Vertrag zur Auftragsverarbeitung (AVV)

zwischen dem Kunden im Sinne der Nutzungsbedingungen für miphu

- nachfolgend „Auftraggeber" -

und der

SwiftLabs UG (haftungsbeschränkt), Schanzenstraße 19, 90478 Nürnberg, Deutschland, Amtsgericht Nürnberg, HRB 46502, vertreten durch den Geschäftsführer Felix Straub

- nachfolgend „Auftragnehmer" -

Der Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO), zusammen mit den Nutzungsbedingungen im Kaufablauf der App: Ein Hinweis unmittelbar bei der Schaltfläche zum Kauf nennt und verlinkt beide Texte, und mit dem Kauf stimmt der Inhaber für den Auftraggeber zu (§ 20 Abs. 1 der Nutzungsbedingungen). Der Auftragnehmer speichert Fassung und Zeitpunkt der Zustimmung mit Konto und Unternehmen.

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit das zur Bereitstellung von miphu nach den Nutzungsbedingungen erforderlich ist. Begriffe aus den Nutzungsbedingungen haben hier dieselbe Bedeutung.

(2) Nicht Gegenstand dieses Vertrags ist die Verarbeitung, für die der Auftragnehmer selbst Verantwortlicher ist: die Konten und Anmeldungen der Nutzer, die E-Mails dazu, das Abonnement, der Schutz des Dienstes, die Website miphu.com und die eigenen Nachweise des Auftragnehmers nach § 12 Abs. 7 der Nutzungsbedingungen (Zustimmungen, Abrechnungsnachweise, Aufzeichnungen über Löschungen). Sie beschreibt die Datenschutzerklärung unter miphu.com/de/datenschutz.

(3) Der Vertrag gilt, solange der Vertrag über die Nutzung von miphu besteht, und danach, bis alle personenbezogenen Daten des Auftraggebers nach § 10 gelöscht oder zurückgegeben sind.

(1) Zweck ist die Bereitstellung von miphu als Software für CRM, Angebote, Aufträge, Rechnungen, Ausgaben, Aufgaben, Personalverwaltung, Einsatzplanung, Arbeitszeiterfassung und Auswertungen für den Auftraggeber und seine Nutzer.

(2) Die Verarbeitung umfasst insbesondere das Erfassen, Speichern, Ordnen, Abfragen, Anzeigen und Übermitteln an die Apps der Nutzer, das Erzeugen von Belegen (PDF, XRechnung) und Exporten einschließlich des Datenexports nach § 11 Abs. 1 der Nutzungsbedingungen, den Versand von E-Mails an Nutzer, etwa zur Bereitstellung eines Datenexports oder zur Bestätigung einer Löschung, die Datensicherung und Wiederherstellung, die Übermittlung an KI-Apps auf Weisung eines Nutzers (§ 12) und das Löschen.

(3) Art der Daten und Kreise der betroffenen Personen beschreibt Anlage 1.

(1) Der Auftraggeber ist für die Zulässigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der betroffenen Personen nach Art. 13 und 14 DSGVO und die Wahrung ihrer Rechte.

(2) Der Auftraggeber verarbeitet besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) in miphu nur, soweit eine Funktion dafür vorgesehen ist und die Verarbeitung zulässig ist.

(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist nach Unionsrecht oder deutschem Recht dazu verpflichtet; dann teilt er dem Auftraggeber diese Pflicht vorher mit, soweit das Recht die Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Dokumentierte Weisungen sind dieser Vertrag, die Nutzungsbedingungen und die Einstellungen und Aktionen, die berechtigte Nutzer des Auftraggebers in miphu vornehmen, etwa das Anlegen, Ändern, Exportieren und Löschen von Daten, das Löschen des Kontos oder des Unternehmenskontos, das Vergeben von Rechten und das Freigeben von KI-Verbindungen. Weitere Weisungen erteilt der Inhaber in Textform an hello@miphu.com.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das dem Auftraggeber unverzüglich mit. Er darf ihre Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

(4) Weisungen, die über die Funktionen von miphu hinausgehen, führt der Auftragnehmer aus, soweit sie ihm technisch möglich und zumutbar sind. Kann er eine Weisung nicht ausführen, kann jede Seite den Vertrag über die Nutzung von miphu kündigen.

