Auftragsverarbeitungsvertrag (AVV)

Verantwortlicher ist die Firma, die sich bei Heft anmeldet („du“). Auftragsverarbeiter ist Josef Moucachen, handelnd als Synthropy, Piraeusplein 75, 1019 NM Amsterdam, Niederlande, KvK 94099660 („Heft“, „wir“). Für alles, was diesen Vertrag betrifft, schreib an Heft unter support@namequick.app.

Dieser Vertrag gilt nur für die personenbezogenen Daten, die Heft für dich verarbeitet: die Zahlungen, Belege und Bücher deiner Firma und was du Heft dazu sagst. Für Daten, die Heft als eigener Verantwortlicher verarbeitet, etwa deine Anmeldung und die Abrechnung, gilt die Datenschutzerklärung.

Heft verarbeitet personenbezogene Daten, um den Dienst aus den AGB zu erbringen: die Belege und Bankumsätze deiner Firma sammeln, lesen und zuordnen, deine Bücher führen und deine Zahlen für die Umsatzsteuer vorbereiten. Anlage 1 nennt die Arten von Daten und die Personen, die sie betreffen. Dieser Vertrag läuft, solange Heft personenbezogene Daten für dich verarbeitet. Das gilt auch, wenn der Vertrag nach den AGB schon geendet hat, Heft deine Unterlagen aber noch für dich aufbewahrt (Abschnitt 10).

Heft verarbeitet die Daten nur auf deine dokumentierte Weisung, außer das Recht der EU oder eines Mitgliedstaats verlangt etwas anderes. Dann sagt Heft dir das vorher, es sei denn, dieses Recht verbietet es. Deine Weisungen sind dieser Vertrag, die AGB und das, was die Mitglieder deiner Firma in Heft tun: die Quellen, die sie verbinden, die Schritte, die sie freigeben, und die Einstellungen, die sie wählen. Hält Heft eine Weisung für einen Verstoß gegen das Datenschutzrecht, sagt Heft dir das und kann warten, bis du sie bestätigst oder änderst.

Du bist dafür verantwortlich, dass die Verarbeitung, um die du bittest, rechtmäßig ist. Du bist auch dafür verantwortlich, die Menschen zu informieren, deren Daten in deinen Unterlagen stehen, etwa deine Lieferanten, Kunden und Mitarbeitenden.

Alle bei Heft, die auf die Daten zugreifen können, sind zur Vertraulichkeit verpflichtet. Der Support von Heft kann die Daten deiner Firma nur sehen, wenn einer deiner Geschäftsführer diesen Zugang in Heft gibt: nur lesend, höchstens 30 Tage lang, und jeder Geschäftsführer kann ihn jederzeit beenden. Schickt ein Mitglied deiner Firma Heft eine Frage, um einen Steuerberater zu finden, sieht ein Mensch bei Heft die Zahlungen und Belege, die diese Frage nennt, über einen Link, der höchstens 30 Tage lang funktioniert.

Heft trifft die technischen und organisatorischen Maßnahmen aus Anlage 2, um die Daten zu schützen (Art. 32 DSGVO). Heft kann sie an die technische Entwicklung anpassen, solange das Schutzniveau nicht sinkt.

Du erlaubst Heft, die Unterauftragsverarbeiter aus Anlage 3 einzusetzen. Bevor Heft einen hinzunimmt oder ersetzt, sagt Heft es den Geschäftsführern deiner Firma mindestens 30 Tage vorher per E-Mail. Du kannst innerhalb dieser Frist in Textform (E-Mail genügt) widersprechen, aus einem Grund, der den Datenschutz betrifft. Können wir den Widerspruch nicht gemeinsam lösen, kannst du den Vertrag nach den AGB zu dem Tag kündigen, an dem der neue Unterauftragsverarbeiter beginnt. Was du für die Zeit nach diesem Tag bezahlt hast, wird dir dann über Polar erstattet.

Heft verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO) und bleibt dir gegenüber für dessen Arbeit verantwortlich. Ausgenommen ist vorerst Browserbase: Es arbeitet nach seinen eigenen Nutzungsbedingungen, ohne einen solchen Vertrag (Anlage 3).

Heft übermittelt personenbezogene Daten in ein Land außerhalb des Europäischen Wirtschaftsraums nur mit einer Garantie nach Kapitel V DSGVO: einem Angemessenheitsbeschluss, etwa dem EU-US Data Privacy Framework für ein zertifiziertes Unternehmen, oder den EU-Standardvertragsklauseln. Anlage 3 sagt, was für welchen Unterauftragsverarbeiter gilt. Für Browserbase gibt es noch keine, wie Anlage 3 sagt.

