Auftragsverarbeitungsvereinbarung von Menelier (DPA)

Gültig ab: 1. September 2026
Version: 2026-09-01-professional-legal-review

Dieser Auftragsverarbeitungsvereinbarung („DPA“) ist Teil der Menelier-Nutzungsbedingungen oder einer anderen Vereinbarung (die „Vereinbarung“) zwischen dem in der Vereinbarung genannten Kunden („Kunde“) und Martin Mayer, Betreiber von Menelier („Menelier“).

1. Umfang und Rollen

Diese DPA gilt, wenn Menelier personenbezogene Daten im Namen des Kunden bei der Bereitstellung des Menelier-Dienstes verarbeitet.

Der Kunde ist der Verantwortliche und Menelier der Verarbeiter, bei dem der Kunde personenbezogene Daten über seine Mitarbeiter, Auftragnehmer, Lieferanten, Gäste oder andere Personen („personenbezogene Daten des Kunden“) hochlädt, erstellt, importiert, veröffentlicht oder anderweitig übermittelt.

Menelier bleibt ein unabhängiger Verantwortlicher für die Daten, die es für seine eigenen Zwecke verarbeitet, einschließlich Kontoverwaltung, Direktabrechnung, Steuerunterlagen, Sicherheit, Betrugsprävention, Servicekommunikation und eigene Rechtskonformität. Diese Aktivitäten fallen unter die Datenschutzerklärung von Menelier und liegen außerhalb dieser DPA.

2. Kundenanweisungen

Menelier verarbeitet personenbezogene Kundendaten nur:

• um den Dienst im Rahmen der Vereinbarung bereitzustellen, zu sichern, zu warten und zu unterstützen;
• gemäß der dokumentierten Nutzung und Konfiguration des Dienstes durch den Kunden;
• auf zusätzliche dokumentierte Anweisungen, die von den Parteien vereinbart wurden; oder
• wenn die Verarbeitung nach geltendem Recht erforderlich ist; in diesem Fall wird Menelier den Kunden vor der Verarbeitung informieren, es sei denn, das Gesetz verbietet eine Mitteilung.

Die Vereinbarung, diese DPA, die Nutzung des Dienstes durch den Kunden und Supportanfragen stellen dokumentierte Anweisungen dar.

Der Kunde ist dafür verantwortlich, sicherzustellen, dass seine Anweisungen und personenbezogenen Kundendaten dem geltenden Recht entsprechen, dass er eine rechtmäßige Grundlage für die Verarbeitung hat und dass er den betroffenen Personen die erforderlichen Informationen zur Verfügung stellt.

3. Einzelheiten der Verarbeitung

Der Gegenstand, die Art, der Zweck und die Dauer der Verarbeitung sowie die Datenkategorien und betroffenen Personen sind in Anlage 1 beschrieben.

4. Vertraulichkeit

Menelier stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Kundendaten befugt sind, an Vertraulichkeitsverpflichtungen gebunden sind und nur in dem für ihre Arbeit erforderlichen Umfang Zugriff erhalten.

5. Sicherheit

Menelier wird unter Berücksichtigung des Stands der Technik, der Implementierungskosten, des Verarbeitungskontexts und der Risiken geeignete technische und organisatorische Maßnahmen ergreifen, um die personenbezogenen Daten des Kunden vor versehentlicher oder unrechtmäßiger Zerstörung, Verlust, Änderung, unbefugter Offenlegung oder unbefugtem Zugriff zu schützen.

Die aktuellen Maßnahmen sind in Anhang 2 beschrieben. Menelier kann sie aktualisieren, sofern das Gesamtschutzniveau nicht wesentlich verringert wird.

6. Unterauftragsverarbeiter

Der Kunde erteilt Menelier eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern, die für die Bereitstellung des Dienstes erforderlich sind. Die zum Datum des Inkrafttretens zugelassenen Unterauftragsverarbeiter sind in Anhang 3 aufgeführt. Menelier wird den Kunden mindestens 30 Tage vor der Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters schriftlich benachrichtigen und dem Kunden die Möglichkeit geben, aus angemessenen Gründen des Datenschutzes Einspruch zu erheben.

