Auftragsverarbeitungsvertrag
Dieser Auftragsverarbeitungsvertrag (AVV) wird gemäß Artikel 28 der Datenschutz-Grundverordnung (DSGVO) geschlossen und ist Teil der Nutzungsbedingungen. Er regelt die Verarbeitung personenbezogener Daten durch ClientFlow im Auftrag unserer Kunden.
Version 2.2 | Zuletzt aktualisiert: 5. Oktober 2026
1. Parteien
Verantwortlicher
Sie, der Kunde (die Stelle, die die Zwecke und Mittel der Verarbeitung bestimmt)
Auftragsverarbeiter
ClientFlow (verarbeitet personenbezogene Daten in Ihrem Auftrag)
1.1 Umfang der Verarbeitung
Dieser AVV gilt für die Verarbeitung personenbezogener Daten, bei der:
- ClientFlow personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Dienstleistungserbringung verarbeitet
- Die Verarbeitung sich auf die Verwaltung der Kundenbeziehungen des Verantwortlichen bezieht
- Die betroffenen Personen die Kunden und Geschäftskontakte des Verantwortlichen sind
- ClientFlow eine Business-Management-Software und kein System für Patientenakten oder klinische Zwecke ist; sofern der Verantwortliche Gesundheitsdaten oder andere besondere Kategorien von Daten über seine Kunden erfasst, der Verantwortliche die Rechtsgrundlage bestimmt und jede erforderliche ausdrückliche Einwilligung einholt und ClientFlow diese Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeitet
Verarbeitungstätigkeiten
- Speicherung und Organisation von Kundenkontaktinformationen
- Aufzeichnung und Verfolgung von Zahlungstransaktionen
- Versand autorisierter Mitteilungen (Erinnerungen, Benachrichtigungen)
- Erstellung von Analysen und Berichten auf Basis aggregierter Daten
2. Datenkategorien
| Kategorie | Beispiele | Zweck |
|---|---|---|
| Kontodaten | E-Mail, Name, Profilbild | Dienstzugang |
| Kundendaten | Kundennamen, Telefonnummern, E-Mails | CRM-Funktionalität |
| Zahlungsaufzeichnungen | Beträge, Daten, Status | Zahlungsverfolgung |
| Nutzungsdaten | Anmeldezeiten, Funktionsnutzung | Sicherheit, Verbesserung |
3. Pflichten des Auftragsverarbeiters
Wir werden:
- Daten nur gemäß Ihren dokumentierten Anweisungen verarbeiten
- Sicherstellen, dass Mitarbeiter zur Vertraulichkeit verpflichtet sind
- Angemessene Sicherheitsmaßnahmen umsetzen
- Bei Anfragen betroffener Personen unterstützen
- Sie innerhalb von 72 Stunden über Datenschutzverletzungen benachrichtigen
- Daten nach Beendigung löschen (nach Aufbewahrungsfrist)
4. Sicherheitsmaßnahmen
Technisch
- TLS (Übertragung)
- AES-256-GCM im Ruhezustand (Sitzungsnotizen, Ergebnisaufzeichnungen, Integrations-Zugangsdaten, Zahlungs-Token, Zwei-Faktor-Geheimnisse)
- OAuth 2.0 Authentifizierung
- Rollenbasierte Zugriffskontrolle
- Automatisierte Überwachung und Alarmierung
Organisatorisch
- Schriftliche Sicherheits- und Datenverarbeitungsrichtlinien
- Verfahren zur Reaktion auf Sicherheitsvorfälle
- Prüfung von Lieferanten und Unterauftragsverarbeitern
- Vertraulichkeitsverpflichtungen für alle Personen mit Datenzugriff
- Änderungsmanagement für Produktivsysteme
5. Unterauftragsverarbeiter
Wir nutzen folgende autorisierte Unterauftragsverarbeiter:
| Anbieter | Dienst | Ort | Übermittlungsmechanismus |
|---|---|---|---|
| Hetzner Cloud | Cloud-Infrastruktur & Hosting | Germany | Verarbeitung innerhalb der EU/des EWR |
| Vercel | Frontend-Hosting & -Bereitstellung | Frankfurt, Germany (FRA1) | Standardvertragsklauseln + EU–US Data Privacy Framework |
