Vertrag zur Auftragsverarbeitung für Paperjay (gehostet)

Entwurf, nicht rechtlich geprüft. Dieser Text ist ein Arbeitsstand für die Prüfung durch eine Fachperson. Er gilt noch für niemanden. Stellen mit „(Vorschlag)“ beschreiben Technik, die der Inhaber noch bestätigt.

Stand: 15.11.2026. Rechtsgrundlage ist Art. 28 DSGVO. Aufbau und Inhalt orientieren sich an den Standardvertragsklauseln der Kommission nach Art. 28 Abs. 7 DSGVO.

1. Parteien und Rollen

1. Verantwortlicher bist du als Kunde von Paperjay („du“).
2. Auftragsverarbeiter bin ich, Torben Buck, tbuck software, Zu den Weiden 12, 58339 Breckerfeld, Deutschland, mail@tbuck.de („ich“).
3. Dieser Vertrag gilt für die Daten deines Unternehmens, die du in Paperjay speicherst oder durch Paperjay verarbeiten lässt. Er gilt nicht für Daten, die ich für eigene Zwecke verarbeite: dein Konto, die Anmeldung, die Abrechnung des Tarifs und die Sicherheit des Dienstes. Dafür gelten die Datenschutzhinweise für den Dienst. Aus deinen Unternehmensangaben verwende ich Name, Anschrift, E-Mail-Adresse und USt-IdNr. auch selbst als deine Rechnungsanschrift und gebe den Namen an meinen Zahlungsanbieter weiter; dafür bin ich Verantwortlicher.
4. Der Vertrag wird mit der Bestätigung der Registrierung oder dem Anlegen eines weiteren Unternehmens Teil des Vertrags über Paperjay und gilt auch im Testzeitraum. Er läuft, solange ich Daten deines Unternehmens verarbeite.

2. Gegenstand, Dauer, Art und Zweck

1. Gegenstand. Bereitstellung und Betrieb von Paperjay nach der Leistungsbeschreibung: Speichern, Anzeigen, Erzeugen, Versenden, Sichern, Exportieren und Löschen der Daten deines Unternehmens.
2. Dauer. Solange der Vertrag über Paperjay läuft, und danach bis zur Löschung nach § 9.
3. Art der Verarbeitung. Erheben, Speichern, Ordnen, Auslesen, Abfragen, Verwenden, Übermitteln auf deine Veranlassung, Sichern, Einschränken und Löschen (Art. 4 Nr. 2 DSGVO).
4. Zweck. Rechnungsstellung, Angebote, Belegverwaltung, Zahlungsabgleich, Buchführung, Auswertungen und Aufbewahrung für dein Unternehmen.

3. Daten und betroffene Personen

Paperjay ist nicht für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und nicht für Daten bestimmt, die einem Berufsgeheimnis nach § 203 StGB unterliegen. Speichere solche Daten nicht in Paperjay. Alle Daten schützt Paperjay mit denselben Maßnahmen aus Anlage 1; ob sie für deine Daten genügen, prüfst du als Verantwortlicher.

4. Weisungen (Art. 28 Abs. 3 lit. a)

1. Ich verarbeite die Daten nur auf deine dokumentierte Weisung, auch bei einer Übermittlung in ein Drittland. Deine Weisungen sind dieser Vertrag, die AGB und das, was du in der App einstellst und auslöst, zum Beispiel Versand, Export, externe Sicherung oder Löschantrag.
2. Weitere Weisungen gibst du in Textform an mail@tbuck.de. Mündliche Weisungen bestätigst du in Textform.
3. Verlangt ein Gesetz der EU oder Deutschlands eine andere Verarbeitung, sage ich dir das vorher, außer das Gesetz verbietet es.
4. Halte ich eine Weisung für rechtswidrig, sage ich dir das unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Ich darf sie aussetzen, bis du sie bestätigst oder änderst.

5. Vertraulichkeit (lit. b)

1. Heute verarbeite nur ich die Daten. Ich bin zur Vertraulichkeit verpflichtet. Setze ich weitere Personen ein, verpflichte ich sie vorher schriftlich zur Vertraulichkeit.
2. Im Betrieb sehe ich Daten deines Unternehmens nur, wenn es für Betrieb, Fehlerbehebung oder Support nötig ist oder du mich darum bittest. Wo Anzahlen reichen, frage ich nur Anzahlen ab. Die Betreiberansicht der Abrechnung zeigt keine Firmennamen, Anschriften oder Inhalte.
3. Gelangen trotz § 3 fremde Geheimnisse eines Berufsgeheimnisträgers zu mir, behandle ich sie vertraulich. Mir ist bekannt, dass ich mich nach § 203 Abs. 4 StGB strafbar mache, wenn ich solche Geheimnisse unbefugt offenbare.