Menelier wird:

• jeden Unterauftragsverarbeiter durch schriftliche Vereinbarung dazu verpflichten, die gleichen Datenschutzverpflichtungen zu übernehmen, die Menelier durch dieses DPA auferlegt werden, soweit dies auf die Verarbeitung des Unterauftragsverarbeiters anwendbar ist, einschließlich der Anforderungen von Artikel 28 Absatz 4 DSGVO;
• bleiben für die Erfüllung seiner Datenschutzverpflichtungen durch den Unterauftragsverarbeiter verantwortlich, soweit dies nach geltendem Recht erforderlich ist; und
• benachrichtigen Sie einen neuen Unterauftragsverarbeiter angemessen im Voraus über die veröffentlichte Liste, per E-Mail oder über den Dienst.

Der Kunde kann einem neuen Unterauftragsverarbeiter aus angemessenen Gründen des Datenschutzes innerhalb von 24 Stunden widersprechen 15 Tage nach Benachrichtigung. Die Parteien werden nach Treu und Glauben an einer angemessenen Lösung arbeiten. Wenn keine Lösung verfügbar ist, kann jede Partei den betroffenen Dienst kündigen; Jede Rückerstattung unterliegt der Vereinbarung und dem geltenden Recht.

7. Unterstützung des Kunden

In Anbetracht der Art der Verarbeitung und der Menelier zur Verfügung stehenden Informationen wird Menelier den Kunden in angemessenem Umfang bei Folgendem unterstützen:

• Beantwortung von Anfragen betroffener Personen;
• Sicherheits- und Datenschutzverpflichtungen;
• Datenschutz-Folgeabschätzungen; und
• Gegebenenfalls vorherige Rücksprache mit einer Aufsichtsbehörde.

Wenn Menelier eine Anfrage direkt von einer betroffenen Person bezüglich personenbezogener Kundendaten erhält, leitet Menelier den Anfragenden an den Kunden weiter, soweit dies vernünftigerweise möglich ist, und wird die Anfrage nicht unabhängig bearbeiten, es sei denn, der Kunde weist es an oder das Gesetz erfordert dies.

Der Kunde erstattet angemessene Kosten für ungewöhnlich umfangreiche Unterstützung, die nicht durch Meneliers Verstoß verursacht wurde, sofern dies im Voraus vereinbart wurde.

8. Verstöße gegen den Schutz personenbezogener Daten

Menelier wird den Kunden unverzüglich benachrichtigen, nachdem Menelier Kenntnis von einem Verstoß gegen den Schutz personenbezogener Daten des Kunden erlangt hat. Die Mitteilung enthält verfügbare Informationen, die für die rechtlichen Verpflichtungen des Kunden angemessenerweise erforderlich sind und im Verlauf der Untersuchung phasenweise bereitgestellt werden können.

Die Benachrichtigung von Menelier stellt kein Eingeständnis eines Verschuldens oder einer Haftung dar.

Sicherheitskontakt: info@menelier.com

9. Löschung und Rückgabe

Während der Servicelaufzeit kann der Kunde verfügbare Export- und Löschfunktionen nutzen.

Nach Beendigung oder Ablauf des Vertrags löscht Menelier die personenbezogenen Daten des Kunden oder gibt sie nach Wahl des Kunden zurück, sofern nicht das Unionsrecht oder das Recht eines Mitgliedstaats eine weitere Speicherung verlangt. Daten in geschützten Sicherungskopien werden im Rahmen des regulären Sicherungszyklus gelöscht und unterliegen bis dahin weiterhin dieser DPA.

Operativer Löschzeitraum: Die Selbstlöschung eines Benutzers umfasst eine 14-tägige Widerrufsfrist für den Löschauftrag. Verifizierte Anweisungen zur Löschung eines gesamten Kontos werden unverzüglich und in der Regel innerhalb von 30 Tagen bearbeitet; Kontoberechtigung, gesetzliche Aufbewahrungspflichten und technische Abhängigkeiten bleiben vorbehalten.
Backup-Aufbewahrungsdauer: 35 days

Menelier kann Daten des Verantwortlichen, wie Rechnungen, Kontosicherheitsaufzeichnungen und Nachweise der rechtlichen Akzeptanz, gemäß der Datenschutzerklärung und dem geltenden Recht aufbewahren.

