Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Lixor-Nutzungsbedingungen (die „Bedingungen“) zwischen Intelliwav LLC, handelnd unter dem Namen Lixor, einer Limited Liability Company nach dem Recht des Bundesstaats Washington, 37 103rd Ave NE, Unit 502, Bellevue, WA 98004, USA („Lixor“, „wir“) und dem Unternehmen, das das Lixor-Konto innehat („Kunde“, „Sie“). Er gilt, sobald wir personenbezogene Daten für Sie verarbeiten und ein in Ziffer 1 aufgeführtes Datenschutzrecht auf diese Daten anwendbar ist. Widersprechen sich dieser AVV und die Bedingungen in Bezug auf personenbezogene Daten, geht dieser AVV vor.

Gültig ab dem oben angegebenen Datum. Benötigen Sie eine unterzeichnete Kopie für Ihre Unterlagen? Schreiben Sie an support@lixor.ai. Eine Unterschrift ist nicht erforderlich, damit dieser AVV bindet.

„Datenschutzrecht“ bezeichnet, soweit jeweils anwendbar: die Datenschutz-Grundverordnung der EU 2016/679 („DSGVO“); die UK GDPR und den Data Protection Act 2018; das Schweizer Bundesgesetz über den Datenschutz; Brasiliens Lei Geral de Proteção de Dados (Gesetz 13.709/2018); Japans Gesetz zum Schutz personenbezogener Informationen; Mexikos Ley Federal de Protección de Datos Personales en Posesión de los Particulares; und die Datenschutzgesetze der US-Bundesstaaten.

„Personenbezogene Kundendaten“ bezeichnet personenbezogene Daten, die Sie oder Ihre Mitarbeitenden in Lixor eingeben oder die Lixor für Sie aus einem angebundenen System, etwa einem Kassen- oder Händler-Datenstrom, erhält und die wir in Ihrem Auftrag verarbeiten. Sie umfassen nicht die in Ziffer 3 beschriebenen Daten.

„Verantwortlicher“, „Auftragsverarbeiter“, „personenbezogene Daten“, „Verarbeitung“ und „betroffene Person“ haben die Bedeutung nach der DSGVO. Verwendet ein anderes Datenschutzrecht für dieselbe Rolle ein anderes Wort (zum Beispiel „operador“ in Brasilien, „encargado“ in Mexiko oder ein beauftragtes Unternehmen in Japan), gilt die entsprechende Bedeutung.

„Unterauftragsverarbeiter“ bezeichnet ein anderes Unternehmen, das wir zur Verarbeitung personenbezogener Kundendaten einsetzen.

„Standardvertragsklauseln“ oder „SCC“ bezeichnet die Klauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Europäischen Kommission vom 4. Juni 2021.

Sie sind der Verantwortliche für die personenbezogenen Kundendaten. Wir sind Ihr Auftragsverarbeiter. Sie entscheiden, welche Mitarbeitenden Sie hinzufügen, was diese erfassen und wie lange Sie Lixor weiter nutzen. Wir betreiben den Dienst.

Sie sind dafür verantwortlich, einen rechtmäßigen Grund dafür zu haben, die Daten Ihrer Mitarbeitenden in Lixor einzugeben, und Ihre Mitarbeitenden darüber zu informieren, dass Sie es nutzen. Unsere Datenschutzerklärung ist so geschrieben, dass Sie darauf verweisen können.

Über einen begrenzten Satz von Daten entscheiden wir selbst, und für diese Daten sind wir Verantwortlicher, nicht Ihr Auftragsverarbeiter: Konto- und Anmeldedaten der Personen, die Lixor-Konten innehaben; Abrechnungs- und Steuerunterlagen; unsere Support-Korrespondenz mit Ihnen; Sicherheits- und Prüfprotokolle; und Analysen der Produktnutzung. Unsere Datenschutzerklärung deckt diese Daten ab. Wir verwenden sie nicht, um Ihren Mitarbeitenden die Produkte anderer Unternehmen zu bewerben, und wir verkaufen sie nicht.

Wir verarbeiten personenbezogene Kundendaten nur auf Ihre dokumentierte Weisung. Die Bedingungen, dieser AVV, Ihre Kontoeinstellungen und das, was Sie und Ihre Mitarbeitenden im Produkt tun, sind Ihre vollständigen Weisungen. Benötigen Sie etwas Weiteres, schreiben Sie an support@lixor.ai, und wir werden es befolgen, soweit es technisch vertretbar und rechtmäßig ist, oder Ihnen mitteilen, dass wir es nicht können.

Wir teilen Ihnen mit, wenn wir der Ansicht sind, dass eine Weisung gegen das Datenschutzrecht verstößt. Verlangt ein für uns geltendes Gesetz, personenbezogene Kundendaten anders zu verarbeiten, teilen wir Ihnen dies vorher mit, es sei denn, das Gesetz verbietet es.

