Vertrag zur Auftragsverarbeitung (AVV)

Ändert sich dieser Vertrag, nennt dieser Abschnitt, was sich gegenüber der vorigen Fassung geändert hat. Maßgeblich ist der Text des Vertrags.

zwischen dem Kunden im Sinne der Nutzungsbedingungen für miphu

- nachfolgend „Auftraggeber" -

und der

SwiftLabs UG (haftungsbeschränkt), Schanzenstraße 19, 90478 Nürnberg, Deutschland, Amtsgericht Nürnberg, HRB 46502, vertreten durch den Geschäftsführer Felix Straub

- nachfolgend „Auftragnehmer" -

Der Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO), zusammen mit den Nutzungsbedingungen im Kaufablauf der App oder der Web-App (§ 20 Abs. 1 der Nutzungsbedingungen). Der Auftragnehmer speichert Fassung und Zeitpunkt der Zustimmung mit Konto und Unternehmen.

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit das zur Bereitstellung von miphu nach den Nutzungsbedingungen erforderlich ist. Begriffe aus den Nutzungsbedingungen haben hier dieselbe Bedeutung.

(2) Nicht Gegenstand dieses Vertrags ist die Verarbeitung, für die der Auftragnehmer selbst Verantwortlicher ist: der Vertrag mit dem Kunden und die Angaben des Inhabers dazu, der Schriftverkehr mit dem Support, das Abonnement und seine Abrechnung, der Schutz des Dienstes einschließlich der Aufzeichnungen zu Anmeldeversuchen und Netzbereichen, die Anmeldung der Geräte für Benachrichtigungen, die Absturz- und Leistungsberichte der Apps, die Website miphu.com und die eigenen Nachweise nach § 12 Abs. 7 der Nutzungsbedingungen. Sie beschreibt die Datenschutzerklärung unter miphu.com/de/datenschutz.

(3) Der Vertrag gilt, solange der Vertrag über die Nutzung von miphu besteht, und danach, bis alle personenbezogenen Daten des Auftraggebers nach § 10 gelöscht oder zurückgegeben sind.

(1) Zweck ist die Bereitstellung von miphu als Software für CRM und Kundenservice, Angebote, Aufträge, Rechnungen mit Zahlungserinnerungen und Mahnungen, Ausgaben, Buchhaltung, Aufgaben, Dokumente einschließlich Verträgen, Artikel, Lager, Einkauf und Lieferungen, Personalverwaltung einschließlich Bewerbungen, der Vergütung, der Vorbereitung der Lohnabrechnung und der Übernahme ihres Ergebnisses, Einsatzplanung, Erfassung der Arbeitszeit und Auswertungen für den Auftraggeber und seine Nutzer.

(2) Die Verarbeitung umfasst insbesondere das Erfassen, Speichern, Ordnen, Abfragen, Anzeigen und Übermitteln an die Apps und die Web-App der Nutzer, das Erzeugen von Belegen und Exporten, den Versand von E-Mails an Nutzer, das Prüfen, Lesen und Erkennen hochgeladener Dateien, importierter Tabellen und E-Mails an die Eingangsadresse, das Bereitstellen von Dokumenten und Angeboten über Links für Kunden, freigegebener Personalunterlagen an die betroffene Person und von Kalendern (§ 12a), das Festhalten der Entscheidung eines Kunden über ein Angebot und seines Widerrufs, das Annehmen von Anfragen über das Anfrageformular des Auftraggebers, das Zuordnen von E-Mails an die Eingangsadresse zu Tickets, das Lesen importierter Kontoauszüge und Lohnjournale, das Buchen von Vorgängen im Journal, die Online-Zahlung von Rechnungen über Stripe (§ 12b), das Erstellen von Versandlabels über Sendcloud (§ 12c), die Übernahme von Bestellungen aus einem Shop bei Shopify und Meldungen an ihn (§ 12d), das Veröffentlichen freigegebener Produktbilder, das Aufzeichnen erfasster Arbeitszeit, das Anlegen von Aufgaben und Rechnungsentwürfen aus Vertragsangaben und Wiederholungen, das Zustellen von Benachrichtigungen über Apple (§ 7 Abs. 3), die Übermittlung an KI-Apps und Einträge durch sie (§ 12), das Führen des Firmenprotokolls (Anlage 1), die Datensicherung und Wiederherstellung sowie das Archivieren, Löschen und Entfernen von Personendaten.

(3) Art der Daten und Kreise der betroffenen Personen beschreibt Anlage 1.

(1) Der Auftraggeber ist für die Zulässigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der betroffenen Personen nach Art. 13 und 14 DSGVO und die Wahrung ihrer Rechte. Ergänzend gilt § 13 der Nutzungsbedingungen.

(2) Der Auftraggeber verarbeitet besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) in miphu nur, soweit eine Funktion dafür vorgesehen ist und die Verarbeitung zulässig ist.

(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist nach Unionsrecht oder deutschem Recht dazu verpflichtet; dann teilt er dem Auftraggeber diese Pflicht vorher mit, soweit das Recht die Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Dokumentierte Weisungen sind dieser Vertrag, die Nutzungsbedingungen und die Einstellungen und Aktionen, die berechtigte Nutzer des Auftraggebers in miphu vornehmen, etwa Daten anlegen, ändern, exportieren, archivieren und löschen, Zugänge anlegen und löschen, Rechte und KI-Zugänge vergeben, Funktionen ein- und ausschalten, Links erstellen und widerrufen, einen Zahlungsdienst, ein Konto bei Sendcloud oder einen Shop bei Shopify verbinden, Versandlabels erstellen, Erstattungen veranlassen, das Anfrageformular einschalten, Kontoauszüge importieren, Zuordnungen bestätigen und KI-Verbindungen freigeben. Was eine KI-App über eine Verbindung in der Stufe „Schreiben" oder „Voll" tut, sind Aktionen des Nutzers, der die Verbindung freigegeben hat (§ 12 Abs. 4). Die Anfrage eines berechtigten Nutzers an den Support in Textform (§ 9 Abs. 4 der Nutzungsbedingungen) ist eine Weisung, die Daten, die die Anfrage betrifft, einzusehen und im Rahmen der Rechte dieses Nutzers zu ändern, soweit ihre Bearbeitung es erfordert; Änderungen stehen im Änderungsprotokoll unter „SwiftLabs-Support" (Anlage 2). Weitere Weisungen erteilt der Inhaber in Textform an hello@miphu.com.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das dem Auftraggeber unverzüglich mit. Er darf ihre Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

