Auftragsverarbeitung
Stand: 23. Oktober 2026
1. Parteien, Gegenstand und Dauer
Auftragnehmer ist FREEWAY FINANZBERATUNG GmbH & Co. KG, Holstenstraße 100, 24103 Kiel, Deutschland, info@treulino.com (Treulino). Auftraggeber ist das bei Registrierung bezeichnete Unternehmen, vertreten durch die bestätigende Person; Firmierung, Anschrift, Konto und Zustimmung werden dokumentiert. Diese Vereinbarung nach Art. 28 DSGVO gilt ab wirksamer Annahme für die Dauer des Softwarevertrags einschließlich Rückgabe und Löschung. Individuelle, wirksam vereinbarte Datenschutzbedingungen haben Vorrang.
2. Verarbeitung und betroffene Personen
Gegenstand sind Hosting, Speicherung, Zuordnung, Anzeige, Änderung, Export und Löschung von Kundenkarten, Teamzugängen, Buchungen, Prämien und beauftragten Nachrichten. Betroffene sind Kunden und Interessenten des Auftraggebers sowie seine Beschäftigten und sonstigen berechtigten Nutzer. Datenarten sind Namen oder Pseudonyme, optionale vom Auftraggeber erhobene Kontaktdaten, Karten- und Standortkennungen, Beträge, Punkte, Stempel, Besuchszeiten, Prämien, Einwilligungsnachweise, Rollen, technische Geräte-/Push-Kennungen und Versandstatus. Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen und dürfen nicht eingestellt werden. Eigenständige Konto-, Abrechnungs- und Sicherheitszwecke des Auftragnehmers werden in den Datenschutzhinweisen beschrieben und sind keine Auftragsverarbeitung.
3. Weisungen und Vertraulichkeit
Der Auftragnehmer verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Auftraggebers, einschließlich Übermittlungen, soweit ihn nicht zwingendes Recht verpflichtet. Programm- und Kampagneneinstellungen gelten als Weisungen; ergänzende Weisungen erfolgen in Textform an info@treulino.com. Rechtlich gebotene Abweichungen werden vorher mitgeteilt, soweit zulässig. Bei erkennbar datenschutzwidrigen Weisungen informiert der Auftragnehmer unverzüglich und kann die betroffene Verarbeitung bis zur Klärung aussetzen. Mit der Verarbeitung betraute Personen werden auf Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Die Nutzung der Auftragsdaten für eigene Werbung ist ausgeschlossen.
4. Technische und organisatorische Maßnahmen
Treulino setzt rollen- und standortbezogene serverseitige Zugriffsprüfungen, verschlüsselte HTTPS-Übertragung, gehashte Passwörter und Sitzungstoken, Ablauf und Widerruf von Sitzungen, zeitlich begrenzte Einmallinks, getrennte Integrationsschlüssel und AES-GCM-Verschlüsselung für gespeicherte Anbieterzugänge und Browser-Push-Abonnements ein. Buchungen besitzen Wiederholungskennungen, Versionsprüfungen und nachvollziehbare Stornoabläufe. Abgestufte Rechte, Eingabegrößen, Missbrauchslimits und signierte Anbieter-Webhooks begrenzen unberechtigte Verarbeitung. Sicherheitsupdates, Tests und Zugriffsbeschränkungen werden risikobezogen gepflegt. Es wird weder eine vollständige Datenbankverschlüsselung durch den Anwendungscode noch eine feste Wiederherstellungszeit zugesagt. Geeignete Maßnahmen zur Verfügbarkeit und Wiederherstellbarkeit, einschließlich gesicherter Datenexporte und der Speicherfunktionen der Infrastruktur, sind vom Auftragnehmer vor produktiver Verarbeitung sicherzustellen und regelmäßig auf Wirksamkeit zu prüfen; ergänzende Nachweise können angefordert werden. Weiterentwicklungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.
