Auftragsverarbeitungsvertrag

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO · Stand: 2026-10

Auftraggeber ist der Kunde, der Faktavio nutzt (Verantwortlicher). Auftragnehmer ist IC-Services, Inh. Thorsten Gerds, Hanauer Weg 43, 63654 Büdingen (Auftragsverarbeiter). Der Vertrag wird mit der Zustimmung des Kunden in der Anwendung (Registrierung bzw. Abo-Abschluss) geschlossen und ergänzt die AGB.

1. Gegenstand und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit dies für die Bereitstellung von Faktavio erforderlich ist. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

2. Art, Zweck, Daten und Betroffene

• Art/Zweck: Speicherung, Abruf, Berechnung und Ausgabe von Daten zur Erstellung und Verwaltung von Angeboten, Rechnungen, Zeiten, Mahnungen und Verträgen sowie Versand von E-Mails im Auftrag.
• Datenarten: Stammdaten (Name, Firma, Anschrift, E-Mail, Telefon, USt-IdNr., Leitweg-ID), Vertrags-/Abrechnungsdaten, Zeit- und Projektdaten, Kommunikationsdaten (E-Mail-Protokoll), Nutzungsdaten der Benutzer (Anmeldung, Aktivitätsprotokoll).
• Betroffene: Kunden, Ansprechpartner, Lieferanten und Mitarbeiter des Auftraggebers sowie dessen Benutzer.

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers; diese ergibt sich aus dem Nutzungsvertrag und der Bedienung der Anwendung. Hält er eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.

4. Pflichten des Auftragnehmers

(1) Vertraulichkeit: Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.

(2) Sicherheit: Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und entwickelt sie fort.

(3) Unterstützung: Der Auftragnehmer unterstützt den Auftraggeber bei Betroffenenanfragen, bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen, soweit dies sachgerecht ist.

(4) Meldung: Der Auftragnehmer meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.

5. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Der Auftragnehmer informiert über beabsichtigte Änderungen mindestens 30 Tage vorab in Textform; der Auftraggeber kann aus wichtigem Grund widersprechen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein vergleichbares Datenschutzniveau.

6. Betroffenenrechte

Anfragen betroffener Personen leitet der Auftragnehmer an den Auftraggeber weiter. Auskunft, Berichtigung, Löschung und Export kann der Auftraggeber in der Anwendung selbst vornehmen.

7. Löschung und Rückgabe

Nach Vertragsende kann der Auftraggeber die Daten für mindestens 30 Tage exportieren. Danach löscht der Auftragnehmer die Daten, einschließlich Sicherungskopien nach deren regulärem Umlauf, soweit keine gesetzliche Pflicht zur Speicherung besteht.

8. Nachweise und Kontrollen

Der Auftragnehmer stellt die erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags bereit und ermöglicht Überprüfungen, die der Auftraggeber oder ein von ihm beauftragter Prüfer nach rechtzeitiger Anmeldung und während der üblichen Geschäftszeiten durchführt.

9. Haftung

Es gelten die Haftungsregelungen der AGB und Art. 82 DSGVO.

Anlage 1 – Technische und organisatorische Maßnahmen

• Zutritt/Zugang: Betrieb in Rechenzentren des Hosting-Anbieters (Zutrittskontrollen dort); Zugang zur Anwendung nur mit persönlichem Konto, Passwort (nur als Hash gespeichert), optionale Zwei-Faktor-Anmeldung, Begrenzung von Anmeldeversuchen.
• Zugriff: rollenbasierte Rechte (Inhaber, Administrator, Buchhaltung, Mitarbeiter, nur Lesen); Aktivitätsprotokoll mit Benutzer, Zeit und Aktion.
• Trennung: Mandantentrennung auf Datenebene; automatisierte Isolationstests.
• Weitergabe: Verschlüsselte Übertragung (TLS); Zugangsdaten zu Fremdsystemen (SMTP, Microsoft 365) verschlüsselt gespeichert.
• Integrität: Festgeschriebene Belege sind unveränderlich (Prüfsumme); Korrektur nur durch Storno/Gutschrift.
• Verfügbarkeit: Regelmäßige Datensicherungen mit Aufbewahrungsfrist; Überwachung der Erreichbarkeit.
• Organisation: Verpflichtung zur Vertraulichkeit, Updates und Sicherheitsprüfungen der eingesetzten Software, dokumentierter Umgang mit Sicherheitsvorfällen.

Anlage 2 – Unterauftragsverarbeiter