Datenschutz VL-Cockpit & Kundenportal

0. Geltungsbereich

Diese Erklärung ergänzt die allgemeine Datenschutzerklärung der Website vl-direkt.de um die beiden SaaS-Bereiche VL-Cockpit (/cockpit, offene Selbstregistrierung für beliebige Transportunternehmen) und das Kundenportal (/portal, VL Direkts eigenes, einladungsbasiertes Mandantenportal). Beide verarbeiten echte Konto-, Kunden- und Rechnungsdaten und benötigen deshalb eine eigene, konkretere Erklärung als die Website selbst.

Ihre Daten auf einen Blick

• Speicherort: Ihre Geschäfts- und Rechnungsdaten werden in einem Rechenzentrum in Frankfurt am Main (Deutschland) gespeichert. Die tägliche Sicherungskopie liegt verschlüsselt auf unserem Server in Nürnberg, eine ältere Kopie vom 23.09.2026 noch in London (Abschnitt 2).
• Verschlüsselung: Die Daten sind bei der Übertragung und im gespeicherten Zustand verschlüsselt. Die tägliche Sicherungskopie wird verschlüsselt, bevor sie gespeichert wird; der Server, auf dem sie liegt, kann sie nicht lesen (Abschnitt 2).
• Strikte Abschottung: Jede Firma sieht ausschließlich ihre eigenen Daten. Diese Trennung erzwingt die Datenbank selbst, und sie wird bei jeder Änderung an der Software automatisch geprüft. Unbefugte haben keinen Zugriff – Zugang erhalten nur die Personen, die Sie in Ihrer Organisation selbst freischalten.
• Zugriff durch VL Direkt: über den Betreiberbereich auf Ihre Geschäfts- und Rechnungsdaten nur lesend, nur für Support und Fehleranalyse, nur mit Zwei-Faktor-Anmeldung – und jeder solche Zugriff wird protokolliert. Wartungsarbeiten an der Datenbank als Ganzes werden nicht je Firma protokolliert (Abschnitt 8 und 9).

1. Verantwortlichkeit – wer ist wofür zuständig?

Für Ihre eigenen Zugangsdaten (E-Mail-Adresse, Passwort-Hash, Anmeldeverlauf) sowie für die Stammdaten Ihrer Organisation selbst (Firmenname, Bankverbindung, Firmenlogo) ist Verantwortlicher im Sinne der DSGVO:
Emil Dimitrov, Wilhelmstraße 29, 65428 Rüsselsheim am Main
E-Mail: datenschutz@vl-direkt.de

Für alle Daten, die Sie über Ihre Organisation zu Ihren eigenen Kunden, Partnern und Lieferanten, Fahrern und Fahrzeugen erfassen, sind Sie selbst Verantwortlicher im Sinne der DSGVO – VL-Cockpit ist insoweit lediglich Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet diese Daten ausschließlich nach Ihrer Weisung (den dazugehörigen Vertrag zur Auftragsverarbeitung finden Sie in Abschnitt 8). Für das Kundenportal gilt dieselbe Rollenverteilung nicht – dort ist Emil Dimitrov für sämtliche Daten Verantwortlicher, da VL Direkt dort selbst Vertragspartner der Mandanten ist.

2. Eingesetzte Auftragsverarbeiter

Für den Betrieb von VL-Cockpit und Portal setzen wir folgende Dienstleister ein:

Supabase (Datenbank und Dateispeicher)

Datenbank, Authentifizierung und Dateispeicher (Belege, Firmenlogos). Anbieter ist die Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513. Sämtliche Anwendungsdaten – Konten, Organisationen, Kunden, Fahrer, Fahrzeuge, Angebote, Rechnungen, Zahlungen, Belegdateien – werden bei Supabase gespeichert; eine täglich erstellte Sicherungskopie liegt zusätzlich verschlüsselt auf unserem Server bei Hetzner (siehe unten). Das Projekt wird seit dem 23.09.2026 in der Supabase-Region „Central EU (Frankfurt)“ betrieben, also in einem Rechenzentrum in Frankfurt am Main (Deutschland). Grundlage ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwischen Emil Dimitrov und Supabase. Für Übermittlungen in Drittländer (nach Angabe des Anbieters Singapur und USA) gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Bis zum Abschluss des Umzugs hält die frühere Region „West Europe (London)“ im Vereinigten Königreich noch eine Sicherungskopie des Datenbestands vom 23.09.2026 vor; sie wird danach gelöscht. Diese Übermittlung ist durch den Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO, erneuert am 19.12.2025, gültig bis 27.12.2031) rechtlich gedeckt.

