Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO zwischen dem Kunden („Verantwortlicher“) und der Hephatron UG (haftungsbeschränkt), Regensburger Straße 336, 90480 Nürnberg („Auftragsverarbeiter“).

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der Software „Meistron“ gemäß den Allgemeinen Geschäftsbedingungen (Hauptvertrag). Er wird mit Vertragsschluss bzw. mit der elektronischen Bestätigung im Kundenkonto einbezogen (Textform, Art. 28 Abs. 9 DSGVO). Bei Widerspruch zwischen diesem Vertrag und dem Hauptvertrag gehen für Fragen der Auftragsverarbeitung die Regelungen dieses Vertrags vor.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SaaS „Meistron“ gemäß dem Hauptvertrag. Die Dauer entspricht der Laufzeit des Hauptvertrags; § 9 (Löschung und Rückgabe) gilt darüber hinaus fort.

2. Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

• Art und Zweck: Auftrags- und Einsatzplanung, Terminkalender, Zeiterfassung, Dokumentation (Fotos, Sprachnotizen, Unterschriften), Material-/Lagerverwaltung, Angebots- und Rechnungsstellung, Zahlungsabwicklung (online und vor Ort), Kundenkommunikation sowie damit verbundene Speicherung, Auswertung und Übermittlung.
• Datenarten: Stammdaten der Endkunden (Name, Anschrift, Kontaktdaten), Auftrags-, Termin- und Standortdaten, Foto-, Sprach- und Unterschriften-Dokumentation, Angebots-, Rechnungs- und Zahlungsdaten, Mitarbeiter-Stammdaten und Arbeitszeiten, Geräte-Tokens für Benachrichtigungen.
• Betroffene Personen: Endkunden des Verantwortlichen, deren Ansprechpartner sowie Mitarbeitende des Verantwortlichen.

Eine detaillierte Aufstellung enthält Anlage 1 (Beschreibung der Verarbeitung) am Ende dieses Dokuments.

3. Weisungsrecht des Verantwortlichen

Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen sowie im Rahmen dieses Vertrags. Die Konfiguration und Nutzung der Funktionen innerhalb der Software gilt als Weisung. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf deren Ausführung bis zur Bestätigung aussetzen.

4. Vertraulichkeit

Der Auftragsverarbeiter verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO) und stellt sicher, dass diese die personenbezogenen Daten nur auf Weisung verarbeiten.

5. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus. Die konkreten Maßnahmen sind in Anlage 2 (Technische und organisatorische Maßnahmen) beschrieben und Bestandteil dieses Vertrags. Sie werden nach dem Stand der Technik fortlaufend überprüft und fortentwickelt; der Auftragsverarbeiter darf sie aktualisieren, sofern das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung zum Einsatz der in Anlage 3 (Unterauftragsverarbeiter) genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO). Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf gleichwertige Datenschutzpflichten (Art. 28 Abs. 4 DSGVO). Beabsichtigte Änderungen (Hinzuziehung oder Austausch) werden mit angemessener Frist (mindestens 30 Tage) in Textform angekündigt; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und hat in diesem Fall ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung.

7. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO) — insbesondere durch integrierte Auskunfts-, Export- und Löschfunktionen — sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation). Anfragen betroffener Personen, die beim Auftragsverarbeiter eingehen, leitet dieser unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die dessen Daten betrifft (Art. 33 Abs. 2 DSGVO), und stellt die zur Erfüllung der Melde- und Benachrichtigungspflichten erforderlichen Informationen bereit.

9. Löschung und Rückgabe

Nach Beendigung des Vertrags stellt der Auftragsverarbeiter dem Verantwortlichen eine Export-Möglichkeit der verarbeiteten Daten bereit und löscht die Daten anschließend nach Wahl des Verantwortlichen binnen 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Gesetzliche Aufbewahrungspflichten (insbesondere für Rechnungs- und Buchungsdaten, 10 Jahre gemäß § 147 AO, § 14b UStG) bleiben unberührt; insoweit tritt an die Stelle der Löschung eine Einschränkung der Verarbeitung.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), vorrangig durch Bereitstellung dieser Anlagen sowie vorhandener Nachweise und Zertifikate der eingesetzten Unterauftragsverarbeiter (z. B. ISO 27001, SOC 2, PCI-DSS). Dem Verantwortlichen stehen Kontrollrechte nach angemessener Vorankündigung und während der üblichen Geschäftszeiten zu, soweit der Betrieb und die Geheimhaltungsinteressen Dritter dadurch nicht beeinträchtigt werden.

