(1) Auftraggeber (Verantwortlicher): Der Nutzer der Plattform „klarofix" (Unternehmer gemäß § 14 BGB), dessen individuelle Angaben bei Vertragsschluss im Nutzerprofil erfasst werden.
(2) Auftragnehmer (Auftragsverarbeiter):
Maximilian Hertwig (Einzelunternehmen)(3) Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien, die sich aus der Nutzung der SaaS-Plattform ergeben. Im Falle von Widersprüchen zwischen diesem AVV und anderen Vereinbarungen (z. B. AGB) gehen die Bestimmungen dieses AVV vor.
(1) Der Auftragnehmer stellt dem Auftraggeber die SaaS-Plattform „klarofix" zur Verfügung. Die Verarbeitung umfasst die Speicherung und Verwaltung von Kundenstammdaten, Angeboten, Rechnungen, Mahnungen, DATEV-Exporten, Ausgaben, Verträgen und Projektbeschreibungen. Nutzt der Auftraggeber die Sprachfunktion „KlaroVoice", umfasst die Verarbeitung zusätzlich Sprachaufnahmen und die daraus erzeugten Texte (§ 16). Nutzt der Auftraggeber die Tools „Putzplan" und „Schichtplaner / Personalplanung", umfasst die Verarbeitung zusätzlich Reinigungspläne, die Schicht- und Einsatzplanung, Abwesenheiten, Arbeitszeitaufzeichnungen und Stundenlöhne seiner Beschäftigten sowie deren Versand an und Bereitstellung für die Beschäftigten über persönliche Links (§ 17).
(2) Zweck der Verarbeitung ist die Bereitstellung der Software-Funktionen zur digitalen Büroorganisation und Kundenverwaltung des Auftraggebers.
(3) Kategorien betroffener Personen sind Kunden und Geschäftspartner des Auftraggebers sowie dessen Beschäftigte, soweit sie die Plattform nutzen. Bei Nutzung des Schichtplaners sind zusätzlich die Beschäftigten des Auftraggebers betroffen, deren Einsätze, Abwesenheiten und Arbeitszeiten er dort verwaltet — auch dann, wenn sie die Plattform nicht selbst nutzen. Bei Nutzung der Sprachfunktion sind zusätzlich die sprechenden Personen betroffen, da die Aufnahme ihre Stimme enthält.
Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages (Nutzungsvertrag klarofix).
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers.
(2) Weisungen erfolgen in der Regel durch die Nutzung der Softwareoberfläche; darüber hinausgehende Weisungen sind in Textform zu erteilen.
(3) Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, hat er den Auftraggeber unverzüglich zu informieren.
(1) Der Auftragnehmer gewährleistet, dass alle zur Verarbeitung berechtigten Personen zur Vertraulichkeit verpflichtet wurden.
(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
Der Auftragnehmer setzt gemäß Art. 32 DSGVO folgende Maßnahmen um:
(1) Als Unterauftragsverarbeiter sind derzeit genehmigt:
(2) Beabsichtigt der Auftragnehmer, weitere Unterauftragnehmer hinzuzuziehen oder zu ersetzen, informiert er den Auftraggeber 30 Tage vorab in Textform. Dem Auftraggeber steht ein Widerspruchsrecht aus wichtigem Grund zu.
(3) Der Auftragnehmer hat mit jedem Unterauftragsverarbeiter einen Vertrag geschlossen, der ihm dieselben Datenschutzpflichten auferlegt, die dieser Vertrag vorsieht (Art. 28 Abs. 4 DSGVO).
Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit bei der Beantwortung von Anfragen zur Ausübung von Betroffenenrechten (Auskunft, Löschung etc.). Erhält der Auftragnehmer eine solche Anfrage direkt, leitet er diese unverzüglich an den Auftraggeber weiter.
Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch binnen 48 Stunden nach Bekanntwerden. Die Meldung muss mindestens die Art der Verletzung, die betroffenen Datenkategorien und die ergriffenen Abhilfemaßnahmen enthalten.
(1) Nach Beendigung des Hauptvertrages wird der Auftragnehmer sämtliche vom Auftraggeber verarbeiteten Daten nach 30 Tagen unwiderruflich löschen.
(2) Der Auftraggeber ist verpflichtet, seine Daten vor Vertragsende eigenständig über die Exportfunktionen der Software zu sichern.
(3) Eine Speicherung über das Vertragsende hinaus erfolgt nur, soweit gesetzliche Aufbewahrungspflichten des Auftragnehmers (z. B. für eigene Rechnungsstellung gegenüber dem Auftraggeber) dies erfordern.
Der Auftraggeber hat das Recht, die Einhaltung dieser Vereinbarung durch Audits zu kontrollieren. Diese sind mit einer Frist von zwei Wochen anzukündigen. Der Auftragnehmer kann dieses Recht auch durch die Vorlage aktueller Testate oder Zertifikate (z. B. von IONOS) erfüllen.
Die Haftung richtet sich nach den Regelungen der DSGVO. Ergänzend gelten die Haftungsbeschränkungen des Hauptvertrages (AGB).
Der Auftragnehmer stellt lediglich die technische Export-Schnittstelle im DATEV-Format bereit. Für die inhaltliche Richtigkeit der Buchungsdaten und die steuerrechtliche Konformität der Exporte trägt allein der Auftraggeber die Verantwortung.
Sofern der Auftraggeber eigene SMTP-Server nutzt, werden die Zugangsdaten mittels AES-256-GCM verschlüsselt gespeichert. Der Auftragnehmer verwendet diese Daten ausschließlich im Auftrag des Nutzers für den technischen Mailversand aus der Applikation heraus.
Bei Nutzung öffentlicher Angebotslinks entscheidet der Auftraggeber eigenverantwortlich über die Freigabe der Inhalte. Der Auftragnehmer stellt hierfür lediglich die Infrastruktur und das View-Tracking bereit.
(1) Ablauf der Verarbeitung. Der Auftraggeber nimmt einen gesprochenen Text auf. Diese Aufnahme wird an OpenAI Ireland Ltd. übermittelt, dort in Text umgewandelt und in strukturierte Belegangaben (Positionen, Mengen, Preise) übersetzt. Die Zuordnung zu Kunden des Auftraggebers und zu dessen Leistungskatalog erfolgt anschließend ausschließlich auf den Systemen des Auftragnehmers. Ergebnis ist ein Entwurf; ob daraus ein Beleg entsteht, entscheidet allein der Auftraggeber durch eine eigene Handlung.
(2) Freigabe. Die Sprachfunktion ist standardmäßig gesperrt. Sie wird erst nutzbar, wenn der Auftraggeber sie in der Anwendung ausdrücklich freigibt und damit den Einsatz von OpenAI Ireland Ltd. als weiteren Unterauftragsverarbeiter genehmigt sowie die Weisung erteilt, Sprachaufnahme und erzeugten Text dort verarbeiten zu lassen. Der Auftragnehmer dokumentiert Zeitpunkt, handelnde Person und die zugrunde liegende Fassung dieser Regelung. Ohne Freigabe wird keine Aufnahme übermittelt.
(3) Widerruf. Der Auftraggeber kann die Freigabe jederzeit ohne Angabe von Gründen in den Einstellungen widerrufen. Die Sprachfunktion ist danach unmittelbar gesperrt. Bereits erstellte Belege bleiben unberührt.
(4) Umfang der übermittelten Daten. Übermittelt wird ausschließlich die Aufnahme. Kundenstammdaten und Leistungskatalog des Auftraggebers werden nicht übermittelt (§ 6). Enthält die Aufnahme personenbezogene Daten — etwa den Namen eines Kunden —, weil der Auftraggeber sie einspricht, werden diese als Bestandteil der Aufnahme mit übermittelt. Der Auftraggeber entscheidet durch seine Wortwahl, welche Angaben die Aufnahme enthält.
