Auftragsverarbeitung
Vertragsentwurf nach Art. 28 DSGVO · Stand: 25. August 2026
1. Gegenstand und Dauer
Auftragnehmerin (frag.hugo Informationssicherheit GmbH) verarbeitet personenbezogene Daten im Auftrag der Auftraggeberin, um die Anwendung Yupana bereitzustellen: Erfassung und Auswertung von Kontobewegungen, Belegen, Verträgen, betriebswirtschaftlichen Auswertungen und — soweit angebunden — Microsoft-365-Lizenzdaten. Die Dauer entspricht der Laufzeit des Hauptvertrags.
2. Art der Daten und betroffene Personen
Datenarten: Zahlungsverkehrsdaten (Empfänger, Betrag,
Verwendungszweck, Kontokennung), Belegdaten, Vertragsdaten, Auswertungsdaten,
Nutzungsdaten von Softwarelizenzen, Kontaktdaten von Nutzenden.
Betroffene: Beschäftigte der Auftraggeberin, Ansprechpartner von
Lieferanten und Kunden, soweit sie in Zahlungen oder Belegen auftauchen.
2a. Ort der Verarbeitung
Die Verarbeitung findet in der Europäischen Union statt: Datenbank und zeitgesteuerte Läufe bei der Hetzner Online GmbH in Deutschland, Anwendungslaufzeit in der EU-Region von Cloudflare. Eine Übermittlung in ein Drittland erfolgt ausschließlich in den in der Datenschutzerklärung benannten Fällen, jeweils auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln 2021/914; eine Kopie der Klauseln stellt die Auftragnehmerin auf Anfrage bereit. Weisungen zur Verarbeitung in einem Drittland erteilt die Auftraggeberin gesondert.
3. Weisungsbindung
Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung. Hält die Auftragnehmerin eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit und darf die Ausführung aussetzen.
4. Technische und organisatorische Maßnahmen (Art. 32)
| Maßnahme | Umsetzung |
|---|---|
| Zutrittskontrolle | Rechenzentren der Auftragsverarbeiter mit Zutrittssicherung; kein eigener Serverraum im Verarbeitungspfad. |
| Zugangskontrolle | Zwei Anmeldewege, beide ohne Passwort: das Microsoft-365-Konto des Kunden (Entra ID, OIDC) oder ein Anmeldelink an die geschäftliche Adresse, gültig 15 Minuten. Yupana speichert keine Passwörter, weil es keine gibt. |
| Zugriffskontrolle | Rollen (Owner, Freigebende, Lesende) werden bei jeder schreibenden und lesenden Aktion geprüft; die Mitgliedschaft wird dabei frisch aus der Datenbank gelesen, nicht aus dem Sitzungstoken. Freigabeberechtigung ist gesondert und je Person mit einem Betragslimit versehbar. |
| Weitergabekontrolle | TLS auf allen Verbindungen; Dateien der Bridge zusätzlich Ende-zu-Ende verschlüsselt (libsodium). |
| Eingabekontrolle | Audit-Log über Freigaben, Änderungen und Zugriffe, getrennt von der Anzeigeschicht. |
| Verfügbarkeitskontrolle | Tägliche Sicherung der Datenbank mit dokumentierter Wiederherstellungsübung. |
| Trennungskontrolle | Jede Tabelle trägt die Organisationskennung. Die Trennung wird in der Anwendungsschicht erzwungen: Jede Abfrage läuft über einen Mandantenfilter, und ein automatisierter Test bricht den Auslieferungslauf ab, sobald eine Abfrage ihn umgeht. Testdaten laufen nie im Produktivmandanten. |
4a. Vertraulichkeit der beschäftigten Personen
Die Auftragnehmerin setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung gilt über das Ende der Tätigkeit hinaus. Zugriff erhält nur, wer ihn für seine Aufgabe braucht.
5. Unterauftragsverarbeiter
Die Auftraggeberin stimmt den in der Datenschutzerklärung genannten Unterauftragsverarbeitern zu. Wechsel oder Ergänzungen werden mindestens 30 Tage vorher mitgeteilt; die Auftraggeberin kann widersprechen.
Die Auftragnehmerin legt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die ihr aus diesem Vertrag obliegen, insbesondere hinreichende Garantien nach Art. 28 Abs. 4 DSGVO. Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet die Auftragnehmerin gegenüber der Auftraggeberin für dessen Einhaltung.
6. Unterstützung, Meldepflichten, Löschung
Die Auftragnehmerin unterstützt bei Betroffenenanfragen, Datenschutz-Folgenabschätzung und Meldepflichten. Eine Verletzung des Schutzes personenbezogener Daten wird unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, gemeldet. Nach Vertragsende werden die Daten nach Wahl der Auftraggeberin herausgegeben (CSV/JSON) und anschließend gelöscht, spätestens 90 Tage nach Vertragsende.
7. Nachweise
Die Auftragnehmerin weist die Einhaltung durch Auskunft und geeignete Nachweise nach. Vor-Ort-Prüfungen sind nach Ankündigung mit angemessener Frist möglich.
