Data Processing Addendum (DPA)

1 · Parteien

Vertrag zwischen dem Account-Inhaber (nachfolgend „Verantwortlicher") und Florian Eisenmann, Hoffeldring 5, 83080 Oberaudorf, Deutschland, E-Mail f.eisenmann@pano-vision.de · f.bleier@pano-vision.de (nachfolgend „Auftragsverarbeiter" oder „Pano").

Identität des Verantwortlichen ergibt sich aus dem Pano-Account-Anlageprozess (Firma, Ansprechpartner, E-Mail) und der Bestätigung im Akzept-Workflow (Name, Funktion, Zeitstempel).

2 · Gegenstand und Dauer

Der Auftragsverarbeiter erbringt Leistungen im Rahmen der SaaS-Plattform „Pano ViewSuite" (insbesondere Module ORDERview, CALCview, SUPPLIERview, sowie das interne ADMINview). Dabei verarbeitet er personenbezogene Daten ausschließlich nach Weisung des Verantwortlichen.

Die Vereinbarung gilt für die Dauer des Nutzungsverhältnisses und endet automatisch mit Account-Löschung oder Vertragsende.

3 · Art der verarbeiteten Daten

• Stammdaten von Geschäftspartnern (Lieferanten, Kunden) wie Firma, Anschrift, Kategorie
• Kontaktdaten von Ansprechpartnern bei diesen Partnern (Name, Telefon, E-Mail, Funktion)
• Auftrags- und Kalkulationsdaten (Mengen, Termine, Preise, Materialien)
• Qualitäts- und Audit-Belege (PDF-Uploads, ggf. mit personenbeziehbaren Inhalten)
• Account-Stammdaten des Verantwortlichen (Benutzername, E-Mail, Passwort-Hash)
• Aktivitäts- und Telemetriedaten (Login-Zeiten, KI-Aufrufe, Token-Counts)

4 · Kategorien betroffener Personen

• Mitarbeitende des Verantwortlichen (Bearbeiter, Prüfer im System)
• Ansprechpartner bei Lieferanten und Kunden des Verantwortlichen

5 · Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich nach dokumentierten Weisungen des Verantwortlichen
• Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen
• Umsetzung der in den TOMs (Anlage) beschriebenen Sicherheitsmaßnahmen
• Unterstützung des Verantwortlichen bei der Erfüllung von Betroffenenrechten
• Unverzügliche Meldung von Datenschutzverletzungen (innerhalb von 24 h)
• Nachweisführung über alle Maßnahmen auf Anforderung
• Löschung oder Rückgabe der Daten nach Vertragsende (Frist 14 Tage)

6 · Sub-Prozessoren

Der Verantwortliche genehmigt mit Akzept dieser Vereinbarung die folgenden Sub-Prozessoren:

Sub-Prozessoren sind ihrerseits vertraglich auf gleichwertige Datenschutzpflichten verpflichtet. Mistral AI verarbeitet API-Eingaben NICHT zu Trainingszwecken (siehe Mistral-AGB für Pay-as-you-go-API). Es findet kein Transfer in Drittstaaten außerhalb der EU statt.

Änderungen der Sub-Prozessoren-Liste werden mindestens 14 Tage vor Wirksamwerden über das Pano-System angezeigt. Widerspruch innerhalb dieser Frist führt zur Anpassung oder ggf. Vertragsende.

7 · Technische und organisatorische Maßnahmen (TOMs)

Die TOMs sind als gesondertes Dokument (TOMs_Pano.pdf) Bestandteil dieser Vereinbarung. Zusammenfassung:

• Hosting in zertifiziertem deutschen Rechenzentrum (Hetzner Falkenstein, ISO 27001)
• HTTPS / TLS 1.2+ auf allen Verbindungen
• Multi-Tenant-Isolation auf Datenbank-Ebene (pro User_ID strikt getrennt)
• Passwort-Hashing mit pbkdf2:sha256, Session-Cookies HttpOnly + Secure
• Automatischer Logout nach 10 Minuten Inaktivität
• Tägliche verschlüsselte Backups, 30-Tage-Aufbewahrung
• Audit-Logging von Login, Logout, Passwort-Änderung, KI-Aufrufen

8 · Kontrollrechte des Verantwortlichen

Der Verantwortliche kann auf Anforderung Auskünfte zu allen Maßnahmen verlangen sowie unter Anmeldung (mind. 14 Tage Vorlauf) Stichprobenkontrollen durchführen.

9 · Mitteilungspflichten bei Verstößen

Der Auftragsverarbeiter meldet Datenschutzverletzungen innerhalb von 24 Stunden nach Kenntnis an den Verantwortlichen (per E-Mail an die im Account hinterlegte Adresse). Die Meldung enthält Art, Umfang, betroffene Personen und ergriffene Gegenmaßnahmen.

10 · Löschung und Rückgabe

Auf Verlangen des Verantwortlichen werden alle Daten innerhalb von 14 Tagen nach Vertragsende gelöscht oder in einem gängigen Format (JSON / CSV / Excel) zurückgegeben.

11 · Anwendbares Recht / Gerichtsstand

Es gilt deutsches Recht. Gerichtsstand ist — soweit gesetzlich zulässig — der Sitz des Auftragsverarbeiters.

12 · Versionierung

Die aktuelle Version dieser DPA ist 2026-05-23-v1.0. Bei wesentlichen Änderungen wird der Verantwortliche beim nächsten Login gebeten, die neue Version zu akzeptieren. Bis dahin werden die Funktionen der Plattform gesperrt. Die jeweils akzeptierten Versionen sind im Profil des Verantwortlichen einsehbar.