Netlify (Hosting und Serverfunktionen)

Auslieferung der Anwendung und Ausführung ihrer serverseitigen Funktionen (z. B. Rechnungs- und PDF-Erstellung, E-Mail-Versand, Abruf und Speicherung Ihrer Daten bei Supabase). Anbieter ist die Netlify, Inc., 101 2nd Street, San Francisco, CA 94105, USA. Die Serverfunktionen laufen seit dem 24.09.2026 in der Netlify-Region „EU (Frankfurt)“ in Frankfurt am Main; die dauerhafte Speicherung der Anwendungsdaten erfolgt bei Supabase (siehe oben). Die Auslieferung erfolgt über das Content Delivery Network von Netlify, das Anfragen in der Regel an einem Standort in der Nähe des Nutzers beantwortet. Grundlage ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwischen Emil Dimitrov und Netlify (Netlify Data Processing Agreement, Bestandteil des Vertrags mit Netlify). Für eine Übermittlung in die USA stützt sich Netlify auf das EU-U.S. Data Privacy Framework (nach eigenen Angaben) sowie die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914).

Resend

E-Mail-Versand für Fristen-Alarm, Rechnungs- und Angebotsversand, Mahnwesen sowie Registrierungs-/Einladungs-E-Mails. Empfängeradresse, Betreff und Inhalt der jeweiligen Nachricht werden zum Versand an Resend übermittelt. Anbieter ist die Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA; versendet wird über die Region des Anbieters in Irland. Grundlage ist ebenfalls ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Data Processing Addendum des Anbieters). Für eine Übermittlung in die USA stützt sich der Anbieter auf das EU-U.S. Data Privacy Framework (nach eigenen Angaben) sowie die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914).

Mistral AI (KI-Belegerkennung)

Für die automatische Belegerkennung (Auslesen von Betrag, Datum, Mehrwertsteuersatz und Händler aus einem hochgeladenen Belegfoto oder -PDF) setzen wir Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich, ein. Übermittelt wird ausschließlich die vom Nutzer hochgeladene Belegdatei bzw. deren Text; das Erkennungsergebnis wird an VL-Cockpit zurückgegeben und dort dem Beleg zugeordnet. Grundlage ist der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Data Processing Addendum des Anbieters, Fassung vom 27.07.2026), der Teil der mit Mistral AI geschlossenen Geschäftsbedingungen ist. Hosting und Auswertung erfolgen nach Angabe des Anbieters bei Unterauftragsverarbeitern im Europäischen Wirtschaftsraum (Schweden, Norwegen, Frankreich, Niederlande, Belgien); VL-Cockpit nutzt den europäischen Standard-Zugang des Anbieters, nicht dessen US-Zugang. Soweit einzelne Unterauftragsverarbeiter des Anbieters (etwa für Netzwerk- und Sicherheitsdienste) außerhalb des Europäischen Wirtschaftsraums tätig sind, erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission oder der EU-Standardvertragsklauseln (Art. 45, Art. 46 Abs. 2 lit. c DSGVO). Die Nutzung der übermittelten Daten zum Training von KI-Modellen ist in unserem Konto beim Anbieter ausgeschaltet (Einstellung geprüft am 06.10.2026); nach Abschnitt 4.2 der Geschäftsbedingungen und Abschnitt 2.3 des Auftragsverarbeitungsvertrags des Anbieters werden die Daten damit nicht zum Training verwendet. Vorab- und Testmodelle des Anbieters, für die dieser Ausschluss nicht gilt, nutzen wir nicht. Die Belegerkennung ist eine Zusatzfunktion höherer Tarife und wird ausschließlich dann ausgelöst, wenn im entsprechenden Tarif beim Erfassen eines Belegs eine Datei hochgeladen wird. Wer Belege ohne Datei-Upload erfasst, dessen Daten werden zu diesem Zweck nicht an Mistral AI übermittelt.

