Rechtliches – selbst erstellter Entwurf

AVV nach Art. 28 DSGVO mit TOM-Anlage

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten, die geschäftliche Kunden in JAHA Business eingeben. Sie ist ein selbst erstellter Entwurf und wurde nicht anwaltlich geprüft.

Hinweis zum Status. Dieser Text wurde vom Anbieter selbst erstellt und ist nicht anwaltlich geprüft; es wird keine Rechtssicherheit zugesagt. Die Angaben zu den eingesetzten Diensten in Anlage 2 beruhen auf den jeweils von den Diensteanbietern veröffentlichten Vertrags- und Datenschutzunterlagen; einzelne noch nicht belastbar bestätigte Punkte sind ausdrücklich als „noch zu verifizieren“ gekennzeichnet und werden nicht behauptet. Ein individuell unterzeichneter AVV kann über die Kontaktadresse angefordert werden.

1. Vertragsparteien und Anwendungsbereich

Diese Vereinbarung gilt zwischen dem geschäftlichen Kunden als Verantwortlichem (Art. 4 Nr. 7 DSGVO) und dem Anbieter als Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO). Sie gilt für alle personenbezogenen Daten, die der Verantwortliche im Rahmen der Nutzung von JAHA Business eingibt oder verarbeiten lässt. JAHA Business wird ausschließlich Unternehmern, Selbstständigen und gewerblichen Betrieben angeboten.

2. Gegenstand und Dauer der Verarbeitung

Gegenstand ist die Bereitstellung der Software JAHA Business als Software-as-a-Service (Kundenverwaltung, Aufträge, Termine, Dokumente, Mitarbeitende und Zeiten, Material und Ausgaben sowie KI-gestützte Strukturierung eigener Eingaben). Die Verarbeitung beginnt mit der Registrierung bzw. dem Vertragsbeginn und dauert für die Laufzeit des Nutzungsvertrags an. Sie endet mit Beendigung des Vertrags; anschließend gilt Ziffer 9.

3. Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen. Verarbeitungsarten sind insbesondere:

Erheben und Speichern der vom Verantwortlichen eingegebenen Daten in der Anwendungsdatenbank.
Organisieren, Strukturieren, Anzeigen, Filtern und Auswerten dieser Daten in der Anwendung.
Erzeugen von Entwürfen (z. B. Dokument- und Positionsvorschläge) aus den vom Verantwortlichen bereitgestellten Texten mittels KI-Dienst.
Bereitstellen von Konto-, Anmelde- und Abrechnungsfunktionen für den Zugang zur Anwendung.
Löschen und Berichtigen auf Veranlassung des Verantwortlichen.

Eine Nutzung der Auftragsdaten für eigene Zwecke des Anbieters – insbesondere für eigenes Marketing oder für ein eigenständiges Training von KI-Modellen durch den Anbieter – findet nicht statt.

4. Kategorien betroffener Personen

Je nach Nutzung durch den Verantwortlichen können betroffen sein:

Kundinnen und Kunden des Verantwortlichen sowie deren Ansprechpartner.
Mitarbeitende und Beschäftigte des Verantwortlichen.
Nutzerinnen und Nutzer der Anwendung auf Seiten des Verantwortlichen.
Sonstige Dritte, die der Verantwortliche in Notizen, Aufträgen oder Dokumenten erwähnt.

5. Kategorien personenbezogener Daten

Die Anwendung verarbeitet die vom Verantwortlichen eingegebenen Datenarten. Aus der aktuellen Datenstruktur ergeben sich insbesondere:

Stamm- und Kontaktdaten: Name, Firma, Anschrift, Telefonnummer, E-Mail-Adresse.
Auftrags- und Termindaten: Auftragsbeschreibungen, Status, Einsatzorte, Zeitpunkte, Notizen.
Beschäftigtendaten: Name, Funktion, Stundensätze, erfasste Arbeitszeiten und Zuordnung zu Aufträgen.
Dokument- und Positionsdaten: Angebote, Aufträge, Rechnungsentwürfe, Positionen, Beträge, Steuersätze, Material- und Ausgabenangaben.
Konto- und Nutzungsdaten: E-Mail-Adresse und Authentifizierungsdaten des Nutzerkontos, Zeitstempel der Datensätze, Abo-Status.
Freitextinhalte, die der Verantwortliche in die KI-Erfassung eingibt.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht vorgesehen und sollen nicht eingegeben werden.

