Auftragsverarbeitungsvertrag

Stand: 17. Oktober 2026

1. Parteien und Gegenstand

Dieser Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO gilt zwischen dem Unternehmer, der Verdaro Business nutzt und diesen Vertrag in der App abschließt (Verantwortlicher, im Folgenden „Sie“), und Süleyman Kaan Koc (BMT-Code), Verdaro, Neuherbergstraße 117, 80937 München, Deutschland (Auftragsverarbeiter, im Folgenden „wir“).

Er regelt, wie wir personenbezogene Daten verarbeiten, die Sie in Verdaro über Ihre Kundinnen und Kunden und andere Dritte speichern. Er gilt zusätzlich zu den AGB und geht ihnen in Fragen des Datenschutzes vor.

Sie schließen den Vertrag in der App ab, indem Sie ihn bestätigen; wir speichern Fassung und Zeitpunkt. Eine Ausfertigung mit Ihren Geschäftsdaten können Sie dort jederzeit als PDF herunterladen. Die elektronische Form genügt (Art. 28 Abs. 9 DSGVO).

2. Art, Zweck und Dauer der Verarbeitung

Wir speichern die Daten, zeigen sie Ihnen in der App, erzeugen daraus Ihre Angebote, Rechnungen und Mahnungen als PDF, senden sie auf Ihre Anweisung per E-Mail an die von Ihnen angegebene Adresse, bewahren diese auf, exportieren sie auf Ihre Anforderung und löschen sie. Zweck ist allein, Ihnen Verdaro Business bereitzustellen.

Der Vertrag gilt, solange in Ihrem Konto Daten Dritter gespeichert sind, auch nach dem Ende von Business, und endet mit der vollständigen Löschung Ihres Kontos.

3. Daten und betroffene Personen

Betroffen sind Ihre Kundinnen und Kunden, deren Ansprechpersonen und Personen, die auf Ihren Fotos zu sehen sind oder in Ihren Notizen vorkommen. Verarbeitet werden:

  • Namen, Anschriften, E-Mail-Adressen und Umsatzsteuer-Identifikationsnummern;
  • Notizen und die Zuordnung von Gärten zu Kunden;
  • Inhalte von Angeboten, Rechnungen, Stornorechnungen und Mahnungen, einschließlich Leistungen, Beträgen, Daten und Zahlungsstand;
  • Empfänger und Zeitpunkt der aus Verdaro versandten Belege;
  • Fotos von Gärten und Pflanzen und die Ergebnisse ihrer Auswertung, soweit sie Personen betreffen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen; bitte speichern Sie keine.

4. Weisungen

Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung. Weisungen sind dieser Vertrag und Ihre Eingaben in der App, etwa Anlegen, Ändern, Versenden, Exportieren und Löschen. Weitere Weisungen erteilen Sie per E-Mail an info@bmt-code.de.

Sind wir gesetzlich zu einer anderen Verarbeitung verpflichtet, teilen wir Ihnen das vorher mit, soweit das Gesetz es nicht verbietet. Halten wir eine Weisung für rechtswidrig, sagen wir es Ihnen unverzüglich.

5. Vertraulichkeit

Zugang zu den Daten haben nur der Anbieter und Personen, die zur Vertraulichkeit verpflichtet sind. Wir sehen Ihre Daten nur an, soweit es für den Betrieb, die Fehlersuche oder auf Ihre Bitte nötig ist.

6. Sicherheit der Verarbeitung

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, die dem Risiko angemessen sind, insbesondere:

  • Betrieb auf einem Server in Rechenzentren in Deutschland;
  • Verschlüsselung aller Verbindungen mit TLS;
  • Passwörter nur als sichere Hashwerte, Anmeldung auch mit Passkeys;
  • jede Abfrage ist auf das eigene Konto beschränkt, sodass niemand Daten eines anderen Kontos sieht;
  • Datenbank und Dateien sind nicht direkt aus dem Internet erreichbar;
  • administrativer Zugang zum Server nur für den Anbieter und nur mit kryptografischen Schlüsseln;
  • tägliche Sicherungskopien, auf dem Server 14 Tage und verschlüsselt außerhalb des Servers höchstens 30 Tage aufbewahrt;
  • Entfernen aller Metadaten aus Fotos beim Hochladen;
  • fertige Angebote, Rechnungen und Mahnungen werden einmal erzeugt und mit Prüfsumme unverändert gespeichert;
  • Server-Protokolle werden nach spätestens 14 Tagen gelöscht.

Wir passen die Maßnahmen dem Stand der Technik an, ohne das Schutzniveau zu senken.

7. Unterauftragsverarbeiter

Sie stimmen dem Einsatz dieser Unterauftragsverarbeiter zu:

  • STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland: Betrieb des Servers in Rechenzentren in Deutschland, Speicherung aller Daten und Versand von E-Mails;
  • Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg: Aufbewahrung verschlüsselter Sicherungskopien in Rechenzentren in Frankfurt am Main, die Amazon nicht lesen kann;
  • Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland: Auswertung von Fotos mit dem KI-Modell Gemini über Vertex AI in Rechenzentren in der EU, nur für Bestimmungen und Gesundheits-Checks. Daten aus Kunden, Angeboten, Rechnungen und Mahnungen werden nicht übermittelt.

Mit jedem Unterauftragsverarbeiter besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO; einen möglichen Zugriff von Unternehmen der Google-Gruppe außerhalb der EU beschreibt unsere Datenschutzerklärung.

Unser Zahlungsdienstleister Stripe verarbeitet nur Daten zu Ihrem eigenen Abo, keine Daten Ihrer Kunden, und ist deshalb kein Unterauftragsverarbeiter nach diesem Vertrag.

Wollen wir einen Unterauftragsverarbeiter hinzunehmen oder ersetzen, teilen wir Ihnen das mindestens vier Wochen vorher per E-Mail mit. Sie können in dieser Zeit aus wichtigem datenschutzrechtlichem Grund widersprechen; einigen wir uns nicht, können Sie Verdaro Business zum Zeitpunkt der Änderung kündigen.

8. Unterstützung

Wenden sich betroffene Personen an uns, leiten wir die Anfrage an Sie weiter und beantworten sie nicht selbst. Bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit helfen Ihnen die Funktionen der App, insbesondere Bearbeiten, Löschen und der Export; wo sie nicht reichen, unterstützen wir Sie auf Anfrage. Fertige Rechnungen und Mahnungen lassen sich wegen der Aufbewahrungspflichten nicht einzeln löschen.

Bei Ihren Pflichten nach Art. 32 bis 36 DSGVO unterstützen wir Sie mit den Informationen, die uns vorliegen.

9. Verletzungen des Schutzes der Daten

Erfahren wir von einer Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft, informieren wir Sie unverzüglich per E-Mail, möglichst innerhalb von 24 Stunden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie uns vorliegen, und treffen die nötigen Maßnahmen, um die Folgen zu begrenzen.

10. Löschung und Rückgabe

Ihre Daten können Sie jederzeit selbst bearbeiten und löschen; fertige Rechnungen und Mahnungen bleiben erhalten, solange Ihr Konto besteht. Mit dem Export erhalten Sie Ihre Belege als PDF und eine Tabelle im CSV-Format.

Löschen Sie Ihr Konto, löschen wir alle Daten nach 30 Tagen endgültig; aus den Sicherungskopien verschwinden sie spätestens 30 Tage danach. Die App weist vor dem Löschen darauf hin, dass Sie Ihre Belege vorher exportieren sollten.

11. Nachweise und Kontrollen

Wir weisen Ihnen die Einhaltung dieses Vertrags auf Anfrage nach, in der Regel durch schriftliche Auskunft und durch Nachweise unserer Unterauftragsverarbeiter, etwa Zertifikate. Kontrollen vor Ort stimmen wir mit angemessener Vorankündigung ab; sie dürfen den Betrieb nicht unverhältnismäßig stören.

12. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und den AGB.

Ändern wir diesen Vertrag, legen wir Ihnen die neue Fassung in der App zur Bestätigung vor.

Es gilt deutsches Recht. Maßgeblich ist die deutsche Fassung; die englische und die türkische Fassung sind Übersetzungen.