Vertrag zur Auftragsverarbeitung

gemäß Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher, „Auftraggeber") und Falax-Bau, Inhaber Majd Y. M. Almassri, Zweibrücker Str. 54, 13583 Berlin (Auftragsverarbeiter, „Auftragnehmer").

Dieser Vertrag ist Bestandteil der Vereinbarung über die Nutzung von Falax (siehe AGB § 10) und gilt mit deren Abschluss — auch für den kostenlosen Test und für kostenlose Freizugänge. Er ist in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO).

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer betreibt für den Auftraggeber die Software Falax als Online-Dienst. Dabei verarbeitet er personenbezogene Daten, die der Auftraggeber in Falax speichert.

(2) Der Vertrag gilt für die Dauer der Nutzung und endet mit der Löschung der Daten nach § 9. Pflichten, die ihrer Natur nach fortwirken (z. B. Vertraulichkeit), bleiben bestehen.

§ 2 Art, Zweck und Umfang

Art der Verarbeitung: Speichern, Bereitstellen, Übermitteln (z. B. E-Mail-Versand, Zugänge für Dritte auf Weisung), Sichern und Löschen im Rahmen des Betriebs der Software; ab Tarif Pro außerdem die Bearbeitung von Texten durch die eingebaute KI auf dem Server des Auftragnehmers. Keine eigene inhaltliche Auswertung durch den Auftragnehmer.

Zweck: Bereitstellung der Firmenverwaltung für den Geschäftsbetrieb des Auftraggebers.

Arten von Daten: Kontakt- und Stammdaten, Vertrags-, Angebots- und Rechnungsdaten, Belege und Kontoumsätze, Kassenbuch, Kommunikationsdaten (E-Mails, Chat), Arbeitszeit-, Lohn- und Personaldaten (auch Stempelzeiten mit Baustelle), Termine und Einsatzplanung, Aufmaße und Arbeitsberichte, Dokumente, Fotos, Unterschriften von Kunden (als Bild mit Prüfsumme), Zugangs- und Nutzungsprotokolle (u. a. IP-Adressen bei Anmeldung, Löschung und Kündigung). Standortdaten (GPS) werden nicht erhoben. Besondere Kategorien nach Art. 9 DSGVO verarbeitet der Auftragnehmer nur, soweit der Auftraggeber sie speichert (z. B. Krankheitstage oder Religionszugehörigkeit für die Lohnabrechnung).

Betroffene: Kunden, Interessenten und Lieferanten des Auftraggebers, dessen Beschäftigte sowie weitere Personen, deren Daten der Auftraggeber speichert.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag und der Nutzung der Software durch den Auftraggeber; einzelne Weisungen erteilt der Auftraggeber in Textform.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.

(3) Richtet der Auftraggeber in der Software Zugänge für Dritte ein — insbesondere den Steuerberater-Zugang (Lesezugriff auf Belege, Kassenbuch und Buchungsexporte) oder das Kundenportal (Kunden sehen ihre eigenen Angebote und Rechnungen) —, gilt dies als Weisung, diesen Personen die jeweiligen Daten bereitzustellen. Die Auswahl der Personen und die Rechtsgrundlage der Weitergabe verantwortet der Auftraggeber; er kann die Zugänge jederzeit sperren.

(4) Hinterlegt der Auftraggeber einen Online-Bezahllink (z. B. eines Zahlungsdienstes), wird nur dieser Link in Rechnungen und E-Mails eingefügt. Der Auftragnehmer übermittelt dabei keine Daten an den Zahlungsdienst; ruft der Kunde des Auftraggebers den Link auf, gelten die Bedingungen dieses Dienstes im Verhältnis zum Auftraggeber.

(5) Verbindet der Auftraggeber den Claude-Konnektor (MCP) mit seinem eigenen Claude-Konto oder hinterlegt er einen eigenen Schlüssel eines KI-Anbieters, gilt dies als Weisung, diesem Dienst die jeweils angefragten Daten bereitzustellen bzw. zu übermitteln. Beim Konnektor ruft der Dienst die Daten mit den Rechten des Zugangs ab, mit dem die Verbindung bestätigt wurde. Die Anbieter (z. B. Anthropic, auch mit Verarbeitung in den USA) sind Vertragspartner des Auftraggebers, nicht Unterauftragsverarbeiter des Auftragnehmers (§ 6 Abs. 3); die Zulässigkeit der Übermittlung, einschließlich einer Übermittlung in Drittländer, verantwortet der Auftraggeber.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Er greift auf Daten des Auftraggebers nur zu, soweit es für Betrieb, Störungsbehebung oder Unterstützung erforderlich ist.