6. Weisungsbindung

Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. Die Nutzung der Anwendung selbst – Eingabe, Änderung, Export, Löschung sowie das Auslösen einer KI-Auswertung – gilt als Weisung. Weitere Weisungen sind in Textform an die Kontaktadresse des Anbieters zu richten. Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies mit und kann ihre Ausführung aussetzen.

7. Vertraulichkeit

Der Anbieter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Weitere Personen werden erst nach Verpflichtung auf die Vertraulichkeit einbezogen. Administrative Zugriffe auf Produktivdaten erfolgen nur, soweit dies für Betrieb, Fehleranalyse oder eine Weisung des Verantwortlichen erforderlich ist.

8. Unterstützung des Verantwortlichen und Betroffenenrechte

Der Anbieter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen und mit angemessenem Aufwand:

Bei Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit (Art. 12–23 DSGVO), insbesondere durch die in der Anwendung vorhandenen Anzeige-, Bearbeitungs- und Löschfunktionen.
Bei der Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33, 34 DSGVO). Der Anbieter informiert den Verantwortlichen unverzüglich nach Kenntnis über Vorfälle, die dessen Auftragsdaten betreffen.
Bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 35, 36 DSGVO) durch Bereitstellung der ihm vorliegenden Informationen zur Verarbeitung.

Anfragen betroffener Personen, die den Anbieter unmittelbar erreichen, werden nicht eigenständig beantwortet, sondern an den Verantwortlichen weitergeleitet.

9. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Nutzungsvertrags werden die Auftragsdaten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit selbst aus der Anwendung entnehmen (Selbstbedienungs-Export als JSON/CSV im Bereich „Konto & Abo“) bzw. löschen. Über die Kontolöschung im selben Bereich wird das Konto zur Löschung vorgemerkt; die regulären App- und Kontodaten werden grundsätzlich nach 30 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht oder ein anderer zulässiger Grund entgegensteht. Innerhalb dieser Frist ist ein Widerruf der Anforderung möglich. Der technische Löschlauf wird derzeit administrativ ausgelöst und nicht als vollautomatisierter Prozess zugesichert. Ein Rückgabe- oder Löschverlangen kann zusätzlich in Textform an die Kontaktadresse gerichtet werden.

Eine feste Löschfrist nach Vertragsende ist noch nicht verbindlich festgelegt und wird nachgetragen, sobald sie mit den eingesetzten Dienstleistern abgestimmt ist. Bis dahin erfolgt die Löschung auf Anforderung.

10. Nachweise und Überprüfungen

Der Anbieter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung, insbesondere diese Vereinbarung, die TOM-Anlage und die Liste der Unterauftragsverarbeiter. Überprüfungen erfolgen vorrangig als Auskunft in Textform; darüber hinausgehende Prüfungen sind mit angemessener Vorankündigung, während üblicher Geschäftszeiten und ohne Beeinträchtigung des Betriebs möglich. Soweit Nachweise der eingesetzten Dienstleister (z. B. Zertifikate oder Prüfberichte) vorliegen, werden diese weitergereicht.

11. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der in der Anlage 2 genannten Unterauftragsverarbeiter zu. Der Anbieter informiert über beabsichtigte Änderungen (Hinzufügung oder Ersetzung) vorab in Textform oder durch Aktualisierung dieser Seite; der Verantwortliche kann innerhalb einer angemessenen Frist widersprechen. Der Anbieter verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das dieser Vereinbarung entspricht.

12. Drittlandtransfer

Eine Verarbeitung außerhalb der EU/des EWR erfolgt nur, wenn dafür eine Grundlage nach Kapitel V DSGVO besteht (insbesondere EU-Standardvertragsklauseln oder ein Angemessenheitsbeschluss). Bei welchen der in Anlage 2 genannten Dienste tatsächlich eine Verarbeitung im Drittland stattfindet und welcher Mechanismus jeweils greift, ist in Anlage 2 pro Dienst gekennzeichnet. Wo dort „noch zu verifizieren“ steht, wurde dies bewusst nicht behauptet.

