Auftragsverarbeitungsvertrag (AVV)

Teil A. So funktioniert dieser Vertrag

1. Parteien und Annahme

Der Kunde (das Unternehmen, dem ein Arbeitsbereich gehört; in der App „Team“) ist Verantwortlicher; wir sind Auftragsverarbeiter (Anhang I). Der Inhaber des Arbeitsbereichs nimmt diesen Vertrag für den Kunden an, indem er bei der Registrierung das Kontrollkästchen ankreuzt; dabei werden Version und Zeitpunkt gespeichert. Der Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO) und gilt, solange wir personenbezogene Daten für den Kunden verarbeiten.

2. Die Standardvertragsklauseln

Die Abschnitte I bis III (Klauseln 1 bis 10) der Standardvertragsklauseln im Anhang des Durchführungsbeschlusses (EU) 2021/915 sind unverändert Bestandteil dieses Vertrags, mit folgenden Festlegungen:

• Klausel 5 (Kopplungsklausel) wird nicht verwendet: Jeder Kunde schließt einen eigenen Vertrag.
• Klausel 7.7 Buchstabe a: Option 2, allgemeine schriftliche Genehmigung. Wir informieren den Kunden über jede beabsichtigte Änderung der Liste der Unterauftragsverarbeiter mindestens 14 Tage im Voraus oder länger, wenn unsere Unterauftragsverarbeiter uns eine längere Frist geben (Abschnitt 4).
• Die Anhänge sind unten ausgefüllt (Anhänge I bis IV).

Amtlicher Text: Durchführungsbeschluss (EU) 2021/915 auf EUR-Lex, in allen EU-Sprachen verfügbar.

Widersprechen dieser Teil A oder unsere AGB den Klauseln, gehen die Klauseln vor.

3. Weisungen

Die dokumentierten Weisungen des Kunden sind dieser Vertrag, die AGB und das, was der Kunde und sein Team in der App tun, zum Beispiel eine Rechnung per E-Mail senden, einen Import starten oder einen Export herunterladen. Lädt ein Inhaber eine Steuerkanzlei oder Buchhaltung des Kunden ein, ist diese Einladung die Weisung des Kunden, ihr die ausgestellten Rechnungen und Stornorechnungen des Arbeitsbereichs, ihre Dateien, die Ausgaben mit ihren Belegen, die Auswertungen und die Exporte zu zeigen, bis ein Inhaber den Zugang entfernt. Die Steuerkanzlei ist Empfängerin des Kunden, nicht unsere Unterauftragsverarbeiterin. Gibt der Kunde die Adresse des Postfachs für Eingangsrechnungen seines Arbeitsbereichs weiter oder lädt er Dateien in das Postfach hoch, ist das seine Weisung, diese Rechnungen und die E-Mails, mit denen sie kommen, zu empfangen, zu prüfen, zu speichern und anzuzeigen. Wir weisen den Kunden darauf hin, wenn eine Weisung nach unserer Auffassung gegen Datenschutzrecht verstößt.

4. Unterauftragsverarbeiter

Der Kunde genehmigt die Unterauftragsverarbeiter in Anhang IV. Über eine beabsichtigte Änderung informieren wir die Inhaber der Arbeitsbereiche mindestens 14 Tage vor ihrem Inkrafttreten per E-Mail und aktualisieren Anhang IV. Wir haben 14 Tage gewählt, weil einige unserer eigenen Unterauftragsverarbeiter (zum Beispiel Resend) uns diese Frist geben; gibt uns ein Unterauftragsverarbeiter eine längere Frist, geben wir die längere Frist an den Kunden weiter. Der Kunde kann innerhalb dieser Frist widersprechen. Können wir den Widerspruch nicht ausräumen, kann der Kunde den bezahlten Tarif vor dem Inkrafttreten der Änderung kündigen und erhält bereits bezahlte Entgelte für den nicht genutzten Zeitraum anteilig erstattet. Wir verpflichten jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten und bleiben für seine Arbeit verantwortlich.

