Stand 10.11.2026.

Deutsche Übersetzung zur Information; maßgeblich ist die englische Fassung gleichen Datums.

1. Gegenstand, Dauer und Einzelheiten der Verarbeitung

1.1 Diese AVV regelt die Verarbeitung personenbezogener Daten durch die LUMESO FlexCo („LUMESO“, Auftragsverarbeiter) im Auftrag des Kunden (Verantwortlicher) im Zusammenhang mit dem Produkt gemäß Nutzungsvertrag und AGB. Großgeschriebene Begriffe haben die in den AGB festgelegte Bedeutung. Der Kunde ist alleiniger Vertragspartner und Ansprechpartner von LUMESO, auch wenn er Personen verbundener Unternehmen oder Dritter Zugang gewährt. Soweit diese eigene Verantwortliche sind, schließt der Kunde diese AVV und erteilt alle Weisungen auch in deren Namen und bestätigt, dazu bevollmächtigt zu sein.

1.2 Dauer: die Laufzeit des Nutzungsvertrags und darüber hinaus bis alle nach dieser AVV verarbeiteten personenbezogenen Daten gemäß Punkt 9 zurückgegeben oder gelöscht wurden, einschließlich der 30-tägigen Abruffrist nach Punkt 13.4 AGB und der Löschung von Sicherungskopien nach Punkt 9.2.

Angabe

Beschreibung

Art und Zweck

Hosting, Extraktion, Strukturierung und Übergabe von Auftragsdaten an das ERP-System des Kunden; Support und Wartung; Sicherheits- und Missbrauchsüberwachung; kundenspezifisches Lernen innerhalb des Mandanten des Kunden nach Punkt 5.2 AGB

Datenkategorien

Nutzerdaten (Namen, geschäftliche E-Mail-Adressen, Anmeldedaten), Kontaktdaten der Geschäftspartner des Kunden in Bestellungen, Angeboten und Korrespondenz, Stammdaten, Auftragsdaten, Angebotsdaten, Produktionsdaten sowie die Inhalte der an das Produkt übermittelten E-Mails und Anhänge, die beiläufig weitere personenbezogene Daten enthalten können

Kategorien betroffener Personen

Mitarbeiter des Kunden und seiner verbundenen Unternehmen; Mitarbeiter und Ansprechpartner der Kunden und Lieferanten des Kunden

Besondere Kategorien

Nicht vorgesehen; der Kunde übermittelt keine Daten besonderer Kategorien

2. Weisungen

2.1 LUMESO verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch hinsichtlich der Übermittlung in Drittländer, sofern nicht EU-Recht oder das Recht eines Mitgliedstaats dies verlangt; in diesem Fall informiert LUMESO den Kunden vor der Verarbeitung, soweit rechtlich zulässig.

2.2 Der Nutzungsvertrag, die AGB, diese AVV und die Nutzung der Konfigurationsmöglichkeiten des Produkts durch den Kunden bilden die Weisungen des Kunden. Weitere Weisungen bedürfen der Schriftform (E-Mail genügt) und können zusätzliche Entgelte auslösen, soweit sie den vereinbarten Umfang überschreiten.

2.3 Der Kunde gestattet befugtem und zur Vertraulichkeit verpflichtetem LUMESO-Personal die Einsicht in einzelne Eingaben und Ausgaben, soweit dies vernünftigerweise erforderlich ist, um das Produkt für den Kunden bereitzustellen und zu unterstützen, Fehler zu beheben, die Funktionsfähigkeit aufrechtzuerhalten oder die Verarbeitung innerhalb des Mandanten des Kunden zu verbessern. Dies ist eine dokumentierte Weisung im Sinne des Punktes 2.1.

2.4 LUMESO informiert den Kunden unverzüglich, wenn es der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt. LUMESO darf die Ausführung dieser Weisung aussetzen, bis der Kunde sie ändert oder ihre Rechtmäßigkeit darlegt.

2.5 LUMESO verwendet personenbezogene Daten, die nach dieser AVV verarbeitet werden, nicht zum Trainieren oder Feinabstimmen von Modellen für eine Nutzung außerhalb des Mandanten des Kunden. LUMESO macht Kundendaten keinem anderen Mandanten zugänglich.

