← Zur StartseiteMAKEINVOICEFAST

Auftragsverarbeitung

ENTWURF – vor Abschluss die mit [OFFEN] bezeichneten Betriebsangaben vervollständigen, die Umsetzung der Verpflichtungen sicherstellen und die Parteienangaben nach Anlage 1 dem konkreten Vertrag zuordnen. Vereinbarung zur Auftragsverarbeitung für MakeInvoiceFast nach Art. 28 DSGVO Stand: 2. November 2026 Zwischen dem im zugehörigen Nutzungsvertrag und in Anlage 1 bezeichneten Kunden – nachfolgend „Auftraggeber“ – und Invictus IT Services GmbH Rheinpromenade 13 40789 Monheim am Rhein Deutschland Vertreten durch: Nevaf Ay Handelsregister: HRB 110345, Amtsgericht Düsseldorf E-Mail: info@invictus-it-services.de – nachfolgend „Auftragnehmer“ – 1. Gegenstand und Rangfolge Diese Vereinbarung konkretisiert die Datenschutzpflichten für personenbezogene Daten, die der Auftragnehmer bei der Bereitstellung von MakeInvoiceFast für den Auftraggeber verarbeitet. Sie ergänzt den Nutzungsvertrag. Bei Widersprüchen gehen ihre Regelungen für die Auftragsverarbeitung vor. Die Verarbeitung umfasst die Bereitstellung einer gehosteten Anwendung für Kontaktverwaltung, Rechnungsentwürfe und festgeschriebene Rechnungen, Dokumentenimporte, Speicherung von Rechnungs-PDFs und strukturierten Rechnungsdaten, Zahlungsmarkierungen, Auswertungen, veranlassten E-Mail-Versand und Datenexporte. Erforderlicher technischer Betrieb, Wartung, Datensicherung und weisungsgebundener Support gehören dazu. Art und Zweck der Verarbeitung, betroffene Personen und Datenarten sind in Anlage 1 beschrieben. Anlage 2 regelt die technischen und organisatorischen Maßnahmen. Anlage 3 benennt die genehmigten Unterauftragsverarbeiter. Anlage 4 konkretisiert Rückgabe und Löschung. Sämtliche Anlagen sind Bestandteil dieser Vereinbarung. Diese Vereinbarung ist ein individuell auf den Dienst zugeschnittener Vertragstext. Sie wird nicht als unveränderte Standardvertragsklauseln der Europäischen Kommission und nicht als Garantie für eine rechtliche Zertifizierung bezeichnet. 2. Rollen und Anwendungsbereich Der Auftraggeber bestimmt die Zwecke der von ihm veranlassten Verarbeitung seiner Kunden-, Kontakt- und Rechnungsdaten. Der Auftragnehmer verarbeitet diese Daten ausschließlich nach dokumentierter Weisung und im Rahmen dieser Vereinbarung. Soweit der Auftragnehmer Daten zur Verwaltung seiner eigenen Vertragsbeziehungen, Benutzerkonten, eigenen Abrechnung oder zur Erfüllung eigener gesetzlicher Pflichten als Verantwortlicher verarbeitet, richtet sich dies nach der gesonderten Datenschutzerklärung und den jeweiligen gesetzlichen Grundlagen. Die Abgrenzung berechtigt ihn nicht, anvertraute Rechnungsinhalte nach eigener Entscheidung für andere Zwecke zu verwenden. Falls der Auftraggeber selbst als Auftragsverarbeiter für einen Dritten handelt, ist seine Berechtigung zur Einschaltung des Auftragnehmers als weiteren Auftragsverarbeiter vorab zu klären und zu dokumentieren. Die für den Dritten geltenden Weisungen und Schutzpflichten müssen in der Verarbeitungskette wirksam weitergegeben werden. Bei einer ausschließlich persönlichen oder familiären Tätigkeit eines privaten Nutzers kann Art. 2 Abs. 2 Buchst. c DSGVO einschlägig sein. Dann begründet diese Vereinbarung keine gesetzlichen Verantwortlichenpflichten, die für den privaten Nutzer nicht gelten. Die vereinbarten Schutz-, Vertraulichkeits-, Weisungs- und Rückgaberegelungen gelten entsprechend, soweit sie auf diese Nutzung anwendbar sind. Die eigenen gesetzlichen Pflichten des Auftragnehmers bleiben bestehen. 