Auftragsverarbeitung (AVV)

1. Gegenstand und Dauer

CaDesk stellt eine webbasierte SaaS-Anwendung zur Erstellung und Verwaltung von Angeboten, Rechnungen, Kunden- und Unternehmensdaten sowie damit verbundenen Dokumenten bereit. Im Rahmen dieser Leistung verarbeitet CaDesk personenbezogene Daten im Auftrag des jeweiligen Kunden. Die Vereinbarung beginnt mit ihrer elektronischen Annahme und gilt für die Dauer des Nutzungsverhältnisses, soweit personenbezogene Daten im Auftrag verarbeitet werden.

2. Art und Zweck der Verarbeitung

Die Verarbeitung dient insbesondere dem Speichern, Strukturieren, Anzeigen, Bearbeiten, Exportieren und Löschen von Kunden- und Dokumentdaten, der Erstellung von PDFs und E-Rechnungen, dem Versand vom Nutzer ausgelöster oder automatisierter E-Mails sowie der technischen Bereitstellung, Absicherung und Wartung des Dienstes.

Die optionale KI-Funktion verarbeitet vom Nutzer ausdrücklich eingegebene Inhalte nur, wenn der Nutzer diese Funktion aufruft. Die KI dient insbesondere der Erstellung oder Änderung von Angebotsentwürfen und der Unterstützung bei der Bedienung von CaDesk.

3. Kategorien personenbezogener Daten

• Stamm- und Kontaktdaten (Name, Firma, Anschrift, E-Mail, Telefon)
• Kommunikations- und Ansprechpartnerdaten
• Vertrags-, Angebots-, Auftrags- und Rechnungsdaten
• Zahlungs- und Fälligkeitsinformationen, soweit vom Nutzer eingegeben
• Inhalte von Angeboten, Rechnungen, Lieferscheinen, Gutschriften und Mahnungen
• Benutzerkonto- und technische Sitzungsdaten
• Hochgeladene Logos und sonstige für die Nutzung erforderliche Dateien

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie Daten, die gesetzlichen besonderen Geheimhaltungsvorschriften unterliegen, sind nicht Gegenstand des Standardbetriebs von CaDesk und sollen nicht in CaDesk eingegeben werden, sofern nicht vorab eine geeignete schriftliche Vereinbarung getroffen wurde.

4. Kategorien betroffener Personen

Betroffen sein können insbesondere Kunden, Interessenten, Lieferanten, Ansprechpartner, Beschäftigte und sonstige Kontaktpersonen des Verantwortlichen sowie Nutzer des jeweiligen CaDesk-Accounts.

5. Weisungen des Verantwortlichen

CaDesk verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zur Verarbeitung besteht. Die Nutzung der vorgesehenen Funktionen, die Eingaben des Verantwortlichen und dokumentierte Support-Anweisungen gelten als Weisungen, soweit sie die Zwecke und Mittel der Verarbeitung im Rahmen dieser Vereinbarung bestimmen. Erhält CaDesk eine Weisung, die nach eigener Einschätzung gegen Datenschutzrecht verstößt, wird der Verantwortliche darauf hingewiesen.

6. Vertraulichkeit und Zugriff

Personen mit Zugriff auf personenbezogene Daten werden zur Vertraulichkeit verpflichtet bzw. unterliegen einer entsprechenden gesetzlichen Verschwiegenheitspflicht. Zugriffe werden auf das für Betrieb, Support, Sicherheit und Fehlerbehebung erforderliche Maß beschränkt.

