Auftragsverarbeitungsvertrag

Snapfritz (snapfritz.com) · nach Art. 28 DSGVO · Stand: September 2026

Dieser Vertrag gilt zwischen Ihnen als Kunde von Snapfritz (Verantwortlicher, nachfolgend „Kunde“) und STAYFRITZ SPAIN, S.L., CIF B26591909, Avenida Central, 18, 07184 El Toro, Calvià, Mallorca, Spanien (Auftragsverarbeiter, nachfolgend „wir“). Er ergänzt die Nutzungsbedingungen (AGB).

1. Geltung und Abschluss

• Dieser Vertrag ist Teil der AGB. Er kommt mit deren Annahme zustande, in jedem Tarif einschließlich Free, und bedarf keiner gesonderten Unterschrift; er ist in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO).
• Kunde ist, wer nach Abschnitt 3 der AGB Vertragspartner ist, bei einem Firmenkonto also das Unternehmen bzw. die Organisation. Für den Kunden handeln die Inhaber der Organisation.
• Der Vertrag gilt, soweit wir bei der Nutzung von Snapfritz personenbezogene Daten im Auftrag des Kunden verarbeiten. Nutzt eine natürliche Person Snapfritz ausschließlich für persönliche oder familiäre Zwecke, gilt die DSGVO dafür nicht (Art. 2 Abs. 2 lit. c DSGVO), und dieser Vertrag entfaltet keine Wirkung.
• Für Daten, die wir für eigene Zwecke verarbeiten – Konto und Anmeldung, Abrechnung, Sicherheit und Missbrauchsschutz, gesetzliche Pflichten –, sind wir selbst Verantwortlicher; dafür gilt die Datenschutzerklärung.

2. Gegenstand, Art und Zweck der Verarbeitung

Wir verarbeiten die Daten, um Snapfritz nach den AGB zu erbringen: PDF-Formulare empfangen (Upload, E-Mail-Weiterleitung, Browser-Erweiterung, API), ihren Text erkennen, die Felder mit Hilfe eines KI-Modells erkennen, Werte aus den hinterlegten Angaben vorschlagen, bestätigte Werte und Unterschriften in das PDF einsetzen, Dokumente speichern, im Team freigeben und bereitstellen, bestätigte Antworten für wiederkehrende Formulare lernen, ein Protokoll führen und E-Mail-Benachrichtigungen versenden.

Art der Verarbeitung: Erheben, Speichern, Auslesen, Abgleichen, Verändern, Übermitteln an Unterauftragsverarbeiter, Bereitstellen und Löschen. Wir verarbeiten die Daten zu keinem anderen Zweck.

3. Art der Daten und betroffene Personen

• Daten: Inhalte der hochgeladenen Dokumente und weitergeleiteten E-Mails (Absender, Betreff, Anhänge); der daraus erkannte Text und die Felder mit ihren Werten; hinterlegte Angaben der Organisation und ihrer Mitglieder (etwa Name, Anschrift, Kontaktdaten, Position, Steuernummer, USt-IdNr., IBAN) und Bilder von Unterschriften; gelernte Antworten; Protokolldaten (Zeitpunkt, Aktion, handelnde Person, IP-Adresse); Daten des Teams (Mitgliedschaften, Rollen, Einladungen, Freigaben).
• Besondere Kategorien: Formulare können Daten nach Art. 9 DSGVO enthalten, etwa Gesundheits- oder Sozialdaten. Ob solche Daten verarbeitet werden, bestimmt allein der Kunde durch die Dokumente, die er einbringt.
• Betroffene Personen: Mitglieder der Organisation und Eingeladene; Kunden, Beschäftigte, Geschäftspartner und andere Personen, deren Daten in den Dokumenten stehen; Absender weitergeleiteter E-Mails.

4. Dauer

Der Vertrag gilt, solange wir personenbezogene Daten im Auftrag des Kunden verarbeiten, also bis zur Löschung nach Abschnitt 11. Die Kündigung richtet sich nach den AGB.

5. Weisungen

• Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO), auch bei Übermittlungen in Drittländer, es sei denn, das Recht der EU oder eines Mitgliedstaats verpflichtet uns zur Verarbeitung; dann teilen wir dem Kunden diese Pflicht vorher mit, sofern das Recht es nicht verbietet.
• Die Weisungen sind in den AGB und in diesem Vertrag festgelegt. Im Einzelnen erteilen der Kunde und seine Mitglieder sie, indem sie die Funktionen von Snapfritz nutzen, etwa Hochladen, Freigeben, Unterschreiben und Löschen. Weitere Weisungen erteilt ein Inhaber in Textform an hola@stayfritz.es; sie müssen im Leistungsumfang von Snapfritz umsetzbar sein.
• Sind wir der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informieren wir den Kunden unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO) und dürfen die Ausführung aussetzen, bis er sie bestätigt oder ändert.

6. Vertraulichkeit

Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO). Sie greifen auf Inhalte des Kunden nur zu, soweit das für den Betrieb, die Behebung von Fehlern oder die Unterstützung auf Wunsch des Kunden erforderlich ist.