3. Beginn und Dauer Die Vereinbarung wird in einem elektronischen Format oder in Textform geschlossen und gilt spätestens ab Beginn einer ihr unterliegenden Verarbeitung. Sie umfasst auch eine vereinbarte vorbereitende oder unentgeltliche Nutzung, soweit dabei bereits Daten im Auftrag verarbeitet werden. Sie endet nicht allein durch eine Kündigung des kostenpflichtigen Tarifs. Sie gilt während des vereinbarten Zugangs zum Lesen und Exportieren, bei der Rückgabe, für die verbleibende Löschung und für noch vorhandene Sicherungskopien fort, bis die Auftragsdaten ordnungsgemäß zurückgegeben beziehungsweise gelöscht sind. Vertraulichkeits- und Nachweispflichten wirken nach Maßgabe ihres Zwecks fort. 4. Pflichten des Auftraggebers und Weisungen Soweit die DSGVO auf seine Verarbeitung anwendbar ist, verantwortet der Auftraggeber insbesondere deren Rechtmäßigkeit, erforderliche Rechtsgrundlagen und Informationen gegenüber betroffenen Personen. Er übermittelt nur Daten, die für die vereinbarten Zwecke erforderlich und für den Dienst geeignet sind. Der Nutzungsvertrag, diese Vereinbarung und die berechtigten Bedienhandlungen im Kundenkonto bilden die anfänglichen dokumentierten Weisungen. Dazu gehören insbesondere das Speichern, Importieren, Erstellen und Exportieren sowie die Auswahl eines Versandempfängers. Weitergehende Weisungen können an info@invictus-it-services.de übermittelt werden. Mündliche dringliche Weisungen werden anschließend in Textform dokumentiert. Weisungsberechtigt ist der in Anlage 1 benannte Auftraggeber beziehungsweise dessen vertretungsberechtigte oder ausdrücklich bevollmächtigte Person. Bei begründeten Zweifeln darf der Auftragnehmer eine angemessene Identitäts- oder Berechtigungsprüfung verlangen. Dies darf eine dringende Schutzmaßnahme oder die rechtzeitige Bearbeitung gesetzlicher Rechte nicht unverhältnismäßig verzögern. Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, wenn er eine Weisung für datenschutzrechtswidrig hält. Die beanstandete Verarbeitung wird bis zur Klärung ausgesetzt, soweit dies erforderlich und rechtlich zulässig ist; andere vertragsgemäße Verarbeitungen bleiben hiervon unberührt. Der Auftragnehmer informiert über die konkreten Gründe und arbeitet an einer rechtmäßigen Lösung mit. 5. Weisungsbindung und Vertraulichkeit Der Auftragnehmer verarbeitet Auftragsdaten nicht für eigene Werbung, zur Erstellung eigener Kundenprofile oder zum Training externer KI-Systeme. Ein Verkauf oder eine eigenmächtige Weitergabe der Daten ist nicht gestattet. Eine Verarbeitung außerhalb dokumentierter Weisungen ist nur zulässig, wenn eine für den Auftragnehmer verbindliche Vorschrift des Unionsrechts oder des Rechts eines Mitgliedstaats dies verlangt. In diesem Fall unterrichtet er den Auftraggeber vor der Verarbeitung über die rechtliche Verpflichtung, soweit das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt. Alle zur Verarbeitung befugten Personen müssen auf Vertraulichkeit verpflichtet sein oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Sie erhalten Zugriff nur im für ihre Aufgaben erforderlichen Umfang und werden über die für ihre Tätigkeit maßgeblichen Datenschutz- und Sicherheitsanforderungen unterrichtet. 6. Sicherheit der Verarbeitung Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Maßgeblich sind insbesondere der Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten betroffener Personen. Die vereinbarten Maßnahmen ergeben sich aus Anlage 2. Sie betreffen insbesondere Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, die Wiederherstellbarkeit nach Störungen sowie die regelmäßige Überprüfung ihrer Wirksamkeit. Die Aufgabenverteilung mit Hosting- und sonstigen Unterauftragsverarbeitern muss nachweisbar sein. Der Auftragnehmer darf gleichwertige oder bessere Maßnahmen einsetzen, sofern das vereinbarte Schutzniveau nicht abgesenkt wird. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber auf Anforderung erläutert. Eine wesentliche Absenkung bedarf vorheriger Vereinbarung; zwingende Schutzpflichten können nicht abbedungen werden. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine vereinbarte wesentliche Schutzmaßnahme nicht eingehalten werden kann, und teilt geeignete Abhilfemaßnahmen mit. Ein bekannter Mangel gilt nicht allein deshalb als akzeptiert, weil eine allgemeine Beschreibung dieser Vereinbarung zugestimmt wurde. 