Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Vertragsparteien

Auftragsverarbeiter

Unternehmen

OneBob by Continua Systems GmbH

Anschrift

Eduard-Rüber-Str. 7, 83022 Rosenheim, Deutschland

Register

Amtsgericht Traunstein HRB 31098

USt-IdNr.

DE354261061

Vertreten durch

Thomas Nagel & Dr. Marc Walker

Kontakt

info@continua.systems, +49 8031 2821473

Verantwortlicher

Verantwortlicher ist der jeweilige Inhaber des OneBob-Kontos (der Mandant). Die vollständigen Angaben des Verantwortlichen ergeben sich aus den im Konto hinterlegten Unternehmensdaten und werden in der im Konto abrufbaren Fassung dieses Vertrages namentlich ausgewiesen.

1. Präambel und Gegenstand der Vereinbarung

Diese Vereinbarung konkretisiert die Rechte und Pflichten der Parteien im Hinblick auf die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen der Bereitstellung der Software OneBob (nachfolgend "der Dienst") für den Verantwortlichen durchführt. Sie ergänzt die Nutzungsbedingungen des Dienstes und wird mit deren Annahme wirksam.

Der Verantwortliche nutzt den Dienst, um eigene geschäftliche Vorgänge (Kundenverwaltung, Vertrieb, Projekte, Zeiterfassung, Personal- und Reisekostenabrechnung sowie Dokumentenablage) abzubilden. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten ausschliesslich für den Verantwortlichen und nach dessen Weisung. Der Verantwortliche bleibt für die Rechtmässigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage nach Art. 6 DSGVO, allein verantwortlich.

Diese Vereinbarung wird gemäss Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen. Die Zustimmung erfolgt durch eine ausdrückliche Bestätigung des Verantwortlichen im Registrierungsvorgang oder in den Einstellungen des Kontos. Der Auftragsverarbeiter zeichnet dabei den Zeitpunkt der Zustimmung, die zustimmende Person, deren E-Mail-Adresse, die IP-Adresse sowie die Fassung dieses Vertrages dauerhaft auf. Diese Aufzeichnung dient beiden Parteien als Nachweis des Vertragsschlusses.

Soweit diese Vereinbarung keine abweichende Regelung trifft, gelten ergänzend die Nutzungsbedingungen und die Datenschutzerklärung des Dienstes.

2. Gegenstand, Art und Zweck der Verarbeitung sowie Dauer

Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb des Dienstes als mandantenfähige Software-as-a-Service-Anwendung einschliesslich der dafür erforderlichen Speicherung, Auswertung, Übermittlung und Löschung der vom Verantwortlichen eingegebenen oder hochgeladenen Daten.

Die Verarbeitung erfolgt ausschliesslich zu dem Zweck, dem Verantwortlichen die vertraglich vereinbarten Funktionen des Dienstes zur Verfügung zu stellen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters, insbesondere zur Profilbildung, zur Werbung oder zum Training von Modellen künstlicher Intelligenz, findet nicht statt.

Die Art der Verarbeitung umfasst insbesondere das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an vom Verantwortlichen bestimmte Empfänger, Einschränken, Löschen und Vernichten personenbezogener Daten.

Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrages über den Dienst. Sie beginnt mit der Bereitstellung des Kontos und endet mit dessen Beendigung. Die Regelungen zur Löschung oder Rückgabe nach Beendigung (Ziffer 11) bleiben unberührt.

3. Art der personenbezogenen Daten

Gegenstand der Verarbeitung sind die folgenden Arten personenbezogener Daten, soweit der Verantwortliche sie im Dienst erfasst oder die von ihm aktivierten Funktionen sie erzeugen:

