Version 2026-09-18.1 · Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO für die Anwendung Colex.
Parteien
Auftragsverarbeiter:
Colex Werbeagentur
Inhaberin: Lisa Mandana Ut
Kaiserin-Augusta-Allee 95
10589 Berlin
Deutschland
E-Mail: support@colex.io
Verantwortlicher: der jeweilige Mandant / Vertragspartner der Anwendung (Unternehmen, das Colex nutzt).
Kurzüberblick
- Gegenstand: Betrieb der mandantenfähigen SaaS inklusive Support und technischer Maßnahmen
- Weisungsbindung und Vertraulichkeit nach Art. 28 Abs. 3 DSGVO
- Unterauftragsverarbeiter gemäß aktueller Liste (u. a. Stripe, Mistral, System-Mail, optionale Google-/Banking-/sevDesk-Dienste)
- Änderungen der Unterauftragsverarbeiter: Mitteilung mindestens 14 Tage im Voraus, Widerspruchsrecht
- ELSTER/Finanzverwaltung: Empfänger auf Weisung des Mandanten, kein klassischer Unterauftragsverarbeiter
- Google Analytics auf der Marketing-Website betrifft keine Mandanten-Auftragsverarbeitung
- TOMs: Mandantentrennung, Tenant-Context in Jobs, Verschlüsselung von Secrets und HR-Feldern, Rollenmodell, private Dateispeicherung, Retention/Purge
- Löschung/Rückgabe nach Vertragsende: Karenz, Betriebs-Purge/Anonymisierung, Fiscal Hold für Belege, danach Hard-Purge
Unterauftragsverarbeiter (Auszug)
- Stripe Payments Europe Ltd. / verbundene Gesellschaften — Abonnement- und Zahlungsabwicklung (EU / ggf. USA mit geeigneten Garantien, aktiv bei gebuchtem Plan)
- Mistral AI SAS — KI-Support-Chat und optionale Dokumentenerkennung (EU (Frankreich), aktiv bei Nutzung der KI-Funktionen)
- Google Ireland Limited / Google LLC — Optionale OAuth-Integrationen (Kalender, Kontakte, Business Profile, Drive) (EU / USA mit geeigneten Garantien, nur wenn Mandant verbindet)
- Open-Banking-Anbieter (z. B. Enable Banking, finAPI) — Kontoanbindung und Transaktionsabruf (PSD2) (EU, nur wenn Banking-Modul verbunden)
- sevDesk / Lexware Office — Optionale Synchronisation von Kontakten und Belegen (EU (Deutschland), nur wenn Mandant API verbindet)
- Beleg-Provider (z. B. Amazon Business) — Optionaler Abruf von Belegdaten (EU / ggf. Drittland mit geeigneten Garantien, nur wenn Mandant verbindet)
- System-E-Mail-Versand (SMTP / Postmark o. ä.) — Versand von System-, Transaktions- und Support-E-Mails (EU / je nach konfiguriertem Mailer, aktiv)
- ClamAV / Virenscan (optional) — Prüfung hochgeladener Dateien auf Schadsoftware (Deutschland / EU (eigene Infrastruktur), nur wenn Virenscan aktiviert)
- Hosting- und Backup-Infrastruktur des Auftragsverarbeiters — Betrieb, Speicherung, Sicherungskopien (Deutschland / EU, aktiv)
- PostHog — Produktanalyse (EU, derzeit deaktiviert)
Empfänger / behördliche Schnittstellen
- ELSTER / ERIC-Schnittstelle — Steuerliche Übermittlung an die Finanzverwaltung, soweit Modul genutzt (Deutschland, nur wenn Mandant Modul nutzt (Empfänger, kein klassischer Unterauftragsverarbeiter))
Vollständiger Vertrag
Die vollständigen Vertragstexte inklusive Anlagen erhalten berechtigte Nutzer nach Login als PDF:
Zur Anmeldung · danach Einstellungen → Rechtliches → AVV als PDF herunterladen.