Auftragsverarbeitung

Daten im Auftrag

Wenn ein Unternehmen Dayan Manager zur Verarbeitung personenbezogener Kunden- oder Beschäftigtendaten nutzt und Dayan diese Daten weisungsgebunden verarbeitet, ist vor diesem Einsatz eine Vereinbarung nach Art. 28 DSGVO erforderlich. Diese Informationsseite ist noch kein abgeschlossener Auftragsverarbeitungsvertrag.

Vertragsunterlagen

Die nachfolgende Vereinbarungsvorlage enthält den Vertragsumfang und die Anlagen zu Datenarten, Schutzmaßnahmen und Unterauftragnehmern. Sie muss vor dem Einsatz mit echten Daten Dritter ausdrücklich zwischen dem Anbieter und dem nutzenden Unternehmen geschlossen werden. Verträge mit Cloud- und Maildienstleistern ersetzen diese Vereinbarung nicht.

Vereinbarung nach Art. 28 DSGVO – Vertragspartner und Abschluss

Auftragsverarbeiter ist Lukas Dayan, handelnd unter Dayan Digital Solutions, Einzelunternehmen, Diekstraße 15A, 33330 Gütersloh, Deutschland, kontakt@dayandigitalsolutions.com. Auftraggeber ist das Unternehmen, dessen vollständige Firmierung, Anschrift und zugehörige Konto-E-Mail in der beiderseitigen Vertragsbestätigung genannt sind.

Die Vereinbarung wird vor der Verarbeitung echter Daten Dritter in Textform zwischen diesen Parteien geschlossen, beispielsweise durch eine ausdrückliche Bestätigung per E-Mail unter Bezug auf diese Fassung einschließlich ihrer Anlagen. Das bloße Lesen dieser Seite, eine Zugangsanfrage oder die technische Freischaltung allein schließt die Vereinbarung nicht ab. Änderungen und zusätzliche Weisungen werden dokumentiert. Die gesetzlichen Datenschutzpflichten bleiben unberührt.

1. Gegenstand, Zwecke und Dauer

Gegenstand ist die Speicherung und Verarbeitung der vom Auftraggeber eingegebenen personenbezogenen Daten in Dayan Manager zur Verwaltung von Kunden, Terminen, Angeboten und Rechnungen, zum Geräteabgleich, zur Kontobetreuung und zur Bereitstellung von Exporten. Verarbeitungsvorgänge sind insbesondere Erfassen, Speichern, Ordnen, Ändern, Abrufen, Übertragen an die angemeldeten Geräte, Bereitstellen zum Exportieren und Löschen.

Die Verarbeitung dauert für die vereinbarte Kontonutzung und die anschließende Rückgabe beziehungsweise Löschung. Dayan verkauft die Auftragsdaten nicht, verwendet sie nicht für Werbung oder Profilbildung und führt sie nicht für eigene Zwecke mit fremden Kundendaten zusammen. Eigene Kontoverwaltungs- und Sicherheitsdaten, für die Dayan Verantwortlicher ist, werden in den Datenschutzhinweisen gesondert beschrieben.

Anlage 1 – Daten und betroffene Personen

Betroffene Personen sind Kunden, Interessenten, Ansprechpartner, Lieferanten und Beschäftigte des Auftraggebers, soweit deren Daten in der App eingegeben werden. Datenarten sind Namen, Firmenzugehörigkeit, Post-/E-Mail-Adressen, Telefonnummern, kundenbezogene Terminangaben und Notizen, Leistungsbeschreibungen, Angebots-/Rechnungsdaten, Beträge, Zahlungsinformationen und gegebenenfalls Bankverbindungen sowie Firmenlogos mit Personenbezug.

Besondere Kategorien nach Art. 9 DSGVO sowie Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO sind nicht Gegenstand dieser Standardvereinbarung. Für einen solchen Einsatz ist vorher eine gesonderte schriftliche Vereinbarung mit geeigneten Schutzmaßnahmen nötig. Freitextfelder dürfen nicht dafür benutzt werden, diese Grenze zu umgehen.

2. Weisungen und Verantwortung des Auftraggebers

Dayan verarbeitet die Auftragsdaten nur auf dokumentierte Weisung des Auftraggebers. Die vereinbarten Funktionen und die vom Auftraggeber ausgelösten Eingaben, Exporte und Löschungen bilden die anfänglichen Weisungen. Weitergehende Weisungen werden an kontakt@dayandigitalsolutions.com gerichtet; die Berechtigung des Weisungsgebers wird geprüft. Bei gesetzlich vorgeschriebener Verarbeitung informiert Dayan den Auftraggeber vorab, sofern das Gesetz dies nicht untersagt.

Der Auftraggeber verantwortet die Rechtmäßigkeit der Erhebung, die Rechtsgrundlagen, erforderliche Informationen gegenüber Betroffenen, Datenrichtigkeit, zulässige Empfänger seiner Exporte und eigene Aufbewahrungspflichten. Er beschränkt seine Eingaben auf erforderliche Daten und schützt seine Geräte und Kontozugangsdaten. Dayan informiert ihn unverzüglich, wenn eine Weisung nach eigener Einschätzung Datenschutzrecht verletzt; ihre Ausführung wird bis zur Klärung ausgesetzt.