13. Auftragsverarbeiter (Anbieter)

Vertragspartner auf Seiten des Auftragsverarbeiters:

Anbieter: Besim Jaha
Anschrift: Mayerstr. 10 69207 Sandhausen Deutschland
E-Mail: kontakt@jahabusiness.de

Anlage 1

Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Nachfolgend werden ausschließlich Maßnahmen beschrieben, die in der aktuellen Architektur und Implementierung von JAHA Business tatsächlich umgesetzt sind. Maßnahmen, die von der eingesetzten Plattform erbracht werden, sind als solche gekennzeichnet.

Vertraulichkeit – Zutritts-, Zugangs- und Zugriffskontrolle

Der Zugang zur Anwendung setzt ein persönliches Nutzerkonto mit E-Mail und Passwort voraus; die Authentifizierung erfolgt über den Authentifizierungsdienst der eingesetzten Plattform. Passwörter werden vom Anbieter nicht im Klartext gespeichert oder eingesehen.
Sitzungen laufen über zeitlich begrenzte Zugangstokens; Abmeldung und Passwort-Zurücksetzen sind in der Anwendung implementiert.
Alle geschützten Bereiche (/app, Konto) sind clientseitig und serverseitig abgesichert: Serverfunktionen prüfen das Zugangstoken über eine Auth-Middleware, bevor Daten gelesen oder geschrieben werden.
Mandantentrennung auf Datenbankebene: Für jede Tabelle mit Auftragsdaten ist Row Level Security aktiviert; Richtlinien binden Lese- und Schreibzugriffe an die Benutzerkennung (auth.uid()) des jeweiligen Kontos.
Zusätzlich prüfen die Serverfunktionen bei jedem Datensatzzugriff die Eigentümerschaft, sodass fremde Datensätze auch bei manipulierten Anfragen nicht erreichbar sind.
Rollentrennung: Privilegierte Datenbankzugriffe erfolgen ausschließlich serverseitig und nur in eng begrenzten Systemvorgängen; das Frontend nutzt ausschließlich den eingeschränkten, RLS-gebundenen Zugang.
Zugangsdaten zu Drittdiensten (Zahlungs-, E-Mail-, KI-Dienst) liegen ausschließlich als serverseitige Secrets vor und werden nie an den Browser ausgeliefert.

Integrität – Eingabe-, Weitergabe- und Übertragungskontrolle

Transportverschlüsselung: Die Auslieferung erfolgt ausschließlich über HTTPS/TLS; Aufrufe an Zahlungs-, E-Mail- und KI-Dienste erfolgen ebenfalls über TLS-gesicherte Verbindungen.
Serverseitige Eingabevalidierung aller schreibenden Vorgänge mit einem Schema-Validator (Zod); ungültige oder fremde Referenzen werden abgewiesen.
Verknüpfungen zwischen Kunde, Auftrag, Termin und Dokument werden serverseitig gegen die eigenen Datensätze geprüft.
Zahlungs-Webhooks werden vor der Verarbeitung kryptografisch anhand der Signatur des Zahlungsdienstleisters verifiziert; unsignierte oder falsch signierte Anfragen werden abgewiesen.
Mehrfachzustellungen von Webhooks werden über eine Idempotenztabelle erkannt und nicht doppelt verarbeitet.
Rechtlich relevante Erklärungen (z. B. Kündigungs-/Widerrufserklärungen) werden ausschließlich serverseitig geschrieben und sind für Anwendungskonten nicht änderbar oder löschbar (unveränderliche Ablage).

Verfügbarkeit und Belastbarkeit

Betrieb auf einer verwalteten Cloud-Plattform mit verwaltetem Datenbankdienst; Betrieb, Patching und Sicherung der Infrastruktur liegen beim Plattformbetreiber.
Zustandslose Serverfunktionen ohne lokale Datenhaltung; die Daten liegen zentral in der verwalteten Datenbank.
Externe Aufrufe (z. B. E-Mail-Versand) sind mit Zeitlimits versehen und führen bei Fehlern nicht zum Verlust bereits gespeicherter Daten (Speichern vor Versand).
Fehlerzustände werden in der Anwendung abgefangen und als verständliche Meldung angezeigt, ohne interne Details oder Daten Dritter preiszugeben.
Konkrete Angaben zu Backup-Intervallen, Wiederherstellungszeiten und Verfügbarkeitszusagen des Plattformbetreibers: noch zu verifizieren; hierzu werden keine Zusagen behauptet.

