Zusatzvereinbarung zur Datenverarbeitung

• Fabrixa B.V. · Markerkant 13 10, 1314 AN Almere, Niederlande · KvK 74188445 · Version 1.0, gültig ab 22. Oktober 2026

1. Geltungsbereich und Vertragsparteien

1.1 Dieser Nachtrag zur Datenverarbeitung (“DPA”) ist Bestandteil der Fabrixa-Nutzungsbedingungen (die “Bedingungen”) zwischen Fabrixa B.V. (“Fabrixa”) und dem Geschäftskunden, der über ein Fabrixa-Konto verfügt (“Kunde”). Er gilt immer dann, wenn Fabrixa im Rahmen der Erbringung der Dienste personenbezogene Daten im Auftrag des Kunden verarbeitet.

1.2 Bei Endkundendaten (Namen der Empfänger, Lieferadressen, Kontaktdaten sowie etwaige personenbezogene Daten in Druckvorlagen oder Bestellhinweisen) ist der Kunde der Verantwortliche oder ein im Auftrag seiner eigenen Kunden handelnder Auftragsverarbeiter, und Fabrixa ist der Auftragsverarbeiter oder Unterauftragsverarbeiter. Tritt der Kunde selbst als Auftragsverarbeiter auf, versichert der Kunde, dass sein Verantwortlicher die Beauftragung von Fabrixa und die Bestimmungen dieser Datenschutzvereinbarung genehmigt hat.

1.3 In Bezug auf die Daten des Kunden zu Kontoführung, Abrechnung, Support und Nutzung ist Fabrixa ein eigenständiger Verantwortlicher; diese Verarbeitung wird in der Datenschutzerklärung beschrieben, nicht in dieser DPA.

1.4 Abnahme. Diese Datenschutzvereinbarung (DPA) wird durch die Zustimmung zu den Nutzungsbedingungen elektronisch akzeptiert. Auf Anfrage stellt Fabrixa dem Kunden eine gegengezeichnete Kopie für seine Unterlagen zur Verfügung; die unterzeichnete Kopie hat denselben Inhalt und hat keinen Einfluss auf das Datum des Inkrafttretens.

2. Einzelheiten zur Verarbeitung

2.1 Gegenstand, Dauer, Art, Zweck, Datenkategorien und betroffene Personen sind in Anhang 1 aufgeführt. Die Verarbeitung dauert so lange, wie der Kunde die Dienste nutzt, zuzüglich der in Ziffer 10 genannten Löschfrist.

3. Anweisungen des Kunden

3.1 Fabrixa verarbeitet personenbezogene Daten ausschließlich auf der Grundlage der dokumentierten Anweisungen des Kunden, auch im Hinblick auf Übermittlungen in ein Drittland, es sei denn, dies ist nach EU-Recht oder dem Recht eines Mitgliedstaats vorgeschrieben; in diesem Fall informiert Fabrixa den Kunden vor der Verarbeitung über diese gesetzliche Verpflichtung, sofern dies nicht aus wichtigen Gründen des öffentlichen Interesses gesetzlich untersagt ist.

3.2 Als Anweisungen des Kunden gelten: die Nutzungsbedingungen, diese Datenschutzvereinbarung, die Aufträge, Einstellungen und API-Aufrufe, die der Kunde über die Plattform übermittelt, sowie schriftliche Anweisungen, die an den Support-Kanal von Fabrixa gesendet werden. Fabrixa kann für Anweisungen, die über den Umfang der Dienste hinausgehen, Gebühren erheben.

3.3 Fabrixa informiert den Kunden unverzüglich, wenn nach seiner Auffassung ein Auftrag gegen die DSGVO oder andere geltende Datenschutzgesetze verstößt. Fabrixa kann die Ausführung des Auftrags aussetzen, bis der Kunde diesen bestätigt oder ändert.

3.4 Der Kunde ist für die Rechtmäßigkeit der von ihm bereitgestellten personenbezogenen Daten, für die Informationen, die er den Endkunden übermittelt, sowie dafür verantwortlich, dass er in den Druckvorlagen oder Bestellhinweisen keine Daten besonderer Kategorien (Artikel 9 DSGVO) oder Daten von Kindern angibt.

4. Vertraulichkeit

4.1 Fabrixa stellt sicher, dass jede Person, die von Fabrixa zur Verarbeitung personenbezogener Daten befugt ist – Mitarbeiter, Auftragnehmer und der Technikpartner –, einer vertraglichen oder gesetzlichen Geheimhaltungspflicht unterliegt und die Daten nur in dem für ihre Aufgaben erforderlichen Umfang verarbeitet.

