Auftragsverarbeitungsvertrag (AVV)

1. Parteien und Gegenstand

Dieser Auftragsverarbeitungsvertrag (AVV) wird zwischen Ihrem Unternehmen — einer Reiseagentur, einer Werkstatt, einem Getränkelager oder einer Kundin oder einem Kunden eines der Dienste von Michinauta — als Verantwortlichem und Michinauta als Auftragsverarbeiter geschlossen. Er ist Teil der Nutzungsbedingungen (AGB), die Sie angenommen haben, und gilt immer, wenn Michinauta personenbezogene Daten in Ihrem Auftrag verarbeitet, um den vereinbarten Dienst zu erbringen. Er gilt sowohl nach der Datenschutz-Grundverordnung (DSGVO, Art. 28), weil die Niederlassung von Michinauta in Deutschland liegt, als auch nach dem ecuadorianischen Organgesetz zum Schutz personenbezogener Daten (LOPDP, Art. 34) und seiner Durchführungsverordnung, weil Ihr Unternehmen in der Regel in Ecuador niedergelassen ist und für die Daten seiner eigenen Kundschaft verantwortlich ist.

2. Art, Zweck und Dauer

Die Verarbeitung besteht im Speichern, Hosten, Übermitteln und Sichern der personenbezogenen Daten, die Sie hochladen oder die bei der Nutzung des Dienstes entstehen: Kundenverwaltung, Produkte, Aufträge oder Buchungen, Buchhaltung und elektronische Rechnungstellung sowie die übrigen Funktionen des Produkts, das Sie abonniert haben. Der Zweck ist ausschließlich die Erbringung dieses Dienstes nach dem Hauptvertrag. Dieser AVV gilt so lange wie der Hauptvertrag: Er beginnt mit der Nutzung des Dienstes und endet mit diesem Vertrag, unbeschadet von Abschnitt 10 zur Löschung oder Rückgabe bei Vertragsende.

3. Datenarten und Kategorien betroffener Personen

Betroffene Personen sind einerseits die Kundschaft Ihres Unternehmens (die Personen oder Unternehmen, die Sie bedienen) und andererseits die Nutzer, die Ihr Unternehmen für die Plattform anlegt. Verarbeitet werden unter anderem:

Identifikation und Kontakt: Name oder Firma, Identifikationsnummer (Ausweis, Steuernummer), Anschrift, Telefon und E-Mail der Kundschaft Ihres Unternehmens.
Steuerdaten: was ein auf Ihr Unternehmen ausgestellter elektronischer Beleg (Rechnungen, Gutschriften) verlangt.
Aufträge, Buchungen und Fahrzeuge: je nach Produkt Reiseangebote und -akten, Werkstattaufträge und die zugehörigen Fahrzeuge, oder Bestellungen des Lagers.

Michinauta erwartet nicht, besondere Kategorien personenbezogener Daten (Art. 9 DSGVO; sensible Daten nach dem LOPDP) zu verarbeiten, etwa Gesundheitsdaten, biometrische Daten oder Angaben zu Gewerkschafts- oder Religionszugehörigkeit. Laden Sie solche Daten nur hoch, wenn es für den vereinbarten Dienst unbedingt nötig ist; teilen Sie es Michinauta in diesem Fall vorher schriftlich mit, gemäß Abschnitt 4.

4. Weisungen

Michinauta verarbeitet personenbezogene Daten nur nach Ihren dokumentierten Weisungen. Die gewöhnliche Nutzung der Produktfunktionen ist bereits selbst eine dokumentierte Weisung. Jede zusätzliche oder abweichende Weisung ist schriftlich zu geben (E-Mail an info@michinauta.com oder einen anderen vereinbarten Kanal). Die Verarbeitung an den Standorten der Unterauftragsverarbeiter aus Abschnitt 7, auch außerhalb der Schweiz und der Europäischen Union, erfolgt auf Ihre dokumentierte Weisung, die Sie durch die Annahme dieses AVV erteilen.

Hält Michinauta eine Weisung für einen Verstoß gegen die DSGVO, das LOPDP oder eine andere anwendbare Datenschutzvorschrift, teilt es Ihnen dies mit, bevor es sie ausführt. Michinauta nutzt die Daten für keinen eigenen Zweck und für keinen anderen Zweck als den, der diesem Auftrag zugrunde liegt.

5. Vertraulichkeit des Personals

Das Personal von Michinauta mit Zugriff auf die von Ihnen verarbeiteten personenbezogenen Daten unterliegt einer Vertraulichkeitspflicht, sei es durch Gesetz, Vertrag oder eine ausdrückliche Verpflichtung, und greift nur auf die Daten zu, die es für seine Aufgabe braucht (Zugriff nach dem Minimalprinzip).

