Vertrag zur Auftragsverarbeitung
Nach Artikel 28 DSGVO · Stand: 16. August 2026
Warum du das brauchst, obwohl du nichts lesen kannst. Sobald ein Kunde in Enoxo Flow Angaben zu seinen Kunden erfasst — Name, Anschrift, E-Mail — verarbeitest du personenbezogene Daten in seinem Auftrag. Dass die Daten verschlüsselt sind und du sie nicht entschlüsseln kannst, ändert daran nichts: Speichern ist eine Verarbeitung nach Art. 4 Nr. 2 DSGVO. Ohne diesen Vertrag handelt dein Kunde rechtswidrig — und wird ihn früher oder später von dir verlangen.
§ 1 Parteien und Gegenstand
Auftraggeber (Verantwortlicher): der Kunde von Enoxo Flow.
Auftragnehmer (Auftragsverarbeiter):
Engehausen Industries, Inhaber Nils-Malte Engehausen, In den Gärten 29, 32108 Bad Salzuflen.
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung der Software Enoxo Flow.
§ 2 Art, Zweck und Dauer
Art der Verarbeitung: Speicherung, Bereitstellung und Löschung verschlüsselter Datenbestände; Verarbeitung von Kontodaten zur Zugangsverwaltung.
Zweck: Betrieb der Software zur Erstellung und Verwaltung von Geschäftsdokumenten.
Dauer: für die Laufzeit des Hauptvertrags.
§ 3 Betroffene Personen und Datenarten
| Gruppe | Daten |
|---|---|
| Kunden und Geschäftspartner des Auftraggebers | Firmierung, Ansprechpartner, Anschrift, E-Mail, Telefon, USt-IdNr., Leitweg-ID, Zahlungs- und Vertragsdaten — sämtlich ausschließlich verschlüsselt gespeichert |
| Beschäftigte des Auftraggebers | Name und E-Mail-Adresse als Zugangsdaten |
§ 4 Weisungsrecht
(1) Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Software gilt als Weisung.
(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.
Praktische Grenze: Weisungen, die den Inhalt der verschlüsselten Daten betreffen — etwa „lösche den Datensatz von Frau X“ — kann der Auftragnehmer technisch nicht ausführen, weil er die Inhalte nicht entschlüsseln kann. Solche Weisungen setzt der Auftraggeber selbst in der Software um. Diese Aufgabenteilung ist ausdrücklich vereinbart.
§ 5 Vertraulichkeit
Der Auftragnehmer verpflichtet alle zur Verarbeitung befugten Personen auf Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Vertraulichkeit
- Ende-zu-Ende-Verschlüsselung der Inhalte mit AES-256-GCM. Die Verschlüsselung erfolgt im Browser des Auftraggebers, bevor Daten übertragen werden.
- Schlüsselableitung aus dem Nutzerpasswort mit PBKDF2 (250 000 Iterationen). Der Auftragnehmer besitzt den Schlüssel nicht und kann ihn nicht herstellen.
- Transportverschlüsselung mit TLS.
- Zugriffstrennung auf Datenbankebene durch zeilenbasierte Sicherheitsregeln, sodass jedes Konto ausschließlich eigene Datensätze erreicht.
Integrität
- AES-GCM erkennt jede nachträgliche Veränderung des Datenblocks.
- Fortlaufende Belegnummern werden serverseitig und atomar vergeben, sodass keine Lücken oder Doppelvergaben entstehen.
Verfügbarkeit und Belastbarkeit
- Regelmäßige Sicherungen durch den Hosting-Dienstleister.
- Exportfunktion, mit der der Auftraggeber jederzeit eine vollständige eigene Sicherung erstellen kann.
Überprüfung
- Regelmäßige Aktualisierung eingesetzter Fremdbibliotheken.
- Gehärtete Content-Security-Policy, keine Einbindung fremder Skripte zu Analyse- oder Werbezwecken.
§ 7 Weitere Auftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort |
|---|---|---|
| Supabase | Datenbank, Anmeldung, Server-Funktionen | EU (Frankfurt, eu-central-1) |
| Netlify | Auslieferung der Anwendung | USA (Netlify Inc.), Auslieferung über europäische Standorte |
| Stripe | Zahlungsabwicklung | EU / USA |
| Brevo | Versand von Systemnachrichten | EU |
Wechsel oder Ergänzungen teilt der Auftragnehmer mindestens 30 Tage vorher in Textform mit. Der Auftraggeber kann widersprechen; in diesem Fall steht ihm ein Sonderkündigungsrecht zu.
§ 8 Unterstützung des Auftraggebers
(1) Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen, soweit ihm das technisch möglich ist.
(2) Der Auftragnehmer unterstützt bei Datenschutz-Folgenabschätzungen und der Meldung von Verletzungen des Schutzes personenbezogener Daten.
(3) Der Auftragnehmer meldet dem Auftraggeber eine ihm bekannt gewordene Verletzung unverzüglich, spätestens innerhalb von 48 Stunden.
Bedenke die Frist: Der Auftraggeber hat nach Art. 33 DSGVO nur 72 Stunden für seine eigene Meldung an die Aufsichtsbehörde. 48 Stunden für dich sind knapp, aber üblich. Sag nichts zu, was du im Urlaub nicht einhalten kannst — 72 Stunden sind ebenfalls vertretbar, wenn du es so formulierst.
§ 9 Löschung und Rückgabe
Nach Beendigung löscht der Auftragnehmer die Daten binnen 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Vorher kann der Auftraggeber über die Exportfunktion eine vollständige Kopie erstellen.
§ 10 Nachweise und Kontrollen
(1) Der Auftragnehmer weist die Einhaltung auf Anfrage in Textform nach.
(2) Der Auftraggeber ist zu Kontrollen berechtigt. Sie sind mit angemessener Frist anzukündigen, dürfen den Betrieb nicht unangemessen stören und finden höchstens einmal jährlich statt, sofern kein besonderer Anlass besteht.
§ 11 Haftung
Es gilt Artikel 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen des Hauptvertrags.
So schließt du diesen Vertrag ab
Sende eine E-Mail an kontakt@enoxo-flow.de mit dem Betreff „Auftragsverarbeitungsvertrag“ und deiner vollständigen Firmenanschrift. Du erhältst den Vertrag mit deinen Angaben ausgefüllt und gegengezeichnet in Textform zurück.
Für später: Sobald du mehr als eine Handvoll Kunden hast, lohnt sich ein Abschluss direkt im Konto per Bestätigungsklick mit Protokollierung. Textform nach § 126b BGB genügt — eine Unterschrift ist nicht nötig.