Auftragsverarbeitungsvertrag (B2B-AVV)
Version 2026-09-full
Zuletzt aktualisiert: 25. September 2026
Diese Vereinbarung über die Verarbeitung personenbezogener Daten («DPA») ergänzt die Nutzungsbedingungen zwischen dem Unternehmenskunden, der DayInFlow aktiviert («Kunde»), und AMZSTRATEGY LLC, Company ID / Registration Number 2026-002043679, 30 N Gould St, Ste R, Sheridan, WY 82801, USA («DayInFlow»). Sie gilt für die personenbezogenen Daten, die DayInFlow im Auftrag des Kunden über den Dienst verarbeitet. Die Definitionen von «titolare», «responsabile», «interessato», «violazione dei dati personali» und «trattamento» richten sich nach der GDPR, soweit anwendbar. Wenn der Kunde als Verantwortlicher für Dritte handelt, sichert er zu, dass er berechtigt ist, die hierin vorgesehenen Anweisungen zu erteilen, und die erforderlichen Zustimmungen eingeholt hat.
1. Oggetto, durata e istruzioni
DayInFlow verarbeitet Daten, um die vom Kunden erworbenen und konfigurierten Funktionen bereitzustellen, zu schützen, zu warten und zu unterstützen: Organisationen, Nutzer, Kalender, Verfügbarkeiten, Ereignisse, Buchungen, Zahlungen für Anrufe, falls aktiviert, Benachrichtigungen, Integrationen und Support. Zu den dokumentierten Anweisungen gehören der Vertrag, die im Produkt getroffenen Einstellungen und schriftliche Anfragen, die mit dem Dienst vereinbar sind. Die Verarbeitung dauert für die Laufzeit des Vertrags und die anschließende erforderliche Zeit für Export und Löschung, soweit kein gesetzliches Gegenerfordernis besteht. DayInFlow informiert den Kunden, wenn es der Auffassung ist, dass eine Anweisung gegen anwendbares Recht verstoßen würde, vorbehaltlich gesetzlicher Verbote.
Der Kunde bestimmt die Zwecke der Buchungen, die an die Eingeladenen gestellten Fragen, die Rechtsgrundlage, die Rechtmäßigkeit der Kommunikation, die Empfänger und etwaige zusätzliche Informationen. Er darf keine besonderen oder hochsensiblen Daten eingeben, ohne zuvor Notwendigkeit, Rechtmäßigkeit und Eignung des Dienstes bewertet zu haben. DayInFlow verwendet die Daten der Eingeladenen nicht für eigenen Datenverkauf oder für eigene Kampagnen.
2. Persone autorizzate e riservatezza
DayInFlow beschränkt den Zugriff auf Personal und externe Mitarbeiter, die diesen für Bereitstellung, Support, Sicherheit oder Erfüllungspflichten benötigen. Diese werden zur Vertraulichkeit und zur Einhaltung angemessener Anweisungen verpflichtet. Administrativer Zugriff ist eingeschränkt, wird protokolliert und risikobasiert überprüft. Der Kunde bleibt verantwortlich für die Konfiguration seiner Rollen, Hosts, Team-Manager und Empfänger.
3. Misure tecniche e organizzative
DayInFlow ergreift angemessene, risikogerechte Maßnahmen, einschließlich Trennung der Daten von Organisationen, Zugriffskontrolle, Schutz von Anmeldeinformationen und Geheimnissen, Verschlüsselung von Daten in Transit und vertraulichen Informationen, sofern angemessen, Backups, Logging, Monitoring, Beschränkungen gegen Missbrauch und periodische Überprüfung. Die Verfügbarkeit der Systeme hängt auch von externen Dienstleistern und von Verbindungen ab, die der Kunde konfiguriert hat. Die Maßnahmen können sich weiterentwickeln, sofern das Gesamtschutzniveau nicht materiell verringert wird.
Der Kunde muss dort, wo verfügbar, starke Authentifizierung nutzen, Rollen aktualisieren, Personen, die nicht mehr berechtigt sind, abmelden, die Berechtigungen für Integrationen prüfen und Geräte sowie Exportdateien unter seiner Kontrolle schützen.
4. Subprocessori
Der Kunde erteilt generell die Erlaubnis zur Nutzung der Kategorien von Subprozessoren, die für Hosting, Datenbanken, Authentifizierung, Versand von E-Mails und SMS, Zahlungen, AI-Verarbeitung, Monitoring und Support notwendig sind, gemäß der auf der Seite «Unterauftragsverarbeiter und Übermittlungen» aktualisierten Liste. DayInFlow verpflichtet Subprozessoren zu Schutzverpflichtungen, die im Wesentlichen denen entsprechen, die für die anvertraute Verarbeitung gelten, und bleibt im gesetzlich zulässigen Umfang für deren Leistungen verantwortlich. DayInFlow wird den Kunden über relevante Hinzufügungen oder Ersetzungen mit angemessener Vorankündigung informieren, außer bei Sicherheitsdringlichkeiten. Der Kunde kann begründet Einspruch aus Datenschutzgründen erheben; die Parteien werden eine praktikable Lösung suchen und, falls unmöglich, die Beendigung des betroffenen Dienstes prüfen.
Integrationen, die der Kunde wählt, um sie mit seinem Konto zu verbinden, können je nach Datenfluss als unabhängige Anbieter oder als Subprozessoren agieren. Der Kunde muss die Bedingungen des Anbieters prüfen, bevor er ihn autorisiert.