• Stammdaten von Kunden, Interessenten und deren Ansprechpartnern (Name, Funktion, Unternehmen, Anschrift, weitere frei vergebene Merkmale).
• Kommunikationsdaten (E-Mail-Adressen, Telefonnummern, Gesprächs- und Besuchsnotizen, Aufgaben, Termine, Kalender- und Buchungsdaten).
• E-Mail-Inhalte einschliesslich Anhängen, sofern der Verantwortliche die Postfach-Synchronisation mit Microsoft 365 oder Google Workspace aktiviert.
• Vertrags- und Umsatzdaten (Angebote, Deals, Preise, Rechnungspositionen, Zahlungsmeilensteine, Prognosen).
• Projekt- und Zeiterfassungsdaten (Projektzuordnungen, erfasste Zeiten, Stundensätze, Freigaben).
• Personal- und Reisekostendaten von Beschäftigten des Verantwortlichen (Personalstammdaten, Abwesenheiten, Reisen, Belege, Erstattungsbeträge), soweit die entsprechenden Module genutzt werden.
• Vom Verantwortlichen hochgeladene Dokumente und Dateien einschliesslich der darin enthaltenen personenbezogenen Daten.
• Nutzungs- und Protokolldaten der Anwenderkonten des Verantwortlichen (Anmeldezeitpunkte, IP-Adressen, Änderungsprotokolle), soweit sie zum sicheren Betrieb und zur Nachvollziehbarkeit von Änderungen erforderlich sind.

4. Kategorien betroffener Personen

Von der Verarbeitung sind die folgenden Kategorien betroffener Personen erfasst:

• Kunden und Interessenten des Verantwortlichen sowie deren Ansprechpartner und Mitarbeitende.
• Beschäftigte des Verantwortlichen, einschliesslich der Nutzerinnen und Nutzer des Dienstes.
• Lieferanten, Dienstleister und sonstige Geschäftspartner des Verantwortlichen sowie deren Ansprechpartner.
• Empfängerinnen und Empfänger von Newslettern, Einladungen und sonstiger Korrespondenz, die der Verantwortliche über den Dienst versendet.

5. Weisungsbindung (Art. 28 Abs. 3 lit. a DSGVO)

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Verantwortlichen. Das gilt auch für eine Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, es sei denn, der Auftragsverarbeiter ist hierzu nach dem Unionsrecht oder dem Recht eines Mitgliedstaats verpflichtet, dem er unterliegt. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die dokumentierte Weisung des Verantwortlichen ergibt sich aus dieser Vereinbarung, den Nutzungsbedingungen sowie aus der jeweiligen Konfiguration des Kontos im Dienst. Das Aktivieren, Konfigurieren oder Deaktivieren einer Funktion durch einen berechtigten Nutzer des Verantwortlichen (beispielsweise der Postfach-Synchronisation, der KI-Funktionen oder einer Anbindung an ein Buchhaltungssystem) stellt eine Weisung im Sinne dieser Ziffer dar. Der Auftragsverarbeiter protokolliert solche Änderungen im Änderungsprotokoll des Kontos.

Einzelweisungen ausserhalb der Konfiguration des Dienstes sind in Textform an die vorstehend beim Auftragsverarbeiter genannte Kontaktadresse zu richten. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, kann der Auftragsverarbeiter von einer gesonderten Vereinbarung über den Mehraufwand abhängig machen.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die Datenschutz-Grundverordnung oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstösst, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragsverarbeiter ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

6. Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

Der Auftragsverarbeiter setzt zur Verarbeitung personenbezogener Daten ausschliesslich Personen ein, die sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wird vor der erstmaligen Aufnahme der Tätigkeit erteilt und gilt über die Beendigung der Tätigkeit hinaus fort.

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen mit den einschlägigen Bestimmungen des Datenschutzes vertraut gemacht und regelmässig für den Umgang mit personenbezogenen Daten sensibilisiert werden.

Der Zugriff von Personal des Auftragsverarbeiters auf Bestandsdaten des Verantwortlichen erfolgt nach dem Grundsatz der Erforderlichkeit und nur, soweit dies zur Erbringung des Dienstes, zur Fehlerbehebung oder zur Erfüllung einer Supportanfrage des Verantwortlichen notwendig ist. Ein Supportzugriff auf das Konto des Verantwortlichen wird protokolliert.

7. Technische und organisatorische Massnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung und der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Massnahmen nach Art. 32 DSGVO.

Die zum Zeitpunkt des Vertragsschlusses getroffenen Massnahmen sind in Anlage 1 zu dieser Vereinbarung beschrieben. Sie sind Bestandteil dieses Vertrages.

Der Auftragsverarbeiter ist berechtigt, die Massnahmen an die technische Entwicklung anzupassen. Das dabei erreichte Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

8. Unterauftragsverarbeiter (Art. 28 Abs. 2, Abs. 3 lit. d und Abs. 4 DSGVO)

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung im Sinne des Art. 28 Abs. 2 DSGVO, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 abschliessend aufgeführt und gelten hiermit als genehmigt.

Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden auszutauschen, informiert er den Verantwortlichen darüber vorab per E-Mail an die im Konto hinterlegte Adresse der Administratorin oder des Administrators. Der Verantwortliche kann der Änderung innerhalb von 30 Tagen nach Zugang der Mitteilung aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Erfolgt kein Widerspruch innerhalb dieser Frist, gilt die Änderung als genehmigt.

Widerspricht der Verantwortliche fristgerecht und kann der Auftragsverarbeiter den Dienst ohne den betreffenden Unterauftragsverarbeiter nicht in zumutbarer Weise erbringen, ist jede Partei berechtigt, den Nutzungsvertrag mit Wirkung zum geplanten Wechseldatum zu kündigen. Bereits im Voraus gezahlte Entgelte werden anteilig erstattet.

Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig unter besonderer Berücksichtigung der Eignung der von ihnen getroffenen technischen und organisatorischen Massnahmen aus. Er verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den Pflichten aus dieser Vereinbarung im Wesentlichen entsprechen, insbesondere zu hinreichenden Garantien nach Art. 28 Abs. 4 DSGVO. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten.

Nicht als Unterauftragsverarbeitung im Sinne dieser Ziffer gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt und die nicht auf die Verarbeitung personenbezogener Daten des Verantwortlichen gerichtet sind (beispielsweise Telekommunikationsleistungen, Reinigungs- oder Wartungsleistungen sowie die Wartung von Hardware). Der Auftragsverarbeiter trifft auch insoweit angemessene Vorkehrungen zum Schutz der Daten.

9. Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Massnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO nachzukommen.

Der Dienst stellt dem Verantwortlichen hierfür Funktionen zur Verfügung, mit denen er die zu einer betroffenen Person gespeicherten Daten selbst einsehen, berichtigen, exportieren und löschen kann. Insbesondere erzeugt die im Kundendatensatz sowie in der Personalakte hinterlegte Exportfunktion eine vollständige Auskunft nach Art. 15 DSGVO als PDF-Dokument zusammen mit einer maschinenlesbaren Fassung und allen zur betroffenen Person gehörenden Dateien.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, der Verantwortliche hat ihn hierzu angewiesen.

Soweit ein Antrag über die im Dienst verfügbaren Selbstbedienungsfunktionen hinaus Aufwand verursacht, kann der Auftragsverarbeiter den nachgewiesenen Mehraufwand nach den bei ihm üblichen Sätzen abrechnen. Das gilt nicht, wenn der Aufwand auf einem Umstand beruht, den der Auftragsverarbeiter zu vertreten hat.

10. Unterstützung bei den Pflichten nach Art. 32 bis 36 DSGVO

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten.

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich nach Bekanntwerden, spätestens jedoch innerhalb von 48 Stunden. Die Meldung erfolgt per E-Mail an die im Konto hinterlegte Adresse der Administratorin oder des Administrators und enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmassnahmen. Sind nicht alle Angaben zugleich verfügbar, werden sie unverzüglich nachgereicht.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und bei einer vorherigen Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO, indem er die erforderlichen Informationen über die Verarbeitung, die eingesetzten Systeme und die getroffenen Schutzmassnahmen zur Verfügung stellt.

Der Auftragsverarbeiter ergreift von sich aus die Massnahmen zur Sicherheit der Verarbeitung nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und überprüft ihre Wirksamkeit regelmässig.

11. Rückgabe, vollständiger Datenexport und Löschung nach Beendigung (Art. 28 Abs. 3 lit. g DSGVO)

Der Verantwortliche kann einzelne Datenbestände während der gesamten Laufzeit des Nutzungsvertrages jederzeit selbst über die im Dienst enthaltenen Export- und Berichtsfunktionen in gängigen, maschinenlesbaren Formaten abrufen.

