Vertrag zur Auftragsverarbeitung

Verantwortlicher ist der Nutzer von Invoice Chaser DE, also das Unternehmen, das den Dienst einsetzt und die Daten seiner eigenen Kundinnen und Kunden einstellt.

Auftragsverarbeiter ist Daniel Blazhevski, c/o flexdienst – #21794, Kurt-Schumacher-Straße 74, 67663 Kaiserslautern.

Dieser Vertrag wird mit Annahme der Allgemeinen Geschäftsbedingungen Bestandteil des Nutzungsvertrags. Er gilt für die Dauer des Nutzungsvertrags.

Gegenstand ist das Bereitstellen einer Anwendung zur Nachverfolgung offener Rechnungen und zum Erstellen und Versenden von Zahlungserinnerungen und Mahnungen. Die Verarbeitung erfolgt ausschließlich zu diesem Zweck und ausschließlich, um den Nutzungsvertrag zu erfüllen.

Kategorien personenbezogener Daten: Firmen- und Personennamen, Anschriften, E-Mail-Adressen, Ansprechpartner, Rechnungsnummern, Rechnungs- und Fälligkeitsdaten, Rechnungs- und offene Beträge, Inhalte hochgeladener Rechnungsdokumente, Inhalte und Zeitpunkte versendeter Schreiben.

Kreis der betroffenen Personen: Kundinnen und Kunden des Verantwortlichen sowie deren Ansprechpartnerinnen und Ansprechpartner.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags und dürfen nicht eingestellt werden.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Anwendung durch den Verantwortlichen gilt als Weisung. Weitere Weisungen erfolgen in Textform.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies mit und darf ihre Ausführung aussetzen.

Eine Verarbeitung zu eigenen Zwecken – insbesondere zu Werbezwecken oder zum Trainieren von KI-Modellen – findet nicht statt.

Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.

• Übertragung ausschließlich verschlüsselt über TLS
• Passwörter werden ausschließlich als bcrypt-Hash gespeichert
• Hinterlegte Zugangsdaten für den Mailversand werden mit AES-256-GCM verschlüsselt
• Mandantentrennung: jeder Zugriff auf Rechnungen, Kunden, Schreiben und Dateien wird gegen das Konto des Anfragenden geprüft
• Sitzungen über signierte, ausschließlich serverseitig lesbare Cookies
• Begrenzung der Anfragen bei Anmeldung, Registrierung, Upload und Passwortvorgängen
• Prüfung hochgeladener Dateien auf tatsächlichen Dateityp, nicht auf die Endung
• Sicherheitsheader: strenge Content-Security-Policy, Schutz gegen Einbetten in fremde Seiten, HSTS
• Datenhaltung ausschließlich innerhalb der Europäischen Union

Der Verantwortliche stimmt dem Einsatz der folgenden weiteren Auftragsverarbeiter zu:

• Vercel Inc. – Betrieb und Auslieferung der Anwendung (Hosting, Server-Logs). Verarbeitungsort: Deutschland (Region Frankfurt am Main), EU.
• Railway Corp. – Datenbank: Konto-, Kunden- und Rechnungsdaten sowie hochgeladene Rechnungs-PDFs. Verarbeitungsort: Niederlande (Amsterdam), EU.
• Brevo (Sendinblue SAS) – Versand der Zahlungserinnerungen und Mahnungen sowie von Konto-E-Mails. Verarbeitungsort: Frankreich, EU.

Eine Änderung dieser Liste wird mindestens 30 Tage vorher in Textform mitgeteilt. Der Verantwortliche kann aus wichtigem Grund widersprechen; in diesem Fall kann jede Seite den Vertrag zum Zeitpunkt der Umstellung kündigen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO sowie bei den Pflichten nach Art. 32 bis 36 DSGVO.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, und teilt die ihm bekannten Umstände mit.

Nach Beendigung des Nutzungsvertrags werden die verarbeiteten Daten gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Vor der Beendigung kann der Verantwortliche seine Daten über die Anwendung sichern.

Löscht der Verantwortliche eine Rechnung, werden der Datensatz, die zugehörigen Schreiben und die hochgeladene Datei entfernt.

Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in Textform nach. Der Verantwortliche kann sich nach vorheriger Ankündigung mit angemessener Frist von der Einhaltung überzeugen. Kontrollen erfolgen so, dass der Betrieb nicht unangemessen beeinträchtigt wird.

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der Allgemeinen Geschäftsbedingungen.