Auftragsverarbeitungsvertrag für personenbezogene Daten

Letzte Aktualisierung: 12. Oktober 2026

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten im Rahmen der Nutzung von Rapprocha gemäß Artikel 28 der Datenschutz-Grundverordnung (DSGVO).

1. Parteien und Gegenstand

Diese Vereinbarung wird geschlossen zwischen:

Der Verantwortliche: der gewerbliche Kunde, der Rapprocha nutzt und die Zwecke und Mittel der Verarbeitung der in den von ihm importierten Dateien enthaltenen personenbezogenen Daten bestimmt.
Der Auftragsverarbeiter: Hamza KAMAL, entrepreneur individuel, Betreiber von Rapprocha.

Rechtsform: « Micro-entrepreneur (entrepreneur individuel) ».
Geschäftsadresse: 14 RUE LOUIS BRAILLE, 31830 PLAISANCE-DU-TOUCH
Registrierung: SIREN 123 456 789
E-Mail: rapprocha.support@gmail.com

Die vollständige Identität des Betreibers finden Sie im Impressum.

Bei der Erbringung des Dienstes verarbeitet der Auftragsverarbeiter bestimmte personenbezogene Daten im Auftrag des Verantwortlichen und gemäß dessen dokumentierten Weisungen.

Diese Vereinbarung ergänzt die für den Dienst geltenden Allgemeinen Geschäftsbedingungen. Sie gilt, wenn die Nutzung von Rapprocha die Verarbeitung personenbezogener Daten im Auftrag des Kunden beinhaltet.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand der Verarbeitung ist es, dem Kunden den Abgleich seiner Banktransaktionen und Rechnungen mit Rapprocha zu ermöglichen.

Die Verarbeitungsvorgänge können Folgendes umfassen:

Der Empfang und der Import der vom Kunden übermittelten Dateien.
Das Lesen und die Analyse der in diesen Dateien enthaltenen Daten.
Der Abgleich von Transaktionen und Rechnungen.
Die Erkennung von Vorgängen, die einer Prüfung bedürfen.
Die Erstellung und der Export der Ergebnisse, insbesondere im CSV- und PDF-Format.
Die Speicherung der für den Betrieb des Dienstes erforderlichen Daten.
Die Löschung der Daten gemäß den geltenden Aufbewahrungsregeln.

Die Verarbeitung erfolgt für die Dauer der Nutzung des Dienstes, vorbehaltlich geltender gesetzlicher Pflichten und der technisch für die Löschung der Daten erforderlichen Fristen.

3. Datenkategorien und betroffene Personen

Zu den möglicherweise verarbeiteten Daten gehören insbesondere:

Die Daten und Beträge der Transaktionen.
Die Buchungstexte und Referenzen der Bankvorgänge.
Gegebenenfalls in den Dateien enthaltene Namen und Kontaktdaten.
Die Namen von Kunden, Lieferanten und anderen Gegenparteien.
Die Referenzen und Rechnungsnummern.
Die Informationen, die zur Zuordnung von Zahlungen und den entsprechenden Rechnungen erforderlich sind.

Betroffene Personen können insbesondere Kunden, Lieferanten, Mitarbeiter, Vertreter und andere natürliche Personen sein, deren Daten in den importierten Dateien enthalten sind.

Der Kunde verpflichtet sich, nur die für die Nutzung des Dienstes erforderlichen Daten zu übermitteln und über eine geeignete Rechtsgrundlage für deren Verarbeitung zu verfügen.

