Vertrag zur Auftragsverarbeitung

1. Parteien und Gegenstand

Verantwortlicher ist der Nutzer, der als Inhaber eines Bereichs im Portal personenbezogene Daten Dritter verarbeitet. Auftragsverarbeiter ist FX Accounting, Fatos Salihi e.K., Hofgerichtsweg 10, 44309 Dortmund. Wir stellen das Portal bereit (Buchführung, Rechnungen, Controlling, Processing, Marketing, Landing Pages) und verarbeiten dabei die Daten, die Sie erfassen oder über verbundene Dienste einlesen, in Ihrem Auftrag. Der Vertrag gilt, solange Sie das Portal nutzen, und endet mit der Löschung Ihres Bereichs oder Kontos.

2. Art, Zweck, Daten und Betroffene

Zweck ist die Bereitstellung der Portalfunktionen, die Sie nutzen: Speichern, Anzeigen, Auswerten (auch mit KI auf Ihre Anforderung), Übermitteln an verbundene Dienste auf Ihre Anweisung und Löschen. Betroffen sind Ihre Kunden, Interessenten, Lieferanten, Beschäftigten, Mitglieder und Ansprechpartner. Verarbeitet werden Namen, Anschriften, Kontaktdaten, Bank- und Zahlungsdaten, Rechnungs- und Buchungsdaten, Belege, Lohn- und Gehaltsdaten, Arbeitszeiten, Anfragen und Nachrichten sowie Inhalte von Projekten und Dateien. Lohnunterlagen können Angaben zur Religionszugehörigkeit enthalten (Art. 9 DSGVO); dass Sie diese verarbeiten dürfen, stellen Sie sicher. Als sensibel markierte Dokumente sehen nur der Inhaber und die betroffene Person, die KI liest sie nicht.

3. Weisungen

Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung. Weisungen sind dieser Vertrag, die Nutzungsbedingungen und Ihre Einstellungen und Aktionen im Portal. Halten wir eine Weisung für rechtswidrig, sagen wir Ihnen das unverzüglich.

4. Eigene Zwecke

Wir nutzen Ihre Daten nicht für eigene Zwecke. Ausnahme ist die lernende Buchführung: Dort fließt ein, welches Konto für eine Firma gewählt wurde, ohne Beträge, IBAN, Verwendungszweck und ohne Privatpersonen, mit einem nicht rückrechenbaren Abdruck Ihres Bereichs. Sie können das unter Buchführung → Buchungsregeln abschalten.

5. Vertraulichkeit und Sicherheit

Alle Personen, die bei uns Zugang zu Ihren Daten haben, sind zur Vertraulichkeit verpflichtet. Wir sehen Daten Ihres Bereichs nur, soweit Support, Fehlerbehebung, Sicherheit oder Betrieb es erfordern oder Sie uns darum bitten. Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 1 und passen sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

6. Unterauftragsverarbeiter

Sie genehmigen die Unterauftragsverarbeiter aus Anlage 2. Neue oder geänderte kündigen wir mindestens vier Wochen vorher per E-Mail an. Sie können aus wichtigem datenschutzrechtlichem Grund widersprechen; dann können beide Seiten die Nutzung beenden. Wir verpflichten Unterauftragsverarbeiter mindestens so wie hier. Übermittlungen in Drittländer stützen sich auf die Standardvertragsklauseln der EU-Kommission oder das EU-US Data Privacy Framework.

7. Unterstützung und Meldungen

Wir unterstützen Sie bei Anfragen Betroffener, soweit das Portal dafür keine eigene Funktion bietet (Export, Löschen), und bei Ihren Pflichten aus Art. 32 bis 36 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten melden wir Ihnen unverzüglich, möglichst binnen 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

8. Löschung und Rückgabe

Nach Ende des Auftrags löschen wir die Daten. Löschen Sie Ihr Konto, geschieht das nach 30 Tagen; bis dahin können Sie die Löschung durch Anmelden zurücknehmen. Vorher können Sie alles exportieren (Buchführung → Archiv). Belege in Ihrem Google Drive bleiben dort. Gesetzliche Aufbewahrungspflichten erfüllen Sie selbst.

9. Nachweise und Kontrollen

Wir stellen Ihnen die nötigen Informationen zum Nachweis bereit (dieser Vertrag, die Anlagen, Nachweise der Unterauftragsverarbeiter). Kontrollen vor Ort sind nach Anmeldung mit angemessener Frist während der Geschäftszeiten möglich; die Kosten tragen Sie, außer wenn ein Verstoß festgestellt wird.

10. Schluss

Für die Haftung gilt Art. 82 DSGVO, im Übrigen gelten die Nutzungsbedingungen. In Fragen des Datenschutzes geht dieser Vertrag ihnen vor. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

• Betrieb bei Vercel und Supabase (Rechenzentren nach SOC 2 geprüft), Datenbank in der EU (Stockholm)
• Übertragung nur verschlüsselt (HTTPS, HSTS); Zugangsschlüssel zu Google, Meta und TikTok verschlüsselt gespeichert (AES-256-GCM)
• Trennung der Bereiche in der Datenbank (Row Level Security), Rechte je Bereich und Modul, Prüfung jeder Server-Aktion
• Zwei-Faktor-Anmeldung für alle Verwaltungszugänge, Passwortregeln und E-Mail-Bestätigung für Nutzer, Bremsen gegen Missbrauch
• Festschreibung, Storno statt Löschen und Änderungsprotokoll mit Person und Zeitpunkt für Buchungen und Rechnungen
• KI liefert nur Vorschläge; sensible Dokumente liest sie nicht
• Sofortmeldung bei neuen Fehlern, regelmäßige Aktualisierung der Software, Notfallplan für Datenpannen

Anlage 2: Unterauftragsverarbeiter