Vereinbarung zur Auftragsverarbeitung

1. Vertragspartner

Auftragsverarbeiter

Mario Mohar — ankero (Einzelunternehmen)

Anschrift

Uteweg 37, 9020 Klagenfurt am Wörthersee, Österreich

E-Mail

info@ankero.app

Verantwortlicher im Sinne der DSGVO ist das Unternehmen, das ankero nutzt. Es bestimmt Zwecke und Mittel der Verarbeitung; wir verarbeiten in seinem Auftrag.

2. Gegenstand

Gegenstand ist der Betrieb der Software ankero als Dienst: Bereitstellung, Speicherung der eingegebenen Daten, Zustellung der von der Software ausgelösten E-Mails sowie Wartung und Fehlerbehebung.

3. Dauer

Die Vereinbarung gilt für die Dauer des Nutzungsverhältnisses. Sie endet mit dessen Beendigung; die Pflichten zur Löschung nach Punkt 9 bestehen darüber hinaus fort.

4. Art und Zweck der Verarbeitung

Verarbeitet wird, was der Verantwortliche in ankero einträgt oder eintragen lässt: Kontakt- und Kundendaten, Projekte und Aufgaben, Zeiterfassungen, Belege und Rechnungsdaten, Notizen, Dateianhänge sowie die Zugangsdaten der eigenen Benutzerinnen und Benutzer.

Betroffen sind damit typischerweise Mitarbeitende und externe Kräfte des Verantwortlichen sowie dessen Kundinnen, Kunden und Interessenten. Zweck ist ausschließlich die Erbringung des Dienstes. Eine Verarbeitung zu eigenen Zwecken — insbesondere zu Werbung, Auswertung oder Weitergabe — findet nicht statt.

5. Weisungsbindung

Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gilt zunächst die Nutzung der Software selbst; darüber hinausgehende Weisungen sind in Textform zu erteilen. Sind wir der Ansicht, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, teilen wir das unverzüglich mit und dürfen ihre Ausführung aussetzen.

6. Vertraulichkeit

Alle Personen, die auftragsgemäß Zugang zu diesen Daten haben, sind zur Vertraulichkeit verpflichtet; die Verpflichtung besteht über das Ende ihrer Tätigkeit hinaus fort. Zugang erhält nur, wer ihn für Betrieb, Wartung oder Fehlerbehebung tatsächlich benötigt.

7. Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen sind umgesetzt und im Quelltext nachvollziehbar:

• Verschlüsselung in der ÜbertragungDie Anwendung ist ausschließlich über TLS erreichbar. Auch der Mailversand und die Namensauflösung laufen über die unten genannten Anbieter verschlüsselt.
• Mandantengetrennte DatenhaltungJeder Datensatz trägt die Kennung seines Mandanten, und die Beziehungen zwischen Datensätzen sind als zusammengesetzte Fremdschlüssel aus Mandant und Datensatz angelegt. Eine Verknüpfung über Mandantengrenzen hinweg ist damit nicht bloß unwahrscheinlich, sondern von der Datenbank abgewiesen.
• Rollenbasierte RechteJede Person trägt eine Rolle (Inhaberin oder Inhaber, Mitarbeitende, Externe). Darüber hinaus lassen sich Rechte je Bereich und je Projekt vergeben — eine externe Kraft sieht standardmäßig nur die ihr zugewiesenen Aufgaben und keine Finanzdaten.
• Begrenzte SitzungenAnmelde-Token laufen ab: nach sieben Tagen für Inhaberinnen und Inhaber, nach acht Stunden für alle anderen.
• Zwei-Faktor-AnmeldungJede Person kann die Anmeldung mit einem zweiten Faktor aus einer Authenticator-App absichern.
• ProtokollAnmeldungen, Änderungen an Rechten und Schlüsseln, festgeschriebene Belege und Löschungen werden mit Zeitpunkt, Person und IP-Adresse protokolliert und nach 365 Tagen gelöscht.
• Herausgabe der DatenInhaberinnen und Inhaber können jederzeit alle Daten und Dateien ihres Kontos als ZIP-Datei herunterladen.
• PasswörterPasswörter werden ausschließlich als bcrypt-Hash gespeichert und nie im Klartext übertragen oder abgelegt.
• SicherungenVor jeder Aktualisierung der Software wird eine Sicherung der Datenbank angelegt und auf Vollständigkeit geprüft. Es wird nur eine begrenzte Anzahl älterer Stände vorgehalten.
• MissbrauchsschutzÖffentlich erreichbare Endpunkte sind mengenmäßig begrenzt. Die dafür nötige IP-Adresse liegt längstens eine Stunde im Arbeitsspeicher und wird nicht gespeichert.