(4) Weisungen, die über die Funktionen von miphu hinausgehen, führt der Auftragnehmer aus, soweit sie ihm technisch möglich und zumutbar sind. Kann er eine Weisung nicht ausführen, kann jede Seite den Vertrag über die Nutzung von miphu kündigen.

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich für die Zwecke nach § 2. Er verwendet sie nicht für eigene Zwecke, verkauft sie nicht, gibt sie nicht zu Werbezwecken weiter und verwendet sie nicht zum Training von KI-Modellen.

(2) Er setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

(3) Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Anlage 2 beschreibt. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt, und teilt wesentliche Änderungen mit.

(4) Die Verarbeitung findet in Rechenzentren in der Europäischen Union statt, soweit Anlage 3 nichts anderes nennt.

(1) Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO).

(2) Der Auftragnehmer informiert den Auftraggeber vorher in Textform an die E-Mail-Adresse des Inhabers über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann nach Zugang aus wichtigem datenschutzrechtlichen Grund widersprechen. Findet sich keine Lösung, kann der Auftraggeber den Vertrag über die Nutzung von miphu vor dem Wirksamwerden der Änderung kündigen.

(3) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Schließt ein Anbieter nur zu eigenen, nicht verhandelbaren Bedingungen ab, genügt dessen Vertrag zur Auftragsverarbeitung, soweit er diese Anforderung erfüllt; er ist in Anlage 3 genannt.

(4) Keine Unterauftragsverarbeiter sind Anbieter, die der Auftragnehmer nur für eigene Zwecke einsetzt, Apple beim Verkauf des Abonnements und bei der Zustellung von Benachrichtigungen (§ 7 Abs. 3), Stripe bei der Abrechnung des Abonnements und bei der Online-Zahlung (§ 12b), Sendcloud und die Paketdienste beim Versand (§ 12c), Shopify beim Shop des Auftraggebers (§ 12d) sowie die Anbieter von KI-Apps und Kalender-Apps, die ein Nutzer selbst mit miphu verbindet (§ 12, § 12a).

(5) Bei der Bearbeitung von Anfragen an den Support (§ 4 Abs. 2) setzt der Auftragnehmer Claude von Anthropic ein (Anlage 3). Claude erhält Inhalte, die die Anfrage betrifft, nur soweit ihre Bearbeitung es erfordert. Abweichend von Absatz 3 besteht mit Anthropic kein Vertrag zur Auftragsverarbeitung: Der Auftragnehmer nutzt Abonnements, für die die Verbraucherbedingungen von Anthropic gelten, und Anthropic verarbeitet die Inhalte nach diesen Bedingungen und seiner Datenschutzerklärung, auch in den USA. Das Training von KI-Modellen mit diesen Inhalten ist in den Kontoeinstellungen ausgeschaltet. Vertraglich zugesichert ist das nicht, und nach den Bedingungen von Anthropic gilt es nicht für Inhalte, die zur Sicherheitsprüfung markiert oder als Feedback gemeldet werden.

(1) Eine Verarbeitung außerhalb der EU und des EWR findet nur statt, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Die Grundlage steht je Unterauftragsverarbeiter in Anlage 3. Für Claude (§ 6 Abs. 5) vereinbart der Auftragnehmer keine eigenen Garantien; was gilt, nennt Anlage 3.

(2) Entfällt eine Grundlage, unterrichtet der Auftragnehmer den Auftraggeber unverzüglich und setzt die betroffene Übermittlung aus, bis eine andere zulässige Grundlage besteht oder der Auftraggeber entschieden hat.

(3) Für die Zustellung von Benachrichtigungen übermittelt der Auftragnehmer die in Anlage 3 genannten Daten an Apple Inc. in den USA, nur für Nutzer, die Benachrichtigungen auf ihrem Gerät zulassen. Für diese Übermittlung besteht weder eine Angemessenheitsentscheidung, noch stellt Apple hierfür Standardvertragsklauseln bereit; der Auftragnehmer stützt sie auf Art. 49 Abs. 1 Buchstabe a DSGVO. Grundlage, Begrenzungen und verbleibendes Risiko stehen in Anlage 3; die Datenschutzerklärung unterrichtet die Nutzer darüber. Absatz 2 gilt entsprechend. Will der Auftraggeber diese Übermittlung nicht, weist er seine Nutzer an, Benachrichtigungen auszuschalten; dann findet sie nicht statt.

(4) Hat der Auftraggeber seinen Sitz außerhalb der EU und des EWR in einem Staat, für den kein Beschluss der Europäischen Kommission nach Art. 45 DSGVO besteht, gelten für jede Übermittlung personenbezogener Daten aus miphu an den Auftraggeber und an seine Nutzer, insbesondere durch Anzeige in den Apps und der Web-App und durch Exporte, die Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914, Modul 4 (Übermittlung vom Auftragsverarbeiter an den Verantwortlichen). Sie sind mit diesem Vertrag geschlossen. Datenexporteur ist der Auftragnehmer, Datenimporteur der Auftraggeber. Anlage I.A der Klauseln ergibt sich aus den Vertragsparteien dieses Vertrags, Anlage I.B aus § 2 und Anlage 1. Klausel 7 gilt nicht. Für Klausel 17 gilt das Recht der Bundesrepublik Deutschland, für Klausel 18 sind die Gerichte in Nürnberg zuständig. Bei einem Widerspruch gehen die Klauseln diesem Vertrag vor.