Sentry (Fehler-Überwachung)

Zur technischen Fehlererkennung setzen wir Sentry ein (Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA; Vertreter in der EU nach Art. 27 DSGVO: Sentry Software Netherlands B.V., Amsterdam). Tritt in der Anwendung ein technischer Fehler auf, wird ein Fehlerbericht an Sentry übermittelt: technische Fehlermeldung und Aufrufkette (Stacktrace), die betroffene Adresse (URL), Browser-/Betriebssystemtyp und eine zufällige Sitzungskennung. Fehlerberichte aus dem Browser leiten wir über unseren eigenen Server weiter. Die Anwendung fordert keine Ermittlung der IP-Adresse an und überträgt keine Nutzerkennungen; IBAN, E-Mail-Adressen, Steuernummern und USt-IdNr werden vor dem Versand aus den Fehlertexten entfernt. Es findet keine Bildschirmaufzeichnung (Session Replay) statt. Die Fehlerberichte speichert Sentry in seiner EU-Datenregion (Frankfurt am Main); zusätzlich ist in unserem Sentry-Konto die Speicherung von IP-Adressen ausgeschaltet. Sentry hat seinen Sitz in den USA; soweit dabei personenbezogene Daten in die USA übermittelt werden, geschieht das auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO), hilfsweise der EU-Standardvertragsklauseln. Rechtsgrundlage ist das berechtigte Interesse an einem stabilen, sicheren Betrieb der Software (Art. 6 Abs. 1 lit. f DSGVO); Grundlage der Verarbeitung ist der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Data Processing Addendum von Sentry, Fassung 5.1.0, abgeschlossen am 30.08.2026).

Cloudflare Turnstile (Missbrauchsschutz der Anmeldung)

Zum Schutz von Anmeldung, Registrierung und der Passwort-Vergessen-Funktion vor automatisierten Angriffen setzen wir Cloudflare Turnstile (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA; in der EU vertreten durch Cloudflare Germany GmbH, München) ein. Beim Aufruf eines Anmeldeformulars prüft Turnstile im Hintergrund technische Merkmale der Anfrage (u. a. Browserverhalten, IP-Adresse) und erzeugt einen einmaligen Bestätigungs-Token. In der Regel ist keine Nutzerinteraktion nötig (kein Bilderrätsel). Cloudflare erklärt, die Daten ausschließlich zur Bot-Erkennung und nicht zu Werbe- oder Profilbildungszwecken zu verarbeiten. Rechtsgrundlage ist das berechtigte Interesse an einem sicheren, missbrauchsfreien Anmeldeverfahren (Art. 6 Abs. 1 lit. f DSGVO). Für die Übermittlung in die USA stützt sich Cloudflare auf die EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework; Grundlage der Verarbeitung ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Hetzner – ELSTER-Dienst und Datensicherung mit Standort Deutschland

Für die direkte Übermittlung Ihrer Umsatzsteuer-Voranmeldung und Zusammenfassenden Meldung an ELSTER betreiben wir einen eigenen, abgeschotteten Dienst auf einem Server der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, im Rechenzentrum Nürnberg. Der Dienst ist aus dem Internet nicht direkt erreichbar – nur unsere Anwendung kann ihn über einen gesicherten Tunnel ansprechen (siehe Cloudflare). Verarbeitet werden nur die Angaben, die für die jeweilige Übermittlung nötig sind (z. B. Steuernummer und Kennzahlen, bei eigenem ELSTER-Zertifikat dieses samt PIN). Der ELSTER-Dienst verarbeitet sie nur für die Dauer der Übermittlung im Arbeitsspeicher und speichert sie nicht (abgesehen von der verschlüsselten Sicherungskopie, siehe unten); es bleibt lediglich ein technisches Ablaufprotokoll ohne Steuerdaten. Auf demselben Server erstellen wir zusätzlich zu den Sicherungen von Supabase täglich eine eigene Sicherungskopie der Datenbank und der gespeicherten Dateien. Sie wird verschlüsselt, bevor sie gespeichert wird – mit einem Verfahren mit öffentlichem Schlüssel, sodass der Server selbst sie nicht lesen kann; die Schlüssel zum Entschlüsseln liegen nur bei VL Direkt, getrennt vom Server. Gespeichert wird nur die verschlüsselte Datei; sie wird nach 30 Tagen gelöscht. Zweck ist die Wiederherstellung nach einem Datenverlust (Art. 32 Abs. 1 lit. c DSGVO). Grundlage ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit Hetzner.