Datenminimierung, Trennung und Missbrauchsschutz

Datensparsamkeit bei Protokollierung: Für die Missbrauchsbegrenzung rechtlicher Formulare werden IP-Adressen nicht im Klartext gespeichert, sondern nur als gesalzener SHA-256-Hash in gekürzter Form.
Ratenbegrenzung bei rechtlich relevanten Formularen zur Abwehr von Massenanfragen.
Minimales Sicherheitsprotokoll für kritische Kontovorgänge (Datenexport, Löschanforderung, Widerruf der Löschanforderung): gespeichert werden Zeitpunkt, Benutzerkennung und Aktionsart – keine Passwörter, Tokens, Secrets oder Dokumentinhalte. Die Einträge sind aus dem Browser nur lesbar (eigene Zeilen) und werden ausschließlich serverseitig geschrieben.
Datenexport und Kontolöschung sind serverseitig authentifiziert; die Löschanforderung verlangt zusätzlich eine erneute Passworteingabe.
Trennung der Umgebungen und Zwecke: Abrechnungsdaten liegen beim Zahlungsdienstleister; die Anwendung speichert lediglich Kunden-/Abo-Kennungen und den Abo-Status, keine Karten- oder Zahlungsdaten.
Interne Bereiche (Konto, Arbeitsbereich, Authentifizierung) sind für Suchmaschinen auf „noindex“ gesetzt.

Auftragskontrolle und Überprüfung

Einsatz von Unterauftragsverarbeitern nur nach Anlage 2; Zweckbindung ergibt sich aus der dortigen Aufstellung.
Regelmäßige Prüfung des Codes auf Sicherheitsbefunde (Zugriffsregeln, Datenbankrichtlinien) im Rahmen der Entwicklung.
Diese Maßnahmenliste beschreibt ausschließlich tatsächlich umgesetzte technische Vorkehrungen und wird bei Änderungen der Architektur fortgeschrieben.

Anlage 2

Unterauftragsverarbeiter und weitere Empfänger

Diese Liste enthält ausschließlich Dienste, die im Projekt nachweisbar eingesetzt werden. Die Rolle jedes Dienstes wird gesondert ausgewiesen, weil nicht jeder Empfänger Unterauftragsverarbeiter der SaaS-Anwendung ist. Angaben zu Standorten oder Drittlandmechanismen sind nur dann benannt, wenn sie belegbar sind; andernfalls sind sie ausdrücklich als noch zu verifizieren markiert.

Lovable (Plattform-, Hosting-, Datenbank- und Authentifizierungsdienst)

Rolle: Unterauftragsverarbeiter für die Auftragsdaten der Anwendung.

Zweck: Bereitstellung und Auslieferung der Webanwendung, Ausführung der Serverfunktionen sowie Betrieb der zugehörigen verwalteten Datenbank- und Authentifizierungsdienste, in denen die Auftragsdaten gespeichert werden.

Ort der Verarbeitung: Konkrete Verarbeitungsorte der Plattforminfrastruktur sind noch zu verifizieren; für Drittlandtransfers verweist der Plattformanbieter auf EU-Standardvertragsklauseln. Eine ausschließliche Verarbeitung in der EU wird nicht behauptet.

AVV-/DPA-Status: Der Anbieter nutzt den Plattformdienst im Business-Tarif. Für diesen Tarif sieht der Plattformanbieter einen eigenen Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln und Subprocessor-Liste vor. Der genaue Abschluss- bzw. Einbeziehungsstand für das konkrete Konto wird dokumentiert, sobald er belastbar bestätigt ist.

KI-Gateway des Plattformanbieters (Modell Gemini 2.5 Flash)

Rolle: Unterauftragsverarbeiter, jedoch nur bei aktiver Nutzung der KI-Funktionen.

