Auftragsverarbeitungsvertrag (AVV)

Dies ist eine Kurz-Übersicht. Den vollständigen, unterschreibbaren AVV-Entwurf nach Art. 28 DSGVO erhältst du auf Anfrage per E-Mail an datenschutz@liquimmo.de. Vor produktiver Nutzung mit echten Mandantendaten muss ein unterschriebener AVV vorliegen.

Gegenstand der Verarbeitung

Der Anbieter (Zapf Assisting UG (haftungsbeschränkt), Blumenallee 55, 41334 Nettetal) verarbeitet im Auftrag des Kunden personenbezogene Daten zur Bereitstellung der SaaS-Plattform „Liquimmo":

Speicherung und Verarbeitung von Mandanten-Stammdaten, Verträgen, Zahlungen, BWA-Werten
Auswertung hochgeladener PDF-Dokumente (BWA, Rechnungen) per KI
Versand transaktionaler E-Mails (Erinnerungen)

Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt automatisiert auf den Servern unserer Sub-Auftragsverarbeiter (Supabase EU, Vercel, Resend, Sentry, Upstash). Zweck ist die Bereitstellung der vertraglich vereinbarten Leistung.

Kategorien betroffener Personen

Mitarbeitende des Kunden (Login-Accounts)
Lieferanten und Geschäftspartner (Vendor-Stammdaten)
Mitarbeiter (in Lohn-Zahlungen)

Kategorien personenbezogener Daten

Stamm- und Kontaktdaten
Vertragsdaten
Finanzdaten (Beträge, Konten)
Bei Lohnzahlungen: Name, Bruttogehalt

Sub-Auftragsverarbeiter

Eine vollständige Liste der eingesetzten Sub-Auftragsverarbeiter und ihrer Verarbeitungsstandorte findest du in der Datenschutzerklärung.

Technische und organisatorische Maßnahmen (TOMs)

Verschlüsselung at-rest (Postgres, Storage) und in-transit (TLS 1.3)
Row-Level-Security pro Mandant (Datenisolation)
Audit-Log aller Datenänderungen
Tägliche Backups, 7 Tage Point-in-Time-Recovery
Rollenbasiertes Zugriffsmodell (Owner/Admin/Member)
Rate-Limiting + Monitoring (Sentry)
Automatische Logout-Sessions nach Inaktivität

Rechte des Verantwortlichen (Kunde)

Jederzeitige Kontroll- und Inspektionsrechte
Recht auf Auskunft, Berichtigung, Sperrung und Löschung
Datenexport bei Vertragsende (innerhalb 30 Tagen)

Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung des Kunden
Vertraulichkeitsverpflichtung aller Mitarbeitenden
Unterstützung bei Betroffenenrechten (DSGVO Art. 12-23)
Meldung von Datenschutzverletzungen binnen 24 Stunden

Vertragsdauer

Der AVV gilt für die Dauer des Hauptvertrags. Nach Vertragsende werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht oder dem Kunden zur Verfügung gestellt.

Stand: 7. Mai 2026