(5) Unterliegt die Verarbeitung für den Auftraggeber dem Datenschutzrecht des Vereinigten Königreichs oder der Schweiz, gilt dieser Vertrag auch als Vertrag nach Art. 28 UK GDPR beziehungsweise nach Art. 9 des Bundesgesetzes über den Datenschutz (DSG). Verweise auf die DSGVO gelten insoweit als Verweise auf die entsprechenden Vorschriften dieses Rechts, Verweise auf Aufsichtsbehörden auch als Verweise auf das Information Commissioner's Office beziehungsweise den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten.

(6) Verlangt das Recht, dem der Auftraggeber unterliegt, für die Übermittlung an den Auftragnehmer oder für die Verarbeitung im Auftrag besondere Vertragsklauseln, etwa Standardklauseln eines anderen Staates, prüft der Auftragnehmer sie auf Verlangen des Auftraggebers in Textform und schließt sie ab, soweit sie diesem Vertrag und dem für den Auftragnehmer geltenden Recht nicht widersprechen und keine Leistung verlangen, die miphu nicht vorsieht. Ob solche Klauseln nötig sind, prüft der Auftraggeber.

(1) Anträge betroffener Personen nach Art. 15 bis 22 DSGVO kann der Auftraggeber in erster Linie mit den Funktionen von miphu beantworten, etwa durch Anzeigen, Ändern, Exportieren und Löschen einzelner Datensätze, das Löschen von Zugängen oder das Entfernen der Personendaten eines Kontakts. Wo das nicht reicht, unterstützt der Auftragnehmer mit geeigneten technischen und organisatorischen Maßnahmen.

(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, auch ein Nutzer, der die Löschung seines Zugangs verlangt, leitet er das Anliegen unverzüglich an den Auftraggeber weiter, soweit er ihn zuordnen kann, und beantwortet es nicht selbst.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und Meldungen, soweit ihm die Informationen dazu vorliegen.

(4) Unterstützung, die über die Funktionen von miphu und die Mitwirkung an einzelnen Vorgängen hinausgeht, vergütet der Auftraggeber, soweit der Auftragnehmer den Anlass nicht zu vertreten hat.

(1) Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich nach Kenntnis an die E-Mail-Adresse des Inhabers. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen; fehlende Angaben reicht er ohne unangemessene Verzögerung nach.

(2) Der Auftragnehmer ergreift unverzüglich Maßnahmen, um die Daten zu sichern und nachteilige Folgen zu mindern, und dokumentiert die Verletzung.

(1) Die Rückgabe der Daten (Art. 28 Abs. 3 Buchst. g DSGVO) erfolgt durch den Datenexport nach § 11 Abs. 1 der Nutzungsbedingungen, den der Inhaber während der Laufzeit und nach dem Ende des Abonnements selbst erstellt und herunterlädt.

(2) Nach dem Ende der Verarbeitungsleistungen stellt der Auftragnehmer dem Auftraggeber die Daten nach dessen Wahl zum Export bereit und löscht sie danach, oder er löscht sie ohne Export. Die Fristen richten sich nach §§ 8, 11 und 12 der Nutzungsbedingungen.

(3) Löscht der Inhaber das Unternehmenskonto, sperrt der Auftragnehmer die Daten sofort für alle Nutzer, bewahrt sie 30 Kalendertage auf, damit die Löschung auf Anfrage rückgängig gemacht werden kann, und löscht sie danach automatisch aus dem laufenden System (§ 12 Abs. 2 bis 4 der Nutzungsbedingungen).

(4) Datensicherungen werden nach spätestens 90 Tagen gelöscht. Damit sind die Daten spätestens 90 Tage nach Ablauf der 30-tägigen Frist nach Absatz 3 endgültig gelöscht. Bis dahin sind sie in den Datensicherungen gegen Zugriff geschützt und werden nur zur Wiederherstellung des gesamten Dienstes verwendet.

(5) Gesetzliche Aufbewahrungspflichten des Auftraggebers verpflichten den Auftragnehmer nicht, Daten nach dem Ende des Vertrags für ihn aufzubewahren (§ 11 Abs. 8 der Nutzungsbedingungen). Eine eigene gesetzliche Pflicht des Auftragnehmers, Daten des Auftraggebers zu speichern, ist ihm nicht bekannt; entsteht eine, teilt er sie mit.

(6) Der Auftragnehmer bestätigt die Löschung per E-Mail mit dem Tag der endgültigen Löschung; auf Verlangen bestätigt er den Abschluss der Löschung in Textform. Unterlagen, die die ordnungsgemäße Verarbeitung belegen, darf er über das Vertragsende hinaus aufbewahren.

(1) Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer und trägt zu ihnen bei.

(2) Vorrangig erfolgen Nachweise durch Auskunft in Textform, aktuelle Dokumentation und, soweit vorhanden, Prüfberichte oder Zertifikate. Die Nachweise der Rechenzentrumsbetreiber (Anlage 3) gelten für deren Leistungen.

(3) Eine Inspektion vor Ort kündigt der Auftraggeber mindestens vier Wochen vorher an. Sie findet während der üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal im Kalenderjahr statt, sonst nur bei einem konkreten, in Textform benannten Anlass. Beauftragte Prüfer dürfen keine Wettbewerber des Auftragnehmers sein und werden zur Verschwiegenheit verpflichtet. Die Rechenzentren betreibt nicht der Auftragnehmer; ihre Prüfung richtet sich nach den Bedingungen der Betreiber.