5. Sicherheit

5.1 Fabrixa ergreift und hält die in Anhang 2 aufgeführten technischen und organisatorischen Maßnahmen unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die betroffenen Personen aufrecht (Artikel 32 DSGVO). Fabrixa kann Anhang 2 aktualisieren, sofern das Schutzniveau insgesamt nicht sinkt.

6. Unterauftragsverarbeiter

6.1 Allgemeine Ermächtigung. Der Kunde erteilt Fabrixa eine allgemeine schriftliche Ermächtigung, für die in Anhang 1 beschriebene Verarbeitung Unterauftragsverarbeiter einzuschalten.

6.2 Aktuelle Liste. Die zum Zeitpunkt des Inkrafttretens beauftragten Unterauftragsverarbeiter sind unter https://www.fabrixa.com/sub-processors/ aufgeführt (Anhang 3 verweist auf diese Liste). In der Liste sind für jeden Unterauftragsverarbeiter die Dienstleistung, der Ort der Verarbeitung und der Übermittlungsmechanismus angegeben.

6.3 Mitteilung über Änderungen. Fabrixa veröffentlicht auf dieser Seite jede geplante Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters und benachrichtigt den Kontoinhaber per E-Mail mindestens 30 Tage, bevor der neue Unterauftragsverarbeiter mit der Verarbeitung von Kundendaten beginnt. Änderungen, die zum Schutz der Dienste vor einem unmittelbaren Sicherheitsrisiko vorgenommen werden, können sofort in Kraft treten, wobei die Benachrichtigung so bald wie möglich danach erfolgt.

6.4 Widerspruchsrecht. Der Kunde kann innerhalb von 30 Tagen nach Erhalt der Mitteilung unter Angabe triftiger, dokumentierter datenschutzrechtlicher Gründe schriftlich unter privacy@fabrixa.com Widerspruch einlegen. Die Parteien erörtern den Widerspruch nach Treu und Glauben. Kann Fabrixa innerhalb von 30 Tagen keine angemessene Alternative anbieten, kann der Kunde die betroffenen Dienste durch schriftliche Mitteilung ohne Vertragsstrafe kündigen; bereits im Guthaben eingezahlte Beträge werden anteilig zurückerstattet.

6.5 Weitergabe. Fabrixa erlegt jedem Unterauftragsverarbeiter durch einen schriftlichen Vertrag Datenschutzverpflichtungen auf, die mindestens das Schutzniveau dieser DPA gewährleisten, und haftet gegenüber dem Kunden in vollem Umfang für die Leistung des Unterauftragsverarbeiters.

6.6 Produktions- und Logistikpartner werden auftragsbezogen beauftragt und nach Kategorie und Land aufgelistet. Auf Anfrage und unter Einhaltung einer Vertraulichkeitsvereinbarung teilt Fabrixa dem Kunden den Namen des Partners mit, der einen bestimmten Auftrag bearbeitet hat.

7. Unterstützung für den Kunden

7.1 Anträge betroffener Personen. Fabrixa leitet jede Anfrage, die es von einem Endkunden erhält, innerhalb von 5 Werktagen an den Kunden weiter und antwortet nicht direkt darauf, sofern der Kunde nichts anderes anordnet. Fabrixa unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anfragen gemäß Kapitel III der DSGVO.

7.2 Fabrixa unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der Fabrixa vorliegenden Informationen bei der Erfüllung seiner Verpflichtungen gemäß den Artikeln 32 bis 36 der DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation).

8. Verletzung des Schutzes personenbezogener Daten

8.1 Fabrixa benachrichtigt den Kunden unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem es Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erhalten hat, die Daten des Kunden betrifft. Die Benachrichtigung enthält Angaben zur Art der Verletzung, zu den Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze, zu den voraussichtlichen Folgen, zu den ergriffenen oder vorgeschlagenen Maßnahmen sowie zu einer Kontaktstelle. Die Informationen können schrittweise bereitgestellt werden.

8.2 Fabrixa informiert Endkunden oder Aufsichtsbehörden nicht im Namen des Kunden, es sei denn, der Kunde erteilt einen entsprechenden Auftrag oder es besteht eine gesetzliche Verpflichtung dazu.

