Auftrags­verarbeitungs­vertrag

nach Art. 28 DSGVO · Stand: [PLATZHALTER: Datum]

Wenn du in Kontor Daten deiner Kunden einträgst, verarbeiten wir sie in deinem Auftrag. Dieser Vertrag regelt, was wir damit dürfen und was nicht.

zwischen dem Kunden (Unternehmer gemäß den AGB)
– Verantwortlicher („Auftraggeber“) –

und [PLATZHALTER: Name/Firma, Anschrift des Anbieters]
– Auftragsverarbeiter („Auftragnehmer“) –

Dieser Vertrag wird elektronisch mit der Registrierung geschlossen (Art. 28 Abs. 9 DSGVO) und gilt für die gesamte Dauer des Hauptvertrags einschließlich des Testzeitraums. [PLATZHALTER: Zustimmung im Registrierungsprozess technisch protokollieren (Datum, Version)]

§ 1Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer bei der Bereitstellung der Rechnungssoftware Kontor gemäß den AGB (Hauptvertrag).
2. Die Dauer entspricht der Laufzeit des Hauptvertrags zuzüglich der Frist für Export und Löschung nach § 10 dieses Vertrags.

§ 2Art, Zweck und Umfang der Verarbeitung

Art

Erheben, Speichern, Ordnen, Anzeigen, Verändern, Übermitteln (Versand von Rechnungen, Erinnerungen und Mahnungen per E-Mail, Bereitstellung im Kundenportal), Abgleichen (Zahlungseingänge), Exportieren, Löschen

Zweck

Erstellen, Versenden und Verwalten von Angeboten und Rechnungen, Überwachung von Zahlungseingängen, Mahnwesen, Export für Buchhaltung und Steuerberatung

Datenarten

Namen, Anschriften, E-Mail-Adressen, Telefonnummern, Kundennummern, Ansprechpartner; Angebots- und Rechnungsinhalte (Leistungen, Beträge, Daten); Bankverbindungen und Buchungsdaten aus hochgeladenen Kontoauszügen; Fotos von Papierrechnungen und Belegen; Nutzerdaten der Mitarbeiter des Auftraggebers (Name, E-Mail, Rolle, Protokolldaten); Zugriffsdaten im Kundenportal (IP-Adresse, Zeitpunkt)

Betroffene

Kunden und Interessenten des Auftraggebers sowie deren Ansprechpartner; Beschäftigte des Auftraggebers mit eigenem Zugang; Zahlungspflichtige und Zahlende laut Kontoauszug

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Auftraggeber trägt solche Daten nicht ein.

§ 3Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen sind durch den Hauptvertrag, diesen Vertrag und die Nutzung der Funktionen der Software festgelegt. Einzelweisungen erfolgen in Textform.
2. Ist der Auftragnehmer nach Unionsrecht oder deutschem Recht zu einer anderen Verarbeitung verpflichtet, teilt er dies vorher mit, sofern das Recht es nicht verbietet.
3. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung aussetzen, bis sie bestätigt oder geändert wird.

§ 4Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die auf Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff erhalten nur Personen, die ihn für ihre Aufgaben benötigen (z. B. Betrieb, Support auf Anfrage).

§ 5Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
2. Der Auftragnehmer informiert den Auftraggeber mindestens [PLATZHALTER: 4 Wochen] vorher in Textform über die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann keine Einigung erzielt werden, haben beide Seiten ein Sonderkündigungsrecht.
3. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten. Bei Unterauftragsverarbeitern in Drittländern stellt er geeignete Garantien nach Art. 44 ff. DSGVO sicher.

§ 7Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen Betroffener (Art. 15–22 DSGVO). Die Software ermöglicht dem Auftraggeber, Daten selbst einzusehen, zu berichtigen, zu exportieren und – unter Beachtung gesetzlicher Aufbewahrungspflichten – zu löschen. Wendet sich ein Betroffener direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich weiter.