(4) Den Aufwand für Inspektionen trägt der Auftraggeber, soweit sie nicht einen Verstoß des Auftragnehmers aufdecken.

(1) Der Auftragnehmer stellt eine Schnittstelle bereit, über die berechtigte Nutzer des Auftraggebers KI-Apps anderer Anbieter, zum Beispiel Claude von Anthropic oder ChatGPT von OpenAI, mit miphu verbinden können. Eine Verbindung entsteht nur durch die ausdrückliche Freigabe eines Nutzers und nur, solange der Auftraggeber die Funktion in miphu zulässt; er kann Verbindungen jederzeit widerrufen.

(2) Über eine Verbindung übermittelt der Auftragnehmer auf Weisung des jeweiligen Nutzers die Daten, die dieser Nutzer in miphu sehen darf und freigegeben hat, an die vom Nutzer gewählte KI-App, im Umfang von § 14 Absätze 1 und 1a der Nutzungsbedingungen. Dokumente und Personaldaten übermittelt er nur, wenn der Auftraggeber das in miphu zulässt; beide Einstellungen sind ab Werk ausgeschaltet. Abweichend von Satz 2 übermittelt er mit dem Bereich „Planung" Einsätze und beantragte und genehmigte Abwesenheiten mit Zeitraum, nur als Urlaub oder Abwesenheit, ohne Art und Notiz, mit dem Bereich „Arbeitszeiten" die Arbeitszeiten, die der Nutzer sehen darf, und mit dem Bereich „Team" die eigenen Abwesenheiten des Nutzers und die, die die Verbindung für andere einträgt. Abwesenheiten und Personalunterlagen können Gesundheitsdaten nach Art. 9 DSGVO enthalten. Für die Zulässigkeit der Übermittlung an die KI-App ist der Auftraggeber verantwortlich (§ 3).

(3) Der Anbieter der verbundenen KI-App ist kein Unterauftragsverarbeiter des Auftragnehmers. Die Vereinbarungen mit diesem Anbieter und die Prüfung der Zulässigkeit der Übermittlung liegen beim Auftraggeber.

(4) In der Stufe „Schreiben" kann die KI-App über eine Verbindung Einträge anlegen und ändern und Vorgänge ausführen, in der Stufe „Voll" außerdem löschen, archivieren, stornieren und die weiteren Vorgänge dieser Stufe, im Umfang von § 14 Absatz 9 der Nutzungsbedingungen und nur, soweit der KI-Zugang des Nutzers es zulässt, der die Verbindung freigegeben hat. Der Auftragnehmer verarbeitet das als Weisung des Nutzers (§ 4 Abs. 2). Welche Daten die KI-App einträgt, auch aus anderen Quellen, bestimmt der Auftraggeber mit seinen Nutzern; die Information der betroffenen Personen liegt bei ihm.

(5) Der Auftragnehmer protokolliert je Abruf Zeitpunkt, Dauer, Ergebnis, Nutzer, Unternehmen, KI-App, Werkzeug und die Anzahl übermittelter Datensätze, nicht jedoch Suchbegriffe oder Inhalte, und löscht diese Protokolle nach 90 Tagen. Jede Änderung über eine Verbindung steht mit dem Nutzer und der Verbindung im Änderungsprotokoll. Die Grenzen nach Absatz 4 setzt der Auftragnehmer technisch durch (Anlage 2).

(1) Hat der Inhaber das Kalender-Abo eingeschaltet (ab Werk aus), übermittelt der Auftragnehmer auf Weisung eines Nutzers dessen Termine an die Kalender-App, die seinen Kalender-Link abruft, im Umfang von § 14a der Nutzungsbedingungen. Betrifft eine Aufgabe oder ein Vertrag ein vertrauliches oder gesperrtes Dokument, steht der Termin ohne Titel im Kalender.

(2) Der Anbieter der Kalender-App ist kein Unterauftragsverarbeiter des Auftragnehmers. Ob Nutzer Kalender abonnieren dürfen, entscheidet der Auftraggeber; die Prüfung der Zulässigkeit der Übermittlung und die Information der betroffenen Personen liegen bei ihm.

(1) Verbindet der Auftraggeber in miphu ein Konto bei Stripe, übermittelt der Auftragnehmer auf seine Weisung an Stripe: beim Verbinden das Land, den Namen des Unternehmens und die E-Mail-Adresse des Nutzers, der verbindet; für die Zahlung einer Rechnung über ihren Zahlungslink Rechnungsnummer, Betrag, Währung und Kennungen von Unternehmen, Rechnung, Link und Bezahlvorgang; für eine Erstattung, die ein Nutzer in miphu veranlasst, Zahlung, Betrag und Kennungen. Zahlungsdaten gibt der Zahler auf den Seiten von Stripe ein.

(2) Von Stripe ruft der Auftragnehmer den Stand des Kontos und der Zahlungen ab. Er speichert zu Zahlungen über einen Zahlungslink Betrag, Gebühr, Zeitpunkte, Stand und Zahlart, dazu Erstattungen, Rückbuchungen mit Grund und Frist und die Auszahlungen des Kontos; Namen, Anschrift und Zahlungsdaten des Zahlers speichert er nicht. Auf Weisung eines Nutzers übernimmt er Kunden aus dem Stripe-Konto mit Name, Anschrift, E-Mail-Adresse, Telefonnummer und Umsatzsteuer-Identifikationsnummer über den Import.

