Rechtliches

Auftragsverarbeitungsvertrag (AVV)

Fassung vom 01.11.2026 · 2DMS

zwischen

dem Kunden gemäß den Nutzungsbedingungen 2DMS – im Folgenden „Verantwortlicher" –

und

ZweiDee UG (haftungsbeschränkt), Uthofstraße 50, 33442 Herzebrock-Clarholz, vertreten durch den Geschäftsführer Oliver Dresch – im Folgenden „Auftragsverarbeiter".

§ 1 Gegenstand und Dauer

  1. Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software-as-a-Service-Lösung 2DMS nach den Nutzungsbedingungen 2DMS bzw. dem angenommenen Angebot (im Folgenden „Hauptvertrag"). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.
  2. Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet (insbesondere bis zur Löschung nach § 11).
  3. Dieser Vertrag kommt mit dem Hauptvertrag zustande; bei der Selbstregistrierung durch Zustimmung im Registrierungsformular in elektronischer Form (Art. 28 Abs. 9 DSGVO).

§ 2 Art, Zweck und Umfang der Verarbeitung

  1. Art der Verarbeitung: Erheben (durch Hochladen, E-Mail-Eingang oder Schnittstelle), Speichern, Ordnen, automatisierte Texterkennung, Auslesen, Abfragen, Verwenden, Übermitteln an vom Verantwortlichen bestimmte Empfänger auf dessen Veranlassung, Einschränken, Löschen.
  2. Zweck: Bereitstellung des Dienstes 2DMS zur Ablage, Bearbeitung, Freigabe und Aufbewahrung von Belegen, Verträgen und Personalunterlagen, zur Zeiterfassung und zur Erstellung von Geschäftsbelegen (Angebote, Aufträge, Rechnungen) des Verantwortlichen, einschließlich Betrieb, Sicherung, Wartung und Störungsbeseitigung.
  3. Kategorien betroffener Personen: - Beschäftigte, Bewerber und ehemalige Beschäftigte des Verantwortlichen und der Unternehmen, die er in 2DMS führt; - Nutzer des Dienstes beim Verantwortlichen; - Geschäftspartner (Kunden, Lieferanten, Vertragspartner) und deren Ansprechpartner; - sonstige Personen, die in vom Verantwortlichen eingestellten Dokumenten genannt sind.
  4. Arten personenbezogener Daten: - Stamm- und Kontaktdaten (Name, Anschrift, E-Mail, Telefon, Kundennummern); - Bank- und Zahlungsdaten (IBAN, BIC, Kontoinhaber, Beträge, Zahlungsziele); - Inhalte von Belegen, Verträgen, E-Mails und weiteren Dokumenten; - Beschäftigtendaten (Personalakte, Vertragsdaten, Abwesenheiten, Arbeitszeiten, Reisekosten und Spesen, Lohnunterlagen soweit eingestellt); - besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), soweit der Verantwortliche sie einstellt, insbesondere Gesundheitsdaten (Arbeitsunfähigkeit) und Angaben in Lohnunterlagen (z. B. Religionszugehörigkeit für die Kirchensteuer); - Nutzungsdaten (Anmeldezeitpunkte, IP-Adressen, Protokolleinträge über Handlungen im Dienst).
  5. Die Verarbeitung findet ausschließlich in der Bundesrepublik Deutschland statt. Eine Übermittlung in ein Drittland erfolgt nicht. Zur Zustellung freiwillig eingeschalteter Push-Nachrichten siehe Anlage 2.

§ 3 Weisungen

  1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch Unionsrecht oder deutsches Recht dazu verpflichtet; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
  2. Die Weisungen ergeben sich aus dem Hauptvertrag und diesem Vertrag sowie aus der Bedienung des Dienstes durch den Verantwortlichen und seine Nutzer (z. B. Hochladen, Freigeben, Übergeben an DATEV, Löschen). Einzelweisungen erteilt der Verantwortliche in Textform an support@2d-ug.de.
  3. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

§ 4 Pflichten des Auftragsverarbeiters

  1. Vertraulichkeit. Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Der Zugang ist auf das für Betrieb und Störungsbeseitigung Erforderliche beschränkt.
  2. Sicherheit der Verarbeitung. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO). Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen auf Anfrage mit.
  3. Zugriff auf Inhalte. Der Auftragsverarbeiter greift auf Inhalte des Verantwortlichen nur zu, soweit dies zur Störungsbeseitigung oder auf Anforderung des Verantwortlichen erforderlich ist. Jeder solche Zugriff wird im Protokoll des Kundenkontos festgehalten.
  4. Keine Auswertung für eigene Zwecke. Der Auftragsverarbeiter verwendet die Daten nicht für eigene Zwecke und übermittelt sie nicht an KI-Dienste. Anonyme Betriebswerte ohne Personenbezug (Antwortzeiten, Mengen) bleiben davon unberührt.
  5. Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
  6. Ansprechpartner für den Datenschutz ist die Geschäftsführung, erreichbar unter support@2d-ug.de. Ein Datenschutzbeauftragter ist nicht benannt, weil die Voraussetzungen des § 38 BDSG nicht vorliegen.

§ 5 Unterauftragsverarbeiter

  1. Der Verantwortliche erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 genannt und gelten als genehmigt.
  2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
  3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen. Er haftet für dessen Pflichterfüllung wie für eigenes Handeln.
  4. Keine Unterauftragsverarbeitung sind Leistungen, die der Verantwortliche selbst bei Dritten in Anspruch nimmt und an die er Daten über den Dienst übergibt (z. B. DATEV, das eigene Microsoft-365-Konto oder der eigene Mailserver des Verantwortlichen). Für diese Empfänger ist der Verantwortliche selbst zuständig.

§ 6 Unterstützung des Verantwortlichen

  1. Rechte der betroffenen Personen. Der Dienst stellt Funktionen bereit, mit denen der Verantwortliche Auskunft, Berichtigung, Einschränkung, Löschung und Datenübertragbarkeit selbst umsetzen kann (u. a. Suche, Bearbeiten, Ausfuhr, Pseudonymisierung ausgeschiedener Nutzer, Löschung nach Fristablauf). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter.
  2. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) mit den ihm verfügbaren Informationen.
  3. Unterstützungsleistungen, die über die Funktionen des Dienstes und die Mitteilung vorhandener Informationen hinausgehen, kann der Auftragsverarbeiter nach Aufwand berechnen, sofern sie nicht auf einem Verstoß des Auftragsverarbeiters beruhen.

§ 7 Verletzungen des Schutzes personenbezogener Daten

  1. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, an die E-Mail-Adresse des Administrators im Kundenkonto.
  2. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen und einen Ansprechpartner. Fehlende Angaben reicht er nach, sobald sie vorliegen.
  3. Der Auftragsverarbeiter trifft unverzüglich die erforderlichen Maßnahmen zur Eindämmung und dokumentiert die Verletzung.

§ 8 Nachweise und Kontrollen

  1. Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten durch geeignete Unterlagen nach, insbesondere diese Anlage 1, sein Sicherheitskonzept, Prüfergebnisse und Nachweise seiner Unterauftragsverarbeiter.
  2. Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist, kann nach Ankündigung mit einer Frist von mindestens vier Wochen während der Geschäftszeiten Kontrollen durchführen, ohne den Betrieb zu stören. Die Rechenzentren der Unterauftragsverarbeiter sind davon ausgenommen; insoweit genügen deren Nachweise.
  3. Mehr als eine Kontrolle je Kalenderjahr kann der Auftragsverarbeiter nach Aufwand berechnen, es sei denn, ein konkreter Anlass auf Seiten des Auftragsverarbeiters liegt vor.

§ 9 Pflichten des Verantwortlichen

  1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für die Rechtsgrundlage und die Information der betroffenen Personen, allein verantwortlich.
  2. Er vergibt Rechte in seinem Kundenkonto so, dass nur befugte Personen Zugang zu den Daten erhalten, insbesondere zu Personaldaten und besonderen Kategorien personenbezogener Daten.
  3. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten in Bezug auf den Datenschutz feststellt.

