Auftragsverarbeitungsvertrag (AVV)

Zwischen dem Kunden (nachfolgend „Verantwortlicher“ genannt) und der

RechnungsWächter GmbH
Mendelstr. 11
48149 Münster
Deutschland
(nachfolgend „Auftragsverarbeiter“ genannt)

wird folgender Vertrag über die Verarbeitung von personenbezogenen Daten im Auftrag geschlossen:

§ 1 Gegenstand und Dauer des Auftrags

1. Gegenstand: Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Dies geschieht im Rahmen der Erbringung der Software-as-a-Service-Leistungen (SaaS) gemäß dem zwischen den Parteien geschlossenen Hauptvertrag (Allgemeine Geschäftsbedingungen).

2. Dauer: Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages. Er endet automatisch mit der Beendigung des Hauptvertrages, ohne dass es einer gesonderten Kündigung bedarf.

§ 2 Gegenstand, Art und Zweck der Verarbeitung

1. Art und Zweck: Die Verarbeitung umfasst alle Tätigkeiten, die erforderlich sind, um die im Hauptvertrag vereinbarten Leistungen (insbesondere digitale Rechnungsprüfung, Belegerfassung, Datenextraktion mittels KI) zu erbringen.

2. Art der Daten: Gegenstand der Verarbeitung sind insbesondere folgende Datenarten/Datenkategorien:

• Stammdaten (z.B. Name, Vorname, Firma)
• Kontaktdaten (z.B. Adresse, E-Mail, Telefonnummer)
• Vertragsdaten (z.B. Vertragsgegenstand, Laufzeit)
• Rechnungs- und Zahlungsdaten (z.B. Bankverbindung, Rechnungsbeträge, Rechnungspositionen)
• Kommunikationsdaten (z.B. Support-Anfragen)

3. Kategorien betroffener Personen: Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen:

• Kunden / Lieferanten des Verantwortlichen
• Beschäftigte des Verantwortlichen
• Ansprechpartner bei Lieferanten / Geschäftspartnern

§ 3 Rechte und Pflichten des Verantwortlichen

1. Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen ist allein der Verantwortliche verantwortlich.

2. Der Verantwortliche erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem elektronischen Format. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu bestätigen.

3. Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich und vollständig, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.

§ 4 Pflichten des Auftragsverarbeiters

a) Datenverarbeitung nach Weisung

Der Auftragsverarbeiter darf Daten von betroffenen Personen nur im Rahmen des Auftrags und der dokumentierten Weisungen des Verantwortlichen verarbeiten, es sei denn, es liegt ein Ausnahmefall im Sinne des Art. 28 Abs. 3 lit. a DSGVO vor.

b) Datensicherheit (Art. 32 DSGVO)

Der Auftragsverarbeiter ergreift die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (TOMs), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese Maßnahmen können im Laufe des Vertrages an die technische und rechtliche Entwicklung angepasst werden, dürfen jedoch das vereinbarte Sicherheitsniveau nicht unterschreiten.

c) Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

d) Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Anfragen von betroffenen Personen zur Ausübung ihrer Rechte (z.B. Auskunft, Berichtigung, Löschung). Darüber hinaus unterstützt er den Verantwortlichen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten.

e) Meldepflichten bei Verletzungen des Datenschutzes

Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich jede Verletzung des Schutzes personenbezogener Daten. Die Meldung muss zumindest die in Art. 33 Abs. 3 DSGVO geforderten Informationen enthalten.

§ 5 Unterauftragsverhältnisse

1. Der Verantwortliche stimmt der Beauftragung der in Anlage 2 aufgeführten Unterauftragnehmer zu.

2. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder den Ersatz von Unterauftragnehmern. Der Verantwortliche kann der Änderung aus wichtigem, datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen.

3. Der Auftragsverarbeiter schließt mit jedem Unterauftragnehmer einen Vertrag gemäß Art. 28 Abs. 4 DSGVO, der sicherstellt, dass die gleichen Datenschutzpflichten gelten, die in diesem Vertrag festgelegt sind.

§ 6 Kontrollrechte des Verantwortlichen

1. Der Verantwortliche ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Auftragsverarbeiter in angemessenem Umfang selbst oder durch Dritte zu kontrollieren.

2. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung, um die Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten nachzuweisen.

3. Der Nachweis der Umsetzung geeigneter technischer und organisatorischer Maßnahmen kann auch durch die Vorlage aktueller Zertifikate, Reports oder Testate unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Datenschutzbeauftragte) erbracht werden.

§ 7 Schlussbestimmungen

1. Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern keine gesetzliche Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

2. Änderungen und Ergänzungen dieses Vertrages und aller seiner Bestandteile bedürfen einer schriftlichen Vereinbarung. Dies gilt auch für den Verzicht auf das Schriftformerfordernis.

3. Sollten einzelne Bestimmungen dieses Vertrages unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.

4. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Auftragsverarbeiters, sofern rechtlich zulässig.

Anlage 1: Technisch-organisatorische Maßnahmen (TOMs)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Keine unbefugten Zutritte zu Datenverarbeitungsanlagen (z.B. Magnetkarten, Türsicherung, Werkschutz, Alarmanlagen). Datacenter-Zugang ist streng reglementiert.
• Zugangskontrolle: Keine unbefugte Systemnutzung (z.B. sichere Kennwörter, automatische Sperrmechanismen, Zwei-Faktor-Authentifizierung).
• Zugriffskontrolle: Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems (z.B. Berechtigungskonzepte, Need-to-know-Prinzip, Protokollierung von Zugriffen).
• Trennungskontrolle: Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden (z.B. Mandantenfähigkeit der Software, logische Trennung der Kundendaten).

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Weitergabekontrolle: Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport (z.B. Verschlüsselung der Datenübertragung via TLS/SSL, VPN).
• Eingabekontrolle: Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (z.B. Protokollierung, Dokumentenmanagement).

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Verfügbarkeitskontrolle: Schutz gegen zufällige Zerstörung oder Verlust (z.B. Backup-Strategie, USV, Virenschutz, Firewall, redundante Systeme).
• Rasche Wiederherstellbarkeit: (z.B. Notfallplan, regelmäßige Tests der Datenwiederherstellung).

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)

• Datenschutz-Management-System (DSMS).
• Incident-Response-Management zur Reaktion auf Sicherheitsvorfälle.
• Datenschutzfreundliche Voreinstellungen (Privacy by Default).
• Regelmäßige Schulung der Mitarbeiter im Bereich Datenschutz und Datensicherheit.

Anlage 2: Zugelassene Unterauftragnehmer

Der Verantwortliche stimmt der Beauftragung der folgenden Unterauftragnehmer zu: