Auftragsverarbeitungsvertrag

1. Gegenstand der Vereinbarung

1.1 Gegenstand dieses Auftrages ist die Bereitstellung und der Betrieb von Timelane, einer webbasierten Anwendung zur Erstellung, Verwaltung, Übermittlung und Ablage von Geschäftsbelegen sowie zur Erfassung von Leistungszeiten. Der Auftragnehmer verarbeitet die vom Auftraggeber eingebrachten personenbezogenen Daten ausschließlich zu diesem Zweck: Speicherung, Auswertung, Ausgabe als PDF und als E-Rechnung, Übermittlung an die vom Auftraggeber bestimmten Empfänger sowie Bereitstellung über eine Programmierschnittstelle.

1.2 Diese Vereinbarung ergänzt den zwischen den Parteien bestehenden Nutzungsvertrag samt Allgemeinen Geschäftsbedingungen. Bei Widersprüchen in Fragen des Datenschutzes geht diese Vereinbarung vor.

1.3 Folgende Datenkategorien werden verarbeitet: Stammdaten der Kunden, Interessenten und Lieferanten des Auftraggebers (Firma, Name, Anschrift, Umsatzsteuer-Identifikationsnummer), Kontaktdaten von deren Ansprechpartnern (Name, E-Mail-Adresse, Telefonnummer), Vertrags- und Auftragsdaten, Leistungs- und Zeiterfassungsdaten, Verrechnungs- und Zahlungsdaten (Beträge, Bankverbindung des Auftraggebers, Zahlungsstatus), Belegdaten aus Angeboten, Aufträgen, Lieferscheinen, Bestellungen, Rechnungen, Korrekturen und Gutschriften sowie Zugangsdaten der vom Auftraggeber eingeladenen Benutzer.

1.4 Folgende Kategorien betroffener Personen unterliegen der Verarbeitung: Kunden, Interessenten und Lieferanten des Auftraggebers sowie deren Ansprechpartner und Beschäftigte des Auftraggebers, die als Benutzer im Arbeitsbereich tätig sind.

2. Dauer der Vereinbarung

2.1 Die Vereinbarung ist auf unbestimmte Zeit geschlossen. Sie beginnt mit ihrer Annahme und endet mit dem Ende des Nutzungsvertrages zwischen den Parteien, also mit dem Verlangen des Auftraggebers, sein Konto zu löschen; einer gesonderten Kündigung bedarf es nicht. Die Möglichkeit zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

2.2 Die Pflichten aus dieser Vereinbarung gelten über das Ende des Nutzungsvertrages hinaus fort, solange der Auftragnehmer personenbezogene Daten des Auftraggebers speichert.

3. Pflichten des Auftragnehmers

3.1 Der Auftragnehmer verpflichtet sich, Daten und Verarbeitungsergebnisse ausschließlich im Rahmen der dokumentierten Weisungen des Auftraggebers zu verarbeiten. Die Nutzung der Anwendung durch den Auftraggeber gilt als Weisung im Sinne dieser Vereinbarung. Erhält der Auftragnehmer einen behördlichen Auftrag, Daten des Auftraggebers herauszugeben, so hat er, sofern gesetzlich zulässig, den Auftraggeber unverzüglich darüber zu informieren und die Behörde an diesen zu verweisen. Eine Verarbeitung der Daten für eigene Zwecke des Auftragnehmers bedarf einer gesonderten Vereinbarung.

3.2 Der Auftragnehmer erklärt rechtsverbindlich, dass er alle mit der Datenverarbeitung befassten Personen vor Aufnahme der Tätigkeit zur Vertraulichkeit verpflichtet hat oder dass diese einer angemessenen gesetzlichen Verschwiegenheitsverpflichtung unterliegen. Die Verschwiegenheitsverpflichtung bleibt auch nach Beendigung der Tätigkeit aufrecht.

3.3 Der Auftragnehmer erklärt rechtsverbindlich, dass er die erforderlichen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung nach Art. 32 DSGVO ergriffen hat. Einzelheiten sind der Anlage ./1 zu entnehmen.

3.4 Der Auftragnehmer ergreift die technischen und organisatorischen Maßnahmen, damit der Auftraggeber die Rechte der betroffenen Personen nach Kapitel III der DSGVO (Information, Auskunft, Berichtigung und Löschung, Datenübertragbarkeit, Widerspruch sowie automatisierte Entscheidungsfindung im Einzelfall) innerhalb der gesetzlichen Fristen jederzeit erfüllen kann, und überlässt dem Auftraggeber alle dafür notwendigen Informationen. Wird ein entsprechender Antrag an den Auftragnehmer gerichtet und lässt dieser erkennen, dass der Antragsteller ihn irrtümlich für den Verantwortlichen hält, so leitet der Auftragnehmer den Antrag unverzüglich an den Auftraggeber weiter und teilt dies dem Antragsteller mit.

