Vereinbarung zur Auftragsverarbeitung

§ 1 Parteien

Verantwortlicher: der jeweilige Nutzer / Betrieb, der Zunftio einsetzt und personenbezogene Daten seiner Kunden, Mitarbeiter oder sonstiger Betroffener in die Anwendung einträgt.

Auftragsverarbeiter: Zunftio UG (haftungsbeschränkt) i. G., Marco Scheibe, Schultheißstraße 95 B, 85049 Ingolstadt.

§ 2 Gegenstand und Dauer

Gegenstand ist die Bereitstellung der Software-as-a-Service „Zunftio" (Zeiterfassung, Dokumentation, Angebote, Rechnungen, Team). Die Vereinbarung gilt für die Dauer der Nutzung und endet mit der Löschung des Kontos bzw. der Beendigung des Vertrags.

§ 3 Art der Daten und betroffene Personen

Verarbeitet werden Stammdaten, Kontaktdaten, Zeiterfassungs- und Projektdaten, Dokumentationsinhalte (Fotos, Notizen, Mängel), Unterschriften sowie Angebots- und Rechnungsdaten. Betroffene sind insbesondere Mitarbeiter des Verantwortlichen, Kunden und Auftraggeber sowie deren Ansprechpartner.

§ 4 Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich dazu verpflichtet (z. B. GoBD-Aufbewahrung ausgestellter Rechnungen).

§ 5 Technische und organisatorische Maßnahmen

• Hosting in der EU (Frankfurt am Main).
• Transportverschlüsselung (TLS).
• Mandantentrennung auf Datenbankebene (Row Level Security).
• Rollenmodell (Inhaber, Admin, Geselle).
• Append-only-Audit-Log und unveränderbare Belege.
• Zugriff auf Administrationsschlüssel nur serverseitig.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Supabase (Datenbank, Auth, Storage, EU-Frankfurt)
• Vercel (App-Hosting, Region Frankfurt)
• Stripe (Zahlungsabwicklung, soweit genutzt)
• Brevo (E-Mail-Versand, soweit genutzt)
• Anthropic (KI, nur bei aktiver Nutzung)

Wesentliche Änderungen werden über die Anwendung oder per E-Mail bekannt gegeben. Der Verantwortliche kann der Änderung widersprechen und den Vertrag kündigen.

§ 7 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Auskunft, Berichtigung, Löschung und Datenübertragbarkeit. In der Anwendung stehen dafür der Datenexport und die Kontolöschung unter Einstellungen zur Verfügung.

§ 8 Löschung und Rückgabe

Nach Ende der Nutzung löscht der Auftragsverarbeiter die personenbezogenen Daten des Kontos, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Ausgestellte Rechnungen und das Audit-Log bleiben aus GoBD-Gründen erhalten.

§ 9 Abschluss

Diese Vereinbarung wird mit der Registrierung und der Nutzung der Anwendung angenommen, soweit der Nutzer personenbezogene Daten Dritter einträgt. Die Datenschutzerklärung und die Nutzungsbedingungen gelten ergänzend.