§ 5 Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens vier Wochen vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Lösung zustande, kann er den Vertrag zum Zeitpunkt der Änderung kündigen.

(3) Dienste, die der Auftraggeber selbst mit eigenen Zugangsdaten in Falax einrichtet (z. B. KI-Anbieter, Claude-Konnektor, eigene E-Mail-Postfächer, Google Drive, soziale Netzwerke, Online-Banking), sind keine Unterauftragsverarbeiter des Auftragnehmers; das Vertragsverhältnis besteht dann unmittelbar zwischen dem Auftraggeber und diesem Dienst.

§ 7 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen und bei der Erfüllung der Pflichten aus Art. 32–36 DSGVO, soweit ihm das möglich ist. Viele Rechte (Auskunft, Berichtigung, Löschung, Export) kann der Auftraggeber in Falax selbst umsetzen.

§ 8 Meldung von Verletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, in Textform an die hinterlegte E-Mail-Adresse, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt; fehlende Angaben reicht er nach. Er ergreift unverzüglich Maßnahmen, um die Verletzung zu beheben und Folgen zu mindern. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung Betroffener obliegen dem Auftraggeber; der Auftragnehmer unterstützt ihn dabei.

§ 9 Löschung und Rückgabe

(1) Nach Ende der Nutzung kann der Auftraggeber seine Daten 30 Tage lang exportieren (Rückgabe); auf Anfrage stellt der Auftragnehmer einen vollständigen Export bereit. Danach löscht der Auftragnehmer die Instanz mit allen Daten, soweit nicht eine gesetzliche Pflicht zur Speicherung besteht. Nach Testende ohne Buchung gilt AGB § 3, nach Ende eines Freizugangs AGB § 5 Abs. 5.

(2) Sicherungskopien werden nicht einzeln bereinigt, sondern laufen mit ihrem Zyklus aus: Tagessicherungen nach 14 Tagen, Wochensicherungen nach 8 Wochen, Monatssicherungen nach 12 Monaten. Bis dahin sind sie gegen Zugriff geschützt und werden nur zur Wiederherstellung auf Weisung des Auftraggebers oder zur Abwehr von Ansprüchen verwendet.

(3) Der Lösch-Nachweis (Anlage 1) enthält keine Inhalte, sondern nur Zeitpunkt, handelnde Person, IP-Adresse und Umfang; er wird bis zum Ablauf der regelmäßigen Verjährungsfrist aufbewahrt.

§ 10 Nachweise und Kontrollen

Der Auftragnehmer stellt die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung (u. a. diese Anlagen und die Nachweise der Unterauftragsverarbeiter, z. B. ISO-27001-Zertifikate). Kontrollen vor Ort sind nach rechtzeitiger Anmeldung zu üblichen Geschäftszeiten möglich, soweit sie den Betrieb für andere Kunden nicht beeinträchtigen.

§ 11 Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in Deutschland statt: auf dem Server des Auftragnehmers bei Hetzner (Rechenzentrum in Deutschland) und — für eine verschlüsselte Sicherungskopie — auf eigener Hardware des Auftragnehmers in seinen Geschäftsräumen in Berlin (sobald eingerichtet). Eine Verlagerung in ein Land außerhalb der EU bzw. des EWR erfolgt nur mit vorheriger Zustimmung des Auftraggebers in Textform. Übermittlungen, die der Auftraggeber selbst veranlasst (§ 3 Abs. 5, § 6 Abs. 3), bleiben unberührt.

§ 12 Schlussbestimmungen

Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach den AGB. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.