10. Audits und Informationen

Menelier stellt die Informationen zur Verfügung, die angemessenerweise erforderlich sind, um die Einhaltung von Artikel 28 DSGVO nachzuweisen. Der Kunde kann relevante Sicherheitsdokumentation oder unabhängige Berichte anfordern, sofern verfügbar.

Wenn diese Informationen nicht ausreichen, darf der Kunde höchstens einmal pro Jahr ein Audit durchführen, außer nach einem wesentlichen Vorfall oder wenn eine Aufsichtsbehörde etwas anderes verlangt. Audits müssen:

• mit angemessener Vorankündigung vereinbart werden;
• finden während der normalen Geschäftszeiten statt;
• Störungen und Zugriff auf die Daten anderer Kunden vermeiden;
• vom Kunden selbst oder von einem vom Kunden beauftragten qualifizierten unabhängigen Prüfer durchgeführt werden, jeweils unter angemessenen Vertraulichkeitsverpflichtungen; und
• respektieren die angemessenen Sicherheitsanforderungen von Menelier.

Der Kunde trägt seine Prüfungskosten, es sei denn, die Prüfung stellt einen wesentlichen Verstoß von Menelier fest.

11. Internationale Datenübermittlungen

Menelier wird personenbezogene Kundendaten nicht außerhalb des Europäischen Wirtschaftsraums oder einer anderen Ursprungsregion unter Verstoß gegen die geltenden Übertragungsregeln übertragen.

Bei Bedarf stützen sich die Parteien auf eine Angemessenheitsentscheidung, die Standardvertragsklauseln der Europäischen Kommission, die EU-U.S. Datenschutzrahmen für einen berechtigten Empfänger oder eine andere gültige Schutzmaßnahme. Anwendbare Transfermodule und ergänzende Maßnahmen werden durch Verweis einbezogen oder auf Anfrage zur Verfügung gestellt.

Primäre Hosting-Region: Tschechische Republik
Details zum Übertragungsmechanismus: Das primäre Hosting und die verschlüsselten Sicherungskopien befinden sich in der Europäischen Union. Eine optionale KI-Verarbeitung kann Übermittlungen an OpenAI und dessen Unterauftragsverarbeiter umfassen. Soweit für eine Übermittlung außerhalb des EWR eine geeignete Garantie erforderlich ist, stützt sich Menelier auf die in den anwendbaren Datenverarbeitungsbedingungen von OpenAI vorgesehenen Mechanismen, insbesondere Standardvertragsklauseln oder einen einschlägigen Angemessenheitsmechanismus.

12. Rechtswidrige Weisungen

Menelier informiert den Kunden unverzüglich, wenn eine Weisung nach Auffassung von Menelier gegen geltendes Datenschutzrecht verstößt. Menelier kann die betroffene Verarbeitung aussetzen, bis die Parteien das Problem gelöst haben.

13. Haftung und Rangfolge

Die Haftung im Rahmen dieser DPA unterliegt den Haftungsbestimmungen der Vereinbarung, sofern geltendes Recht nichts anderes vorschreibt.

Wenn diese DPA im Widerspruch zur Vereinbarung zur Verarbeitung personenbezogener Kundendaten steht, hat diese DPA Vorrang. Sollten anwendbare Standardvertragsklauseln im Widerspruch zu dieser DPA stehen, haben diese Klauseln für die entsprechende Übertragung Vorrang.

14. Laufzeit

Diese DPA bleibt wirksam, solange Menelier personenbezogene Kundendaten im Namen des Kunden verarbeitet.

