Dieser DPA ist Bestandteil der Nutzungsbedingungen von Megorix und wird durch Verweis einbezogen. Er gilt automatisch mit Annahme der Nutzungsbedingungen — eine gesonderte Unterschrift ist nicht erforderlich, sofern ein spezifischer Kundenvertrag nichts anderes vorsieht.

1. Parteien und Begriffsbestimmungen

„Megorix“, „wir“: MegaPC Informática e Software, Lda., NIPC 504125931, mit Sitz in Ourém, Santarém, Portugal.
„Kunde“, „Verantwortlicher“, „Sie“: die Organisation mit einem aktiven Megorix-Abonnement.
„Datenschutzrecht“: die EU-Datenschutz-Grundverordnung (DSGVO), das schweizerische Bundesgesetz über den Datenschutz (nDSG) und dessen Verordnung (DSV) sowie jedes weitere auf die Verarbeitung des Kunden anwendbare Datenschutzrecht.
„Personendaten“, „Bearbeitung/Verarbeitung“, „betroffene Person“, „Auftragsverarbeiter“, „Datenschutzverletzung“: im Sinne der DSGVO und, soweit anwendbar, des nDSG.
„Dienste“: die Megorix-ERP-Plattform und ihre Module, wie in den Nutzungsbedingungen beschrieben.

2. Gegenstand und Dauer

Megorix verarbeitet Personendaten im Auftrag des Kunden ausschließlich zur Erbringung der Dienste. Diese Vereinbarung tritt in Kraft, sobald der Kunde die Dienste nutzt, und bleibt in Kraft, solange Megorix Personendaten im Auftrag des Kunden verarbeitet, einschließlich jeder Zeit nach Beendigung, während der Megorix Daten gemäß Ziffer 11 aufbewahrt.

3. Rollen der Parteien

Für Personendaten, die der Kunde innerhalb der Dienste erfasst oder erzeugt (eigene Kunden, Rechnungen, Mitarbeitende, Lagerbestände und ähnliche Geschäftsunterlagen), ist der Kunde Verantwortlicher und Megorix Auftragsverarbeiter. Megorix verarbeitet diese Daten nur nach dokumentierter Weisung des Kunden – erteilt durch die Nutzung der Dienste oder schriftlich – außer wenn EU- oder Schweizer Recht etwas anderes verlangt; in diesem Fall informiert Megorix den Kunden vorab über diese rechtliche Pflicht, sofern dies nicht gesetzlich untersagt ist.

Für Daten, die Megorix zur Führung der eigenen Geschäftsbeziehung mit dem Kunden erhebt (Identität des Kontoinhabers, Rechnungsdaten, Nutzung des Abonnements, Marketingkommunikation), handelt Megorix als eigenständiger Verantwortlicher – siehe die Datenschutzerklärung von Megorix.

4. Datenkategorien und betroffene Personen

Betroffene Personen: die eigenen Kundinnen und Kunden, Lieferanten, Mitarbeitenden des Kunden sowie weitere Personen, deren Daten der Kunde in die Dienste einträgt.
Kategorien von Personendaten: Identifikationsdaten (Namen, Steuer-/USt-Nummern), Kontaktdaten (Adressen, E-Mails, Telefonnummern), Finanz-/Rechnungsdaten (Rechnungspositionen, IBAN, Zahlungsreferenzen), Personaldaten (für Nutzende des HR-Moduls) sowie alle weiteren Daten, die der Kunde in einer Megorix-Entität oder einem Feld erfasst. Felder, die der Kunde als sensibel markiert (z. B. nationale Identifikationsnummern, IBAN), können mit feldbasierter AES-256-Verschlüsselung gespeichert werden – siehe Ziffer 6.
Besondere Kategorien von Daten (Art. 9 DSGVO / Art. 5 nDSG): Die Dienste sind nicht darauf ausgelegt, solche Daten zu erfordern. Der Kunde ist allein dafür verantwortlich, keine besonderen Datenkategorien einzugeben, sofern er nicht selbst die Rechtsgrundlage geprüft und geeignete Schutzmaßnahmen konfiguriert hat.

5. Unterauftragsverarbeiter

Der Kunde ermächtigt Megorix, folgende Unterauftragsverarbeiter einzusetzen:

Hostinger — Hosting der Anwendung und der Datenbank — Paris, Frankreich (EU).
Stripe — Zahlungsabwicklung für Abonnements — EU/USA, siehe Stripes eigene Vereinbarung.
Cloudflare — CDN, DDoS-Schutz, Edge-Netzwerk — globales Netzwerk.
Google (Firebase Cloud Messaging) — Push-Benachrichtigungen für die mobile App — EU/USA, siehe Googles eigene Vereinbarung.
Anbieter für Transaktions-E-Mails — Versand von System-E-Mails (Rechnungen, Benachrichtigungen) — EU.

