Vertrag zur Auftragsverarbeitung (AVV)

Stand: 31.10.2026. Teil B der Allgemeinen Vertragsbedingungen nach Art. 28 DSGVO, ein AVV für UmlageFix Pro, UmlageFix Privat und LeistungsFix. Der Rahmen gilt einheitlich, was je Programm verarbeitet wird, steht in Anlage 1. Als PDF speichern: Druckfunktion des Browsers.

Vertragsparteien und Vertragsschluss

Verantwortlicher (im Folgenden „Kunde“): der Betrieb, Eigentümer oder die Verwaltung, die UmlageFix Pro, UmlageFix Privat oder LeistungsFix nutzt, mit den bei der Bestellung oder Registrierung angegebenen Daten.

Auftragsverarbeiter (im Folgenden „Anbieter“): Lichtlabor-Berlin, Inhaber Norbert Winter, Hauptstraße 16–18, 10317 Berlin, USt-IdNr. DE257996090, E-Mail info@umlagefix.com, Telefon 0157 73950090.

1. Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), zusammen mit Teil A: bei der Online-Bestellung über die Bezahlseite, bei der Registrierung in der App oder bei Bestellung per E-Mail mit der Auftragsbestätigung.
2. Der Anbieter stellt die jeweils gültige Fassung unter umlagefix.com/avv bereit.
3. Ansprechpartner für Datenschutz beim Anbieter: Norbert Winter, info@umlagefix.com.

§ 1 Gegenstand, Dauer und Verhältnis zum Hauptvertrag

1. Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies für die Bereitstellung des gebuchten Programms nötig ist. Hauptvertrag ist Teil A der Allgemeinen Vertragsbedingungen mit dem gebuchten Abo, der Pilotlizenz, den Zusatzplätzen oder der kostenlosen Nutzung.
2. Dieser Vertrag gilt, solange der Anbieter personenbezogene Daten des Kunden verarbeitet. Er endet nicht vor Abschluss der Löschung nach § 7.
3. Bei Widersprüchen zwischen Teil A und diesem Vertrag geht dieser Vertrag in Fragen des Datenschutzes vor.
4. Die Daten werden in der Europäischen Union gespeichert. Übermittlungen in Drittländer erfolgen nur über die in Anlage 3 genannten Unterauftragsverarbeiter und nur mit geeigneten Garantien nach Art. 44 ff. DSGVO.

§ 2 Art und Zweck der Verarbeitung, Daten und Betroffene

1. Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich je Programm aus Anlage 1.
2. Der Anbieter verarbeitet die Daten ausschließlich zur Bereitstellung des Programms, zur Fehlerbehebung und zur Sicherheit des Betriebs. Eine Nutzung für eigene Zwecke, insbesondere für Werbung, Profilbildung oder zum Training von KI-Modellen, findet nicht statt.
3. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet der Anbieter nur in einem Fall: Bei UmlageFix Pro kann der Kunde als Grund einer Abwesenheit „krank“ eintragen, ohne Diagnose. Grundlage ist das Beschäftigungsverhältnis des Kunden (Art. 9 Abs. 2 lit. b DSGVO, § 26 Abs. 3 BDSG). Darüber hinaus lädt der Kunde keine Dokumente oder Fotos hoch und trägt keine Notizen ein, die solche Daten enthalten.
4. Standortdaten werden nur erfasst, solange ein Auftrag, eine Fahrt oder ein Einsatz offen ist. Gespeichert werden Ankunft und Abfahrt am Objekt sowie Start, Ziel und Kilometer einer Fahrt, keine Wegstrecken.

§ 3 Weisungen des Kunden

1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen sind abschließend in diesem Vertrag, in Teil A und in den Einstellungen festgelegt, die der Kunde im Programm vornimmt (zum Beispiel Löschfristen, Berichtsempfänger, Kopie-Empfänger).
2. Weitere Weisungen erteilt der Kunde in Textform an info@umlagefix.com. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, können gesondert vergütet werden.
3. Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit. Er darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.
4. Ist der Anbieter gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Kunden vorher mit, sofern das Gesetz dies nicht verbietet.
5. Versendet der Kunde Berichte an Kopie-Empfänger (zum Beispiel eine Hausverwaltung), ist dies seine Weisung. Für die Rechtmäßigkeit dieser Übermittlung ist der Kunde verantwortlich.

