Auftragsverarbeitungsvertrag (AV-Vertrag)

Vertragsparteien

Auftraggeber (Verantwortlicher):
Der jeweilige Kunde/Nutzer von Contavi (nachfolgend „Auftraggeber")

Auftragnehmer (Auftragsverarbeiter):
Simon Kobler IT- und Mediendienstleistungen
Geschäftsführer: Simon Kobler
Bürgermeister-Wild-Straße 33a
85521 Ottobrunn, Deutschland
E-Mail: info@sdkindustries.de

Produkt: Contavi (portal.contavi.app)

§ 1 Gegenstand und Dauer

(1) Dieser Auftragsverarbeitungsvertrag (nachfolgend „AV-Vertrag") konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien gemäß Art. 28 DSGVO im Zusammenhang mit der Nutzung der SaaS-Plattform Contavi (nachfolgend „Dienst").

(2) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung des Dienstes. Art und Zweck der Verarbeitung ergeben sich aus dem zugrunde liegenden Nutzungsvertrag (AGB).

(3) Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Nutzungsvertrags zwischen Auftraggeber und Auftragnehmer. Der AV-Vertrag endet automatisch mit Beendigung des Nutzungsvertrags.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung personenbezogener Daten durch den Auftragnehmer erfolgt ausschließlich zum Zweck der Bereitstellung des Dienstes Contavi, insbesondere:

• Speicherung und Verwaltung von Buchhaltungsdaten (Rechnungen, Belege, Kontakte)
• Benutzerauthentifizierung und Kontoverwaltung
• Erstellung und Versand von Rechnungen und Dokumenten
• Bereitstellung von Auswertungen und Berichten
• Technischer Betrieb und Wartung der Plattform

§ 3 Art der personenbezogenen Daten

Gegenstand der Verarbeitung sind folgende Arten personenbezogener Daten:

• Stammdaten (Name, Firma, Adresse)
• Kontaktdaten (E-Mail-Adresse, Telefonnummer)
• Vertragsdaten (Rechnungsdaten, Zahlungsinformationen, Bankverbindungen)
• Nutzungsdaten (Login-Daten, IP-Adressen, Zeitstempel)
• Inhaltsdaten (hochgeladene Dokumente, Belege, Notizen)

§ 4 Kategorien betroffener Personen

Betroffen von der Datenverarbeitung sind folgende Personengruppen:

• Der Auftraggeber selbst (als Nutzer der Plattform)
• Mitarbeiter und Beauftragte des Auftraggebers
• Kunden und Geschäftspartner des Auftraggebers
• Lieferanten und Dienstleister des Auftraggebers

§ 5 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

• Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist nach Unionsrecht oder dem Recht der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet.
• Sicherzustellen, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
• Alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen zu ergreifen (siehe § 6).
• Den Auftraggeber unverzüglich zu informieren, wenn eine Weisung des Auftraggebers nach Auffassung des Auftragnehmers gegen datenschutzrechtliche Vorschriften verstößt.
• Den Auftraggeber unverzüglich über Verletzungen des Schutzes personenbezogener Daten zu informieren (Art. 33 DSGVO).
• Den Auftraggeber bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO) im Rahmen seiner Möglichkeiten zu unterstützen.
• Den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung) zu unterstützen.
• Nach Abschluss der Auftragsverarbeitung alle personenbezogenen Daten zu löschen oder zurückzugeben (siehe § 11).
• Dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung zu stellen und Überprüfungen zu ermöglichen (siehe § 9).

§ 6 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer hat folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO implementiert, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:

Vertraulichkeit

• Hosting auf Google Cloud Platform (Region europe-west3, Frankfurt am Main)
• Verschlüsselung aller Daten bei der Übertragung mittels TLS 1.2+ (HTTPS)
• Verschlüsselung aller ruhenden Daten (Encryption at Rest) durch Google Cloud
• Authentifizierung über Firebase Authentication mit sicheren Passwort-Hashing-Verfahren
• Strikte Zugriffskontrolle durch Firestore Security Rules (mandantensichere Datentrennung)
• Zugriff auf Produktionssysteme nur durch den Geschäftsführer

Integrität

• Eingabekontrolle durch Logging von Schreib- und Änderungsvorgängen
• Weitergabekontrolle durch verschlüsselte Übertragungswege
• Automatisierte Validierung von Eingabedaten

Verfügbarkeit und Belastbarkeit

• Tägliche automatisierte Backups der Datenbank
• Hosting auf hochverfügbarer Google Cloud Infrastruktur mit automatischem Failover
• Monitoring und Alerting bei Systemausfällen
• Wiederherstellbarkeit der Daten aus Backups

Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Überprüfung und Aktualisierung der Sicherheitsmaßnahmen
• Regelmäßige Updates und Patches der eingesetzten Software
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO)

§ 7 Unterauftragnehmer

(1) Der Auftraggeber stimmt dem Einsatz der nachfolgend genannten Unterauftragnehmer (Subprozessoren) zu:

(2) Google Ireland Limited verarbeitet Daten ausschließlich in der EU/dem EWR (Region europe-west3). Die Datenverarbeitung erfolgt auf Grundlage eines Auftragsverarbeitungsvertrags zwischen dem Auftragnehmer und Google (Google Cloud Data Processing Addendum).

