Auftragsverarbeitung

1. Vertragspartner, Gegenstand und Dauer

Auftragnehmer ist Felix Josef Feicht, handelnd unter Feicht Digital, Von-Heydebreck-Str. 8a, 81827 München, Deutschland; [email protected]. Auftraggeber ist das im jeweiligen Nutzungsverhältnis bezeichnete Kundenunternehmen. Die für dieses handelnde Person muss zum Abschluss berechtigt sein.

Diese Vereinbarung regelt die Verarbeitung personenbezogener Unternehmensinhalte für die Dauer der beauftragten Nutzung von InvoicePeople einschließlich erforderlicher Rückgabe- und Löschphasen. Sie wird zusammen mit dem Kundenauftrag und den konkret vereinbarten Anlagen geschlossen. Die bloße Veröffentlichung dieser Bedingungen oder der Aufruf der Datenschutzerklärung ist noch kein individueller Abschlussnachweis.

Verarbeitet werden Daten zur Erfassung, Ordnung, Speicherung, Berechnung, autorisierten Bereitstellung und Freigabe, Sicherung, Wartung, Rückgabe und Löschung im vereinbarten Funktionsumfang. Für eigene Vertrags-, Kontakt- und Betriebszwecke des Anbieters gilt die jeweilige eigenständige Verantwortlichkeit.

2. Datenarten und betroffene Personen

Auftragsdaten können insbesondere Namen, Kontaktdaten, Adressen, Kunden- und Lieferantenstammdaten, Rechnungs- und Angebotsangaben, Steuer- und Zahlungsinformationen, Bankverbindungen, Leistungsbeschreibungen, Projekte, Arbeitszeiten, Ausgaben, Belege und betriebliche Aktivitätsnachweise umfassen. Betroffen sind Kunden, Lieferanten, Ansprechpartner, Beschäftigte, Beauftragte, Teammitglieder und Empfänger freigegebener Dokumente des Auftraggebers.

Besondere Kategorien nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO sind ohne gesonderte vorherige Vereinbarung nicht umfasst. Bei Freitext und Belegen ist das Risiko unbeabsichtigter sensibler Inhalte zu berücksichtigen. Handelt der Auftraggeber selbst als Auftragsverarbeiter, muss er zur Unterbeauftragung berechtigt sein und die erforderlichen Pflichten weitergeben.

3. Weisungen und Vertraulichkeit

Der Auftragnehmer verarbeitet Auftragsdaten nur auf dokumentierte Weisung. Der Kundenauftrag, diese Vereinbarung und berechtigte Bedienhandlungen bilden die anfänglichen Weisungen. Weitere Weisungen werden über verifizierte, dokumentierbare Kontaktwege vereinbart. Auf Seiten des Auftragnehmers nimmt Felix Josef Feicht Weisungen entgegen; auf Kundenseite die nachweisbar berechtigte Unternehmensvertretung.

Eine für rechtswidrig gehaltene Weisung wird unverzüglich beanstandet und die betroffene Verarbeitung soweit erforderlich bis zur Klärung ausgesetzt. Eine gesetzlich zwingende anderweitige Verarbeitung wird vorab mitgeteilt, sofern das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Zugriffe sind auf erforderliche, zur Vertraulichkeit verpflichtete Personen beschränkt. Eine eigenständige Vermarktung der Auftragsdaten oder Verwendung für KI-Training ist nicht gestattet.

4. Sicherheit und technische Maßnahmen

Der Auftragnehmer gewährleistet risikogerechte technische und organisatorische Maßnahmen. Dazu gehören insbesondere personenbezogene Zugänge, serverseitige Authentifizierung, rollen- und unternehmensbezogene Zugriffskontrollen, privater Dateizugriff, sicherer Transport, datensparsame Fehlerbehandlung und ein geregelter Umgang mit Sicherheitsupdates, Sicherungen und Löschaufträgen.

Die für den konkreten Betrieb geltende Maßnahmenbeschreibung muss vor Beginn der Verarbeitung den tatsächlichen Schutzbedarf und die eingesetzte Infrastruktur abbilden. Beschreibungen ersetzen keinen Betriebsnachweis. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten; wesentliche Änderungen werden dokumentiert. Eine Zertifizierung, vollständige GoBD-Archivierung oder bestimmte Wiederherstellungszeit wird hierdurch nicht behauptet.

5. Unterauftragsverarbeitung und Orte

Für den vorgesehenen Hosting- und Auslieferungsbetrieb benennt der Anbieter Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, für Hosting in Deutschland beziehungsweise der EU, und Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, für vorgeschaltete Auslieferung und Schutz. Cloudflare kann Anfragen und zugehörige Daten im internationalen Netzwerk verarbeiten. Eine ausschließlich deutsche Verarbeitung sämtlicher Anfragen wird nicht zugesagt.

