Vertrag zur Auftragsverarbeitung

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch AK-Technology (Einzelunternehmen, Inhaber: Oleg Kremser), Westkotter Straße 9, 42275 Wuppertal („Auftragsverarbeiter“) im Auftrag des Kunden („Verantwortlicher“) bei der Nutzung von WorkOffice Pro als Mietsoftware auf den Servern des Anbieters nach den Allgemeinen Geschäftsbedingungen („Hauptvertrag“).

Für WorkOffice Pro auf eigener Infrastruktur des Kunden (On-Premise) gilt diese Vereinbarung nicht: Dort verarbeitet der Anbieter keine personenbezogenen Daten aus der Software (§9 der Lizenzbedingungen). Erhält der Anbieter im Rahmen der Unterstützung Zugriff auf Systeme des Kunden, [[ Prüfen: ob diese Vereinbarung dafür entsprechend gilt oder eine eigene geschlossen wird ]].

Die Dauer entspricht der Laufzeit des Hauptvertrages, auch während der kostenlosen Testphase. Die Pflichten nach Abschnitt 12 gelten über das Vertragsende hinaus.

2. Art und Zweck der Verarbeitung

Bereitstellung der Bürosoftware WorkOffice Pro über das Internet: Erheben, Speichern, Ordnen, Auswerten, Übermitteln und Löschen der Daten, die der Verantwortliche erfasst, hochlädt oder über von ihm eingerichtete Anbindungen abruft – zu folgenden Zwecken:

• Angebote, Auftragsbestätigungen, Lieferscheine, Rechnungen, Gutschriften und Mahnungen erstellen, festschreiben, versenden und archivieren;
• Kunden-, Lieferanten- und Artikelstammdaten samt Ansprechpartnern, Aufgaben und Notizen verwalten;
• Eingangsbelege erfassen – hochgeladen oder per E-Mail an die Empfangsadresse des Betriebs geschickt –, mit Texterkennung auf den Servern des Anbieters;
• Bankumsätze abrufen und zuordnen sowie vom Verantwortlichen freigegebene Überweisungen an dessen Bank übermitteln;
• Kassenbuch und Kassen-Terminal: Kassenbuchungen, Bons, Kassenabschlüsse und die Absicherung durch die technische Sicherheitseinrichtung (TSE);
• Belege an die Kunden des Verantwortlichen per E-Mail versenden – über den Mailserver, den der Verantwortliche einträgt –, Kundenportal und Zahlungslink;
• Lager, Bestellungen, Geräte und Prüftermine, soweit der Verantwortliche sie nutzt;
• Auswertungen, DATEV-Export und Zugang für den Steuerberater des Verantwortlichen;
• Aufbewahrung nach den GoBD, Änderungsprotokoll und Datensicherung.

3. Art der Daten

• Kontodaten der Benutzer: Name, E-Mail-Adresse, Rolle und Rechte, Anmeldezeitpunkte, bei eingeschalteter Zwei-Faktor-Anmeldung deren Schlüssel, Sprache und Benachrichtigungseinstellungen.
• Stammdaten von Kunden, Lieferanten und Ansprechpartnern: Name, Anschrift, Kontaktdaten, Bankverbindung, Steuernummer und USt-IdNr., Notizen.
• Inhalte von Belegen: Positionen, Beträge, Zahlungen, Mahnstufen, Texte und Anhänge.
• Eingangsbelege und E-Mails an die Empfangsadresse samt dem daraus erkannten Text.
• Bankdaten: Kontoumsätze mit Auftraggeber oder Empfänger, IBAN und Verwendungszweck, Überweisungsaufträge.
• Kassendaten: Bons mit Positionen und Zahlungen, die bedienende Person, Kassenabschlüsse und die Antworten der TSE.
• Protokolldaten: Änderungsprotokoll der Geschäftsvorfälle nach den GoBD, Zugriffe mit IP-Adresse und Zeitpunkt.
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. [[ Prüfen: ob dieser Ausschluss so gewollt ist – Freitexte und Belege kann der Verantwortliche frei füllen ]]

4. Kategorien betroffener Personen

• Kunden und Interessenten des Verantwortlichen und deren Ansprechpartner,
• Lieferanten und Dienstleister des Verantwortlichen und deren Ansprechpartner,
• Beschäftigte des Verantwortlichen, soweit sie WorkOffice Pro als Benutzer nutzen oder in Belegen und Kassendaten genannt sind,
• Steuerberater und weitere Personen, denen der Verantwortliche einen Zugang einrichtet,
• sonstige Personen, die in Belegen, Kontoumsätzen oder E-Mails an die Empfangsadresse vorkommen.

5. Weisungsrecht

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), soweit er nicht durch das Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Weisungen erteilt der Verantwortliche durch die Nutzung und die Einstellungen der Software sowie in Textform.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

6. Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft mindestens die folgenden Maßnahmen (Art. 28 Abs. 3 lit. c DSGVO). [[ Vollständige Beschreibung der Maßnahmen als Anlage 1 erstellen ]]

