Vertrag zur Auftragsverarbeitung

Dieser Vertrag gilt zwischen Ihnen als Nutzerin oder Nutzer von Invovo („Verantwortlicher“) und Erdal Göktas, norvo labs, Gneisenaustraße 1B, 31275 Lehrte („Auftragsverarbeiter“). Er wird mit der Registrierung in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO) und ist Bestandteil der Nutzungsbedingungen.

Der Auftragsverarbeiter stellt Invovo bereit, ein Online-Werkzeug zum Erstellen und Verwalten von Rechnungen. Er speichert die vom Verantwortlichen eingegebenen Daten, stellt sie dar, berechnet Rechnungsbeträge und erzeugt Rechnungsdokumente als PDF. Eine Verarbeitung zu anderen Zwecken findet nicht statt.

• Betroffene: Kundinnen und Kunden des Verantwortlichen sowie deren Ansprechpartner; der Verantwortliche selbst als Inhaber.
• Daten: Namen, Firmennamen, Anschriften, E-Mail-Adressen, Telefonnummern, Umsatzsteuer-Identifikationsnummern, Kundennummern, Notizen, Rechnungspositionen, Beträge und Zahlungsstatus.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sollen nicht verarbeitet werden.

Der Vertrag gilt, solange der Verantwortliche ein Konto bei Invovo hat. Danach gilt Nummer 9 für die Rückgabe und Löschung der Daten.

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen sind durch diesen Vertrag und die Bedienung von Invovo festgelegt. Weitere Weisungen erteilt der Verantwortliche per E-Mail. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.

• Personen mit Zugang zu den Daten sind zur Vertraulichkeit verpflichtet.
• Er trifft die technischen und organisatorischen Maßnahmen nach Nummer 10.
• Er unterstützt den Verantwortlichen bei Anfragen betroffener Personen sowie bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit ihm das möglich ist.
• Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden.
• Er stellt alle erforderlichen Informationen zum Nachweis dieser Pflichten zur Verfügung und ermöglicht Überprüfungen.

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der eingegebenen Daten verantwortlich, insbesondere für deren Erhebung und für die Information seiner Kunden.

Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Hosting von Anwendung und Datenbank in Rechenzentren in Deutschland

Der E-Mail-Dienstleister erhält nur die E-Mail-Adresse des Kontoinhabers, keine Kundendaten. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail; der Verantwortliche kann widersprechen und in diesem Fall sein Konto löschen. Eine Verarbeitung außerhalb der EU findet nicht statt.

Der Verantwortliche kann seine Rechnungen jederzeit als PDF herunterladen. Löscht er sein Konto, werden die Daten gelöscht. Unterliegen ausgestellte Rechnungen einer gesetzlichen Aufbewahrungspflicht, werden sie mit den zugehörigen Stammdaten bis zum Ablauf der Frist gesperrt gespeichert und anschließend gelöscht.

• Verschlüsselte Übertragung aller Daten (HTTPS/TLS).
• Strikte Trennung der Daten jedes Kontos, abgesichert in der Anwendung und zusätzlich durch Prüfungen in der Datenbank.
• Passwörter nur als Hash (bcrypt); Sitzungen über signierte, nur per HTTP lesbare Cookies.
• Begrenzung wiederholter Anmeldeversuche; Bestätigung der E-Mail-Adresse vor der Nutzung.
• Ausgestellte Rechnungen sind gegen nachträgliche Änderung gesperrt.
• Regelmäßige Datensicherung; Zugriff auf Server und Datenbank nur für den Anbieter mit Schlüssel-Anmeldung.
• Betrieb in einem Rechenzentrum in Deutschland mit Zutrittskontrolle durch den Hoster.

Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.