Anhang 1 legt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Arten betroffener Personen fest.

Jeder, den wir zur Verarbeitung personenbezogener Kundendaten ermächtigen, ist vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet.

Wir unterhalten die technischen und organisatorischen Maßnahmen in Anhang 2. Wir dürfen sie ändern, solange das Gesamtniveau des Schutzes nicht sinkt. Sie sind dafür verantwortlich, die von uns bereitgestellten Sicherheitsfunktionen zu nutzen, etwa starke Passwörter, das Entfernen ausgeschiedener Mitarbeitender und die Wahl der richtigen Rolle für jeden Nutzer.

8.1 Sie erteilen uns eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die aktuelle Liste steht unter lixor.ai/legal/subprocessors und bildet Anhang 3.

8.2 Wir kündigen das Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus an, indem wir diese Seite aktualisieren und eine E-Mail an Kontoinhaber senden, die Aktualisierungen dieser Seite abonniert haben. Müssen wir einen Unterauftragsverarbeiter aus Sicherheits- oder Kontinuitätsgründen dringend ersetzen, kündigen wir so früh an, wie wir vernünftigerweise können.

8.3 Sie können innerhalb dieser 30 Tage aus berechtigten datenschutzrechtlichen Gründen widersprechen, indem Sie an support@lixor.ai schreiben. Wir versuchen, eine Umgehungslösung anzubieten. Gelingt das nicht, können Sie den betroffenen Dienst kündigen, und wir erstatten im Voraus gezahlte Entgelte für den Zeitraum nach der Kündigung. Das ist Ihr einziger Rechtsbehelf bei einem Widerspruch.

8.4 Mit Ausnahme von Telegram, mit dem wir keinen Auftragsverarbeitungsvertrag haben (siehe die Seite der Unterauftragsverarbeiter), gilt der eigene Standard-Auftragsverarbeitungsvertrag jedes Unterauftragsverarbeiters automatisch, sobald wir seinen Dienst nutzen, und entspricht inhaltlich diesem AVV; keiner verlangte von uns die Unterzeichnung einer gesonderten Kopie. Wir bleiben Ihnen gegenüber dafür verantwortlich, was unsere Unterauftragsverarbeiter mit personenbezogenen Kundendaten tun.

Bittet einer Ihrer Mitarbeitenden oder jemand anderes uns, personenbezogene Kundendaten einzusehen, zu berichtigen, zu löschen, einzuschränken, zu übertragen oder ihrer Verwendung zu widersprechen, geben wir die Anfrage unverzüglich an Sie weiter und beantworten sie nicht selbst, außer mit dem Hinweis, dass wir sie weitergegeben haben. Lixor lässt Sie Daten im Produkt berichtigen, ein Konto in der mobilen App löschen und Zählergebnisse als Excel-Tabellen herunterladen. Für alles andere, etwa einen vollständigen Export von Produkten, Lieferanten und Rechnungen, leisten wir auf Anfrage angemessene Hilfe.

Unter Berücksichtigung dessen, was wir tun, und der uns vorliegenden Informationen unterstützen wir Sie angemessen bei Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden. Geht die erforderliche Unterstützung weit über das hinaus, was ein gewöhnlicher Kunde braucht, dürfen wir unsere angemessenen Kosten berechnen, nachdem wir sie zuvor mit Ihnen vereinbart haben.

Erfahren wir von einer Sicherheitsverletzung, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Kundendaten führt, informieren wir den Kontoinhaber unverzüglich per E-Mail, in jedem Fall innerhalb von 72 Stunden nach Bestätigung. Wir teilen mit, was wir wissen, sobald wir es erfahren: was geschehen ist, welche Daten und ungefähr wie viele Personen betroffen sind, die wahrscheinlichen Folgen und was wir dagegen unternehmen. Die Mitteilung einer Verletzung an Sie ist kein Schuldeingeständnis.

12.1 Lixor speichert und verarbeitet personenbezogene Kundendaten in den Vereinigten Staaten. Mit der Nutzung von Lixor weisen Sie uns dazu an.

12.2 EU und EWR. Gilt die DSGVO für Sie und ist die Übermittlung personenbezogener Kundendaten an uns eine beschränkte Übermittlung, werden die SCC in diesen AVV einbezogen und gelten wie folgt: Modul Zwei (Verantwortlicher an Auftragsverarbeiter); Sie sind der Datenexporteur und wir der Datenimporteur; Klausel 7 (Kopplungsklausel) findet keine Anwendung; Klausel 9 Buchstabe a Option 2 (allgemeine Genehmigung) gilt mit einer Frist von 30 Tagen; der optionale Wortlaut in Klausel 11 Buchstabe a findet keine Anwendung; nach Klausel 13 ist die zuständige Aufsichtsbehörde die für Sie zuständige; nach Klausel 17 gilt Option 1 und die SCC unterliegen irischem Recht; nach Klausel 18 Buchstabe b gehen Streitigkeiten aus den SCC an die Gerichte Irlands; Anhang I der SCC wird durch Anhang 1 dieses AVV und die obigen Angaben der Parteien vervollständigt; Anhang II durch Anhang 2; Anhang III durch Anhang 3.