6. Sicherheit (lit. c, Art. 32)

Ich treffe die technischen und organisatorischen Maßnahmen aus Anlage 1. Ich darf sie durch gleichwertige oder bessere ersetzen, nicht aber das Schutzniveau senken. Wesentliche Änderungen dokumentiere ich und teile sie dir auf Anfrage mit.

7. Unterauftragnehmer (lit. d, Art. 28 Abs. 2 und 4)

1. Du erlaubst allgemein, dass ich Unterauftragnehmer einsetze. Die aktuellen stehen in Anlage 2.
2. Bevor ich einen Unterauftragnehmer hinzunehme oder ersetze, sage ich dir das mindestens vier Wochen vorher per E-Mail. Du kannst innerhalb dieser Frist aus einem datenschutzrechtlichen Grund in Textform widersprechen. Einigen wir uns nicht, kannst du den Vertrag zum Zeitpunkt der Änderung kündigen. Bereits bezahlte Zeiträume danach erstatte ich anteilig.
3. Mit jedem Unterauftragnehmer schließe ich einen Vertrag nach Art. 28 Abs. 4 DSGVO mit Pflichten, die Art. 28 Abs. 3 DSGVO entsprechen. Erfüllt er seine Pflichten nicht, hafte ich dir dafür.
4. Dienste, die du selbst in Paperjay einträgst, sind keine Unterauftragnehmer von mir. Dazu gehören dein Postfach für Versand und Belegeingang, dein Speicher für die externe Sicherung, der Zugang zu einem anderen Programm wie sevdesk und Programme, die du über REST oder MCP mit eigenen Schlüsseln anbindest, etwa KI-Werkzeuge. Mit diesen Anbietern hast du einen eigenen Vertrag; was du ihnen über Paperjay gibst, verantwortest du.

8. Unterstützung (lit. e und f)

1. Rechte betroffener Personen. Mit der App kannst du Daten selbst ansehen, exportieren und, solange sie Entwurf sind, berichtigen und löschen. Kunden und Produkte archivierst du; ganz löschen lassen sie sich in der App nicht. Einen Kunden oder ein Produkt ohne abgeschlossene Dokumente lösche ich auf deine Weisung in Textform innerhalb von 30 Tagen. Abgeschlossene Dokumente und gebuchte Belege sind unveränderbar; du berichtigst sie per Storno und Korrektur, und einzeln löschen lassen sie sich nicht. Sind die Aufbewahrungsfristen für dein ganzes Unternehmen abgelaufen, löschst du es nach § 9. Einzelne abgelaufene Jahre löschen kann Paperjay heute nicht. Wendet sich eine betroffene Person direkt an mich, leite ich die Anfrage unverzüglich an dich weiter und antworte ihr nicht selbst in der Sache.
2. Datenschutzvorfälle. Erfahre ich von einer Verletzung des Schutzes der Daten deines Unternehmens, sage ich dir unverzüglich Bescheid, nach Möglichkeit innerhalb von 24 Stunden, nachdem ich davon erfahren habe, per E-Mail an die Adresse des Inhabers. So kannst du deine Pflichten aus Art. 33 und 34 DSGVO erfüllen. Die Meldung enthält, was ich zu diesem Zeitpunkt weiß: Art des Vorfalls, betroffene Daten und Personen mit ungefährer Zahl, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen und eine Ansprechperson. Was ich später erfahre, reiche ich nach.
3. Folgenabschätzung und Konsultation. Ich gebe dir die Informationen, die du für Art. 35 und 36 DSGVO brauchst, soweit ich sie habe.
4. Verzeichnis. Ich führe ein Verzeichnis der Verarbeitungen, die ich in deinem Auftrag vornehme (Art. 30 Abs. 2 DSGVO).
5. Kosten. Unterstützung nach diesem Paragraphen kostet dich nichts, soweit sie nicht über das hinausgeht, was in der App möglich ist, und keinen erheblichen Aufwand macht. Sonst sprechen wir den Aufwand vorher ab. Für Unterstützung nach einem Vorfall, den ich zu vertreten habe, berechne ich nie etwas.