Es obliegt ihm außerdem, die betroffenen Personen zu informieren, wenn die Vorschriften dies verlangen.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, sofern nicht gesetzlich etwas anderes vorgeschrieben ist.
Sicherstellen, dass die zum Zugriff auf die Daten befugten Personen einer angemessenen Vertraulichkeitspflicht unterliegen.
Geeignete technische und organisatorische Maßnahmen umsetzen, um die Daten vor Verlust, unbefugtem Zugriff, Offenlegung oder Veränderung zu schützen.
Den Verantwortlichen nach Möglichkeit dabei unterstützen, Anfragen zur Ausübung der Rechte betroffener Personen zu beantworten.
Den Verantwortlichen bei seinen Pflichten zu Sicherheit, Datenschutzverletzungen und Datenschutz-Folgenabschätzungen im erforderlichen Umfang angemessen unterstützen.
Den Verantwortlichen unverzüglich nach Kenntnisnahme über jede Verletzung des Schutzes personenbezogener Daten informieren.
Die erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten bereitstellen und die in Artikel 28 DSGVO vorgesehenen Überprüfungen ermöglichen.
Die Daten nicht in ein Land außerhalb des Europäischen Wirtschaftsraums übermitteln, ohne die nach den geltenden Vorschriften erforderlichen Bedingungen einzuhalten.

Bislang umgesetzte Sicherheitsmaßnahmen:

Verschlüsselung der Übertragung: Der Zugriff auf den Dienst erfolgt ausschließlich über HTTPS (automatische Weiterleitung, HSTS), und Sitzungs-Cookies werden nur über sichere Verbindungen gesendet.
Trennung: Jeder Abgleich ist nur für das Konto zugänglich, das ihn erstellt hat; dies wird bei jeder Anfrage geprüft.
Authentifizierung: Sie wird an Google delegiert; Rapprocha speichert keine Passwörter seiner Kunden.
Hosting: Die Anwendung und ihre PostgreSQL-Datenbank werden von Render in Frankfurt (Europäische Union) gehostet; der Zugriff auf die Datenbank erfolgt über das private Netzwerk des Hosters. Die Verschlüsselung ruhender Daten erfolgt durch die Hosting-Anbieter nach deren eigenen Bedingungen.
Backups: tägliche Kopien der Datenbank in einem privaten Objektspeicher (Cloudflare R2), zugänglich über einen dedizierten Schlüssel und höchstens 30 Tage aufbewahrt.
Kontrolle importierter Dateien: Prüfung von Format, Größe und Zeilenanzahl sowie Neutralisierung von Formeln in CSV-Exporten.
Keine KI von Drittanbietern: Die Dateien werden an keinen KI-Dienst gesendet und nicht zum Training von Modellen verwendet.
Eingeschränkter Zugriff: Der Zugriff des Betreibers auf die Daten beschränkt sich auf die Administration und den Support des Dienstes; Abgleichentscheidungen werden protokolliert.

Diese Maßnahmen werden durch die in der Datenschutzerklärung beschriebenen ergänzt. Da kein System unfehlbar ist, garantiert der Auftragsverarbeiter nicht, dass keine Vorfälle auftreten, verpflichtet sich aber, sie gemäß dieser Vereinbarung zu behandeln.

5. Unterauftragsverarbeiter

Der Auftragsverarbeiter kann zur Erbringung des Dienstes externe Dienstleister einsetzen, insbesondere für Hosting und Datenspeicherung.

Dienstleister, die die Daten der importierten Dateien verarbeiten:

Render Services, Inc. — Hosting der Anwendung und der Datenbank (Rechenzentrum Frankfurt, Europäische Union).
Cloudflare, Inc. — privater Objektspeicher (Cloudflare R2): tägliche Datenbank-Backups und, sofern dieser Speicher für Dateien aktiviert ist, importierte Dateien.

Stripe (Zahlung der Abonnements) und Google (Authentifizierung) verarbeiten Konto- und Abrechnungsdaten als eigenständige Verantwortliche; sie erhalten nicht den Inhalt der importierten Dateien. Bislang wird kein Dienst für E-Mail-Versand, Reichweitenanalyse oder Werbung eingesetzt.

Die aktuelle Liste der Dienstleister, ihre Rolle und der Speicherort der Daten sind in der Datenschutzerklärung aufgeführt.

Die Beauftragung dieser Dienstleister ist gemäß Artikel 28 DSGVO geregelt. Der Auftragsverarbeiter stellt sicher, dass sie Datenschutzpflichten unterliegen, die mindestens denen entsprechen, die ihm für die betreffenden Vorgänge obliegen.

Bei einer geplanten Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters wird der Verantwortliche nach den Vorgaben der DSGVO informiert und kann nach den mitgeteilten Modalitäten begründet Einspruch erheben.

6. Aufbewahrung und Löschung der Daten

Der Kunde kann seine Daten jederzeit selbst über die Funktionen von Rapprocha löschen:

Löschen eines Abgleichs: mit einem Klick. Die importierten Dateien, Transaktionen, Rechnungen, Ergebnisse und Berichte, die dazu gehören, werden sofort aus der Anwendung gelöscht. Der Vorgang ist nicht umkehrbar.
Löschen des Kontos: über die Sicherheitseinstellungen. Alle Abgleiche und ihre Dateien sowie die Kontodaten werden sofort gelöscht. Abrechnungsdaten werden entsprechend den geltenden gesetzlichen Fristen aufbewahrt.
Die Zuordnungen zwischen Bankbuchungstexten und Lieferantennamen, die sich der Dienst für spätere Abgleiche merkt, sind dem Konto zugeordnet; sie werden nicht mit einem Abgleich, wohl aber mit dem Konto gelöscht.
Der Kunde kann seine Daten jederzeit über die Sicherheitseinstellungen exportieren.

Backups: Gelöschte Daten können bis zu 30 Tage in den täglichen Datenbank-Backups verbleiben und werden danach endgültig gelöscht. Diese Backups enthalten nicht die importierten CSV-Dateien, sondern nur die in der Datenbank gespeicherten Daten. Der Datenbank-Hoster kann eigene Backups für einen begrenzten, von seiner Richtlinie festgelegten Zeitraum aufbewahren.

Nach Beendigung des Vertragsverhältnisses löscht der Auftragsverarbeiter die im Auftrag des Kunden verarbeiteten personenbezogenen Daten oder gibt sie nach den vereinbarten Modalitäten zurück, es sei denn, eine gesetzliche Pflicht erfordert ihre Aufbewahrung.

Der Auftragsverarbeiter bewahrt Daten nicht länger auf, als für die vorgesehenen Zwecke erforderlich, vorbehaltlich der geltenden gesetzlichen Pflichten.

7. Verantwortlichkeiten des Kunden

Der Kunde bleibt verantwortlich für:

Der Rechtmäßigkeit der Erhebung und des Imports der Daten.
Der Information der betroffenen Personen, wenn dies erforderlich ist.
Der Festlegung der Zwecke und der Rechtsgrundlage der Verarbeitung.
Der Richtigkeit der übermittelten Dateien und der Beschränkung der Daten auf das unbedingt Erforderliche.
Der Verwaltung der Zugriffe auf sein Konto und der Vertraulichkeit seiner Zugangsdaten.

Der Kunde verpflichtet sich, keine Daten zu importieren, die für den Abgleich von Transaktionen und Rechnungen nicht erforderlich sind.

8. Kontakt und Anfragen

Bei Fragen zu dieser Vereinbarung oder zum Schutz personenbezogener Daten kann sich der Kunde an den Betreiber von Rapprocha wenden:

E-Mail : rapprocha.support@gmail.com

Er kann auch die Seite Kontakt nutzen.

Geschäftsadresse : 14 RUE LOUIS BRAILLE, 31830 PLAISANCE-DU-TOUCH

9. Inkrafttreten

Diese Vereinbarung gilt für die gesamte Dauer der im Auftrag des Kunden durchgeführten Verarbeitung personenbezogener Daten.

Sie ergänzt die Allgemeinen Nutzungs- und Verkaufsbedingungen von Rapprocha und ist im Einklang mit der DSGVO und dem anwendbaren Recht auszulegen.