, die für Flowtly nach dieser AVV gelten, auch in Bezug auf technische und organisatorische Maßnahmen. Flowtly haftet gegenüber dem Verantwortlichen gemäß Artikel 28 Absatz 4 DSGVO in vollem Umfang für die Erfüllung der Datenschutzpflichten eines Unterauftragsverarbeiters.

Flowtly informiert den Verantwortlichen mindestens 30 Tage im Voraus über jede beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern, unter Angabe des neuen Unterauftragsverarbeiters und des Umfangs seiner Tätigkeit, und gibt dem Verantwortlichen die Möglichkeit, gegen diese Änderung Widerspruch einzulegen. Widersprüche, die mit berechtigten datenschutzrechtlichen Gründen zu begründen sind, sind innerhalb von 30 Tagen nach der Mitteilung an business.support@flowtly.eu zu richten; wird innerhalb dieser Frist kein Widerspruch eingelegt, gilt dies als Zustimmung zu der Änderung. Flowtly beginnt mit der Verarbeitung personenbezogener Daten des Verantwortlichen durch einen neuen Unterauftragsverarbeiter nicht vor Ablauf der Widerspruchsfrist oder, sofern rechtzeitig Widerspruch eingelegt wird, nicht vor dessen Klärung. Im Falle eines berechtigten Widerspruchs, dem nicht auf andere Weise Rechnung getragen werden kann, verständigen sich die Parteien nach Treu und Glauben über das weitere Vorgehen, erforderlichenfalls einschließlich der Kündigung des Dienstleistungsvertrags in dem Umfang, in dem dieser den Einsatz dieses Unterauftragsverarbeiters erfordern würde.

Derzeit eingesetzte Unterauftragsverarbeiter, in Übereinstimmung mit der Datenschutzerklärung der Plattform:

Unterauftragsverarbeiter	Umfang der Verarbeitung	Ort der Verarbeitung
Google Cloud (Google Ireland Limited)	Hosting der Plattform und Cloud-Infrastruktur	EU (europe-west1, Belgien)
Stripe	Zahlungsabwicklung	EU / außerhalb des EWR, je nach Vorgang
Kontomatik	Integration von Bankdaten	Polen (EU)
Functional Software, Inc. (Sentry)	Überwachung von Systemfehlern	Vereinigte Staaten
Anthropic, PBC	Verarbeitung von Dokumentinhalten für KI-gestützte Funktionen (Dokumentenanalyse, Assistent)	Vereinigte Staaten
Postmark (ActiveCampaign, Inc.)	Versand transaktionaler E-Mails (Rechnungen, Erinnerungen, Benachrichtigungen)	Vereinigte Staaten

Die vorstehende Liste gibt den Stand zum Veröffentlichungsdatum der jeweiligen Fassung dieser AVV wieder und wird nach dem oben beschriebenen Verfahren aktualisiert. Die aktuelle Liste der Unterauftragsverarbeiter ist zudem auf Anfrage an die oben genannte Adresse erhältlich.

10. Unterstützung des Verantwortlichen; Verletzungen des Schutzes personenbezogener Daten

Wahrnehmung der Rechte betroffener Personen. Unter Berücksichtigung der Art der Verarbeitung unterstützt Flowtly den Verantwortlichen nach Möglichkeit – durch geeignete, auf der Plattform verfügbare technische und organisatorische Maßnahmen sowie durch Unterstützung, die über die in Abschnitt 6 genannte Adresse angefordert wird – bei der Erfüllung seiner Pflicht, Anträge betroffener Personen auf Wahrnehmung ihrer in Kapitel III DSGVO genannten Rechte zu beantworten.

Einhaltung der Artikel 32–36 DSGVO. Flowtly unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der Flowtly zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Artikeln 32–36 DSGVO, einschließlich der Pflicht zur Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde und der gesonderten Pflicht zur Benachrichtigung der betroffenen Personen, wenn die Verletzung voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten zur Folge hat, sowie bei Datenschutz-Folgenabschätzungen und der vorherigen Konsultation der Aufsichtsbehörde.

Verletzungen des Schutzes personenbezogener Daten. Flowtly meldet dem Verantwortlichen eine von Flowtly festgestellte Verletzung des Schutzes personenbezogener Daten unverzüglich, in jedem Fall spätestens 48 Stunden, nachdem Flowtly davon Kenntnis erlangt hat, ohne abzuwarten, bis alle Umstände des Vorfalls vollständig aufgeklärt sind. Die Erstmeldung enthält die in Artikel 33 Absatz 3 DSGVO genannten Informationen, soweit sie zu diesem Zeitpunkt verfügbar sind, und wird schrittweise ergänzt, sobald weitere Umstände festgestellt werden. Die Frist von 48 Stunden ist die vertragliche Höchstfrist von Flowtly für diese Erstmeldung und entbindet Flowtly nicht von der Pflicht, unverzüglich zu handeln, wenn dies früher möglich ist; sie ist unabhängig von der Frist von 72 Stunden, innerhalb derer der Verantwortliche als für die Verarbeitung Verantwortlicher die Verletzung gemäß Artikel 33 Absatz 1 DSGVO der Aufsichtsbehörde zu melden hat, sofern eine Meldung erforderlich ist.

11. Beendigung der Verarbeitung; Überprüfungen und Inspektionen

Beendigung der Verarbeitung. Nach Abschluss der Erbringung der Verarbeitungsleistungen teilt der Verantwortliche Flowtly innerhalb von 30 Tagen nach diesem Ereignis in Textform mit, ob Flowtly die personenbezogenen Daten löschen oder zurückgeben soll; erfolgt innerhalb dieser Frist keine Mitteilung, ist Flowtly berechtigt, die Daten zu löschen. Flowtly führt die gewählte Maßnahme – Löschung aus den Produktivsystemen oder Rückgabe in einem gängigen elektronischen Format mit anschließender Löschung – innerhalb einer angemessenen Frist von höchstens 30 Tagen nach Eingang der Weisung des Verantwortlichen durch, sofern Flowtly nicht nach dem Unionsrecht oder dem polnischen Recht aufgrund einer Flowtly unmittelbar bindenden rechtlichen Verpflichtung (z. B. steuer- oder rechnungslegungsrechtliche Vorschriften über die eigenen Buchhaltungsunterlagen von Flowtly) zur weiteren Aufbewahrung der Daten verpflichtet ist – was sich nicht auf die auf der Plattform verarbeiteten eigenen Buchhaltungsunterlagen des Verantwortlichen erstreckt. Sicherungskopien, die gelöschte Daten enthalten, bleiben gemäß den TOM geschützt und werden im dort beschriebenen regulären Rotationszyklus der Datensicherung überschrieben, ohne dass gelöschte Daten im Produktivsystem wiederhergestellt werden.

Überprüfungen und Inspektionen. Flowtly stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Artikel 28 DSGVO zur Verfügung, ermöglicht dem Verantwortlichen oder einem vom Verantwortlichen beauftragten Prüfer die Durchführung von Überprüfungen, einschließlich Inspektionen, der Übereinstimmung der Verarbeitung mit dieser AVV und wirkt an deren Durchführung mit. Eine Überprüfung erfolgt nach schriftlicher Ankündigung mit einer Frist von mindestens 30 Tagen während der üblichen Geschäftszeiten von Flowtly, in einer Weise, die den Geschäftsbetrieb von Flowtly so wenig wie vernünftigerweise möglich beeinträchtigt und die Vertraulichkeit von Informationen über andere Kunden von Flowtly wahrt, und höchstens einmal pro Kalenderjahr – diese Beschränkungen gelten nicht, wenn die Überprüfung im Zusammenhang mit einem begründeten Verdacht auf eine Verletzung des Schutzes personenbezogener Daten oder einen sonstigen wesentlichen Verstoß gegen diese AVV oder auf Verlangen einer zuständigen Aufsichtsbehörde durchgeführt wird. Die Bereitstellung von Informationen nach dem ersten Satz ist nicht auf einmal pro Jahr beschränkt.

12. Internationale Datenübermittlungen

Der überwiegende Teil der Verarbeitung personenbezogener Daten findet innerhalb des Europäischen Wirtschaftsraums (EWR) statt – die Infrastruktur der Plattform und ihre OCR-Dokumentenverarbeitung werden in der EU-Region des in Abschnitt 9 genannten Anbieters betrieben. Drei der in Abschnitt 9 genannten Unterauftragsverarbeiter – Functional Software, Inc. (tätig unter der Bezeichnung Sentry), Anthropic, PBC, und Postmark (ActiveCampaign, Inc.) – haben ihren Sitz in den Vereinigten Staaten und damit außerhalb des EWR. Flowtly stellt sicher, dass Übermittlungen personenbezogener Daten an diese Unterauftragsverarbeiter – sowie jede sonstige Übermittlung personenbezogener Daten außerhalb des EWR, die im Zusammenhang mit den anderen Unterauftragsverarbeitern oder deren eigenen Unterauftragsverarbeitern erfolgen kann – auf der Grundlage eines geeigneten Mechanismus nach Kapitel V DSGVO erfolgen: insbesondere der mit dem Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission genehmigten Standardvertragsklauseln (in dem für das Verhältnis zwischen Flowtly und dem Unterauftragsverarbeiter geeigneten Modul) oder – soweit sich ein bestimmter Unterauftragsverarbeiter darauf stützt – des EU-US-Datenschutzrahmens, jeweils ergänzt um zusätzliche Garantien, sofern eine Bewertung der Auswirkungen der Übermittlung ergibt, dass diese erforderlich sind. Informationen über den für einen bestimmten Unterauftragsverarbeiter angewandten Mechanismus werden dem Verantwortlichen auf Anfrage an die in Abschnitt 6 genannte Adresse zur Verfügung gestellt.

13. Haftung und Schlussbestimmungen

Die in § 12 der Allgemeinen Geschäftsbedingungen („Haftung“) festgelegte Beschränkung der Haftung von Flowtly gilt, soweit rechtlich zulässig, entsprechend für die Verarbeitung personenbezogener Daten nach dieser AVV. Zwingendes Recht bleibt hiervon unberührt, darunter: Artikel 82 DSGVO hinsichtlich der Ansprüche betroffener Personen gegen Flowtly, die Befugnisse der Aufsichtsbehörden nach der DSGVO sowie die Vorschriften des polnischen Zivilgesetzbuchs über die Haftung für vorsätzlich verursachte Schäden.

Für in dieser AVV nicht geregelte Angelegenheiten gelten, soweit anwendbar, die Allgemeinen Geschäftsbedingungen, einschließlich ihrer Bestimmungen über das anwendbare Recht und die Streitbeilegung. Diese AVV unterliegt polnischem Recht.

Dieses Dokument ist die am 28. Oktober 2026 veröffentlichte Fassung. Die Historie etwaiger früherer Fassungen ist nachstehend abrufbar.