Übermittlungen außerhalb des EWR. Verarbeitet ein Unterauftragsverarbeiter Kundendaten außerhalb des EWR (Cloudflare und Resend, beide in den USA, Anhang IV), haben wir mit ihm die Standardvertragsklauseln der Kommission für die Übermittlung in Drittländer (Durchführungsbeschluss (EU) 2021/914), Modul 3 (Auftragsverarbeiter an Unterauftragsverarbeiter), vereinbart; die Auftragsverarbeitungsverträge beider Anbieter enthalten dieses Modul und gelten automatisch für ihre Kunden. Ist der Unterauftragsverarbeiter nach dem EU-US Data Privacy Framework zertifiziert, kann sich die Übermittlung zusätzlich auf den Angemessenheitsbeschluss der Kommission dazu stützen. Diese Klauseln gelten neben den Klauseln nach dem Durchführungsbeschluss (EU) 2021/915, die den Kern dieses Vertrags nach Art. 28 DSGVO bilden (Abschnitt 2).

5. Informationen und Kontrollen

Wir beantworten Fragen des Kunden zu unserer Verarbeitung und stellen die Informationen bereit, die zum Nachweis der Einhaltung nötig sind, zunächst schriftlich und mit Anhang III dieses Vertrags. Reicht das nicht aus, kann der Kunde oder ein zur Verschwiegenheit verpflichteter Prüfer nach angemessener Vorankündigung eine Kontrolle durchführen, zu Geschäftszeiten und ohne den Betrieb zu stören. Die Kosten einer Vor-Ort-Kontrolle trägt der Kunde, es sei denn, die Kontrolle ergibt, dass wir wesentlich gegen diesen Vertrag verstoßen haben.

6. Verletzungen des Schutzes personenbezogener Daten

Wir melden dem Kunden eine Verletzung des Schutzes seiner personenbezogenen Daten unverzüglich, nachdem sie uns bekannt geworden ist, mit den Angaben nach Klausel 9 der Klauseln, und unterstützen ihn bei seinen Pflichten nach Art. 33 und 34 DSGVO.

7. Ende der Verarbeitung: Rückgabe und Löschung

Der Kunde kann alle seine Daten jederzeit exportieren, auch aus einem geschlossenen Arbeitsbereich (siehe AGB, Abschnitt 8). Schließt der Kunde seinen Arbeitsbereich oder beendet er sein Konto, wählt der Inhaber des Arbeitsbereichs für den Kunden eine von zwei Möglichkeiten:

• Exportieren, dann alles löschen: Der Kunde lädt den vollständigen Export herunter, und wir löschen den Arbeitsbereich mit allen personenbezogenen Daten.
• Schreibgeschütztes Archiv behalten: Wir bewahren den Arbeitsbereich im Auftrag des Kunden als schreibgeschütztes Archiv bis zum Ende der gesetzlichen Aufbewahrungsfrist des Kunden für Rechnungen und Buchungsunterlagen auf (bis für keine seiner Rechnungen, Angebote, Ausgaben und Eingangsrechnungen mehr eine Aufbewahrungsfrist läuft: 10 Jahre nach Ende des Jahres der jüngsten davon, mindestens aber 30 Tage nach dem Schließen des Arbeitsbereichs), damit der Kunde seine eigenen Aufbewahrungspflichten erfüllen kann, und löschen ihn danach. Der Kunde kann weiterhin alles ansehen und exportieren und uns jederzeit bitten, das Archiv früher zu löschen.

Löschanträge führen wir innerhalb von 30 Tagen aus, soweit nicht Unionsrecht oder das Recht eines Mitgliedstaats uns zur Aufbewahrung verpflichtet. Gelöschte Daten verschwinden innerhalb von 30 Tagen aus den Backups. Ein aufbewahrtes Archiv löschen wir auf dieselbe Weise am Ende der Aufbewahrungsfrist oder auf Anfrage früher.

