Vertrag zur Auftragsverarbeitung
Stand: 15. November 2026
Vertrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO)
Verantwortlicher: der Betrieb, der Inselkontor nutzt (nachfolgend „Kunde“)
Auftragsverarbeiter: Nico Gnutzmann, Camino Real 223B, 38355 Tacoronte (Santa Cruz de Tenerife), España, NIF/NIE Y9034636C, info@inselkontor.com (nachfolgend „Anbieter“)
Dieser Vertrag gilt für alle Kunden von Inselkontor. Er wird mit der Registrierung und der Annahme der AGB geschlossen und ist Bestandteil des Nutzungsvertrags (Hauptvertrag).
1. Gegenstand und Dauer
Der Anbieter stellt dem Kunden die Software Inselkontor bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Kunden. Der Vertrag läuft so lange wie der Hauptvertrag und darüber hinaus, bis alle Daten des Kunden gelöscht oder zurückgegeben sind.
2. Art und Zweck der Verarbeitung
Speichern, Ordnen, Anzeigen, Übersetzen, Übermitteln und Löschen von Daten, damit der Kunde Angebote und Rechnungen erstellen und versenden, Kunden und Projekte verwalten, Arbeitszeiten erfassen und Angebote online annehmen lassen kann.
3. Art der Daten
- Kontaktdaten von Kunden und Interessenten des Kunden: Name, Firma, Anschrift, Telefon, E-Mail, NIF/NIE, Anrede
- Projektdaten: Baustellenanschrift, Notizen, Fotos, Anrufnotizen, Aufgaben, Status
- Inhalte von Angeboten und Rechnungen: Positionen, Mengen, Preise, Steuersätze, Zahlungsstatus
- Angaben zur Online-Annahme von Angeboten: Name, Unterschrift und Zeitpunkt
- Zeiterfassung: Arbeitszeiten, Pausen und Stundensätze der Personen, die im Betrieb des Kunden arbeiten
- Inhalte und Zustellstatus von E-Mails und Nachrichten, die der Kunde über Inselkontor versendet
4. Betroffene Personen
Kunden, Interessenten und Ansprechpartner des Kunden sowie Personen, die im Betrieb des Kunden arbeiten oder Inselkontor für ihn nutzen.
5. Pflichten des Anbieters
5.1 Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen erteilt der Kunde durch die Nutzung und die Einstellungen der Software sowie per E-Mail. Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit.
5.2 Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.
5.3 Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Ziffer 8 (Art. 32 DSGVO).
5.4 Der Anbieter unterstützt den Kunden dabei, Anfragen betroffener Personen zu beantworten (Art. 12 bis 22 DSGVO) und seine Pflichten nach Art. 32 bis 36 DSGVO zu erfüllen. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage an den Kunden weiter.
5.5 Der Anbieter informiert den Kunden unverzüglich, möglichst innerhalb von 48 Stunden, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, und unterstützt ihn bei der Aufklärung und Meldung.
5.6 Nach dem Ende des Hauptvertrags kann der Kunde seine Daten innerhalb der in den AGB genannten Frist exportieren. Danach löscht der Anbieter die Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.
5.7 Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind.
6. Unterauftragsverarbeiter
6.1 Der Kunde ist mit dem Einsatz der folgenden Unterauftragsverarbeiter einverstanden:
| Unternehmen | Leistung | Ort, Garantien |
|---|---|---|
| Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA | Hosting der Software, Datenbank, Dateispeicher, Auslieferung und Schutz vor Angriffen | Speicherung in Rechenzentren in der EU; EU-US Data Privacy Framework und Standardvertragsklauseln |
| Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris, Frankreich | Versand von E-Mails | EU |
| Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA | Automatische Übersetzung und Hilfe-Chat | USA; Standardvertragsklauseln |
| Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin, Irland | Abrechnung des Abonnements des Kunden; Stripe erhält nur Daten des Kunden selbst, keine Daten seiner Kunden | EU; EU-US Data Privacy Framework und Standardvertragsklauseln |
6.2 An Anthropic werden nur Daten übermittelt, wenn Texte übersetzt werden oder der Hilfe-Chat genutzt wird: die zu übersetzenden Texte bzw. die Nachrichten im Chat sowie Angaben zur gerade geöffneten Seite und, wenn ein Dokument geöffnet ist, dessen Inhalt.
6.3 Der Anbieter informiert den Kunden mindestens vier Wochen im Voraus per E-Mail, bevor er einen Unterauftragsverarbeiter hinzufügt oder ersetzt. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
6.4 Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Datenschutzniveau, das diesem Vertrag entspricht.
7. Übermittlung in Drittländer
Die Daten werden in der EU gespeichert. Soweit Daten in die USA übermittelt werden oder ein Zugriff von dort möglich ist, geschieht dies nur auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder der Standardvertragsklauseln der EU-Kommission (Art. 45, 46 DSGVO).
8. Technische und organisatorische Maßnahmen
- Verschlüsselung: Alle Verbindungen zwischen Geräten, Software und Diensten laufen verschlüsselt (HTTPS/TLS).
- Trennung: Jeder Betrieb hat eine eigene, getrennte Datenbank.
- Zugangsschutz: Passwörter werden nur als Hash gespeichert. Die Anmeldung mit Passkeys (zum Beispiel Face ID) ist möglich; biometrische Daten verlassen dabei das Gerät nicht.
- Automatische Sperre: Die Software bietet eine automatische Sperre, nach der eine erneute Anmeldung nötig ist.
- Zugriff durch den Anbieter: Der Anbieter greift nur auf Kundendaten zu, wenn das zur Fehlerbehebung oder auf Anfrage des Kunden nötig ist, und nur im dafür erforderlichen Umfang.
- Infrastruktur: Betrieb in Rechenzentren von Cloudflare in der EU, mit physischer Zugangskontrolle und Schutz vor Angriffen durch den Rechenzentrumsbetreiber.
- Belastbarkeit und Wiederherstellung: Der Kunde kann seine Daten jederzeit exportieren. Der Anbieter prüft und verbessert die Maßnahmen regelmäßig.
9. Rechte und Pflichten des Kunden
Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die Daten seiner Kunden und Mitarbeiter erheben und in Inselkontor verarbeiten darf. Er informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
10. Kontrollen
Der Kunde kann die Einhaltung dieses Vertrags überprüfen. In der Regel genügt dafür eine schriftliche Auskunft des Anbieters. Prüfungen vor Ort sind nach rechtzeitiger Anmeldung während der üblichen Geschäftszeiten möglich, ohne den Betrieb des Anbieters unverhältnismäßig zu stören. Die Kosten trägt der Kunde.
11. Haftung und Schlussbestimmungen
11.1 Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Regelungen der AGB.
11.2 Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.
11.3 Es gilt spanisches Recht. Gerichtsstand ist Santa Cruz de Tenerife. Bei Abweichungen zwischen der deutschen und der spanischen Fassung ist die spanische Fassung maßgeblich.