3.5 Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, Benachrichtigung der betroffenen Personen, Datenschutz-Folgenabschätzung, vorherige Konsultation). Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis.

3.6 Der Auftragnehmer weist den Auftraggeber darauf hin, dass dieser für die vorliegende Verarbeitung ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO zu führen hat.

3.7 Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, falls er der Ansicht ist, eine Weisung des Auftraggebers verstoße gegen Datenschutzbestimmungen der Union oder der Mitgliedstaaten.

4. Nachweise und Überprüfung

4.1 Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in dieser Vereinbarung genannten Verpflichtungen erforderlich sind, einschließlich der Nachweise und Zertifizierungen des herangezogenen Sub-Auftragsverarbeiters.

4.2 Da die Verarbeitung in einem Rechenzentrum eines Sub-Auftragsverarbeiters erfolgt, wird das Kontrollrecht des Auftraggebers durch Auskunft und Vorlage dieser Nachweise erfüllt. Eine Überprüfung vor Ort ist nach vorheriger Ankündigung mit angemessener Frist, während der Geschäftszeiten und auf Kosten des Auftraggebers möglich, soweit der Sub-Auftragsverarbeiter sie zulässt.

5. Ort der Durchführung der Datenverarbeitung

5.1 Die Datenverarbeitung erfolgt ausschließlich in Rechenzentren innerhalb der Europäischen Union. Der Betrieb der Anwendung und der Datenbank erfolgt in Deutschland.

5.2 Eine Verarbeitung in Drittstaaten findet im Rahmen dieser Vereinbarung nur statt, soweit sie in Anlage ./2 ausdrücklich angeführt ist. Standardvertragsklauseln sind daher zum Zeitpunkt dieser Fassung nicht erforderlich.

6. Sub-Auftragsverarbeiter

6.1 Der Auftragnehmer ist befugt, die in Anlage ./2 genannten Sub-Auftragsverarbeiter heranzuziehen. Beabsichtigte Änderungen gibt der Auftragnehmer dem Auftraggeber mindestens 30 Tage vor dem geplanten Einsatz in Textform bekannt.

6.2 Untersagt der Auftraggeber den Einsatz eines neuen Sub-Auftragsverarbeiters, so kann jede Partei den Nutzungsvertrag zum Zeitpunkt des geplanten Einsatzes kündigen.

6.3 Der Auftragnehmer schließt mit jedem Sub-Auftragsverarbeiter die erforderlichen Vereinbarungen im Sinne des Art. 28 Abs. 4 DSGVO ab. Dabei ist sicherzustellen, dass der Sub-Auftragsverarbeiter dieselben Verpflichtungen eingeht, die dem Auftragnehmer aufgrund dieser Vereinbarung obliegen. Kommt der Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung von dessen Pflichten.

6.4 Der Versand von Belegen per E-Mail erfolgt über den vom Auftraggeber selbst konfigurierten Postausgangsserver. Der Auftragnehmer übermittelt die Daten dabei weisungsgemäß an einen vom Auftraggeber bestimmten Server; der betreffende Anbieter ist damit ein Dienstleister des Auftraggebers und kein Sub-Auftragsverarbeiter des Auftragnehmers.

6.5 Die Abwicklung des Entgelts für die Nutzung der Anwendung über einen Zahlungsdienstleister betrifft die eigene Vertragsbeziehung zwischen den Parteien. Der Auftragnehmer ist dabei eigener Verantwortlicher und verarbeitet keine Daten der Kunden des Auftraggebers. Diese Verarbeitung ist daher nicht Gegenstand dieser Vereinbarung; Einzelheiten enthält die Datenschutzerklärung.

7. Rückgabe und Löschung

7.1 Der Auftraggeber kann Belege und Daten jederzeit selbst löschen und über die Exportfunktion der Anwendung jederzeit vollständig in einem gängigen, maschinenlesbaren Format herausverlangen. Ist das Konto nach den Allgemeinen Geschäftsbedingungen gesperrt und der Selfservice-Export dadurch nicht erreichbar, stellt der Auftragnehmer die Daten auf Anfrage bereit, sofern dem keine gerichtliche oder behördliche Anordnung entgegensteht.