9. Löschung und Rückgabe nach Vertragsende

1. Rückgabe. Während des Vertrags und in der Lesezeit nach Nr. 2 lädst du jederzeit einen vollständigen Export als ZIP herunter. Danach, auch während einer Aufbewahrung nach Nr. 3, gebe ich dir auf Verlangen einen vollständigen Export heraus, in der Regel innerhalb von fünf Werktagen. Einen Lesezugang für dich oder die Finanzverwaltung gibt es während der Aufbewahrung nicht; sie ersetzt deine eigene Aufbewahrung nicht. Ich betreibe Paperjay allein und habe keine Vertretung (AGB § 11 Nr. 5). Verlass dich deshalb nicht allein auf die Kopie bei mir. Der Export enthält die Datensätze als JSON, Dokumente, Originaldateien und Belege. Nicht enthalten sind Zugangsdaten, Schlüssel, Team, Verbindungen zu anderen Diensten und die Einstellungen für Versand, Belegeingang und Automatik.
2. Lesezugang nach Vertragsende. Nach dem Ende des Testzeitraums oder des Vertrags, bei einem wiederhergestellten Unternehmen ohne eigenen Tarif nach der Wiederherstellung, bleibt dein Unternehmen 90 Tage nur lesbar gespeichert, damit du deine Unterlagen einsehen und exportieren kannst. Dann schreibe ich dir. Buchst du in den folgenden vier Wochen keinen Tarif und beantragst keine Aufbewahrung nach Nr. 3, lösche ich das Unternehmen endgültig.
3. Löschung mit Aufbewahrung. Als Inhaber beantragst du die Löschung in der App mit Firmenname und Passwort oder Passkey, nachdem du einen aktuellen Export heruntergeladen hast. Das geht, sobald dein Tarif gekündigt oder beendet und die Widerrufsfrist vorbei ist. Läuft ein gekündigter Tarif noch, endet die Nutzung mit dem Antrag; für die Restzeit gibt es keine Erstattung (AGB § 6 Nr. 1). Mit diesem Antrag weist du mich an, das Unternehmen sofort zu sperren und es bis zum Ende des zehnten Kalenderjahres nach dem Antrag gesperrt aufzubewahren. Das ist die längste Frist nach § 147 Abs. 3 und 4 AO. Gesperrt heißt: Niemand kann das Unternehmen mehr öffnen, Schlüssel und Einladungen enden, Serien und externe Sicherungen stoppen, und ich verarbeite die Daten nur noch, um sie aufzubewahren oder dir auf Verlangen herauszugeben. Nach Ende der Frist lösche ich sie endgültig; fällige Löschungen nehme ich jeden Monat vor. Enthält dein Unternehmen nichts, was aufbewahrt werden muss (kein abgeschlossenes Dokument, keinen gebuchten Beleg, keine Zahlung, keine sonstige Aufzeichnung für die Gewinnermittlung und keine Rechnung von mir), entfällt die Aufbewahrung: Paperjay löscht es mit dem Antrag sofort und endgültig, und der Dialog sagt dir das vorher.
4. Sofortige Löschung. Willst du keine Aufbewahrung bei mir, verlangst du die Löschung in Textform an mail@tbuck.de. Ich lösche das Unternehmen dann innerhalb von 30 Tagen endgültig, auch wenn du dafür Aufbewahrungspflichten selbst erfüllen musst.
5. Sicherungen. Nach der endgültigen Löschung bleiben die Daten noch in den Sicherungen, bis diese ablaufen: höchstens 37 Tage in den Dumps auf dem Server und, weil die Sicherung des Servers diese Dumps mitnimmt, höchstens sieben Monate auf dem NAS. Aus Sicherungen stelle ich gelöschte Unternehmen nicht wieder her, außer es ist für die Wiederherstellung des ganzen Dienstes nötig; dann lösche ich sie sofort erneut. Stelle ich den Dienst ein, endet auch die Aufbewahrung nach Nr. 3. Ich kündige das an, wie es AGB § 11 Nr. 5 beschreibt, gebe dir die aufbewahrten Daten vorher vollständig als Export heraus und lösche sie danach.
6. Nach der endgültigen Löschung bestätige ich dir das auf Anfrage in Textform.