| Cloudflare | Content-Auslieferung & Dateispeicherung | Global edge network (EU primary storage) | Standardvertragsklauseln + EU–US Data Privacy Framework |
| iyzico | Zahlungsabwicklung | Istanbul, Turkey | Standardvertragsklauseln (noch nicht in Kraft) |
| Resend | Zustellung transaktionaler E-Mails | United States | Standardvertragsklauseln |
| Sentry | Fehlerüberwachung & Diagnose | United States | Standardvertragsklauseln |
| Google (OAuth, Analytics) | Anmeldung & Authentifizierung | United States | Standardvertragsklauseln + EU–US Data Privacy Framework |
| Firebase Cloud Messaging | Push-Benachrichtigungen | United States | Standardvertragsklauseln + EU–US Data Privacy Framework |
| Expo (push relay, OTA updates) | Push-Benachrichtigungen | United States | Standardvertragsklauseln |
| WhatsApp Business API | WhatsApp-Nachrichten | Ireland (contracting) + global (Meta infrastructure) | Standardvertragsklauseln |
| Apple (Sign in with Apple) | Anmeldung & Authentifizierung | United States | Standardvertragsklauseln |
| Anthropic (Claude) | Verarbeitung durch KI-Assistent & Chatbot | United States | Standardvertragsklauseln + EU–US Data Privacy Framework |
| OpenAI | Verarbeitung durch KI-Assistent & Chatbot | United States | Standardvertragsklauseln + EU–US Data Privacy Framework |
| Groq | Verarbeitung durch KI-Assistent & Chatbot | United States | Standardvertragsklauseln (noch nicht in Kraft) |
| Meta (Facebook Login) | Anmeldung & Authentifizierung | Ireland (EEA controller) + global (Meta infrastructure) | Standardvertragsklauseln (noch nicht in Kraft) |
| Google (reCAPTCHA) | Bot- & Missbrauchsschutz | United States | Standardvertragsklauseln (noch nicht in Kraft) |
| Google (Gmail, customer-connected) | Zustellung transaktionaler E-Mails | United States | Standardvertragsklauseln (noch nicht in Kraft) |
| Google (Calendar sync, customer-connected) | Kalendersynchronisierung | United States | Standardvertragsklauseln (noch nicht in Kraft) |
| Microsoft (Outlook mail, customer-connected) | Zustellung transaktionaler E-Mails | United States | Standardvertragsklauseln (noch nicht in Kraft) |
| Apple (iCloud Mail, customer-connected) | Zustellung transaktionaler E-Mails | United States | Standardvertragsklauseln (noch nicht in Kraft) |
| Apple (iCloud Calendar, customer-connected) | Kalendersynchronisierung | United States | Standardvertragsklauseln (noch nicht in Kraft) |
| Yahoo (Yahoo Mail, customer-connected) | Zustellung transaktionaler E-Mails | United States | Standardvertragsklauseln (noch nicht in Kraft) |
| OpenStreetMap (map tiles, address search) | Kartenanzeige & Adresssuche | United Kingdom and Netherlands (tile requests: global CDN) | Standardvertragsklauseln (noch nicht in Kraft) |
| CARTO (dark-theme map tiles) | Kartenanzeige & Adresssuche | United States | Standardvertragsklauseln (noch nicht in Kraft) |
Änderungen bei Unterauftragsverarbeitern
Wir werden Sie über beabsichtigte Änderungen bei Unterauftragsverarbeitern informieren:
- Mindestens 14 Tage Vorankündigung vor Hinzufügung oder Ersetzung von Unterauftragsverarbeitern
- Benachrichtigung per E-Mail an Ihre registrierte Konto-E-Mail-Adresse
- Sie können innerhalb von 14 Tagen Einspruch erheben, indem Sie uns kontaktieren