(5) Speicherung. Der Auftragnehmer speichert weder Aufnahme noch erzeugten Text. Die Aufnahme wird durchgehend im Arbeitsspeicher gehalten und auf kein dauerhaftes Speichermedium geschrieben; sie kann damit auch nicht in eine Datensicherung gelangen. Gespeichert werden je Vorgang ausschließlich Zeitpunkt, gemessene Dauer, verwendete Modellbezeichnungen, Verbrauchszahlen und eine Kostenschätzung — erforderlich für die Abrechnung des Sprachkontingents. Diese Angaben werden mit dem Nutzerkonto gelöscht.
(6) Verarbeitung durch den Unterauftragsverarbeiter. OpenAI Ireland Ltd. verwendet die über die Programmierschnittstelle übermittelten Daten nach eigenen Angaben nicht zum Training seiner Modelle. Eingaben und Ausgaben können bis zu 30 Tage zur Erkennung von Missbrauch aufbewahrt und danach gelöscht werden, soweit keine gesetzliche Aufbewahrungspflicht besteht.
(7) Drittlandbezug. Vertragspartner ist die in Irland ansässige OpenAI Ireland Ltd. Soweit diese Daten an Gesellschaften außerhalb des Europäischen Wirtschaftsraums übermittelt, geschieht dies auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) oder eines Angemessenheitsbeschlusses nach Art. 45 DSGVO.
(8) Keine automatisierte Entscheidung. Die Sprachfunktion erzeugt ausschließlich einen Entwurf zur Prüfung durch den Auftraggeber. Eine automatisierte Entscheidung im Einzelfall im Sinne des Art. 22 DSGVO findet nicht statt.
(9) Eigene Pflichten des Auftraggebers. Der Auftraggeber bleibt gegenüber den betroffenen Personen Verantwortlicher. Er hat sie nach Art. 13, 14 DSGVO über diese Verarbeitung zu unterrichten; der Auftragnehmer stellt hierfür in den Einstellungen einen Formulierungsvorschlag bereit. Setzt der Auftraggeber Beschäftigte ein, hat er die Vorgaben des Beschäftigtendatenschutzes zu beachten; besteht ein Betriebsrat, kann die Einführung nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig sein.
(1) Daten. Im Schichtplaner verarbeitet der Auftragnehmer im Auftrag die vom Auftraggeber eingegebenen Daten seiner Beschäftigten: Name, Mobilnummer und E-Mail-Adresse, Beschäftigungsart, Stundenlohn, Urlaubsanspruch, geplante Schichten und Einsatzorte, Abwesenheiten (Urlaub, Krankheit ohne Angabe von Diagnosen, Freizeit, Sonstiges), Arbeitszeitaufzeichnungen (Beginn, Ende, Pausen) sowie Rückmeldungen der Beschäftigten (Annahme oder Absage einer Schicht mit optionaler Begründung, Arbeitszeitmeldungen, Abwesenheitsanträge). Der Auftraggeber stellt sicher, dass er zur Verarbeitung dieser Beschäftigtendaten berechtigt ist und seine Beschäftigten informiert hat.
(2) Persönliche Links. Auf Weisung des Auftraggebers stellt der Auftragnehmer jeder beschäftigten Person ihren Plan über einen persönlichen Link ohne Anmeldung bereit, auf Wunsch auch als Kalender-Abonnement. Der Link enthält eine zufällig erzeugte Kennung; der Auftragnehmer speichert sie nur als Prüfwert und verschlüsselt. Über den Link sind ausschließlich die eigenen Daten der jeweiligen Person abrufbar; die Seiten sind von der Aufnahme in Suchmaschinen ausgeschlossen. Der Auftraggeber kann einen Link jederzeit erneuern oder widerrufen; mit der Deaktivierung einer Person wird ihr Link unwirksam. Wer einen Link weitergibt, macht die damit verbundenen Daten Dritten zugänglich — die Weitergabe an die richtige Person verantwortet der Auftraggeber.