7. Technische und organisatorische Maßnahmen

Wir treffen die Maßnahmen nach Art. 32 DSGVO. Derzeit sind das insbesondere:

• Verschlüsselung: Übertragung ausschließlich per HTTPS/TLS. Dateien im Objektspeicher (Cloudflare R2) sind im Ruhezustand verschlüsselt.
• Anmeldung: ohne Passwort per E-Mail-Code oder -Link oder mit Google, mit begrenzten Anmeldeversuchen. Sitzungs-Tokens, Anmeldecodes, Links in E-Mails, Einladungen und API-Schlüssel speichern wir nur als Prüfwert (Hash). Sitzungen laufen nach 30 Tagen ab; das Sitzungs-Cookie ist für Skripte nicht lesbar, wird nur verschlüsselt übertragen und ist an die Domain gebunden.
• Zugriffskontrolle: Jeder Zugriff wird auf dem Server geprüft. Organisationen sind voneinander getrennt; innerhalb einer Organisation richtet sich der Zugriff nach Dokument, Freigabe und Rolle. API-Schlüssel haben begrenzte Berechtigungen und werden ungültig, wenn ihr Inhaber die Organisation verlässt.
• Server und Datenflüsse: Anwendung, Datenbank und Texterkennung laufen auf einem Server der Hetzner Online GmbH in Nürnberg. An das KI-Modell (Anthropic) übermitteln wir nur den erkannten Text mit Positionsangaben und den Dateinamen, nicht das PDF, die hinterlegten Angaben oder die Unterschrift; Anthropic verwendet diese Inhalte nicht zum Training.
• Administration: Zugang zu den Servern haben nur wenige Administratoren, per SSH-Schlüssel.
• Nachvollziehbarkeit: Ein Protokoll hält die wichtigen Schritte an jedem Dokument und die Änderungen am Team fest.
• Löschen und Export: Der Kunde kann Dokumente, Mitglieder und die ganze Organisation selbst löschen und seine Daten exportieren.
• Überprüfung: Wir überprüfen die Maßnahmen regelmäßig und passen sie dem Stand der Technik an. Wir dürfen sie ändern, solange das Schutzniveau nicht sinkt.

8. Unterauftragsverarbeiter

Der Kunde genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:

• Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO), und haften dem Kunden für ihn wie für eigenes Handeln.
• Einen neuen oder ersetzten Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vor seinem Einsatz per E-Mail an die Inhaber an. Der Kunde kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen widersprechen. Können wir dem Widerspruch nicht abhelfen, kann der Kunde den Vertrag zum Einsatz des neuen Unterauftragsverarbeiters kündigen; für die Zeit danach im Voraus bezahlte Beträge erstatten wir anteilig.

9. Übermittlung in Drittländer

Daten gelangen nur unter den Voraussetzungen der Art. 44 ff. DSGVO in Länder außerhalb des Europäischen Wirtschaftsraums: auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, im Übrigen auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Modul 3, Auftragsverarbeiter an Auftragsverarbeiter).

10. Unterstützung des Kunden

• Rechte betroffener Personen: Wir unterstützen den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen zu beantworten (Art. 12–22 DSGVO). Vieles erledigt der Kunde selbst in Snapfritz: Angaben ändern, Dokumente löschen, Daten exportieren. Wendet sich eine betroffene Person an uns, leiten wir die Anfrage an den Kunden weiter, soweit wir ihn erkennen können, und beantworten sie nicht ohne seine Zustimmung.
• Weitere Pflichten: Unter Berücksichtigung der Art der Verarbeitung und der uns vorliegenden Informationen unterstützen wir den Kunden bei der Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen nach Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 32 bis 36 DSGVO).
• Datenschutzverletzungen: Wird uns eine Verletzung des Schutzes der Daten des Kunden bekannt, melden wir sie den Inhabern unverzüglich per E-Mail, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie uns vorliegen; fehlende Angaben reichen wir nach.

11. Löschung und Rückgabe

• Während der Laufzeit kann der Kunde seine Daten jederzeit unter Einstellungen → Konto exportieren und die PDFs im jeweiligen Dokument herunterladen.
• Löscht ein Inhaber die Organisation, löschen wir ihre Daten sofort und endgültig, einschließlich der gespeicherten Dateien. Endet der Vertrag auf andere Weise, löschen wir die Daten innerhalb von 30 Tagen nach seinem Ende. Kopien in Datensicherungen löschen wir spätestens 30 Tage später. Das gilt nicht, soweit das Recht der EU oder eines Mitgliedstaats uns zur Speicherung verpflichtet.
• Daten, die wir als eigener Verantwortlicher verarbeiten (Abschnitt 1), bleiben nach der Datenschutzerklärung erhalten, etwa die Rechnungen bei Stripe.

12. Nachweise und Überprüfungen

• Wir stellen dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind.
• Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der nicht unser Wettbewerber ist, kann Überprüfungen einschließlich Inspektionen durchführen. Sie sind mindestens 30 Tage vorher in Textform anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Für Unterauftragsverarbeiter genügen in der Regel deren aktuelle Zertifikate oder Prüfberichte.
• Die Kosten einer Überprüfung trägt der Kunde, es sei denn, sie ergibt einen erheblichen Verstoß gegen diesen Vertrag.

13. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen dem Kunden und uns gilt Abschnitt 11 der AGB.

14. Pflichten des Kunden

• Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die Dokumente und Daten in Snapfritz einbringen darf und die betroffenen Personen informiert sind.
• Er entscheidet, wen er in die Organisation einlädt und mit welcher Rolle, und sorgt dafür, dass die Zugänge sicher sind (die E-Mail- und Google-Konten der Mitglieder und die API-Schlüssel).
• Er informiert uns unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

15. Schlussbestimmungen

• Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.
• Änderungen dieses Vertrags richten sich nach Abschnitt 13 der AGB, ein Wechsel der Unterauftragsverarbeiter nach Abschnitt 8 dieses Vertrags.
• Es gilt das Recht nach Abschnitt 14 der AGB. Maßgeblich ist die deutsche Fassung; die englische Fassung dient der Information.