7. Unterauftragsverarbeiter Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 3 bezeichneten Unterauftragsverarbeiter für die dort genannten Verarbeitungstätigkeiten. Die Genehmigung erfasst keine unbenannten beliebigen Dienstleister oder Drittlandsübermittlungen. Der Auftragnehmer informiert den Auftraggeber mindestens 30 Kalendertage vor dem geplanten Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters ausdrücklich in Textform über Identität, Anschrift, Aufgabe, Verarbeitungsort und vorgesehene Schutzmaßnahmen. Der Auftraggeber erhält Gelegenheit, innerhalb dieser Frist aus sachlichen Datenschutzgründen Einwände zu erheben. Schweigen nimmt ihm seine gesetzlichen Kontroll- oder Schutzrechte nicht. Bei einem begründeten Einwand suchen die Parteien eine angemessene Lösung. Eine Umsetzung erfolgt nicht, bevor die maßgeblichen Datenschutzbedenken geklärt sind. Kann die betroffene Leistung ohne einen zulässigen Unterauftrag nicht erbracht werden, können die Parteien den betroffenen Leistungsteil oder, falls untrennbar, den Vertrag ohne zusätzliche Beendigungsgebühr beenden. Vorauszahlungen für nicht mehr erbrachte Zeiträume werden erstattet; bestehende gesetzliche Rechte bleiben unberührt. Mit jedem Unterauftragsverarbeiter wird ein Vertrag geschlossen, der ihm die maßgeblichen Datenschutzpflichten dieser Vereinbarung wirksam auferlegt. Der Auftragnehmer prüft die ausreichenden Garantien und bleibt dem Auftraggeber für die Erfüllung der Pflichten des Unterauftragsverarbeiters nach Art. 28 Abs. 4 DSGVO verantwortlich. Auch weitere Unterauftragsstufen müssen in den genehmigten und dokumentierten Verarbeitungsrahmen einbezogen sein. Auf Anforderung legt der Auftragnehmer geeignete Nachweise und die für die Kontrolle erforderlichen einschlägigen Vertragsbestimmungen vor. Erforderliche Schwärzungen dürfen die Überprüfbarkeit der Datenschutzpflichten nicht vereiteln. 8. Verarbeitungsorte, SMTP und Drittlandsübermittlungen Für die vom Auftragnehmer bereitgestellte Hosting-, Plattform-E-Mail- und Backup-Infrastruktur ist die Verarbeitung in Deutschland vorgesehen. Eine Verlagerung außerhalb des Europäischen Wirtschaftsraums sowie ein Zugriff von dort bedürfen einer dokumentierten Weisung beziehungsweise Genehmigung und der Erfüllung der zusätzlichen Voraussetzungen der Art. 44 ff. DSGVO. Die bloße Erstellung einer Rechnung mit einer ausländischen Anschrift ist noch keine Übermittlung an den Rechnungsempfänger. Ein vom Auftraggeber ausgelöster Rechnungsversand an einen ausländischen Empfänger oder über einen selbst gewählten SMTP-Anbieter kann dagegen eine weitere Übermittlung auslösen. Die Auswahl einer E-Mail-Adresse oder eines SMTP-Hosts ersetzt nicht die Prüfung einer erforderlichen Drittlandsgrundlage. Vor einer Drittlandsübermittlung werden die Empfänger, Verarbeitungsorte, Weisung und erforderliche Transfergrundlage dokumentiert. Soweit nötig werden geeignete Garantien und zusätzliche Schutzmaßnahmen vereinbart. Die Unterrichtung und Prüfung einer Weisung nach Abschnitt 4 bleibt unberührt. Der Auftragnehmer führt eine Übermittlung nicht aus, wenn deren erforderliche rechtliche Voraussetzungen erkennbar fehlen. Ein vom Auftraggeber unmittelbar beauftragter Maildienstleister oder eine von ihm benannte DATEV-Empfangsstelle ist nach der konkreten Rollenverteilung zu behandeln. Die Auswahl durch den Auftraggeber macht diese Stelle weder automatisch zu einem allgemeinen Unterauftragsverarbeiter des Auftragnehmers noch von allen Datenschutzpflichten frei. Soweit tatsächlich ein Unterauftrag des Auftragnehmers vorliegt, gilt Abschnitt 7. 