3. Personal

LUMESO stellt sicher, dass die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

4. Sicherheit der Verarbeitung

4.1 LUMESO setzt die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen um und berücksichtigt dabei den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und die Risiken für die betroffenen Personen (Art. 32 DSGVO).

4.2 LUMESO darf die Maßnahmen anpassen, sofern das Schutzniveau nicht gesenkt wird. Die aktuelle Fassung der Anlage 1 ist auf Anfrage bei LUMESO erhältlich.

5. Subauftragsverarbeiter

5.1 Der Kunde erteilt LUMESO die allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO zur Beauftragung von Subauftragsverarbeitern. Die aktuellen Subauftragsverarbeiter, ihr Zweck, der Verarbeitungsort und die Übermittlungsgrundlage sind unter https://lumeso.com/legal/sub-processors angeführt (die „Subauftragsverarbeiterliste“). Die zum Wirksamkeitsdatum veröffentlichte Subauftragsverarbeiterliste ist Bestandteil dieser AVV.

5.2 LUMESO informiert den Kunden schriftlich mindestens 30 Tage vor der Hinzufügung oder Ersetzung eines Subauftragsverarbeiters. Der Kunde kann binnen 14 Tagen nach der Mitteilung aus sachlichen datenschutzrechtlichen Gründen schriftlich Einspruch erheben. Die Parteien verhandeln sodann 14 Tage lang nach Treu und Glauben. Wird keine Lösung gefunden und ist der Subauftragsverarbeiter für die Bereitstellung wesentlicher Funktionen erforderlich, darf LUMESO zum Zeitpunkt des geplanten Wechsels die betroffenen Funktionen unter verhältnismäßiger Minderung der betroffenen Entgelte einstellen oder den betroffenen Nutzungsvertrag kündigen. Der Kunde kann den betroffenen Nutzungsvertrag vor diesem Zeitpunkt kündigen. Vorausbezahlte Entgelte für den Zeitraum nach der Kündigung werden anteilig zurückerstattet. LUMESO setzt den neuen Subauftragsverarbeiter für den Mandanten des widersprechenden Kunden nicht ein, bis der Einspruch zurückgezogen wird oder die Kündigung wirksam wird.

5.3 Vereinbaren die Parteien schriftlich den Ausschluss eines Subauftragsverarbeiters für den Kunden, wird dieser für den Mandanten des Kunden nicht eingesetzt. LUMESO informiert den Kunden über daraus entstehende Einschränkungen des Produkts.

5.4 LUMESO setzt nur Subauftragsverarbeiter ein, die durch eine schriftliche Auftragsverarbeitungsvereinbarung gemäß Art. 28 Abs. 4 DSGVO gebunden sind, insbesondere zu Sicherheit, Vertraulichkeit und Übermittlungen. Anbieter generativer KI-Dienste werden nur zu Bedingungen genutzt, die ein Training mit personenbezogenen Daten ausschließen und die Speicherung auf das beschränken, was der Anbieter für die Verarbeitung und die Missbrauchsüberwachung benötigt.

5.5 LUMESO bleibt dem Kunden gegenüber für die Erfüllung der datenschutzrechtlichen Pflichten seiner Subauftragsverarbeiter im nach Art. 28 Abs. 4 DSGVO erforderlichen Umfang verantwortlich. Eine daraus entstehende Haftung unterliegt, soweit nach anwendbarem Recht zulässig, den Haftungsbeschränkungen nach Punkt 12 der AGB.

6. Übermittlungen in Drittländer

6.1 Kundendaten in der primären Hosting-Umgebung des Produkts werden ruhend in der für den jeweiligen Mandanten im Nutzungsvertrag festgelegten Hosting-Region gespeichert.

6.2 LUMESO verarbeitet personenbezogene Daten außerhalb des EWR nur im Einklang mit Kapitel V DSGVO. Die maßgeblichen Verarbeitungsorte und Übermittlungsmechanismen sind in der Subauftragsverarbeiterliste angeführt.

7. Unterstützung des Kunden

7.1 LUMESO unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Wendet sich eine betroffene Person direkt an LUMESO, leitet LUMESO den Antrag unverzüglich an den Kunden weiter und antwortet ohne Weisung nicht in der Sache.