5. Assistenza al Cliente
Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt DayInFlow den Kunden bei der Beantwortung von Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Datenübertragbarkeits- und Widerspruchsanfragen betroffener Personen. Wenn eine Anfrage direkt an DayInFlow gerichtet wird und Daten betrifft, die im Auftrag des Kunden verarbeitet werden, leitet DayInFlow diese weiter oder bittet um Anweisungen, ohne in der Sache zu antworten, außer bei gesetzlicher Verpflichtung. DayInFlow leistet angemessene Unterstützung bei Datenschutz-Folgenabschätzungen, Konsultationen mit Aufsichtsbehörden, Sicherheitsmaßnahmen und Meldepflichten, soweit die verfügbaren Informationen dies zulassen; außergewöhnliche Tätigkeiten können eine Kostenvereinbarung erfordern.
6. Violazioni dei dati personali
Wenn DayInFlow eine Verletzung personenbezogener Daten feststellt, die für den Kunden verarbeitet werden, informiert es den Kunden unverzüglich nach Kenntniserlangung über den administrativen Kontakt oder einen geeigneten Kanal. Die Mitteilung beschreibt, soweit bekannt, die Art des Vorfalls, Kategorien betroffener Daten und Personen, wahrscheinliche Folgen, ergriffene oder geplante Maßnahmen und einen Ansprechpartner. Informationen können schrittweise bereitgestellt werden. Der Kunde entscheidet und führt Meldungen an Behörden und Betroffene durch, wenn er als Verantwortlicher handelt, mit angemessener Unterstützung durch DayInFlow.
7. Trasferimenti internazionali
Führt die Verarbeitung zu einem Transfer, der den Regeln des Europäischen Wirtschaftsraums oder des Vereinigten Königreichs unterliegt, in ein Drittland ohne Angemessenheitsbeschluss, ergreifen die Parteien den anwendbaren Rechtsmechanismus, einschließlich, falls erforderlich, der Standardvertragsklauseln der Europäischen Kommission im entsprechenden Modul und ergänzender Maßnahmen. Diese DPA ersetzt nicht automatisch die wirksame Ausführung oder Einbettung der Standardvertragsklauseln noch die erforderlichen Transferbewertungen. Der Kunde kann Informationen über die vorhandenen Garantien und Flüsse bei support@dayinflow.com anfordern.
8. Verifiche e dimostrazione
DayInFlow stellt vernünftigerweise erforderliche Informationen zur Verfügung, um die Einhaltung der dem Verantwortlichen obliegenden Pflichten durch den Auftragsverarbeiter nachzuweisen. Der Kunde kann mit Vorankündigung, zu vereinbarten Zeiten, unter Wahrung der Vertraulichkeit, zum Schutz anderer Kunden und ohne Beeinträchtigung der Sicherheit eine angemessene Prüfung verlangen. Eine Vor-Ort-Prüfung erfordert eine sachliche Begründung, wenn Dokumente und remote Kontrollen nicht ausreichend sind. Die Parteien einigen sich vor Durchführung außergewöhnlicher Maßnahmen auf Kosten und Modalitäten.
9. Restituzione, cancellazione e prevalenza
Nach Ende des Dienstes kann der Kunde die Daten während der geltenden Zugriffszeiträume exportieren. DayInFlow löscht oder macht die für den Kunden verarbeiteten Daten gemäß den Nutzungsbedingungen und der Datenschutzerklärung nicht identifizierbar, vorbehaltlich gesetzlicher Verpflichtungen, Streitigkeiten oder begrenzter rotationsbasierter Backups. Rechnungen und andere Aufzeichnungen, die DayInFlow als Verantwortlicher aufbewahren muss, bleiben separat. Sollte diese DPA mit den Nutzungsbedingungen über die im Auftrag des Kunden erfolgende Verarbeitung unvereinbar sein, hat diese DPA Vorrang; zwingende gesetzliche Rechte bleiben unberührt.
Allegato A — Descrizione del trattamento
Interessati: Mitglieder und Mitarbeitende des Kunden, Hosts, Eingeladene und deren angegebene Begleitungen, Supportkontakte. Categorie di dati: Identitäts- und Kontaktdaten, Rolle, Verfügbarkeit, Kalender-Metadaten, Datum/Uhrzeit/Zeitzone und Status des Termins, Antworten auf Fragen, Veranstaltungsnotizen, Kommunikation, ggf. eingeschränkte Zahlungsdaten für Anrufe, technische Logs. Finalità: Bereitstellung und Verwaltung der vom Kunden konfigurierten Funktionen. Natura: Erhebung, Erfassung, Einsicht, Organisation, Speicherung, Übermittlung an berechtigte Empfänger, Löschung. Durata: Vertrag plus Export- und Löschfenster sowie gesetzliche Aufbewahrungspflichten, wie in den verknüpften Dokumenten beschrieben. Categorie di destinatari: Vom Kunden autorisierte Personen, Eingeladene im Rahmen der Buchung und notwendige Dienstleister.
Allegato B — Misure di sicurezza
Authentifizierung und Autorisierung nach Rollen; logische Trennung der Workspaces; Eingabevalidierung und Begrenzung von Anfragen; Verschlüsselung des Datenverkehrs; Schutz von Geheimnissen; Backup und Wiederherstellung; Nachverfolgung sensibler Aktionen; Updates und Schwachstellenmanagement; Berechtigungsüberprüfungen; Vorfallreaktionsverfahren; Schutz der Support-Kanäle. Die Beschreibung nennt Kategorien vertraglicher Kontrollen, nicht Zertifizierungen oder Ergebnisse unabhängiger Prüfungen.