9. Unterstützung bei Rechten betroffener Personen Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen durch geeignete Maßnahmen bei Anträgen nach Art. 12 bis 22 DSGVO. Dies umfasst insbesondere das Auffinden zugehöriger Daten sowie erforderliche Auskünfte, Berichtigungen, Löschungen, Einschränkungen und Exporte. Erhält der Auftragnehmer ein Anliegen zu Auftragsdaten unmittelbar, leitet er es ohne schuldhaftes Zögern an den Auftraggeber weiter und stimmt das weitere Vorgehen ab. Er erteilt keine eigenmächtige inhaltliche Auskunft über fremde Auftragsdaten, sofern ihn nicht eine eigene gesetzliche Pflicht dazu berechtigt oder verpflichtet. Eine fehlende Selbstbedienungsfunktion im Kundenkonto beseitigt die Unterstützungspflicht nicht. Die Parteien berücksichtigen auch Originalimporte, Rechnungs-Snapshots, PDF-/XML-Dokumente, Ereignis- und Versanddaten sowie Sicherungskopien. Gesetzlich begründete Einschränkungen einer Löschung werden konkret dokumentiert und nicht pauschal auf alle Daten ausgedehnt. 10. Datenschutzverletzungen und weitere Unterstützung Der Auftragnehmer meldet dem Auftraggeber eine ihm bekannt gewordene Verletzung des Schutzes von Auftragsdaten unverzüglich. Er wartet mit der ersten Meldung nicht bis zur vollständigen Aufklärung. Die Meldung erfolgt an den Datenschutz- beziehungsweise Vertragskontakt aus Anlage 1; bei Erforderlichkeit wird zusätzlich ein vereinbarter alternativer Kontaktweg genutzt. Soweit verfügbar, enthält die Meldung die Art der Verletzung, Kategorien und ungefähren Zahlen der betroffenen Personen und Datensätze, Kontaktangaben für Rückfragen, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Eindämmungs- und Abhilfemaßnahmen. Fehlende Informationen werden schrittweise ohne unangemessene Verzögerung nachgereicht. Der Auftragnehmer dokumentiert den Vorfall, sichert geeignete Nachweise und wirkt an Eindämmung und Abhilfe mit. Der Auftragnehmer unterstützt den Auftraggeber bei dessen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Bewertung und Meldung an die Aufsichtsbehörde, erforderlichen Benachrichtigungen betroffener Personen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. Dabei berücksichtigt er die Art der Verarbeitung und die ihm zur Verfügung stehenden Informationen. Die gesetzliche Meldungsfrist des Auftraggebers wird nicht als Wartefrist für den Auftragnehmer behandelt. 11. Nachweise und Überprüfungen Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von diesem beauftragten unabhängigen Prüfer und trägt hierzu bei. Geeignete Unterlagen, Auskünfte und vorhandene Prüfberichte können zur Vorbereitung genutzt werden; sie schließen eine erforderliche Inspektion nicht aus. Die Parteien stimmen das Vorgehen angemessen ab und berücksichtigen Betriebssicherheit, Vertraulichkeit und Rechte anderer Kunden. Eine angemessene Vorankündigung ist grundsätzlich vorgesehen, soweit Anlass und Dringlichkeit dies erlauben. Bei einem konkreten Datenschutzvorfall oder einer behördlichen Anforderung darf eine solche Abstimmung die wirksame Kontrolle nicht verhindern. Kontrollrechte werden nicht auf einmal jährlich oder ausschließlich auf ein vorhandenes Zertifikat beschränkt. Die üblichen Nachweise, erforderliche gesetzliche Unterstützung und die Rückgabe nach Anlage 4 sind mit dem Tarif abgegolten. Ein Entgelt für darüber hinausgehende, individuell beauftragte Zusatzleistungen bedarf einer vorherigen ausdrücklichen Vereinbarung; die Erfüllung zwingender Datenschutzpflichten wird davon nicht abhängig gemacht. Behördliche Anfragen, Kontrollen oder Maßnahmen mit Bezug zu Auftragsdaten werden dem Auftraggeber unverzüglich mitgeteilt, soweit rechtlich zulässig. Gesetzliche Befugnisse der Aufsichtsbehörden bleiben unberührt. 12. Rückgabe und Löschung Nach Ende der vereinbarten Verarbeitungsleistungen werden nach Wahl des Auftraggebers sämtliche Auftragsdaten zurückgegeben oder gelöscht; nach einer Rückgabe sind verbleibende Kopien zu löschen, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Ablauf, Rückgabezeitraum, Produktivlöschung und Sicherungskopien sind in Anlage 4 geregelt. Der Auftragnehmer bestätigt auf Anforderung den Abschluss der Löschung und weist konkret aus, welche Daten gegebenenfalls aufgrund welcher gesetzlichen Pflicht und für welchen Zeitraum zurückbehalten werden. Solche Daten werden gesperrt beziehungsweise auf die vorgeschriebenen Zwecke beschränkt. Eigene Abrechnungs- und Vertragsnachweise werden von Auftragsinhalten getrennt behandelt. Die gesetzlichen Aufbewahrungspflichten des Auftraggebers sind keine allgemeine eigene Aufbewahrungsgrundlage des Auftragnehmers. Ein Zurückbehalten von Auftragsdaten allein zur Absicherung streitiger Entgeltforderungen ist nicht vereinbart. 