10. Nachweise und Kontrollen (lit. h)

1. Ich gebe dir die Informationen, die du brauchst, um die Einhaltung dieses Vertrags zu prüfen. In der Regel genügen dieser Vertrag mit Anlage 1 und meine schriftliche Auskunft auf deine Fragen.
2. Ich ermögliche Kontrollen vor Ort, auch durch einen von dir beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist. Den Termin stimmen wir mit mindestens vier Wochen Vorlauf ab, so dass der Betrieb nicht gestört wird. Die Kosten deiner Kontrolle trägst du. Das Rechenzentrum betreibt STRATO; dort verweise ich auf die Nachweise und Prüfrechte, die STRATO mir gewährt.

11. Ort der Verarbeitung

1. Ich speichere die Daten nur in Deutschland: auf dem Server in Frankfurt am Main und in der Sicherung auf dem NAS in meinen Räumen. Zur Wartung greife ich nur aus der EU oder dem EWR darauf zu.
2. Eine Übermittlung in ein Drittland findet nur auf deine Weisung und nach Art. 44 ff. DSGVO statt und steht dann in Anlage 2.

12. Haftung und Rangfolge

1. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen uns gilt § 12 der AGB.
2. Bei Widersprüchen zu den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.

Anlage 1: Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO. Beschrieben ist der Stand vom 15.11.2026, wie ihn Server, Betriebsdokumentation und Code belegen.

Vertraulichkeit

Rechenzentrum und Server

• Der Server ist ein virtueller Server der STRATO GmbH, Berlin, in einem Rechenzentrum in Frankfurt am Main. Zutritt, Strom, Klima, Brandschutz und Hardware verantwortet STRATO nach seinem Vertrag zur Auftragsverarbeitung.
• Betriebssystem Ubuntu 24.04 LTS. Sicherheitsupdates spielt das System täglich selbst ein (unattended-upgrades). Eine Firewall (ufw) ist aktiv; Ports, die Docker veröffentlicht, deckt sie nicht ab. Von außen erreichbar sind nur HTTPS über Traefik, Port 80 zur Weiterleitung auf HTTPS und SSH.
• Zugang zum Server hat nur der Betreiber, per SSH mit Schlüssel; die Anmeldung mit Passwort ist abgeschaltet. KI-Werkzeuge, mit denen der Betreiber Paperjay entwickelt, arbeiten nur mit dem Quellcode und erfundenen Testdaten. Zugang zu Server, Datenbank und Sicherungen haben sie nicht.
• Die Oberfläche von Dokploy, die die Geheimnisse der App hält, ist nur mit Passwort und zweitem Faktor erreichbar. Das Konto bei GitHub, aus dem Updates kommen, ist mit einem zweiten Faktor geschützt, und nur der Betreiber kann ein Release auslösen (Vorschlag).
• Die App läuft als Container mit PostgreSQL hinter Traefik, verwaltet mit Dokploy auf demselben Server. Neben Paperjay laufen dort weitere Anwendungen des Betreibers in eigenen Containern. Die App teilt sich mit Traefik und anderen Anwendungen das Docker-Netz dokploy-network. Die Datenbank ist nur im eigenen Netz von Paperjay erreichbar, nicht aus diesem gemeinsamen Netz.

Anmeldung

• Passwörter mindestens 10 Zeichen, gespeichert nur als scrypt-Hash mit Salt.
• Passkeys mit Nutzerprüfung (PIN, Fingerabdruck, Gesicht). Ab zwei Passkeys geht es ganz ohne Passwort.
• Zweiter Schritt nach dem Passwort: Passkey, Authenticator-App oder Wiederherstellungscode. Er lässt sich abschalten. Wiederherstellungscodes liegen nur als SHA-256 vor und gelten je einmal.
• Grenzen für Anmeldeversuche über mehrere Töpfe (Adresse plus IP, IP, Adresse), gespeichert nur als Hash. Codes: 5 Versuche in 15 Minuten, dann eine Stunde Sperre.
• Wer länger als 10 Minuten angemeldet ist, bestätigt sich erneut, bevor er Anmeldefaktoren ändert.
• Sitzungen gelten 30 Tage. Das Cookie ist für Skripte nicht lesbar (HttpOnly), wird über HTTPS nur verschlüsselt gesendet und ist per SameSite begrenzt. In der Datenbank liegt nur der Hash des Tokens. „Überall sonst abmelden“ beendet alle anderen Sitzungen.
• Tokens für Bestätigung, Passwort und Einladung liegen nur als SHA-256 vor, gelten einmal und laufen ab (48 Stunden, eine Stunde, 7 Tage).
• Wer alle Faktoren verliert, bekommt neue nur über den Betreiber, nachdem dieser die Person auf anderem Weg sicher erkannt hat: durch eine Antwort von der Adresse des Kontos mit Angaben, die nur der Inhaber kennen kann, etwa Betrag und Datum der letzten Abbuchung durch Paperjay und die letzten vier Stellen des Zahlungsmittels, und bleiben Zweifel, durch einen Videoanruf mit Ausweis; bei Teammitgliedern zusätzlich durch eine Bestätigung des Inhabers.

