Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen dem Betrieb, der ein Zuruf-Konto registriert (nachfolgend „Verantwortlicher“), und Niclas-Alexander Kühn, Am Ritterskamp 27, 40489 Düsseldorf, sowie Jonas Surmund, Einbrunger Straße 63K, 40489 Düsseldorf, die den Dienst „Zuruf“ derzeit gemeinsam als Privatpersonen betreiben (nachfolgend gemeinsam „Auftragsverarbeiter“), erreichbar unter kontakt@zuruf.app.

Eine Gesellschaft ist derzeit nicht gegründet. Wird der Dienst künftig in eine Gesellschaft überführt, tritt diese im Wege der Vertragsübernahme an die Stelle der bisherigen Betreiber; die Verantwortlichen werden hierüber informiert, § 6 (Ankündigung und Widerspruchsrecht) gilt entsprechend.

Der AVV wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO): Er wird mit Abschluss der Registrierung auf zuruf.app wirksam und bedarf keiner Unterschrift. Die jeweils gültige Fassung ist jederzeit unter zuruf.app/avv abrufbar und als PDF herunterladbar.

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter erbringt für den Verantwortlichen die Software-Dienstleistung „Zuruf“ (Erstellung und Verwaltung von Angeboten und Rechnungen aus Auftragsnotizen, inklusive KI-gestützter Analyse, Dokumentenerzeugung und optionalem E-Mail-Versand). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.

Die Laufzeit dieses AVV entspricht der Laufzeit des Nutzungsverhältnisses. Er endet automatisch mit der Löschung des Kontos.

§ 2 Umfang der Verarbeitung

Gegenstand, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und die Datenarten ergeben sich aus Anlage 1.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen der Anwendung gilt als Weisung; ergänzende Weisungen bedürfen der Textform an kontakt@zuruf.app.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO).

§ 5 Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO). Er darf sie fortschreiben, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Subunternehmer

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 3 genannten Subunternehmer. Beabsichtigte Änderungen veröffentlicht der Auftragsverarbeiter unter zuruf.app/avv und kündigt sie per E-Mail an; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund binnen 14 Tagen widersprechen. Führt ein Widerspruch zu keiner einvernehmlichen Lösung, kann jede Partei das Nutzungsverhältnis beenden.

Mit allen Subunternehmern bestehen Verträge nach Art. 28 DSGVO; bei Anbietern in Drittländern zusätzlich geeignete Garantien (EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln).

§ 7 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO). Primäres Mittel sind die Selbstbedienungsfunktionen der Anwendung (Einsicht, Berichtigung, Export als PDF/CSV, Löschung); darüber hinausgehende Unterstützung erfolgt auf Anfrage an kontakt@zuruf.app.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt ihn bei seinen Pflichten aus Art. 33 und 34 DSGVO.

§ 9 Löschung nach Vertragsende

Mit Löschung des Kontos werden sämtliche personenbezogenen Daten des Verantwortlichen unverzüglich und vollständig gelöscht, soweit keine gesetzliche Aufbewahrungspflicht des Auftragsverarbeiters entgegensteht. Der Verantwortliche ist selbst verpflichtet, seine Belege vor der Konto-Löschung zu exportieren (eigene steuerliche Aufbewahrungspflichten).

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten durch Selbstauskunft, aktuelle Fassungen der Anlagen sowie Nachweise/Zertifizierungen der Subunternehmer nach. Vor-Ort-Kontrollen sind nach angemessener Ankündigung zu den üblichen Geschäftszeiten möglich; eigene Kosten trägt jede Partei selbst.

§ 11 Schlussbestimmungen

Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam. Änderungen dieses AVV werden wie in § 6 beschrieben angekündigt. Im Übrigen gelten die gesetzlichen Regelungen der Art. 28 ff. DSGVO.

Anlage 1 – Beschreibung der Verarbeitung

Gegenstand und Zweck: Erstellung, Verwaltung und Versand von Angeboten und Rechnungen aus gesprochenen oder getippten Auftragsnotizen sowie aus importierten Dateien/Fotos; Verwaltung von Kunden- und Leistungsdaten.

Kategorien betroffener Personen: Kunden und Ansprechpartner des Verantwortlichen; ggf. Mitarbeiter des Verantwortlichen (Team-Funktion).

Datenarten: Stammdaten (Name, Firma, Anschrift), Kontaktdaten (E-Mail, Telefon), Auftrags- und Rechnungsdaten (Leistungen, Mengen, Preise, Rechnungsnummern, Leistungsdaten, Referenzen/Leitweg-ID), Inhalte von Zurufen und Importen.

Besondere Kategorien (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Verantwortliche ist angewiesen, solche Daten nicht einzugeben.

Anlage 2 – Technische und organisatorische Maßnahmen (TOMs)

• Zugangskontrolle: Zugriff nur mit persönlichem Konto; Passwort-Speicherung ausschließlich als Hash durch das Login-System; optionale E-Mail-Bestätigung.
• Zugriffs- und Trennungskontrolle: strikte Mandantentrennung auf Datenbankebene (Row Level Security) – jeder Betrieb sieht ausschließlich seine eigenen Daten.
• Übertragungskontrolle: sämtliche Verbindungen TLS-verschlüsselt (https).
• Speicherort: Datenbank, Login-System und Datei-Speicher in der EU (Frankfurt); Verschlüsselung der Daten im Ruhezustand durch den Datenbank-Anbieter; Serverfunktionen in der Region Frankfurt.
• Eingabekontrolle: unveränderliche Festschreibung von Rechnungen mit Protokollierung (Audit-Log) nach GoBD.
• Verfügbarkeitskontrolle: tägliche automatische Datenbank-Sicherungen durch den Datenbank-Anbieter.
• Löschkonzept: vollständige, unverzügliche Löschung aller Daten bei Konto-Löschung (Selbstbedienung in der App).
• Least Privilege: administrative Schlüssel ausschließlich serverseitig; keine Weitergabe an den Browser.
• Auftragskontrolle: Auftragsverarbeitungsverträge mit sämtlichen Subunternehmern (Anlage 3).

Anlage 3 – Subunternehmer

• Supabase Inc. (USA; Serverstandort EU/Frankfurt) – Datenbank, Login-System, Datei-Speicher – AVV, EU-Standardvertragsklauseln.
• Vercel Inc. (USA; Serverfunktionen Region Frankfurt) – Hosting und Anwendungsbetrieb – AVV, EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln.
• OpenAI, L.L.C. (USA) – KI-Analyse der Auftragsnotizen und Importe – AVV, EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln; keine Nutzung der Inhalte zum KI-Training gemäß API-Bedingungen.
• Resend Inc. (USA) – Versand von Belegen per E-Mail auf Anweisung des Verantwortlichen – AVV, EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln.
• Hinweis: Die optionale Spracheingabe nutzt die Spracherkennung des Browsers des Nutzers (z. B. Google/Apple); diese Anbieter sind keine Subunternehmer des Auftragsverarbeiters.