9. Internationale Datenübermittlungen

9.1 Fabrixa verarbeitet Kundendaten im Europäischen Wirtschaftsraum. Übermittlungen in ein Drittland erfolgen ausschließlich unter Einhaltung der Schutzvorkehrungen gemäß Kapitel V der DSGVO: einer Angemessenheitsentscheidung oder der Standardvertragsklauseln (Beschluss (EU) 2021/914 der Kommission) mit ergänzenden Maßnahmen, sofern erforderlich. Der Übermittlungsmechanismus für jeden Unterauftragsverarbeiter ist in der Liste der Unterauftragsverarbeiter angegeben.

10. Löschung und Rückgabe

10.1 Nach Beendigung der Dienstleistungen oder auf schriftliche Aufforderung des Kunden löscht Fabrixa die Kundendaten innerhalb von 30 Tagen, sofern nicht das Recht der EU oder eines Mitgliedstaats eine längere Aufbewahrung vorschreibt. Rechnungen und die für steuerliche Zwecke erforderlichen Auftragsunterlagen werden gemäß niederländischem Recht 7 Jahre lang aufbewahrt; Unterlagen zu Streitfällen und Ansprüchen werden für die jeweilige Verjährungsfrist aufbewahrt. Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, bleiben für jede andere Verwendung gesperrt.

10.2 Vor der Löschung kann der Kunde die Bestelldaten über die Plattform und API exportieren. Fabrixa leistet zu seinen Standardtarifen angemessene Unterstützung bei anderen Exportformaten.

11. Prüfungen und Informationen

11.1 Fabrixa stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind: diese Datenschutzvereinbarung, die Liste der Unterauftragsverarbeiter, Anhang 2 sowie auf Anfrage einen ausgefüllten Sicherheitsfragebogen und die aktuellsten Berichte oder Zertifizierungen Dritter seiner Hosting-Anbieter.

11.2 Sollten diese Informationen nach vernünftigem Ermessen unzureichend sein, kann der Kunde oder ein zur Vertraulichkeit verpflichteter unabhängiger Prüfer die relevanten Verarbeitungsaktivitäten von Fabrixa einmal alle 12 Monate nach einer schriftlichen Ankündigung von 30 Tagen während der Geschäftszeiten und ohne Störung des Betriebs auf Kosten des Kunden prüfen. Prüfungen, die von einer Aufsichtsbehörde verlangt werden oder nach einer Verletzung des Schutzes personenbezogener Daten erfolgen, unterliegen keiner Häufigkeitsbeschränkung. Die Prüfungen erstrecken sich nicht auf die Daten anderer Kunden oder auf die Räumlichkeiten von Produktionspartnern; hierfür stützt sich Fabrixa auf vertragliche Zusicherungen und eigene Lieferantenkontrollen.

12. Allgemeines

12.1 Die Haftung im Rahmen dieser Datenschutzvereinbarung richtet sich nach Ziffer 13 der Nutzungsbedingungen.

12.2 Sollte diese Datenschutzvereinbarung in einer datenschutzrechtlichen Frage im Widerspruch zu den Nutzungsbedingungen stehen, hat diese Datenschutzvereinbarung Vorrang. Gilt für eine Datenübermittlung die Standardvertragsklausel, so hat diese Vorrang vor dieser Datenschutzvereinbarung.

12.3 Fabrixa behält sich das Recht vor, diese DPA zu aktualisieren, um Änderungen der Rechtslage oder der Dienste Rechnung zu tragen; wesentliche Änderungen werden auf dieselbe Weise bekannt gegeben wie Änderungen bei Unterauftragsverarbeitern (Ziffer 6.3). Die fortgesetzte Nutzung der Dienste nach dem Datum des Inkrafttretens gilt als Zustimmung.

12.4 Dieser Auftragsverarbeitungsvertrag wird in englischer Sprache geschlossen. Übersetzungen auf der Website dienen lediglich der Information; maßgeblich ist die englische Fassung. Anwendbares Recht und Gerichtsstand richten sich nach Ziffer 16 der Nutzungsbedingungen (Niederlande; Amsterdam).

12.5 Ansprechpartner für diese Datenschutzerklärung, Mitteilungen und Fragen zum Datenschutz: privacy@fabrixa.com.

Anhang 1 – Einzelheiten zur Verarbeitung

Anhang 2 – Technische und organisatorische Maßnahmen

Anhang 3 – Unterauftragsverarbeiter

Die aktuelle Liste wird unter https://www.fabrixa.com/sub-processors/ geführt und ist Bestandteil dieser Datenschutzvereinbarung in der zum Zeitpunkt des Inkrafttretens geltenden Fassung; spätere Änderungen richten sich nach Ziffer 6.