Cloudflare – Sicherheits-Tunnel zum ELSTER-Dienst

Die Verbindung zwischen unserer Anwendung und dem ELSTER-Dienst läuft über einen verschlüsselten Tunnel der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA (in der EU vertreten durch die Cloudflare Germany GmbH, München). Der Tunnel schirmt den Dienst ab: Von außen gibt es keinen offenen Zugang, nur Anfragen mit dem Zugangsschlüssel unserer Anwendung kommen durch. Die Daten sind auf dem Übertragungsweg verschlüsselt; Cloudflare leitet sie nur weiter und darf sie ausschließlich nach unseren Weisungen verarbeiten. Die Weiterleitung läuft derzeit über Cloudflare-Rechenzentren in der EU. Grundlage ist das Data Processing Addendum von Cloudflare (Bestandteil des Vertrags mit Cloudflare); für eine Übermittlung in die USA stützt sich Cloudflare auf das EU-U.S. Data Privacy Framework, nach dem Cloudflare zertifiziert ist, sowie auf die EU-Standardvertragsklauseln.

3. Welche Daten wir verarbeiten

• Konto: E-Mail-Adresse, Passwort (nur als Hash, nie im Klartext), Zeitpunkt von Registrierung/Anmeldung
• Organisation: Firmenname, Rechtsform, Anschrift, USt-IdNr., Steuernummer, Bankverbindung, Zahlungsziel, Firmenlogo, Angaben auf Geschäftsbriefen (Inhaber bzw. Gesellschafter, Sitz, Registergericht und -nummer, Geschäftsführung bzw. Vorstand, weitere Pflichtangaben)
• Ihre Kunden: Kundenart (Firma oder Person), Kundennummer, Firmenname bzw. Name, Ansprechpartner, E-Mail-Adresse, Telefonnummer, Anschrift, USt-IdNr., Steuernummer, Zahlungsziel, Konditionen (Skonto, Rabatt), Debitorennummer, Rechnungs-E-Mail-Adresse, E-Rechnung-Einstellung, Webseite, Bankverbindung (IBAN, BIC), Notizen sowie weitere Ansprechpartner (Name, Funktion, E-Mail-Adresse, Telefon- und Mobilnummer)
• Ihre Partner und Lieferanten: Art (Subunternehmer oder Lieferant), Typ (Firma oder Person), Firmenname bzw. Name, Ansprechpartner, E-Mail-Adresse, Telefonnummer, Anschrift, USt-IdNr., Steuernummer, Bankverbindung (IBAN, BIC), Kleinunternehmer-Angabe, Datum der Vereinbarung des Gutschriftverfahrens, Kreditorennummer, Verknüpfung mit einem Kunden, Notizen
• Fahrer: Name, Geburtsdatum, Telefonnummer, E-Mail-Adresse, Personalnummer, Ein- und Austrittsdatum, Beschäftigungsstatus (aktiv/ausgeschieden), Stundenlohn, Entfernung Wohnung–Betrieb, Führerscheinklassen, Datum der letzten Führerscheinkontrolle, Fahrerkartennummer, Datum des letzten Auslesens der Fahrerkarte, Ablaufdaten von Fahrerkarte, Führerschein, Fahrerqualifikationsnachweis (FQN/Modul 95) und ADR-Bescheinigung, absolvierte Modul-95-Weiterbildungsstunden, freie Notizen
• Fahrzeuge: Kennzeichen, Fahrzeugtyp, Modell, Fahrzeugidentifizierungsnummer, Erstzulassung, Baujahr, Achsen, zulässiges Gesamtgewicht, Status (aktiv, stillgelegt, verkauft, in Reparatur), Prüf-/Ablaufdaten (HU, SP, Tachograf, UVV-Ladebordwand)
• Geschäftsvorgänge: Angebote, Rechnungen, Zahlungen, Mahnungen, Buchhaltungs-Einnahmen/-Ausgaben inkl. hochgeladener Belegdateien
• E-Mail-Versand von Rechnungen: E-Mail-Vorlage (Betreff und Text), beim Versand die Empfänger-Adresse und auf Wunsch eine Blindkopie an Ihre Anmelde-Adresse
• Mahnwesen: Zahlungserinnerungen und Mahnungen mit offenem Betrag, Verzugszinsen, Pauschale und Mahngebühr, die Angabe, ob der Kunde als Verbraucher behandelt wurde, sowie Mahnsperren mit optionalem Grund (Freitext, nur intern sichtbar)