6. Technische und organisatorische Maßnahmen (TOM)

Michinauta wendet auf die ERP-Infrastruktur diese Maßnahmen an:

Standort: die Server stehen in der Schweiz (Infomaniak Public Cloud).
Verschlüsselung bei der Übertragung: der gesamte öffentliche Verkehr läuft über HTTPS.
Verschlüsselung der elektronischen Signatur: die elektronische Signatur (.p12) wird mit einem eigenen Schlüssel verschlüsselt gespeichert.
Sicherungen: tägliche Datenbanksicherungen, lokal 14 Tage aufbewahrt, gespiegelt und Ende-zu-Ende verschlüsselt in Swiss Backup (Infomaniak, Schweiz) mit 90 Tagen Aufbewahrung.
Trennung je Kunde: jedes registrierte Unternehmen hat einen eigenen Bereich (Multi-Tenant) mit eigenen Nutzern, Daten und Einstellungen.
Zugriffskontrolle: rollenbasierter Zugriff innerhalb jedes Unternehmens.
Zugriffsprotokolle: werden aufbewahrt und nach 90 Tagen gelöscht.
Anfragelimits: Rate Limiting gegen Missbrauch und Angriffe.
Zwei-Faktor-Authentifizierung: für Nutzer verfügbar, die sie über ihr Konto einschalten können.

Diese Maßnahmen können aktualisiert werden, um das Schutzniveau zu halten oder zu verbessern, niemals um es unter das hier beschriebene zu senken.

7. Unterauftragsverarbeiter

Sie erteilen Michinauta eine allgemeine Erlaubnis für diese Unterauftragsverarbeiter:

Infomaniak Network SA (Schweiz): Hosting und Sicherungen.
Zoho Corporation B.V. (Niederlande): versendet die E-Mails der Plattform, mit Daten in der EU (Niederlande und Irland).
Cloudflare, Inc. (Vereinigte Staaten): liefert die Seite aus und schützt sie; stützt sich auf das EU-US Data Privacy Framework (DPF) und auf Standardvertragsklauseln.
Anthropic PBC (Vereinigte Staaten): nur wenn die jeweilige Funktion verfügbar ist und Sie dem Einsatz des Hilfe-Assistenten, dem Laden des Katalogs oder der KI-Analyse ausdrücklich zustimmen; stützt sich auf Standardvertragsklauseln. Der Assistent sendet den Fragetext und bereits veröffentlichte Inhalte von Michinauta. Nutzen Sie ihn zum Laden des Katalogs, sendet er auch das Foto, das Sie zum Hochladen auswählen; auf diesem Foto können Namen, RUC oder andere Daten Dritter sichtbar sein. In Michi Viajes, Michi Taller und Michi Bodega sendet die KI-Analyse (Pro-Tarif), wenn ANALISIS_IA_ENABLED aktiviert ist und die verwaltende Person ausdrücklich zustimmt, über die letzten 30 Tage nur zusammengefasste Zahlen des Unternehmens, etwa Umsatz oder Rechnungen, Marge, offene Forderungen und weitere Summen; sie sendet keine nicht zusammengefassten Datensätze, Namen von Kunden, Reisenden oder Produkten, Kennzeichen, Ausweisnummern, RUC, elektronischen Signaturen oder Passwörter. In Michi Bodega muss die verwaltende Person ihr mit demselben Hinweis wie dem Hilfe-Assistenten ausdrücklich zustimmen. Standardmäßig nutzt Anthropic sie nicht zum Training seiner Modelle. Anthropic löscht Gesendetes und Beantwortetes innerhalb von 30 Tagen, es sei denn, sein automatisches System markiert es als möglichen Verstoß gegen seine Nutzungsrichtlinie; dann darf es bis zu 2 Jahre aufbewahrt werden, ebenso wenn das Gesetz die Aufbewahrung verlangt.

Stripe Payments Europe, Ltd. (Irland) und Triple A Technologies Pte. Ltd. (Singapur) verarbeiten ausschließlich eigene Abrechnungsdaten von Michinauta, als unabhängige Anbieter von Michinauta, und nicht die ERP-Daten Ihres Unternehmens. Sie sind daher keine Unterauftragsverarbeiter im Sinne dieses AVV.