7.2 LUMESO unterstützt den Kunden bei der Einhaltung der Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der LUMESO verfügbaren Informationen.

7.3 LUMESO meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, unverzüglich nach Bekanntwerden und stellt die Informationen bereit, die der Kunde nach Art. 33 Abs. 3 DSGVO benötigt. Unverbindlicher Zielwert ist, soweit vernünftigerweise praktikabel, eine erste Meldung innerhalb von 24 Stunden. Liegen zu diesem Zeitpunkt noch nicht alle Informationen vor, liefert LUMESO sie schrittweise ohne unangemessene weitere Verzögerung nach. LUMESO informiert betroffene Personen oder Behörden über eine Verletzung betreffend Kundendaten nur, wenn dies gesetzlich vorgeschrieben ist oder der Kunde es anweist.

7.4 Unterstützung, die über das im gewöhnlichen Betrieb des Produkts zu Erwartende hinausgeht, kann nach vorheriger Ankündigung zu den jeweils geltenden Sätzen von LUMESO verrechnet werden.

8. Prüfungen

8.1 LUMESO stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlich sind.

8.2 LUMESO ermöglicht Prüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer und wirkt daran mit, soweit dies nach Art. 28 Abs. 3 lit. h DSGVO erforderlich ist. Prüfungen erfolgen, soweit angemessen, mit angemessener Vorankündigung und dürfen weder Daten anderer Kunden noch die Sicherheit von LUMESO beeinträchtigen.

9. Löschung und Rückgabe

9.1 Nach Ende des Nutzungsvertrags stellt LUMESO die personenbezogenen Daten im Rahmen des Exports nach Punkt 13.4 AGB bereit. Der Kunde kann LUMESO anweisen, die personenbezogenen Daten früher zu löschen.

9.2 Nach Ablauf dieser Frist löscht LUMESO alle im Auftrag des Kunden verarbeiteten personenbezogenen Daten aus den aktiven Systemen. Sicherungskopien werden innerhalb des Backup-Zyklus, jedenfalls jedoch innerhalb von 60 Tagen nach Ende des Nutzungsvertrags, gelöscht, sofern nicht EU-Recht oder das Recht eines Mitgliedstaats eine Aufbewahrung verlangt. LUMESO bestätigt die Löschung auf Anfrage schriftlich.

10. Behördliche Anfragen

Verlangt eine Behörde Zugang zu Kundendaten, informiert LUMESO den Kunden vor jeder Offenlegung, soweit rechtlich zulässig, verweist die Behörde an den Kunden, legt nur offen, was gesetzlich erforderlich ist, prüft die Rechtmäßigkeit der Anfrage und ficht sie an, soweit dafür vernünftige Gründe bestehen und dies rechtlich zulässig ist.

11. Haftung

Die Haftung der Parteien aus dieser AVV richtet sich nach Punkt 12 AGB. Zwingende Ansprüche betroffener Personen nach Art. 82 DSGVO bleiben unberührt.

12. Verzeichnis und Rangfolge

12.1 LUMESO führt ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

12.2 Bei Widersprüchen geht diese AVV in Datenschutzfragen den AGB vor. Der Nutzungsvertrag darf von dieser AVV nur abweichen, soweit das Datenschutzrecht dies zulässt. Zwingendes Datenschutzrecht geht dieser AVV vor. Punkt 17 AGB (anwendbares Recht und Streitbeilegung) gilt.

Anlage 1 — Technische und organisatorische Maßnahmen

Maßnahmen zum Wirksamkeitsdatum; die aktuelle Fassung ist auf Anfrage bei LUMESO erhältlich.

Bereich

Maßnahmen

Hosting

Cloud-Infrastruktur der in der Subauftragsverarbeiterliste genannten Anbieter

Zugriffskontrolle

Rollenbasierter Zugriff nach dem Need-to-know-Prinzip

Mandantentrennung

Logische Trennung nach Mandanten

Verschlüsselung

Verschlüsselung bei der Übertragung und Verschlüsselung der Produktivsysteme im Ruhezustand

Verfügbarkeit

Regelmäßige Sicherungen und Wiederherstellungsmaßnahmen