Zugriff und Trennung

• Jede Tabelle mit Daten eines Unternehmens ist in PostgreSQL per Row Level Security an die Kennung des Unternehmens gebunden (force row level security).
• Im Betrieb fragt die App die Daten mit einer eigenen Datenbankrolle ohne BYPASSRLS ab. Für sie gilt die Trennung. Endgültig löschen kann sie nur ein Unternehmen, das sein Inhaber gerade zur Löschung gesperrt hat und das nichts Aufbewahrungspflichtiges enthält; beides prüft die Datenbank selbst. Jede andere endgültige Löschung braucht den Admin-Zugang. Beim Start führt derselbe Container die Migrationen mit dem Admin-Zugang aus; dieser Zugang steht deshalb in seiner Umgebung.
• Rollen im Unternehmen: Inhaber, Mitarbeit und Nur lesen. Einstellungen, Team, Schlüssel, Postfächer und Sicherung nur für Inhaber.
• Wer aus dem Team entfernt wird, verliert sofort den Zugang. Seine Sitzungen und Schlüssel dort enden.
• API-Schlüssel mit festen Rechten, gespeichert nur als SHA-256, widerrufbar, 120 Anfragen pro Minute.
• Die Testfirma ist ein eigener Mandant, getrennt von echten Daten, ohne Verbindung nach außen.

Verschlüsselung

• Verbindungen zur App nur über HTTPS mit einem Zertifikat von Let's Encrypt.
• Ausgehende Verbindungen zu Postfächern und Speichern nur verschlüsselt mit gültigem Zertifikat. Interne Adressen sind gesperrt, sobald FINK_MULTI_TENANT gesetzt ist; das gehört zum Verkaufsstart.
• Passwörter für Postfächer, Geheimnisse der Authenticator-App und Zugangsschlüssel für Speicher liegen verschlüsselt in der Datenbank. Sie gehören nicht zum Export. Postfach-Passwörter gibt Paperjay nie zurück und schreibt sie nicht ins Log. Der Schlüssel dazu wird aus dem Datenbank-Passwort abgeleitet und steht in der Umgebung des Servers; wer den Server oder die Sicherung des ganzen Servers liest, kann diese Geheimnisse entschlüsseln.
• Die externe Sicherung je Unternehmen ist vor dem Hochladen mit AES-256-GCM verschlüsselt. Ohne die Passphrase des Kunden kann auch der Betreiber sie nicht lesen.
• Die Sicherung des Servers auf das NAS ist mit restic verschlüsselt (AES-256).
• Der Datenträger des virtuellen Servers ist nicht gesondert verschlüsselt. Die Daten liegen damit im Klartext bei STRATO; den Schutz vor physischem Zugriff übernimmt das Rechenzentrum.

Integrität

• Abgeschlossene Dokumente, gebuchte Belege und ihre Dateien sind per Datenbank-Trigger unveränderlich. Korrekturen laufen über Storno.
• Jedes Dokument hat einen Verlauf mit Zeit und handelnder Person.
• Sicherheitsrelevante Vorgänge am Konto stehen in einem eigenen Protokoll (account_events).
• Nachrichten des Zahlungsanbieters werden nur mit gültiger Signatur angenommen. Den Stand eines Abos liest Paperjay danach beim Anbieter, nicht aus der Nachricht. Bezahlte Rechnungen übernimmt Paperjay aus der signierten Nachricht.
• Hochgeladene Dateien werden an ihren Bytes geprüft. XML wird ohne DOCTYPE und Entitäten gelesen.