Auch der SRI und Payphone sind keine Unterauftragsverarbeiter. Der SRI erhält die elektronischen Belege, die Ihr Unternehmen gesetzlich ausstellen muss, und Michinauta übermittelt sie ihm auf Ihre Weisung. Payphone ist das eigene Zahlungsportal Ihres Unternehmens: Es wird mit den Zugangsdaten aktiviert, die Ihr Unternehmen hinterlegt, Michinauta verwahrt dieses Geld nicht, und zahlt ein Kunde, erhält Payphone den Betrag und eine Referenz. In beiden Fällen gehen die Daten auf Ihre Weisung hinaus, als Verantwortlicher.

Hotelbeds unterstützt Hotels, Aktivitäten und Transfers mit eigenen Zugangsdaten der Agentur oder im verwalteten Modus mit Zugangsdaten von Michinauta. Mit ihren eigenen Zugangsdaten beauftragt die Agentur Hotelbeds direkt; dasselbe gilt für DePay und Binance Pay, deren Zugangsdaten je Agentur eingerichtet werden. In diesen Fällen übermittelt Michinauta Daten nur auf Weisung der Agentur; die Rolle jedes Anbieters und die Garantien für Übermittlungen richten sich nach dem Vertrag der Agentur mit diesem Anbieter. Im verwalteten Modus ist Hotelbeds Empfänger von Michinauta; die offizielle Datenschutzerklärung nennt Hotelbeds Spain, S.L.U. (Spanien). Die Datenschutzerklärung beschreibt die je Produkt übermittelten Daten und die geltenden Übermittlungsregeln. Der Sitz des Anbieters bestimmt nicht sämtliche Verarbeitungsorte.

Michinauta kündigt Ihnen mindestens 30 Tage vorher an, wenn ein Unterauftragsverarbeiter hinzukommt oder wechselt. Sie können innerhalb dieser Frist aus einem triftigen datenschutzrechtlichen Grund widersprechen; kommt keine Einigung zustande, können Sie den betroffenen Dienst beenden.

Nach Art. 28 Abs. 4 DSGVO legt Michinauta jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser AVV Michinauta auferlegt, und haftet Ihrem Unternehmen dafür, wenn der Unterauftragsverarbeiter diese Pflichten nicht erfüllt.

Mit der Annahme dieses AVV ermächtigt Ihr Unternehmen als Verantwortlicher Michinauta schriftlich, die Unterauftragsverarbeiter dieser Liste einzusetzen, auch für die Aufbewahrung der Daten (Art. 34 LOPDP). Außer an sie und an die oben beschriebenen Empfänger, die Daten auf Ihre Weisung erhalten, übermittelt oder offenbart Michinauta die in Ihrem Auftrag verarbeiteten Daten an niemanden, auch nicht zu ihrer Aufbewahrung.

8. Übermittlungen und internationale Offenlegung

Nach der DSGVO ist die Übermittlung von Daten an einen Unterauftragsverarbeiter außerhalb der Europäischen Union (Vereinigte Staaten) eine internationale Übermittlung, die sich je nach Empfänger auf das EU-US Data Privacy Framework oder auf Standardvertragsklauseln nach Artikel 46 stützt, wie in der Datenschutzerklärung im Einzelnen beschrieben.

Nach Art. 34 des ecuadorianischen LOPDP und Art. 23 der Entschließung SPDP-SPD-2026-0004-R gilt die Beauftragung von Michinauta im Ausland nicht als Übermittlung. Dennoch legt dieser Vertrag die internationale Offenlegung dar: die Server stehen in der Schweiz, für die ein Angemessenheitsbeschluss der Europäischen Kommission besteht; die Unterauftragsverarbeiter aus Abschnitt 7 mit ihrem Land; und die in Abschnitt 6 beschriebene Verschlüsselung.

Verlangt eine ausländische Behörde Zugriff auf die Daten, die wir in Ihrem Auftrag verarbeiten, benachrichtigt Michinauta Sie, sofern ihm dies nicht gesetzlich verboten ist.

Möchte Ihr Unternehmen diesen Auftrag mit den Standardvertragsklauseln der ecuadorianischen Superintendencia de Protección de Datos Personales (SPDP) dokumentieren, stellt Michinauta sie als bewährte Praxis als Anhang zur Verfügung (siehe Abschnitt 13).

9. Unterstützung des Verantwortlichen

Michinauta unterstützt Sie, soweit es die Art der Verarbeitung und die ihm verfügbaren Informationen zulassen, damit Sie diese Pflichten erfüllen können:

Anfragen betroffener Personen zur Ausübung ihrer Rechte (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit und die weiteren, die DSGVO und LOPDP vorsehen);
eine Datenschutz-Folgenabschätzung (DPIA), wo einschlägig;
die Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde und, wo einschlägig, an die betroffenen Personen.

