Vereinbarung zur Auftragsverarbeitung

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO zwischen dem Kunden des Dienstes „yourtinyoffice“ (nachfolgend „Verantwortlicher“) und CMaier GmbH, Webersiedlung 11, 8402 Werndorf, Österreich (nachfolgend „Auftragsverarbeiter“). Version 2026-11-02.

Diese Vereinbarung ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird mit deren Annahme bei der ersten Anmeldung abgeschlossen. Die Annahme wird mit Zeitpunkt und Version im Konto des Verantwortlichen protokolliert; damit ist die Schriftform in elektronischem Format nach Art. 28 Abs. 9 DSGVO gewahrt. Der Verantwortliche kann diese Seite ausdrucken oder als PDF speichern.

1. Gegenstand und Dauer

1. Gegenstand ist die Bereitstellung des Dienstes zur Verwaltung von Kunden, Zeiten, Angeboten, Rechnungen, Ausgaben und Banktransaktionen als Software-as-a-Service.
2. Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Mit Beendigung des Nutzungsvertrags endet auch diese Vereinbarung.

2. Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

1. Art und Zweck: Speicherung, Anzeige, Bearbeitung, Erzeugung von Dokumenten (PDF, elektronische Rechnungen), Versand per E-Mail auf Weisung, Prüfung von Umsatzsteuer-Identifikationsnummern, Lesen hochgeladener Dokumente mit der eingebauten KI, soweit der Verantwortliche die jeweilige KI-Funktion eingeschaltet hat, Sicherung und Löschung, jeweils zur Erbringung des Dienstes für den Verantwortlichen.
2. Datenkategorien: Firmen- und Kontaktdaten der Kunden des Verantwortlichen (Firma, Ansprechpartner, Anschrift, E-Mail-Adresse, Telefonnummer, UID, Freitext-Notizen), Leistungs- und Zeitaufzeichnungen (Datum, Stunden, Projekt, Tätigkeitsbeschreibung), Angebots- und Rechnungsdaten (Positionen, Beträge, Zahlungsstatus), Ausgaben-, Einnahmen- und Banktransaktionsdaten (Gegenpartei, Verwendungszweck, Betrag, Datum, Kontoauszugsimporte, hochgeladene Belege), E-Mail-Adressen der Empfänger von Dokumenten.
3. Betroffene: Kunden, Interessenten und Ansprechpartner der Kunden des Verantwortlichen, Empfänger von Angeboten und Rechnungen, Lieferanten und sonstige Gegenparteien des Verantwortlichen in Ausgaben und Kontoauszügen, vom Verantwortlichen zugelassene Teammitglieder, Partnerkonten und Steuerberater (E-Mail-Adresse und Login).
4. Der Dienst ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder von Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) bestimmt. Der Verantwortliche wird solche Daten nicht bewusst erfassen. Sollten solche Daten dennoch in Freitextfeldern oder Anhängen enthalten sein, werden sie ausschließlich im Rahmen des Dienstes nach dieser Vereinbarung und mit den Maßnahmen der Anlage 2 verarbeitet.

3. Weisungen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen des Dienstes durch den Verantwortlichen (z. B. Anlegen eines Kunden, Versand einer Rechnung, Auslösen einer UID-Prüfung) gilt als Weisung.
2. Weitere Weisungen erteilt der Verantwortliche in Textform an [email protected]. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.
3. Eine Verarbeitung außerhalb der EU/des EWR findet nur im in Anlage 1 beschriebenen Umfang statt.

4. Pflichten des Auftragsverarbeiters

1. Er stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind.
2. Er ergreift die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik an, ohne das Schutzniveau abzusenken.
3. Er unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Beantwortung von Anträgen Betroffener (Art. 12–22 DSGVO). Auskunft, Berichtigung und Löschung kann der Verantwortliche über die Funktionen des Dienstes selbst vornehmen; darüber hinausgehende Unterstützung erfolgt gegen Ersatz des angemessenen Aufwands.
4. Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO unter Berücksichtigung der ihm verfügbaren Informationen.
5. Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, an die im Konto hinterlegte E-Mail-Adresse, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, soweit sie ihm vorliegen.
6. Er stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind.

5. Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Einbindung der in Anlage 1 genannten Unterauftragsverarbeiter.
2. Beabsichtigte Änderungen (Hinzufügen oder Ersetzen) teilt der Auftragsverarbeiter vor Wirksamwerden per E-Mail mit, in der Regel 30 Tage und mindestens 10 Tage im Voraus; Letzteres entspricht der Widerspruchsfrist, die der Auftragsverarbeiter selbst gegenüber seinen Unterauftragsverarbeitern hat (Mistral AI kündigt Änderungen mit angemessener Frist und einer Widerspruchsfrist von 10 Tagen an). Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann der Verantwortliche den Nutzungsvertrag zum Wirksamwerden der Änderung beenden.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die dieser Vereinbarung entsprechen, und haftet für sie wie für eigenes Handeln.

6. Kontrollrechte

1. Der Verantwortliche hat das Recht, die Einhaltung dieser Vereinbarung zu überprüfen. Der Auftragsverarbeiter erfüllt dies vorrangig durch Bereitstellung von Dokumentation, Selbstauskünften und den Berichten bzw. Zertifizierungen seiner Unterauftragsverarbeiter (z. B. SOC 2 Typ 2 und ISO 27001 von Supabase, ISO-27001-Zertifizierung von Hetzner sowie die jährliche unabhängige Prüfung der technischen und organisatorischen Maßnahmen von Hetzner).
2. Reicht dies im Einzelfall nicht aus, kann der Verantwortliche nach Ankündigung mit angemessener Frist höchstens einmal jährlich während der üblichen Geschäftszeiten eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Die Kosten trägt der Verantwortliche.

7. Rückgabe und Löschung

1. Nach Abschluss der Verarbeitung gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle in seinem Auftrag verarbeiteten personenbezogenen Daten zurück oder löscht sie.
2. Rückgabe: Der Verantwortliche kann alle Daten jederzeit über den Datenexport in den Einstellungen exportieren, als ZIP-Datei mit einer maschinenlesbaren JSON-Datei und den Originaldateien (PDF, XML, Belege), die alle Datenkategorien nach Punkt 2.2 umfasst. Endet der Vertrag nicht durch Löschung des Kontos, stellt der Auftragsverarbeiter den Export auf Anforderung in Textform noch 30 Tage nach Vertragsende bereit.
3. Der Verantwortliche kann seine Wahl bis zum Vertragsende mitteilen oder ändern. Die Kontolöschung in den Einstellungen gilt als Wahl der Löschung.
4. Löschung: Die Daten werden einschließlich der Kopien bei Unterauftragsverarbeitern sofort aus dem laufenden Dienst entfernt; verbleibende Kopien in Datensicherungen werden automatisch innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten des Auftragsverarbeiters bestehen. Datensicherungen werden nur zur Wiederherstellung nach einem Notfall eingespielt.
5. Auf Wunsch bestätigt der Auftragsverarbeiter die Löschung in Textform.

8. Haftung, Schlussbestimmungen

1. Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach den Haftungsregelungen der AGB.
2. Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung hinsichtlich des Datenschutzes vor.
3. Es gilt österreichisches Recht; Gerichtsstand ist Graz.

Anlage 1: Unterauftragsverarbeiter

Die weiteren Unterauftragsverarbeiter von Supabase (Support-, Monitoring-, Sicherheits- und Kommunikationswerkzeuge, überwiegend in den USA) sind unter supabase.com/legal/customer-resources/subprocessor-list veröffentlicht (Stand 12. Oktober 2026). Sie speichern keine Daten des Verantwortlichen, können aber bei Support-, Monitoring- oder Sicherheitsleistungen von Supabase damit in Berührung kommen; dies ist durch die Standardvertragsklauseln im Data Processing Addendum von Supabase abgedeckt. Der Auftragsverarbeiter hat die Benachrichtigungen über Änderungen der Unterauftragsverarbeiter von Supabase und Hetzner abonniert und gibt Änderungen gemäß Punkt 5 weiter.

