Auftragsverarbeitungsvertrag

Du nutzt PrivadiOffice, um deinen Betrieb zu verwalten. Dabei speicherst du Daten von Menschen, die nicht wir sind: deine Kunden, deine Mitarbeiter, deine Ansprechpartner. Für diese Daten bist du verantwortlich. Wir speichern und verarbeiten sie nur, weil du uns damit beauftragst.

Was mit deinen eigenen Daten passiert, steht in der Datenschutzerklärung und nicht hier.

Gegenstand: Bereitstellung und Betrieb der Software PrivadiOffice zur Verwaltung von Kunden, Angeboten, Rechnungen, Terminen, Ausgaben, Schreiben und Mitarbeitern.

Webseite: Hast du die Webseite M oder L gebucht, betreiben wir außerdem die dazugehörigen E-Mail-Postfächer (M eins, L fünf) und speichern die E-Mails darin für dich, bei unserem Hosting-Anbieter in Deutschland.

Dauer: für die Laufzeit des Nutzungsvertrags, einschliesslich der Testphase.

Art und Zweck: Speichern, Ordnen, Auslesen, Verändern, Löschen und Übermitteln der von dir eingegebenen Daten, ausschliesslich um dir die Funktionen der Software bereitzustellen.

Betroffene Personen: deine Kunden und deren Ansprechpartner, deine Mitarbeiter und Bewerber, deine Lieferanten.

Datenarten: Stammdaten (Name, Firma, Anschrift), Kontaktdaten, Vertrags- und Abrechnungsdaten, Termindaten, sowie — soweit du die Mitarbeiterverwaltung nutzt — Personalstammdaten einschliesslich Geburtsdatum, Geburtsort, Staatsangehörigkeit, Steuer-Identifikationsnummer, Steuerklasse, Konfession, Sozialversicherungsnummer, Krankenkasse, Bankverbindung und Angaben zum Arbeitsverhältnis.

Hinweis: Die Konfession ist eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO. Erfasse sie nur, soweit du sie für die Lohnabrechnung tatsächlich brauchst.

Nutzt du Zeiterfassung und Abwesenheiten, kommen hinzu: Arbeitszeiten (Beginn und Ende je Einsatz, zugeordnetes Objekt, errechnete Stunden, Änderungsprotokoll) sowie Abwesenheiten mit Art, Zeitraum, Status und Notiz.

Auch die Angabe, dass ein Mitarbeiter an bestimmten Tagen krank war, ist eine besondere Kategorie nach Art. 9 DSGVO. Erfasse als Art der Abwesenheit „Krankheit“ und trage keine Diagnosen ein.

Nutzt du Teilzahlungen, das Kassenbuch oder die Abrechnung nach § 13b UStG, kommen als Datenarten hinzu: Zahlungsdaten deiner Kunden (Betrag, Eingangstag, Zahlungsart bar/Bank/Karte, freiwillige Notiz und das erfassende Konto), bei bar erfassten Zahlungen der zugehörige Eintrag im Kassenbuch, sowie die steuerliche Einstufung eines Kunden als Steuerschuldner nach § 13b UStG samt Gültigkeit seiner Bescheinigung USt 1 TG. Diese Angaben brauchst du für eine ordnungsgemässe Rechnung und für deine Buchführung.

Nutzt du die Bewerberliste, kommen hinzu: Name, die Tätigkeit, auf die sich jemand beworben hat, Telefonnummer, E-Mail-Adresse, eine freie Notiz und der Tag des Eintrags. Bewerber sind keine Mitarbeiter: Es entsteht daraus keine Personalakte und keine Lohnabrechnung, und das Programm löscht diese Einträge nicht von selbst.

Nutzt du die E-Mail-Postfächer der Webseite, kommen hinzu: Absender und Empfänger deiner E-Mails sowie Inhalt und Anhänge der E-Mails.

Wir verarbeiten die Daten ausschliesslich nach deinen Weisungen. Als Weisung gilt in erster Linie das, was du in der Software selbst tust. Weitere Weisungen richtest du an office@privadi.net.

Halten wir eine Weisung für rechtswidrig, sagen wir dir das und dürfen ihre Ausführung aussetzen.