Anlage 1 — Technische und organisatorische Maßnahmen

• Zutritt: Server im Rechenzentrum der Hetzner Online GmbH in Deutschland (ISO/IEC 27001 zertifiziert), mit Zutrittskontrolle, Videoüberwachung und Wachdienst. Die verschlüsselte Sicherungskopie auf eigener Hardware des Auftragnehmers steht in verschlossenen Geschäftsräumen; ohne Schlüssel ist sie nicht lesbar.
• Zugang: Server-Anmeldung nur mit SSH-Schlüssel; Firewall lässt nur Web (HTTPS) und SSH zu; automatische Sperre bei wiederholten Fehlversuchen; automatische Sicherheitsupdates.
• Zugriff: Rollen und Rechte je Benutzer in Falax; Passwörter nur als Hash (scrypt); optionale Zwei-Faktor-Anmeldung für den Inhaber; Bremse gegen Passwort-Raten; Sitzungen verfallen.
• Trennung: Jeder Kunde hat eine eigene Instanz (eigener Container, eigener Datenbereich, eigener Schlüssel). Kunden können nicht auf Daten anderer Kunden zugreifen.
• Weitergabe: Übertragung ausschließlich verschlüsselt (HTTPS/TLS, HSTS); hinterlegte Zugangsdaten (z. B. Postfach-Passwörter, Schlüssel) verschlüsselt gespeichert.
• Zugänge für Dritte: Steuerberater-Zugang und Kundenportal mit eigenen, von der Firmenverwaltung getrennten Sitzungen; nur Lesezugriff auf die freigegebenen Daten; Passwörter setzt die Person selbst über einen befristeten Einmal-Link; Bremse gegen Passwort-Raten; jeder Abruf des Steuerberaters wird protokolliert.
• Eingabekontrolle: Protokoll wesentlicher Änderungen (wer, was, wann) in Falax; Kassenbuchungen werden nicht gelöscht, sondern storniert; digitale Unterschriften werden als Datei mit SHA-256-Prüfsumme abgelegt und der unterschriebene Inhalt (Arbeitsbericht, Lieferschein) danach gesperrt.
• Verfügbarkeit: gespiegelte Datenträger (RAID 1); tägliche Sicherung aller Instanzen auf dem Server (14 Tage, dazu Wochensicherungen 8 Wochen und Monatssicherungen 12 Monate); eine Kopie außerhalb des Servers (Hetzner Storage Box, Deutschland) ist in Vorbereitung; eine zusätzliche verschlüsselte Kopie auf eigener Hardware des Auftragnehmers in Berlin ist in Vorbereitung; Sicherheitskopie vor großen Löschungen (30 Tage); Überwachung der Dienste.
• Lösch-Nachweis: Löschungen und Kündigungen werden mit Zeitpunkt, handelnder Person, IP-Adresse und Umfang in einer verketteten, nachträglich nicht unbemerkt änderbaren Liste festgehalten; der Auftraggeber kann sie in der Software einsehen.
• Eingebaute KI (ab Tarif Pro): Texte, die der Kunde verbessern lässt (E-Mail-Entwürfe, Angebots- und Rechnungspositionen), werden von einem KI-Modell auf demselben Server verarbeitet, auf dem auch die Instanz läuft. Es werden keine Daten an externe KI-Anbieter übermittelt; das Modell (offenes Modell Qwen 2.5 über llama.cpp) speichert nichts und lernt nicht aus den Daten. Der Schalter „Nur eingebaute KI" sperrt zusätzlich jede Verbindung der Instanz zu externen KI-Diensten.
• Offline-Nutzung auf Geräten: Damit die App im Funkloch startet, legt der Browser des Geräts die App-Dateien und den zuletzt geladenen Stand weniger Übersichten (Einsatzplan, Termine, Kunden, Baustellen, Aufgaben, Aufmaße, Berichte) ab. Belege, PDFs, Dateien, Postfach und Buchhaltung werden nie abgelegt. Beim Abmelden und bei der Anmeldung einer anderen Person am selben Gerät werden diese Daten gelöscht. Offline ist nur Lesen möglich.
• Abrufe aus dem Browser: Die App lädt keine fremden Skripte, Schriften oder Analysedienste. Nur auf Handlung der Nutzer lädt der Browser Inhalte Dritter: die Karte in der Kundenakte (Google Maps, erst nach Aufklappen von „Karte, Navigation & Adresse teilen"; dabei erhält Google die Adresse und die IP-Adresse des Geräts) und Produktbilder der Türenauswahl im Kalkulator (Bildserver des Händlers). Die Wetteranzeige fragt der Server ab (Open-Meteo, nur der Ort der Firma, keine personenbezogenen Daten).
• Speicher im Browser: ein Anmelde-Cookie (Sitzung) und Einstellungen der Oberfläche; keine Werbe- oder Analyse-Cookies.
• Datenminimierung beim Betrieb: keine Analyse- oder Werbedienste; Startpasswörter werden nicht gespeichert; Protokolle werden begrenzt aufbewahrt.
• Organisation: Zugriff auf Kundendaten nur zur Störungsbehebung oder auf Anfrage des Kunden; regelmäßige Prüfung der Maßnahmen.

Anlage 2 — Unterauftragsverarbeiter

Keine Unterauftragsverarbeiter sind: die eigene Hardware des Auftragnehmers für die verschlüsselte Sicherungskopie (§ 11), der Zahlungsdienstleister des Auftragnehmers (Stripe — verarbeitet nur Vertragsdaten des Auftraggebers selbst, keine Daten aus Falax) sowie Dienste, die der Auftraggeber selbst einrichtet (§ 3 Abs. 5, § 6 Abs. 3).

Stand: 20. Oktober 2026