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich für die Zwecke nach § 2. Er verwendet sie nicht für eigene Zwecke, verkauft sie nicht, gibt sie nicht zu Werbezwecken weiter und verwendet sie nicht zum Training von KI-Modellen.

(2) Er setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

(3) Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Anlage 2 beschreibt. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt, und teilt wesentliche Änderungen mit.

(4) Die Verarbeitung findet in Rechenzentren in der Europäischen Union statt, soweit Anlage 3 nichts anderes nennt.

(1) Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO).

(2) Der Auftragnehmer informiert den Auftraggeber vorher in Textform an die E-Mail-Adresse des Inhabers über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann nach Zugang aus wichtigem datenschutzrechtlichen Grund widersprechen. Findet sich keine Lösung, kann der Auftraggeber den Vertrag über die Nutzung von miphu vor dem Wirksamwerden der Änderung kündigen.

(3) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Schließt ein Anbieter nur zu eigenen, nicht verhandelbaren Bedingungen ab, genügt dessen Vertrag zur Auftragsverarbeitung, soweit er diese Anforderung erfüllt; er ist in Anlage 3 genannt.

(4) Keine Unterauftragsverarbeiter sind Anbieter, die der Auftragnehmer nur für eigene Zwecke einsetzt, Apple beim Verkauf des Abonnements und Anbieter von KI-Apps, die ein Nutzer selbst mit miphu verbindet (§ 12).

(1) Eine Verarbeitung außerhalb der EU und des EWR findet nur statt, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Die Grundlage steht je Unterauftragsverarbeiter in Anlage 3.

(2) Entfällt eine Grundlage, unterrichtet der Auftragnehmer den Auftraggeber unverzüglich und setzt die betroffene Übermittlung aus, bis eine andere zulässige Grundlage besteht oder der Auftraggeber entschieden hat.

(1) Anträge betroffener Personen nach Art. 15 bis 22 DSGVO kann der Auftraggeber in erster Linie mit den Funktionen von miphu beantworten, etwa durch Anzeigen, Ändern, Exportieren und Löschen. Wo das nicht reicht, unterstützt der Auftragnehmer mit geeigneten technischen und organisatorischen Maßnahmen.

(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter, soweit er ihn zuordnen kann, und beantwortet es nicht selbst.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und Meldungen, soweit ihm die Informationen dazu vorliegen.

(4) Unterstützung, die über die Funktionen von miphu und die Mitwirkung an einzelnen Vorgängen hinausgeht, vergütet der Auftraggeber, soweit der Auftragnehmer den Anlass nicht zu vertreten hat.

(1) Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich nach Kenntnis an die E-Mail-Adresse des Inhabers. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen; fehlende Angaben reicht er ohne unangemessene Verzögerung nach.

(2) Der Auftragnehmer ergreift unverzüglich Maßnahmen, um die Daten zu sichern und nachteilige Folgen zu mindern, und dokumentiert die Verletzung.

(1) Die Rückgabe der Daten (Art. 28 Abs. 3 Buchst. g DSGVO) erfolgt durch den Datenexport nach § 11 Abs. 1 der Nutzungsbedingungen, den der Inhaber während der Laufzeit und nach dem Ende des Abonnements selbst erstellt und herunterlädt.

(2) Nach dem Ende der Verarbeitungsleistungen stellt der Auftragnehmer dem Auftraggeber die Daten nach dessen Wahl zum Export bereit und löscht sie danach, oder er löscht sie ohne Export. Die Fristen richten sich nach §§ 8, 11 und 12 der Nutzungsbedingungen.

(3) Löscht der Inhaber das Unternehmenskonto, sperrt der Auftragnehmer die Daten sofort für alle Nutzer, bewahrt sie 30 Kalendertage auf, damit die Löschung auf Anfrage rückgängig gemacht werden kann, und löscht sie danach automatisch aus dem laufenden System (§ 12 Abs. 2 bis 4 der Nutzungsbedingungen).

