Auftragsverarbeitungsvertrag
Vertrag über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO zwischen dem Kunden (nachfolgend „Verantwortlicher“) und Klaus Fuhrmeister, Softwareservice Fuhrmeister, handelnd unter „RechnungsBrücke“, Uhlandstraße 1, 65520 Bad Camberg (nachfolgend „Auftragsverarbeiter“). Dieser Vertrag wird mit der Buchung eines Plans Bestandteil des Nutzungsvertrags und steht hier dauerhaft im Self-Service zur Verfügung.
1. Gegenstand und Dauer
Gegenstand ist der Betrieb der Software „RechnungsBrücke“ zum Empfang, zur Prüfung, Anzeige, Erstellung, zum Versand und zur Archivierung elektronischer Rechnungen des Verantwortlichen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags zuzüglich der nachvertraglichen Exportfrist.
2. Art und Zweck der Verarbeitung
Speicherung, Auslesen, formale Prüfung, Darstellung, Erzeugung, Übermittlung (E-Mail-Versand) und revisionssichere Archivierung von Rechnungen und Belegen einschließlich der darin enthaltenen personenbezogenen Daten sowie die Protokollierung der damit verbundenen Verarbeitungsvorgänge.
3. Kategorien betroffener Personen und Daten
Betroffene: Geschäftspartner, Kunden und Lieferanten des Verantwortlichen sowie deren Beschäftigte; Beschäftigte des Verantwortlichen. Datenarten: Namen, Firmen- und Kontaktdaten, Anschriften, E-Mail-Adressen, Telefonnummern, Steuernummern/USt-IdNrn., Bankverbindungen, Rechnungspositionen und -beträge, Zahlungs- und Leistungsdaten.
4. Weisungsrecht
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Funktionen der Software gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.
5. Vertraulichkeit
Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
6. Technische und organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter trifft die in der Anlage (Ziffer 13) beschriebenen Maßnahmen nach Art. 32 DSGVO und entwickelt sie entsprechend dem Stand der Technik fort, wobei das Schutzniveau nicht unterschritten werden darf.
7. Unterauftragsverarbeiter
Der Verantwortliche genehmigt allgemein den Einsatz der folgenden Unterauftragsverarbeiter:
a) netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland – Hosting (Server und Datenhaltung, ausschließlich Rechenzentren in Deutschland);
b) Sendinblue GmbH („Brevo“), Köpenicker Straße 126, 10179 Berlin, Deutschland – Versand von System- und Rechnungs-E-Mails;
c) Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland – Zahlungsabwicklung (mögliche Übermittlung an Stripe, Inc., USA, auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln).
Über beabsichtigte Änderungen informiert der Auftragsverarbeiter in Textform mit einer Frist von vier Wochen. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein Sonderkündigungsrecht zu.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–22 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO. Export- und Löschfunktionen stehen im Self-Service zur Verfügung.
9. Meldepflichten
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die dessen Daten betreffen, unverzüglich und stellt die zur Erfüllung der Meldepflicht nach Art. 33 DSGVO erforderlichen Informationen zur Verfügung.
10. Löschung und Rückgabe
Nach Vertragsende stellt der Auftragsverarbeiter das Archiv für 90 Tage zum Export bereit und löscht die Daten anschließend, soweit keine gesetzliche Aufbewahrungspflicht des Auftragsverarbeiters entgegensteht. Die Erfüllung der eigenen Aufbewahrungspflichten des Verantwortlichen (insbesondere § 147 AO, § 257 HGB) durch rechtzeitigen Export obliegt dem Verantwortlichen.
11. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung, insbesondere diese AVV-Seite, die TOM-Anlage und die Verfahrensdokumentation. Kontrollen vor Ort sind nach angemessener Ankündigung während üblicher Geschäftszeiten möglich, soweit Auskünfte und Unterlagen nicht ausreichen.
12. Haftung, Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO sowie ergänzend die Haftungsregelung der AGB. Es gilt deutsches Recht; Gerichtsstand ist Limburg an der Lahn. Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV hinsichtlich der Verarbeitung personenbezogener Daten vor.
13. Anlage: Technische und organisatorische Maßnahmen
Zutritts- und Zugangskontrolle: Betrieb in ISO-27001-zertifizierten Rechenzentren in Deutschland (netcup); Serverzugriff ausschließlich per SSH-Schlüssel; Anwendung mit Passwort-Hashing (bcrypt) und optionaler Zwei-Faktor-Authentifizierung (TOTP).
Zugriffskontrolle: Mandantentrennung auf Datenbankebene; Datenbank und Dateispeicher ohne öffentliche Erreichbarkeit (nur internes Servernetz); rollenbasierter Admin-Zugang; protokollierte und für den Nutzer sichtbare Support-Zugriffe.
Übertragungskontrolle: TLS 1.2+ für sämtliche Webzugriffe; HSTS; Firewall-Beschränkung auf benötigte Ports.
Eingabekontrolle: revisionssicheres Audit-Log aller maßgeblichen Aktionen (Nutzer, Aktion, Zeitpunkt); unveränderbare Belegablage mit SHA-256-Prüfsummen.
Verfügbarkeitskontrolle: tägliche Backups von Datenbank und Dateiarchiv mit 30 Tagen Aufbewahrung; dokumentierter Wiederherstellungstest; Monitoring mit Health-Checks.
Trennungsgebot: logische Mandantentrennung; getrennte Umgebungen für Entwicklung und Produktion.
Organisation: Verfahrensdokumentation (in der Anwendung abrufbar); Prinzip der Datenminimierung (keine Tracking- oder Analysedienste).