AVV

1. Gegenstand und Dauer

Gegenstand dieses Vertrags ist die Auftragsverarbeitung personenbezogener Daten durch den Auftragnehmer (Jochen Schroeder, Reckenbergstr. 27, 35216 Biedenkopf) im Rahmen der Nutzung der SaaS-Plattform sektura. Die Verarbeitung erfolgt für die Dauer der Vertragsbeziehung zwischen dem Auftraggeber (Kunde) und dem Auftragnehmer.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst: Speicherung und Verwaltung von Kundendaten, Projektdaten, Terminen, Rechnungen und Dokumenten des Auftraggebers auf der sektura-Plattform. Die Daten werden ausschliesslich im Auftrag und nach Weisung des Auftraggebers verarbeitet.

3. Art der personenbezogenen Daten

Kontaktdaten (Name, E-Mail, Telefon, Adresse), Vertragsdaten, Rechnungsdaten, Terminvereinbarungen, Projektnotizen, sowie branchenspezifische Daten je nach genutztem Branchendesk.

4. Kategorien betroffener Personen

Kunden und Kontaktpersonen des Auftraggebers, Mitarbeiter des Auftraggebers, Lieferanten und Geschäftspartner des Auftraggebers.

5. Technische und organisatorische Massnahmen (TOMs)

Verschlüsselung: TLS 1.3 für alle Datenübertragungen, AES-256 für Daten at rest. Zugriffskontrolle: Row-Level Security (RLS) in PostgreSQL, strikte Tenant-Isolation. Authentifizierung: JWT mit kurzlebigen Access-Tokens, Rate-Limiting auf Login-Endpunkten. Hosting: Hetzner Online GmbH, Rechenzentrum in Deutschland (EU). Backups: Tägliche automatisierte Sicherung mit 7-Tage-Retention. Monitoring: Sentry Error-Tracking, Prometheus-Metriken, strukturiertes Logging.

6. Unterauftragnehmer

Folgende Unterauftragnehmer werden eingesetzt:

Hetzner Online GmbH — Server-Hosting, Industriestr. 25, 91710 Gunzenhausen, Deutschland

Stripe, Inc. — Zahlungsabwicklung, 185 Berry Street, Suite 550, San Francisco, CA 94107 (EU-Standardvertragsklauseln)

Functional Software, Inc. (Sentry) — Error-Tracking, San Francisco, CA (EU-Standardvertragsklauseln)

Der Auftraggeber wird über Änderungen bei Unterauftragnehmern informiert und hat ein Widerspruchsrecht.

7. Pflichten des Auftragnehmers

Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers, stellt sicher, dass die mit der Verarbeitung betrauten Personen zur Vertraulichkeit verpflichtet sind, ergreift alle erforderlichen TOMs gemäß Art. 32 DSGVO, unterstützt den Auftraggeber bei Betroffenenrechten und Datenschutz-Folgenabschätzungen, und löscht nach Beendigung des Auftrags alle Daten, sofern keine gesetzliche Aufbewahrungspflicht besteht.

8. Kontakt

Für Fragen zum Datenschutz und zur Auftragsverarbeitung: post@jschroeder.net