13. Haftung, Änderungen und Abschluss Es gelten die gesetzlichen Haftungsregelungen. Rechte betroffener Personen, insbesondere nach Art. 82 DSGVO, werden durch diese Vereinbarung weder ausgeschlossen noch beschränkt. Änderungen dieser Vereinbarung werden dokumentiert und bedürfen einer wirksamen Vereinbarung in einem zulässigen Format. Eine Zustimmung zu einer wesentlichen Absenkung des Schutzes wird nicht allein durch Schweigen fingiert. Für Unterauftragsänderungen gilt das gesonderte Verfahren nach Abschnitt 7. Zwingende gesetzliche Pflichten bleiben unberührt. Die elektronische Annahme und ihre Zuordnung zum Auftraggeber werden zusammen mit dem konkret einbezogenen Text einschließlich seiner Anlagen nachweisbar aufbewahrt. Eine handschriftliche Unterschrift ist bei einem wirksamen Abschluss im elektronischen Format nach Art. 28 Abs. 9 DSGVO nicht erforderlich. ANLAGE 1 – PARTEIEN, VERARBEITUNG UND WEISUNGSKONTAKTE A. Zuordnung zum konkreten Vertrag Die folgenden Angaben werden bei Abschluss dem Vertrag zugeordnet und beiden Parteien mit dem einbezogenen Text zur Verfügung gestellt. Bei Verwendung als öffentliches Vertragsmuster müssen sie vor der konkreten Beauftragung ergänzt beziehungsweise aus der Vertragsbestätigung eindeutig bestimmbar sein: Auftraggeber: [Name/Firma und gegebenenfalls Rechtsform] Ladungsfähige Anschrift: [Straße, Hausnummer, Postleitzahl, Ort, Land] Vertrags-/Kontokennung: [eindeutige Kennung] Vertretungsberechtigte beziehungsweise bevollmächtigte Person: [Name und Funktion, soweit einschlägig] E-Mail für Vertragskommunikation und Weisungen: [E-Mail] Datenschutz-/Vorfallkontakt des Auftraggebers: [Name beziehungsweise Stelle, E-Mail und gegebenenfalls alternativer Kontakt] Auftragnehmer: Invictus IT Services GmbH, Anschrift wie oben. Datenschutz-, Weisungs- und Vorfallkontakt des Auftragnehmers: info@invictus-it-services.de; Telefon: 0151 42 43 20 92. [OFFEN: Betriebliche Erreichbarkeit und Vertretung für Datenschutzvorfälle bestätigen.] Vertragsbeginn und Textversion: [Datum, Versionskennung und nachweisbar zugeordnete Vertragsunterlagen] B. Verarbeitungszwecke Kontaktverwaltung, Erstellung und Archivierung eigener Rechnungen des Auftraggebers, Übernahme bestehender Kontakt- und Rechnungsdaten, Zahlungskennzeichnung, betriebliche Auswertungen, auftragsgemäßer Rechnungs- und DATEV-E-Mail-Versand, Datenexport sowie der hierfür erforderliche Betrieb und Support. C. Art der Verarbeitung Entgegennahme und Erfassung, Auslesen geeigneter CSV-/PDF-Dateien, Strukturieren und Zuordnen, Berechnen, Speichern, Ändern im Rahmen zulässiger Funktionen und Weisungen, Festschreiben von Rechnungsständen, Bereitstellen, Auswerten, auf Weisung Übermitteln, Exportieren, Sichern, Wiederherstellen, Einschränken und Löschen. D. Kategorien betroffener Personen Kunden und Rechnungsempfänger des Auftraggebers, deren Ansprechpartner und Vertretungsberechtigte, natürliche Personen beziehungsweise Einzelunternehmer in Geschäftsbeziehungen des Auftraggebers sowie gegebenenfalls in den zugelassenen Rechnungs- und Kontaktdaten benannte Leistungserbringer oder Bearbeiter. Bei zulässiger privater Nutzung entsprechend die in den benötigten Kontakten und Belegen genannten Personen. E. Datenarten Namen und Rollen von Ansprechpartnern; Firmen-/Kundennamen und Kundenkennungen; Rechnungsanschriften, Länder, E-Mail-Adressen und Telefonnummern; Steuer- und Umsatzsteuerkennungen; soweit personenbezogen Unternehmens-, Bank- und Zahlungsdaten; Leistungsbeschreibungen, Mengen, Zeiträume, Preise, Rabatte, Steuerbeträge und Summen; Rechnungsnummern und -daten, Fälligkeit und Zahlungsstatus; Notizen und zulässige