Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Stand: Oktober 2026

1. Parteien und Gegenstand

Dieser Vertrag gilt zwischen dir als Nutzer von faturafox („Verantwortlicher“) und Altuner UG (haftungsbeschränkt), Weststr. 51, 74072 Heilbronn („Auftragsverarbeiter“, „wir“). Er ist Teil der AGB und gilt, solange du faturafox nutzt. Gegenstand ist die Verarbeitung personenbezogener Daten, die du über deine Kunden und deren Ansprechpartner in faturafox eingibst.

2. Art, Zweck und Umfang

Wir speichern und verarbeiten diese Daten, um dir die Funktionen von faturafox bereitzustellen: Angebote, Rechnungen und E-Rechnungen erstellen und archivieren, Kunden, Termine, Notizen und Fotos verwalten, Sprachnachrichten in Text umwandeln und Positionen übersetzen.

• Arten von Daten: Namen, Anschriften, E-Mail-Adressen und Telefonnummern von Kunden und Ansprechpartnern; Auftrags- und Rechnungsdaten (Leistungen, Mengen, Preise, Termine, Baustellenadressen); Notizen; Fotos von Baustellen; Sprachaufnahmen und ihr Text, soweit sie solche Angaben enthalten.
• Betroffene: deine Kunden und deren Ansprechpartner, gegebenenfalls deine Mitarbeiter.

3. Weisungen

Wir verarbeiten die Daten nur auf deine dokumentierte Weisung. Die Weisung ergibt sich aus diesem Vertrag, den AGB und deiner Nutzung der Funktionen von faturafox. Weitere Weisungen kannst du per E-Mail an hello@faturafox.de erteilen. Halten wir eine Weisung für rechtswidrig, sagen wir dir das sofort. Eine gesetzliche Pflicht zur Verarbeitung (Art. 28 Abs. 3 lit. a DSGVO) teilen wir dir vorher mit, soweit das erlaubt ist.

4. Vertraulichkeit

Alle Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Auf die Inhalte deines Kontos greifen wir nur zu, wenn es für den Betrieb, für eine Störung oder für eine Supportanfrage von dir nötig ist.

5. Technische und organisatorische Maßnahmen

• Übertragung nur verschlüsselt (HTTPS mit TLS, HSTS).
• Anmeldung ohne Passwort mit Einmalcodes, die nach wenigen Minuten verfallen; Begrenzung der Anmeldeversuche.
• Mandantentrennung: Jede Abfrage ist an den Betrieb des angemeldeten Nutzers gebunden, andere Betriebe sehen deine Daten nicht.
• Datenbank bei Supabase auf Servern in Frankfurt am Main, verschlüsselt gespeichert, mit regelmäßigen Sicherungen.
• Fertige Rechnungen werden unveränderbar archiviert.
• Zugang zu den Systemen nur für den Betreiber, mit persönlichem Konto und Zwei-Faktor-Anmeldung.
• Fehlermeldungen an den Betreiber enthalten keine Cookies, keine Anmeldecodes und keine Werte aus der Datenbank.

Wir passen die Maßnahmen dem Stand der Technik an, ohne das Schutzniveau zu senken.

6. Unterauftragsverarbeiter

Du erteilst die Genehmigung für folgende Unterauftragsverarbeiter:

• Hostinger International Ltd., Zypern: Betrieb der App-Server (EU)
• Supabase, Inc., USA: Datenbank (Server in Frankfurt am Main)
• ElevenLabs, Inc., USA: Umwandlung von Sprachnachrichten in Text
• Anthropic, PBC, USA: KI für Positionen, Übersetzungen und Einkaufslisten
• Resend, Inc., USA: Versand von System-E-Mails (Server in der EU)

Übermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework oder der Standardvertragsklauseln der EU-Kommission (Art. 45, 46 DSGVO). Neue oder geänderte Unterauftragsverarbeiter kündigen wir dir mindestens vier Wochen vorher per E-Mail an. Du kannst aus wichtigem datenschutzrechtlichem Grund widersprechen; können wir uns nicht einigen, kannst du den Vertrag zum Wechsel kündigen. Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

7. Unterstützung

Wir unterstützen dich mit den Funktionen der App und auf Anfrage dabei, Anfragen deiner Kunden nach Auskunft, Berichtigung, Löschung oder Herausgabe ihrer Daten zu beantworten, sowie bei deinen Pflichten aus Art. 32 bis 36 DSGVO. Erfahren wir von einer Verletzung des Schutzes der Daten, informieren wir dich unverzüglich, mit den Angaben, die du für eine Meldung an die Aufsichtsbehörde brauchst.

8. Kontrollen

Auf Anfrage weisen wir dir die Einhaltung dieses Vertrags nach, zum Beispiel durch Unterlagen zu den Maßnahmen und zu den Unterauftragsverarbeitern. Eine Prüfung vor Ort ist nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten möglich, ohne den Betrieb zu stören.

9. Ende des Vertrags

Vor dem Ende kannst du deine Rechnungen und den Export jederzeit herunterladen. Wenn du dein Konto löschst, löschen wir die Daten deiner Kunden, soweit uns keine gesetzliche Pflicht zur Aufbewahrung trifft. Sicherungen werden mit ihrem regulären Ablauf überschrieben.

10. Haftung und Sonstiges

Für die Haftung gilt Art. 82 DSGVO, im Übrigen gelten die AGB. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.