(4) Datensicherungen werden nach spätestens 90 Tagen gelöscht. Damit sind die Daten spätestens 90 Tage nach Ablauf der 30-tägigen Frist nach Absatz 3 endgültig gelöscht. Bis dahin sind sie in den Datensicherungen gegen Zugriff geschützt und werden nur zur Wiederherstellung des gesamten Dienstes verwendet.

(5) Gesetzliche Aufbewahrungspflichten des Auftraggebers begründen keine Pflicht des Auftragnehmers, Daten nach dem Ende des Vertrags für ihn aufzubewahren (§ 11 Abs. 8 der Nutzungsbedingungen). Eine eigene gesetzliche Pflicht des Auftragnehmers, Daten des Auftraggebers zu speichern, ist ihm nicht bekannt; entsteht eine, teilt er sie mit.

(6) Der Auftragnehmer bestätigt die Löschung per E-Mail mit dem Tag der endgültigen Löschung; auf Verlangen bestätigt er den Abschluss der Löschung in Textform. Unterlagen, die die ordnungsgemäße Verarbeitung belegen, darf er über das Vertragsende hinaus aufbewahren.

(1) Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer und trägt zu ihnen bei.

(2) Vorrangig erfolgen Nachweise durch Auskunft in Textform, aktuelle Dokumentation und, soweit vorhanden, Prüfberichte oder Zertifikate. Die Nachweise der Rechenzentrumsbetreiber (Anlage 3) gelten für deren Leistungen.

(3) Eine Inspektion vor Ort kündigt der Auftraggeber mindestens vier Wochen vorher an. Sie findet während der üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal im Kalenderjahr statt, sonst nur bei einem konkreten, in Textform benannten Anlass. Beauftragte Prüfer dürfen keine Wettbewerber des Auftragnehmers sein und werden zur Verschwiegenheit verpflichtet. Die Rechenzentren betreibt nicht der Auftragnehmer; ihre Prüfung richtet sich nach den Bedingungen der Betreiber.

(4) Den Aufwand für Inspektionen trägt der Auftraggeber, soweit sie nicht einen Verstoß des Auftragnehmers aufdecken.

(1) Der Auftragnehmer stellt eine Schnittstelle bereit, über die berechtigte Nutzer des Auftraggebers KI-Apps anderer Anbieter, zum Beispiel Claude von Anthropic oder ChatGPT von OpenAI, mit miphu verbinden können.

(2) Eine Verbindung entsteht nur durch die ausdrückliche Freigabe eines Nutzers und nur, solange der Auftraggeber die Funktion in miphu zulässt. Der Auftraggeber kann Verbindungen jederzeit widerrufen.

(3) Über eine Verbindung übermittelt der Auftragnehmer auf Weisung des jeweiligen Nutzers diejenigen Daten, die dieser Nutzer in miphu selbst einsehen darf und freigegeben hat, an die vom Nutzer gewählte KI-App. Personalstammdaten, Dateien, Zugangsdaten, Bankverbindungen, Zahlungsmittel und einzelne erfasste Zahlungen werden nicht übermittelt.

(4) Der Anbieter der verbundenen KI-App ist kein Unterauftragsverarbeiter des Auftragnehmers. Die Vereinbarungen mit diesem Anbieter und die Prüfung der Zulässigkeit der Übermittlung liegen beim Auftraggeber.

(5) Der Auftragnehmer protokolliert je Abruf Zeitpunkt, Dauer, Ergebnis, Nutzer, Unternehmen, KI-App, Werkzeug und die Anzahl übermittelter Datensätze, nicht jedoch Suchbegriffe oder Inhalte. Diese Protokolle werden nach 90 Tagen gelöscht. Der Datenexport enthält die vorhandenen Protokolle.

Soweit der Auftragnehmer personenbezogene Daten von Verbrauchern im Sinne des California Consumer Privacy Act (Cal. Civ. Code § 1798.100 ff., „CCPA") für einen Auftraggeber verarbeitet, der dort als „business" gilt, handelt er als „service provider" und

1. verkauft oder teilt („sell", „share") diese Daten nicht,
2. verarbeitet sie nur für die in § 2 genannten Geschäftszwecke, die der Auftraggeber ihm allein zu diesen Zwecken offenlegt,
3. speichert, verwendet oder legt sie nicht für andere Zwecke offen, auch nicht für andere kommerzielle Zwecke und nicht außerhalb der unmittelbaren Geschäftsbeziehung mit dem Auftraggeber,
4. verknüpft sie nicht mit personenbezogenen Daten, die er von anderen oder aus eigener Interaktion mit dem Verbraucher erhält, soweit der CCPA und seine Durchführungsvorschriften das nicht ausdrücklich erlauben,
5. hält die anwendbaren Pflichten des CCPA ein und bietet dasselbe Schutzniveau, das der CCPA von Unternehmen verlangt,
6. räumt dem Auftraggeber das Recht ein, angemessene Schritte zu unternehmen, um die Verwendung im Einklang mit dessen Pflichten sicherzustellen (§ 11), und nach Mitteilung unbefugte Verwendung zu unterbinden und zu beheben,
7. teilt dem Auftraggeber mit, wenn er feststellt, dass er seine Pflichten nach dem CCPA nicht mehr erfüllen kann,
8. unterstützt den Auftraggeber bei Anfragen von Verbrauchern nach dem CCPA (§ 8) und
9. bindet Unterauftragsverarbeiter vertraglich an dieselben Anforderungen und informiert den Auftraggeber über sie (§ 6).

Für die Haftung gilt § 19 der Nutzungsbedingungen. Ansprüche betroffener Personen nach Art. 82 DSGVO und der Ausgleich zwischen den Parteien nach Art. 82 Abs. 5 DSGVO bleiben unberührt.

(1) Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht.

(2) Änderungen dieses Vertrags richten sich nach § 21 der Nutzungsbedingungen; Änderungen der Unterauftragsverarbeiter nach § 6.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt § 23 Abs. 1 bis 3 der Nutzungsbedingungen.

Welche Daten tatsächlich verarbeitet werden, bestimmt der Auftraggeber durch seine Nutzung. Die Liste beschreibt, wofür miphu Funktionen hat (Stand 15. September 2026).

1. Vertraulichkeit

Zutritt zu den Rechenzentren. Die Server stehen in Rechenzentren der Hetzner Online GmbH. Die Zutrittskontrolle dort ist eine Maßnahme des Betreibers.

Zugang zu den Systemen.

• Server-Anmeldung nur mit SSH-Schlüssel; Host-Firewall mit Standard „deny"; nur der Eingangsdienst (Ports 80 und 443) ist aus dem Internet erreichbar.
• Die Datenbank hat keinen öffentlichen Port. Der Verbindungs-Pooler ist nur an die private Adresse gebunden und lässt nur konfigurierte Clients nach Adresse zu.

Zugriff auf Daten.

• Passwörter werden nur als bcrypt-Hashwert gespeichert; Anmeldeversuche sind je IP-Adresse und je E-Mail-Adresse begrenzt.
• Sitzungen werden als Hashwert des Sitzungsschlüssels gespeichert; Links in E-Mails sind einmal verwendbar und höchstens 15 Minuten gültig, zur Aktivierung höchstens 24 Stunden.
• Jeder Nutzer hat einen eigenen Zugang; Rechte werden je Rolle und je Bereich vergeben (Inhaber, Verwaltung, Mitglieder mit CRM-, Finanz- und Planungsrechten).
• Datenexport: nur der Inhaber und Nutzer der Verwaltung mit den Rechten für Vertrieb und Finanzen, nach dem Ende des Abonnements nur der Inhaber; Rechte und Sitzung werden bei jedem Abschnitt des Downloads erneut geprüft; höchstens fünf Starts je Unternehmen in 24 Stunden; das Archiv wird sieben Tage nach Fertigstellung gelöscht; die Benachrichtigung enthält keine Daten.
• Kontolöschung nur mit dem aktuellen Passwort, beim Inhaber zusätzlich mit dem Firmennamen.

Trennung der Mandanten. Die Daten jedes Unternehmens sind in der Datenbank durch Row-Level-Security getrennt; die Richtlinien prüfen die Zugehörigkeit bei jeder Anweisung. Die Schemata der Einsatzplanung und Zeiterfassung laufen mit ENABLE und FORCE RLS, ohne direkte Tabellenrechte für die Laufzeitrolle; die API startet nicht, wenn das nicht zutrifft.

Verschlüsselung.

