Dieser Auftragsverarbeitungsvertrag gilt für die Verarbeitung personenbezogener Daten nach Art. 28 DSGVO im Rahmen der Nutzung der SaaS-Anwendung InvoPlanner (invoplanner.de). Verarbeitet ein Nutzer in InvoPlanner personenbezogene Daten Dritter (z. B. seiner eigenen Kunden und Ansprechpartner), ist zwischen ihm als Verantwortlichem und uns als Auftragsverarbeiter ein Vertrag zur Auftragsverarbeitung erforderlich.
[Firmenname]
[Anschrift]
[PLZ, Ort]
vertreten durch [Name]
Digital-e UG (haftungsbeschränkt)
Norderstraße 47
25436 Tornesch, Deutschland
vertreten durch Kurt Laabs (Geschäftsführer)
Amtsgericht Pinneberg, HRB 18836 Pi
anfrage@digital-e.org
Zwischen dem Auftraggeber (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO) und dem Auftragnehmer (Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO) besteht ein Vertrag über die Nutzung der SaaS-Anwendung InvoPlanner (invoplanner.de, nachfolgend „Hauptvertrag").
Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag" oder „AVV") konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten, die der Auftragnehmer im Auftrag des Auftraggebers durchführt. Er gilt für alle Tätigkeiten, die mit dem Hauptvertrag zusammenhängen und bei denen der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet.
Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Der Auftragnehmer verarbeitet diese Daten ausschließlich weisungsgebunden im Auftrag des Auftraggebers.
Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung und des Betriebs der Anwendung InvoPlanner. Art, Umfang und Zweck der Verarbeitung, die Art der Daten sowie der Kreis der betroffenen Personen ergeben sich aus Anlage 1.
Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.
Dieser Vertrag ersetzt etwaige zuvor zwischen den Parteien geschlossene Vereinbarungen zur Auftragsverarbeitung.
Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums (EU/EWR). Eine Verlagerung der Verarbeitung in ein Drittland erfolgt nur, sofern die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Zum Einsatz von Unterauftragnehmern mit möglichem Drittlandbezug siehe § 6 und Anlage 2.
Die einzelnen Verarbeitungstätigkeiten umfassen insbesondere das Speichern, Ordnen, Auswerten, Anzeigen, Übermitteln (z. B. per E-Mail/PDF), Einschränken und Löschen der vom Auftraggeber eingegebenen Daten sowie das Hosting, die Wartung und die Sicherung (Backup) der Anwendung.
Die Art der verarbeiteten Daten und der Kreis der betroffenen Personen sind in Anlage 1 näher beschrieben.
Der Auftragnehmer trifft die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 3 beschrieben.
Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragnehmer ist berechtigt, alternative angemessene Maßnahmen umzusetzen, sofern das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren.
Der Auftragnehmer berichtigt, löscht oder schränkt die Verarbeitung der Auftragsdaten nur nach dokumentierter Weisung des Auftraggebers ein. Soweit die Anwendung dem Auftraggeber entsprechende Funktionen bereitstellt, nimmt dieser die Berichtigung, Löschung und Einschränkung eigenständig vor.
Wendet sich eine betroffene Person mit Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch unmittelbar an den Auftragnehmer, so leitet dieser den Antrag unverzüglich an den Auftraggeber weiter.
Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen nach Kapitel III der DSGVO.
Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers, es sei denn, er ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, soweit das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Der Auftragnehmer gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).
Der Auftragnehmer benennt einen Ansprechpartner für den Datenschutz, der unter der angegebenen Kontaktadresse erreichbar ist.
Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine Aufsichtsbehörde Kontrollhandlungen vornimmt oder er von einem Ordnungswidrigkeiten- oder Strafverfahren im Zusammenhang mit der Verarbeitung der Auftragsdaten Kenntnis erlangt.
