Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO zwischen dem Kunden („Verantwortlicher") und Solaiman Tanjaoui, Gabelsbergstraße 5, 55118 Mainz, Betreiber von EarnTrack („Auftragsverarbeiter"). Diese AVV wird durch die Registrierung und Nutzung der App wirksam Bestandteil des Nutzungsvertrags.

1. Gegenstand und Dauer

Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten, die der Verantwortliche (Kunde) im Rahmen der Nutzung von EarnTrack selbst einträgt — insbesondere Daten seiner Mitarbeiter und seiner eigenen Kunden (z. B. Namen, Kontaktdaten, Stundensätze, Einsatz- und Rechnungsdaten). Die Vereinbarung gilt für die Dauer des zugrunde liegenden Nutzungsvertrags (siehe AGB).

2. Art und Zweck der Verarbeitung

Speicherung, Anzeige, Änderung und Löschung der vom Verantwortlichen eingegebenen Daten zum Zweck der Bereitstellung der Funktionen von EarnTrack (Mitarbeiterverwaltung, Zeiterfassung, Einsatzplanung, Rechnungs- und Kostenvoranschlagserstellung, Profit-Tracking).

3. Art der Daten und Kreis der Betroffenen

Art der Daten: Namen, Kontaktdaten (E-Mail, Telefon), Adressen, Stundensätze und Arbeitszeiten, Projekt-/Einsatzdaten, Rechnungs- und Umsatzdaten, ggf. Fotos (Projektdokumentation).

Betroffene: Mitarbeiter des Verantwortlichen sowie dessen Kunden/Auftraggeber, soweit deren Daten in der App erfasst werden.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO);
die zur Verarbeitung befugten Personen auf Vertraulichkeit zu verpflichten (lit. b);
angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu treffen (siehe Ziffer 6, lit. c);
Unterauftragsverarbeiter nur nach den Bedingungen dieser Vereinbarung einzusetzen (lit. d, siehe Ziffer 5);
den Verantwortlichen bei der Erfüllung von Betroffenenanfragen (Art. 15–22 DSGVO) angemessen zu unterstützen (lit. e);
den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO zu unterstützen (lit. f);
nach Beendigung der Nutzung alle Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (lit. g, siehe AGB Ziffer 7);
dem Verantwortlichen alle zum Nachweis der Einhaltung dieser Pflichten erforderlichen Informationen zur Verfügung zu stellen (lit. h).

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt hiermit die generelle Genehmigung zum Einsatz folgender Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Über Änderungen wird der Verantwortliche informiert und kann der Einbeziehung neuer Unterauftragsverarbeiter widersprechen.

Google Ireland Limited (Firebase/Google Cloud) — Hosting, Datenbank, Authentifizierung, Datei-Speicherung, EU-Region, DPF-zertifiziert + EU-Standardvertragsklauseln.
Stripe Payments Europe, Ltd. — Zahlungsabwicklung.
Functional Software, Inc. (Sentry) — Fehler- und Absturzerfassung, EU-Standardvertragsklauseln.
EmailJS Corp. — Versand von Benachrichtigungs-E-Mails.
Vercel Inc. — Hosting der Webanwendung.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Verschlüsselte Übertragung (TLS) für sämtliche Datenverbindungen;
Zugriffskontrolle auf Datenbankebene je Mandant (mandantengetrennte Firestore-Regeln — jeder Kunde sieht ausschließlich seine eigenen Daten);
Passwort-Hashing durch den Authentifizierungsanbieter, keine Klartext-Speicherung von Zugangsdaten;
Rate-Limiting auf sicherheitsrelevanten Endpunkten gegen automatisierte Angriffe;
Rollenbasierte Berechtigungen (Owner/Mitarbeiter) innerhalb der App;
Serverseitige Autorisierungsprüfung bei sensiblen Aktionen (z. B. Push-Benachrichtigungen, Admin-Funktionen).

7. Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, sich in angemessenem Umfang von der Einhaltung der in dieser Vereinbarung getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Anfragen hierzu richten sich an info@earntrack.de.

Stand: Juli 2026 | Hinweis: Diese AVV wurde nach bestem Wissen anhand der Pflichten aus Art. 28 DSGVO erstellt, ersetzt aber keine anwaltliche Prüfung im Einzelfall.