Wir nutzen die Daten deiner Kunden und Mitarbeiter zu keinem eigenen Zweck — nicht für Werbung, nicht für Auswertungen, nicht für die Weiterentwicklung der Software.

Alle Personen, die auf die Daten zugreifen können, sind zur Vertraulichkeit verpflichtet. Derzeit ist das ausschliesslich der Betreiber selbst. Hast du den Backoffice-Assistenten gebucht, kommt die Person hinzu, die Privadi dafür einsetzt (eigene Mitarbeiter oder freie Mitarbeiter); sie wird vor ihrem Einsatz schriftlich zur Vertraulichkeit verpflichtet und greift nur auf die Daten der gebuchten Funktionen zu.

Nach Art. 32 DSGVO treffen wir insbesondere folgende Massnahmen:

• Verschlüsselte Übertragung über TLS, erzwungen für alle Seiten
• Passwörter nur als Prüfsumme gespeichert, nie im Klartext
• Trennung der Konten in der Datenbank: jede Abfrage ist auf das eigene Konto gefiltert
• Automatische Abmeldung nach einer Stunde ohne Nutzung
• Rücksetz-Links für Passwörter gelten 60 Minuten und genau einmal
• Serverstandort Deutschland, Zugang nur über Schlüsseldatei
• Regelmässige Sicherungen mit Versionierung beim Serveranbieter
• Kein Zugang für den Betreiber zu den Kundendaten der Nutzer; Support-Einblick nur auf ausdrückliche, befristete Freigabe und protokolliert; Backoffice-Assistent nur, wenn du ihn gebucht hast

Wir dürfen die Massnahmen fortentwickeln, solange das Schutzniveau nicht sinkt.

Du stimmst dem Einsatz folgender Unterauftragnehmer zu:

• STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin — Serverbetrieb und Sicherungen, bei gebuchter Webseite auch Domain und E-Mail-Postfächer. Standort Deutschland. Außerdem Versand von E-Mails über unseren Absender office@privadi.de.

Setzt Privadi für den Backoffice-Assistenten freie Mitarbeiter ein, gelten sie als Unterauftragnehmer. Sie werden nur tätig, wenn du den Backoffice-Assistenten gebucht hast, und sind vertraglich an die Pflichten dieses Vertrags gebunden.

Kommt ein weiterer Unterauftragnehmer hinzu, teilen wir dir das vorher mit. Du kannst innerhalb von 14 Tagen widersprechen; in dem Fall darfst du den Vertrag ausserordentlich kündigen.

Nicht als Unterauftragnehmer gilt dein eigener E-Mail-Anbieter: Der Versand deiner Rechnungen läuft über den Postausgangsserver, den du selbst hinterlegst.

Wir unterstützen dich dabei, Anfragen betroffener Personen zu beantworten und deine Pflichten nach Art. 32 bis 36 DSGVO zu erfüllen.

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, melden wir dir das unverzüglich — damit du deine eigene 72-Stunden-Frist gegenüber der Aufsichtsbehörde halten kannst.

Auf Anfrage weisen wir dir die Einhaltung dieses Vertrags nach. Du darfst dich davon überzeugen, in angemessenem Umfang und nach Ankündigung. Vorrangig geschieht das über eine schriftliche Auskunft, damit der Betrieb anderer Nutzer nicht gestört wird.

Nach Ende des Nutzungsvertrags löschen wir die für dich verarbeiteten Daten innerhalb von 30 Tagen. Vorher kannst du sie jederzeit selbst herunterladen.

Die E-Mail-Postfächer der Webseite bestehen, solange die Webseite gebucht ist; danach löschen wir sie mit ihrem Inhalt. Sichere deine E-Mails vorher.

Ausgenommen sind Daten, für die uns eine gesetzliche Aufbewahrungspflicht trifft. Diese werden gesperrt statt gelöscht.

Ändert sich etwas an der Verarbeitung, legen wir dir eine neue Fassung vor. Bis du sie annimmst, gilt die bisherige weiter.

Massgeblich ist die deutsche Fassung dieses Vertrags.