• Verschlüsselung: Übertragung ausschließlich über TLS; Passwörter nur als Hash (scrypt); Zugangsdaten wie das Passwort des eigenen Mailservers, der Schlüssel der Authenticator-App sowie PIN und PUK der TSE verschlüsselt (AES-256-GCM).
• Zugangskontrolle: Anmeldung mit Passwort, wahlweise mit zweitem Faktor; vorübergehende Sperre nach wiederholten Fehlversuchen; Begrenzung der Anfragen je Zeitraum.
• Zugriffskontrolle und Trennung: Rollen und Rechte je Benutzer; Trennung der Betriebe in der Anwendung und zusätzlich in der Datenbank durch Row-Level-Security; Dateien in einer nach Betrieben getrennten Ablage, ausgeliefert nur nach Anmeldung.
• Integrität: festgeschriebene Belege und abgeschlossene Kassenvorgänge in der Anwendung und per Datenbank-Trigger gegen Änderung gesperrt; nicht änderbares Änderungsprotokoll; regelmäßige Prüfung der archivierten Dateien auf Veränderung.
• Verfügbarkeit: nächtliche Sicherung von Datenbank und Dateiablage, auf dem Server 14 Tage vorgehalten. [[ Zweiten Speicherort der Sicherung und Wiederherstellungstests festlegen ]]
• Texterkennung der Belege auf den Servern des Anbieters, ohne Übermittlung an Dritte.
• Serverstandort ausschließlich Deutschland: netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe — Rechenzentrum Nürnberg.
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen. [[ Turnus der Überprüfung festlegen ]]

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Hinzuziehung der nachstehenden Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert über beabsichtigte Änderungen mit einer Frist von 4 Wochen; der Verantwortliche kann widersprechen (Art. 28 Abs. 2 DSGVO). Jeden Unterauftragsverarbeiter verpflichtet der Auftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).

• netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe — Rechenzentrum Nürnberg – Betrieb der Server, Deutschland.
• Stripe Payments Europe, Ltd., Irland – Abrechnung des Abonnements. Betroffen sind nur Vertrags- und Abrechnungsdaten des Verantwortlichen, nicht die Geschäftsdaten in WorkOffice Pro.
• [[ Anbieter des E-Mail-Versands für Systemnachrichten – Einladungen, Passwort, Erinnerungen –, falls ein externer Dienst eingesetzt wird ]]
• [[ Anbieter des Postfachs für den Belegempfang per E-Mail, falls der Belegempfang im Mietbetrieb eingeschaltet ist ]]
• [[ Anbieter des zweiten Speichers für die Datensicherung, falls er außerhalb des Rechenzentrums liegt ]]

9. Dienste, die der Verantwortliche einschaltet

Die folgenden Dienste spricht WorkOffice Pro nur an, wenn der Verantwortliche oder ein Benutzer sie einrichtet oder einschaltet. [[ Vom Inhaber zu entscheiden bzw. anwaltlich zu prüfen: ob diese Dienste als Unterauftragsverarbeiter gelten (dann gehören sie in Abschnitt 8) oder als eigene Verantwortliche bzw. vom Verantwortlichen beauftragte Empfänger – besonders fiskaly (im Mietbetrieb mit dem Zugang des Anbieters), Telegram (Bot des Anbieters, Sitz außerhalb der EU) und die Adressvorschläge (vom Server des Anbieters abgefragt) ]]

• Kreditinstitute über FinTS und Revolut Business – Abruf von Umsätzen und Übermittlung freigegebener Überweisungen;
• der Mailserver, den der Verantwortliche für den Versand an seine Kunden einträgt;
• Stripe über Stripe Connect und PayPal.me für den Zahlungslink an Rechnungen – mit Konten des Verantwortlichen;
• die Cloud-TSE von fiskaly für das Kassen-Terminal – im Mietbetrieb mit dem Zugang des Anbieters;
• Telegram für Benachrichtigungen, die ein Benutzer für sich einschaltet – ein Dienst mit Sitz außerhalb der EU;
• Adressvorschläge über Photon (komoot GmbH) und die OpenPLZ API – nur der getippte Teil einer Anschrift, abschaltbar;
• WorkTime Pro, Lexware Office und weitere Programme über die Schnittstellen – nur mit einem Zugangsschlüssel des Verantwortlichen;
• der Steuerberater des Verantwortlichen, dem dieser einen Zugang einrichtet oder einen Export übergibt.

10. Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen nachzukommen (Art. 28 Abs. 3 lit. e DSGVO). Die Software erlaubt dafür, Daten anzusehen, zu berichtigen und über ihre Exporte herauszugeben (Datenüberlassung nach den GoBD, DATEV-Export, CSV-Dateien der Auswertungen). Kunden und Lieferanten lassen sich archivieren; Unterlagen mit Aufbewahrungspflicht sind bis zum Ende der Frist gegen Löschen gesperrt. Eine eigene Funktion für Auskunft und Löschung je Person gibt es noch nicht – insoweit unterstützt der Auftragsverarbeiter auf Anfrage.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

11. Unterstützung bei Sicherheit und Meldepflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO).

Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich nach Bekanntwerden, spätestens innerhalb von 24 Stunden, mit allen Angaben, die dieser für seine Meldung nach Art. 33 DSGVO benötigt.

12. Löschung und Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie zurück, nach Wahl des Verantwortlichen (Art. 28 Abs. 3 lit. g DSGVO).

Der Datenbestand bleibt dafür [[ Zeitraum, z. B. 30 Tage ]] nach Vertragsende zur Ausfuhr abrufbar (§6 der Allgemeinen Geschäftsbedingungen); die Ausfuhr umfasst die Datenüberlassung nach den GoBD. Danach erfolgt die Löschung, es sei denn, eine Rechtsvorschrift der Union oder der Mitgliedstaaten verpflichtet zur Speicherung.

Kopien in den Datensicherungen verschwinden mit deren regulärem Ablauf. [[ Aufbewahrungsdauer im zweiten Speicher der Sicherung festlegen ]]

13. Nachweise und Überprüfungen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

Überprüfungen sind mit angemessenem Vorlauf und während der üblichen Geschäftszeiten anzukündigen und dürfen den Betrieb nicht unangemessen beeinträchtigen. Der Nachweis kann auch durch aktuelle Testate oder Zertifizierungen geführt werden.

14. Haftung und Schlussbestimmungen

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrages.

Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in Fragen des Datenschutzes vor.

Änderungen bedürfen der Textform.