your tinyoffice

Vereinbarung zur Auftragsverarbeitung

Version 2026-09-19

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO zwischen dem Kunden des Dienstes „yourtinyoffice“ (nachfolgend „Verantwortlicher“) und CMaier GmbH, Webersiedlung 11, 8402 Werndorf, Österreich (nachfolgend „Auftragsverarbeiter“). Version 2026-09-19.

Diese Vereinbarung ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird mit deren Annahme bei der ersten Anmeldung abgeschlossen. Die Annahme wird mit Zeitpunkt und Version im Konto des Verantwortlichen protokolliert; damit ist die Schriftform in elektronischem Format nach Art. 28 Abs. 9 DSGVO gewahrt. Der Verantwortliche kann diese Seite ausdrucken oder als PDF speichern.

1. Gegenstand und Dauer

  1. Gegenstand ist die Bereitstellung des Dienstes zur Verwaltung von Kunden, Zeiten, Angeboten und Rechnungen als Software-as-a-Service.
  2. Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Mit Beendigung des Nutzungsvertrags endet auch diese Vereinbarung.

2. Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

  1. Art und Zweck: Speicherung, Anzeige, Bearbeitung, Erzeugung von Dokumenten (PDF, elektronische Rechnungen), Versand per E-Mail auf Weisung, Prüfung von Umsatzsteuer-Identifikationsnummern, Sicherung und Löschung, jeweils zur Erbringung des Dienstes für den Verantwortlichen.
  2. Datenkategorien: Firmen- und Kontaktdaten der Kunden des Verantwortlichen (Firma, Ansprechpartner, Anschrift, E-Mail-Adresse, Telefonnummer, UID, Freitext-Notizen), Leistungs- und Zeitaufzeichnungen (Datum, Stunden, Projekt, Tätigkeitsbeschreibung), Angebots- und Rechnungsdaten (Positionen, Beträge, Zahlungsstatus), E-Mail-Adressen der Empfänger von Dokumenten.
  3. Betroffene: Kunden und Ansprechpartner der Kunden des Verantwortlichen, Empfänger von Angeboten und Rechnungen.
  4. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Verantwortliche wird solche Daten nicht in Freitextfeldern erfassen.

3. Weisungen

  1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen des Dienstes durch den Verantwortlichen (z. B. Anlegen eines Kunden, Versand einer Rechnung, Auslösen einer UID-Prüfung) gilt als Weisung.
  2. Weitere Weisungen erteilt der Verantwortliche in Textform an office@cmaier.tech. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.
  3. Eine Verarbeitung außerhalb der EU/des EWR findet nur im in Anlage 1 beschriebenen Umfang statt.

4. Pflichten des Auftragsverarbeiters

  1. Er stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind.
  2. Er ergreift die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik an, ohne das Schutzniveau abzusenken.
  3. Er unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Beantwortung von Anträgen Betroffener (Art. 12–22 DSGVO). Auskunft, Berichtigung und Löschung kann der Verantwortliche über die Funktionen des Dienstes selbst vornehmen; darüber hinausgehende Unterstützung erfolgt gegen Ersatz des angemessenen Aufwands.
  4. Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO unter Berücksichtigung der ihm verfügbaren Informationen.
  5. Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, an die im Konto hinterlegte E-Mail-Adresse, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, soweit sie ihm vorliegen.
  6. Er stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind.

5. Unterauftragsverarbeiter

  1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Einbindung der in Anlage 1 genannten Unterauftragsverarbeiter.
  2. Beabsichtigte Änderungen (Hinzufügen oder Ersetzen) teilt der Auftragsverarbeiter mindestens 30 Tage vor Wirksamwerden per E-Mail mit. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann der Verantwortliche den Nutzungsvertrag zum Wirksamwerden der Änderung beenden.
  3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die dieser Vereinbarung entsprechen, und haftet für sie wie für eigenes Handeln.

6. Kontrollrechte

  1. Der Verantwortliche hat das Recht, die Einhaltung dieser Vereinbarung zu überprüfen. Der Auftragsverarbeiter erfüllt dies vorrangig durch Bereitstellung von Dokumentation, Selbstauskünften und den Berichten bzw. Zertifizierungen seiner Unterauftragsverarbeiter (z. B. SOC 2 von Supabase).
  2. Reicht dies im Einzelfall nicht aus, kann der Verantwortliche nach Ankündigung mit angemessener Frist höchstens einmal jährlich während der üblichen Geschäftszeiten eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Die Kosten trägt der Verantwortliche.

7. Löschung und Rückgabe

  1. Der Verantwortliche kann seine Daten jederzeit über den Dienst einsehen und Dokumente als PDF exportieren.
  2. Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen einschließlich Sicherungskopien innerhalb von 30 Tagen, sofern nicht gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters entgegenstehen. Auf Wunsch bestätigt er die Löschung in Textform.

8. Haftung, Schlussbestimmungen

  1. Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach den Haftungsregelungen der AGB.
  2. Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung hinsichtlich des Datenschutzes vor.
  3. Es gilt österreichisches Recht; Gerichtsstand ist Graz.

Anlage 1: Unterauftragsverarbeiter

UnternehmenLeistungOrt der Verarbeitung / Garantie
Supabase, Inc., 970 Toa Payoh North #07-04, Singapur 318992Authentifizierung, PostgreSQL-Datenbank, Dateispeicher für PDF- und XML-Dokumente, transaktionale Auth-E-MailsDaten gespeichert in AWS-Region eu-west-1 (Irland); Auftragsverarbeitungsvertrag mit Supabase; Support-Zugriff aus den USA möglich, abgesichert durch EU-Standardvertragsklauseln und EU-US Data Privacy Framework
Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (Unterauftragsverarbeiter von Supabase)Infrastruktur für Supabaseeu-west-1 (Irland)
Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, DeutschlandBetrieb der Anwendung auf einem Cloud-Server, Erzeugung von PDF- und E-Rechnungs-Dateien, Server-Logs; Versand von Angebots- und Rechnungs-E-Mails im Free-Plan über den Webhosting-Mailserver (Empfängeradresse, Betreff, Text, PDF-Anhang)Deutschland (EU); Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit Hetzner

Keine Unterauftragsverarbeiter, sondern eigenständige Stellen: die Europäische Kommission (MIAS/VIES-Abfrage von Umsatzsteuer-Identifikationsnummern auf Weisung), die Europäische Zentralbank (Abruf von Referenzkursen ohne personenbezogene Daten) sowie Stripe Payments Europe, Ltd. (Abrechnung der Entgelte des Verantwortlichen; betrifft nur dessen eigene Daten, nicht die Daten seiner Kunden). Bei Nutzung eines eigenen SMTP-Servers im Pro-Plan ist dessen Betreiber Auftragsverarbeiter des Verantwortlichen, nicht des Auftragsverarbeiters.

Anlage 2: Technische und organisatorische Maßnahmen

Zutritts- und Zugangskontrolle

Zugriffskontrolle und Mandantentrennung

Weitergabe- und Transportkontrolle

Eingabe- und Verfügbarkeitskontrolle

Organisation