11. Haftung und Schlussbestimmungen

Es gelten die Haftungsregelungen des Hauptvertrags; Art. 82 DSGVO bleibt unberührt. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Beschreibung der Verarbeitung

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand der Technik; werden fortlaufend überprüft (u. a. regelmäßige Sicherheits-Reviews und Penetrationstests).

2.1 Vertraulichkeit

• Zutrittskontrolle: Betrieb ausschließlich in zertifizierten Rechenzentren der Hosting-Dienstleister (Supabase, Produktionsregion Frankfurt am Main; Vercel) mit physischen Zutrittssicherungen und ISO-27001-/SOC-2-Nachweisen der Betreiber. Kein eigener Serverbetrieb.
• Zugangskontrolle: Authentifizierung über Supabase Auth (E-Mail/Passwort mit Hashing, Magic-Link, OAuth Google/Microsoft/Apple); Session-Verwaltung mit serverseitiger Validierung; Plattform-Administrationszugang zusätzlich abgesichert durch IP-/Device-Gate, Session-Hashing und Zwei-Faktor-Authentisierung (TOTP).
• Zugriffskontrolle: Rollenbasiertes Berechtigungssystem (Owner/Office/Worker) mit serverseitiger Durchsetzung; strikte Durchsetzung auf Datenbankebene durch PostgreSQL Row-Level-Security (RLS) — jeder Datenzugriff ist mandanten- und rollengebunden; sensible Felder (z. B. Einkaufspreise/Margen) sind auf Administratorrollen beschränkt.
• Trennungskontrolle (Mandantentrennung): Logische Trennung aller Mandantendaten über eine Mandantenkennung (tenant_id) in Verbindung mit RLS-Richtlinien auf allen relevanten Tabellen; mandantenübergreifender Zugriff ist technisch ausgeschlossen.
• Pseudonymisierung / Verschlüsselung: Transportverschlüsselung mit TLS 1.2+ und HSTS (preload); Verschlüsselung ruhender Daten beim Datenbank-/Storage-Dienstleister; gespeicherte E-Mail-OAuth-/SMTP-Zugangsdaten zusätzlich AES-256-GCM-verschlüsselt; Zahlungsdaten ausschließlich tokenisiert über Stripe (keine Speicherung von Kartennummern); Rate-Limiting auf Basis pseudonymisierter (gehashter) Kennungen.

2.2 Integrität

• Eingabe-/Änderungskontrolle: Unveränderliche, GoBD-konforme Audit-Protokolle für Rechnungs- und Finanzdaten (datenbankseitig durch Trigger geschützt); Protokollierung administrativer Aktionen im Plattform-Admin-Bereich; finalisierte Rechnungen sind gegen nachträgliche Änderung gesperrt.
• Weitergabekontrolle: Verschlüsselte Übertragung (TLS); signaturverifizierte Webhooks (Stripe); Härtung gegen Injection/SSRF/CSRF; restriktive Content-Security-Policy und CORS-Allowlist.

2.3 Verfügbarkeit und Belastbarkeit

• Verfügbarkeit: Betrieb auf redundanter, skalierender Cloud-Infrastruktur (Vercel Edge-Netz, Supabase); Schutz vor Überlastung/Missbrauch durch Rate-Limiting (Upstash) und Bot-/Missbrauchsschutz.
• Wiederherstellbarkeit: Automatische tägliche Datenbank-Backups und Point-in-Time-Recovery beim Datenbank-Dienstleister; getrennte Umgebungen für Entwicklung/Staging und Produktion.