- Falls Ihr Einspruch nicht gelöst werden kann, können Sie die betroffenen Dienste kündigen
5.1 Prüfungsrechte
Der Verantwortliche hat das Recht, die Einhaltung dieses AVV zu überprüfen:
- Anforderung relevanter Dokumentationen und Zertifizierungen
- Durchführung von Audits mit mindestens 30 Tagen schriftlicher Vorankündigung
- Audits sind während der normalen Geschäftszeiten durchzuführen
- Prüfer muss eine Vertraulichkeitsvereinbarung unterzeichnen
Prüfungsumfang
- Sicherheitsmaßnahmen und technische Schutzvorrichtungen
- Compliance der Unterauftragsverarbeiter
- Datenverarbeitungsverfahren
- Vorfallreaktionsfähigkeiten
Die Kosten für Audits trägt der Verantwortliche, es sei denn, das Audit deckt wesentliche Nichteinhaltung auf.
6. Datenaufbewahrung & Löschung
Wir bewahren personenbezogene Daten nur so lange auf, wie es für die beschriebenen Zwecke erforderlich ist oder wie es das geltende Steuer- und Handelsrecht verlangt.
| Zeitleiste | Aktion |
|---|---|
| Auf Anfrage zur Kontolöschung | Kundendaten werden mit Ihrem Konto endgültig gelöscht: spätestens einen Tag nach Ablauf der 30-tägigen Karenzfrist, die auf einen Löschantrag auf unserer Website folgt (den Sie bis zum Ende der Frist zurückziehen können), oder innerhalb von 3 Tagen, wenn das Konto in der iOS-App gelöscht wird. Die Rechnungen, Belege und Angebote, die Sie Ihren eigenen Kunden ausstellen, sind Ihre Unterlagen — sie werden im selben Zeitrahmen zusammen mit Ihrem Konto gelöscht. |
| Nach der Kontolöschung | ClientFlows eigene Buchungsunterlagen zu Ihrem Abonnement (unsere Rechnungen an Sie) werden in anonymisierter Form (ohne personenbezogene Daten) mindestens so lange aufbewahrt, wie Steuer- und Handelsrecht es verlangen. |
| Bei Vertragsende | Wenn Sie Ihr Konto löschen, werden personenbezogene Daten innerhalb von 31 Tagen gelöscht (in der iOS-App innerhalb von 3 Tagen), mit Ausnahme der Aufzeichnungen, die wir aufbewahren müssen (etwa Audit-Protokolle und anonymisierte Abrechnungsunterlagen); verschlüsselte Backups rotieren innerhalb von 90 Tagen. Die Kündigung eines Abonnements löscht keine Daten |
7. CCPA-Bestimmungen
Gemäß CCPA handeln wir als "Dienstleister" und:
- Verarbeiten Daten nur für bestimmte Geschäftszwecke
- Verkaufen keine personenbezogenen Informationen
- Unterstützen bei Anfragen zu Verbraucherrechten
- Implementieren angemessene Sicherheitsmaßnahmen
8. Datenschutzverletzungsmeldung
Im Falle einer Verletzung des Schutzes personenbezogener Daten verpflichten wir uns zu Folgendem:
Benachrichtigungszeitplan
- Benachrichtigung innerhalb von 72 Stunden nach Kenntniserlangung einer Verletzung
- Bereitstellung einer ersten Bewertung von Umfang und Auswirkungen der Verletzung
- Zustellung einer detaillierten schriftlichen Benachrichtigung innerhalb von 5 Werktagen
Inhalt der Benachrichtigung
- Art der Verletzung einschließlich Kategorien und ungefährer Anzahl der betroffenen Personen
- Kontaktangaben des Datenschutz-Ansprechpartners für Rückfragen
- Beschreibung der wahrscheinlichen Folgen der Verletzung
- Ergriffene oder vorgeschlagene Maßnahmen zur Bewältigung der Verletzung
- Maßnahmen zur Minderung möglicher negativer Auswirkungen
Wir werden bei Ihrer Untersuchung und allen behördlichen Anfragen vollständig kooperieren und bei Verletzungsmeldungen an Aufsichtsbehörden und betroffene Personen gemäß geltendem Recht unterstützen.
