Auftragsverarbeitungsvertrag (AVV)

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung von Zettelfang gemäß AGB: Prüfung von Buchhaltungsdaten auf fehlende Belege und offene Posten, Ablage von Belegen, Bewirtungs- und Eigenbelegen sowie Erinnerungen an beteiligte Personen. Die Dauer entspricht der Laufzeit des Vertrags.

Daten: Buchungsdaten (Datum, Betrag, Konto, Buchungstext, Geschäftspartner), Belegbilder und -PDFs, Namen und E-Mail-Adressen, letzte vier Ziffern von Firmenkarten, Unterschriften auf Eigen- und Bewirtungsbelegen, Bewirtungsteilnehmer.

Betroffene: Mitarbeitende und Geschäftsführung des Kunden bzw. seiner Mandanten, Geschäftspartner (Lieferanten, Kunden), Teilnehmende an Bewirtungen.

Die Verarbeitung erfolgt nur auf dokumentierte Weisung des Kunden; diese ist durch die AGB und die Nutzung der Funktionen erteilt. Weitere Weisungen erfolgen in Textform an info@zettelfang.de. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.

Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet. Ein Zugriff durch den Auftragsverarbeiter auf Inhalte erfolgt nur, soweit er für Betrieb, Fehlerbehebung oder auf Anfrage des Kunden erforderlich ist.

• Speicherung in der EU (Frankfurt am Main), Verschlüsselung bei Übertragung (TLS) und im Ruhezustand.
• Mandantentrennung in der Datenbank über Zeilenrechte (Row Level Security): jede Firma sieht nur ihre eigenen Daten.
• Rollen: Kanzlei, Geschäftsführung, Mitarbeitende; Mitarbeitenden zeigt die Anwendung nur die ihnen zugeordneten Belege.
• Zugangsdaten zu Portalen werden im Browser verschlüsselt; der Auftragsverarbeiter kennt das Tresor-Passwort nicht.
• Passwörter nur als Hash; Zugriff auf die Verwaltungsoberflächen nur für die Geschäftsführung des Auftragsverarbeiters.
• Freigegebene Eigen- und Bewirtungsbelege sind technisch gegen nachträgliche Änderung geschützt.

Der Kunde genehmigt die folgenden Unterauftragsverarbeiter. Über Änderungen informiert der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail; der Kunde kann aus wichtigem Grund widersprechen und den Vertrag dann kündigen.

• Supabase Inc. – Datenbank, Anmeldung und Dateispeicher; Rechenzentrum Frankfurt am Main (AWS eu-central-1); EU-Standardvertragsklauseln.
• Vercel Inc. – Betrieb der Web-Anwendung; Serverfunktionen in Frankfurt am Main (fra1), Auslieferung über ein weltweites Netz; EU-Standardvertragsklauseln, EU-US Data Privacy Framework.
• Google Ireland Ltd. – Versand von E-Mails (Anmeldung, Einladungen, Erinnerungen); EU; Auftragsverarbeitungsvertrag, EU-Standardvertragsklauseln.

Der Auftragsverarbeiter unterstützt den Kunden bei Anfragen Betroffener, bei der Datenschutz-Folgenabschätzung und bei Meldungen nach Art. 33 und 34 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

Nach Vertragsende kann der Kunde seine Daten 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter alle Daten einschließlich Kopien, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht; Datensicherungen werden im regulären Zyklus überschrieben.

Der Auftragsverarbeiter stellt dem Kunden auf Anfrage die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach angemessener Vorankündigung, in der Regel durch Vorlage von Nachweisen der Unterauftragsverarbeiter (z. B. SOC 2, ISO 27001).

Für die Haftung gelten Art. 82 DSGVO und die Regelungen der AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor. Ein unterschriebenes Exemplar erhalten Sie auf Anfrage an info@zettelfang.de.