2.4 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Überprüfung: Dokumentierte Security-Governance; regelmäßige Sicherheits-Reviews und Penetrationstests; Abhängigkeits-/Schwachstellen-Prüfungen; Verifikation sicherheitsrelevanter Datenbank-Migrationen.
• Auftragskontrolle: Auftragsverarbeitungsverträge bzw. EU-Standardvertragsklauseln mit allen Unterauftragsverarbeitern (Anlage 3); Verarbeitung ausschließlich auf dokumentierte Weisung.
• Datenschutzfreundliche Voreinstellungen (Art. 25): Optionale Datenflüsse (Push, Post, Karten-/Kalender-Integrationen, Chatbot) sind standardmäßig deaktiviert und erfordern aktive Aktivierung; mobile Apps ohne Werbe-/Tracking-SDKs. Der Kontoauszug-Abgleich ist optional; Buchungen ohne Rechnungsbezug werden nach 90 Tagen auf Datum und Betrag reduziert.
• Maschinenzugänge (KI-Zugang über MCP): Zugang nur über OAuth mit Zustimmung des Inhabers je Programm; Zugangsschlüssel verlieren nach einer Stunde ihre Gültigkeit und werden bei uns nur als SHA-256-Streuwert gespeichert. Neun getrennt schaltbare Rechtebereiche je Zugang (aus / lesen / schreiben), ab Werk nur Aufträge und Kunden auf „schreiben". Ein eigener Schalter für alles, was den Betrieb verlässt — ab Werk aus. Harte, atomar gezählte Tagesgrenzen je Wirkungsklasse. Bankverbindung, Steuernummern und Belegfußzeilen sind unabhängig von jeder Freigabe gesperrt. Kein Werkzeug löscht Datensätze. Jeder Aufruf wird protokolliert (Werkzeug, Zeitpunkt, Nutzerkonto, Ausgang, betroffener Datensatz) — ohne Inhalte. Der Widerruf wirkt sofort und wird bei jedem einzelnen Aufruf geprüft.
• Rechnungsversand ohne Einzelbestätigung: Voreingestellt aus. Die Freischaltung verlangt ein getipptes Codewort und einen Bestätigungscode an die hinterlegte E-Mail-Adresse des Inhabers und gilt nur für genau einen Zugang und genau die Programmkennung, mit der sie erteilt wurde. Zwei vom Inhaber selbst gesetzte Betragsgrenzen (je Rechnung, je UTC-Tag) werden atomar gezählt; 0,00 € sperrt vollständig. Empfänger, Absender, Betrag und Versandweg sind kryptographisch an den Vorgang gebunden — jede nachträgliche Änderung stoppt den Versand. Genau ein Provideraufruf je Vorgang. Vier voneinander unabhängige Not-Aus-Schalter (Plattform, Fähigkeiten, E-Mail-Kanal, Betrieb), jeder einzeln wirksam. Das versendete Dokument wird in einem für den Mandanten nicht zugänglichen Archiv zum Nachweis abgelegt; der Inhaber wird über jeden Vorgang in seinem Postausgang informiert.
• Postversand: Übergabe an den Versanddienstleister ausschließlich über transportverschlüsselte Schnittstellen; übermittelt wird nur das zum Versand erforderliche Dokument, eine inhaltliche Auswertung durch den Auftragsverarbeiter findet nicht statt. Der Brief wird zunächst als Entwurf angelegt und erst nach erfolgreicher Prüfung an das Postunternehmen übergeben; scheitert die Prüfung, wird der Entwurf beim Dienstleister wieder gelöscht. Der auslösende Nutzer muss die Versandbedingungen vor dem ersten Postversand bestätigen; die Bestätigung wird protokolliert. Ein je Mandant einstellbares Tageslimit (Voreinstellung 100 Briefe) begrenzt die Zahl der versendeten Briefe. Zu jedem Brief wird ein Versandnachweis mit Verweis auf die unveränderte Fassung des versendeten Belegs vorgehalten.
• Buchhaltungs-Schnittstellen: Zugangsschlüssel des Verantwortlichen verschlüsselt gespeichert (AES-256-GCM, Schlüssel aus einem getrennten Geheimnisspeicher). Übertragen werden nur finalisierte Belege — Entwürfe und Angebote sind ausgeschlossen. Der Beleg geht in seiner eingefrorenen Fassung über, damit Buchhaltung und Kundenbeleg identisch sind (GoBD).

Anlage 3 — Unterauftragsverarbeiter

Genehmigte Unterauftragsverarbeiter (Stand siehe unten). Drittland­übermittlungen erfolgen auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) bzw. eines Angemessenheitsbeschlusses. Die jeweils aktuelle Fassung ist auf dieser Seite einsehbar.

Anlage 3b — Vom Verantwortlichen selbst hinzugezogene Empfänger

Die folgenden Empfänger sind keine Unterauftragsverarbeiter der Hephatron UG. Der Verantwortliche richtet die Verbindung selbst ein, schließt den Vertrag mit dem jeweiligen Anbieter selbst und hinterlegt dessen Zugangsdaten selbst. Die Hephatron UG stellt lediglich die Schnittstelle bereit und hat auf die Verarbeitung beim Empfänger keinen Einfluss. Für diese Übermittlungen ist der Verantwortliche selbst Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; die Genehmigungspflicht nach § 6 dieses Vertrags greift hier nicht, weil keine Unterauftragsverarbeitung vorliegt.

Der DATEV-Export ist hier nicht aufgeführt: Die CSV-Datei wird lokal erzeugt und vom Verantwortlichen selbst an seinen Steuerberater versendet. Die DATEV erhält von der Hephatron UG keine Daten.

Eine ausführliche Beschreibung der übermittelten Daten je Dienstleister enthält die Datenschutzerklärung (Abschnitt 5).

Stand / Version: 17. September 2026 (2026-09-17)

Für einen individuell gegengezeichneten AVV wenden Sie sich an info@meistron.de. · Datenschutzerklärung · AGB