Unabhängig davon stellt der Auftragsverarbeiter dem Verantwortlichen auf dessen Verlangen einen vollständigen Export sämtlicher im Auftrag verarbeiteter personenbezogener Daten einschliesslich aller vom Verantwortlichen hochgeladenen Dateien und Dokumente zur Verfügung. Der Export erfolgt in einem gängigen, maschinenlesbaren Format. Das Verlangen ist in Textform durch eine im Konto hinterlegte Administratorin oder einen im Konto hinterlegten Administrator zu stellen. Der Auftragsverarbeiter stellt den Export innerhalb von 20 Werktagen nach Zugang des Verlangens bereit. Anlässlich der Beendigung des Nutzungsvertrages wird der Export einmalig unentgeltlich bereitgestellt.

Der Verantwortliche ist gehalten, den vollständigen Export vor der Beendigung des Vertrages oder innerhalb der nachstehenden Löschfrist anzufordern, damit die Bereitstellung vor der Löschung abgeschlossen werden kann.

Datenportabilität und Anbieterwechsel: Derselbe Export dient zugleich der Übertragung der Daten an einen anderen Anbieter. Der Auftragsverarbeiter behindert einen Wechsel nicht, macht ihn nicht von zusätzlichen Bedingungen abhängig und erhebt hierfür kein gesondertes Wechselentgelt. Auf Anfrage benennt er die Struktur und die Bedeutung der exportierten Datenfelder, soweit dies für die Übernahme durch den neuen Anbieter erforderlich ist.

Nach Beendigung des Nutzungsvertrages löscht der Auftragsverarbeiter die für den Verantwortlichen verarbeiteten personenbezogenen Daten. Die Löschung erfolgt 30 Tage nach Beendigung des Kontos. Diese Frist entspricht der in den Nutzungsbedingungen genannten Frist und gibt dem Verantwortlichen zugleich Gelegenheit, einen versehentlich beendeten Vertrag wiederherstellen zu lassen oder den vorstehend geregelten Export anzufordern.

Vorhandene Sicherungskopien werden nach dem regulären Rotationsverfahren des Auftragsverarbeiters überschrieben. Bis zum Ablauf des jeweiligen Sicherungszyklus bleiben die Daten dort in verschlüsselter Form enthalten, werden jedoch ausschliesslich zur Wiederherstellung im Störungsfall vorgehalten und nicht anderweitig verarbeitet. Die Sicherungskopien dienen allein dem Betrieb des Dienstes durch den Auftragsverarbeiter; ein Anspruch des Verantwortlichen auf Herausgabe oder Einspielung einer Sicherungskopie besteht nicht. Der Anspruch auf den vollständigen Export nach dieser Ziffer bleibt davon unberührt.

Eine über die vorstehenden Fristen hinausgehende Aufbewahrung erfolgt nur, soweit das Unionsrecht oder das Recht eines Mitgliedstaats den Auftragsverarbeiter zur Speicherung verpflichtet. In diesem Fall werden die Daten für die Dauer der gesetzlichen Aufbewahrungsfrist gesperrt und ausschliesslich zu dem Zweck verarbeitet, der die Aufbewahrung gebietet.

Der Auftragsverarbeiter bestätigt dem Verantwortlichen die Löschung auf Verlangen in Textform.

12. Nachweis- und Kontrollrechte (Art. 28 Abs. 3 lit. h DSGVO)

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen einschliesslich Inspektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.

Der Nachweis wird in der Regel durch die Übersendung der aktuellen Beschreibung der technischen und organisatorischen Massnahmen, durch die Beantwortung eines Prüfungsfragebogens in Textform sowie durch die Vorlage vorhandener Berichte unabhängiger Dritter, soweit solche vorliegen, geführt.

Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche eine Prüfung vor Ort oder eine Prüfung per Videokonferenz verlangen. Sie ist mit einer Frist von mindestens 30 Tagen anzukündigen, findet während der üblichen Geschäftszeiten statt, darf den Betrieb des Auftragsverarbeiters nicht unverhältnismässig beeinträchtigen und ist auf eine Prüfung pro Kalenderjahr beschränkt. Ein zusätzlicher Anlass besteht bei einer Verletzung des Schutzes personenbezogener Daten oder bei einer Anordnung einer Aufsichtsbehörde.

