Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und Prime Radiant, Inhaber Stephen Willms, Münster (Auftragsverarbeiter). Mit der Registrierung schließt der Kunde diesen AVV ab.
1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der Leistung „Kassenbuch“ (Übertragung von Barzahlungen aus apaleo in ein DATEV-Kassenbuch). Die Verarbeitung dauert für die Laufzeit des Nutzungsvertrags; gesetzliche Aufbewahrungspflichten (§ 147 AO, 10 Jahre) bleiben unberührt.
2. Art, Zweck und Kategorien
Zweck: Erfassung, nachvollziehbare Speicherung und Export von Kassenbewegungen. Art der Daten: betriebliche Kassen- und Zahlungsdaten (Beträge, Zahlart, Datum, Folio-/Belegnummern), Konfigurationsdaten sowie Kontaktdaten der Nutzer (Name, E-Mail). Betroffene: Mitarbeiter und Nutzer des Verantwortlichen. Keine Gästedaten: personenbezogene Gästedaten werden technisch nicht übertragen (apaleo-PII-Einstellung „Alle entfernen“).
3. Weisungsbindung
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich der über die Anwendung getroffenen Einstellungen, sofern keine gesetzliche Verpflichtung etwas anderes erfordert.
4. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselte Übertragung (TLS/HTTPS) und Speicherung in der EU (Frankfurt)
- Verschlüsselung sensibler Zugangsdaten (apaleo-Secrets) mit AES-256-GCM
- Passwörter ausschließlich als bcrypt-Hash; Sitzungen über signierte Tokens
- Strikte Mandantentrennung – jede Datenabfrage ist an die Organisation gebunden
- Nachvollziehbarkeit durch Append-only-Speicherung und SHA-256-Hash-Verkettung
- Zugriff auf die Betriebsumgebung nur für berechtigte Personen; Protokollierung
- Regelmäßige Datensicherung durch den Datenbankbetreiber
5. Unterauftragsverarbeiter
Der Kunde genehmigt den Einsatz folgender Unterauftragsverarbeiter:
| Dienstleister | Zweck | Ort |
|---|---|---|
| Vercel Inc. | Hosting der Anwendung | EU (Frankfurt) |
| Supabase | PostgreSQL-Datenbank | EU (Frankfurt) |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung | EU (Irland) |
Über den Wechsel oder die Hinzunahme von Unterauftragsverarbeitern wird der Kunde vorab informiert und kann widersprechen.
6. Unterstützung und Betroffenenrechte
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Wahrung von Betroffenenrechten (Art. 12–22 DSGVO) sowie bei Meldepflichten (Art. 33/34 DSGVO) und meldet ihm bekannt gewordene Datenschutzverletzungen unverzüglich.
7. Löschung und Rückgabe
Nach Beendigung der Verarbeitung werden die Daten auf Wunsch des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht (insbesondere § 147 AO) entgegensteht. Bis zum Ablauf der Aufbewahrungsfrist bleiben die Kassenbuchdaten les- und exportierbar.
8. Nachweise und Kontrolle
Der Auftragsverarbeiter stellt dem Verantwortlichen die zur Einhaltung des Art. 28 DSGVO erforderlichen Informationen auf Anfrage zur Verfügung (core@prime-radiant.de).
Version 2026-06-10 · Stand: 10.06.2026