AVV — Yupana

1. Gegenstand und Dauer

Auftragnehmerin (hagel IT-Services GmbH) verarbeitet personenbezogene Daten im Auftrag der Auftraggeberin, um die Anwendung Yupana bereitzustellen: Erfassung und Auswertung von Kontobewegungen, Belegen, Verträgen, betriebswirtschaftlichen Auswertungen und — soweit angebunden — Microsoft-365-Lizenzdaten. Die Dauer entspricht der Laufzeit des Hauptvertrags.

2. Art der Daten und betroffene Personen

Datenarten: Zahlungsverkehrsdaten (Empfänger, Betrag, Verwendungszweck, Kontokennung), Belegdaten, Vertragsdaten, Auswertungsdaten, Nutzungsdaten von Softwarelizenzen, Kontaktdaten von Nutzenden.
Betroffene: Beschäftigte der Auftraggeberin, Ansprechpartner von Lieferanten und Kunden, soweit sie in Zahlungen oder Belegen auftauchen.

3. Weisungsbindung

Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung. Hält die Auftragnehmerin eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit und darf die Ausführung aussetzen.

4. Technische und organisatorische Maßnahmen (Art. 32)

Maßnahme	Umsetzung
Zutrittskontrolle	Rechenzentren der Auftragsverarbeiter mit Zutrittssicherung; kein eigener Serverraum im Verarbeitungspfad.
Zugangskontrolle	Anmeldung ausschließlich über den Microsoft-365-Account des Kunden (Entra ID) plus vorgelagerten Zugangsschutz; keine eigenen Passwörter.
Zugriffskontrolle	Rollen (Owner, Freigebende, Lesende); Mandantentrennung auf Datenbankebene, jede Abfrage ist auf die Organisation eingeschränkt und wird automatisiert gegengeprüft.
Weitergabekontrolle	TLS auf allen Verbindungen; Dateien der Bridge zusätzlich Ende-zu-Ende verschlüsselt (libsodium).
Eingabekontrolle	Audit-Log über Freigaben, Änderungen und Zugriffe, getrennt von der Anzeigeschicht.
Verfügbarkeitskontrolle	Tägliche Sicherung der Datenbank mit dokumentierter Wiederherstellungsübung.
Trennungskontrolle	Jede Tabelle trägt die Organisationskennung; Testdaten laufen nie im Produktivmandanten.

5. Unterauftragsverarbeiter

Die Auftraggeberin stimmt den in der Datenschutzerklärung genannten Unterauftragsverarbeitern zu. Wechsel oder Ergänzungen werden mindestens 30 Tage vorher mitgeteilt; die Auftraggeberin kann widersprechen.

6. Unterstützung, Meldepflichten, Löschung

Die Auftragnehmerin unterstützt bei Betroffenenanfragen, Datenschutz-Folgenabschätzung und Meldepflichten. Eine Verletzung des Schutzes personenbezogener Daten wird unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, gemeldet. Nach Vertragsende werden die Daten nach Wahl der Auftraggeberin herausgegeben (CSV/JSON) und anschließend gelöscht, spätestens 90 Tage nach Vertragsende.

7. Nachweise

Die Auftragnehmerin weist die Einhaltung durch Auskunft und geeignete Nachweise nach. Vor-Ort-Prüfungen sind nach Ankündigung mit angemessener Frist möglich.