8. Anfragen von Behörden

Wir geben Daten des Kunden nur an Behörden heraus, wenn Unionsrecht oder das Recht eines Mitgliedstaats uns dazu verpflichtet, und informieren den Kunden über die Anfrage, sofern das Gesetz es nicht verbietet. Die Infrastruktur und ihre Rechtshoheit stehen in Anhang IV.

9. Haftung

Die Haftung nach diesem Vertrag richtet sich nach Abschnitt 12 der AGB, soweit die DSGVO nichts anderes bestimmt.

Teil B. Unsere Pflichten im Überblick

Eine einfache Zusammenfassung dessen, was die Klauseln von uns verlangen. Maßgeblich sind die Klauseln selbst.

• Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen außerhalb des EWR.
• Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.
• Wir schützen die Daten mit den Maßnahmen in Anhang III (Art. 32 DSGVO).
• Wir setzen Unterauftragsverarbeiter nur wie in Abschnitt 4 und Anhang IV beschrieben ein.
• Wir unterstützen den Kunden bei Anfragen betroffener Personen (Art. 15 bis 22 DSGVO) und bei seinen Pflichten nach Art. 32 bis 36 DSGVO.
• Wir melden Verletzungen des Schutzes personenbezogener Daten unverzüglich (Abschnitt 6).
• Am Ende der Verarbeitung geben wir die Daten zurück und löschen sie wie in Abschnitt 7 beschrieben.
• Wir stellen die zum Nachweis nötigen Informationen bereit und ermöglichen Kontrollen (Abschnitt 5).

Anhang I. Liste der Parteien

Verantwortlicher	Der Kunde: das in den Verkäuferdaten des Arbeitsbereichs genannte Unternehmen, vertreten durch den Inhaber des Arbeitsbereichs, der diesen Vertrag angenommen hat. Kontakt: die E-Mail-Adresse des Inhabers.
Auftragsverarbeiter	Aleksandr Ulanov, Gran Via de les Germanies 29, 46006 Valencia, Spanien, NIF Z2402794N. Kontakt zum Datenschutz: hello@clockaroo.com.

Anhang II. Beschreibung der Verarbeitung

Kategorien betroffener Personen

• Das Team des Kunden: Inhaber und Teammitglieder des Arbeitsbereichs sowie aus einem anderen Tool importierte Personen ohne Zugang.
• Die Kunden des Kunden und deren Ansprechpersonen.
• Empfänger von Rechnungs-E-Mails, die über den Dienst versendet werden.
• Personen, die in den Verkäuferdaten des Kunden genannt sind (zum Beispiel Geschäftsführer).
• Steuerkanzleien, denen der Kunde Zugang gibt (zum Beispiel Steuerberater oder Buchhaltung).
• Lieferanten des Kunden und deren Ansprechpersonen, wie sie in Rechnungen und E-Mails genannt sind, die der Kunde über das Postfach für Eingangsrechnungen erhält.

