Auftragsverarbeitungsvertrag
Vereinbarung nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO) zwischen dem Konto, das Preventivatoree nutzt, als Verantwortlichem, und Margherita Mariotti, mit Sitz in Via Natale Tamburini 54, Lamporecchio (PT), Italien, Umsatzsteuer-ID (partita IVA) 07070020487, die Preventivatoree bereitstellt, als Auftragsverarbeiter. Sie ist Teil der Nutzungsbedingungen und gilt ab der Eröffnung des Kontos, die kostenlose Testphase eingeschlossen.
Letzte Aktualisierung: 14. Oktober 2026
1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen nur, um den in den Nutzungsbedingungen beschriebenen Dienst zu erbringen. Die Vereinbarung gilt, solange der Auftragsverarbeiter Daten des Kontos speichert, also auch nach dem Ende des Dienstes und bis zur Rückgabe oder Löschung (Artikel 9).
2. Art und Zweck der Verarbeitung
Speicherung, Abfrage, Verarbeitung, Veröffentlichung über die vom Verantwortlichen gewählten Links und Löschung der in das Konto eingegebenen Daten, um Angebote zu schreiben und zu senden, die Annahme online einzuholen, das PDF zu erzeugen und das Lesen der Angebote zu messen. Die Verarbeitung erfolgt nur auf dokumentierte Weisung des Verantwortlichen: Weisungen sind die Nutzungsbedingungen, diese Vereinbarung und die Nutzung des Dienstes durch den Verantwortlichen, einschließlich der KI-Assistenten, die er verbindet.
3. Kategorien von Daten und betroffenen Personen
Betroffene Personen: die Kunden des Verantwortlichen und die Kontaktpersonen, die in ihren Karten und in den Angeboten genannt sind.
Kategorien verarbeiteter personenbezogener Daten:
- Vor- und Nachname, Firmenname, Adressen, E-Mail, Telefon und andere Kontaktdaten;
- Umsatzsteuer-ID (partita IVA), Steuernummer (codice fiscale), SDI-Code, PEC und andere steuerliche Daten;
- Inhalt der Angebote, vorgeschlagene Leistungen und Beträge sowie die Notizen, die der Verantwortliche schreibt;
- Lesestatistiken, wie in der Datenschutzerklärung für Empfänger eines Angebots beschrieben: Tag, Dauer, Aktionen auf der Seite, Gerätetyp, Browser, Sprache und Land, Herkunftswebsite, ohne IP-Adresse;
- die Erfassung der Annahme: geschriebener Name, Datum und Uhrzeit, Auswahl, IP-Adresse, Land, Browser und Prüfcode.
Der Verantwortliche darf keine besonderen Kategorien von Daten (Artikel 9 der Verordnung) und keine Daten über strafrechtliche Verurteilungen eingeben, es sei denn, sie sind unbedingt erforderlich und er teilt es dem Auftragsverarbeiter mit.
Die Daten des Nutzers des Kontos (E-Mail, Name, Sitzungen, Rechnungsstellung) werden vom Anbieter als Verantwortlichem nach der Datenschutzerklärung verarbeitet und sind nicht Gegenstand dieser Vereinbarung.
4. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter:
- verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen und informiert ihn, wenn er der Ansicht ist, dass eine Weisung gegen die Vorschriften verstößt;
- gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind;
- ergreift die Sicherheitsmaßnahmen des Artikels 6;
- hält die Bedingungen des Artikels 5 für Unterauftragsverarbeiter ein;
- unterstützt den Verantwortlichen wie in den Artikeln 7 und 8 vorgesehen;
- nutzt die Daten nicht für eigene Zwecke und verkauft oder überlässt sie nicht;
- stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Pflichten nötig sind (Artikel 10).
Der Verantwortliche bleibt dafür verantwortlich, eine Rechtsgrundlage für die Daten zu haben, die er eingibt, seine eigenen Kunden zu informieren und den Dienst rechtmäßig zu nutzen. Preventivatoree zeigt den Lesern eines Angebots die in Artikel 3 genannte allgemeine Datenschutzerklärung; der Verantwortliche kann sie ergänzen.
5. Unterauftragsverarbeiter
Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, die folgenden Unterauftragsverarbeiter einzusetzen. Mit jedem von ihnen hat der Auftragsverarbeiter einen Vertrag, der Datenschutzpflichten auferlegt, die diesen gleichwertig sind.
| Unterauftragsverarbeiter | Tätigkeit | Daten | Ort und Garantien |
|---|---|---|---|
| Cloudflare, Inc. | Hosting der Anwendung, Datenbank D1, Bildspeicher R2 | Alle Daten des Kontos | Datenbank in Westeuropa. EU-U.S. Data Privacy Framework und Standardvertragsklauseln |
| Google LLC (Google Ireland Limited) | Anmeldung des Nutzers mit Google | Nur Daten des Nutzers, nicht der Kunden des Verantwortlichen | Irland und USA. Data Privacy Framework und Standardvertragsklauseln |
| Resend, Inc. | Versand der Anmelde- und Service-E-Mails | E-Mail-Adresse des Nutzers und Text der Nachricht, keine Daten der Kunden des Verantwortlichen | Europäische Union (Irland); Resend ist ein US-Unternehmen. Data Privacy Framework und Standardvertragsklauseln |
| Stripe Payments Europe, Ltd. und Stripe, Inc. | Zahlungen und Abonnement | Nur Zahlungs- und Rechnungsdaten des Nutzers | Irland und USA. Data Privacy Framework und Standardvertragsklauseln |
| TeamSystem (Fatture in Cloud) | Ausstellung und Versand der Rechnungen des Dienstes | Nur Rechnungsdaten des Nutzers | Italien |
Die letzten drei verarbeiten nur Daten des Nutzers und nicht der Kunden des Verantwortlichen und sind der Transparenz halber aufgeführt. Die KI-Assistenten, die der Verantwortliche verbindet (Claude, ChatGPT, Gemini), sind nicht unsere Unterauftragsverarbeiter: Sie werden vom Verantwortlichen ausgewählt und angewiesen, der für das Verhältnis zu ihnen verantwortlich ist. Der Auftragsverarbeiter sendet ihnen nur das, was sie über die Verbindung anfragen.
