Vereinbarung zur Auftragsverarbeitung (AVV)

zwischen dem Kunden (nachfolgend „Auftraggeber“) und der VBT Software DE GmbH, Im Mediapark 5, 50670 Köln (nachfolgend „Auftragnehmer“). Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO. Sie wird mit der Zustimmung bei der Registrierung geschlossen und ist Bestandteil des Nutzungsvertrags nach den AGB (nachfolgend „Hauptvertrag“).

§ 1 Gegenstand und Dauer

1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, indem er die Software „easyRechnung“ als Online-Dienst bereitstellt, betreibt und wartet.
2. Die Vereinbarung gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet (§ 9).

§ 2 Art, Zweck und Betroffene

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen.

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet; in diesem Fall teilt er dies dem Auftraggeber vorher mit, soweit das Gesetz es nicht verbietet.
2. Weisungen sind der Hauptvertrag, diese Vereinbarung und die Nutzung der Funktionen der Software durch den Auftraggeber. Weitere Weisungen erteilt der Auftraggeber in Textform.
3. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Zugriff auf Daten des Auftraggebers erhalten sie nur, soweit es für den Betrieb oder für Support auf Anfrage des Auftraggebers erforderlich ist; ein solcher Support-Zugriff wird protokolliert.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vorher in Textform über beabsichtigte Änderungen. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Wird keine Einigung erzielt, können beide Parteien den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. Der Auftragnehmer erlegt den Unterauftragsverarbeitern vertraglich die Pflichten dieser Vereinbarung auf.

§ 7 Unterstützung des Auftraggebers

1. Die Software ermöglicht es dem Auftraggeber, Daten selbst einzusehen, zu berichtigen, zu exportieren (z. B. als PDF) und zu löschen, soweit keine Festschreibung nach den GoBD entgegensteht. Darüber hinaus unterstützt der Auftragnehmer den Auftraggeber bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO).
2. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
3. Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung) unter Berücksichtigung der ihm vorliegenden Informationen.

§ 8 Meldung von Verletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, an die E-Mail-Adresse des Kontoinhabers. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

§ 9 Löschung und Rückgabe

1. Nach Ende des Hauptvertrags bleibt das Konto im Lesemodus erhalten, damit der Auftraggeber seine Belege einsehen und herunterladen und seine Aufbewahrungspflichten erfüllen kann.
2. Auf Verlangen des Auftraggebers löscht der Auftragnehmer alle Daten des Auftraggebers. Ohne ein solches Verlangen löscht er sie spätestens zehn Jahre nach Vertragsende, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht.
3. Daten in Datensicherungen werden im Rahmen des regulären Sicherungszyklus überschrieben, spätestens 30 Tage nach der Löschung.

§ 10 Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind.
2. Der Auftraggeber kann Kontrollen nach rechtzeitiger Anmeldung (in der Regel 30 Tage), zu den üblichen Geschäftszeiten und ohne Störung des Betriebs selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Kontrollen beschränken sich auf die Datenverarbeitung für den Auftraggeber; Daten anderer Kunden werden nicht offengelegt.

§ 11 Ort der Verarbeitung

Die Daten werden in einem Rechenzentrum in Deutschland gespeichert. Soweit ein Unterauftragsverarbeiter Daten außerhalb der EU bzw. des EWR verarbeitet (siehe Anlage 2), stellt der Auftragnehmer die Voraussetzungen der Art. 44 ff. DSGVO sicher, insbesondere durch einen Angemessenheitsbeschluss oder EU-Standardvertragsklauseln.

§ 12 Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags. Bei Widersprüchen geht diese Vereinbarung den AGB in datenschutzrechtlichen Fragen vor. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Betrieb in einem Rechenzentrum in Deutschland (NorthDC) mit den dort umgesetzten physischen Sicherungsmaßnahmen (Zutrittskontrollsystem, Überwachung, Sicherheitszonen).
• Zugangskontrolle: persönliche Benutzerkonten mit Pflicht zur E-Mail-Bestätigung; Passwörter nur als bcrypt-Hash gespeichert; Begrenzung von Anmeldeversuchen; administrativer Serverzugang nur verschlüsselt (SSH) und durch berechtigte Personen; Firewall und automatische Sperre bei wiederholten Fehlversuchen.
• Zugriffskontrolle: Rollenkonzept innerhalb eines Kundenkontos (Inhaber, Administrator, Mitglied); Support-Zugriffe des Auftragnehmers nur bei Bedarf und protokolliert.
• Trennungskontrolle: logische Mandantentrennung: Jeder Datensatz ist einem Kundenkonto zugeordnet, und jede Abfrage wird in der Anwendung automatisch auf das aktive Kundenkonto beschränkt. Entwicklungs- und Testsysteme arbeiten nicht mit Produktivdaten.

Integrität

• Weitergabekontrolle: alle Verbindungen per TLS (HTTPS); E-Mail-Versand über TLS; geteilte Belegs-Links mit nicht erratbaren Zufallsschlüsseln.
• Eingabekontrolle: Zeitstempel für Erstellung und Änderung; festgeschriebene Rechnungen und Gutschriften sind unveränderbar, Korrekturen erfolgen nur durch Stornobelege (GoBD).

Verfügbarkeit und Belastbarkeit

• Tägliche verschlüsselte Datensicherung auf ein getrenntes Speichersystem mit 30 Tagen Aufbewahrung; Wiederherstellung wird geprüft.
• Stromversorgung, Klimatisierung und Brandschutz nach den Standards des Rechenzentrums; Schutz vor Überlastangriffen durch Cloudflare.

Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Sicherheitsupdates von Betriebssystem, Laufzeitumgebung und Abhängigkeiten; automatisierte Tests vor jeder Auslieferung; Überwachung von Fehlern und Verfügbarkeit.

Anlage 2: Unterauftragsverarbeiter