Auftragsverarbeitung (Art. 28 DSGVO)

Wie der Vertrag zustande kommt

Den Auftragsverarbeitungsvertrag schließen Sie beim Einrichten Ihres Kontos direkt in der Anwendung. Wir speichern dazu die Fassung, den Zeitpunkt und die Person, die bestätigt hat (Art. 28 Abs. 9 DSGVO). Jede Fassung behält ihren Parteienblock und ihre Anlagen und bleibt für Sie abrufbar. Ändern wir den Vertrag, seine technischen Maßnahmen oder die Liste der Unterauftragsverarbeiter, entsteht eine neue Fassung: Sie wird Ihnen in der Anwendung zur Bestätigung vorgelegt, bis dahin gilt die zuletzt von Ihnen bestätigte Fassung fort.

Was wir für Sie verarbeiten

Wir verarbeiten die Daten, die Sie in Umzo führen: Kunden-, Auftrags- und Mitarbeiterdaten einschließlich Fotos, Videos und Unterschriften, den Versand von Angeboten, Rechnungen und Mahnungen per E-Mail sowie die Flächen, die Ihre Endkunden über einen Link ohne Anmeldung erreichen (Kundenportal, Video-Besichtigung, Terminvorschlag zur Besichtigung, Qualitätsumfrage). Art, Zweck, Dauer, betroffene Personen und Datenkategorien sind im Vertrag abschließend beschrieben. Wir verarbeiten diese Daten ausschließlich auf Ihre dokumentierte Weisung — nicht für eigene Zwecke, nicht für Werbung, nicht für Tracking.

Wo verarbeitet wird

• Server, Datenbank und Dateispeicher: Dokumente, Fotos, Videos, Unterschriften — Rechenzentrum in Deutschland (Hetzner Online GmbH)
• E-Mail-Versand: one.com (One.com Group AB), Sitz Schweden/Dänemark — Verarbeitung in der EU
• Entfernungsberechnung für Angebote und Touren: GraphHopper GmbH, Deutschland — übermittelt werden nur Adressen, keine Namen
• Verschlüsselte Sicherungen und ein Spiegel der Dateien: getrennte Ablage an einem anderen Standort in Deutschland
• Eine Übermittlung in ein Drittland findet derzeit nicht statt.

Die abschließende Liste der Unterauftragsverarbeiter ist Anlage 2 des Vertrags; dieselben Angaben enthält § 14 der Datenschutzerklärung. Setzen wir einen neuen Unterauftragsverarbeiter ein, informieren wir Sie vorab, Sie können nach Maßgabe des Vertrags widersprechen, und die geänderte Liste wird als neue Vertragsfassung zur Bestätigung vorgelegt.

Technische und organisatorische Maßnahmen

Die Maßnahmen nach Art. 32 DSGVO sind Anlage 1 des Vertrags und werden mit jeder Fassung eingefroren; die ausführliche Beschreibung stellen wir Ihnen und Ihren Datenschutzbeauftragten auf Anfrage bereit. Kernpunkte: Trennung der Mandanten in der Anwendung und in der Datenbank, Rechtevergabe je Einzelrecht mit Serverentscheidung bei jeder Anfrage, Zwei-Faktor-Anmeldung für Administratoren, Transportverschlüsselung, verschlüsselte Speicherung der Geheimnisse, unveränderliches Änderungsprotokoll sowie nächtliche verschlüsselte Sicherungen mit wöchentlichem, automatisiertem Wiederherstellungstest.

Offen benannt, weil regelmäßig gefragt: Für Umzo selbst besteht keine Zertifizierung (etwa nach ISO/IEC 27001) und es wurde kein externer Penetrationstest durchgeführt; die ISO-27001-Zertifizierung betrifft den Rechenzentrumsbetrieb unseres Hosting-Anbieters. Der Spiegel der Dateien auf der externen Sicherungsablage ist nicht verschlüsselt und dort allein durch den Zugang zu dieser Ablage geschützt; die Datenbanksicherungen sind verschlüsselt, der Schlüssel liegt nicht auf dieser Ablage.

