Vertrag zur Auftragsverarbeitung (AVV)

1. Gegenstand, Dauer und Rangfolge

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Vertragsparteien aus der Nutzung von fynsight (Hauptvertrag, bestehend aus den AGB und der jeweiligen Bestellung). Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Kunde, Auftragsverarbeiter ist die daloco UG (haftungsbeschränkt), Eduard-Schmid-Str. 21, 81541 München (nachfolgend „Anbieter“).

Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Pflichten, die über das Vertragsende hinaus fortbestehen (insbesondere Ziffer 10), bleiben unberührt.

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags zum Datenschutz vor.

2. Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Zweck: Bereitstellung der Software fynsight zur Aufbereitung, Auswertung und Planung von Finanzdaten des Kunden, einschließlich Datei-Import, Dashboards, Budgetplanung, Berichtswesen, KI-gestützter Analyse (Chatbot, Kontenzuordnung, Kommentarentwürfe), Freigabe abgezeichneter Monatsberichte per E-Mail-Link an vom Kunden benannte Empfänger ohne Nutzerkonto, API- und MCP-Zugriff sowie Support.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auswerten, Übermitteln an die vom Kunden veranlassten Empfänger (z. B. über API, MCP oder per E-Mail-Link freigegebene Monatsberichte), Löschen.

• Datenarten: Buchhaltungsdaten des Kunden (Summen- und Saldenlisten, Kostenstellen- und Buchungsdaten einschließlich Buchungstexten, Budgets, Kommentare, Monatsberichte); Stammdaten der Nutzer des Kunden (Name, E-Mail-Adresse, Rolle, Einstellungen); E-Mail-Adressen der vom Kunden benannten Empfänger freigegebener Monatsberichte sowie Zeitpunkt des Versands, des Widerrufs und des ersten Abrufs je Berichtsfassung; Nutzungs- und Protokolldaten (Zeitpunkte, IP-Adressen, API- und MCP-Zugriffe; beim Abruf freigegebener Berichte nur ein Hash der IP-Adresse für eine Stunde); Inhalte von Chatverläufen mit dem KI-Assistenten.
• Betroffene Personen: Beschäftigte und Beauftragte des Kunden, die fynsight nutzen; vom Kunden benannte Empfänger freigegebener Monatsberichte (z. B. Organe der Gesellschaft); Personen, die in den Finanzdaten des Kunden vorkommen, etwa Geschäftspartner, Beschäftigte (z. B. bei Personalkosten auf Personenebene) oder sonstige in Buchungstexten genannte Personen.
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Kunde lädt solche Daten nicht hoch.

3. Weisungen

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Die Weisungen ergeben sich aus dem Hauptvertrag und der Nutzung der Funktionen der Software durch den Kunden. Gibt der Kunde einen Monatsbericht per E-Mail-Link an Empfänger ohne Nutzerkonto frei, ist dies seine Weisung, die angegebenen E-Mail-Adressen zu speichern, den Empfängern eine E-Mail mit dem Link zu senden und den ersten Abruf je Berichtsfassung festzuhalten; die Zulässigkeit der Weitergabe gegenüber den Empfängern verantwortet der Kunde. Weitere Weisungen erteilt der Kunde in Textform an team@fynsight.de.

Ist der Anbieter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Kunden unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

4. Vertraulichkeit

Der Anbieter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Zugriff auf Kundendaten erhalten nur Personen, die ihn für die Leistungserbringung oder den Support benötigen.

5. Technische und organisatorische Maßnahmen

Der Anbieter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind in Anlage 1 beschrieben. Der Anbieter darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

6. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

Der Anbieter informiert den Kunden mindestens 30 Tage vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters in Textform (E-Mail an den Konto-Administrator). Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.

Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Kunden für dessen Pflichterfüllung.

7. Übermittlung in Drittländer

Die Speicherung der Kundendaten erfolgt in der Europäischen Union. Eine Übermittlung in ein Drittland erfolgt nur, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-U.S. Data Privacy Framework) oder der EU-Standardvertragsklauseln. Die jeweilige Grundlage ist in Anlage 2 angegeben.

8. Unterstützung des Kunden

Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO). Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter.

Der Anbieter unterstützt den Kunden unter Berücksichtigung der ihm vorliegenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

9. Verletzungen des Schutzes personenbezogener Daten

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, nach Möglichkeit innerhalb von 24 Stunden. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht der Anbieter nach, sobald sie vorliegen. Der Anbieter ergreift unverzüglich Maßnahmen zur Eindämmung und dokumentiert den Vorfall.

10. Löschung und Rückgabe

Während der Vertragslaufzeit kann der Kunde seine Daten jederzeit über die Export-Funktionen der Software (Download, API) abrufen und löschen. Links zu freigegebenen Monatsberichten kann der Kunde jederzeit zurückziehen; sie verfallen spätestens 90 Tage nach dem Versand. Empfängeradressen, Lesestatus und das abgelegte PDF werden mit dem zugehörigen Monatslauf bzw. mit der Organisation des Kunden gelöscht.

Nach Vertragsende löscht der Anbieter die Kundendaten innerhalb von 30 Tagen, sofern nicht eine Pflicht zur Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht (Art. 28 Abs. 3 lit. g DSGVO). Soweit Datensicherungen bestehen, werden sie im regulären Sicherungszyklus überschrieben, spätestens 30 Tage nach der Löschung im Produktivsystem. Auf Verlangen bestätigt der Anbieter die Löschung in Textform.

11. Nachweise und Kontrollen

Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere diesen Vertrag, die aktuelle Fassung von Anlage 1 und 2 sowie auf Anfrage Zertifizierungen oder Prüfberichte der Unterauftragsverarbeiter (z. B. ISO/IEC 27001, SOC 2).

Der Kunde kann Überprüfungen, einschließlich Inspektionen, selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Überprüfungen sind mit angemessener Frist, in der Regel 14 Tage, anzukündigen, erfolgen während der üblichen Geschäftszeiten und dürfen den Betrieb nicht unverhältnismäßig stören. Vor-Ort-Prüfungen bei Unterauftragsverarbeitern richten sich nach deren Bedingungen; an ihre Stelle treten regelmäßig deren Prüfberichte.

12. Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

13. Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, München.

Anlage 1: Technische und organisatorische Maßnahmen

Anlage 2: Unterauftragsverarbeiter

Zahlungsabwicklung (Stripe) und Anmeldung per Google- oder Microsoft-Konto erfolgen durch eigenständig Verantwortliche und sind keine Auftragsverarbeitung; Details in der Datenschutzerklärung.