Kategorien personenbezogener Daten

• Team: Namen, E-Mail-Adressen, Rollen, Zeiteinträge (Datum, Dauer, Start- und Endzeit aus dem Timer, Projekt, Tätigkeit, Notizen, abrechenbar ja oder nein), Stundensätze.
• Kunden: Namen, Anschriften, Ansprechpersonen, E-Mail- und elektronische Adressen, USt-IdNr., Käuferreferenzen und Leitweg-IDs, Rechnungssprache und -format, Notizen.
• Rechnungen: Rechnungsinhalt, ausgestellte PDF- und XML-Dateien, das festgeschriebene Abbild jeder Rechnung, Zahlungsstatus, Nachweise über versendete Rechnungen (Empfängeradresse und Zeitpunkt).
• Verkäuferdaten: Firmenname, Anschrift, USt-IdNr. und Steuernummer, Bankverbindung (IBAN, BIC), Registerangaben, Geschäftsführer, E-Mail und Telefon.
• Das Änderungsprotokoll des Arbeitsbereichs: wer was wann geändert hat, auch was Steuerkanzleien heruntergeladen und exportiert haben.
• Steuerkanzleien: Name, E-Mail-Adresse, Beginn und Ende des Zugangs und wer ihn gegeben und beendet hat, letzte Nutzung.
• Ausgaben und Belege: Datum, Betrag, Lieferant, Notizen, die Person, die bezahlt hat, sowie die Belegfotos oder -dateien; sie können Namen von Lieferanten, Gästen oder Beschäftigten enthalten und bei Fotos den Aufnahmeort.
• Aus Harvest importierte Daten: Personen, Kunden und Kontakte, Projekte, Stundensätze, Zeiteinträge, Ausgaben, Rechnungen und Zahlungen.
• Eingangsrechnungen: Name, Anschrift, USt-IdNr. und Steuernummer des Lieferanten, Bankverbindung, Namen und E-Mail-Adressen von Ansprechpersonen sowie der übrige Inhalt jeder Rechnungsdatei, wie sie eingegangen ist; Kopfzeilen und Nachrichtentext der E-Mails, mit denen sie kamen.
• Kalendertermine: Titel, Beginn und Ende der Termine aus einem Kalenderlink, den ein Teammitglied hinzufügt (45 Tage gespeichert), und der Link selbst, verschlüsselt gespeichert.

Sensible Daten

Der Dienst ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten über strafrechtliche Verurteilungen gedacht. Der Kunde sollte solche Daten nicht eingeben, auch nicht in Notizen.

Art der Verarbeitung

Speichern, Ordnen und Anzeigen; Berechnung von Stunden, Beträgen und Umsatzsteuer; Erstellen, Prüfen und Speichern von Rechnungen und E-Rechnungsdateien (die Prüfung läuft auf unserem eigenen Server, ohne Dritte); Versand von Rechnungs-E-Mails auf Weisung des Kunden; Empfang von Rechnungen und E-Mails, die an das Postfach für Eingangsrechnungen des Kunden gesendet werden, und ihre Prüfung auf unserem eigenen Server; Abruf von Kalenderlinks, die Teammitglieder hinzufügen; Importe aus anderen Tools auf Weisung des Kunden; Exporte; Backups.

Zweck

Bereitstellung des Dienstes für den Kunden nach den AGB.

Dauer

Für die Dauer der Nutzung des Dienstes durch den Kunden und danach bis zur Löschung nach Abschnitt 7.

Verarbeitung durch Unterauftragsverarbeiter

Wie in Anhang IV aufgeführt, für denselben Zweck und dieselbe Dauer.

Anhang III. Technische und organisatorische Maßnahmen

Wir führen die umgesetzten Maßnahmen auf. Die unten beschriebenen Backups werden eingerichtet, bevor wir neue Konten annehmen.

Verschlüsselung und Geheimnisse

• Alle Verbindungen zum Dienst laufen über HTTPS; einfaches HTTP wird umgeleitet, und Browser werden angewiesen, nur HTTPS zu verwenden.
• Passwörter werden nur als bcrypt-Hashes gespeichert. Zugangstoken für Importe und die Geheimnisse des zweiten Faktors der Admins sind in der Datenbank verschlüsselt. Admin-Sitzungstoken und die Token gespeicherter Rechnungsformulare werden nur als SHA-256-Hashes gespeichert.
• Backups werden verschlüsselt, bevor sie den Hauptserver verlassen.
• Die Festplatte des Servers ist im Ruhezustand nicht verschlüsselt. Der Zugang zum Server ist wie unter Zugriffskontrolle beschrieben beschränkt, und Backups sind verschlüsselt.