(3) Stripe ist kein Unterauftragsverarbeiter des Auftragnehmers. Die Online-Zahlung ist ein Vertrag zwischen dem Auftraggeber und Stripe; Stripe verarbeitet die Daten nach diesem Vertrag als Auftragsverarbeiter des Auftraggebers und für eigene Zwecke als Verantwortlicher. Vereinbarungen mit Stripe, auch über Übermittlungen in Drittländer, und die Information der Zahler liegen beim Auftraggeber. Der Auftragnehmer hält kein Geld und veranlasst Erstattungen nur auf Anweisung eines Nutzers.

(1) Verbindet der Auftraggeber in miphu ein Konto bei Sendcloud, übermittelt der Auftragnehmer auf seine Weisung an Sendcloud für ein Versandlabel, das ein Nutzer aus einem Lieferschein erstellt: Name, Firma und Anschrift des Empfängers, Auftrags- und Lieferscheinnummer, Absenderadresse, Versandart, Gewicht und die Positionen mit Bezeichnung, Menge, Gewicht, Preis, Artikelnummer, Zolltarifnummer und Ursprungsland, den Betrag des Auftrags und bei einem Ziel außerhalb der Europäischen Union die Rechnungsnummer; für ein Storno oder eine Retoure die Sendung.

(2) E-Mail-Adresse und Telefonnummer des Empfängers übermittelt der Auftragnehmer nur, wenn der Auftraggeber das in miphu eingeschaltet hat (ab Werk aus) oder die gewählte Versandart sie verlangt; verlangt sie nur eine der beiden Angaben, nur diese.

(3) Von Sendcloud ruft der Auftragnehmer Versandarten mit Preisen, Absenderadressen und den Stand der Sendungen ab. Er speichert Stand und Verlauf, Paketdienst, Sendungsnummern und den Link zur Sendungsverfolgung, Label und Zolldokumente als Dokumente am Lieferschein und den Stand von Retouren.

(4) Sendcloud ist kein Unterauftragsverarbeiter des Auftragnehmers. Der Versand ist ein Vertrag zwischen dem Auftraggeber und Sendcloud; Sendcloud verarbeitet die Daten nach diesem Vertrag als Auftragsverarbeiter des Auftraggebers und gibt sie an den Paketdienst weiter, den der Auftraggeber dort nutzt. Vereinbarungen mit Sendcloud und den Paketdiensten, auch über Übermittlungen in Drittländer, die Information der Empfänger und die Rechtsgrundlage für die Weitergabe von E-Mail-Adresse und Telefonnummer liegen beim Auftraggeber.

(1) Installiert der Auftraggeber die App „miphu" in seinem Shop bei Shopify und verbindet ihn mit miphu, ruft der Auftragnehmer auf seine Weisung von Shopify ab: Name, Domain und Kennung des Shops; Bestellungen ab dem Verbinden und einzelne ältere auf Anforderung eines Nutzers, mit Positionen, Preisen, Rabatten, Steuern, Versandkosten, Zahlungen, Erstattungen und Erfüllungen; die Käufer mit Name, Rechnungs- und Lieferanschrift, E-Mail-Adresse, Telefonnummer, Sprache und, bei Unternehmen, Umsatzsteuer-Identifikationsnummer; Produkte und Varianten mit Artikelnummer, Lagerorte und Bestände.

(2) Nach den Einstellungen des Auftraggebers legt der Auftragnehmer daraus im Namen des Nutzers, der verbunden hat, Kunden, Aufträge, Rechnungen, Lieferscheine und Zahlungen an; sie sind Daten des Auftraggebers wie alle anderen. An Shopify übermittelt er den verfügbaren Bestand verknüpfter Artikel, Erfüllungen mit Paketdienst, Sendungsnummern und Link zur Sendungsverfolgung und, wenn der Auftraggeber es einschaltet, den Link zur ausgestellten Rechnung.

(3) Der Auftragnehmer speichert die Installation, die Zugriffsschlüssel, die Zuordnung von Kunden und Varianten, den Stand jeder Bestellung und die Meldungen von Shopify; deren Inhalt löscht er 30 Tage nach der Verarbeitung. Trennt der Auftraggeber die Verbindung oder entfernt er die App, löscht der Auftragnehmer die Zugriffsschlüssel sofort. Aufforderungen, die Shopify für den Auftraggeber übermittelt, gelten als dessen Weisung: Bei der Löschung der Daten des Shops löscht der Auftragnehmer Installation, Zuordnungen und den Stand der Bestellungen; bei der Auskunft über eine Person legt er dem Inhaber eine Aufgabe an; bei der Löschung einer Person löscht er Zuordnungen und Meldungen zu ihr und einen Kunden, den die Verbindung angelegt hat, wenn an ihm kein Beleg hängt, den der Auftraggeber aufbewahren muss, sonst legt er dem Inhaber eine Aufgabe an. Kunden, Aufträge, Belege und Zahlungen bleiben im Übrigen, bis der Auftraggeber sie löscht oder das Unternehmenskonto endet.

(4) Shopify ist kein Unterauftragsverarbeiter des Auftragnehmers. Der Shop beruht auf einem Vertrag zwischen dem Auftraggeber und Shopify; Vereinbarungen mit Shopify und die Information der Käufer liegen beim Auftraggeber. Daten aus Shopify verarbeitet der Auftragnehmer nur für die Leistungen nach diesem Vertrag und übermittelt sie Dritten nur auf Weisung des Auftraggebers, etwa an Sendcloud (§ 12c) oder an eine KI-App, die ein Nutzer verbindet (§ 12).