12.3 Vereinigtes Königreich. Gilt die UK GDPR, gelten die SCC in der Fassung des vom britischen Information Commissioner herausgegebenen International Data Transfer Addendum (Version B1.0, in Kraft seit 21. März 2022), das in diesen AVV einbezogen wird. Die Tabellen 1 bis 3 des Addendum werden durch die Angaben in Ziffer 12.2 und die Anhänge vervollständigt. Für Tabelle 4 kann jede Partei das Addendum beenden, wie es dort vorgesehen ist.

12.4 Schweiz. Gilt das Schweizer Bundesgesetz über den Datenschutz, gelten die SCC mit diesen Änderungen: Verweise auf die DSGVO schließen das Schweizer Gesetz ein; zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte; „Mitgliedstaat“ wird so gelesen, dass Personen in der Schweiz ihre Rechte in der Schweiz einklagen können; und die SCC unterliegen Schweizer Recht, soweit die Übermittlung nur dem Schweizer Gesetz unterliegt.

12.5 Brasilien. Gilt die Lei Geral de Proteção de Dados und ist Ihre Übermittlung personenbezogener Kundendaten an uns eine internationale Übermittlung, die eine Garantie erfordert, gelten zwischen uns die von der Autoridade Nacional de Proteção de Dados in der Resolution CD/ANPD Nr. 19/2024 genehmigten Standardvertragsklauseln, wobei Sie Exporteur und wir Importeur sind, vervollständigt durch die Anhänge dieses AVV. Wir unterzeichnen sie auf Ihre Bitte als gesondertes Dokument.

12.6 Weiterübermittlungen. Wir übermitteln personenbezogene Kundendaten an Unterauftragsverarbeiter nur auf Grundlage eines rechtmäßigen Übermittlungsinstruments: ihrer Zertifizierung nach dem EU-US Data Privacy Framework (und dessen britischer Erweiterung und Schweizer Entsprechung) oder der SCC mit dem britischen Addendum, wo erforderlich.

12.7 Wird ein Übermittlungsinstrument, auf das wir uns stützen, für ungültig erklärt oder zurückgezogen, arbeiten wir nach Treu und Glauben mit Ihnen zusammen, um ein anderes einzurichten. Widersprechen sich die SCC und dieser AVV, gehen die SCC vor.

Verlangt eine Regierungsstelle von uns personenbezogene Kundendaten, teilen wir Ihnen dies mit, es sei denn, das Gesetz verbietet es, fechten ein Verlangen an, das wir für rechtswidrig halten, und geben nur heraus, was unbedingt erforderlich ist. Stand 24. September 2026 haben wir noch nie ein solches Verlangen erhalten.

Wir stellen Ihnen die Informationen zur Verfügung, die vernünftigerweise nötig sind, um nachzuweisen, dass wir diesen AVV einhalten, einschließlich schriftlicher Antworten auf einen angemessenen Sicherheitsfragebogen einmal im Jahr. Genügt das nicht, um eine rechtliche Pflicht von Ihnen zu erfüllen, oder verlangt es eine Aufsichtsbehörde, dürfen Sie uns einmal im Jahr prüfen, mit 30 Tagen schriftlicher Ankündigung, während der Geschäftszeiten, unter einer Vertraulichkeitsvereinbarung, auf Ihre Kosten und ohne Zugang zu den Daten anderer Kunden. Sie dürfen einen unabhängigen Prüfer einsetzen, der nicht unser Wettbewerber ist.

Einige Funktionen senden personenbezogene Kundendaten an KI-Anbieter, die in Anhang 3 genannt sind, zum Beispiel den Text einer Frage, die Sie dem Assistenten in der App stellen, eine Aufnahme Ihrer Stimme zur Transkription oder eine Fotografie einer Lieferrechnung, die zum Lesen an die Gemini-API von Google gesendet wird. Die Bedingungen von OpenAI erlauben diesem nicht, Daten, die über seine Programmierschnittstelle gesendet werden, zum Training seiner Modelle zu verwenden. Wir nutzen die Gemini-API von Google im kostenpflichtigen Dienst, nicht im kostenlosen Tarif; nach den Bedingungen von Google für den kostenpflichtigen Dienst verwendet Google diese Daten nicht zur Verbesserung seiner Produkte. Wir verwenden personenbezogene Kundendaten nicht, um KI-Modelle zu trainieren.

