Auftragsverarbeitungsvertrag (AVV)

Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

Stand: Juli 2026

Präambel und Vertragsparteien

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten im Auftrag zwischen dem Kunden als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO und der flinkest FlexCo, Triumphgasse 23, 7022 Schattendorf, Österreich (im Folgenden „flinkest") als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

Sie ist Bestandteil des Nutzungsvertrags über die flinkest-Plattform (siehe AGB) und wird mit dessen Abschluss wirksam. Bei Widersprüchen zu den AGB gehen hinsichtlich der Verarbeitung personenbezogener Daten die Regelungen dieser Vereinbarung vor.

§ 1 Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung der flinkest-Plattform als Software as a Service (SaaS), einschließlich Speicherung, Verarbeitung und Sicherung der vom Kunden eingebrachten Daten. Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags. Nach Vertragsende richtet sich die Löschung nach § 9 dieser Vereinbarung.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Erheben, Speichern, Verändern, Auslesen, Abfragen, Übermitteln und Löschen personenbezogener Daten, soweit dies zur Erbringung der vertraglich vereinbarten Leistungen erforderlich ist: Verwaltung von Geschäftskontakten und Belegen, Zeiterfassung, Arbeitsberichte, Lager- und Projektverwaltung, Buchhaltungsvorbereitung inklusive optionaler KI-gestützter Funktionen (Beleg-Erkennung, Kontierungs- und Zuordnungsvorschläge, Text-Ausformulierung) sowie optionaler Anbindung von E-Mail-Konten und Bankkonten.

§ 3 Kategorien personenbezogener Daten

  • Stammdaten von Kontakten (Name, Adresse, E-Mail, Telefon, UID, Bankverbindung)
  • Beleg- und Rechnungsdaten (Positionen, Beträge, Zahlungsinformationen)
  • Mitarbeiterdaten (Name, Arbeitszeiten, Urlaubsdaten, Berechtigungen)
  • Banktransaktionsdaten (bei verbundenen Bankkonten)
  • E-Mail-Daten (bei verbundenen E-Mail-Konten: Absender, Betreff, Anhänge)
  • Dokumente, Fotos und Unterschriften (z. B. auf Arbeitsberichten und Lieferscheinen)
  • Nutzungs- und Protokolldaten der Plattform

§ 4 Kategorien betroffener Personen

Kunden, Lieferanten und deren Ansprechpartner; Mitarbeiter des Kunden; sonstige Geschäftspartner, deren Daten der Kunde in die Plattform einbringt.

§ 5 Pflichten von flinkest

  • Verarbeitung ausschließlich auf dokumentierte Weisung des Kunden (die Nutzung der Plattform-Funktionen gilt als Weisung)
  • Verpflichtung aller mit der Verarbeitung befassten Personen zur Vertraulichkeit
  • Umsetzung und laufende Überprüfung der technischen und organisatorischen Maßnahmen nach § 7
  • Unverzügliche Information des Kunden bei Verletzungen des Schutzes personenbezogener Daten, damit dieser seine Meldepflichten (Art. 33, 34 DSGVO) erfüllen kann
  • Information des Kunden, wenn eine Weisung nach Auffassung von flinkest gegen die DSGVO verstößt

§ 6 Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zur Einschaltung der nachfolgenden Unterauftragsverarbeiter. flinkest informiert über beabsichtigte Änderungen; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

  • Hetzner Online GmbH (Deutschland/Finnland) – Server-Hosting der Anwendung, Rechenzentren in der EU
  • Microsoft Ireland Operations Ltd. – Datei- und Dokumentenspeicherung (Azure Blob Storage)
  • Anthropic, PBC (USA) – KI-gestützte Funktionen (nur bei aktiver Nutzung; EU-Standardvertragsklauseln, kein Training mit Kundendaten)
  • Nylas, Inc. (USA) – Anbindung verbundener E-Mail-Konten (nur bei aktiver Verbindung; EU-Standardvertragsklauseln)
  • Stripe Payments Europe Ltd. (Irland) – Zahlungsabwicklung des Abonnements

Unterauftragsverarbeitern werden dieselben Datenschutzpflichten auferlegt, wie sie in dieser Vereinbarung festgelegt sind.

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

  • Verschlüsselung: Sämtliche Datenübertragung erfolgt TLS-verschlüsselt (HTTPS); Passwörter werden ausschließlich als sichere Hashes gespeichert
  • Mandantentrennung: Die Daten jedes Kunden werden in einer eigenen, logisch getrennten Datenbank geführt
  • Standort: Speicherung auf Servern innerhalb der EU (Rechenzentren in Österreich, Deutschland und Finnland)
  • Datensicherung: Regelmäßige, mehrmals tägliche Backups mit redundanter Speicherung innerhalb der EU
  • Zugriffskontrolle: Rollenbasiertes Berechtigungssystem; Zugriff nur für benannte Benutzer (Named User)
  • Protokollierung: Änderungen an geschäftskritischen Daten werden in einem Audit-Log nachvollziehbar aufgezeichnet
  • Zutritts- und Zugangskontrolle: Administrativer Systemzugriff nur für autorisierte Personen über gesicherte Verbindungen

§ 8 Unterstützungspflichten

flinkest unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO, insbesondere Auskunft, Berichtigung, Löschung und Datenübertragbarkeit – die Plattform bietet hierfür Export-Funktionen) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

§ 9 Löschung und Rückgabe

Der Kunde kann seine Daten während der Vertragslaufzeit jederzeit über die Export-Funktionen der Plattform ausleiten. Nach Beendigung des Vertrags werden sämtliche Kundendaten einschließlich der Datenbank und aller Dateien innerhalb von 30 Tagen endgültig gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Gleiches gilt für Testphasen, die nicht in ein Abonnement übergehen.

§ 10 Nachweis und Kontrollrechte

flinkest stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung. Der Kunde ist berechtigt, die Einhaltung dieser Vereinbarung in angemessenem Umfang zu überprüfen; Überprüfungen erfolgen nach rechtzeitiger Anmeldung, ohne den Geschäftsbetrieb unverhältnismäßig zu stören.

Schlussbestimmungen

Es gilt österreichisches Recht. Änderungen dieser Vereinbarung bedürfen der Schriftform, wobei die elektronische Form genügt. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Ergänzend gelten die AGB und die Datenschutzerklärung. Fragen zur Auftragsverarbeitung: support@flinkest.io