Auftragsverarbeitungsvertrag

Parteien

Verantwortlicher ist die Kundin oder der Kunde von Klienta. Auftragsverarbeiter ist Medyasin, Yasin Yön, Esshaverstrasse 7, 5020 Salzburg, Österreich.

Diese Vereinbarung wird mit Annahme der AGB wirksam und gilt für die Dauer des Nutzungsvertrags.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung der Software Klienta. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung

Speicherung, Organisation, Auslesen, Verändern und Löschen von Daten zum Zweck der Termin-, Kunden-, Angebots-, Rechnungs- und Ausgabenverwaltung sowie zum Versand von Terminbestätigungen und Dokumenten im Auftrag des Verantwortlichen.

3. Kategorien betroffener Personen

• Kundinnen und Kunden des Verantwortlichen
• Ansprechpartnerinnen und Ansprechpartner bei Geschäftskunden
• Beschäftigte des Verantwortlichen, die die App nutzen

4. Arten der Daten

• Stammdaten: Name, Firmenname, Anschrift
• Kontaktdaten: E-Mail-Adresse, Telefonnummer
• Vertrags- und Abrechnungsdaten: Termine, Leistungen, Angebote, Rechnungen, Zahlungsstatus
• Kommunikationsdaten: Nachrichten aus dem Kunden-Chat
• Notizen, die der Verantwortliche selbst erfasst

5. Weisungsbindung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der App stellt die laufende Weisung dar; darüber hinausgehende Weisungen sind in Textform an office@klienta.at zu richten. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.

6. Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Der Zugriff auf Produktivdaten ist auf den Inhaber beschränkt und erfolgt nur, soweit es für Betrieb, Fehlerbehebung oder eine ausdrücklich angeforderte Unterstützung erforderlich ist.

7. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Verschlüsselung der Übertragung über TLS
• Verschlüsselung der Daten im Ruhezustand beim Hosting-Dienstleister
• Mandantentrennung durch Row Level Security direkt in der Datenbank
• Passwörter ausschließlich als Hash gespeichert
• Zugangsbeschränkung zur Produktivumgebung
• Regelmäßige automatische Sicherungen mit begrenzter Aufbewahrung
• Protokollierung sicherheitsrelevanter Ereignisse

8. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Supabase – Hosting von Datenbank, Authentifizierung und Dateispeicher, Serverstandort Central EU (Frankfurt, Deutschland)
• Resend – Versand von E-Mails, sofern der Verantwortliche die E-Mail-Funktionen nutzt

Ein Wechsel oder die Aufnahme weiterer Unterauftragsverarbeiter wird mindestens vier Wochen vorher mitgeteilt. Der Verantwortliche kann aus wichtigem Grund widersprechen; in diesem Fall steht ihm ein Sonderkündigungsrecht zu.

9. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten, bei Datenschutz-Folgenabschätzungen und bei Meldepflichten. Die App stellt dafür Export- und Löschfunktionen bereit. Anfragen betroffener Personen, die beim Auftragsverarbeiter eingehen, werden nicht selbst beantwortet, sondern unverzüglich weitergeleitet.

10. Datenschutzverletzungen

Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens innerhalb von 48 Stunden, an den Verantwortlichen und stellt die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit.

11. Löschung und Rückgabe

Nach Beendigung des Vertrags werden alle Daten gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Vor der Löschung hat der Verantwortliche 30 Tage Zeit, seine Daten über die Exportfunktion zu sichern. Löscht der Verantwortliche sein Konto selbst in der App, erfolgt die Löschung sofort.

12. Nachweise und Kontrolle

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach rechtzeitiger Ankündigung, soweit dadurch der Betrieb und die Sicherheit anderer Kunden nicht beeinträchtigt werden.

Stand: August 2026