7. Technische und organisatorische Maßnahmen (TOMs)

CaDesk setzt angemessene technische und organisatorische Maßnahmen ein. Dazu gehören insbesondere:

• verschlüsselte Übertragung über HTTPS/TLS
• passwortbasierte Authentifizierung mit sicher gespeicherten Passwort-Hashes und serverseitigen Sitzungen
• mandantenbezogene Zugriffskontrollen und Prüfungen der Benutzerzugehörigkeit
• serverseitige Verarbeitung von Geheimnissen und API-Schlüsseln ohne Speicherung im Frontend
• geschützte Datenbank- und Dateispeicherung auf verwalteter Infrastruktur
• Backups und Wiederherstellungsmechanismen der eingesetzten Infrastruktur
• Protokollierung und technische Überwachung zur Fehler-, Sicherheits- und Missbrauchsabwehr
• Funktionen für Datenexport und Kontolöschung im Rahmen der gesetzlichen Aufbewahrungspflichten

8. Unterstützung bei Betroffenenrechten

CaDesk unterstützt den Verantwortlichen nach Maßgabe der technischen Möglichkeiten bei Anfragen betroffener Personen, insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Der Verantwortliche bleibt für die rechtmäßige Beurteilung und Beantwortung der Anfragen verantwortlich.

9. Unterstützung bei Sicherheit und Datenschutz-Folgen

CaDesk unterstützt den Verantwortlichen angemessen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, soweit dies unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen erforderlich ist. Datenschutzverletzungen, die personenbezogene Daten des Verantwortlichen betreffen, werden dem Verantwortlichen unverzüglich nach Bekanntwerden mit den verfügbaren Informationen gemeldet.

10. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Hinzuziehung der nachfolgend genannten Unterauftragsverarbeiter bzw. Infrastrukturpartner im für den Betrieb von CaDesk erforderlichen Umfang. Änderungen der Liste werden über die aktuelle AVV-/Datenschutzinformation veröffentlicht. Der Verantwortliche kann aus wichtigen datenschutzrechtlichen Gründen Einspruch gegen beabsichtigte Änderungen erheben.

Stripe ist für Zahlungs- und Abonnementvorgänge nicht als Unterauftragsverarbeiter für die vom Nutzer in CaDesk gespeicherten Kundeninhalte eingesetzt, sondern verarbeitet Zahlungsdaten im Rahmen seiner eigenen Zahlungsdienstleistung und kann dabei je nach Verarbeitung als eigenständiger Verantwortlicher auftreten. Google Analytics wird nur auf der öffentlichen Website und nicht im eingeloggten App-Bereich eingesetzt und ist daher nicht Bestandteil dieser AVV.

11. Drittlandübermittlungen

Soweit personenbezogene Daten im Rahmen der eingesetzten Infrastruktur oder Dienste in ein Drittland außerhalb des EWR übermittelt werden, erfolgt dies nur auf Grundlage der jeweils anwendbaren gesetzlichen Übermittlungsgrundlage, insbesondere eines Angemessenheitsbeschlusses oder geeigneter Garantien wie den EU-Standardvertragsklauseln. Für die Auswahl und laufende Prüfung der eingesetzten Dienstleister gelten deren jeweils aktuellen Datenschutz- und Vertragsunterlagen.

12. Rückgabe und Löschung

Nach Beendigung des Nutzungsverhältnisses werden personenbezogene Daten nach Maßgabe der Funktionen von CaDesk und der gesetzlichen Aufbewahrungsfristen gelöscht oder dem Verantwortlichen zur Verfügung gestellt. Gesetzliche Pflichten zur Aufbewahrung oder Nachweissicherung bleiben unberührt.

13. Nachweise und Audits

CaDesk stellt dem Verantwortlichen die erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO geregelten Pflichten zur Verfügung. Audits und Inspektionen sind nach angemessener Vorankündigung und unter Berücksichtigung der Vertraulichkeit, Sicherheit und betrieblichen Zumutbarkeit möglich. Soweit geeignete Nachweise oder Zertifizierungen von eingesetzten Dienstleistern verfügbar sind, können diese zur Prüfung herangezogen werden.

14. Vorrang und Aktualisierung

Diese AVV ergänzt die AGB und die Datenschutzerklärung von CaDesk für die Verarbeitung im Auftrag des Verantwortlichen. Bei Widersprüchen gehen die zwingenden datenschutzrechtlichen Anforderungen dieser AVV für die Auftragsverarbeitung vor. Änderungen der AVV werden mit einer neuen Versionsnummer veröffentlicht.