Da der Dienst mandantenfähig ist, darf eine Prüfung weder den Zugriff auf Daten anderer Mandanten noch die Offenlegung von Geschäftsgeheimnissen Dritter zur Folge haben. Ein vom Verantwortlichen beauftragter Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und ist vor Beginn der Prüfung zur Vertraulichkeit zu verpflichten.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollhandlungen und Massnahmen einer Aufsichtsbehörde, soweit sie sich auf die Verarbeitung im Auftrag des Verantwortlichen beziehen.

Der Auftragsverarbeiter kann für den Aufwand einer über die Textform hinausgehenden Prüfung eine angemessene Vergütung verlangen.

13. Ort der Verarbeitung und Drittlandsübermittlung

Die Verarbeitung der Daten des Verantwortlichen findet grundsätzlich in der Europäischen Union statt. Die Anwendungsserver, die Datenbanken und der Objektspeicher für hochgeladene Dateien werden ausschliesslich in Rechenzentren innerhalb der Europäischen Union betrieben.

Soweit in Anlage 2 ausgewiesene Unterauftragsverarbeiter ihren Sitz in einem Drittland haben oder von dort aus auf Daten zugreifen können, stützt der Auftragsverarbeiter die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission, insbesondere auf das EU-US Data Privacy Framework, soweit der jeweilige Anbieter dort zertifiziert ist, und ergänzend auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO nebst geeigneten zusätzlichen Massnahmen.

Die KI-Funktionen des Dienstes werden über Amazon Web Services (Amazon Bedrock) in der Region Frankfurt (eu-central-1) betrieben; die Inhalte werden dabei innerhalb der Europäischen Union verarbeitet. Die einzige Ausnahme ist die optionale Deal-Anreicherung, die auf einer Live-Websuche beruht und ausschliesslich auf Infrastruktur in den Vereinigten Staaten verfügbar ist. Sie wird nur ausgelöst, wenn ein Nutzer des Verantwortlichen sie ausdrücklich anfordert, und kann vom Verantwortlichen in den Einstellungen vollständig deaktiviert werden. Für diese Übermittlung gelten die Standardvertragsklauseln.

Weder der Auftragsverarbeiter noch die von ihm eingesetzten Anbieter von KI-Funktionen verwenden die Daten des Verantwortlichen zum Training von Modellen.

14. Haftung, Schlussbestimmungen und anwendbares Recht

Für die Haftung der Parteien gelten die Regelungen der Nutzungsbedingungen, soweit diese Vereinbarung nichts anderes bestimmt. Art. 82 DSGVO bleibt unberührt.

Der Verantwortliche ist für die Rechtmässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte betroffener Personen verantwortlich. Er stellt insbesondere sicher, dass er für die Eingabe personenbezogener Daten in den Dienst über eine Rechtsgrundlage verfügt und den betroffenen Personen die nach Art. 13 und 14 DSGVO erforderlichen Informationen erteilt hat.

Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Der Auftragsverarbeiter kann diese Vereinbarung anpassen, soweit dies aufgrund geänderter Rechtslage, aufsichtsbehördlicher Vorgaben oder technischer Weiterentwicklung des Dienstes erforderlich wird. Eine geänderte Fassung erhält eine neue Fassungsnummer; der Verantwortliche wird über die Änderung informiert und um erneute Zustimmung im Konto gebeten.

Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden eine unwirksame Bestimmung durch eine wirksame ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

Bei Widersprüchen zwischen dieser Vereinbarung und den Nutzungsbedingungen gehen in datenschutzrechtlichen Fragen die Regelungen dieser Vereinbarung vor.

Diese Vereinbarung ist in deutscher und in englischer Sprache verfügbar. Massgeblich und allein verbindlich ist die deutsche Fassung; die englische Fassung dient ausschliesslich dem Verständnis.

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschliesslicher Gerichtsstand für alle Streitigkeiten aus dieser Vereinbarung ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.