• Übertragung zwischen App und Dienst per TLS (Zertifikate von Let's Encrypt); HTTP wird auf HTTPS umgeleitet.
• Zwischen API- und Datenbankserver läuft die Verbindung über das private Netz; der Pooler bietet TLS an (TLS 1.3 gemessen), die API prüft dessen Zertifikat aber nicht. Die Absicherung dieses Wegs beruht auf dem privaten Netz, Adressprüfung und SCRAM-Anmeldung.
• Datensicherungen sind verschlüsselt (siehe 3.).

Betrieb. API- und Worker-Container laufen mit schreibgeschütztem Dateisystem, ohne Linux-Capabilities, mit Prozess-, Speicher- und CPU-Grenzen und ohne Docker-Socket; jeder Dienst erhält nur seine eigenen Geheimnisse; der API-Server hält weder das Datenbank-Administratorpasswort noch Sicherungsmaterial.

2. Integrität

• Ausgestellte Rechnungen sind unveränderlich; Nummernkreise sind lückenlos; Korrekturen laufen über Storno.
• Stempelungen und Korrekturen der Arbeitszeit können nicht geändert oder gelöscht werden (Trigger verweigert UPDATE, DELETE und TRUNCATE für jede Rolle); je Person sichert eine SHA-256-Kette die Reihenfolge; eine Prüffunktion meldet einen Bruch.
• Änderungen und die zugehörigen Einträge im Änderungsprotokoll werden in derselben Transaktion geschrieben; Löschungen setzen ein Löschkennzeichen mit Protokolleintrag. Ob und wann solche Einträge endgültig entfernt werden, ist nicht festgelegt.
• Zugriffsprotokolle am Eingang sind bewusst abgeschaltet, weil URLs Einmal-Schlüssel enthalten; Container-Protokolle rotieren bei 3 × 10 MB. Abrufe von KI-Apps werden ohne Inhalte 90 Tage protokolliert.
• Die Datenbank läuft mit Seitenprüfsummen.

3. Verfügbarkeit und Belastbarkeit

• Zwei API-Instanzen hinter einem Proxy, die bei Updates einzeln ausgetauscht werden.
• Fortlaufende Archivierung des Transaktionsprotokolls (pgBackRest) in zwei verschlüsselte Repositorys (aes-256-cbc): eines auf dem Datenbankserver, eines auf einer Hetzner Storage Box, übertragen per SFTP mit festgelegten Host-Schlüsseln. Vollsicherung sonntags, differenziell Montag bis Samstag.
• Wöchentliche Wiederherstellungsprobe auf einen Zeitpunkt in einen getrennten Cluster mit Prüfung aller Seitenprüfsummen.
• Tägliche logische Sicherung in einem authentifizierten AES-256-GCM-Umschlag, zusätzlich in eine verschlüsselte restic-Kette auf der Storage Box.
• Aufbewahrung der Sicherungen: höchstens 90 Tage. pgBackRest nach Zeit (7 Tage auf dem Datenbankserver, 21 Tage auf der Storage Box, höchstens rund 15 und 29 Tage je Kopie); logische Sicherungen und ihre lokalen Archive werden nach 85 Tagen entfernt (höchstens rund 86 Tage, bei drei ausgefallenen Läufen rund 89 Tage), jeder Lauf wird überwacht.
• Überwachung beider Server mit Alarm-E-Mail und externem Lebenszeichen.

4. Verfahren zur regelmäßigen Überprüfung

• Wiederherstellungsproben wie unter 3.

Keine Unterauftragsverarbeiter für Daten des Auftraggebers:

• Apple verkauft das Abonnement in eigener Verantwortung und erhält keine Kundendaten aus miphu. Push-Benachrichtigungen, die über Apple liefen, sind nicht gebaut.
• Hostinger International Ltd. betreibt nur die Website miphu.com.
• Die Anbieter von KI-Apps erhalten Daten nur über eine Verbindung, die ein Nutzer selbst freigibt (§ 12).
• Healthchecks.io erhält nur ein Lebenszeichen der Server.
• Das Postfach hello@miphu.com liegt bei Apple (iCloud Mail). Schickt ein Kunde Kundendaten per E-Mail, verarbeitet Apple sie.