7.2 Nach Beendigung dieser Vereinbarung löscht der Auftragnehmer den Arbeitsbereich samt aller darin enthaltenen Daten und archivierten Belege auf Verlangen des Auftraggebers. Verarbeitet der Auftragnehmer Daten in einem besonderen technischen Format, so gibt er sie nach Wahl des Auftraggebers in diesem Format, in dem Format, in dem er sie erhalten hat, oder in einem anderen gängigen Format heraus.

7.3 Die Einhaltung gesetzlicher Aufbewahrungspflichten obliegt ausschließlich dem Auftraggeber. Die Speicherung von Belegen in der Anwendung erfolgt zur Erfüllung dieses Auftrags und stellt keine Zusage einer Aufbewahrung für steuerliche oder unternehmensrechtliche Zwecke dar. Dem Auftraggeber steht dafür jederzeit die Exportfunktion zur Verfügung.

Anlage ./1: Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO, wie sie zum Zeitpunkt dieser Fassung getroffen sind.

Zutrittskontrolle: Der Betrieb erfolgt in einem Rechenzentrum der IONOS SE in Deutschland. Die physische Sicherung der Datenverarbeitungsanlagen obliegt diesem Sub-Auftragsverarbeiter; dessen Nachweise und Zertifizierungen werden auf Anfrage vorgelegt.

Zugangskontrolle: Der Zugang zur Anwendung erfolgt über personengebundene Konten mit einem Anmeldecode, der an die hinterlegte E-Mail-Adresse zugestellt wird. Die Datenbank ist von außen nicht erreichbar: sie liegt in einem internen Netz, in das der vorgelagerte Proxy nicht weiterleitet, und ist ausschließlich für die Anwendung selbst ansprechbar. Sie ist zusätzlich durch ein eigenes Kennwort geschützt. Die Übertragung zwischen Nutzer und Anwendung erfolgt durchgehend über TLS.

Trennungskontrolle: Die Arbeitsbereiche sind auf Datenebene je Mandant getrennt. Die Trennung wird nicht von der jeweiligen Abfrage hergestellt, sondern zentral erzwungen, sodass eine Abfrage ohne Mandantenbezug kein Ergebnis liefert.

Zugriffskontrolle: Rechte werden über Rollen und Einzelberechtigungen vergeben; jeder Aufruf wird zusätzlich serverseitig geprüft. Der Auftraggeber kann die vergebenen Rechte jederzeit einsehen und ändern.

Weitergabekontrolle: Alle Verbindungen zwischen Nutzer und Anwendung sind über TLS verschlüsselt. Die Verbindung zur Datenbank verlässt das interne Netz nicht. Die Sicherungen werden verschlüsselt außerhalb des Produktivsystems aufbewahrt; der Zugang zu ihnen ist gesondert abgesichert.

Eingabekontrolle: Finalisierte Belege sind unveränderlich und werden mit einer Prüfsumme (SHA-512) archiviert, die bei jedem Abruf geprüft wird. Korrekturen erfolgen als eigene Belegart mit Bezug auf den ursprünglichen Beleg. Zugriffe über die Programmierschnittstelle werden mit Zeitstempel protokolliert.

Verfügbarkeitskontrolle: Von der Datenbank wird täglich eine Sicherung erstellt. Vorgehalten werden die Sicherungen der letzten sieben Tage, der letzten vier Wochen und der letzten sechs Monate. Die Sicherungen werden zusätzlich an einen vom Produktivsystem getrennten Ort geholt; der Abruf erfolgt von dort aus, sodass das Produktivsystem selbst keinen Zugriff auf den Sicherungsort hat. Die Wiederherstellung aus einer Sicherung wird regelmäßig erprobt. Betriebsbedingte Maßnahmen des Rechenzentrums wie Stromversorgung, Netzanbindung und Brandschutz obliegen dem Sub-Auftragsverarbeiter.

Auftragskontrolle: Grundlage jeder Verarbeitung ist diese Vereinbarung samt der darin dokumentierten Weisungslage. Es besteht ein einziger Sub-Auftragsverarbeiter, mit dem eine Vereinbarung nach Art. 28 Abs. 4 DSGVO abgeschlossen wurde.

Datenübertragbarkeit und Löschung: Der Auftraggeber kann seinen gesamten Bestand jederzeit selbst über die Exportfunktion herunterladen. Einzelne Belege und Daten löscht er selbst; die Löschung des gesamten Arbeitsbereichs erfolgt auf Anfrage.

Anlage ./2: Sub-Auftragsverarbeiter