Änderungen: Der Auftragsverarbeiter informiert den Verantwortlichen per E-Mail mindestens 30 Tage, bevor er einen Unterauftragsverarbeiter hinzufügt oder ersetzt. Der Verantwortliche kann aus datenschutzbezogenen Gründen widersprechen, indem er innerhalb dieser Frist schreibt; wenn keine Lösung gefunden wird, kann er das Konto schließen.
6. Sicherheitsmaßnahmen
Der Auftragsverarbeiter wendet die folgenden Maßnahmen an, die heute im Dienst vorhanden sind:
- die öffentlichen Links der Angebote verwenden zufällige 192-Bit-Codes, die sich weder erraten noch aufzählen lassen; die Seiten der Angebote werden von Suchmaschinen nicht indexiert;
- Verbindungen nur über HTTPS, mit HSTS;
- restriktive Content-Security-Policy (CSP): Skripte nur von der Website selbst, nie inline, keine Dienste Dritter auf den Seiten, keine Einbettung in andere Websites;
- Anmeldung mit Google oder mit einem einmaligen Link per E-Mail, 15 Minuten gültig, ohne Passwort, das verwahrt werden müsste; Sitzungen über geschützte Cookies, die von den Skripten der Seite nicht lesbar sind;
- Verbindung der KI-Assistenten über OAuth 2.1, jederzeit widerrufbar;
- Trennung zwischen den Konten: Jeder Vorgang mit Daten ist auf das anfragende Konto beschränkt und durch automatische Tests abgedeckt;
- angenommene Angebote können nicht geändert werden: Das erzwingt die Datenbank selbst;
- Verschlüsselung der Datenbankdaten im Ruhezustand, von Cloudflare verwaltet;
- Lesestatistiken ohne IP-Adresse, mit einem anonymen Code, der mit einem Tagesschlüssel berechnet wird, der am Folgetag gelöscht wird, und automatische Löschung nach 13 Monaten;
- Zugriff des Personals auf die Daten des Kontos nur, wenn es zur Unterstützung oder zur Lösung eines Problems nötig ist.
7. Unterstützung des Verantwortlichen bei Anfragen betroffener Personen
Der Auftragsverarbeiter leitet Anfragen, die er direkt von betroffenen Personen erhält, unverzüglich an den Verantwortlichen weiter und antwortet nur auf Weisung des Verantwortlichen. Der Verantwortliche kann einen Großteil der Rechte selbstständig über die Verwaltungsseite ausüben (Karten und Angebote einsehen, berichtigen, löschen, ausgenommen die unveränderlichen Annahmeprotokolle). Im Übrigen unterstützt der Auftragsverarbeiter den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, in Fristen, die mit den Vorgaben der Verordnung vereinbar sind. Der Verantwortliche kann verlangen, die Lesestatistiken eines Angebots zu löschen.
8. Verletzung des Schutzes personenbezogener Daten
Der Auftragsverarbeiter informiert den Verantwortlichen per E-Mail unverzüglich und jedenfalls binnen 48 Stunden, nachdem er davon Kenntnis erlangt hat, über jede Verletzung des Schutzes personenbezogener Daten, die Daten des Kontos betrifft. Die Mitteilung beschreibt, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Daten, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen, damit der Verantwortliche, falls erforderlich, binnen 72 Stunden die italienische Datenschutzbehörde (Garante) benachrichtigen und die betroffenen Personen informieren kann.
9. Rückgabe oder Löschung bei Vertragsende
Bei Vertragsende gibt der Auftragsverarbeiter auf schriftliche Anforderung des Verantwortlichen (E-Mail an hello@preventivator.ee) die personenbezogenen Daten in einem gängigen Format zurück oder löscht sie, nach Wahl des Verantwortlichen, und beseitigt die vorhandenen Kopien, es sei denn, das Gesetz verlangt ihre Aufbewahrung. Ohne Anforderung werden die Daten am Ende der in den Nutzungsbedingungen genannten Aufbewahrungsfrist (12 Monate) gelöscht. Die Rückgabe oder Löschung wird vom Auftragsverarbeiter von Hand abgewickelt, nicht durch eine Funktion des Dienstes.
10. Überprüfungen
Der Auftragsverarbeiter beantwortet die Anfragen des Verantwortlichen nach Informationen, die zum Nachweis der Einhaltung dieser Vereinbarung nötig sind. Genügen sie nicht, gestattet er Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder von einem von ihm beauftragten Prüfer durchgeführt werden, mit einer Vorankündigung von mindestens 30 Tagen, zu Geschäftszeiten, ohne den Dienst zu behindern, wobei der Prüfende zur Vertraulichkeit verpflichtet wird. Die Überprüfungen dürfen keine Daten anderer Konten betreffen. Die Kosten trägt der Verantwortliche, es sei denn, es treten schwere Verstöße zutage.
11. Anwendbares Recht
Es gelten das italienische Recht und der Gerichtsstand, die in den Nutzungsbedingungen genannt sind.