Auftragsverarbeitungsvertrag für Faktano
Fassung 2026-10-01-v2. Verantwortlicher ist der geschäftliche Nutzer, soweit er personenbezogene Daten Dritter in Faktano eingibt oder hochlädt. Auftragsverarbeiter ist die vayoblue GmbH, Steigerstraße 57, 66292 Riegelsberg, Deutschland. Diese Vereinbarung ergänzt die AGB für die Verarbeitung solcher Daten nach Art. 28 DSGVO. Für eigene Website-, Vertrags-, Zahlungs- und Entgeltbelegdaten ist vayoblue selbst Verantwortlicher; diese Daten sind nicht Gegenstand dieser AVV.
1. Gegenstand, Dauer und Weisung
Gegenstand ist die technische Verarbeitung der vom Nutzer für Rechnungsprüfung und Rechnungserstellung übermittelten Daten. Sie beginnt mit der gewählten Funktion und endet mit Auslieferung und anschließender Löschung nach den unten beschriebenen Fristen. Bei ausdrücklich gewählter Abrufablage ist die Ergebnisdatei bis zu 30 Tage verfügbar. Die Funktionswahl, diese AVV und ergänzende Anweisungen in Textform bilden dokumentierte Weisungen. Weitere Weisungen können an kontakt@vayoblue.com gerichtet werden. Gesetzlich angeordnete abweichende Verarbeitung teilt vayoblue vorab mit, soweit rechtlich zulässig. Hält vayoblue eine Weisung für rechtswidrig, informiert sie den Verantwortlichen und kann deren Ausführung bis zur Klärung aussetzen.
2. Zwecke, Daten und Personen
Zwecke sind das Entgegennehmen, Lesen, Extrahieren, Prüfen, Erstellen, Ausliefern und gegebenenfalls zeitlich begrenzte verschlüsselte Ablegen von Rechnungsdateien. Betroffene können Aussteller, Empfänger, deren Mitarbeiter und Ansprechpartner sowie in Belegen genannte Personen sein. Verarbeitet werden können Namen, Anschriften, Kontaktdaten, Steuer- und Rechnungskennungen, Leistungsbeschreibungen, Beträge, Bankangaben, hochgeladene Dokumente und technische Vorgangsmetadaten. Besondere Kategorien nach Art. 9 DSGVO sollen nicht übermittelt werden.
3. Vertraulichkeit und Sicherheit
Vayoblue gewährt Zugriff nur Personen, die ihn zur Aufgabenerfüllung benötigen und zur Vertraulichkeit verpflichtet sind. Der öffentliche Zugang ist transportverschlüsselt. Bunny schützt den Edge; ein Scaleway-Tunnelserver leitet über WireGuard zur eigenen Acton-Infrastruktur. Anwendung und Datenbank sind getrennte Container. Die optionale Abrufablage verschlüsselt Dateien mit AES-256-GCM; Abruf-Token werden nur gehasht gespeichert. Geheimnisse liegen nicht im öffentlichen Webverzeichnis. Rate-Limits, beschränkte Zugriffe und ein separater Löschlauf ergänzen diese Maßnahmen. Schutzmaßnahmen werden überprüft und bei Bedarf angepasst; Änderungen dürfen das Schutzniveau nicht unterschreiten.
4. Unterauftragsverarbeiter
Der Verantwortliche genehmigt für die jeweils genutzte Funktion: Bunny.net für öffentliche Auslieferung und Edge-Schutz; Scaleway für den öffentlichen Tunnel-Eingang; Mistral AI für KI-gestützte Rechnungsanalyse, soweit diese benötigt wird; Lettermint für die Zustellung bezahlter Ergebnisdateien per E-Mail; Google Maps Platform für die nur nach gesonderter Auswahl und technischer Aktivierung erfolgende Adressprüfung. Ein optionaler KI-Fallback über Anthropic darf erst nach gesonderter Aktivierung und entsprechender Information eingesetzt werden. Der eigene Acton-Server ist kein Unterauftragsverarbeiter. Mollie verarbeitet die Zahlungsabwicklung in eigener Rolle.
Vayoblue verpflichtet Unterauftragsverarbeiter vertraglich auf ein angemessenes Datenschutzniveau und bleibt für deren Leistung verantwortlich. Änderungen der Liste werden vor Einsatz auf der Website bekanntgegeben; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund an kontakt@vayoblue.com widersprechen. Kann dem Widerspruch nicht abgeholfen werden, kann er künftige Verarbeitungen beenden.
5. Drittland, Unterstützung und Vorfälle
Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums ist nicht pauschal ausgeschlossen. Soweit sie stattfindet, setzt vayoblue eine zulässige Grundlage nach Kapitel V DSGVO und erforderliche Schutzmaßnahmen voraus. Vayoblue unterstützt den Verantwortlichen im Rahmen der verfügbaren Informationen bei Betroffenenrechten, Sicherheitsanforderungen, Datenschutz-Folgenabschätzungen und Behördenanfragen. Datenschutzverletzungen an Auftragsdaten werden nach Bekanntwerden unverzüglich an den Verantwortlichen gemeldet; Einzelheiten können nachgereicht werden. Anfragen und Meldungen gehen an den Kontakt des Nutzers, soweit bekannt, andernfalls über die im Vorgang vorhandenen Kontaktwege.
6. Löschung, Nachweise und Kontrollen
Ohne gewählte Ablage werden hochgeladene und erzeugte Kundendateien im Anwendungspfad nicht dauerhaft als Abrufdokument gespeichert. Bei gewählter Ablage endet der Zugriff nach höchstens 30 Tagen; ein separater Löschlauf entfernt abgelaufene Datensätze. Gesetzlich aufzubewahrende eigene Entgeltbelege von vayoblue bleiben davon getrennt. Nach Ende der Verarbeitung werden Auftragsdaten auf Wahl des Verantwortlichen gelöscht oder herausgegeben, soweit keine gesetzliche Pflicht entgegensteht. Vayoblue stellt erforderliche Informationen zum Nachweis dieser AVV bereit und ermöglicht angemessene Kontrollen durch den Verantwortlichen oder einen zur Vertraulichkeit verpflichteten Prüfer nach Vorankündigung, soweit Rechte anderer Nutzer und die Sicherheit gewahrt bleiben.
7. Schlussbestimmungen
Bei Widersprüchen zu den AGB geht diese AVV für Auftragsdaten vor. Änderungen bedürfen einer nachvollziehbaren neuen Fassung. Es gilt deutsches Recht; zwingende Haftung nach Art. 82 DSGVO und gesetzliche Gerichtsstände bleiben unberührt.