Die Maßnahmen werden fortgeschrieben. Eine Änderung darf das Schutzniveau nicht unterschreiten.

8. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die diese Vereinbarung uns auferlegt (Art. 28 Abs. 4 DSGVO).

Einen Wechsel oder eine Ergänzung teilen wir mindestens 30 Tage vorher per E-Mail mit. Der Verantwortliche kann in dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden wir keine Lösung, kann er den Vertrag zum Zeitpunkt der Änderung kündigen.

Betrieb der Server

Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern

Standort der Server

Frankfurt am Main, Deutschland

• Resend (Plus Five Five, Inc.)Sitz: Vereinigte StaatenVersand der E-Mails, die ankero auslöst: Bestätigungen, Benachrichtigungen, Angebote und Rechnungen, die Sie aus ankero verschicken, sowie E-Mails aus Automationen.Übermittlung: Zertifiziert nach dem EU-US Data Privacy Framework; der Vertrag zur Auftragsverarbeitung enthält zusätzlich die Standardvertragsklauseln der EU.
• Cloudflare, Inc.Sitz: Vereinigte StaatenAuflösung der Domain und Ausstellung des TLS-Zertifikats.Übermittlung: Zertifiziert nach dem EU-US Data Privacy Framework; der Vertrag zur Auftragsverarbeitung enthält zusätzlich die Standardvertragsklauseln der EU.

Die Anwendung und ihre Daten liegen auf Servern in der EU. Eine Übermittlung in ein Drittland findet nur über die hier genannten Anbieter statt und nur auf Grundlage eines Angemessenheitsbeschlusses (Art. 45 DSGVO) oder der Standardvertragsklauseln der EU (Art. 46 Abs. 2 lit. c DSGVO).

9. Löschung nach Vertragsende

Nach Beendigung des Vertrags werden die verarbeiteten Daten nach Wahl des Verantwortlichen herausgegeben oder gelöscht. Die Löschung erfasst den Mandanten vollständig: alle Datensätze, die seine Kennung tragen, werden gelöscht, ebenso die hochgeladenen Dateien. Anschließend wird geprüft, dass kein Datensatz des Mandanten zurückgeblieben ist. Sicherungen laufen nach ihrer Vorhaltefrist aus; bis dahin bleiben sie gegen Zugriff geschützt und werden nicht wiederhergestellt, außer der Verantwortliche verlangt es.

Gesetzliche Aufbewahrungspflichten des Verantwortlichen bleiben unberührt und gehen einer Löschung vor.

10. Unterstützung und Kontrolle

Wir unterstützen den Verantwortlichen bei Anfragen betroffener Personen, bei der Sicherheit der Verarbeitung und bei einer Datenschutz-Folgenabschätzung, soweit ihm das ohne unsere Mitwirkung nicht möglich ist. Eine Verletzung des Schutzes personenbezogener Daten melden wir unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, mit den Angaben, die der Verantwortliche für seine eigene Meldung nach Art. 33 DSGVO braucht.

Der Verantwortliche kann die Einhaltung dieser Vereinbarung überprüfen. Kontrollen werden mit angemessener Vorlaufzeit vereinbart und so durchgeführt, dass der Betrieb und die Daten anderer Mandanten nicht beeinträchtigt werden. Sie sind für den Verantwortlichen kostenlos, soweit sie einmal im Jahr oder aus konkretem Anlass stattfinden.

11. Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Allgemeinen Geschäftsbedingungen. Widersprechen sich beide in Fragen des Datenschutzes, geht diese Vereinbarung vor. Änderungen teilen wir wie Änderungen der AGB mindestens 30 Tage vorher mit. Es gilt österreichisches Recht.