Verfügbarkeit und Belastbarkeit

• Täglich ein pg_dump der ganzen Datenbank auf demselben Server, aufbewahrt etwa fünf Wochen (höchstens 37 Tage). Diese Dumps sind wie der Datenträger nicht gesondert verschlüsselt.
• Vor jedem Update ein weiterer Dump. Schlägt er fehl, startet die neue Version nicht.
• Zusätzlich täglich eine verschlüsselte Sicherung des ganzen Servers mit restic auf ein NAS in den Räumen des Betreibers in Deutschland, aufbewahrt werden sieben tägliche, vier wöchentliche und sechs monatliche Stände, also höchstens sechs Monate. Sie nimmt die Dumps mit; ein Datensatz kann darin also bis zu sieben Monate stecken. Protokolle der Container nimmt sie nicht mit. Zugang zum NAS hat nur der Betreiber.
• Migrationen laufen je in einer Transaktion. Schlägt eine fehl, bleibt die Datenbank auf dem alten Stand.
• Nach jedem Update prüft der Ablauf, ob die App antwortet.
• Hintergrundläufe sind je Lauf begrenzt (Unternehmen, Mails, Größe, Zeit), damit ein Kunde nicht den Dienst für alle blockiert.
• Die Wiederherstellung ist beschrieben. Ein automatischer Test spielt eine Sicherung mit erfundenen Daten auf einen frischen Datenbankserver zurück und vergleicht jede Tabelle; er läuft, wo die PostgreSQL-Werkzeuge installiert sind. Ziele: höchstens 24 Stunden Datenverlust, Wiederherstellung auf demselben Server in 30 Minuten, auf einem neuen Server in 4 Stunden. Eine Probe mit der echten Sicherung macht der Betreiber einmal im Monat und nach jeder Änderung an Server oder Sicherung.

Datenminimierung

• Kontoauszüge als Datei werden nicht gespeichert, nur bestätigte Zahlungen. Eingänge ohne passende Rechnung werden nur gezählt.
• Vom Belegeingang speichert Paperjay keine Betreffzeilen und Texte, nur Hashes, Absender, Datum und die übernommenen Anhänge.
• Belege werden im Browser gelesen. Paperjay schickt sie dafür an keinen fremden Dienst.
• E-Rechnungen werden auf dem eigenen Server geprüft, nicht bei Dritten.
• Paperjay setzt keine Webanalyse und keine Tracker ein.
• Die App schreibt bei Fehlern nur Art, Code und Stelle im Programm ins Protokoll, keine Fehlertexte, IP-Adressen oder Inhalte. Vereinzelt steht dort die Kennung eines Unternehmens. Die Datenbank protokolliert Fehler ohne Details und ohne die Abfrage; eine Meldung kann einen einzelnen fehlerhaften Eingabewert nennen. Protokolle rotieren bei 30 MB je Dienst.

Regelmäßige Überprüfung

• Es gibt automatische Tests für Mandantentrennung, Rollen, Sperren, Löschung, Wiederherstellung und Abrechnung.
• Updates kommen über ein Release. Es wird erst ausgerollt, wenn alle automatischen Tests grün sind.
• Für Datenschutzvorfälle gibt es ein schriftliches Verfahren mit Meldewegen, Fristen und einem Vorfallregister, das der Betreiber außerhalb des Servers führt.
• Einmal im Jahr, jeweils im Januar, prüft der Betreiber diese Maßnahmen, die Zugänge und das Löschkonzept. Hinweise auf Sicherheitslücken nimmt mail@tbuck.de an.

Anlage 2: Unterauftragnehmer

Keine Unterauftragnehmer im Sinn dieses Vertrags sind:

• Der Zahlungsanbieter Stripe. Er verarbeitet nur Daten zur Abrechnung des Tarifs, also für meine eigenen Zwecke. Siehe Datenschutzhinweise.
• GitHub als Werkzeug für den Code. Es erhält keine Daten deines Unternehmens. Dokploy läuft auf meinem eigenen Server.
• Das NAS für die Sicherung. Es gehört mir und steht in meinen Räumen.
• Dienste, die du selbst einträgst (§ 7 Nr. 4).

Eine Bankverbindung über einen Kontoinformationsdienst bietet die gehostete Fassung derzeit nicht an. Kommt sie dazu, ergänze ich diese Anlage nach § 7 Nr. 2.