(3) Der Auftragnehmer wird den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragnehmern informieren. Der Auftraggeber kann der Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung widersprechen. Bei berechtigtem Widerspruch steht dem Auftraggeber ein Sonderkündigungsrecht zu.

§ 8 Rechte und Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Einhaltung der datenschutzrechtlichen Bestimmungen verantwortlich, insbesondere für die Rechtmäßigkeit der Datenverarbeitung (Art. 6 DSGVO) sowie die Wahrung der Rechte der betroffenen Personen (Art. 12–23 DSGVO).

(2) Der Auftraggeber erteilt alle Weisungen in Bezug auf die Verarbeitung personenbezogener Daten. Weisungen sind in der Regel durch die Nutzung der Plattformfunktionen abgebildet. Einzelweisungen können schriftlich oder in Textform (E-Mail) an den Auftragnehmer gerichtet werden.

(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(4) Der Auftraggeber benennt auf Anfrage eine Kontaktperson für im Rahmen des Vertrags anfallende Datenschutzfragen.

§ 9 Kontrollrechte

(1) Der Auftraggeber hat das Recht, die Einhaltung der datenschutzrechtlichen Vorschriften und der Bestimmungen dieses AV-Vertrags zu überprüfen, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in relevante Dokumentationen.

(2) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten zur Verfügung.

(3) Vor-Ort-Inspektionen sind nach angemessener Vorankündigung (mindestens 14 Tage) und unter Berücksichtigung der Geschäftsgeheimnisse des Auftragnehmers möglich. Der Auftragnehmer kann alternativ aktuelle Zertifizierungen, Berichte oder Auditergebnisse unabhängiger Prüfer vorlegen.

(4) Der Auftraggeber trägt die Kosten einer Überprüfung, es sei denn, die Überprüfung ergibt einen Verstoß des Auftragnehmers gegen diesen AV-Vertrag.

§ 10 Haftung

(1) Die Haftung der Vertragsparteien richtet sich nach Art. 82 DSGVO. Jede Vertragspartei haftet für den Schaden, der durch eine nicht der DSGVO entsprechende Verarbeitung verursacht wird, soweit sie die ihr auferlegten Pflichten verletzt hat.

(2) Der Auftragnehmer haftet bei Schäden, die durch eine weisungswidrige Verarbeitung oder durch Nichteinhaltung der in diesem AV-Vertrag festgelegten Pflichten entstehen.

(3) Eine Haftung des Auftragnehmers für Schäden, die auf fehlerhafte oder unvollständige Weisungen des Auftraggebers zurückzuführen sind, ist ausgeschlossen.

(4) Weitergehende Haftungsregelungen aus dem zugrunde liegenden Nutzungsvertrag (AGB) bleiben unberührt.

§ 11 Beendigung

(1) Dieser AV-Vertrag endet automatisch mit der Beendigung des zugrunde liegenden Nutzungsvertrags.

(2) Nach Beendigung des Nutzungsvertrags hat der Auftraggeber die Möglichkeit, innerhalb von 30 Tagen einen Export seiner Daten über die Plattform anzufordern. Der Auftragnehmer unterstützt den Auftraggeber hierbei im Rahmen der verfügbaren technischen Exportfunktionen.

(3) Nach Ablauf der 30-tägigen Frist löscht der Auftragnehmer sämtliche im Auftrag verarbeiteten personenbezogenen Daten unwiderruflich, sofern nicht gesetzliche Aufbewahrungspflichten einer Löschung entgegenstehen. Die Löschung wird dem Auftraggeber auf Anfrage schriftlich bestätigt.

(4) Daten, die aufgrund gesetzlicher Aufbewahrungspflichten gespeichert werden müssen, werden für die Dauer der Aufbewahrungsfrist gesperrt und nach deren Ablauf gelöscht.

§ 12 Schlussbestimmungen

(1) Sollten einzelne Bestimmungen dieses AV-Vertrags unwirksam sein oder werden, so wird dadurch die Wirksamkeit des Vertrags im Übrigen nicht berührt. Die unwirksame Bestimmung ist durch eine Regelung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(2) Änderungen und Ergänzungen dieses AV-Vertrags bedürfen der Schriftform oder der Textform. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

(3) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des internationalen Privatrechts (IPR) und des UN-Kaufrechts (CISG).

(4) Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AV-Vertrag ist München, sofern der Auftraggeber Kaufmann ist oder keinen allgemeinen Gerichtsstand in Deutschland hat.

(5) Dieser AV-Vertrag tritt mit Beginn der Nutzung des Dienstes Contavi in Kraft und gilt als durch den Auftraggeber durch Nutzung des Dienstes akzeptiert.