Solange Ihr Konto besteht, können Sie Zählergebnisse als Excel-Tabellen herunterladen, und wir helfen bei jedem anderen Export, den Sie verlangen. Wir bewahren personenbezogene Kundendaten auf, bis Ihr Konto gelöscht wird. Nach Schließung Ihres Kontos oder auf Ihre frühere Bitte löschen wir sie innerhalb von 30 Tagen aus unserer Datenbank; unsere Datenbanksicherungen werden fortlaufend 7 Tage lang aufbewahrt, sodass gelöschte Daten innerhalb dieses Zeitraums aus ihnen herausfallen. Die Löschung entfernt Datenbankeinträge; sie entfernt derzeit nicht Fotos oder Sprachaufnahmen aus unserem Dateispeicher; diese können nach der Löschung bestehen bleiben. Wir dürfen Daten nur länger aufbewahren, wenn ein Gesetz es verlangt, und dann nur zu diesem Zweck.

Die Haftungsbeschränkungen in den Bedingungen gelten für diesen AVV. Nichts in diesem AVV beschränkt die Rechte von Einzelpersonen nach dem Datenschutzrecht oder den SCC oder die Haftung einer Partei ihnen gegenüber.

Dieser AVV gilt so lange, wie wir personenbezogene Kundendaten halten. Er unterliegt dem Recht, das für die Bedingungen gilt, außer wo Ziffer 12 etwas anderes bestimmt. Wir dürfen ihn aktualisieren, um Änderungen des Rechts, unserer Unterauftragsverarbeiter oder des Dienstes abzubilden. Für jede Änderung, die Ihren Schutz mindert, kündigen wir 30 Tage im Voraus an.

• Daten sind bei der Übertragung mit TLS verschlüsselt und werden im Ruhezustand von unseren Datenbank- und Hosting-Anbietern verschlüsselt (AES-256).
• Die Daten jedes Kunden sind von denen aller anderen Kunden durch Prüfungen auf unseren Servern getrennt, die jede Anfrage an die Organisation des angemeldeten Nutzers binden. Die zeilenbasierte Sicherheit der Datenbank (Row-Level Security) ist für jede Tabelle eingeschaltet, die Kundendaten oder personenbezogene Daten enthält; eine interne Tabelle ohne personenbezogene Daten (ein Protokoll vergangener Kostenkorrekturen) hat sie nicht.
• Ausnahme: Fotos, die Sie hochladen (Flaschen, Regale, Rechnungen), werden unter langen Webadressen gespeichert, die jeder, der die Adresse kennt, ohne Anmeldung öffnen kann. Sie sind nicht zugriffsgeschützt.
• Passwörter werden von unserem Authentifizierungsanbieter nur als gesalzene Hashes gespeichert. Wir sehen sie nie.
• Der Zugang zu den Produktionssystemen (Supabase, Vercel, Stripe, GitHub, PostHog, Sentry, OpenAI, ElevenLabs und die Domain-Registrierungsstelle) ist auf den Gründer beschränkt; keine anderen Mitarbeitenden und keine Auftragnehmer haben Produktionszugang.
• Rollenbasierte Berechtigungen im Produkt, sodass Sie entscheiden, welche Mitarbeitenden was sehen oder ändern können.
• Zahlungskartendaten werden vollständig von Stripe verarbeitet und erreichen unsere Server nie.
• Datenbanksicherungen laufen täglich und werden fortlaufend 7 Tage lang aufbewahrt. Die Wiederherstellung zu einem beliebigen Zeitpunkt (Point-in-Time Recovery) ist derzeit nicht eingeschaltet.
• Änderungen am Quellcode werden über die Versionsverwaltung geprüft und ausgespielt, wobei Geheimnisse aus dem Code herausgehalten werden.
• Überwachung von Fehlern und Abstürzen, wobei personenbezogene Daten soweit praktikabel aus Fehlerberichten herausgehalten werden.
• Ein schriftliches Verfahren zur Löschung der Daten einer Organisation auf Anfrage, im Einsatz erprobt.
• Ein schriftliches Verfahren zur Reaktion auf Vorfälle: eindämmen, bewerten, betroffene Kunden nach Ziffer 11 benachrichtigen, beheben und dokumentieren.
• Unterauftragsverarbeiter werden nach ihrem veröffentlichten Sicherheitsstand ausgewählt. Supabase, Vercel und OpenAI veröffentlichen derzeit SOC-2-Type-II-Berichte; die aktuelle Zertifizierung entnehmen Sie der eigenen Vertrauensseite des jeweiligen Anbieters. Jeder unterliegt seinem eigenen Standard-Datenschutzvertrag, der automatisch gilt, sobald wir seinen Dienst nutzen.

Die Liste unter lixor.ai/legal/subprocessors am Tag des Inkrafttretens.