zusätzliche Felder aus CSV-Originalzeilen; Inhalte hochgeladener Original-PDFs; Rechnungs-Snapshots und eingebettete ZUGFeRD-/Factur-X-XML-Daten; Bearbeiter-, Import-, Änderungs- und Versandnachweise einschließlich Empfänger, Zeitpunkten, Status und technischen Kennungen; erforderliche Verbindungs- und Supportdaten sowie gegebenenfalls für einen eigenen SMTP-Server benötigte Konfigurations- und Zugangsdaten. F. Besondere Daten und Verarbeitungsumfang Der reguläre Dienst ist nicht für die gezielte Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO vereinbart. Dazu zählen beispielsweise Gesundheitsdaten in Behandlungsrechnungen. Eine solche Nutzung setzt eine vorherige gesonderte Vereinbarung und angemessene zusätzliche Maßnahmen voraus. Freitextfelder und Importschnittstellen sollen nicht mit für den Rechnungszweck unnötigen sensiblen Angaben gefüllt werden. Die Verarbeitung erfolgt während der Nutzung fortlaufend entsprechend den Eingaben des Auftraggebers. Datenmenge und Zahl betroffener Personen richten sich nach dessen tatsächlicher Nutzung im vereinbarten Funktionsumfang. Eine Nutzung für massenhafte Werbeprofile oder fremde eigenständige Mandanten unter einem persönlichen Zugang ist nicht vereinbart. ANLAGE 2 – TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN Diese Anlage beschreibt das für den vereinbarten Betrieb nachzuweisende Schutzniveau. Die als offen bezeichneten Betriebsmaßnahmen sind vor Beauftragung zu vervollständigen. Die Trennung zwischen im Anwendungscode vorhandenen Funktionen und noch zu bestätigenden betrieblichen Maßnahmen ist keine Befreiung von den Pflichten nach Art. 32 DSGVO. 1. Zutritt und Infrastruktur Hosting bei ALL-INKL in Deutschland. Physischer Zutrittsschutz, Brandschutz, Stromversorgung und Rechenzentrumsbetrieb liegen innerhalb der dokumentierten Zuständigkeiten des Hostinganbieters. Der Auftragnehmer kontrolliert die entsprechenden Vertrags- und Maßnahmenunterlagen seines Unterauftragsverarbeiters. [OFFEN: Aktuelle ALL-INKL-AVV, zugehörige TOM und die konkreten für den Tarif geltenden Infrastruktur-/Backupmaßnahmen prüfen und als Nachweis zuordnen.] 2. Zugang und Berechtigungen Individuelle Benutzerkonten mit Passwort-Hashing und E-Mail-Bestätigung; Rollenverwaltung und serverseitige Berechtigungsprüfung. Begrenzung missbräuchlicher Anmelde- und Linkanforderungen. Zeitlich begrenzte und einmal verwendbare Bestätigungs-/Passwortlinks; Ungültigkeit einer Anmeldung nach Inaktivität. Trennung von Plattformverwaltung und kundeneigenen Datenbereichen. Systemadministrative Zugriffe erfolgen nur aufgabenbezogen. [OFFEN: Berechtigte Administratoren, gesicherte Administrationszugänge, Vergabe-/Entzugsverfahren und Vertraulichkeitsverpflichtungen betriebsbezogen dokumentieren. Die Anwendung selbst stellt derzeit keine Zwei-Faktor-Anmeldung für Endnutzer bereit.] 3. Trennung von Kundendaten Kundenbezogene Datenbankabfragen und Zuordnungsschlüssel trennen die Datenbereiche. Private Speicherbereiche und kontrollierte Dokumentabrufe verhindern regulären Zugriff anderer Kunden. Der Betreiber-Datenbereich erhält dadurch keinen allgemeinen Zugang zu den Rechnungsinhalten anderer Kunden. Die Plattformverwaltung verwendet für Vertrags- und Nutzungsübersichten die hierfür vorgesehenen Verwaltungsdaten und Zähler. 4. Übertragung und private Dateien Für den Produktivbetrieb sind HTTPS und sichere Sitzungscookies sowie angemessene Transportverschlüsselung zu Mailservern sicherzustellen. Rechnungen, Importe, Sitzungsdateien, Konfiguration und Sicherungen sind gegen öffentliche Abrufe zu schützen. Die Anwendung enthält Maßnahmen gegen gefälschte Formularanfragen sowie Sicherheitsheader und Eingabeprüfungen. SMTP-Zugangsdaten werden in privaten Konfigurationsdateien gespeichert; dies ist keine Verschlüsselung der gespeicherten Geheimnisse. Es wird keine allgemeine Ende-zu-Ende-Verschlüsselung von E-Mails oder Verschlüsselung sämtlicher Daten im Ruhezustand zugesagt. [OFFEN: Produktivkonfiguration einschließlich TLS, Cookie-Einstellungen, Dateirechten, Hosting-/Datenbankzugängen und Transport zu den tatsächlich benutzten Mailservern bestätigen. Unverschlüsselte SMTP-Verbindungen sind im regulären Produktivbetrieb nicht vorgesehen.] 