Anhang 1 – Beschreibung der Verarbeitung

Anhang 2 – Technische und organisatorische Maßnahmen

• Transportverschlüsselung mittels HTTPS/TLS;
• Passwort-Hashing unter Verwendung des aktuellen PHP-Passwort-Hashings;
• Rollenbasierter Zugriff und Trennung des Kundenarbeitsbereichs;
• eingeschränkter Superadmin- und Produktionszugriff;
• CSRF-Schutz, sichere Sitzungsverwaltung und E-Mail-Verifizierung;
• signierte Stripe-Webhooks und Zahlungsereignisvalidierung;
• Begrenzung der Anfragerate, Missbrauchsprävention sowie Audit- und Sicherheitsprotokollierung;
• privater Speicher für nicht öffentliche Uploads und kontrollierte öffentliche Veröffentlichung;
• Datenbank-, Datei- und Backup-Zugriffsbeschränkungen;
• Prozess zur Wartung von Schwachstellen und Abhängigkeiten: Öffentlich bekannt gemachte Schwachstellen in von Menelier eingesetzten Komponenten werden nach Schweregrad und Relevanz bewertet. Sicherheits-Patches und Abhängigkeitsupdates erfolgen im Rahmen der laufenden Wartung; wesentliche Sicherheitsprobleme werden priorisiert behoben.;
• Backup-Häufigkeit und Wiederherstellungstests: Menelier erstellt täglich ein verschlüsseltes Anwendungssicherungsarchiv für Datenbank und private Uploads, hält eine entfernte verschlüsselte Kopie auf WEDOS Disk vor, überwacht die Aktualität der Sicherungen und bewahrt Anwendungssicherungen 35 Tage auf. Das Wiederherstellungsverfahren wurde durch erfolgreiches Entschlüsseln und Prüfen eines produktiven Sicherungsarchivs validiert; ein regelmäßig wiederkehrender vollständiger Disaster-Recovery-Test wird derzeit nicht zugesichert.;
• Vorfallreaktion und Eskalation: Sicherheitsvorfälle werden vom Betreiber je nach Art des Vorfalls behandelt, einschließlich Eindämmung, Folgenabschätzung, Behebung und Dokumentation. Betroffene Kunden und zuständige Behörden werden informiert, soweit dies gesetzlich oder vertraglich erforderlich ist.;
• Zugriffsüberprüfung und Offboarding von Mitarbeitern/Auftragnehmern: Administrativer Zugriff ist auf den Betreiber und ausdrücklich autorisierte Auftragnehmer nach dem Need-to-know-Prinzip beschränkt. Zugriffsrechte werden bei Änderungen von Rollen oder Vertragsverhältnissen überprüft und unverzüglich entzogen, sobald sie nicht mehr erforderlich sind.;
• Datenlöschungs- und -aufbewahrungskontrollen: Personenbezogene Kundendaten werden nach einem wirksamen Löschverlangen oder nach Beendigung des Dienstes gelöscht oder anonymisiert, sofern eine weitere Speicherung nicht gesetzlich erforderlich oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen notwendig ist. Die Selbstlöschung eines Benutzers umfasst eine 14-tägige Widerrufsfrist. Gelöschte Daten können bis zu 35 Tage in verschlüsselten Sicherungen verbleiben.;
• Geschäftskontinuitäts- und Wiederherstellungsziele: Die Wiederherstellung des Dienstes stützt sich auf WEDOS-Hosting, tägliche verschlüsselte Anwendungssicherungen und eine separate verschlüsselte Kopie auf WEDOS Disk. Menelier garantiert derzeit weder ein bestimmtes Recovery Time Objective (RTO) noch ein bestimmtes Recovery Point Objective (RPO); die Wiederherstellung erfolgt mit angemessenem Aufwand.

Anhang 3 – Liste der anfänglichen Unterauftragsverarbeiter

Anhang 4 – Parteien

Kunde / Verantwortlicher

Der in der Vereinbarung oder im Menelier-Konto identifizierte Kunde.

Menelier / Auftragsverarbeiter

• Rechtlicher Name: Martin Mayer
• Adresse: Holubice 366, 68351 Holubice
• Unternehmens-ID (IČO): 73507351
• USt.-IdNr. / Steuer-ID (DIČ): CZ8003301680
• Kontakt: info@menelier.com
• Telefon: +420 724 548 554