9. Internationale Datenübermittlungen
Wenn personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden, stützen wir uns auf die Schutzmaßnahme, die auf unserer Seite der Unterauftragsverarbeiter für jeden Empfänger ausgewiesen ist und dort auch zeigt, wo eine Schutzmaßnahme noch nicht in Kraft ist:
Übermittlungsmechanismen
EU-Angemessenheitsbeschlüsse
Übermittlungen in Länder, die von der Europäischen Kommission als angemessen eingestuft wurden
EU-US Data Privacy Framework
Für US-basierte Verarbeiter, die nach dem DPF zertifiziert sind
Standardvertragsklauseln (SCCs)
Von der EU-Kommission genehmigte Klauseln (Version 2021) für andere Übermittlungen
Wir führen Übermittlungsfolgenabschätzungen durch, wo erforderlich, und implementieren ergänzende Maßnahmen (technisch, organisatorisch und vertraglich), wenn nötig, um ein im Wesentlichen gleichwertiges Schutzniveau sicherzustellen.
Sie können auf Anfrage Kopien der relevanten Übermittlungsmechanismen anfordern.
10. Haftung und Schadloshaltung
Haftung des Auftragsverarbeiters
ClientFlow haftet für Schäden, die durch eine Verarbeitung verursacht werden, die nicht diesem AVV entspricht oder bei der wir außerhalb oder entgegen rechtmäßiger Anweisungen des Verantwortlichen gehandelt haben.
Haftung des Verantwortlichen
Der Verantwortliche haftet für Schäden, die durch eine Verarbeitung verursacht werden, die gegen geltendes Datenschutzrecht verstößt oder nicht den Verpflichtungen des Verantwortlichen gemäß diesem AVV entspricht.
Einschränkungen
- Keine Partei haftet für indirekte, zufällige oder Folgeschäden
- Die gesamte Haftung gemäß diesem AVV ist auf die in den 12 Monaten vor dem Anspruch gezahlten Gebühren begrenzt
- Diese Einschränkungen gelten nicht bei Verletzungen der Vertraulichkeit, vorsätzlichem Fehlverhalten oder grober Fahrlässigkeit
Jede Partei verpflichtet sich, die andere Partei gegen Ansprüche Dritter freizustellen, die aus der Verletzung dieses AVV oder geltender Datenschutzgesetze durch die freistellende Partei entstehen.
11. Beendigung und Datenrückgabe
Laufzeit
Dieser AVV bleibt für die Dauer des Dienstleistungsvertrags und so lange gültig, wie wir personenbezogene Daten in Ihrem Auftrag verarbeiten.
Bei Beendigung
- Nach Ihrer Wahl werden wir Ihre personenbezogenen Daten innerhalb von 31 Tagen zurückgeben oder löschen, mit Ausnahme der Aufzeichnungen, die wir aufbewahren müssen (etwa Audit-Protokolle und anonymisierte Abrechnungsunterlagen)
- Sie können einen Datenexport in einem gängigen maschinenlesbaren Format anfordern
- Wir werden die Löschung auf Anfrage bestätigen
- Daten können aufbewahrt werden, soweit dies nach geltendem Recht erforderlich ist
Abschnitte zu Vertraulichkeit, Haftung und Datenschutzrechten bleiben nach Beendigung dieses AVV bestehen.