5. Integrität und Nachvollziehbarkeit Serverseitige Eingabe- und Berechtigungsprüfungen, Schutz der Nummernvergabe, gespeicherte Rechnungsstände, dokumentierte Rechnungs-/Import-/Versandaktionen und Dokumentkennungen. Importdaten werden vor Übernahme zur Prüfung bereitgestellt; Original-PDFs werden bei der Übernahme erhalten. Versandzustände dienen auch der Vermeidung doppelter Übermittlungen. Es wird keine unveränderbare oder zertifizierte Protokollierungsinfrastruktur behauptet. [OFFEN: Zugriffsschutz, Aufbewahrungsfristen und Bereinigung von Sicherheits-, Plattform- und Fehlerprotokollen betrieblich festlegen.] 6. Verfügbarkeit, Sicherung und Wiederherstellung Datensicherungen werden innerhalb der vereinbarten ALL-INKL-Infrastruktur vorgehalten. Für die Wiederherstellung sind Datenbank und zugehörige Dokument-/Konfigurationsdateien konsistent zu berücksichtigen. Anwendungsseitige Sicherungen vor einem Datenbank-Upgrade sind in das Sicherungs- und Löschverfahren einzubeziehen. Kundenexporte ergänzen die Wiederherstellungsmaßnahmen, ersetzen sie aber nicht. [OFFEN: Tatsächliches Sicherungsintervall, maximale Aufbewahrung, Zuständigkeiten, Wiederanlaufverfahren, angemessene Wiederherstellungsziele und dokumentierten Test der Wiederherstellung ergänzen. Es sind bisher keine konkreten Wiederherstellungszeiten oder maximalen Datenverlustzeiträume bestätigt.] 7. Datenschutzorganisation und Vorfälle Dokumentierte Weisungswege, berechtigte Kontakte, Vertraulichkeitsverpflichtungen und aufgabenbezogene Unterrichtung der eingesetzten Personen. Verfahren für Datenschutzanfragen, Sicherheitsvorfälle, Unterauftragsänderungen und Kontrollen nach dieser Vereinbarung. Regelmäßige Überprüfung der Berechtigungen und der Wirksamkeit der Maßnahmen sowie zeitnahe Sicherheitsaktualisierungen. [OFFEN: Verantwortliche Personen, tatsächliche Prüfintervalle, Vorfall-/Vertretungsablauf und Nachweisdokumentation benennen. Es wird keine ISO-Zertifizierung des Auftragnehmers oder rund um die Uhr besetzte eigene Meldestelle behauptet.] 8. Rückgabe und Löschung Exportfunktion für strukturierte Daten und archivierte Rechnungs-PDFs. Gesonderte Behandlung aufbewahrungspflichtiger eigener Vertragsdaten und weisungsgebundener Kundendaten. Berücksichtigung von Originalimporten, Dokumentständen, Anhängen, Protokollen, privaten Konfigurationen und Sicherungskopien. [OFFEN: Den 90-Tage-Zugang und den anschließenden Löschablauf nach Anlage 4 einschließlich Sicherungen tatsächlich einrichten und testen. Im geprüften Anwendungscode gibt es hierfür noch keine vollständige Fristensteuerung oder Kontolöschung.] ANLAGE 3 – GENEHMIGTE UNTERAUFTRAGSVERARBEITER 1. ALL-INKL.COM – Neue Medien Münnich Inhaber: René Münnich Hauptstraße 68 02742 Friedersdorf Deutschland Kontakt: info@all-inkl.com Website: https://all-inkl.com Aufgaben: Hosting von Website, Anwendung und Datenbank; Bereitstellung der Plattform-E-Mail-Infrastruktur und der vereinbarten betrieblichen Datensicherungen; zugehöriger technischer Betrieb. Vorgesehener Verarbeitungsort: Deutschland; Rechenzentrumsstandort nach Angaben von ALL-INKL: Dresden. [OFFEN: Den tatsächlich geschlossenen ALL-INKL-Auftragsverarbeitungsvertrag einschließlich der dort genannten weiteren Unterauftragsstufen prüfen und die für diesen Dienst relevanten Unternehmen mit Aufgaben und Verarbeitungsorten ergänzen beziehungsweise die eindeutig bezeichnete aktuelle Liste als Vertragsanlage beifügen. Keine ungeprüfte Behauptung einer ausschließlich einstufigen Verarbeitungskette.] Weitere vom Auftragnehmer ausgewählte externe Analyse-, KI-, OCR- oder PDF-Verarbeitungsdienste und PayPal sind für den hier beschriebenen Betriebsstand nicht als Unterauftragsverarbeiter