Integrität von Rechnungen und Aufzeichnungen

• Ausgestellte Rechnungen und ihre Positionen sind durch Datenbank-Trigger festgeschrieben; nur Status, Zahlungsdatum und Stornodatum können sich ändern.
• Die PDF- und XML-Dateien einer ausgestellten Rechnung werden einmal mit SHA-256-Prüfsumme gespeichert und nie neu erzeugt.
• Das Änderungsprotokoll jedes Arbeitsbereichs lässt nur neue Einträge zu.
• Getrennte Datenbankrollen: Die App läuft mit einer Rolle, die das Änderungsprotokoll weder ändern noch löschen noch leeren darf; Schemaänderungen laufen über eine eigene Eigentümerrolle.

Zugriffskontrolle

• Die Daten eines Arbeitsbereichs sind nur für dessen Mitglieder und für Steuerkanzleien zugänglich, die ein Inhaber einlädt. Rollen: Inhaber verwalten Einstellungen, Tarif und Exporte; Teammitglieder sehen in Berichten nur ihre eigenen Stunden, ohne Beträge oder Stundensätze.
• Steuerkanzleien sehen ausgestellte Rechnungen und Stornorechnungen, ihre Dateien, die Ausgaben nach Monat mit ihren Belegen (Originale als Download, ohne Angabe, wer bezahlt hat), die Auswertungen nach Kunde und Projekt und die Exporte, nur lesend; ändern können sie allein die DATEV-Einstellungen, und die Inhaber erhalten dann eine E-Mail. Entwürfe, Zeiteinträge, das Team, die Einstellungen und die Abrechnung sehen sie nicht. Sie müssen die Zwei-Faktor-Authentifizierung nutzen und nach 12 Stunden ihr Passwort erneut eingeben. Der Zugang wird bei jeder Anfrage geprüft; entfernt ein Inhaber ihn, enden die Sitzungen der Steuerkanzlei sofort.
• Geschlossene Arbeitsbereiche sind schreibgeschützt.
• Begrenzung wiederholter Anmelde- und Registrierungsversuche.
• Unser Admin-Bereich nutzt eigene Admin-Konten mit Passwort und zweitem Faktor (TOTP). Fünf Fehlversuche sperren das Konto für 30 Minuten. Jede Admin-Anmeldung, jeder Fehlversuch, jede Sperre und jede Änderung am zweiten Faktor wird in ein Protokoll geschrieben, das nur neue Einträge zulässt. Das Admin-Cookie ist nur per HTTP lesbar, wird nur verschlüsselt übertragen und nur an unsere eigene Website gesendet.
• Zugang zum Server nur per SSH mit Schlüsseln, beschränkt auf den Betreiber; die Anmeldung mit Passwort ist abgeschaltet.

Datensparsamkeit und Löschung

• Passwörter, Token, E-Mail-Adressen, Bankverbindungen, Steuernummern und Daten der Rechnungsparteien werden aus den Anwendungsprotokollen herausgefiltert.
• Exportdateien werden 7 Tage nach dem Erstellen gelöscht.
• Für ein kostenloses Konto gespeicherte Rechnungsformulare werden bei Übernahme oder Verwerfen gelöscht, spätestens nach 24 Stunden.
• Zugangstoken für Importe werden gelöscht, wenn der Import endet.
• Im kostenlosen Prüf-Tool hochgeladene Dateien werden nicht gespeichert.

Verfügbarkeit und Wiederherstellung

• Backups sind verschlüsselt und werden stets außerhalb des Hauptservers gespeichert, im R2-Speicher von Cloudflare, der auf die EU beschränkt ist. Sie werden 30 Tage aufbewahrt.
• Die Datenbank wird täglich gesichert, die gespeicherten Dateien jede Nacht. Eine Wiederherstellung wird beim Einrichten der Backups und nach Änderungen an der Einrichtung getestet.
• Unser Hosting-Anbieter netcup GmbH ist nach ISO/IEC 27001:2022 zertifiziert. Sein Rechenzentrum in Nürnberg hat eine physische Zutrittskontrolle, eine Videoüberwachung rund um die Uhr und eine unterbrechungsfreie Stromversorgung mit Dieselgenerator.