Der Auftragnehmer unterstützt den Auftraggeber, soweit dies für die Verarbeitung im Auftrag erforderlich ist und ihm möglich ist, bei Kontrollen der Aufsichtsbehörden und bei der Wahrung der Rechte betroffener Personen.
Der Auftraggeber genehmigt den Einsatz der in Anlage 2 aufgeführten Unterauftragnehmer. Als Unterauftragsverhältnisse gelten Leistungen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierunter fallen Nebenleistungen wie Telekommunikations-, Post-/Transport-, Wartungs- und Reinigungsdienstleistungen sowie die Prüfung oder Entsorgung von Datenträgern.
Der Auftragnehmer schließt mit Unterauftragnehmern die nach Art. 28 Abs. 2 bis 4 DSGVO erforderlichen Vereinbarungen und stellt durch angemessene Kontrollmaßnahmen sicher, dass die Unterauftragnehmer die datenschutzrechtlichen Verpflichtungen einhalten.
Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragnehmer hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Auftraggeber mit angemessenem Vorlauf (in der Regel vier Wochen) in Textform mit. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem, datenschutzrechtlich begründetem Anlass in Textform widersprechen.
Ist ein sofortiger Wechsel des Unterauftragnehmers zur Aufrechterhaltung des Betriebs oder zur Abwehr eines Datenschutzvorfalls erforderlich, kann der Wechsel ausnahmsweise ohne Einhaltung der Frist erfolgen; der Auftraggeber wird unverzüglich informiert.
Der Auftraggeber hat das Recht, sich von der Einhaltung der vereinbarten technischen und organisatorischen Maßnahmen sowie der vertraglichen Pflichten zu überzeugen. Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis erforderlichen Informationen zur Verfügung.
Der Nachweis kann auch durch die Einhaltung genehmigter Verhaltensregeln (Art. 40 DSGVO), durch eine Zertifizierung (Art. 42 DSGVO) oder durch geeignete Testate, Berichte oder Berichtsauszüge unabhängiger Stellen (z. B. Wirtschaftsprüfer, Datenschutzauditoren) erbracht werden.
Vor-Ort-Kontrollen führt der Auftraggeber nur nach rechtzeitiger Vorankündigung (in der Regel vier Wochen), während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durch. Sie sind auf das erforderliche Maß zu beschränken.
Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten, die die Auftragsdaten betrifft, unverzüglich nach Bekanntwerden.
Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei der Meldung an die Aufsichtsbehörde, der Benachrichtigung betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.
Unterstützungsleistungen, die über die vertraglich geschuldete Leistung hinausgehen und nicht auf ein Fehlverhalten des Auftragnehmers zurückzuführen sind, werden nach gesonderter Vereinbarung vergütet.
Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen der Weisungen des Auftraggebers. Weisungen erfolgen grundsätzlich in Textform. Mündlich erteilte Weisungen bestätigt der Auftraggeber unverzüglich in Textform.
Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.
Der Auftragnehmer erstellt keine Kopien oder Duplikate der Daten ohne Wissen des Auftraggebers. Hiervon ausgenommen sind Sicherungskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
Nach Beendigung des Vertrags hat der Auftragnehmer nach Wahl des Auftraggebers sämtliche Auftragsdaten zu löschen oder zurückzugeben, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Dem Auftraggeber stehen für die Rückgabe die Exportfunktionen der Anwendung zur Verfügung.
Die Löschung erfolgt nach Ablauf einer im Hauptvertrag genannten Vorhaltefrist oder auf unmittelbare Weisung des Auftraggebers. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, kann der Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen auch über das Vertragsende hinaus aufbewahren.
Für die Haftung gelten die Regelungen des Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrags.
Der Auftraggeber ist im Verhältnis der Parteien für die Rechtmäßigkeit der Datenverarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich (Art. 82 Abs. 2 DSGVO).