Vertraulichkeit, Betroffenenrechte, Sicherheitsvorfälle

• Alle Personen, die Daten aus Ihrem Konto verarbeiten können, sind zur Vertraulichkeit verpflichtet. Wir arbeiten nicht mit Ihren Fachdaten: Die Betreiber-Konsole zeigt Vertrags- und Stammdaten Ihres Unternehmens, eine Anmeldung als einer Ihrer Benutzer ist nicht vorgesehen, und jeder Eingriff wird gesondert protokolliert.
• Bei Betroffenenrechten (Art. 15–21) unterstützen wir Sie mit Funktionen in der Software: Auskunft und Datenübertragbarkeit zu einer Kundenakte als JSON und PDF sowie die Löschung eines Kunden einschließlich der zugehörigen Dateien. Dokumente unter gesetzlicher Aufbewahrungspflicht — festgeschriebene Rechnungen, nummerierte Angebote, unterschriebene Arbeitsscheine — bleiben inhaltlich erhalten; der Kundendatensatz wird zum Platzhalter „Gelöschter Kunde“. Die Entscheidung über jedes Ersuchen treffen Sie als Verantwortlicher.
• Verletzungen des Schutzes personenbezogener Daten melden wir Ihnen unverzüglich mit den Angaben, die Sie für Ihre eigene Meldung nach Art. 33 DSGVO benötigen, und unterstützen Sie bei der Aufklärung. Sicherheitsmeldungen nehmen wir unter security@umzo.cloud entgegen.

Löschung und Herausgabe Ihrer Daten

• Während der Vertragslaufzeit löscht die Anwendung nach dem hinterlegten Löschkonzept, das Sie in den Einstellungen unter „Datenschutz“ einsehen und in den dort gekennzeichneten Fällen selbst einstellen können. Jeder Lauf wird protokolliert.
• Nach Vertragsende löschen oder geben wir die Daten nach Ihrer Wahl zurück. Ihr Konto bleibt zunächst lesend nutzbar, damit Sie Ihre Unterlagen ausleiten können; wir löschen auf Ihre Weisung in Textform. Eine automatische Löschung zu einem festen Termin gibt es für gekündigte kostenpflichtige Konten derzeit nicht. Ein Testkonto ohne anschließenden Vertragsschluss wird am 90. Tag nach Beginn der Testphase gelöscht, angekündigt mindestens sieben Tage vorher.
• Herausgabe. Sie leiten Ihre Daten jederzeit selbst aus: DATEV-Buchungs- und Ausgabenstapel, Belege eines Monats als ZIP-Datei, das Betriebsprüfungs-Paket für einen Zeitraum, das Jahresabschluss-Paket, Berichte als CSV-Datei und die vollständige Auskunft zu einer einzelnen Kundenakte. Einen Export sämtlicher Daten in einer einzigen Datei gibt es nicht; Fotos, Videos und Unterschriften sind in diesen Ausgaben nicht enthalten. Auf Anforderung in Textform stellen wir Ihnen vor der Löschung eine Kopie der gespeicherten Daten einschließlich der Dateien in einem gängigen elektronischen Format bereit.
• Wir sind nach Vertragsende kein Archiv. Ihre handels- und steuerrechtlichen Aufbewahrungspflichten erfüllen Sie selbst; sichern Sie die betreffenden Belege rechtzeitig vor der Löschung.

Ihre Rolle und unsere

Über Zwecke und Mittel der Verarbeitung entscheiden Sie. Sie verantworten die Rechtmäßigkeit der Verarbeitung und die Texte, die Sie Ihren Endkunden und Beschäftigten gegenüber verwenden — insbesondere Datenschutzhinweise nach Art. 13 und 14 DSGVO, Einwilligungs- und Erklärungstexte sowie die Entscheidung über den Einsatz von Funktionen mit erhöhter Eingriffsintensität (etwa Live-Standort, Video-Besichtigung oder Kundenportal). Wir stellen die technische Infrastruktur bereit, beschreiben deren Funktionsweise und setzen Ihre Weisungen um; eine rechtliche Bewertung Ihrer Verarbeitung schulden wir nicht. Unsere eigenen Pflichten als Auftragsverarbeiter nach Art. 28 und 32 DSGVO bleiben davon unberührt. Näheres zur Aufgabenteilung regeln die Allgemeinen Geschäftsbedingungen (§ 8).

Fragen

Fragen zum Vertrag, zu den technischen und organisatorischen Maßnahmen und zu den Unterauftragsverarbeitern beantworten wir unter datenschutz@umzo.cloud.