5. Unterauftragnehmer und Infrastruktur
Die Parteien vereinbaren eine allgemeine Genehmigung für erforderliche Unterauftragnehmer nach Art. 28 Abs. 2 DSGVO. Bei Nutzung der jeweils betroffenen Funktionen sind derzeit vorgesehen: OpenAI/Sites und Cloudflare für Bereitstellung, Edge-Verarbeitung und Datenbank; Resend (Plus Five Five, Inc.) für Konto- und Support-E-Mails; Spaceship für Domain-E-Mail-Weiterleitung; Render für den Apple-Push-Relay. Die Anbieter sind international tätig; Verarbeitung außerhalb des EWR, insbesondere in den USA, ist möglich. Apple, Google, Browser-Push- und Zahlungsanbieter können je nach Funktion auch eigenständig Verantwortliche sein; sie werden insoweit nicht pauschal als Unterauftragnehmer bezeichnet. Einzelheiten zu eingesetzten Unternehmen, Verarbeitungsländern und Garantien stellt der Auftragnehmer auf Anfrage bereit. Vor deren Einsatz sind erforderliche Auftragsverarbeitungsverträge und Garantien für Drittlandübermittlungen durch den Auftragnehmer sicherzustellen. Die bloße Aufnahme in diese Liste ersetzt diese Prüfung nicht. Geplante wesentliche Änderungen der Unterauftragnehmer werden mindestens 30 Tage vor Einsatz in Textform angekündigt. Bei begründeten Datenschutzbedenken kann der Auftraggeber innerhalb dieser Frist widersprechen; wird keine geeignete Lösung vereinbart, kann er die betroffene Leistung zum Änderungszeitpunkt beenden. Unterauftragnehmer erhalten mindestens gleichwertige Datenschutzpflichten; der Auftragnehmer bleibt nach Art. 28 Abs. 4 DSGVO verantwortlich.
6. Unterstützung und Datenschutzverletzungen
Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung bei Betroffenenrechten sowie Pflichten aus Art. 32 bis 36 DSGVO. An ihn gerichtete Betroffenenanfragen zu Auftragsdaten werden unverzüglich weitergeleitet; ohne Weisung erfolgt keine eigenständige Auskunft, soweit keine gesetzliche Pflicht besteht. Bekannt gewordene Verletzungen des Schutzes von Auftragsdaten werden dem Auftraggeber unverzüglich mitgeteilt, einschließlich verfügbarer Informationen zu Art, Umfang, Folgen und Gegenmaßnahmen. Fehlende Informationen werden nachgereicht. Der Auftraggeber entscheidet über erforderliche Behörden- und Betroffenenmeldungen. Zusätzliche, außergewöhnliche Unterstützung kann nur nach vorheriger Vereinbarung berechnet werden; gesetzlich geschuldete Hilfe wird dadurch nicht verzögert.
7. Nachweise und Kontrolle
Der Auftragnehmer stellt erforderliche Informationen zum Nachweis dieser Vereinbarung bereit und ermöglicht angemessene, angekündigte Kontrollen durch den Auftraggeber oder einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer. Schutz anderer Mandanten und Betriebsgeheimnisse wird berücksichtigt; gesetzliche Kontrollrechte und anlassbezogene dringende Prüfungen bleiben unberührt. Informationen werden zunächst möglichst durch geeignete Dokumentation bereitgestellt. Weisungen, Annahmezeitpunkt und bestätigte Vertragsfassung werden nachvollziehbar dokumentiert.
8. Rückgabe und Löschung
Nach Vertragsende gibt der Auftragnehmer auf Wahl des Auftraggebers die Auftragsdaten in einem gängigen Format zurück oder löscht sie, soweit keine gesetzliche Pflicht zur weiteren Aufbewahrung besteht. Zurückbehaltene Daten bleiben gesperrt und zweckgebunden. Rückgabe, Löschumfang und Fristen werden über den Support dokumentiert; bestehende Exporte und Karten-Deaktivierung unterstützen die Abwicklung. In Sicherungskopien verbleibende Daten dürfen nicht regulär weiterverarbeitet werden und sind nach dem maßgeblichen Sicherungszyklus zu entfernen. Löschung wird auf Verlangen bestätigt. Bei Widersprüchen zu allgemeinen Nutzungsbedingungen geht diese Vereinbarung für die Auftragsverarbeitung vor.
Fragen zu diesen Angaben?
Schreiben Sie uns über den Kontaktbereich. Ihre Anfrage bleibt dort nachvollziehbar.
Kontakt aufnehmenZur Startseite →