Änderungen und Ergänzungen dieses Vertrags einschließlich seiner Anlagen bedürfen einer Vereinbarung in Textform und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieses Vertrags handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
Bei Widersprüchen zwischen diesem Vertrag und Regelungen des Hauptvertrags (einschließlich AGB) gehen die Regelungen dieses Vertrags vor, soweit es die Verarbeitung personenbezogener Daten im Auftrag betrifft.
Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.
Es gilt das Recht der Bundesrepublik Deutschland.
Gegenstand des Auftrags: Bereitstellung und Betrieb der SaaS-Anwendung InvoPlanner zur Erstellung, Verwaltung und zum Versand von Geschäftsdokumenten (u. a. Rechnungen, Angebote, Aufträge, Auftragsbestätigungen, Lieferscheine, Mahnungen, Stornos und Gutschriften) sowie zur leichten Kundenverwaltung (CRM).
Art und Zweck der Verarbeitung: Speicherung, Ordnung, Anzeige, Auswertung, Übermittlung (PDF/E-Mail), Einschränkung und Löschung der vom Auftraggeber eingegebenen Daten zum Zweck der Rechnungsstellung, Dokumentenerstellung und Kundenverwaltung.
Art der personenbezogenen Daten: Stamm- und Kontaktdaten von Kunden und Ansprechpartnern (z. B. Name, Anschrift, E-Mail-Adresse, Telefonnummer, Funktion, USt-IdNr., Zahlungsbedingungen), Dokument- und Positionsdaten (Leistungsbeschreibungen, Beträge, Steuerangaben, Leistungszeiträume, Fälligkeiten), Zahlungsdaten (Betrag, Datum, Referenz) sowie sonstige vom Auftraggeber in Freitextfeldern eingegebene Angaben.
Kreis der betroffenen Personen: Kunden, Ansprechpartner, Leistungs- und Rechnungsempfänger sowie sonstige vom Auftraggeber in der Anwendung erfasste Dritte.
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung darüber hinausgehender, von ihm eingegebener personenbezogener Daten selbst verantwortlich.
| Unterauftragnehmer | Leistung | Verarbeitungsort / Drittlandtransfer |
|---|---|---|
| Cloudflare, Inc. 101 Townsend St, San Francisco, CA 94107, USA | Hosting, CDN, Ausführung der Anwendung/API (Workers), Datenbank (D1), Versandsteuerung (Durable Objects), Bot-/Missbrauchsschutz (Turnstile) und Observability/Logs. | D1-Datenbank und Durable-Object-Namespace mit EU-Jurisdiktion konfiguriert; für übrige Cloudflare-Dienste ggf. Drittlandübermittlung auf Basis EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln. |
| Google Ireland Ltd. / Google LLC (Firebase Authentication) Gordon House, Barrow Street, Dublin 4, Irland bzw. 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA | Authentifizierung, Login, E-Mail-Verifizierung und Passwort-Reset (Firebase Authentication, optional Google Sign-In). | Drittlandübermittlung auf Basis EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln. |
| IONOS SE Elgendorfer Straße 57, 56410 Montabaur, Deutschland | Versand transaktionaler E-Mails (SMTP), z. B. Rechnungen, Angebote und Mahnungen. | Verarbeitung innerhalb der EU/des EWR. |
| Vom Auftragnehmer betriebener Server (Node-/PDF-/Mail-Dienst) Serverstandort innerhalb der EU (durch den Auftragnehmer betrieben) | Serverseitige Erzeugung von PDF-Dokumenten (Rechnungen, Angebote u. a.) und Aufbereitung des E-Mail-Versands. | Verarbeitung ausschließlich innerhalb der EU/des EWR; keine dauerhafte Speicherung der PDF-Inhalte. |
Die Zahlungsabwicklung (PayPal) betrifft ausschließlich die eigene SaaS-Abrechnung des Auftragnehmers; PayPal ist dort eigenständig Verantwortlicher und daher kein Unterauftragnehmer im Sinne dieses Vertrags.