Vertrag zur Auftragsverarbeitung · Data processing agreement

Data processing agreement · Stand / last updated: 09.10.2026 · English version

Entwurf. Die markierten Angaben werden vor dem Start ergänzt und die Texte rechtlich geprüft. / Draft. Highlighted details will be completed and the texts reviewed before launch.

Nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und [Name oder Firma](Auftragsverarbeiter). Der Vertrag wird mit Annahme der AGB (Version2026-10-09) geschlossen und gilt, solange der Kunde Blanqo nutzt.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten, die der Kunde in Blanqo speichert, ausschließlich, um den Dienst nach den AGB zu erbringen, für die Dauer der Nutzung.

2. Art der Daten und betroffene Personen

Betroffene: Kunden und Ansprechpartner des Kunden, Mitglieder seiner Workspaces.
Daten: Namen, Anschriften, E-Mail-Adressen, Telefonnummern, Umsatzsteuer-IDs, Rechnungs- und Angebotsinhalte, Zahlungsangaben (z. B. IBAN), Unterhaltungen mit dem Assistenten.
Verarbeitung: Speichern, Anzeigen, Erstellen von PDF-Dokumenten, Versand, Löschen.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden; die AGB und die Nutzung der Funktionen der App gelten als solche Weisungen. Hält er eine Weisung für rechtswidrig, teilt er das mit.

4. Vertraulichkeit

Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

Hosting in Rechenzentren in der EU (Frankfurt) mit physischer Zugangskontrolle.
Verschlüsselte Übertragung (TLS), Passwörter nur als Hash gespeichert.
Strikte Trennung der Workspaces über Zugriffsregeln auf Datenbankebene.
Zugriff auf Produktivsysteme nur für berechtigte Personen mit persönlicher Anmeldung.
Regelmäßige Sicherungen und dokumentierte Wiederherstellung.
Automatisierte Tests jeder Änderung vor der Auslieferung.

6. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Über neue oder geänderte Unterauftragsverarbeiter informieren wir mindestens 30 Tage vorher per E-Mail; der Kunde kann aus wichtigem Grund widersprechen und den Vertrag dann kündigen.

Anbieter / Provider	Zweck / Purpose	Ort / Location
Fly.io, Inc.	Hosting of the app, database and services / Hosting von App, Datenbank und Diensten	Region Frankfurt (DE); USA (SCC, Data Privacy Framework)
Stripe Payments Europe, Ltd.	Subscription payments / Zahlungsabwicklung der Abonnements	Ireland; USA (SCC, Data Privacy Framework)
Mistral AI SAS	AI assistant and voice transcription / KI-Assistent und Sprachtranskription	France (EU)
Sendinblue SAS (Brevo)	Sending emails / E-Mail-Versand	France (EU)
PostHog Inc. (EU Cloud)	Usage analytics, only after consent / Nutzungsanalyse, nur nach Einwilligung	Frankfurt (DE)

7. Unterstützung des Kunden

Der Auftragsverarbeiter unterstützt den Kunden bei Anfragen Betroffener, bei der Meldung von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen. Datenschutzverletzungen meldet er unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

8. Löschung und Rückgabe

Der Kunde kann seine Daten jederzeit exportieren. Nach Löschung des Kontos oder Ende der Nutzung löscht der Auftragsverarbeiter die Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht; Sicherungskopien werden innerhalb von 30 Tagen überschrieben.

9. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis der Pflichten nötigen Informationen bereit und ermöglicht Überprüfungen nach angemessener Vorankündigung.

10. Kontakt

Datenschutzanfragen: [email protected]

English version

Provided for convenience. In case of differences, the German version prevails.

Under Art. 28 GDPR between the customer (controller) and [Name oder Firma](processor). It is concluded by accepting the terms (version2026-10-09) and applies as long as the customer uses Blanqo.

1. Subject and duration

The processor processes personal data the customer stores in Blanqo solely to provide the service under the terms, for as long as it is used.

2. Types of data and data subjects

Data subjects: the customer's clients and contacts, members of its workspaces.
Data: names, addresses, email addresses, phone numbers, VAT IDs, invoice and quote contents, payment details (e.g. IBAN), conversations with the assistant.
Processing: storing, displaying, creating PDF documents, sending, deleting.

3. Instructions

The processor processes the data only on the customer's documented instructions; the terms and the use of the app's features count as such. It reports instructions it considers unlawful.

4. Confidentiality

Everyone with access to the data is bound to confidentiality.

5. Technical and organisational measures

Hosting in EU data centres (Frankfurt) with physical access control.
Encrypted transfer (TLS); passwords stored only as hashes.
Strict separation of workspaces through database access rules.
Access to production systems only for authorised people with personal logins.
Regular backups and a documented restore.
Automated tests of every change before release.

6. Sub-processors

The customer agrees to the sub-processors below. We announce new or changed sub-processors by email at least 30 days in advance; the customer may object for good cause and then terminate the contract.

Anbieter / Provider	Zweck / Purpose	Ort / Location
Fly.io, Inc.	Hosting of the app, database and services / Hosting von App, Datenbank und Diensten	Region Frankfurt (DE); USA (SCC, Data Privacy Framework)
Stripe Payments Europe, Ltd.	Subscription payments / Zahlungsabwicklung der Abonnements	Ireland; USA (SCC, Data Privacy Framework)
Mistral AI SAS	AI assistant and voice transcription / KI-Assistent und Sprachtranskription	France (EU)
Sendinblue SAS (Brevo)	Sending emails / E-Mail-Versand	France (EU)
PostHog Inc. (EU Cloud)	Usage analytics, only after consent / Nutzungsanalyse, nur nach Einwilligung	Frankfurt (DE)

7. Assistance

The processor assists the customer with data subject requests, breach notifications and data protection impact assessments. It reports personal data breaches without undue delay, at the latest within 48 hours of becoming aware.

8. Deletion and return

The customer can export its data at any time. After the account is deleted or use ends, the processor deletes the data unless the law requires it to be kept; backups are overwritten within 30 days.

9. Evidence and audits

The processor provides the information needed to demonstrate compliance and allows audits after reasonable notice.

10. Contact

Privacy requests: [email protected]