Soweit der Auftragnehmer personenbezogene Daten von Verbrauchern im Sinne des California Consumer Privacy Act (Cal. Civ. Code § 1798.100 ff., „CCPA") für einen Auftraggeber verarbeitet, der dort als „business" gilt, handelt er als „service provider" und

1. verkauft oder teilt („sell", „share") diese Daten nicht,
2. verarbeitet sie nur für die in § 2 genannten Geschäftszwecke, die der Auftraggeber ihm allein zu diesen Zwecken offenlegt,
3. speichert, verwendet oder legt sie nicht für andere Zwecke offen, auch nicht für andere kommerzielle Zwecke und nicht außerhalb der unmittelbaren Geschäftsbeziehung mit dem Auftraggeber,
4. verknüpft sie nicht mit personenbezogenen Daten, die er von anderen oder aus eigener Interaktion mit dem Verbraucher erhält, soweit der CCPA und seine Durchführungsvorschriften das nicht ausdrücklich erlauben,
5. hält die anwendbaren Pflichten des CCPA ein und bietet dasselbe Schutzniveau, das der CCPA von Unternehmen verlangt,
6. räumt dem Auftraggeber das Recht ein, angemessene Schritte zu unternehmen, um die Verwendung im Einklang mit dessen Pflichten sicherzustellen (§ 11), und nach Mitteilung unbefugte Verwendung zu unterbinden und zu beheben,
7. teilt dem Auftraggeber mit, wenn er feststellt, dass er seine Pflichten nach dem CCPA nicht mehr erfüllen kann,
8. unterstützt den Auftraggeber bei Anfragen von Verbrauchern nach dem CCPA (§ 8) und
9. bindet Unterauftragsverarbeiter vertraglich an dieselben Anforderungen, ausgenommen Anthropic (§ 6 Abs. 5), und informiert den Auftraggeber über sie (§ 6).

Für die Haftung gilt § 19 der Nutzungsbedingungen. Ansprüche betroffener Personen nach Art. 82 DSGVO und der Ausgleich zwischen den Parteien nach Art. 82 Abs. 5 DSGVO bleiben unberührt.

(1) Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht.

(2) Änderungen dieses Vertrags richten sich nach § 21 der Nutzungsbedingungen; Änderungen der Unterauftragsverarbeiter nach § 6.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt § 23 Abs. 1 bis 3 der Nutzungsbedingungen.

Welche Daten tatsächlich verarbeitet werden, bestimmt der Auftraggeber durch seine Nutzung. Die Liste beschreibt, wofür miphu Funktionen hat (Stand 28. Oktober 2026).

1. Vertraulichkeit

Zutritt und Zugang. Die Server stehen in Rechenzentren der Hetzner Online GmbH; die Zutrittskontrolle ist eine Maßnahme des Betreibers. Anmeldung an den Servern nur mit SSH-Schlüssel; Host-Firewall mit Standard „deny"; aus dem Internet ist nur der Eingangsdienst (Ports 80 und 443) erreichbar. Die Datenbank hat keinen öffentlichen Port.

Zugriff auf Daten.

• Passwörter nur als bcrypt-Hashwert; Anmeldeversuche je IP-Adresse und E-Mail-Adresse begrenzt. Sitzungs- und Erneuerungsschlüssel nur als Hashwert; eine Sitzung gilt höchstens 30 Tage. Links in E-Mails sind einmal verwendbar und höchstens sieben Tage gültig. Kontolöschung und Ändern der E-Mail-Adresse nur mit dem aktuellen Passwort, bei Zwei-Faktor-Authentifizierung zusätzlich mit dem Code.
• Zwei-Faktor-Authentifizierung (TOTP nach RFC 6238, mit jeder Authenticator-App) je Nutzer; Inhaber und Verwaltung können sie für alle Nutzer des Unternehmens verlangen. Gefragt wird bei jeder Anmeldung mit Passwort auf einem nicht vertrauenswürdigen Gerät und bei der Freigabe einer KI-Verbindung; ohne bestandene Prüfung öffnet die Datenbank keine Sitzung. Das Geheimnis liegt mit AES-256-GCM versiegelt, Wiederherstellungscodes und Schlüssel vertrauenswürdiger Geräte nur als Hashwert. Ein Gerät bleibt vertrauenswürdig, bis die Person es entfernt, die Zwei-Faktor-Authentifizierung endet oder zurückgesetzt wird, das Passwort sich ändert oder der Zugang deaktiviert wird.
• Jeder Nutzer hat einen eigenen Zugang; Rechte werden je Rolle und Bereich vergeben. Vergütung und Lohnvorbereitung sehen nur der Inhaber und Nutzer mit dem Recht „Personal“, die eigene Vergütung auch die betroffene Person, nur lesend; die Arbeitszeiten anderer nur der Inhaber und Nutzer mit dem Recht „Personal“ oder „Planung“; Korrekturen der Arbeitszeit stehen mit Grund und bisherigem Wert im Verlauf.
• Für eine Anfrage an den Support (§ 4 Abs. 2) sehen Personen des Auftragnehmers die Daten, die die Anfrage betrifft, als Administratoren auf dem API- und dem Datenbankserver ein, auch mit Hilfe von Claude (§ 6 Abs. 5). Das Einsehen wird nicht gesondert protokolliert. Ihre Änderungen stehen im Änderungsprotokoll unter „SwiftLabs-Support", nicht unter dem anfragenden Nutzer, mit dem Anlass: wer angefragt hat, auf welchem Weg und an welchem Tag.
• Datenexport nur durch den Inhaber und berechtigte Nutzer der Verwaltung; das Archiv wird sieben Tage nach Fertigstellung gelöscht.
• Das Firmenprotokoll lesen nur der Inhaber und die Verwaltung, eine KI-Verbindung nur in der Stufe „Voll"; die Aufbewahrung ändert nur der Inhaber.
• Links für Kunden und Kalender-Links bestehen aus 256 zufälligen Bits; gespeichert wird nur ihr Fingerabdruck (SHA-256). Zahlungslinks leitet miphu mit einem geheimen Schlüssel aus ihrer Kennung ab (256 Bit); auch von ihnen wird nur der Fingerabdruck gespeichert. Ihre Seiten setzen kein Cookie außer den Seiten zur Annahme eines Angebots, zum Widerruf und zur Zahlung einer Rechnung, die ihr Formular mit einem Cookie aus einer Zufallszahl an den Browser binden; es läuft nach einer Stunde ab. Abrufe sind begrenzt.
• Das Anfrageformular hat eine Adresse aus 256 zufälligen Bits, setzt kein Cookie und lädt weder Skripte noch Dienste Dritter. Einsendungen prüft es mit einem unsichtbaren Feld und einem vom Server signierten Zeitpunkt und begrenzt sie je Netzbereich und Unternehmen; den Netzbereich speichert es dafür einen Tag.
• Die Schlüssel für Sendcloud und die Zugriffsschlüssel für Shopify liegen mit AES-256-GCM versiegelt in der Datenbank, an Unternehmen und Verbindung gebunden; der Schlüssel dazu liegt außerhalb von Datenbank, Sicherung und Export. Keine Funktion gibt sie heraus; beim Trennen werden sie gelöscht. Meldungen von Sendcloud und Shopify nimmt miphu nur mit gültiger Signatur an.