4. Zweck und Rechtsgrundlage

Die Verarbeitung erfolgt zur Erbringung der von Ihnen gebuchten Leistung – der Nutzung von VL-Cockpit bzw. des Kundenportals – und damit nach Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahme). Soweit gesetzliche Aufbewahrungspflichten bestehen (Abschnitt 6), stützt sich die weitere Speicherung auf Art. 6 Abs. 1 lit. c DSGVO.

Begrenzung von Anmeldeversuchen und Belegerkennung: Gegen das massenhafte Ausprobieren von Zugangsdaten zählen wir die Versuche bei Anmeldung, Registrierung und Einladungs-Vorschau je IP-Adresse (bei der Anmeldung zusammen mit der E-Mail-Adresse); damit die Kosten der Belegerkennung tragbar bleiben, zählen wir außerdem deren Aufrufe je Organisation. Gespeichert werden nur die Zahl der Versuche und ein Prüfwert, den wir mit einem geheimen Schlüssel bilden – nicht die IP- oder E-Mail-Adresse. Die Zähler werden spätestens 15 Minuten nach Ablauf des Zählzeitraums gelöscht; in den verschlüsselten Sicherungskopien bleiben sie bis zu deren Löschung (höchstens 30 Tage). Rechtsgrundlage ist das berechtigte Interesse an einem sicheren und wirtschaftlich tragbaren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

5. Automatisierte Benachrichtigungen

VL-Cockpit versendet automatisiert E-Mails an die Mitglieder einer Organisation, wenn eine Frist (Fahrerkarte, Tachograf, HU/SP, FQN/Modul 95 u. a.) in den kritischen Bereich läuft (täglicher Fristen-Alarm), sowie beim Versand von Angeboten, Rechnungen und Zahlungserinnerungen. Diese Benachrichtigungen sind Teil der gebuchten Leistung und nicht gesondert abbestellbar, solange die betreffende Frist besteht.

6. Aufbewahrungsfristen und GoBD

Rechnungen, Angebote und die dazugehörigen Zahlungs- und Buchhaltungsdaten unterliegen den gesetzlichen Aufbewahrungspflichten nach Handelsgesetzbuch und Abgabenordnung – acht Jahre für Buchungsbelege und Rechnungen, sechs Jahre für sonstige aufbewahrungspflichtige Geschäftsunterlagen (GoBD: vollständig, richtig, zeitgerecht, geordnet und unveränderbar). Spesen-, Schicht- und Sachbezugsdaten der Fahrer sind Aufzeichnungen zu Sachbezügen und steuerfreien Bezügen für das Lohnkonto (§ 41 Abs. 1 Satz 3 EStG, § 4 Abs. 2 Nr. 3 und 4 LStDV); Lohnkonten sind bis zum Ablauf des sechsten Kalenderjahres nach der letzten Lohnzahlung aufzubewahren (§ 41 Abs. 1 Satz 9 EStG). Während dieser Fristen ist die Verarbeitung nach Art. 6 Abs. 1 lit. c DSGVO zulässig; ein Löschanspruch besteht insoweit nach Art. 17 Abs. 3 lit. b DSGVO nicht (siehe auch Abschnitt 7). Löschen Sie eine Buchung, bleibt die zugehörige Belegdatei bis zum Ende der Aufbewahrungsfrist gespeichert – ob sie ein aufbewahrungspflichtiger Beleg ist, lässt sich nicht automatisch erkennen.

7. Ihre Rechte und Selbstbedienung

Ihnen stehen die üblichen Betroffenenrechte zu (Art. 15–21, Art. 7 Abs. 3 DSGVO).