§ 8Weitere Unterstützungspflichten

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, vorherige Konsultation). [PLATZHALTER: Vergütung für Unterstützungsleistungen über das übliche Maß hinaus regeln oder streichen]

§ 9Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von [PLATZHALTER: 24] Stunden nach Kenntnis, per E-Mail an die im Konto hinterlegte Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

§ 10Löschung und Rückgabe nach Vertragsende

1. Der Auftraggeber kann seine Daten während der Laufzeit und bis 30 Tage nach Vertragsende selbst exportieren (Rückgabe).
2. Danach löscht der Auftragnehmer alle Daten des Auftraggebers, Sicherungskopien spätestens nach weiteren [PLATZHALTER: 30] Tagen, sofern keine gesetzliche Pflicht zur Speicherung besteht. Auf Wunsch bestätigt er die Löschung in Textform.
3. Gesetzliche Aufbewahrungspflichten für Rechnungen (z. B. § 147 AO, § 14b UStG, § 257 HGB) treffen den Auftraggeber. Der Auftragnehmer bewahrt Daten nach Vertragsende nicht für den Auftraggeber auf.

§ 11Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Vor-Ort-Kontrollen sind nach rechtzeitiger Ankündigung (in der Regel 4 Wochen) während der Geschäftszeiten möglich, ohne den Betrieb unverhältnismäßig zu stören, und können durch einen zur Verschwiegenheit verpflichteten Prüfer erfolgen. Der Nachweis kann auch durch geeignete Zertifikate oder Prüfberichte (z. B. des Hosters) erbracht werden.

§ 12Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.

§ 13Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor. Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1Technische und organisatorische Maßnahmen

[PLATZHALTER: Alle Punkte mit dem tatsächlichen Betrieb abgleichen.]

Vertraulichkeit

• Zutrittskontrolle: Server in einem Rechenzentrum des Hosters in Deutschland mit Zutrittskontrolle, Videoüberwachung und Besucherregelung [PLATZHALTER: Zertifizierung des Rechenzentrums, z. B. ISO/IEC 27001].
• Zugangskontrolle: Server-Administration nur per SSH-Schlüssel, keine Passwort-Anmeldung; Firewall; Nutzer-Passwörter als Hash gespeichert [PLATZHALTER: Verfahren, z. B. scrypt/argon2]; Begrenzung von Anmeldeversuchen [PLATZHALTER: Zwei-Faktor-Anmeldung angeboten?].
• Zugriffskontrolle: Mandantentrennung: jeder Datenzugriff ist an das Konto des Auftraggebers gebunden; Rollen und Rechte für Mitarbeiterzugänge; administrativer Zugriff nur für [PLATZHALTER: Anzahl/Funktion] Personen.
• Trennungskontrolle: logische Trennung der Daten verschiedener Auftraggeber; Test- und Produktivdaten getrennt.
• Pseudonymisierung/Verschlüsselung: Übertragung ausschließlich per TLS; [PLATZHALTER: Verschlüsselung der Datenträger bzw. der Datenbank im Ruhezustand].

Integrität

• Weitergabekontrolle: verschlüsselte Übertragung; E-Mail-Versand über eigenen Mailserver mit TLS; Export nur durch angemeldete Nutzer.
• Eingabekontrolle: Protokollierung von Anmeldungen und wesentlichen Änderungen; festgeschriebene Rechnungen sind unveränderbar, Korrekturen nur per Storno.

Verfügbarkeit und Belastbarkeit

• Regelmäßige Sicherungen [PLATZHALTER: Häufigkeit, Aufbewahrungsdauer, Speicherort der Backups – getrennt vom Produktivsystem]; Wiederherstellung wird [PLATZHALTER: Intervall] getestet.
• Überwachung der Systeme, zeitnahes Einspielen von Sicherheitsupdates.

Verfahren zur regelmäßigen Überprüfung

• Überprüfung dieser Maßnahmen mindestens jährlich und nach wesentlichen Änderungen; Vorgehen bei Datenschutzverletzungen dokumentiert.

Anlage 2Genehmigte Unterauftragsverarbeiter

Für den E-Mail-Versand wird kein externer Dienst eingesetzt; der Versand läuft über den eigenen Mailserver des Auftragnehmers beim oben genannten Hoster.