Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand, Dauer und Art der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten, die der Verantwortliche in GetInvoiceFlow einträgt (insbesondere Kunden-, Rechnungs- und Angebotsdaten seiner eigenen Kunden), ausschließlich zur Bereitstellung der Funktionen der Anwendung (Erstellen, Speichern, Versenden und Auswerten von Rechnungen und Angeboten). Die Dauer entspricht der Laufzeit des Nutzungsverhältnisses.

2. Art der Daten und Kategorien betroffener Personen

Stammdaten (Name, Anschrift), Kontaktdaten (E-Mail, Telefon), Vertrags- und Rechnungsdaten (Positionen, Beträge, Zahlungsstatus, Bankverbindung des Verantwortlichen) der Kunden und Geschäftspartner des Verantwortlichen.

3. Weisungsbindung

Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Anwendungsfunktionen gilt als Weisung. Eine Verarbeitung zu eigenen Zwecken, insbesondere zu Werbezwecken oder zum Training von KI-Modellen, findet nicht statt.

4. Vertraulichkeit

Zugriff auf personenbezogene Daten haben nur zur Vertraulichkeit verpflichtete Personen. Der Betrieb erfolgt derzeit durch den Inhaber persönlich.

5. Technische und organisatorische Maßnahmen (TOMs)

Verschlüsselte Übertragung (TLS) und Speicherung bei den eingesetzten Infrastruktur-Anbietern (Rechenzentren in Frankfurt am Main); strikte Mandantentrennung auf Anwendungsebene (jede Abfrage ist an das Nutzerkonto gebunden); Passwörter ausschließlich als bcrypt-Hash; Zugriffsschutz durch Session-basierte Authentifizierung; Rate-Limits gegen Missbrauch; regelmäßige Sicherheitsüberprüfungen des Quellcodes; Protokollierung sicherheitsrelevanter Vorgänge. Datenbank- und Dateisicherungen sowie Wiederherstellungstests werden nach dem dokumentierten Betriebs- und Wiederherstellungsplan kontrolliert; konkrete Nachweise und Wiederherstellungsziele stellen wir auf Anfrage bereit.

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz der folgenden Unterauftragsverarbeiter. Über beabsichtigte Änderungen informieren wir vorab; der Verantwortliche kann aus wichtigem Grund widersprechen.

Übermittlungen in Drittländer erfolgen auf Grundlage des EU-U.S. Data Privacy Framework bzw. der EU-Standardvertragsklauseln (SCC).

7. Unterstützung, Betroffenenrechte, Rückgabe und Löschung

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO), insbesondere durch den Datenexport in der Anwendung und auf Anfrage per E-Mail an info@getinvoiceflow.de. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er ihr Anliegen unverzüglich an den Verantwortlichen weiter.

(2) Nach Beendigung des Nutzungsverhältnisses löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie ihm zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe erfolgt über den Datenexport in den Einstellungen (ZIP-Archiv mit allen strukturierten Daten und gespeicherten Belegen) oder auf Anfrage per E-Mail.

(3) Solange weder eine nummerierte Rechnung noch ein nummeriertes Angebot vorhanden ist, kann der Verantwortliche sein Konto in den Einstellungen selbst löschen. Andernfalls ist die Selbstlöschung gesperrt, damit Belege nicht versehentlich verloren gehen; die Sperre trifft keine Aussage darüber, ob ein Dokument aufbewahrungspflichtig ist. Der Verantwortliche kann die Löschung in diesem Fall per E-Mail an info@getinvoiceflow.de verlangen. Der Auftragsverarbeiter führt sie unverzüglich aus, weist zuvor auf die Exportmöglichkeit hin und bestätigt die Löschung auf Wunsch in Textform.

(4) Aufbewahrungspflichten des Verantwortlichen, etwa nach § 147 AO, § 257 HGB oder § 14b UStG, erfüllt der Verantwortliche selbst, insbesondere durch den Export vor der Löschung. Kopien in Datensicherungen werden im Rahmen der regulären Sicherungsrotation überschrieben und bis dahin ausschließlich zur Wiederherstellung verwendet.

8. Meldepflichten

Verletzungen des Schutzes personenbezogener Daten melden wir dem Verantwortlichen unverzüglich, damit dieser seinen Pflichten aus Art. 33/34 DSGVO nachkommen kann.