Für VL-Cockpit lassen sich Auskunft und Datenübertragbarkeit (Art. 15/20 DSGVO) sowie die Löschung Ihrer Organisation (Art. 17 DSGVO) direkt selbst ausführen: unter Einstellungen → Konto & Sicherheit → Ihre Daten (DSGVO) können Sie alle gespeicherten Daten als ZIP herunterladen oder Ihre Organisation löschen. Bereits nummerierte Rechnungen, Gutschriften und Angebote werden dabei aus den in Abschnitt 6 genannten Gründen nicht gelöscht – die Zahlen selbst bleiben aufbewahrungspflichtig erhalten. Der zugehörige Kunde wird anonymisiert, wenn jedes dieser Dokumente als unveränderliches Original abgelegt ist; sonst bleibt der Kunde unverändert, weil nur so Name und Anschrift erhalten bleiben – bei Rechnungen ohne abgelegtes Original (etwa vor dem 29.09.2026 ausgestellt) für das Doppel der Rechnung (§ 14 Abs. 4, § 14b Abs. 1 UStG, acht Jahre), bei Angeboten und Mahnungen, von denen kein Original abgelegt wird, für die Wiedergabe des Schreibens (§ 147 Abs. 1 Nr. 3, Abs. 3 AO, sechs Jahre). Ebenso bleiben Fahrzeuge, auf die ein Beleg verweist (deaktiviert), und Fahrer mit Spesen-, Schicht- oder Sachbezugsdaten, die nicht nur Entwurf waren – nur mit Name, Geburtsdatum, Personalnummer sowie Ein- und Austrittsdatum; ihre übrigen Angaben werden gelöscht. Spesen-Entwürfe, die nachweislich nie freigegeben wurden, werden gelöscht. Für das Kundenportal wenden Sie sich für beides an Emil Dimitrov unter datenschutz@vl-direkt.de.

8. Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) – VL-Cockpit als Auftragsverarbeiter

Da Sie für die Daten Ihrer eigenen Kunden, Partner und Lieferanten, Fahrer und Fahrzeuge selbst Verantwortlicher sind (Abschnitt 1), schließen Sie mit VL-Cockpit einen Vertrag zur Auftragsverarbeitung (AVV). Den vollständigen Wortlaut mit beiden Anlagen finden Sie unter vl-direkt.de/avv. Sie stimmen ihm beim Einrichten Ihrer Firma zu; Zeitpunkt und Fassung werden gespeichert.

Unterauftragsverhältnisse (Anlage 1 des AVV)

Supabase (Datenbank, Anmeldung und Dateispeicher (Belege, Firmenlogos)), Netlify (Hosting und Serverfunktionen), Resend (E-Mail-Versand), Mistral AI (KI-Belegerkennung), Sentry (Fehler-Überwachung), Cloudflare Turnstile (Missbrauchsschutz der Anmeldung), Hetzner (ELSTER-Dienst und tägliche verschlüsselte Datensicherung), Cloudflare (Sicherheits-Tunnel zum ELSTER-Dienst) – siehe Abschnitt 2. Über weitere oder ersetzte Unterauftragsverarbeiter informieren wir Sie vorher (Abschnitt 5 des AVV).

Support- und Wartungszugriff durch VL Direkt

Zur Fehleranalyse und für Ihre Support-Anfragen kann VL Direkt als Auftragsverarbeiter über den Betreiberbereich der Anwendung lesend auf die Daten Ihrer Organisation zugreifen. Ein Ändern Ihrer Daten findet dabei nicht statt. Jeder solche Zugriff wird mit Zeitpunkt, zugreifender Person und betroffener Organisation protokolliert; das Protokoll wird ausschließlich zu Nachweis- und Sicherheitszwecken vorgehalten. Für Wartungsarbeiten an der Datenbank als Ganzes greift VL Direkt unmittelbar auf die Datenbank zu; diese Zugriffe werden nicht je Organisation protokolliert (Abschnitt 10 des AVV).

Löschung und Rückgabe nach Vertragsende

Nach Kündigung/Löschung Ihrer Organisation gemäß Abschnitt 7 – mit der in Abschnitt 6 genannten Ausnahme für gesetzlich aufbewahrungspflichtige Unterlagen. Kopien in Sicherungen werden mit Ablauf ihrer Aufbewahrungsdauer gelöscht; das Änderungsprotokoll bleibt als Nachweis erhalten (Abschnitt 9 des AVV).

9. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Dieselben Maßnahmen sind als Anlage 2 Teil des AVV.

10. Änderungen dieser Erklärung

Wir passen diese Erklärung an, sobald sich die Datenverarbeitung ändert – etwa durch neue Funktionen oder eingesetzte Dienstleister. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.