§ 4 Pflichten des Anbieters

1. Vertraulichkeit: Personen, die beim Anbieter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
2. Sicherheit: Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 (Art. 32 DSGVO). Er darf sie an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt.
3. Rechte der Betroffenen: Der Anbieter unterstützt den Kunden bei Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Der Kunde kann die meisten Anfragen selbst im Programm erledigen (Export, Bearbeiten, Löschen von Zugängen und Dokumenten). Anfragen, die beim Anbieter eingehen, leitet er unverzüglich an den Kunden weiter.
4. Datenpannen: Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
5. Weitere Unterstützung: Der Anbieter unterstützt den Kunden bei einer Datenschutz-Folgenabschätzung und bei Konsultationen der Aufsichtsbehörde, soweit dies das Programm betrifft.
6. Ort der Verarbeitung: Die Datenbank und die Dateien (Fotos, Unterschriften, bei LeistungsFix die hochgeladenen Verträge und Rechnungen) liegen in einem Rechenzentrum in Frankfurt am Main. Serverfunktionen (zum Beispiel Berichtsversand, KI-Prüfung) laufen auf der Infrastruktur von Supabase.

§ 5 Unterauftragsverarbeiter

1. Der Kunde stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu.
2. Neue oder ersetzte Unterauftragsverarbeiter kündigt der Anbieter mindestens 30 Tage vorher per E-Mail an den Admin des Kunden und auf umlagefix.com/avv an. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen. Findet sich keine Lösung, kann der Kunde den Hauptvertrag zum Wechsel des Unterauftragsverarbeiters kündigen.
3. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.
4. Für Übermittlungen in Drittländer stellt der Anbieter geeignete Garantien sicher, insbesondere eine Zertifizierung nach dem EU-US Data Privacy Framework oder Standardvertragsklauseln der EU-Kommission.
5. Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation, Post oder die Zahlungsabwicklung über Stripe, die Stripe in eigener Verantwortung durchführt.

§ 6 Nachweise und Kontrollen

1. Der Anbieter weist die Einhaltung seiner Pflichten auf Anfrage nach, vorrangig durch diesen Vertrag mit Anlage 2, aktuelle Nachweise der Unterauftragsverarbeiter (zum Beispiel Zertifikate nach ISO 27001 oder SOC-2-Berichte) und schriftliche Auskünfte.
2. Reicht das nicht aus, kann der Kunde eine Kontrolle vor Ort durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Sie ist mit mindestens 14 Tagen Vorlauf anzukündigen, findet zu Geschäftszeiten statt und darf den Betrieb nicht unverhältnismäßig stören.
3. Den Aufwand einer Kontrolle trägt der Kunde, es sei denn, sie deckt einen erheblichen Verstoß des Anbieters auf.

§ 7 Löschung und Rückgabe nach Vertragsende

1. Während der Laufzeit kann der Kunde seine Daten jederzeit im Programm exportieren (Berichte als PDF, Rechnungsdaten über den Faktura-Export) und löschen. Fristen für Fotos und Standortdaten stellt der Kunde im Programm ein. Bei LeistungsFix kann der Kunde jede Prüfung mit den zugehörigen Dokumenten löschen. Die eigene Datensicherung des Kunden regelt § 8 Abs. 5 von Teil A.
2. Nach Ende des Hauptvertrags kann der Kunde seine Daten noch 30 Tage exportieren. Danach löscht der Anbieter alle personenbezogenen Daten des Kunden innerhalb von weiteren 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht des Anbieters besteht.
3. Daten in Sicherungskopien werden im regulären Sicherungszyklus des Hosting-Anbieters überschrieben. Bis dahin sind sie gegen Zugriff geschützt und werden nicht weiterverarbeitet.
4. Gelöschte Zugänge einzelner Mitarbeiter werden sofort gesperrt und nach 30 Tagen anonymisiert („Ehemaliger Mitarbeiter N“). Arbeitsfotos ohne Personen und Leistungsnachweise bleiben beim Kunden.
5. Auf Anfrage bestätigt der Anbieter die Löschung in Textform.

§ 8 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gilt § 11 von Teil A.
2. Änderungen dieses Vertrags kündigt der Anbieter mindestens 30 Tage vorher an. Änderungen, die nur Anlage 3 betreffen, richten sich nach § 5.
3. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.
4. Es gilt deutsches Recht. Gerichtsstand ist Berlin, soweit der Kunde Kaufmann ist.

Anlage 1: Verarbeitung je Programm

Der Kunde ist bei jedem Programm Verantwortlicher für die Daten, die er und seine Nutzer eingeben oder hochladen.

Hinweis für den Kunden: Hochgeladene Dokumente sollen keine personenbezogenen Daten enthalten, die für den Zweck nicht nötig sind (zum Beispiel Bankverbindungen von Privatpersonen oder Daten von Mietern).

Anlage 2: Technische und organisatorische Maßnahmen

Stand 31.10.2026. Die Maßnahmen gelten für alle drei Programme.

Anlage 3: Unterauftragsverarbeiter

Stand 31.10.2026.

Nicht Unterauftragsverarbeiter: Stripe Payments Europe, Ltd. (Zahlungsabwicklung in eigener Verantwortung), Apple und Google (Bereitstellung der Apps in den Stores).