3. Vertraulichkeit und Zugriffsbegrenzung

Dayan beschränkt interne Zugriffe auf die für Bereitstellung, Sicherheit oder vereinbarte Unterstützung erforderlichen Personen. Diese müssen vor einem Zugriff zur Vertraulichkeit verpflichtet sein oder einer geeigneten gesetzlichen Verschwiegenheitspflicht unterliegen. Die Pflicht gilt nach Ende der Tätigkeit weiter. Neue Personen erhalten keinen Zugriff allein dadurch, dass sie als Entwickler bezeichnet werden.

Unterstützung erfolgt grundsätzlich ohne Übermittlung unnötiger Kundeninhalte. Ein erforderlicher Zugriff auf Inhalte wird auf den konkreten Zweck beschränkt und dokumentiert. Behördenanfragen und Verpflichtungen werden im rechtlich zulässigen Umfang an den Auftraggeber weitergegeben.

Anlage 2 – Technische und organisatorische Maßnahmen

Zugang und Trennung: Die App setzt individuelle Anmeldung und eine persönliche Freigabe voraus. Die Datenbank trennt Datensätze durch Kontokennungen und Row Level Security. Normale Nutzer können nur ihr eigenes Konto verwenden. Owner-Rechte zur Nutzerverwaltung beruhen auf einer serverseitigen UUID-Zuordnung. Diese Verwaltungsoberfläche zeigt Zugangsanfragen und Freigaben; sie stellt keine allgemeine Oberfläche zum Durchsuchen fremder Geschäftsinhalte bereit.

Übertragung und Schlüssel: App- und Serverkommunikation verwendet HTTPS beziehungsweise verschlüsselte WebSocket-Verbindungen. Privilegierte Backend- und Versandzugänge werden serverseitig gehalten und nicht mit der App ausgeliefert. Supabase stellt die Speicherung und seine Infrastrukturmaßnahmen nach dem eigenen Auftragsverarbeitungsvertrag bereit. Eine Ende-zu-Ende-Verschlüsselung oder eine zusätzliche appseitige Verschlüsselung des Gerätespeichers wird nicht zugesagt.

Integrität und Verfügbarkeit: Eingaben werden serverseitig geprüft. Versionsprüfungen und wiederholbare Schreibaufträge schützen den Geräteabgleich vor unbemerktem Überschreiben und doppelten Dokumentnummern. Änderungen können bei fehlender Verbindung lokal vorgemerkt bleiben; synchronisiert werden sie nach erfolgreicher Übertragung. Der Auftraggeber kann seine Inhalte strukturiert exportieren und Dokumente als PDF sichern. Der verwendete Supabase-Free-Tarif ist kein zugesicherter Backup-/Wiederherstellungsdienst. Es gibt keine zugesicherte Mindestverfügbarkeit oder Archivierung nach GoBD.

Betrieb und Kontrolle: Technische Änderungen werden vor Freigabe geprüft. Sicherheitsvorfälle, Zugriffsänderungen und datenschutzbezogene Maßnahmen werden nachvollziehbar dokumentiert. Sicherheitsprotokolle und nicht mehr benötigte Anfragedaten folgen dem dokumentierten Löschkonzept. Die Maßnahmen werden bei Änderungen der Risiken oder Anbieter überprüft. Gleichwertige Verbesserungen sind zulässig; das vereinbarte Schutzniveau darf nicht abgesenkt werden.

Geräte und Exporte: Die lokale Datenkopie und Anmeldung erfordern eine Gerätesperre und die üblichen Schutzmaßnahmen des Auftraggebers. Benachrichtigungen können Terminangaben auf dem Sperrbildschirm zeigen und lassen sich abschalten. An Dritte weitergegebene PDFs und heruntergeladene Sicherungen unterliegen der Kontrolle des Auftraggebers; Dayan kann sie nicht aus der Ferne löschen.

Anlage 3 – Unterauftragsverarbeiter und internationale Verarbeitung

Supabase Pte. Ltd. wird für Authentifizierung, Datenbank, Speicher und Geräteabgleich eingesetzt; das Projekt befindet sich in Frankfurt. Die regionale Speicherung schließt internationale Support-/Sicherheitsvorgänge nicht aus. Resend, Inc. wird für Zugangsanfragen, Kontoeinladungen und Passwortmails verwendet, mit eingerichteter Versandregion Irland. Angebots- und Rechnungs-PDFs werden nicht durch Resend an Kunden verschickt.

Der Auftraggeber genehmigt mit Abschluss dieser Vereinbarung die vorgenannten Dienstleister einschließlich ihrer auf den verlinkten offiziellen Listen aufgeführten Unterauftragnehmer für diese Aufgaben. Dayan verpflichtet weitere Auftragsverarbeiter auf mindestens gleichwertige Datenschutzpflichten und bleibt für deren auftragsbezogene Pflichten gegenüber dem Auftraggeber verantwortlich. Eine bloße Informationsseite ersetzt keinen erforderlichen Vertrag mit einem Dienstleister.