§ 10 Ort der Verarbeitung, Mitarbeitergeräte

  1. Die Verarbeitung erfolgt in den Rechenzentren nach Anlage 2. Beim Auftragsverarbeiter werden keine personenbezogenen Daten des Verantwortlichen dauerhaft lokal gespeichert.
  2. Auf den Endgeräten der Nutzer des Verantwortlichen speichert der Dienst nur, was für die jeweilige Funktion technisch erforderlich ist (Anlage 1, Abschnitt 10). Für die Sicherheit dieser Endgeräte ist der Verantwortliche zuständig.

§ 11 Beendigung, Rückgabe und Löschung

  1. Nach Ende des Hauptvertrags gibt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen heraus und löscht sie; das Verfahren, die Fristen und den Löschnachweis regelt § 11 der Nutzungsbedingungen. Eine Pflicht zur Speicherung nach Unionsrecht oder deutschem Recht bleibt unberührt.
  2. Technisch bedingte Restkopien in Sicherungen werden nach den in Anlage 1, Abschnitt 6 genannten Fristen automatisch entfernt und bis dahin nicht mehr verarbeitet.

§ 12 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

§ 13 Schlussbestimmungen

  1. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.
  2. Änderungen und Ergänzungen bedürfen der Textform. Änderungen der Anlagen erfolgen nach § 4 Abs. 2 und § 5 Abs. 2.
  3. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
  4. Es gilt deutsches Recht. Gerichtsstand ist der des Hauptvertrags.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand 01.11.2026. Die Angaben beschreiben den tatsächlichen Betrieb und sind am Programmcode und an der laufenden Anlage geprüft.

1. Vertraulichkeit

1.1 Zutrittskontrolle. Die Verarbeitung findet ausschließlich in Rechenzentren der IONOS SE in Deutschland statt: Anwendungsserver, Datenbank und Belegablage in Frankfurt am Main, verschlüsselte Zweitkopien der Sicherungen in Berlin. Physischer Zutrittsschutz, Brandschutz und Stromversorgung liegen beim Rechenzentrumsbetreiber (Nachweise siehe Anlage 2). Beim Auftragsverarbeiter werden keine personenbezogenen Daten des Verantwortlichen dauerhaft lokal gespeichert.

1.2 Zugangskontrolle.

Maßnahme Umsetzung
Passwörter bcrypt, Kostenfaktor 12; Klartext wird weder gespeichert noch protokolliert. Hat eine andere Person das Passwort gesetzt, muss der Nutzer es bei der ersten Anmeldung ändern
Zweiter Faktor TOTP; für Administratoren verpflichtend, je Kundenkonto für alle Nutzer erzwingbar; jeder Code gilt nur einmal; das Geheimnis liegt verschlüsselt (AES-256-GCM)
Getrennte Anmelderolle Passwort-Hashes, TOTP-Geheimnisse und das Ausstellen von Sitzungen sind in der Datenbank nur einer eigenen Anmelderolle zugänglich, nicht der Anwendungsrolle
Anmeldebremse je Absenderadresse 10 Fehlversuche in 15 Minuten; je Konto und Adresse 10 Fehlversuche → 15 Minuten Sperre, Meldung an den Betreiber; optional Kontosperre je Kundenkonto
Sitzungen Cookie httpOnly, SameSite=Lax; serverseitig widerrufbar; Abmeldung nach Leerlauf (Vorgabe 60 Minuten, einstellbar 5–720); Ende aller Sitzungen bei Deaktivierung und Passwortänderung
Passwort-Zurücksetzen Einmal-Token, nur als Hash gespeichert, 1 Stunde gültig
Schnittstellen-Schlüssel Fremdsysteme liefern Belege mit eigenem Schlüssel ein, der nur einliefern kann; gespeichert nur als Hash (SHA-256), sofort widerrufbar, jede Einlieferung protokolliert
Anmeldung über Microsoft / Google (optional) OIDC mit PKCE; keine automatische Kontoanlage; Microsoft nur aus dem für das Kundenkonto freigegebenen Entra-Mandanten; Konten mit zweitem Faktor und Betreiberkonten melden sich nie über SSO an
Selbstregistrierung Bestätigung per E-Mail-Link (48 Stunden), Mengenbremsen je Adresse und Tag, Zustimmung zu Bedingungen und AVV wird protokolliert

1.3 Zugriffskontrolle. Die Trennung der Kundenkonten ist in der Datenbank verankert: Jede mandantenbezogene Tabelle unterliegt Row Level Security; die Anwendung arbeitet mit einer eingeschränkten Rolle, für die diese Regeln erzwungen sind, und setzt je Transaktion den Mandantenbezug. Ohne ihn ist nichts sichtbar. Innerhalb eines Kundenkontos gilt ein Rechtemodell aus Rolle × Dokumentart × Unternehmen × Vorgang (lesen, anlegen, ändern, löschen), ergänzt um Bereichsschranken (Belege, Verträge, Personal), die auch für Administratoren gelten, und um Firmensperren je Person. Der Personalbereich und der Anlass einer Abwesenheit (z. B. Krankheit) sind nur Personen mit Personal-Leserecht zugänglich. Die Rechteprüfung erfolgt in der Datenbankabfrage.

1.4 Trennungskontrolle. Eine automatisierte Testreihe versucht bei jeder Codeänderung, mit gültigen Kennungen eines Kundenkontos auf Daten eines anderen zuzugreifen; jeder Versuch muss scheitern, sonst wird nicht ausgeliefert. Eine weitere Prüfung stellt sicher, dass jeder neue Endpunkt mit Kennung einen solchen Gegenversuch hat. Bei jedem Start prüft die Anwendung an der eigenen Datenbankverbindung, dass ohne Mandantenbezug keine Zeile sichtbar ist; andernfalls startet sie nicht. Die laufende Anwendung kennt den Eigentümerzugang der Datenbank nicht; Migrationen laufen in einem eigenen, kurzlebigen Dienst.

2. Integrität

2.1 Eingabekontrolle. Jede fachlich relevante Handlung wird protokolliert (Zeitpunkt, Nutzer, Aktion, Objekt, alte und neue Werte bei Stammdaten). Der Anwendungsrolle sind Ändern und Löschen im Protokoll entzogen. Protokolleinträge werden nach zehn Jahren gelöscht, Einträge zu noch aufbewahrten Belegen erst mit diesen. Ein Zugriff des Betreibers auf ein Kundenkonto erscheint im Protokoll mit Nennung des Betreibers.

2.2 Weitergabekontrolle. - Zugriff ausschließlich über TLS; HSTS ist gesetzt; einschränkende Inhaltsrichtlinie (CSP) und nosniff. - Die Anwendung ist nur über einen Vorschaltserver erreichbar; die Datenbank nur über das private Netz, verschlüsselt und mit Zertifikatsprüfung. - Übergaben an Dritte (DATEV, Versand von Rechnungen per E-Mail, SEPA-Dateien) erfolgen nur auf Veranlassung des Verantwortlichen oder nach seiner Einstellung (z. B. monatlicher Abruf von Lohnabrechnungen, Nachfrage zu einer angeforderten eAU). Zugangsdaten zu diesen Diensten (OAuth-Token, SMTP-Passwörter) liegen verschlüsselt (AES-256-GCM) und an Firma und Zweck gebunden. - Versand über einen Mailserver des Verantwortlichen nur mit TLS 1.2 oder höher und Zertifikatsprüfung; interne Netzadressen sind als Ziel gesperrt; Mengenbegrenzung je Firma.

2.3 Eingangskontrolle hochgeladener Dateien. Leere und ausführbare Dateien werden am Inhalt erkannt und abgewiesen; jede Datei durchläuft die Schadsoftware-Prüfung (ClamAV, fail-closed), gleich ob sie per Hochladen, E-Mail oder Schnittstelle kommt. Dateien werden entschärft ausgeliefert. Die Darstellung von E-Rechnungen läuft abgeschottet ohne Zugriff auf Sitzung oder Netz.

3. Verfügbarkeit und Belastbarkeit

  • Datenbank als verwalteter Dienst mit fortlaufender Archivierung des Transaktionsprotokolls: Wiederherstellung auf jeden Zeitpunkt der letzten 30 Tage; erwarteter Datenverlust im Bereich von Minuten.
  • Eigene tägliche Sicherung und Sicherung vor jeder Auslieferung, vor der Übertragung verschlüsselt (AES-256-GCM) als Zweitkopie in Berlin; der Schlüssel liegt nicht dort.
  • Belegdateien versioniert und verschlüsselt (AES-256) im Objektspeicher.
  • Die Wiederherstellung wird regelmäßig erprobt, auch an echten Sicherungen in abgeschotteten Wegwerf-Umgebungen.
  • Überwachung von innen (Hintergrundläufe, Speicherplatz, Verfügbarkeit je Minute) und von außen (alle 5 Minuten), jeweils mit Meldung per E-Mail.
  • Anfragebegrenzung je Nutzer.
  • Die Anlage läuft mit einer Datenbankinstanz und einem Anwendungsserver; ein Ausfall führt zu einer Unterbrechung, nicht zu Datenverlust.

4. Wiederherstellbarkeit

Migrationen laufen vor dem Start der Anwendung in einem eigenen Dienst. Schlägt eine Migration oder die anschließende Trennungsprobe fehl, startet die Anwendung nicht. Änderungen mit Datenbankmigration laufen zuerst auf einer getrennten Staging-Anlage.

5. Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d)

Jede Codeänderung durchläuft blockierend: Mandanten-Isolationsreihe und deren Abdeckungsprüfung, vollständige Testreihe (Server und Oberfläche), Typprüfung und statische Analyse, Abgleich der Konfiguration, Inbetriebnahme- sowie Sicherungs- und Rückspielprobe. Wöchentlich und bei jeder Änderung laufen ein Abhängigkeits-Audit und ein Sicherheitsscan (Betriebsabbild und eigener Code). Ein Sicherheitskonzept nach ISO/IEC 27001 mit Risikoanalyse liegt vor und wird fortgeschrieben.

6. Löschung und Aufbewahrung

  • Aufbewahrungsfristen je Belegart (bis zehn Jahre); bei Personalunterlagen ab Austritt. Löschregeln können Fristen nur verlängern.
  • Löschung zweistufig: Papierkorb, endgültiges Entfernen erst nach Fristablauf, auch für den Betreiber.
  • Ausgeschiedene Nutzer werden gesperrt und können pseudonymisiert werden; bereits geschriebene Protokolleinträge bleiben unverändert.
  • E-Mails im Eingangspostfach werden 30 Tage nach Eingang gelöscht.
  • Vertragsende: Ausfuhr in offenen Formaten mit Prüfsummen und Löschung aller Daten mit Löschnachweis, oder Archivbetrieb „nur lesen". Restkopien: ältere Dateifassungen im Objektspeicher bis 30 Tage, in der Zweitkopie bis 60 Tage, in Datenbanksicherungen bis zu deren Ablauf.
  • Rohdaten der Selbstregistrierung werden nach 7 bzw. 30 Tagen gelöscht; der Zustimmungsnachweis bleibt im Protokoll.

7. Auftragskontrolle und Entwicklung

  • Der Betreiber greift auf Inhalte nur zur Störungsbeseitigung zu. Die Einsicht in Belege im Rahmen einer Vertretung setzt die Freigabe des Kunden voraus und endet nach spätestens 14 Tagen. Betreiberfunktionen sind an eine gültige Sitzung in der Datenbank gebunden und werden protokolliert.
  • Keine Verarbeitung durch KI-Dienste: Die produktive Anlage hat keine Anbindung an Sprachmodelle. Texterkennung, E-Rechnungs-Prüfung und -Darstellung laufen auf dem eigenen Server.
  • Die Software wird mit Hilfe eines KI-Entwicklungswerkzeugs entwickelt. Dafür gilt: Entwicklung und Tests nur mit erfundenen Daten; auf der Staging-Anlage nur eigene Kundenkonten des Auftragsverarbeiters (technisch erzwungen); auf der Produktion liest das Werkzeug höchstens den Aufbau der Datenbank und Zählwerte, nie Inhalte; Auslieferungen führt ein Mensch aus; Zugangsdaten werden dem Werkzeug nicht offengelegt.

8. Meldewege

Eine Verletzung des Schutzes personenbezogener Daten wird dem Verantwortlichen nach § 7 des Vertrags gemeldet. Ein Vorfallplan liegt als Teil des Sicherheitskonzepts vor.

9. Grenzen des Schutzniveaus

Damit der Verantwortliche das Schutzniveau zutreffend bewerten kann: - Produktion und Zweitkopie liegen in zwei Rechenzentren desselben Betreibers. Gegen Ausfall, Kündigung oder Sperrung dieses Betreibers schützt allein die Ausfuhr nach § 11 der Nutzungsbedingungen. - Ein externer Penetrationstest hat noch nicht stattgefunden. - Der Zugriff auf das E-Mail-Eingangspostfach ist noch nicht auf die Adresse des Servers beschränkt.

10. Daten auf Endgeräten der Nutzer

  • Die Web-App speichert auf dem Gerät nur ihre Programmdateien (Service Worker), nie Inhalte aus der Datenbank.
  • Stempeln ohne Netz (Zeiterfassung): Vorgemerkte Stempel (Art, Uhrzeit) und der letzte Stand (Vorname, Zustand) liegen bis zur Übertragung im Browser des Geräts und werden beim Abmelden gelöscht. Der Server nimmt nur Stempel an, die höchstens 48 Stunden alt sind, und kennzeichnet sie.
  • Stempel-Terminal: Geräteschlüssel und Kartencodes speichert der Server nur als Hash; der Code auf dem Handy ist signiert und kurz gültig.
  • Push-Nachrichten (freiwillig je Gerät): Auf dem Gerät liegen Kennungen von Nutzer und Kundenkonto; höchstens zehn Geräte je Person.

Anlage 2 – Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)

Stand 01.11.2026.

Unternehmen Leistung Ort Verarbeitete Daten
IONOS SE, Elgendorfer Str. 57, 56410 Montabaur Anwendungsserver, verwaltete Datenbank (PostgreSQL), Objektspeicher für Belege Frankfurt am Main sämtliche Inhalts- und Metadaten des Verantwortlichen
IONOS SE, Montabaur Objektspeicher für die verschlüsselten Zweitkopien der Sicherungen Berlin nur verschlüsselt (AES-256-GCM); der Schlüssel liegt nicht dort
ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf E-Mail-Eingang (Postfach für eingelieferte Belege); Versand von Systemnachrichten und, wenn der Verantwortliche den Versandweg „2DMS" wählt, von Rechnungen, Angeboten und Mahnungen Deutschland eingelieferte E-Mails mit Anhängen bis zur Abholung (höchstens 30 Tage); versandte Nachrichten mit Anhängen

E-Mail-Eingang. Belege, die per E-Mail eingeliefert werden, gehen an eine nicht veröffentlichte Subdomain mit einem Zufallstoken je Kundenkonto. Sie liegen beim E-Mail-Anbieter, bis der Dienst sie über TLS abholt (alle zwei Minuten), und werden dort nach 30 Tagen gelöscht.

Keine Unterauftragsverarbeiter sind: - Dienste, die der Verantwortliche selbst wählt und an die er über 2DMS Daten übergibt oder von denen er Daten abruft: DATEV (Buchungsdaten, Lohn und Gehalt, Lohnabrechnungen, eAU), sein eigenes Microsoft-365-Konto oder sein eigener Mailserver für den Versand (§ 5 Abs. 4 des Vertrags). - Push-Dienste der Browser und Gerätehersteller (Google, Apple, Mozilla, Microsoft). Sie gehören zu dem Browser bzw. Gerät, das die Nutzerin selbst verwendet und für das sie Push ausdrücklich einschaltet. Übermittelt wird nur ein feststehender, neutraler Text und der Pfad der Seite, Ende-zu-Ende-verschlüsselt (RFC 8291), nie Namen, Titel, Beträge oder Dateien. - Die Staging-Anlage (IONOS, Berlin): Dort werden keine Daten von Verantwortlichen verarbeitet, nur eigene Kundenkonten des Auftragsverarbeiters (technisch erzwungen).

Über beabsichtigte Änderungen dieser Liste unterrichtet der Auftragsverarbeiter nach § 5 Abs. 2 des Vertrags.