Anlage 1: Technische und organisatorische Massnahmen (Art. 32 DSGVO)

Die nachfolgend beschriebenen Massnahmen sind zum Zeitpunkt des Vertragsschlusses umgesetzt. Sie gelten für den Dienst insgesamt und damit für alle Mandanten gleichermassen.

Der Auftragsverarbeiter ist derzeit nicht nach ISO 27001, SOC 2 oder TISAX zertifiziert und behauptet keine solche Zertifizierung. Die nachstehenden Angaben beschreiben ausschliesslich Massnahmen, die tatsächlich umgesetzt sind.

Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Die gesamte Kommunikation zwischen den Endgeräten der Nutzer und dem Dienst erfolgt ausschliesslich über TLS. HTTP Strict Transport Security (HSTS) erzwingt die verschlüsselte Verbindung auch bei späteren Aufrufen.
• Auch die Verbindungen zu den eingesetzten Unterauftragsverarbeitern (Objektspeicher, E-Mail-Versand, KI-Dienste) sind durchgehend transportverschlüsselt.
• Hochgeladene Dateien und Dokumente werden im Objektspeicher verschlüsselt abgelegt (Verschlüsselung ruhender Daten).
• Passwörter werden niemals im Klartext gespeichert, sondern ausschliesslich als bcrypt-Hash mit einem Kostenfaktor von 12 abgelegt. "Angemeldet bleiben"-Token werden nur als SHA-256-Hash gespeichert.
• Zugangsdaten zu angebundenen Fremdsystemen (OAuth-Token, API-Schlüssel) werden verschlüsselt gespeichert und nie an den Browser ausgeliefert.
• In externen Adressen (URLs) und in Programmierschnittstellen werden ausschliesslich nicht fortlaufende, präfixierte Kennungen verwendet, sodass aus einer Kennung weder auf den Datenbestand noch auf dessen Umfang geschlossen werden kann.

Vertraulichkeit: Zutritts-, Zugangs-, Zugriffs- und Trennungskontrolle (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Der Dienst wird ausschliesslich in Rechenzentren eines professionellen Betreibers innerhalb der Europäischen Union betrieben. Der physische Zutritt wird vom Rechenzentrumsbetreiber durch Videoüberwachung, Vereinzelungsanlagen, Besucherverwaltung und Zutrittsberechtigungen kontrolliert. Eigene Hardware des Auftragsverarbeiters befindet sich nicht in dessen Geschäftsräumen.
• Zugangskontrolle: Der Zugang zum Dienst setzt eine persönliche Benutzerkennung mit Passwort voraus. Es werden Mindestanforderungen an die Passwortstärke durchgesetzt, die letzten fünf Passwörter dürfen nicht wiederverwendet werden. Jede Kontoerstellung erfordert zwingend eine E-Mail-Verifizierung; ein Konto ohne bestätigte Adresse kann sich nicht anmelden. Alternativ kann der Verantwortliche eine Anmeldung über seinen eigenen Identitätsanbieter (Single Sign-on) einrichten und erzwingen.
• Zugangskontrolle: Fehlversuche bei der Anmeldung werden gezählt und mit einer progressiv steigenden Sperrzeit belegt. Formulare und sicherheitsrelevante Endpunkte sind zusätzlich durch eine Ratenbegrenzung sowie durch einen Bot-Schutz vor automatisierten Angriffen geschützt.
• Zugangskontrolle: Sitzungen werden serverseitig geführt, verwenden Cookies mit den Attributen HttpOnly, SameSite und Secure, laufen im strikten Modus (keine vom Client vorgegebenen Sitzungskennungen) und werden nach 30 Minuten Inaktivität automatisch beendet. Alle zustandsändernden Formulare sind durch CSRF-Token geschützt.
• Zugriffskontrolle: Innerhalb eines Kontos gilt ein rollenbasiertes Berechtigungssystem (Administration, Vertriebsleitung, Vertrieb, Projektmitarbeit) mit zusätzlichen feingranularen Einzelberechtigungen. Ergänzend steuert eine Sichtbarkeitssteuerung über Teams (Zirkel), welche Datensätze eine Nutzerin oder ein Nutzer überhaupt sehen darf. Personalakten unterliegen einer gesonderten Need-to-know-Freigabe und sind nicht über die allgemeine Administratorrolle einsehbar.
• Zugriffskontrolle: Der Aufruf eines Datensatzes, für den keine Berechtigung besteht, wird mit "nicht gefunden" statt mit "kein Zugriff" beantwortet, damit aus der Antwort nicht auf die Existenz fremder Datensätze geschlossen werden kann.
• Trennungskontrolle: Der Dienst ist mandantenfähig. Jeder Datensatz trägt eine Mandantenkennung, und jede Datenbankabfrage, jeder Dateizugriff und jede Schnittstellenantwort wird auf den Mandanten des angemeldeten Nutzers eingeschränkt. Die Einschränkung wird nicht dem einzelnen Programmierer überlassen, sondern durch verpflichtende Datenbankhilfsfunktionen erzwungen, die die Mandantenkennung selbsttätig einsetzen und deren Fehlen als Fehler abweisen. Die Einhaltung wird zusätzlich durch automatisierte Tests und statische Codeanalyse geprüft.
• Trennungskontrolle: Test-, Entwicklungs- und Produktivumgebung sind vollständig getrennt. In der Entwicklung werden keine Produktivdaten verwendet.