Die Unterauftragsverarbeiter von Mistral AI sind unter trust.mistral.ai/subprocessors veröffentlicht (geprüft am 3. November 2026). Der Auftragsverarbeiter gibt von Mistral AI angekündigte Änderungen gemäß Punkt 5 weiter. Für eine KI-Funktion, die der Verantwortliche nicht eingeschaltet hat, wird nichts an Mistral AI übermittelt.

Keine Unterauftragsverarbeiter, sondern eigenständige Stellen: die Europäische Kommission (MIAS/VIES-Abfrage von Umsatzsteuer-Identifikationsnummern auf Weisung), die Europäische Zentralbank (Abruf von Referenzkursen ohne personenbezogene Daten) sowie Stripe Payments Europe, Ltd. (Abrechnung der Entgelte des Verantwortlichen; betrifft nur dessen eigene Daten, nicht die Daten seiner Kunden). Bei Nutzung eines eigenen SMTP-Servers im Pro-Plan ist dessen Betreiber Auftragsverarbeiter des Verantwortlichen, nicht des Auftragsverarbeiters.

Anlage 2: Technische und organisatorische Maßnahmen

Zutritts- und Zugangskontrolle

• Betrieb in zertifizierten Rechenzentren der Unterauftragsverarbeiter (physische Sicherheit, Zutrittskontrolle, Brandschutz, redundante Stromversorgung).
• Zugriff auf Server und Datenbank nur durch den Auftragsverarbeiter über SSH-Schlüssel bzw. authentifizierte Verwaltungsoberflächen; keine Passwort-Logins.
• Nutzerzugriff auf den Dienst nur über persönliche Konten mit Passwort (Mindestlänge, Hashing durch den Authentifizierungsdienst), verschlüsselte HttpOnly-Sitzungs-Cookies mit begrenzter Laufzeit, Ratenbegrenzung gegen Brute-Force.

Zugriffskontrolle und Mandantentrennung

• Strikte Trennung der Mandanten auf Datenbankebene: jede Tabelle trägt eine Mandanten-Kennung, und Row-Level-Security-Richtlinien der Datenbank erzwingen, dass jede Abfrage nur Daten des angemeldeten Mandanten liest oder schreibt.
• Jede Anfrage läuft in einer Datenbanktransaktion mit den verifizierten Identitätsdaten des Nutzers (JWT, gegen den öffentlichen Schlüssel des Authentifizierungsdienstes geprüft).
• Dokumente liegen in einem privaten Speicherbereich mit mandantenbezogenem Pfad; kein öffentlicher Zugriff.
• Schutz vor Cross-Site-Request-Forgery, Sicherheits-Header (HSTS, nosniff, Frame-Schutz), keine eingebetteten Drittanbieter-Skripte.

Weitergabe- und Transportkontrolle

• Verschlüsselte Übertragung (TLS 1.2+) zwischen Browser und Dienst, zwischen Dienst und Datenbank sowie beim E-Mail-Versand (STARTTLS/TLS).
• Hinterlegte SMTP-Zugangsdaten werden mit AES-256-GCM verschlüsselt gespeichert, nie wieder angezeigt und nicht exportiert; der Schlüssel liegt außerhalb der Datenbank.

Eingabe- und Verfügbarkeitskontrolle

• Finalisierte Rechnungen sind unveränderlich; Zeitpunkte von Erstellung, Finalisierung, Versand und Zahlung werden protokolliert.
• Tägliche automatische Sicherungen der Datenbank durch den Datenbankanbieter; Zeitstempel und Anfrage-Kennungen in Server-Logs ohne Inhaltsdaten.
• Anwendung läuft in isolierten Containern ohne Root-Rechte; Abhängigkeiten werden regelmäßig aktualisiert.

Organisation

• Verarbeitung ausschließlich durch den Auftragsverarbeiter selbst; keine weiteren Mitarbeiter mit Datenzugriff.
• Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern; regelmäßige Überprüfung dieser Maßnahmen.
• Löschkonzept: Löschung von Kontodaten nach Vertragsende gemäß Punkt 7.