Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: August 2026

Dieser Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO ergänzt automatisch unsere AGB für alle Nutzer, die personenbezogene Daten ihrer eigenen Kunden in Qunde verarbeiten. Mit der Nutzung von Qunde durch einen Geschäftskunden ("Verantwortlicher") gilt dieser AVV als zwischen dem Verantwortlichen und István Ékes, tätig als Freiberufler unter der Marke "Qavlar Tech" ("Auftragsverarbeiter"), geschlossen. Benötigen Sie für Ihre eigene Dokumentation eine gegengezeichnete Fassung, senden Sie uns eine Nachricht an info@qavlar.tech.

1. Gegenstand und Dauer

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten der Kunden, Interessenten und sonstigen Kontakte des Verantwortlichen (nachfolgend "Kundendaten") durch den Auftragsverarbeiter im Rahmen der Nutzung der Software "Qunde". Die Dauer dieses Vertrags entspricht der Dauer des Hauptvertrags (Nutzung von Qunde gemäß AGB).

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet Kundendaten ausschließlich zum Zweck der Bereitstellung der Qunde-Funktionen: Speicherung und Verwaltung von Kunden-, Projekt-, Angebots-, Rechnungs- und Vertragsdaten, Versand von E-Mails im Auftrag des Verantwortlichen (z.B. Rechnungsversand, Zahlungserinnerungen), Erstellung von PDF- und Exportdokumenten sowie, sofern vom Verantwortlichen aktiviert, Kalenderabgleich und KI-gestützte Belegerkennung.

3. Art der Daten und betroffene Personen

Verarbeitet werden insbesondere: Name, Kontaktdaten (E-Mail, Telefon, Anschrift), Rechnungs- und Zahlungsdaten, Projekt- und Kommunikationsinhalte sowie, soweit vom Verantwortlichen erfasst, Bankverbindungen seiner Kunden.

Betroffene Personen sind die Kunden, Interessenten und sonstigen Geschäftskontakte des Verantwortlichen.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

→Kundendaten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet
→die Vertraulichkeit zu wahren und sicherzustellen, dass zur Verarbeitung befugte Personen sich zur Vertraulichkeit verpflichtet haben
→geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu treffen (siehe Ziffer 6)
→den Verantwortlichen bei der Erfüllung von Betroffenenrechten sowie seinen Pflichten aus Art. 32 bis 36 DSGVO angemessen zu unterstützen
→nach Beendigung der Vertragsbeziehung sämtliche Kundendaten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht

5. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den verarbeiteten Kundendaten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden, und unterstützt ihn bei der Erfüllung seiner Meldepflichten gemäß Art. 33 und 34 DSGVO.

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen:

→Hosting ausschließlich auf Servern in Deutschland (netcup GmbH, Nürnberg)
→Verschlüsselte Übertragung (SSL/TLS) für sämtliche Verbindungen
→Verschlüsselte Speicherung von Passwörtern (bcrypt) und sensiblen Zugangsdaten (z.B. Kalender-Anmeldedaten)
→Rollenbasierte Zugriffsbeschränkung, Zugriff nur für befugtes Personal
→Regelmäßige Datensicherungen

7. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu. Der Auftragsverarbeiter informiert den Verantwortlichen vorab über die Hinzuziehung weiterer oder den Austausch bestehender Unterauftragsverarbeiter; der Verantwortliche kann dem innerhalb angemessener Frist widersprechen.

→netcup GmbH (Nürnberg, Deutschland): Hosting
→Mailjet (Sinch Group, EU): Versand von Transaktions-E-Mails
→DeepSeek (außerhalb der EU, nur bei aktiver Nutzung der Belegerkennung): KI-gestützte Belegerkennung
→Google Ireland Limited (EU, nur bei aktivierter Kalenderverbindung): Google Calendar Synchronisation
→Apple Distribution International (EU, nur bei aktivierter Kalenderverbindung): iCloud Calendar Synchronisation

8. Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, sich von der Einhaltung der in diesem Vertrag vereinbarten technischen und organisatorischen Maßnahmen zu überzeugen, insbesondere durch Einholung von Auskünften. Der Auftragsverarbeiter stellt hierfür auf Anfrage die erforderlichen Informationen zur Verfügung.

9. Haftung

Es gelten die Haftungsregelungen der AGB, Ziffer 10, entsprechend.

10. Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.