Integrität: Weitergabe- und Eingabekontrolle (Art. 32 Abs. 1 lit. b DSGVO)

• Weitergabekontrolle: Eine Übermittlung von Daten an Dritte erfolgt ausschliesslich auf Veranlassung des Verantwortlichen (beispielsweise E-Mail-Versand an von ihm gewählte Empfänger, Übergabe an ein von ihm angebundenes Buchhaltungssystem) oder an die in Anlage 2 genannten Unterauftragsverarbeiter.
• Weitergabekontrolle: Der Auslieferung von Dateien an den Browser gehen eine Berechtigungsprüfung und eine Mandantenprüfung voraus. Grosse Dateien werden über zeitlich befristete, signierte Verweise ausgeliefert, die ohne gültige Signatur nicht abrufbar sind.
• Weitergabekontrolle: Der Browser wird durch eine Content Security Policy, X-Frame-Options (DENY), X-Content-Type-Options und eine restriktive Referrer-Policy abgesichert. Inline-Skripte sind ausgeschlossen, sodass eingeschleuster Code nicht ausgeführt werden kann.
• Eingabekontrolle: Jeder zustandsändernde Vorgang wird revisionssicher protokolliert. Das Änderungsprotokoll hält fest, wer wann welche Aktion an welchem Objekt vorgenommen hat, und ist für Administratoren des Verantwortlichen im Konto einsehbar.
• Eingabekontrolle: Sämtliche Datenbankabfragen verwenden ausschliesslich parametrisierte Anweisungen; Nutzereingaben werden vor der Ausgabe kontextgerecht maskiert. Von Nutzern eingegebene Farbwerte und Verweise werden gesondert bereinigt.
• Integrität der Anwendung: Änderungen am Quellcode durchlaufen ein automatisiertes Freigabeverfahren aus Testsuite und statischer Codeanalyse, bevor sie ausgeliefert werden.

Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und lit. c DSGVO)

• Der Betrieb erfolgt in einem Rechenzentrum mit unterbrechungsfreier Stromversorgung, Netzersatzanlage, Brandfrüherkennung, Löschanlage und redundanter Netzanbindung.
• Von der Datenbank werden regelmässig automatisierte Sicherungen erstellt und getrennt vom Produktivsystem aufbewahrt. Das Sicherungs- und Wiederherstellungsverfahren ist dokumentiert.
• Hochgeladene Dateien liegen in einem redundanten Objektspeicher.
• Der Dienst ist einem vorgeschalteten Schutz gegen Überlastungsangriffe (DDoS) und einer Web Application Firewall unterstellt.
• Lang laufende Verarbeitungen werden nicht im Web-Prozess ausgeführt, sondern von überwachten Hintergrundprozessen mit begrenzter Laufzeit und automatischem Neustart abgearbeitet. Das verhindert, dass eine einzelne Aufgabe die Erreichbarkeit des Dienstes beeinträchtigt.
• Betriebs- und Fehlerprotokolle werden geführt, automatisch rotiert und ausgewertet, um Störungen frühzeitig zu erkennen.

