Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung von Simplework als Software für Betriebe und Schulen (Web-App und Mobile-App) samt Speicherung, Verarbeitung und den vom Verantwortlichen genutzten Zusatzfunktionen. Der Vertrag läuft so lange wie der Nutzungsvertrag für den Workspace und endet mit dessen Beendigung; Pflichten zur Löschung und Vertraulichkeit gelten darüber hinaus.

2. Art und Zweck, Daten und betroffene Personen

Zweck

Verwaltung der Geschäftsdaten des Verantwortlichen: Angebote, Rechnungen, Belege, Kontakte, Projekte, Zeiten, Abwesenheiten, Lohn- und Personaldaten, Bankumsätze, Berichte sowie in Schulen Klassen, Aufgaben, Abgaben und Bewertungen.

Arten von Daten

• Stamm- und Kontaktdaten (Name, Anschrift, E-Mail, Telefon, Kundennummern)
• Vertrags-, Abrechnungs- und Zahlungsdaten (Angebote, Rechnungen, Belege, Bankumsätze)
• Beschäftigtendaten (Arbeitszeiten, Abwesenheiten mit Grund, Vertrags- und Lohndaten, Personaldokumente)
• Projektdaten (Baustellenadressen, Fotos, Tagesberichte, Unterschriften)
• In Schulen: Daten von Lehrkräften und Schülern (Name, E-Mail, Aufgaben, Abgaben, Bewertungen)

Betroffene Personen

Kunden, Lieferanten und Ansprechpartner des Verantwortlichen, seine Beschäftigten und sonstigen Nutzer, in Schulen Lehrkräfte sowie Schülerinnen und Schüler.

3. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind die Nutzung der Funktionen von Simplework (einschließlich der Einstellungen im Workspace, z. B. der Zustimmung zum KI-Assistenten) sowie Weisungen in Textform an requests@simplework.app. Halten wir eine Weisung für rechtswidrig, weisen wir den Verantwortlichen unverzüglich darauf hin. Eine Verarbeitung für eigene Zwecke findet nicht statt; ausgenommen sind gesetzliche Pflichten.

4. Vertraulichkeit

Alle Personen, die bei uns Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet. Zugriff erhalten nur Mitarbeitende, die ihn für Betrieb, Support oder Fehlerbehebung benötigen.

5. Technische und organisatorische Maßnahmen

Wir treffen Maßnahmen nach Art. 32 DSGVO, die dem Risiko angemessen sind, und passen sie dem Stand der Technik an. Dazu gehören insbesondere:

• Verschlüsselte Übertragung (HTTPS/TLS) und Betrieb in Rechenzentren mit Zugangskontrolle in der EU
• Rollen und Berechtigungen im Workspace; Admin-Zugriffe nur für berechtigte Mitarbeitende
• Passwörter nur als Hash, kurzlebige Anmeldesitzungen, Schutz vor gestohlenen Tokens, Passkeys
• Sensible Dateien (Belege, Personaldokumente) nur über kurzlebige, signierte Links
• Verschlüsselte Speicherung von Zugangsdaten für Bankanbindung und Backup-Speicher
• Regelmäßige Datensicherungen und Wiederherstellbarkeit
• Getrennte Daten je Workspace (Mandantentrennung)

6. Unterauftragsverarbeiter

Der Verantwortliche ist mit folgenden Unterauftragsverarbeitern einverstanden. Wir haben mit ihnen Verträge geschlossen, die diesem Vertrag entsprechende Pflichten enthalten.

• DigitalOcean, LLC (USA) – Server, Datenbank und Dateispeicher, Rechenzentren in der EU
• Sinch Mailjet SAS (Frankreich) – Versand von E-Mails, z. B. Angebote und Rechnungen, und Empfang von Belegen an die Eingangsadresse des Betriebs
• finAPI GmbH (Deutschland) – Bankanbindung, nur wenn der Verantwortliche sie aktiviert
• Microsoft Ireland Operations Ltd. (Irland) – Azure AI Document Intelligence, Auslesen von Eingangsrechnungen
• Anthropic, PBC (USA) – KI-Modell Claude: KI-Assistent und Angebotsentwürfe, nur mit Zustimmung des Verantwortlichen

Änderungen

Neue oder ersetzte Unterauftragsverarbeiter kündigen wir mindestens vier Wochen vorher per E-Mail oder in der App an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; können wir keine Lösung anbieten, darf er den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen. Dienste, die der Verantwortliche selbst verbindet (z. B. eigener Backup-Speicher, KI-Assistenten über die Schnittstelle, Steuerberater), sind keine Unterauftragsverarbeiter von uns.

KI-Assistent in Simplework

Der KI-Assistent in Simplework (Vorschläge für Bankumsätze, Eingangsrechnungen und Tagesberichte sowie Angebotsentwürfe aus Beschreibung und Fotos auf Wunsch) ist ausgeschaltet, bis der Verantwortliche in den Workspace-Einstellungen zustimmt, und lässt sich dort jederzeit wieder abschalten. Wir übermitteln an Anthropic nur die für die jeweilige Aufgabe nötigen Daten; Einzelheiten stehen in der Datenschutzerklärung, Abschnitt 4.9. Anthropic nutzt die Daten nicht zum Training von KI-Modellen.

7. Übermittlung in Drittländer

Soweit Daten in ein Land außerhalb der EU bzw. des EWR gelangen, geschieht das nur auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder der EU-Standardvertragsklauseln, jeweils mit ergänzenden Maßnahmen, soweit erforderlich.

8. Unterstützung des Verantwortlichen

Wir unterstützen den Verantwortlichen mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) sowie bei seinen Pflichten aus Art. 32 bis 36 DSGVO. Viele Anfragen kann der Verantwortliche direkt in Simplework erledigen, etwa über das Bearbeiten und Löschen von Datensätzen oder das Backup. Wenden sich betroffene Personen an uns, leiten wir die Anfrage an den Verantwortlichen weiter.

9. Meldung von Datenschutzverletzungen

Wir informieren den Verantwortlichen unverzüglich, nachdem uns eine Verletzung des Schutzes seiner Daten bekannt geworden ist, mit den Angaben, die er für eine Meldung nach Art. 33 und 34 DSGVO benötigt, und ergreifen die nötigen Maßnahmen, um den Schaden zu begrenzen.

10. Löschung und Rückgabe

Der Verantwortliche kann seine Daten jederzeit über das Backup exportieren. Nach Ende des Vertrags löschen wir die Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Rechnungen und Belege, die nach § 147 AO aufzubewahren sind, bleiben bis zum Ablauf der Frist gesperrt gespeichert und werden danach automatisch gelöscht. Datensicherungen laufen innerhalb ihrer üblichen Aufbewahrungszeit aus.

11. Nachweise und Kontrollen

Wir stellen dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die er zum Nachweis der Einhaltung dieses Vertrags benötigt. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung während der Geschäftszeiten möglich, soweit Auskünfte und Nachweise nicht ausreichen; sie dürfen den Betrieb nicht unverhältnismäßig stören und die Vertraulichkeit anderer Kunden nicht gefährden.

12. Schlussbestimmungen

Für die Haftung gelten die Regelungen der Nutzungsbedingungen, soweit Art. 82 DSGVO nichts anderes bestimmt. Änderungen dieses Vertrags teilen wir rechtzeitig mit. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht.

Kontakt

Fragen zu diesem Vertrag und Weisungen richtest du an:

Wudio GmbH – Simplework

requests@simplework.app