Waybourne

Auftragsverarbeitungsvertrag

Dieser Vertrag gilt zwischen dem Kunden (Verantwortlicher) und der Waybourne LLC (Auftragsverarbeiter) für alle personenbezogenen Daten, die wir im Rahmen der Nutzung von Waybourne im Auftrag des Kunden verarbeiten. Er ist Bestandteil der AGB und wird mit der Registrierung vereinbart.

1. Gegenstand, Dauer, Art und Zweck

Gegenstand ist die Bereitstellung der Anwendung Waybourne zum Erstellen, Ausstellen, Archivieren und Exportieren von Geschäftsdokumenten und zum Einholen von Liefernachweisen. Die Verarbeitung umfasst Erheben, Speichern, Anzeigen, Übermitteln (etwa an die Sendungsverfolgung), Exportieren und Löschen. Die Dauer entspricht der Laufzeit des Hauptvertrags.

2. Arten von Daten und betroffene Personen

  • Kunden, Lieferanten und Ansprechpartner des Kunden: Namen, Anschriften, E-Mail, Telefon, USt-IdNr.
  • Inhalte von Angeboten, Rechnungen, Zahlungen, Mahnungen, Lieferungen und Sendungen.
  • Unterzeichner von Empfangs- und Gelangensbestätigungen: Name, Unterschrift, Zeitpunkt, IP-Adresse, Browserkennung.
  • Benutzer des Kunden: Name, E-Mail, Rolle, Protokolle ihrer Änderungen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen.

3. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden; die Nutzung der Anwendung und dieser Vertrag sind solche Weisungen. Halten wir eine Weisung für rechtswidrig, weisen wir den Kunden unverzüglich darauf hin. Eine Verarbeitung zu eigenen Zwecken findet nicht statt, insbesondere kein Training von KI-Modellen.

4. Vertraulichkeit

Personen, die bei uns Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet und erhalten Zugriff nur, soweit es für ihre Aufgabe erforderlich ist.

5. Technische und organisatorische Maßnahmen

  • Verschlüsselte Übertragung (TLS) für alle Verbindungen.
  • Datenbank und Dateiablage in einem Rechenzentrum in Frankfurt am Main.
  • Mandantentrennung durch Zugriffsregeln direkt in der Datenbank (Row Level Security).
  • Rollen mit abgestuften Rechten und Zwei-Faktor-Anmeldung.
  • Unveränderbarkeit ausgestellter Dokumente und Protokollierung von Änderungen.
  • Regelmäßige Sicherungen durch den Datenbank-Anbieter.

Wir passen die Maßnahmen dem Stand der Technik an, ohne das Schutzniveau zu senken.

6. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

  • Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA: Betrieb von Website und Anwendung (Hosting, Auslieferung, Server-Logs) (USA / weltweites Netz)
  • Supabase Inc., USA: Datenbank, Dateiablage, Anmeldung und Anmelde-E-Mails (Rechenzentrum Frankfurt am Main (EU))
  • Deutsche Post AG (DHL), Charles-de-Gaulle-Str. 20, 53113 Bonn, Deutschland: Sendungsverfolgung, nur wenn Sie Sendungsnummern hinterlegen (EU)

Neue oder geänderte Unterauftragsverarbeiter kündigen wir mindestens vier Wochen vorher in Textform an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine Einigung möglich, kann er den Vertrag zum Wechselzeitpunkt kündigen. Wir verpflichten Unterauftragsverarbeiter auf dieselben Datenschutzpflichten wie in diesem Vertrag.

7. Übermittlung in Drittländer

Übermittlungen außerhalb der EU erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (EU-U.S. Data Privacy Framework) oder von Standardvertragsklauseln der EU-Kommission.

8. Unterstützung des Kunden

Wir unterstützen den Kunden mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Art. 12 bis 22 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen. Wenden sich Betroffene direkt an uns, leiten wir die Anfrage an den Kunden weiter.

9. Datenschutzverletzungen

Wir informieren den Kunden unverzüglich, möglichst innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes seiner personenbezogenen Daten bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

10. Löschung und Rückgabe

Nach Vertragsende kann der Kunde seine Daten 30 Tage lang exportieren. Danach löschen wir sie, soweit keine gesetzliche Pflicht zur Speicherung besteht. Sicherungskopien werden im Rahmen der üblichen Rotation überschrieben.

11. Nachweise und Kontrollen

Wir stellen dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglichen Überprüfungen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebs.

12. Kontakt

Fragen zum Datenschutz: hello@waybourne.eu

Stand: 31. Oktober 2026