Verfahren zur regelmässigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Vor jeder Auslieferung durchläuft der Dienst eine automatisierte Testsuite sowie eine statische Codeanalyse. Verstösse gegen die Mandantentrennung, gegen die Berechtigungsprüfung und gegen die Vorgaben zur sicheren Ausgabe werden dabei als Fehler behandelt und verhindern die Auslieferung.
• Abhängigkeiten und Laufzeitumgebungen werden regelmässig aktualisiert; sicherheitsrelevante Aktualisierungen werden zeitnah eingespielt.
• Der Auftragsverarbeiter unterhält eine öffentlich zugängliche Richtlinie zur Meldung von Sicherheitslücken (Vulnerability Disclosure Policy) einschliesslich einer security.txt nach RFC 9116, damit Sicherheitsforschende Schwachstellen strukturiert melden können.
• Eingehende Meldungen werden bewertet, priorisiert und nachverfolgt; die Behebung wird dokumentiert.
• Datenschutzvorfälle werden nach einem festgelegten Verfahren erfasst, bewertet und gemeldet (siehe Ziffer 10 dieser Vereinbarung).
• Die technischen und organisatorischen Massnahmen werden mindestens jährlich sowie anlassbezogen überprüft und bei Bedarf angepasst.

Anlage 2: Unterauftragsverarbeiter

Die nachstehenden Unterauftragsverarbeiter sind vom Verantwortlichen nach Ziffer 8 dieser Vereinbarung allgemein genehmigt. Änderungen werden nach dem dort geregelten Verfahren mitgeteilt.

Nicht als Unterauftragsverarbeiter aufgeführt

• Microsoft Clarity: Der Auftragsverarbeiter setzt Microsoft Clarity ausschliesslich auf seinen öffentlich zugänglichen Marketing- und Registrierungsseiten und nur mit Einwilligung der jeweiligen Besucherin oder des jeweiligen Besuchers ein. Auf den angemeldeten Seiten des Dienstes wird Clarity zu keinem Zeitpunkt geladen. Clarity erhält daher keine Daten des Verantwortlichen und ist kein Unterauftragsverarbeiter im Rahmen dieser Vereinbarung. Der Einsatz ist in der Datenschutzerklärung des Auftragsverarbeiters beschrieben.
• Lexware Office und SevDesk: Diese Buchhaltungssysteme werden nur angesprochen, wenn der Verantwortliche sein eigenes Konto dort mit dem Dienst verbindet. Der Verantwortliche unterhält in diesem Fall ein eigenes Vertragsverhältnis unmittelbar mit dem jeweiligen Anbieter und erteilt mit der Verbindung die Weisung, die von ihm ausgewählten Daten dorthin zu übermitteln. Der Auftragsverarbeiter beauftragt diese Anbieter nicht selbst und bindet sie nicht als Unterauftragsverarbeiter ein.
• Microsoft 365 und Google Workspace: Eine Anbindung an Postfach und Kalender erfolgt nur, wenn eine Nutzerin oder ein Nutzer des Verantwortlichen sie selbst herstellt. Das Vertragsverhältnis über diese Dienste besteht unmittelbar zwischen dem Verantwortlichen und dem jeweiligen Anbieter.
• Stripe und die Abonnementzahlungen: Die Abwicklung der Zahlungen für die Nutzung des Dienstes betrifft das eigene Vertragsverhältnis zwischen dem Auftragsverarbeiter und dem Verantwortlichen als seinem Kunden und ist keine Verarbeitung im Auftrag. Für diese Zahlungs- und Rechnungsdaten ist der Auftragsverarbeiter selbst Verantwortlicher. Stripe wird dabei als Zahlungsdienstleister in eigener Verantwortung tätig und unterliegt eigenen aufsichtsrechtlichen Pflichten, unter anderem aus dem Zahlungsdiensterecht, der Geldwäscheprävention und der Betrugsbekämpfung. Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet, insbesondere Kunden-, Kontakt- und Beschäftigtendaten, werden zu keinem Zeitpunkt an Stripe übermittelt. Einzelheiten zur Zahlungsabwicklung enthält die Datenschutzerklärung des Auftragsverarbeiters.