Heft unterstützt dich, soweit es mit den Informationen, die es hat, möglich ist:

• bei Anfragen von betroffenen Personen, die ihre Rechte nach der DSGVO ausüben (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Die meisten kannst du selbst in Heft beantworten, etwa mit dem Export. Erreicht eine Anfrage Heft direkt, gibt Heft sie an dich weiter und beantwortet sie nicht allein;
• bei der Sicherheit, bei Meldungen von Datenpannen, bei Datenschutz-Folgenabschätzungen und bei der vorherigen Konsultation (Art. 32 bis 36 DSGVO).

Für Unterstützung, die über das hinausgeht, was der Dienst ohnehin bietet, kann Heft seine Kosten verlangen, wenn es dir die Kosten vorher nennt.

Erfährt Heft von einer Verletzung des Schutzes personenbezogener Daten, die es für dich verarbeitet, sagt Heft es den Geschäftsführern deiner Firma unverzüglich, spätestens innerhalb von 48 Stunden. Die Meldung sagt, was Heft bis dahin weiß: was passiert ist, welche Daten und ungefähr wie viele Menschen betroffen sind, welche Folgen wahrscheinlich sind und was Heft getan hat oder vorschlägt. Was Heft später erfährt, reicht es nach. So kannst du deine eigene Pflicht erfüllen, innerhalb von 72 Stunden zu melden (Art. 33 DSGVO).

Solange du Heft nutzt, kannst du die Unterlagen deiner Firma jederzeit exportieren. Wenn der Vertrag nach den AGB endet, beendet Heft sofort alle Verbindungen und löscht ihre Zugangsschlüssel.

Für deine Belege und Bücher gelten gesetzliche Aufbewahrungsfristen (siehe Anlage 1). Wenn du Heft nichts anderes sagst, weist du Heft an, sie für dich lesbar und exportierbar aufzubewahren, bis diese Fristen enden, und sie dann zu löschen. Eine Aufbewahrungsregel hält Originaldateien 9 Jahre ab dem Tag ihres Eingangs, und solange sie gilt, können die Dienste von Heft sie nicht löschen (Anlage 2). Heft löscht sie deshalb erst danach. Willst du alles früher übergeben bekommen und gelöscht haben, sag es Heft: Heft gibt dir einen vollständigen Export und löscht, was Heft nicht selbst nach dem Gesetz aufbewahren muss. Ausgenommen sind die Originaldateien: Die Aufbewahrungsregel hält sie, bis ihre 9 Jahre vorbei sind.

Heft gibt dir die Informationen, die du brauchst, um nachzuweisen, dass dieser Vertrag eingehalten wird. Du kannst das überprüfen, selbst oder durch einen unabhängigen Prüfer, der zur Vertraulichkeit verpflichtet ist: einmal im Jahr, oder öfter nach einer Datenpanne oder auf Verlangen einer Aufsichtsbehörde. Sag Heft mindestens 30 Tage vorher Bescheid. Eine Überprüfung stützt sich zuerst auf Unterlagen und Berichte, die Heft bereitstellt. Eine Kontrolle vor Ort folgt nur, wenn diese nicht ausreichen. Jede Seite trägt ihre eigenen Kosten.

Die Haftung nach diesem Vertrag richtet sich nach den AGB, außer Art. 82 DSGVO bestimmt etwas anderes. Widersprechen sich dieser Vertrag und die AGB beim Datenschutz, geht dieser Vertrag vor. Für diesen Vertrag gilt dasselbe Recht wie für die AGB: niederländisches Recht, mit dem zuständigen Gericht in Amsterdam.

Das sind die Maßnahmen, die Heft nach Art. 32 DSGVO trifft, geordnet danach, was sie schützen.

Wo die Daten liegen

• Alle Server, die Datenbank, Dateien, Backups, Schlüssel und Protokolle liegen in einem Google-Cloud-Projekt in Frankfurt (europe-west3). Backups laufen täglich, mit Wiederherstellung auf jeden Zeitpunkt der letzten 7 Tage, und bleiben in Frankfurt.
• Die Datenbank hat nur eine private Netzwerkadresse. Dienste erreichen sie über das private Netz von Google, und jede Verbindung ist verschlüsselt.
• Google Cloud verschlüsselt die gespeicherten Daten. Bei der Übertragung sind sie mit TLS verschlüsselt.
• Die Server von Heft prüfen jede ausgehende Verbindung gegen eine feste Liste von Anbietern, dazu die eigenen öffentlichen Websites von Lieferanten (für ihr Logo und für Anmeldungen, die du startest), und lehnen jede andere ab, bevor sie aufgebaut wird.

