Auftragsverarbeitungsvertrag (AVV)

zwischen dir als Nutzer von Mahnpilot (nachfolgend „Verantwortlicher“)
und
Colin Schweikert, Ostenbergstraße 113, 44227 Dortmund, info.Mahnpilot@web.de (nachfolgend „Auftragsverarbeiter“)

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 DSGVO. Er wird durch die ausdrückliche Zustimmung des Verantwortlichen bei der Registrierung geschlossen; der Zeitpunkt dieser Zustimmung wird zu seinem eigenen Nachweis gespeichert.

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche über seine eigenen Kunden in Mahnpilot erfasst (Firmenname, Ansprechpartner, E-Mail-Adresse, Anschrift sowie Rechnungsdaten), zum Zweck der automatisierten Erstellung und des Versands von Zahlungserinnerungen und Mahnungen im Namen des Verantwortlichen.

Die Dauer der Verarbeitung entspricht der Dauer der Nutzung von Mahnpilot durch den Verantwortlichen.

Art der Verarbeitung: Erheben, Speichern, Übermitteln (per E-Mail) und Löschen der genannten Daten mittels der in Ziffer 6 genannten Dienstleister.

Kategorien betroffener Personen: Kunden und Ansprechpartner des Verantwortlichen.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, die sich aus der bestimmungsgemäßen Nutzung von Mahnpilot ergibt, es sei denn, er ist durch das Recht der Europäischen Union oder der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet.

Der Auftragsverarbeiter stellt sicher, dass Personen, die zur Verarbeitung der Daten befugt sind, sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Mahnpilot betreibt keine eigene Serverhardware; Zutritts- und Betriebssicherheit der Rechenzentren werden von den in Ziffer 6 genannten Subunternehmern (Supabase, Vercel) im Rahmen von deren eigenen Zertifizierungen sichergestellt.

Zutrittskontrolle
Die physische Infrastruktur liegt bei Supabase (Rechenzentrum Frankfurt am Main, Betreiber AWS eu-central-1) und Vercel. Der Auftragsverarbeiter hat keinen physischen Zugang zu dieser Hardware und verlässt sich auf die Zutrittskontrollen dieser Anbieter.

Zugangskontrolle
Zugriff auf Datenbank, Backend und Hosting-Umgebung ist auf den Auftragsverarbeiter persönlich beschränkt und durch Zwei-Faktor- Authentifizierung bei Supabase, Vercel und GitHub geschützt. Nutzerpasswörter werden ausschließlich von Supabase Auth verwaltet und dort gehasht gespeichert; der Auftragsverarbeiter selbst hat zu keinem Zeitpunkt Zugriff auf Klartext-Passwörter.

Zugriffskontrolle
Innerhalb der Datenbank erzwingt Row Level Security, dass jeder Nutzer ausschließlich auf seine eigenen Kunden, Rechnungen und Ereignisprotokolle zugreifen kann (Datenbankrichtlinie, nicht nur Anwendungslogik). Hochgeladene Rechnungs-PDFs liegen in einem privaten Speicherbereich, ebenfalls pro Nutzer isoliert. Ein administrativer Zugriff, der diese Beschränkung umgeht, ist auf den täglichen Mahnlauf beschränkt und nur serverseitig möglich, nie über die Nutzeroberfläche.

Weitergabekontrolle
Sämtliche Datenübertragung erfolgt verschlüsselt (TLS). Eine Weitergabe an Dritte findet ausschließlich im Rahmen der in Ziffer 6 genannten Subunternehmer statt und ausschließlich zu den dort genannten Zwecken (Hosting, E-Mail-Versand).

Eingabekontrolle
Zu jeder Rechnung wird protokolliert, welches Ereignis (Erstellung, Versand einer Mahnstufe, Fehlversand, Pausierung, Zahlungseingang) zu welchem Zeitpunkt eintrat. Dieses Protokoll ist nicht nachträglich über die Nutzeroberfläche veränderbar.

Verfügbarkeitskontrolle
Datensicherung und Wiederherstellung erfolgen im Rahmen des jeweils bei Supabase gebuchten Tarifs; Umfang und Aufbewahrungsdauer richten sich nach dessen aktuellem Leistungsumfang. Der Auftragsverarbeiter führt darüber hinaus keine eigene, separate Sicherung durch.

Trennungskontrolle
Daten unterschiedlicher Nutzer werden ausschließlich logisch getrennt in derselben Datenbank gespeichert; die Trennung wird durch Row Level Security auf Datenbankebene erzwungen, nicht nur durch Filterung in der Anwendung.

Löschkonzept
Die Löschung des Kontos samt aller zugehörigen Kunden-, Rechnungs- und Protokolldaten erfolgt auf formlose Anfrage des Verantwortlichen an die oben genannte Kontaktadresse.

Der Verantwortliche stimmt dem Einsatz folgender Subunternehmer zu: Supabase Inc. (Datenbank, Hosting in eu-central-1), Vercel Inc. (Hosting), Resend Inc. (E-Mail-Versand). Mit allen Subunternehmern bestehen eigene Verträge zur Auftragsverarbeitung bzw. gelten deren Standardvertragsklauseln für Drittlandübermittlungen. Der Einsatz weiterer Subunternehmer wird dem Verantwortlichen vorab angekündigt; er kann diesem innerhalb einer angemessenen Frist widersprechen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Anfragen betroffener Personen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO.

Nach Beendigung der Nutzung von Mahnpilot löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen, soweit keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Auf Anfrage werden die Daten zuvor in einem gängigen Format exportiert.

Der Verantwortliche hat das Recht, sich von der Einhaltung der in diesem Vertrag vereinbarten Pflichten zu überzeugen. Der Auftragsverarbeiter stellt hierfür auf Anfrage geeignete Nachweise zur Verfügung.