Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (AVV) wird geschlossen zwischen:

— und —

Der Auftragsverarbeiter erbringt für den Verantwortlichen die im Hauptvertrag (AGB von Faktigo) beschriebene Software-Dienstleistung. Im Rahmen dieser Dienstleistung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen.

Dieser AVV gilt für die gesamte Dauer der Nutzung von Faktigo durch den Verantwortlichen. Er endet automatisch mit Beendigung des Hauptvertrages.

Art der Verarbeitung: Erhebung, Speicherung, Organisation, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung an berechtigte Nutzer des Verantwortlichen, Löschung und Vernichtung.

Zweck der Verarbeitung: Bereitstellung der ERP-Software Faktigo zur digitalen Verwaltung von Rechnungen, Angeboten, Verträgen, Kunden, Projekten, Ausgaben und weiteren betrieblichen Dokumenten des Verantwortlichen. Auf Wunsch des Verantwortlichen auch Bereitstellung eines Kundenportals, über das Kunden des Verantwortlichen eigene Daten einsehen und verwalten können, sowie der Abruf von Kontoumsätzen beim Kreditinstitut des Verantwortlichen über FinTS und deren Zuordnung zu Rechnungen und Ausgaben.

Weisungsgebundenheit: Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — einschließlich in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder eine internationale Organisation — es sei denn, er ist nach dem Unionsrecht oder dem Recht des Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet.

Hinweis: Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (z. B. Gesundheitsdaten, biometrische Daten) dürfen ohne gesonderte schriftliche Vereinbarung und entsprechende technische Maßnahmen nicht in Faktigo verarbeitet werden.

Der Auftragsverarbeiter verpflichtet sich gegenüber dem Verantwortlichen zu Folgendem:

1. Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (einschließlich der in diesem AVV geregelten Zwecke).
2. Sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
3. Alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu ergreifen (Details in § 6 dieses AVV).
4. Die in § 5 festgelegten Bedingungen für die Hinzuziehung eines weiteren Auftragsverarbeiters einzuhalten.
5. Den Verantwortlichen nach Maßgabe der Art. 32–36 DSGVO zu unterstützen, soweit möglich, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
6. Nach Wahl des Verantwortlichen alle personenbezogenen Daten zu löschen oder zurückzugeben und bestehende Kopien zu löschen, sofern nicht eine Verpflichtung zur Speicherung nach Unionsrecht oder nationalem Recht besteht.
7. Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO festgelegten Pflichten zur Verfügung zu stellen.

Der Auftragsverarbeiter ist berechtigt, Unterauftragsverarbeiter einzusetzen. Die aktuell eingesetzten Unterauftragsverarbeiter sind auf der Seite Unterauftragsverarbeiter aufgeführt.

Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder des Austauschs von Unterauftragsverarbeitern mindestens 30 Tage im Voraus (per E-Mail oder System-Benachrichtigung). Der Verantwortliche kann innerhalb dieser Frist Widerspruch einlegen. Kommt keine Einigung zustande, ist der Verantwortliche berechtigt, den Hauptvertrag außerordentlich zu kündigen.

Bei der Beauftragung von Unterauftragsverarbeitern stellt der Auftragsverarbeiter durch vertragliche Vereinbarungen sicher, dass den Unterauftragsverarbeitern dieselben Datenschutzpflichten auferlegt werden, die in diesem AVV zwischen Verantwortlichem und Auftragsverarbeiter vereinbart sind.

Der Auftragsverarbeiter trifft gemäß Art. 32 DSGVO folgende Maßnahmen:

Der Auftragsverarbeiter meldet festgestellte Verletzungen des Schutzes personenbezogener Daten, die unter diesen AVV fallen, dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden, per E-Mail an die vom Verantwortlichen hinterlegte E-Mail-Adresse.

Die Meldung enthält mindestens: eine Beschreibung der Art der Datenpanne, die Kategorien und ungefähre Anzahl der betroffenen Datensätze und Personen, die wahrscheinlichen Folgen sowie ergriffene und vorgeschlagene Maßnahmen. Die Pflicht des Verantwortlichen zur Meldung bei der Aufsichtsbehörde gemäß Art. 33 DSGVO (innerhalb von 72 Stunden) und ggf. Benachrichtigung der Betroffenen (Art. 34 DSGVO) bleibt beim Verantwortlichen.

Wendet sich eine betroffene Person mit einem Betroffenenrechtsantrag (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

Der Verantwortliche kann über die Administrationsfunktionen von Faktigo personenbezogene Daten selbst einsehen, exportieren und löschen. Der Auftragsverarbeiter unterstützt den Verantwortlichen auf Anfrage bei der Umsetzung von Betroffenenrechten, soweit ihm die erforderlichen Mittel zur Verfügung stehen.

Nach Beendigung des Hauptvertrages bleiben die Daten 60 Tage zum Abruf verfügbar und werden anschließend unwiderruflich gelöscht oder anonymisiert (Art. 28 Abs. 3 lit. g DSGVO), sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Diese Aufbewahrungspflichten treffen den Verantwortlichen (insbesondere § 147 AO); der Auftragsverarbeiter bewahrt darüber hinausgehend nur auf, soweit der Verantwortliche dies ausdrücklich anweist.

Auf Anfrage des Verantwortlichen (per E-Mail vor Vertragsende) stellt der Auftragsverarbeiter die Daten in einem gängigen maschinenlesbaren Format (JSON, CSV) zur Verfügung.

Steuerrelevante Dokumente werden gemäß den gesetzlichen Aufbewahrungspflichten (GoBD, § 147 AO: 8 Jahre für Rechnungen und Buchungsbelege, 10 Jahre für Bücher, Jahresabschlüsse und Inventare) aufbewahrt und danach gelöscht. Für diesen Zeitraum wird der Zugriff des Verantwortlichen auf diese Dokumente auf Anfrage gewährt.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.

Audits durch den Verantwortlichen oder einen von ihm beauftragten Prüfer sind nach vorheriger Ankündigung mit einer Frist von 14 Werktagen und zu üblichen Geschäftszeiten gestattet. Die Kosten trägt grundsätzlich der Verantwortliche, sofern der Audit keinen wesentlichen Verstoß des Auftragsverarbeiters aufdeckt.

Die in diesem AVV dokumentierten Maßnahmen sowie die Unterauftragsverarbeiter-Liste unter /unterauftragsverarbeiter gelten als ausreichender Nachweis für die Zwecke von Art. 28 Abs. 3 lit. h DSGVO.

Dieser AVV kommt durch die Klick-Zustimmung des Nutzers im System (beim Freigeben der ersten Rechnung oder bei Aktivierung des Kundenportals) zustande. Gespeichert werden Zeitpunkt, Benutzerkennung der zustimmenden Person und die angenommene Fassung dieses AVV. Zustimmen kann nur, wer die Organisation als Administrator verwaltet. Diese Form der Zustimmung gilt gemäß § 126b BGB als Textform und erfüllt die Anforderungen des Art. 28 Abs. 9 DSGVO.

Änderungen dieses AVV werden dem Verantwortlichen per E-Mail mit einer Frist von 30 Tagen angekündigt. Widerspricht er nicht innerhalb dieser Frist, gelten die Änderungen als akzeptiert.

Es gilt deutsches Recht. Gerichtsstand ist Herbstein, Hessen. Salvatorische Klausel: Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Dieser AVV ist integraler Bestandteil der Allgemeinen Geschäftsbedingungen von Faktigo und gilt ergänzend zu diesen.

Bei Fragen zu diesem AVV: contact@faktigo.de