Stellt Michinauta eine Sicherheitsverletzung fest, die die in Ihrem Auftrag verarbeiteten Daten betrifft, benachrichtigt es Sie unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, mit den zu diesem Zeitpunkt verfügbaren Angaben, damit Sie die 72-Stunden-Frist der DSGVO gegenüber Ihrer Aufsichtsbehörde einhalten können.

10. Löschung oder Rückgabe bei Vertragsende

Wenn Sie den kostenpflichtigen Tarif kündigen, wechselt Ihr Konto in den Free-Tarif und das Konto bleibt aktiv: Sie können Ihre Daten weiterhin einsehen und exportieren. Michinauta löscht nicht automatisch. Auf Ihren schriftlichen Antrag erhalten Sie zuerst den vollständigen Export über Configuración → «Descargar todos mis datos» im JSON-Format; anschließend löscht Michinauta sämtliche Unternehmensdaten aus den aktiven Systemen, einschließlich der Steuerbelege, mit Bestätigung innerhalb von 30 Tagen. Die Bestätigung erfasst keine Sicherungen. Diese vertragliche Bestätigungsfrist des Auftragsverarbeiters verlängert keine anwendbare kürzere gesetzliche Frist, einschließlich der Fristen für Anträge betroffener Personen.

Bei Vertragsende werden die personenbezogenen Daten, die Michinauta in Ihrem Auftrag verarbeitet hat, nach Art. 34 LOPDP nach Ihrer Wahl vernichtet oder Ihnen zurückgegeben, unter der Aufsicht der Datenschutzbehörde SPDP (Autoridad de Protección de Datos Personales), soweit die LOPDP auf die Verarbeitung anwendbar ist. Das geschieht durch den oben beschriebenen Export und die Löschung auf Anfrage.

Ihr Unternehmen als Verantwortlicher hat die Pflicht, seine Steuerbelege und sonstigen gesetzlich erforderlichen Unterlagen aufzubewahren, und muss den Export vor der Löschung sichern. Diese Pflicht trifft nicht Michinauta als Auftragsverarbeiter: Michinauta dient nach Vertragsende nicht als Archiv Ihres Unternehmens. Michinauta bewahrt nur seine eigenen Abonnementrechnungen und Buchhaltungsunterlagen nach § 147 AO als Verantwortlicher für diese Daten auf, nicht die Steuerbelege Ihres Unternehmens. Die Kündigung des kostenpflichtigen Tarifs beendet nicht von selbst den Dienst: Das Konto läuft im Free-Tarif mit den dort verfügbaren Funktionen zum Einsehen und Exportieren weiter.

Die in Abschnitt 6 beschriebenen Sicherungen können bereits gelöschte Daten enthalten, bis ihre eigene Aufbewahrungsfrist abläuft (14 Tage auf dem Server und 90 Tage in der entfernten Kopie); danach werden sie auch dort entfernt; die Löschbestätigung erfasst sie nicht.

11. Prüfungen und Kontrollen

Auf angemessene Anfrage gibt Michinauta Ihnen die Informationen, die zeigen, dass dieser AVV eingehalten wird. Brauchen Sie eine Prüfung, die über diese Informationen hinausgeht, vereinbaren wir sie mit angemessener Vorankündigung, zu einer Zeit und in einem Umfang, der die Sicherheit anderer Unternehmen auf der Plattform nicht gefährdet (wegen der Multi-Tenant-Trennung aus Abschnitt 6); die angemessenen Kosten dieser Prüfung tragen Sie, sofern sie keinen Verstoß von Michinauta aufdeckt.

12. Haftung

Die Haftung jeder Partei für die Verarbeitung personenbezogener Daten richtet sich nach Art. 82 DSGVO und, soweit einschlägig, nach dem LOPDP. Für alles, was dieser AVV nicht ausdrücklich regelt, gilt die Haftungsklausel der Nutzungsbedingungen (AGB), die den Hauptvertrag regeln.

13. Anhang: SPDP-Musterklauseln

Die Mustervertragsklauseln der RIPD, die von der ecuadorianischen Superintendencia de Protección de Datos Personales (SPDP) in der Entschließung SPDP-SPD-2026-0004-R anerkannt werden, stehen als Anhang zu diesem AVV auf Anfrage für ecuadorianische Agenturen, Werkstätten oder Lager zur Verfügung, die sie nutzen möchten. Art. 23 dieser Entschließung bestimmt, dass die Auftragsverarbeitung keine Übermittlung und keine Offenlegung personenbezogener Daten ist; diese Klauseln sind daher bei einer Auftragsverarbeitung keine Pflicht, sondern bewährte Praxis (Art. 24). Schreiben Sie an info@michinauta.com, um sie anzufordern. Siehe auch die Datenschutzerklärung und das Impressum.