(3) Versand. Pläne per E-Mail versendet der Auftragnehmer über die in § 7 genannten Versandwege bzw. über das vom Auftraggeber hinterlegte eigene Postfach (§ 14). Beim Versand per WhatsApp öffnet die Plattform lediglich WhatsApp mit einem vorbereiteten Text auf dem Gerät des Auftraggebers; eine Übermittlung durch den Auftragnehmer an WhatsApp findet nicht statt. Abonniert eine beschäftigte Person ihren Plan in einem Kalenderdienst ihrer Wahl, ruft dieser Dienst den Plan in ihrem Auftrag ab.
(4) Arbeitszeitaufzeichnungen. Aufzeichnungs- und Aufbewahrungspflichten, etwa nach § 17 Mindestlohngesetz, obliegen dem Auftraggeber. Um ihn dabei zu unterstützen, lässt die Plattform Personen mit Arbeitszeitaufzeichnungen der letzten zwei Jahre nicht löschen, sondern nur deaktivieren; die Aufzeichnungen bleiben bis zum Ende dieser Frist bzw. bis zur Löschung des Kontos (§ 10) erhalten.
(5) Benachrichtigungen. Über Rückmeldungen der Beschäftigten informiert der Auftragnehmer den Auftraggeber per E-Mail und, soweit eingerichtet, per Push-Mitteilung; der Auftraggeber kann diese Benachrichtigungen abschalten.
(1) Weisung. Lädt der Auftraggeber in der Anwendung einen Steuerberater ein, erteilt er damit die Weisung, diesem die in Absatz 2 genannten Daten über ein eigenes, passwortgeschütztes Konto im Steuerberater-Portal bereitzustellen. Der Steuerberater ist nicht Unterauftragsverarbeiter des Auftragnehmers, sondern ein vom Auftraggeber selbst bestimmter Empfänger; er verarbeitet die Daten in eigener Verantwortung.
(2) Umfang. Bereitgestellt werden ausschließlich lesend: ausgestellte Belege (Rechnungen, Stornorechnungen, Gutschriften, Anzahlungs- und Schlussrechnungen) einschließlich der darin enthaltenen Kundendaten, erfasste Ausgaben, daraus abgeleitete Auswertungen (Umsatzsteuer je Zeitraum, offene Posten), die Firmendaten des Auftraggebers sowie Exporte dieser Daten (DATEV-Buchungsstapel, Tabellen, Steuer-Paket als ZIP-Archiv). Ändern kann der Steuerberater ausschließlich die DATEV-Einstellungen des Auftraggebers. Angebote, Kundennotizen sowie Personal-, Schicht- und Putzplandaten werden nicht bereitgestellt.
(3) Widerruf. Der Auftraggeber kann den Zugang jederzeit in den Einstellungen beenden; er endet mit der nächsten Anfrage des Steuerberaters. Mit der Löschung des Kontos des Auftraggebers endet jeder Zugang.
(4) Protokoll. Der Auftragnehmer protokolliert Anmeldungen, Abrufe, Downloads und Änderungen des Steuerberaters und zeigt sie dem Auftraggeber in der Anwendung an.
(5) Verantwortung des Auftraggebers. Die Auswahl des Empfängers und die Richtigkeit der angegebenen E-Mail-Adresse verantwortet der Auftraggeber. Wer den Einladungslink erhält, kann den Zugang einrichten; der Link ist sieben Tage gültig und nur einmal verwendbar.
(1) Es gilt deutsches Recht.
(2) Änderungen dieses AVV bedürfen der Textform.
(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Gültigkeit der übrigen Regelungen unberührt.