Megorix informiert den Kunden mindestens 30 Tage im Voraus (per E-Mail oder In-App-Hinweis), bevor ein Unterauftragsverarbeiter mit Zugriff auf Personendaten hinzugefügt oder ersetzt wird; der Kunde kann innerhalb dieser Frist aus vernünftigen datenschutzrechtlichen Gründen widersprechen. Megorix bleibt für die Einhaltung gleichwertiger Pflichten durch jeden Unterauftragsverarbeiter verantwortlich.

6. Technische und Organisatorische Sicherheitsmaßnahmen

Mandantentrennung auf Datenbankebene durch PostgreSQL Row-Level Security – Abfragen eines Mandanten können keine Zeilen eines anderen Mandanten lesen.
Feldbasierte Verschlüsselung (AES-256-GCM) für sensible Felder verfügbar, vom Kunden pro Feld konfigurierbar.
Unveränderlichkeits- und Integritätskontrollen für Schweizer Rechnungsdaten: Einmal ausgestellt, ist eine Rechnung gegen Änderung und Löschung gesperrt, und jede Änderung wird in einem Audit-Protokoll festgehalten, das 10 Jahre aufbewahrt wird, im Einklang mit Art. 958f OR / GeBüV.
Verschlüsselung während der Übertragung (TLS) für alle Verbindungen zu den Diensten.
Zugriffsprotokollierung und Audit-Trails für Änderungen an Datensätzen.
Rollen- und berechtigungsbasierte Zugriffskontrolle, vom Kunden konfiguriert.
Regelmäßige Backups und Notfallwiederherstellungsverfahren.

Megorix wird das allgemeine Sicherheitsniveau während der Laufzeit dieser Vereinbarung nicht wesentlich verringern.

7. Unterstützung bei Anfragen betroffener Personen

Megorix unterstützt den Kunden in angemessenem Umfang, über die Funktionen der Dienste selbst oder auf schriftliche Anfrage, bei der Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) gemäß anwendbarem Datenschutzrecht. Megorix kann für Unterstützung, die wesentlich über die bestehende Funktionalität der Dienste hinausgeht, eine angemessene Gebühr verlangen.

8. Meldung von Datenschutzverletzungen

Megorix meldet dem Kunden ohne unangemessene Verzögerung, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, jede Datenschutzverletzung, die die Daten des Kunden betrifft, einschließlich (soweit bekannt): ihrer Art, der Kategorien und der ungefähren Anzahl betroffener Personen und Datensätze, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen.

9. Audits

Auf angemessenes schriftliches Verlangen, höchstens einmal pro Kalenderjahr (außer bei Verlangen einer Aufsichtsbehörde oder nach einer Datenschutzverletzung), stellt Megorix die zur Nachweisführung der Einhaltung dieser Vereinbarung angemessen erforderlichen Informationen zur Verfügung, einschließlich relevanter Sicherheitsdokumentation und – vorbehaltlich Vertraulichkeit – Antworten auf einen schriftlichen Sicherheitsfragebogen.

10. Internationale Datenübermittlungen

Die Hauptinfrastruktur von Megorix wird innerhalb der Europäischen Union (Paris, Frankreich) betrieben. Übermittelt ein Unterauftragsverarbeiter Personendaten außerhalb der EU/des EWR oder der Schweiz, gilt dessen eigener Übermittlungsmechanismus (wie die EU-Standardvertragsklauseln oder ein Angemessenheitsbeschluss), wie in dessen eigener Vereinbarung beschrieben.

11. Laufzeit, Beendigung, Rückgabe und Löschung von Daten

Nach Beendigung stellt Megorix, nach Wahl des Kunden innerhalb von 30 Tagen mitgeteilt, die Personendaten des Kunden in strukturiertem Format zur Ausfuhr bereit oder löscht sie – außer soweit Megorix gesetzlich verpflichtet ist (einschließlich schweizerischer handelsrechtlicher Aufbewahrungspflichten, z. B. Art. 958f OR für Rechnungsdaten), sie länger aufzubewahren; in diesem Fall isoliert Megorix diese Daten von jeder weiteren Verarbeitung.

12. Haftung

Die Haftung jeder Partei aus oder im Zusammenhang mit dieser Vereinbarung unterliegt den in den Megorix-Nutzungsbedingungen festgelegten Haftungsbeschränkungen.

13. Anwendbares Recht

Diese Vereinbarung untersteht demselben anwendbaren Recht wie die Megorix-Nutzungsbedingungen. Nichts in dieser Vereinbarung schmälert die Rechte oder Pflichten einer Partei aus zwingenden Bestimmungen des auf die eigene Verarbeitung des Kunden anwendbaren Datenschutzrechts.

Auftragsverarbeitungsvertrag (DPA)