Web-App. Der Browser spricht nur mit app.miphu.com; deren Server hält keine Datenbank und keine Dateien. Die Sitzung liegt verschlüsselt (AES-256-GCM) in einem Cookie, das Skripte nicht lesen können. Ändernde Anfragen werden auf Herkunft geprüft; eine Content Security Policy lässt nur eigene Skripte zu, auf der Startseite der App im Verwaltungsbereich von Shopify zusätzlich das dort vorgeschriebene Skript App Bridge von Shopify.

Benachrichtigungen. Eine Benachrichtigung enthält keine Beträge und keine Kundendaten über den Titel der Aufgabe hinaus; der Titel wird nach 80 Zeichen gekürzt, und die Nachrichten über einen geöffneten Link, über die Entscheidung zu einem Angebot oder dessen Widerruf, über eine neue Unterlage, zu Online-Zahlungen, Sendungen und Bestellungen aus Shopify nennen kein Dokument. Sie wartet höchstens 24 Stunden auf die Zustellung. Gerätekennungen gelten je Anmeldung, Konto und Unternehmen und werden beim Abmelden, beim Ende der Zugehörigkeit und mit dem Konto gelöscht.

Dateien. Jede hochgeladene Datei prüft ein eigener Server vor der Freigabe auf Schadsoftware; importierte Tabellen liest er ohne Netzzugang. E-Mails an die Eingangsadresse nimmt ein eigener Empfangsserver an, kein fremder Dienst.

KI-Verbindungen. Bei Dokumenten und Personaldaten prüft die Datenbank bei jeder Anfrage Bereich und Einstellung; Rechte des Nutzers, Trennung der Mandanten und Prüfung der Eingaben gelten wie in der App. Geschrieben wird nur über ein ausdrücklich schreibendes Werkzeug über eine Verbindung in der Stufe „Schreiben" oder „Voll", nie über der Stufe, die der KI-Zugang ihres Nutzers erlaubt; jede andere Anfrage läuft nur lesend. Ein Vorgang wie das Ausstellen oder Stornieren einer Rechnung läuft über dieselbe Prüfung wie in der App; die Datenbank lässt dabei nur die Tabellen zu, die dieser Vorgang schreibt. Löschen, Ausblenden, Archivieren, Stornieren, Verwerfen, den Papierkorb, das Entfernen von Personendaten, Exporte im DATEV-Format und für die Buchhaltung und Änderungen an den Einstellungen des Unternehmens, an Zugängen, Rechten und Abteilungen und an der Sperrliste lässt sie nur als Vorgang der Stufe „Voll" zu und nur für eine Verbindung in dieser Stufe, Einstellungen, Zugänge, Rechte, Abteilungen und Sperrliste nur für den Inhaber und die Verwaltung. Außerdem weist sie für KI-Verbindungen ab: jedes andere Löschen außer von Zeilen und Teilangaben, die beim Ändern eines Entwurfs, Artikels, Arbeitsplans oder Imports ersetzt werden, und der Verknüpfung eines Dokuments mit einem weiteren Datensatz; bei Angeboten, Aufträgen, Rechnungen, Mahnungen und Ausgaben jede Änderung außerhalb des Entwurfs, die nicht zu einem solchen Vorgang gehört; bei Dokumenten das endgültige Löschen, Verschieben, Sperren und Vertraulichmachen, den Sperrvermerk und das Hochladen von Dateien über 4 MB, als Personalunterlage oder in den E-Mail-Eingang; Personaldaten außer Abwesenheiten, solange die Einstellung nach § 12 Abs. 2 ausgeschaltet ist; Änderungen am KI-Zugang und an den Einstellungen für KI-Verbindungen, am Abonnement und an erfassten Arbeitszeiten, das Löschen von Zugängen und Einladungen und Datenexporte. Den Grund eines Eintrags auf der Sperrliste gibt sie an eine KI-Verbindung nicht heraus, und Einträge, deren Angaben auf der Sperrliste stehen, legt eine KI-Verbindung nicht an. Die Verbindung trägt die Datenbank selbst ins Änderungsprotokoll ein; die Zahl der Abrufe und Änderungen je Verbindung ist begrenzt.

Trennung der Mandanten. Jede Tabelle mit Unternehmensdaten trägt eine erzwungene Row-Level-Security-Richtlinie, die nur Zeilen des Unternehmens der jeweiligen Sitzung zulässt; sie bindet auch die Datenbankfunktionen. Funktionen, die ihrer Aufgabe nach unternehmensübergreifend arbeiten, stehen mit ihrem Grund auf einer Liste in der Datenbank; eine neue Funktion, die die Richtlinien umgehen würde, ohne auf der Liste zu stehen, hält die Auslieferung an. Die Laufzeitrolle des Dienstes hat außer Lesezugriffen unter Richtlinien keine direkten Rechte auf die Tabellen; einige Betriebsfunktionen und die endgültige Löschung kann nur der Datenbankadministrator aufrufen.