eingebunden. Eine spätere Einführung richtet sich nach der tatsächlichen Rolle und gegebenenfalls nach Abschnitt 7; eine Aufnahme in diese Anlage ersetzt keine datenschutzrechtliche Rollenprüfung. Vom Auftraggeber veranlasste Rechnungs-/DATEV-Empfänger und eigene SMTP-Dienstleister werden nach Abschnitt 8 behandelt. Sie gelten nicht allein wegen einer Eingabemöglichkeit als vom Auftragnehmer allgemein genehmigte weitere Unterauftragsverarbeiter. ANLAGE 4 – RÜCKGABE, 90-TAGE-ZUGANG UND LÖSCHUNG 1. Rückgabezeitraum Nach wirksamem Ende des kostenpflichtigen Nutzungsvertrags stehen die vorhandenen Daten für weitere 90 Kalendertage unentgeltlich zum Lesen und Exportieren bereit. Dieser Zeitraum ist Teil der abschließenden Bereitstellung zur Rückgabe. Die AVV bleibt anwendbar. Ein früheres wirksames Löschverlangen oder eine rechtlich notwendige Einschränkung wird gesondert bearbeitet und nicht bis zum Ablauf der 90 Tage zurückgestellt. 2. Übergabe Der Auftraggeber kann den vorhandenen ZIP-Export mit strukturierten Unternehmens-/Kontaktdaten, Rechnungsdaten und archivierten PDFs abrufen. Benötigte weitere Auftragsinhalte werden auf Anforderung in einem geeigneten gängigen Format übergeben. Zugangsdaten werden nicht ungeschützt in einen allgemeinen Export aufgenommen. Die Parteien stimmen einen erforderlichen gesonderten Umgang mit solchen Geheimnissen ab. Die Rückgabe umfasst auf Wunsch auch die für die Zuordnung erforderlichen Informationen. 3. Produktivdaten Nach Ablauf des Rückgabezeitraums und Ende der abschließenden Bereitstellung werden verbleibende Auftragsdaten auf Grundlage der hiermit erteilten anfänglichen Löschweisung unverzüglich, spätestens innerhalb weiterer 30 Kalendertage gelöscht. Eine rechtzeitige abweichende rechtmäßige Weisung wird berücksichtigt; eine darüber hinausgehende Fortsetzung des Dienstes bedarf einer gesonderten Vereinbarung. Bereits erklärte oder während der Rückgabe eingehende Betroffenenrechte und frühere Löschweisungen bleiben unberührt. Die Löschung berücksichtigt insbesondere Datenbankeinträge, CSV-Originalzeilen, Import- und Extraktionsdaten, Rechnungs-Snapshots, PDF-/XML-Dateien, Logo-/Uploaddateien, nicht mehr benötigte private Mailkonfiguration sowie personenbezogene Ereignis-/Versanddaten. Vorübergehende Importablagen und Exportdateien werden nach ihrem jeweiligen Zweck und den vereinbarten betrieblichen Fristen bereinigt. 4. Sicherungskopien Sicherungskopien werden nur für die erforderliche Wiederherstellung aufbewahrt und nicht für andere Zwecke genutzt. Gelöschte Produktivdaten dürfen nach einer Wiederherstellung nicht ungeprüft dauerhaft wieder aufgenommen werden; hierfür ist ein dokumentierter Abgleich mit bereits ausgeführten Löschungen vorzusehen. [OFFEN: Maximale Frist bis zum endgültigen Löschen beziehungsweise Überschreiben aller betroffenen Sicherungskopien in Kalendertagen eintragen; tatsächliche ALL-INKL-Rotation und gesonderte Frist für anwendungsseitige Upgrade-Sicherungen zuordnen. Die Frist ist ab dem jeweiligen maßgeblichen Löschzeitpunkt eindeutig zu bestimmen.] 5. Ausnahmen und Nachweis Eine gesetzlich zwingende Aufbewahrung wird nach Datenkategorie, Rechtsgrundlage und Frist dokumentiert und dem Auftraggeber mitgeteilt, soweit zulässig. Zurückbehaltene Daten werden auf den erforderlichen Zweck beschränkt. Die steuerliche Aufbewahrung von Rechnungen des Auftraggebers allein begründet keine unbefristete eigene Speicherung durch den Auftragnehmer. Nach Abschluss bestätigt der Auftragnehmer auf Verlangen die Rückgabe beziehungsweise Löschung einschließlich des vereinbarten Umgangs mit Sicherungskopien. 6. Umsetzung vor Anwendung [OFFEN: Verantwortliche Person und tatsächlich eingerichteten manuellen oder technischen Ablauf für Fristbeginn, Information, Zugangsbeschränkung, Rückgabe, Produktivlöschung, Sicherungsbereinigung und Löschbestätigung dokumentieren. Die Kündigungsfunktion der vorhandenen Anwendung bewirkt diese Schritte nicht automatisch.]