Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Stand: 3. Oktober 2026

zwischen dem Kunden, der Nachweo nutzt („Verantwortlicher“), und GP Company, Inhaber Gleb Pantchechnikov, Courbièrestr. 9, 10787 Berlin („Auftragsverarbeiter“). Diese Vereinbarung ist Bestandteil der Nutzungsbedingungen und gilt, sobald der Kunde den E-Mail-Versand von Nachweo nutzt.

1. Gegenstand und Dauer

Der Auftragsverarbeiter stellt Leistungsnachweise und Monatsübersichten, die der Verantwortliche in der App erstellt, per E-Mail an die vom Verantwortlichen angegebenen Empfänger zu. Die Vereinbarung gilt für die Dauer der Nutzung von Nachweo.

2. Art, Zweck und Umfang der Verarbeitung

• Zweck: ausschließlich die Zustellung der E-Mail mit dem PDF-Anhang.
• Art: Entgegennahme, kurzzeitige Verarbeitung zur Erstellung der E-Mail, Weitergabe an den Zustelldienst. Inhalte und Anhänge werden nicht dauerhaft auf Systemen des Auftragsverarbeiters gespeichert.
• Datenarten: Name, Anschrift und E-Mail-Adresse von Kunden und Ansprechpartnern des Verantwortlichen; Inhalte der Nachweise (Datum, Uhrzeit, Tätigkeiten, Material, Kosten, Bemerkungen); Bild der Unterschrift; Fotos; gegebenenfalls Postleitzahl und Ort des Einsatzes; Name und E-Mail-Adresse des Verantwortlichen und seiner Mitarbeiter.
• Betroffene: Kunden und Ansprechpartner des Verantwortlichen sowie dessen Mitarbeiter.
• Der Verantwortliche übermittelt über den Versand keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO).

3. Pflichten des Auftragsverarbeiters

• Er verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisung ist das Auslösen des Versands in der App. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
• Personen mit Zugriff auf die Systeme sind zur Vertraulichkeit verpflichtet.
• Er trifft die technischen und organisatorischen Maßnahmen nach Abschnitt 7.
• Er unterstützt den Verantwortlichen bei Anfragen Betroffener (Art. 12 bis 23 DSGVO) und bei den Pflichten aus Art. 32 bis 36 DSGVO, soweit ihm das möglich ist. Da er keine Inhalte speichert, kann er in der Regel keine Auskunft über einzelne Nachweise geben; diese liegen beim Verantwortlichen.
• Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, über die bekannte E-Mail-Adresse.
• Er stellt dem Verantwortlichen auf Anfrage alle Informationen zum Nachweis dieser Pflichten zur Verfügung und ermöglicht Überprüfungen, vorrangig durch Vorlage geeigneter Unterlagen; Inspektionen nach angemessener Vorankündigung bleiben möglich.

4. Unterauftragsverarbeiter

Der Verantwortliche genehmigt folgende Unterauftragsverarbeiter:

• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA: Betrieb der Serverfunktion, die den Versandauftrag entgegennimmt.
• Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA: Zustellung der E-Mails. Resend speichert E-Mail-Inhalte einschließlich Anhängen sowie Zustellprotokolle für 30 Tage in den USA und löscht sie danach.

Beide Unternehmen sind unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten die EU-Standardvertragsklauseln. Eine Übermittlung in Drittländer erfolgt nur an diese Unterauftragsverarbeiter auf Grundlage von Art. 45 bzw. Art. 46 DSGVO.

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz weiterer Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens vier Wochen vorher auf dieser Seite und in der App; der Verantwortliche kann innerhalb dieser Frist widersprechen und den Versanddienst dann nicht mehr nutzen. Die App bleibt ohne Versanddienst nutzbar (Versand über die eigene Mail-App). Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern dieselben Datenschutzpflichten vertraglich auf.

5. Löschung und Rückgabe

Der Auftragsverarbeiter speichert keine Inhalte dauerhaft. Zum Schutz vor Missbrauch protokolliert er nur die Kennung des App-Store-Abos sowie Zeitpunkt, Art und Erfolg einer Sendung; diese Einträge werden spätestens rund 30 Tage nach der Sendung gelöscht. Zu jeder Abo-Kennung speichert er das Ergebnis der letzten Abo-Prüfung bei Apple (aktiv/inaktiv, Zeitpunkt); dieser Eintrag wird 90 Tage nach der letzten Prüfung gelöscht. Bei Resend gespeicherte Daten werden nach 30 Tagen gelöscht. Nach Ende der Nutzung werden verbliebene Protokolldaten nach diesen Fristen gelöscht; Inhalte liegen beim Auftragsverarbeiter nicht vor.

6. Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen.

7. Technische und organisatorische Maßnahmen

• Datensparsamkeit: kein Kundenkonto, keine Speicherung von Nachweisen auf Servern des Auftragsverarbeiters; die Daten liegen auf dem Gerät des Verantwortlichen.
• Verschlüsselung: Übertragung zwischen App, Server und Zustelldienst ausschließlich über TLS (HTTPS).
• Zugriffskontrolle: Versand nur mit gültigem, bei Apple geprüftem Abo; feste, vom Server erzeugte E-Mail-Texte; höchstens zwei Empfänger je Sendung; nur PDF-Anhänge bis 6 MB; Mengenbegrenzung je Abo.
• Zugang zu Systemen: Verwaltungszugänge nur für den Inhaber, geschützt durch starke Passwörter und, soweit vom Anbieter angeboten, Zwei-Faktor-Anmeldung.
• Verfügbarkeit: Betrieb auf der verteilten Infrastruktur von Cloudflare; in der App Warteschlange mit automatischer Wiederholung.
• Überprüfung: Die Maßnahmen werden bei Änderungen am Versanddienst, mindestens jährlich, überprüft.

Mustertext für Ihre Datenschutzinformation

Als Nutzer von Nachweo sind Sie für die Daten Ihrer Kunden verantwortlich und müssen diese informieren. Sie können zum Beispiel folgenden Absatz in Ihre Datenschutzerklärung oder Ihre Auftragsbestätigung übernehmen: