Vertrag zur Auftrags­verarbeitung

Entwurf – anwaltliche Prüfung erforderlich. Dieser Vertrag ist noch nicht rechtlich geprüft. Er beschreibt, wie wir Ihre Daten in FUBEXA ONE verarbeiten. Den unterzeichneten Vertrag zur Auftragsverarbeitung erhalten Sie mit Ihrem Vertrag über FUBEXA ONE.

Vertragsparteien

Verantwortlicher („Kunde“): das Unternehmen, das mit uns einen Vertrag über FUBEXA ONE schließt („Hauptvertrag“, mit unseren AGB), auch während des kostenlosen Testzeitraums.

Auftragsverarbeiter („FUBEXA“, „wir“): FUBER LTD, 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Vereinigtes Königreich; eingetragen bei Companies House (England and Wales) 14783209.
Kontakt zum Datenschutz: hello@fubexa.com

§ 1 Gegenstand und Dauer

1. Dieser Vertrag regelt die Pflichten der Parteien, soweit wir im Rahmen des Hauptvertrags personenbezogene Daten im Auftrag des Kunden verarbeiten (Art. 28 DSGVO). Er gilt für die Plattform FUBEXA ONE (Web und App), ihre Anbindungen an Systeme des Kunden, den kostenlosen Testzeitraum, den Fehler-Scan und den Support.
2. Der Vertrag beginnt mit dem Hauptvertrag – bei einem kostenlosen Test mit dessen Beginn – und endet mit ihm. Pflichten, die darüber hinaus bestehen, insbesondere zu Rückgabe, Löschung und Vertraulichkeit, gelten fort, bis sie erfüllt sind.
3. Widersprechen sich dieser Vertrag und der Hauptvertrag, geht in Fragen des Datenschutzes dieser Vertrag vor.

§ 2 Art und Zweck der Verarbeitung

1. Wir stellen dem Kunden FUBEXA ONE als Software über das Internet bereit (Software as a Service). Die Verarbeitung umfasst das Erfassen über die Oberfläche, die App und die Anbindungen, das Speichern, Ordnen, Abgleichen, Auswerten und Anzeigen, das Übermitteln an Empfänger, die der Kunde bestimmt (etwa per E-Mail oder als Export), das Sichern und das Löschen.
2. Zweck ist allein die Erbringung der vereinbarten Leistungen: die Module des gewählten Pakets (etwa Verkauf, Lager, Finanzen, Personal und Cockpit), die Anbindung an Systeme des Kunden, der Support, die Datensicherung und der Schutz der Plattform vor Missbrauch.
3. JTL-Wawi und DATEV binden wir nur lesend an. Wir verändern dort keine Daten.
4. Wir verwenden die Daten des Kunden nicht für eigene Zwecke, insbesondere nicht für Werbung, und geben sie nur an die Unterauftragsverarbeiter nach § 8 weiter.

§ 3 Art der personenbezogenen Daten

Je nach den Modulen, die der Kunde nutzt:

• Kundendaten: Name, Anschrift, Kontaktdaten, Kaufverträge, Unterschriften, Lieferungen, Reklamationen;
• Mitarbeiterdaten: Name, Rolle, Filiale und Kontaktdaten der Beschäftigten des Kunden;
• Personaldaten: Personalakte einschließlich Steuer-Identifikationsnummer, Sozialversicherungsnummer und Bankverbindung (IBAN), Urlaub und Dienstplan;
• Zeit- und Lohndaten: Arbeitszeiten (Kommen und Gehen), Korrekturen und ihre Begründungen, Daten zur Lohnvorbereitung;
• Lieferantendaten: Ansprechpartner bei Lieferanten und Herstellern, Bestellungen, Auftragsbestätigungen;
• Zahlungsdaten: Zahlungen, Anzahlungen, offene Posten, Kassenbuch sowie die aus DATEV gelesenen Buchungen;
• Nutzerkonten: Name, Login-E-Mail, Passwort (nur als Hash), Einstellungen zur Zwei-Faktor-Anmeldung, Sitzungen, IP-Adressen, Geräteangaben und Protokolle der Aktivitäten;
• Inhalte: Dateien und Texte, die der Kunde selbst hochlädt oder eingibt, etwa Fotos, PDF-Dokumente und Nachrichten an den Support.

Ob der Kunde besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) erfasst, etwa Angaben zu Krankheitstagen, entscheidet er selbst. Für solche Daten gelten die Maßnahmen der Anlage 1 ebenso.

§ 4 Kategorien betroffener Personen

• Kunden und Interessenten des Kunden;
• Beschäftigte des Kunden, auch ehemalige;
• Nutzer von FUBEXA ONE beim Kunden;
• Ansprechpartner bei Lieferanten, Herstellern, Dienstleistern und anderen Geschäftspartnern des Kunden.

§ 5 Weisungen

1. Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in ein Drittland, es sei denn, wir sind nach dem Recht der Union oder der Mitgliedstaaten dazu verpflichtet. In diesem Fall teilen wir dem Kunden die rechtliche Anforderung vorher mit, sofern das Recht das nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Weisungen sind dieser Vertrag, der Hauptvertrag und die Einstellungen, die der Kunde in FUBEXA ONE vornimmt, etwa zu Nutzern, Rollen, Modulen, Anbindungen, Löschungen und Exporten. Weitere Weisungen erteilt der Kunde in Textform, zum Beispiel per E-Mail an hello@fubexa.com.
3. Weisungsberechtigt sind der Inhaber des Kundenkontos und die Personen, die er dafür benennt.
4. Verstößt eine Weisung nach unserer Auffassung gegen Datenschutzrecht, weisen wir den Kunden unverzüglich darauf hin. Bis er sie bestätigt oder ändert, dürfen wir sie aussetzen.

§ 6 Vertraulichkeit

1. Alle Personen, die bei uns Zugang zu Daten des Kunden haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO). Die Pflicht gilt über das Ende ihrer Tätigkeit hinaus.
2. Zugriff erhalten nur Personen, die ihn für ihre Aufgabe brauchen. Mitarbeitende von FUBEXA sehen Daten des Kunden nur in protokollierten Support-Sitzungen und nur lesend (Anlage 1).

§ 7 Technische und organisatorische Maßnahmen

1. Wir treffen die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.
2. Wir entwickeln die Maßnahmen mit dem Stand der Technik weiter. Wir dürfen sie ändern, wenn das Schutzniveau dadurch nicht sinkt. Wesentliche Änderungen dokumentieren wir und teilen sie dem Kunden mit.

§ 8 Unterauftragsverarbeiter

1. Der Kunde genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
2. Wollen wir weitere Unterauftragsverarbeiter einsetzen oder bestehende ersetzen, informieren wir den Kunden mindestens 30 Tage vorher in Textform. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden wir keine Lösung, kann er den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO). Für ihre Einhaltung haften wir gegenüber dem Kunden.
4. Die Anbieter der Systeme des Kunden, etwa JTL-Wawi, DATEV oder Herstellerportale, sind keine Unterauftragsverarbeiter von uns. Die Verträge mit ihnen schließt der Kunde selbst.

§ 9 Ort der Verarbeitung und Drittländer

1. Wir haben unseren Sitz im Vereinigten Königreich. Die Daten des Kunden speichern und verarbeiten wir in einem Rechenzentrum von Oracle Cloud Infrastructure in London. Zusätzlich bewahren wir eine mit AES-256 verschlüsselte Sicherungskopie auf einem von uns gemieteten Server in Istanbul (Türkei) auf; der Schlüssel liegt nicht dort, und die Kopie wird nach 30 Tagen gelöscht (Anlage 1 und 2).
2. Für das Vereinigte Königreich hat die EU-Kommission einen Angemessenheitsbeschluss nach Art. 45 DSGVO erlassen; er gilt bis zum 27. Dezember 2031. Entfällt er, vereinbaren die Parteien unverzüglich geeignete Garantien nach Art. 46 DSGVO, etwa die Standardvertragsklauseln der EU-Kommission.
3. In andere Drittländer übermitteln wir Daten nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Anlage 2 nennt die jeweilige Grundlage.

§ 10 Unterstützung des Kunden

1. Wir unterstützen den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen zu beantworten (Art. 12 bis 22 DSGVO). Vieles kann der Kunde in FUBEXA ONE selbst erledigen, etwa Auskunft, Berichtigung, Löschung und Export.
2. Wendet sich eine betroffene Person direkt an uns, leiten wir ihr Anliegen unverzüglich an den Kunden weiter. Wir antworten ihr nur auf Weisung des Kunden.
3. Wir unterstützen den Kunden bei seinen Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) im Rahmen der uns verfügbaren Informationen.

§ 11 Meldung von Datenschutzverletzungen

1. Eine Verletzung des Schutzes personenbezogener Daten melden wir dem Kunden unverzüglich, spätestens 48 Stunden, nachdem sie uns bekannt geworden ist, in Textform an die E-Mail-Adresse des Kontoinhabers.
2. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Fehlende Angaben reichen wir nach, sobald sie vorliegen.
3. Wir ergreifen unverzüglich Maßnahmen, um die Verletzung zu beheben und ihre Folgen zu mindern, und stimmen sie mit dem Kunden ab. Meldungen an die Aufsichtsbehörde und an betroffene Personen nimmt der Kunde vor; wir unterstützen ihn dabei.

§ 12 Datenexport, Rückgabe und Löschung

1. Der Inhaber des Kundenkontos kann in FUBEXA ONE jederzeit einen vollständigen Export der Daten seiner Firma anfordern: jede Tabelle als CSV-Datei und jede gespeicherte Datei im Original. Zugangsdaten wie Passwort-Hashes sind nicht enthalten. Wir stellen den Export innerhalb von 24 Stunden nach der Anforderung bereit.
2. Endet der Hauptvertrag, geben wir dem Kunden seine Daten auf Wunsch als Export nach Abs. 1 zurück. 30 Tage nach Vertragsende löschen wir die Daten des Kunden, soweit nicht nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zur Speicherung besteht. Kopien in Datensicherungen werden gelöscht, wenn die Sicherungen planmäßig ablaufen (Anlage 1).
3. Stellen wir FUBEXA ONE ein, stellen wir dem Kunden mindestens 90 Tage vorher den vollständigen Export nach Abs. 1 bereit.
4. Auf Anfrage bestätigen wir dem Kunden die Löschung in Textform.

§ 13 Nachweise und Kontrollrechte

1. Wir stellen dem Kunden auf Anfrage alle Informationen zur Verfügung, die er zum Nachweis der Pflichten nach Art. 28 DSGVO braucht.
2. Der Kunde oder ein von ihm beauftragter Prüfer, der zur Verschwiegenheit verpflichtet ist, kann die Einhaltung dieses Vertrags nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten überprüfen, ohne den Betrieb unverhältnismäßig zu stören.
3. Prüfungen bei unseren Unterauftragsverarbeitern richten sich nach deren Bedingungen. Soweit verfügbar, legen wir dafür deren Zertifikate und Prüfberichte vor.

§ 14 Haftung

1. Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO.
2. Im Verhältnis zueinander trägt jede Partei den Teil des Schadens, der ihrem Anteil an der Verantwortung entspricht (Art. 82 Abs. 5 DSGVO).
3. Im Übrigen gelten die Haftungsregeln des Hauptvertrags (§ 11 der AGB), soweit Art. 82 DSGVO nicht entgegensteht.

§ 15 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für den Verzicht auf dieses Formerfordernis.
2. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Kunden.
3. Ist eine Bestimmung dieses Vertrags unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Trennung der Kunden

• Jede Firma hat eine eigene Datenbank mit einer eigenen Datenbankrolle. Daten verschiedener Kunden liegen nie in derselben Datenbank.
• Gemeinsame Tabellen der Plattform, etwa zu Konten und Abrechnung, sind zusätzlich durch Zeilensicherheit (Row Level Security) je Firma getrennt.

Verschlüsselung

• Alle Verbindungen zur Plattform sind verschlüsselt (TLS).
• Sensible Personalangaben, etwa Steuer-Identifikationsnummer, Sozialversicherungsnummer und IBAN, sowie Zugangsdaten zu angebundenen Systemen werden zusätzlich mit AES-256-GCM versiegelt gespeichert.
• Passwörter speichern wir nur als Hash.

Zugang und Zugriff

• Rollen und Rechte: Jeder Nutzer sieht und bearbeitet nur, was seine Rolle erlaubt. Rollen vergibt der Kunde.
• Zwei-Faktor-Anmeldung: für Mitarbeitende von FUBEXA Pflicht, für Nutzer des Kunden wählbar.
• Schutz vor dem Erraten von Passwörtern: Nach 5 Fehlversuchen wird das Konto für 15 Minuten gesperrt.
• Mitarbeitende von FUBEXA greifen auf Daten des Kunden nur in protokollierten Support-Sitzungen zu, ausschließlich lesend.

Protokollierung und Integrität

• Anmeldungen, Fehlversuche, Änderungen, Exporte und Support-Zugriffe werden in einem Audit-Protokoll festgehalten, das nachträglich nicht verändert werden kann.
• Zeitbuchungen sind unveränderbar; Korrekturen sind nur mit Begründung möglich und bleiben nachvollziehbar.

Schutz vor Angriffen

• Eine Firewall in der Anwendung (WAF) erkennt auffällige Anfragen, etwa massenhafte Anmeldeversuche oder Aufrufe unbekannter Seiten, und sperrt ihre Quelle automatisch: zeitlich gestuft, bei Wiederholung dauerhaft.
• Cloudflare schützt die Plattform zusätzlich vor DDoS-Angriffen.

Anbindungen

• JTL-Wawi und DATEV werden nur lesend angebunden; wir verändern dort keine Daten.

Verfügbarkeit und Datensicherung

• Jede Nacht sichern wir alle Datenbanken und gespeicherten Dateien. Die neueste Sicherung wird auf dem Plattform-Server mit AES-256 verschlüsselt und als Kopie auf einem zweiten, von uns gemieteten Server in Istanbul (Türkei) aufbewahrt. Der Schlüssel zum Entschlüsseln liegt nur auf der Plattformseite, nicht auf diesem Server. Die Kopien in Istanbul werden nach 30 Tagen gelöscht.
• Ist die letzte Sicherung älter als 26 Stunden, werden wir automatisch gewarnt.
• Die Plattform läuft in einem Rechenzentrum von Oracle Cloud Infrastructure in London. Die physische Sicherung des Rechenzentrums übernimmt Oracle.

Löschung und Aufbewahrung

• Daten des Kunden: 30 Tage nach Vertragsende gelöscht (§ 12).
• Sicherungen auf dem Plattform-Server: nach 14 Tagen gelöscht.
• Verschlüsselte Sicherungskopien in Istanbul: nach 30 Tagen gelöscht.
• Exportdateien: 7 Tage nach der Bereitstellung gelöscht.
• Protokolle der Anfragen an die Plattform mit IP-Adresse: nach 30 Tagen gelöscht.

Organisation und Überprüfung

• Mitarbeitende sind zur Vertraulichkeit verpflichtet (§ 6) und erhalten nur die Rechte, die sie für ihre Aufgabe brauchen.
• Wir überprüfen die Maßnahmen regelmäßig, insbesondere nach Änderungen an der Plattform. Automatische Tests prüfen unter anderem die Trennung der Firmen und die Rechte der Rollen.

Anlage 2: Unterauftragsverarbeiter

Der KI-Assistent nutzt standardmäßig unser eigenes Sprachmodell auf unseren Servern; dabei werden keine Daten an Dritte übermittelt. Ein externer KI-Anbieter wird nur nach Vereinbarung mit dem Kunden zugeschaltet und vorher nach § 8 in diese Anlage aufgenommen.

Stand: Entwurf vom 18. Oktober 2026