Zweck: Verarbeitung der vom Verantwortlichen ausdrücklich zur KI-Auswertung übermittelten Texte, um daraus strukturierte Vorschläge (Kunde, Auftrag, Zeiten, Material, Dokumententwurf) zu erzeugen.

Ort der Verarbeitung: Verarbeitungsorte und Drittlandmechanismus des zugrunde liegenden Modellanbieters: noch zu verifizieren. Es wird nicht behauptet, dass die Verarbeitung ausschließlich in der EU stattfindet.

AVV-/DPA-Status: Die Einbindung erfolgt über das Gateway des Plattformanbieters; der vertragliche Status richtet sich nach dessen Vertragsunterlagen (siehe Eintrag Plattformdienst).

Stripe (Zahlungs- und Abo-Abwicklung)

Rolle: Empfänger mit gemischter Rolle: Für die eigentliche Zahlungsabwicklung, Betrugsprävention und die Erfüllung zahlungs- und aufsichtsrechtlicher Pflichten handelt Stripe nach eigenen Angaben eigenverantwortlich; für abgrenzbare Verarbeitungen im Auftrag des Anbieters gilt der Stripe-DPA. Stripe wird daher nicht pauschal als reiner Unterauftragsverarbeiter dargestellt.

Zweck: Durchführung von Abo-Checkout, Zahlungsabwicklung, Rechnungsstellung und Kundenportal. Übermittelt werden Kontokennung, E-Mail-Adresse und Abo-/Tarifangaben; Zahlungsdaten werden ausschließlich bei Stripe verarbeitet.

Ort der Verarbeitung: Vertragspartner für Nutzer außerhalb der Americas ist die Stripe Payments Europe, Limited (Irland). Internationale Datenübermittlungen können laut Stripe über das EU-US Data Privacy Framework und die EU-Standardvertragsklauseln 2021 erfolgen; eine ausschließliche Speicherung in der EU wird nicht behauptet.

AVV-/DPA-Status: Der Stripe-DPA nach Art. 28 DSGVO ist Bestandteil des Stripe Services Agreement und damit in die vertragliche Beziehung integriert.

Resend (E-Mail-Zustellung)

Rolle: Unterauftragsverarbeiter für den Versand systemseitiger Bestätigungen.

Zweck: Versand systemseitiger Bestätigungen zu rechtlich relevanten Erklärungen (z. B. Kündigungs-/Widerrufsbestätigung). Übermittelt werden Empfängeradresse und Inhalt der jeweiligen Bestätigung.

Ort der Verarbeitung: Kundendaten werden nach Angaben von Resend in den USA gespeichert; Übermittlungen aus EWR/UK/CH erfolgen laut Resend über EU-Standardvertragsklauseln und das EU-US Data Privacy Framework. Die gewählte Versandregion steuert nur das E-Mail-Routing, nicht den Speicherort.

AVV-/DPA-Status: Der Resend-DPA nach Art. 28 DSGVO gilt nach Angaben von Resend für jedes Konto automatisch und kann im Resend-Dashboard heruntergeladen werden.

STRATO (Domain und Kontaktpostfach)

Rolle: Kein Unterauftragsverarbeiter der SaaS-Anwendung: In JAHA Business gespeicherte Auftragsdaten werden dort nicht verarbeitet. STRATO betreibt ausschließlich die Domain und das Postfach der Kontaktadresse und verarbeitet dadurch nur die Inhalte eingehender bzw. ausgehender Nachrichten an den Anbieter.

Zweck: Betrieb der Domain jahabusiness.de und des Postfachs der Kontaktadresse kontakt@jahabusiness.de.

Ort der Verarbeitung: Nach Angaben von STRATO betreibt STRATO eigene Rechenzentren in Berlin und Karlsruhe und die Datenverarbeitung findet dort ausschließlich in Deutschland statt.

AVV-/DPA-Status: Ein eigener AVV nach Art. 28 DSGVO ist bei STRATO verfügbar; nach Angaben von STRATO ist er für Verträge ab dem 18.07.2022 automatisch einbezogen, ältere Verträge können ihn im Kundenlogin abschließen.

Weitere Dienste werden derzeit nicht eingesetzt. Änderungen an dieser Liste werden hier veröffentlicht.

Weitere rechtliche Informationen: Datenschutz, AGB und Anbieterinformationen.