Vorfälle

• Fehler werden in das Server-Log geschrieben, und der Betreiber erhält E-Mail-Warnungen zu Abrechnungsproblemen, etwa zu einer Zahlungsmeldung, die zu keinem Arbeitsbereich passt, oder zu einer abgelehnten Änderung der Personenzahl.
• Der Betreiber bewertet jede vermutete Verletzung des Schutzes personenbezogener Daten, dokumentiert die Fakten, die Auswirkungen und die Abhilfemaßnahmen (Art. 33 Abs. 5 DSGVO) und benachrichtigt betroffene Kunden wie in Abschnitt 6 beschrieben.

Anhang IV. Unterauftragsverarbeiter und Speicherort der Daten

Unterauftragsverarbeiter	Tätigkeit mit Kundendaten	Standort	Garantie für die Übermittlung
netcup GmbH, Karlsruhe, Deutschland	Server, Datenbank und gespeicherte Dateien: alle Daten der Arbeitsbereiche	Nürnberg, Deutschland	Nicht nötig (EU)
Cloudflare, Inc., USA	DNS, Auslieferung von Inhalten, TLS und Schutz vor Angriffen; sieht Anfragen bei der Übertragung; empfängt eingehende E-Mails für das Postfach für Eingangsrechnungen und leitet sie an unseren Server weiter (Email Routing, Workers)	USA, weltweites Netz	EU-Standardvertragsklauseln 2021/914, Modul 3 (Abschnitt 4); EU-US Data Privacy Framework
Resend, Inc., USA	Zustellung von E-Mails, auch der Rechnungs-E-Mails des Kunden mit Anhängen	Versand aus Irland, Speicherung in den USA	EU-Standardvertragsklauseln 2021/914, Modul 3 (Abschnitt 4); EU-US Data Privacy Framework
Cloudflare, Inc. (R2-Speicher)	Verschlüsselte Backups aller Daten der Arbeitsbereiche, stets außerhalb des Hauptservers gespeichert; ein Zwischenspeicher für E-Mails an das Postfach für Eingangsrechnungen, solange unser Server nicht erreichbar ist, höchstens 7 Tage	EU (Speicherung auf die EU beschränkt)	Speicherung in der EU; EU-Standardvertragsklauseln 2021/914, Modul 3, und das EU-US Data Privacy Framework für Cloudflare, Inc.

Einen Dienst zur Fehlerüberwachung nutzen wir derzeit nicht. Kommt einer hinzu, kündigen wir das wie in Abschnitt 4 beschrieben an.

Support-E-Mails. Unsere Support-Adressen leiten an ein Postfach weiter, das kein Unterauftragsverarbeiter im Sinne dieses Vertrags ist. Bitte senden Sie keine Daten der Arbeitsbereiche per E-Mail; nutzen Sie stattdessen den Export oder die App.

Keine Unterauftragsverarbeiter: die Steuerkanzleien des Kunden. Steuerkanzleien, die ein Inhaber einlädt, sehen die Daten des Kunden auf dessen Weisung (Abschnitt 3) als seine eigenen Empfänger. Sie sind nicht unsere Unterauftragsverarbeiter, und ihre Einladung ändert diese Liste nicht.

Kein Unterauftragsverarbeiter: Paddle. Paddle (Paddle.com Market Ltd, Vereinigtes Königreich; Paddle.com Inc., USA, für Käufer in den USA) verkauft die bezahlten Tarife als Händler (Merchant of Record). Paddle verarbeitet die Rechnungsdaten des Käufers als eigenständiger Verantwortlicher nach eigenen Bedingungen und eigener Datenschutzerklärung, nicht im Auftrag des Kunden, und hat keinen Zugriff auf die Daten der Arbeitsbereiche.