Verschlüsselung. Übertragung per TLS, auch zwischen den Servern mit Prüfung des Zertifikats der Gegenseite. Hochgeladene Dateien werden mit AES-256-GCM und einem eigenen Schlüssel je Unternehmen verschlüsselt, der nur verschlüsselt unter einem Hauptschlüssel außerhalb von Datenbank, Sicherung und Dateispeicher liegt; wird ein Unternehmen endgültig gelöscht, wird sein Schlüssel gelöscht. Unverschlüsselt liegen nur veröffentlichte Artikelbilder und, bis zur Ablage, in der Regel Sekunden, E-Mails im Zwischenspeicher des Empfangsservers.

Betrieb. API-, Worker- und Web-App-Container laufen mit schreibgeschütztem Dateisystem, ohne Linux-Capabilities und mit Ressourcengrenzen; jeder Dienst erhält nur seine eigenen Geheimnisse; der API-Server hält weder das Administratorpasswort der Datenbank noch Sicherungsmaterial.

2. Integrität

• Ausgestellte Rechnungen, Zahlungserinnerungen und Mahnungen sind unveränderlich; Nummernkreise sind lückenlos; Korrekturen laufen über Storno.
• Änderungen und ihre Einträge im Änderungsprotokoll werden in derselben Transaktion geschrieben; das endgültige Löschen wird ohne Personendaten protokolliert.
• Erfassungen der Arbeitszeit werden nur angefügt und sind je Person durch Prüfsummen (SHA-256) verkettet.
• Buchungssätze sind mit der Erfassung festgeschrieben; die Datenbank lässt sie weder ändern noch löschen, Korrekturen laufen über Storno, und je Unternehmen sind sie durch Prüfsummen (SHA-256) verkettet, die miphu nachrechnet. Eine geschlossene Periode öffnet sich nicht wieder.
• Einträge des Firmenprotokolls werden nur angefügt und sind je Kette durch Prüfsummen (SHA-256) verkettet; die Datenbank lässt sie weder ändern noch löschen außer dem Löschen des Netzbereichs nach 90 Tagen und dem Entfernen der ältesten Einträge nach Ablauf der Aufbewahrung, das selbst im Protokoll steht. Die Prüfung in miphu rechnet die Ketten nach; jeder Export des Protokolls führt ihren letzten Stand mit.
• Zugriffsprotokolle am Eingang sind abgeschaltet, weil URLs Einmal-Schlüssel enthalten. Anmeldungen an den Servern und Programme, die Administratoren auf dem API- und dem Datenbankserver ausführen, werden protokolliert.
• Die Datenbank läuft mit Seitenprüfsummen.

3. Verfügbarkeit und Belastbarkeit

• Je zwei Instanzen von API und Web-App, die bei Updates einzeln ausgetauscht werden.
• Fortlaufende, verschlüsselte Sicherung der Datenbank auf dem Datenbankserver und auf einer Hetzner Storage Box, dazu eine tägliche logische Sicherung. Aufbewahrung der Sicherungen: höchstens 90 Tage.
• Hochgeladene Dateien in Nürnberg und als zweite Kopie in Falkenstein; die zweite Kopie liegt in einem getrennten Projekt, dessen Zugangsdaten der API-Server nicht hat.
• Überwachung der Server mit Alarm und externem Lebenszeichen.

4. Verfahren zur regelmäßigen Überprüfung

• Wöchentliche Wiederherstellungsprobe in einen getrennten Cluster mit Prüfung aller Seitenprüfsummen.

Zustellung von Benachrichtigungen (§ 7 Abs. 3), kein Unterauftragsverarbeiter nach § 6 Abs. 4:

Keine Unterauftragsverarbeiter für Daten des Auftraggebers:

• Apple verkauft das Abonnement in eigener Verantwortung und erhält dafür keine Kundendaten aus miphu.
• Stripe (Stripe Payments Europe, Limited, Irland) wickelt die Zahlungen für ein Abonnement in der Web-App ab und erhält dafür die Rechnungsangaben des Auftraggebers als Kunde des Auftragnehmers und die Zahlungsdaten, keine Kundendaten aus miphu. Bei der Online-Zahlung ist Stripe Vertragspartner des Auftraggebers, nicht des Auftragnehmers (§ 12b).
• Sendcloud (Sendcloud Global B.V., Eindhoven, Niederlande, und verbundene Unternehmen) erstellt Versandlabels über das eigene Konto des Auftraggebers und gibt die Angaben an die Paketdienste weiter, die er dort nutzt; Sendcloud ist dabei Vertragspartner und Auftragsverarbeiter des Auftraggebers, nicht des Auftragnehmers (§ 12c).
• Shopify betreibt den Shop des Auftraggebers nach dessen Vertrag mit Shopify; der Auftragnehmer bietet nur die App „miphu" im Shopify App Store an (§ 12d).
• Hostinger International Ltd. betreibt nur die Website miphu.com.
• Die Anbieter von KI-Apps und Kalender-Apps erhalten Daten nur über eine Verbindung oder einen Kalender-Link, die ein Nutzer selbst einrichtet (§ 12, § 12a).
• Healthchecks.io (SIA Monkey See Monkey Do, Riga, Lettland) erhält von den Servern nur ein Lebenszeichen ohne personenbezogene Daten.
• Das Postfach hello@miphu.com liegt bei Apple (iCloud Mail). Schickt ein Kunde Kundendaten per E-Mail, verarbeitet Apple sie.