Für neue oder ersetzte direkte Unterauftragsverarbeiter kündigt Dayan die Änderung mindestens 30 Tage vorher in Textform an. Der Auftraggeber kann aus nachvollziehbaren Datenschutzgründen widersprechen. Die Parteien suchen eine geeignete Lösung; ohne Lösung darf die betroffene Verarbeitung nicht mit dem beanstandeten Dienstleister fortgesetzt werden. Erforderliche internationale Übermittlungen erfolgen nur unter Einhaltung von Kapitel V DSGVO, beispielsweise auf Grundlage eines einschlägigen Angemessenheitsbeschlusses oder geeigneter Standardvertragsklauseln mit den erforderlichen ergänzenden Maßnahmen. Dayan stellt die für die Beurteilung erforderlichen Informationen bereit.

4. Betroffenenrechte, Folgenabschätzungen und Vorfälle

Dayan unterstützt den Auftraggeber unter Berücksichtigung der Verarbeitungsart und verfügbaren Informationen bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit sowie bei den Pflichten nach Art. 32 bis 36 DSGVO. Betroffenenanfragen zu Auftragsdaten werden unverzüglich weitergeleitet; Dayan beantwortet sie nur auf Weisung, soweit keine eigene gesetzliche Pflicht besteht.

Eine bekannt gewordene Verletzung des Schutzes von Auftragsdaten meldet Dayan dem Auftraggeber unverzüglich. Die Meldung nennt, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten/Personen, wahrscheinliche Folgen, Kontakt und ergriffene oder vorgeschlagene Maßnahmen. Noch fehlende Informationen werden nachgereicht. Dayan unterstützt bei Untersuchung, Eindämmung, Dokumentation und erforderlichen Meldungen. Dies entbindet den Auftraggeber nicht von seinen eigenen gesetzlichen Fristen.

5. Nachweise, Kontrolle und Unterstützung

Dayan stellt dem Auftraggeber die erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht angemessene Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer. Vorrangig können geeignete aktuelle Nachweise und Dokumentation geprüft werden, ohne dadurch gesetzliche Kontrollrechte auszuschließen.

Umfang, Termin und sichere Durchführung werden abgestimmt. Die Prüfung schützt die Daten anderer Kunden und die Sicherheit der Systeme. Bei konkretem Vorfall oder behördlicher Dringlichkeit werden die Umstände berücksichtigt. Zusätzliche kostenpflichtige Leistungen bedürfen einer vorherigen gesonderten Vereinbarung; gesetzlich geschuldete Mitwirkung wird nicht von einer pauschalen Vorabzahlung abhängig gemacht.

6. Vertragsende, Rückgabe und Löschung

Nach Ende der vereinbarten Verarbeitung gibt Dayan die Auftragsdaten nach Wahl des Auftraggebers zurück oder löscht sie, einschließlich vorhandener Kopien, soweit keine gesetzliche Speicherungspflicht entgegensteht. Eine solche Ausnahme wird mit ihrem Zweck, Umfang und ihrer Dauer mitgeteilt. Die App bietet einen strukturierten Export und eine ausdrücklich bestätigte Kontolöschung; Unterstützung kann auch per E-Mail verlangt werden.

Eine gewöhnliche Zugriffssperre löscht keine Kontoinhalte. Gewöhnliches Löschen einzelner Geschäftseinträge kann technische Löschmarkierungen für den Geräteabgleich belassen; eine vollständige Kontolöschung entfernt auch die kontoeigenen Markierungen, Nummernstände und Änderungsbelege. Offline-Kopien auf Nutzergeräten und bereits weitergegebene Exporte werden nicht aus der Ferne gelöscht. Technische Provider-Backups werden nach den anwendbaren Abläufen entfernt; bis dahin bleiben Daten gesperrt für jede andere Nutzung. Eine Wiederherstellung darf bereits ausgeführte Löschungen nicht rückgängig machen.

7. Schlussbestimmungen

Diese Vereinbarung einschließlich der Anlagen ergänzt die vereinbarte App-Nutzung. Bei Widersprüchen zu anderen Bedingungen gehen für die Verarbeitung im Auftrag diese Datenschutzpflichten vor. Gesetzliche Rechte und Verantwortlichkeiten werden nicht eingeschränkt. Die Vereinbarung begründet keine Erklärung, dass jeder beliebige vom Auftraggeber eingegebene Inhalt rechtmäßig sei.

Vertragsbestätigungen müssen den Auftraggeber, dessen Konto, diese Fassung und das Datum des Abschlusses eindeutig bezeichnen. Ansprechpartner für Weisungen, Vorfälle und Vertragsunterlagen ist kontakt@dayandigitalsolutions.com. Stand der vorgeschlagenen Fassung: 1. Oktober 2026.