Unterlagen, die sich nicht ändern lassen

• Originaldateien werden so gespeichert, dass die Dienste von Heft sie weder ändern noch löschen können: Die API kann Dateien hinzufügen und lesen, der Worker sie nur lesen. Eine Aufbewahrungsregel in Google Cloud hält jede Datei 9 Jahre ab dem Tag ihres Eingangs. Nur der Inhaber von Heft kann diese Regel ändern, und Google Cloud protokolliert jede Änderung daran.
• Die Bücher sind ein Protokoll, an das nur angefügt wird. Eine Korrektur ist ein neuer Eintrag, der sagt, wer sie wann und warum gemacht hat. Nichts wird überschrieben.
• Jeder Schritt, den eine Person freigibt, wird mit genau dem Text gespeichert, der ihr gezeigt wurde, und mit einer Prüfsumme dieses Textes.

Geheimnisse und Zugangsschlüssel

• Zugangsschlüssel für verbundene Quellen werden mit AES-256-GCM verschlüsselt, jeder unter einem eigenen Datenschlüssel. Diese Datenschlüssel sind wiederum mit einem Hauptschlüssel verschlüsselt, der in Google Secret Manager in Frankfurt liegt. Nur der Code des Hintergrunddienstes (Worker) öffnet einen Schlüssel, um Daten zu lesen. Bis der Hauptschlüssel zu Google Cloud KMS umzieht, hat ihn auch der API-Dienst.
• Anmeldecodes, Sitzungstoken und Einladungslinks werden nur als kryptografische Hashes gespeichert.
• Zugangsschlüssel erscheinen nie in Protokollen, in Aufrufen von Modellen oder in Antworten der Schnittstellen von Heft. Ein Zugangsschlüssel, der in den Chat getippt wird, wird abgelehnt, bevor er gespeichert oder irgendwohin geschickt wird.

Wer worauf zugreifen kann

• Jeder Dienst von Heft läuft mit einem eigenen Konto und nur mit den Rechten, die er braucht: Die API kann Originaldateien hinzufügen, aber nicht löschen. Der Worker kann sie nur lesen. Nur der Einrichtungsjob hat das Passwort des Datenbank-Eigentümers.
• Innerhalb einer Firma entscheiden Rollen, wer was sehen und freigeben darf. Geschäftsführer erfahren es, wenn ein Mitglied, ein Zugang oder ein Login hinzukommt.
• Der Support von Heft sieht die Daten einer Firma nur, wenn ein Geschäftsführer es erlaubt, nur lesend und höchstens 30 Tage lang, oder die Zahlungen und Belege, die eine Frage nennt, die ein Mitglied Heft für einen Steuerberater schickt, höchstens 30 Tage lang.
• Man meldet sich mit einem Einmalcode per E-Mail an. Mit der Erlaubnis, die bei der Anmeldung gegeben wird, erfasst Heft Belege und ordnet sie Zahlungen selbst zu, wenn es sich sicher ist. Alles, bei dem es sich nicht sicher ist, das Festschreiben eines Monats und Änderungen an den Angaben der Firma warten auf einen Menschen: auf einen Tipp, ein getipptes Ja oder eine feste Regel, die diese Person für einen Lieferanten festgelegt hat und beenden kann. Jede Änderung sagt, wer oder was sie gemacht hat, und lässt sich rückgängig machen, bis der Monat festgeschrieben ist.

KI-Modelle

• Jeder Aufruf eines Modells bekommt nur, was sein Schritt braucht. Im Text einer Chat-Anfrage werden die eigenen E-Mail-Adressen der Firma durch ihre Domain ersetzt; Dateien und Fotos gehen so, wie sie sind.
• Die Anbieter der Modelle sind vertraglich verpflichtet, nicht mit den Daten zu trainieren.

Überwachen und Wiederherstellen

• Technische Protokolle werden 30 Tage in Frankfurt aufbewahrt. Aus Fehlerberichten werden E-Mail-Adressen, IBANs und Zugangsschlüssel vorher entfernt.
• Verfügbarkeitsprüfungen und Alarme melden Heft, wenn der Dienst ausfällt. Frühere Versionen lassen sich aus der Image-Registry erneut bereitstellen.
• Jede Änderung am Code von Heft wird geprüft und getestet, bevor sie in Betrieb geht.

Heft setzt diese Unterauftragsverarbeiter für die Daten deiner Firma ein. Version: 2026-11-09, gültig ab 9. November 2026.

Keine Unterauftragsverarbeiter sind: die Dienste, die deine Firma selbst verbindet (ihre Bank, finAPI oder Stripe Financial Connections, wenn sie ihre Bank darüber verbindet, Google für Gmail, Websites von Lieferanten), die Heft in ihrem Auftrag und nach deren eigenen Bedingungen erreicht; der Dienst Nominatim von OpenStreetMap, der nur den Namen eines Händlers, einen Ort und ein Land bekommt; und Websites von Lieferanten, die nur ihre eigene Domain bekommen, wenn Heft ihr Logo abruft.