Vertrag zur Auftragsverarbeitung (AVV)

Verantwortlicher ist der Kunde, der ein Konto bei InkVoice unterhält. Auftragsverarbeiter ist Mahmoud Halimeh, Verano (Einzelunternehmen), Am Zollhafen 4, 55118 Mainz, Deutschland.

Für die eigenen Stammdaten des Kunden — Name, E-Mail-Adresse, Abrechnungsdaten — ist InkVoice selbst Verantwortlicher; hierfür gilt die Datenschutzerklärung, nicht dieser Vertrag.

Gegenstand ist die Bereitstellung einer Rechnungsanwendung. Verarbeitet werden dabei personenbezogene Daten, die der Kunde selbst eingibt oder erzeugen lässt. Zweck ist ausschließlich die Erbringung der vertraglich vereinbarten Leistung.

Die Verarbeitung umfasst das Erheben, Speichern, Ordnen, Auslesen, Verwenden und Löschen dieser Daten sowie deren Übermittlung an den vom Kunden bestimmten Empfänger, wenn der Kunde eine Rechnung versendet.

Datenarten: Namen und Firmierungen, Anschriften, E-Mail-Adressen, Telefonnummern, Steuernummern und Umsatzsteuer-Identifikationsnummern, Bankverbindungen, Leitweg-IDs, Rechnungsinhalte und Zahlungsstände sowie zugehörige Metadaten.

Betroffene Personen: Kunden und Auftraggeber des Verantwortlichen, deren Ansprechpartner sowie Mitarbeitende des Verantwortlichen, die als Mitglieder eines Arbeitsbereichs angelegt werden.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Kunde stellt sicher, dass er solche Daten nicht in den Dienst eingibt.

Die Verarbeitung erfolgt für die Laufzeit des Nutzungsvertrags. Sie endet mit dessen Beendigung und der anschließenden Löschung nach Ziffer 9.

InkVoice verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisung gilt zunächst dieser Vertrag einschließlich der Nutzung der im Dienst angebotenen Funktionen. Einzelweisungen sind in Textform an die oben genannte Adresse zu richten.

Hält InkVoice eine Weisung für rechtswidrig, wird der Kunde unverzüglich informiert; die Ausführung darf bis zur Bestätigung ausgesetzt werden.

Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzvorschriften unterrichtet. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

InkVoice trifft dem Stand der Technik entsprechende Maßnahmen, insbesondere:

• Transportverschlüsselung sämtlicher Verbindungen über TLS
• Verschlüsselung der Daten im Ruhezustand auf Ebene der Plattform
• Speicherung von Passwörtern ausschließlich als Hash
• Mandantentrennung: jeder Zugriff ist auf den Arbeitsbereich des Kunden begrenzt
• Rollenbasierte Zugriffsrechte innerhalb eines Arbeitsbereichs
• Regelmäßige, verschlüsselte Sicherungen mit definierter Wiederherstellbarkeit
• Protokollierung administrativer Zugriffe
• Betrieb in einem Rechenzentrum innerhalb der Europäischen Union

Die Maßnahmen unterliegen der technischen Weiterentwicklung. Änderungen dürfen das Schutzniveau nicht unterschreiten.

Der Kunde stimmt dem Einsatz der nachfolgend genannten Unterauftragsverarbeiter zu. Alle Verarbeitungen der Kundendaten finden in einem Rechenzentrum innerhalb der Europäischen Union statt.

• Microsoft Corporation (Microsoft Azure), One Microsoft Way, Redmond, WA 98052, USA — Betrieb der Anwendung und der Datenbank, Rechenzentrum in der EU
• Resend, Inc., USA — Versand transaktionaler E-Mails, einschließlich der vom Kunden versendeten Rechnungen
• Stripe, Inc., USA — Zahlungsabwicklung für kostenpflichtige Tarife

Soweit Übermittlungen in Drittstaaten stattfinden, erfolgen sie auf Grundlage der EU-Standardvertragsklauseln oder gleichwertiger Garantien nach Art. 44 ff. DSGVO.

Einen Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters teilt InkVoice mindestens 30 Tage im Voraus in Textform mit. Der Kunde kann aus wichtigem Grund widersprechen; in diesem Fall darf er den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.

Der Kunde kann seine Daten jederzeit über den Dienst exportieren. Nach Beendigung des Nutzungsvertrags werden die Daten nach Ablauf von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Löscht der Kunde sein Konto selbst, erfolgt die Löschung unmittelbar.

InkVoice unterstützt den Kunden im Rahmen des Zumutbaren bei der Erfüllung der Betroffenenrechte nach Art. 12–23 DSGVO sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten nach Art. 32–36 DSGVO.

Wendet sich eine betroffene Person unmittelbar an InkVoice, wird die Anfrage unverzüglich an den Kunden weitergeleitet.

InkVoice informiert den Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, über Verletzungen des Schutzes personenbezogener Daten und teilt die zur Erfüllung der Meldepflichten nach Art. 33 und 34 DSGVO erforderlichen Informationen mit.

InkVoice weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in geeigneter Weise nach. Der Kunde ist berechtigt, sich nach vorheriger Ankündigung mit angemessener Frist und während der üblichen Geschäftszeiten von der Einhaltung zu überzeugen. Die Kontrolle ist auf das Erforderliche zu beschränken und darf den Betrieb nicht unangemessen beeinträchtigen.