Die beim konkreten Auftrag genehmigten Leistungen, Orte, weiteren Unterauftragnehmer und erforderlichen Übermittlungsgarantien werden dem Kunden vor Verarbeitungsbeginn bereitgestellt und Bestandteil des Auftrags. Nur die dort genehmigten Anbieter dürfen eingesetzt werden. Ein zusätzlicher E-Mail-, Speicher- oder Backupanbieter bedarf der entsprechenden Einbeziehung; die Unterstützung eines Protokolls in der Software ist keine Freigabe beliebiger Dienstleister.

Beabsichtigte Hinzufügungen oder Ersetzungen teilt der Auftragnehmer mindestens 30 Kalendertage vor dem vorgesehenen Zugriff mit. Der Kunde kann aus sachlichen Datenschutzgründen widersprechen. Vor Klärung erfolgt kein Zugriff des neuen Anbieters auf betroffene Auftragsdaten. Gibt es keine zulässige Alternative, kann die betroffene Leistung ohne Kündigungsstrafe beendet werden; Rückgabe und Löschung bleiben geregelt.

Weiteren Auftragsverarbeitern werden die einschlägigen Pflichten auferlegt. Der Auftragnehmer bleibt für deren Erfüllung gegenüber dem Kunden verantwortlich. Drittlandverarbeitung erfordert die dokumentierte Genehmigung beziehungsweise Weisung und die anwendbaren Übermittlungsgarantien.

6. Unterstützung und Datenschutzverletzungen

Der Auftragnehmer unterstützt den Kunden bei Betroffenenrechten, Sicherheitsanforderungen, Datenschutz-Folgenabschätzungen und erforderlichen vorherigen Konsultationen mit geeigneten Maßnahmen und verfügbaren Informationen. Anfragen zu Auftragsdaten werden unverzüglich weitergeleitet und nur nach Weisung oder bei eigener gesetzlicher Verpflichtung beantwortet.

Nach Bekanntwerden einer Verletzung des Schutzes der Auftragsdaten informiert der Auftragnehmer den Kunden unverzüglich. Die Erstmeldung wird nicht bis zum Abschluss der Untersuchung zurückgehalten. Soweit bekannt enthält sie Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen, Abhilfemaßnahmen und einen erreichbaren Kontakt. Fehlende Angaben werden nachgereicht. Die gesetzliche Meldefrist des Verantwortlichen ist keine Wartefrist des Auftragnehmers.

7. Nachweise und Kontrollen

Der Auftragnehmer stellt die erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung bereit und ermöglicht erforderliche Kontrollen einschließlich Inspektionen durch den Kunden oder einen geeigneten beauftragten Prüfer. Routinekontrollen werden angemessen abgestimmt; bei konkretem dringendem Anlass darf die Abstimmung den Prüfungszweck nicht vereiteln.

Daten anderer Kunden und Geschäftsgeheimnisse werden geschützt, ohne gesetzliche Kontrollrechte zu verhindern. Vorhandene Berichte können berücksichtigt werden, ersetzen diese Rechte aber nicht uneingeschränkt. Gesetzlich gebotene Unterstützung wird nicht von einer erst noch zu vereinbarenden Zusatzvergütung abhängig gemacht.

8. Rückgabe und Löschung

Nach Ende der Leistungen werden Auftragsdaten nach Wahl des Kunden zurückgegeben oder gelöscht und Kopien gelöscht, soweit kein unmittelbar anwendbares Unions- oder Mitgliedstaatenrecht eine Speicherung verlangt. Gesetzliche Abruf- und Wechselrechte werden berücksichtigt. Eine Ausnahme wird nach Datenkategorie, Rechtsgrund, Zweck, Zugriff und Dauer beschränkt dokumentiert.

Sicherungskopien werden während einer erforderlichen Restlaufzeit vor gewöhnlicher Nutzung geschützt. Bei Wiederherstellung werden bestehende Löschweisungen vor erneuter produktiver Nutzung berücksichtigt. Der Kunde erhält auf Anfrage Auskunft über Durchführung und verbleibende Restlöschung. Eine eigene Aufbewahrungspflicht des Kunden führt nicht zur unbegrenzten Speicherung seiner Daten durch den Anbieter.

Eine persönliche Kontolöschung ist keine pauschale Löschweisung für sämtliche Unternehmensunterlagen. Umgekehrt darf eine technische Rollenregel eine berechtigte Löschweisung oder Vertragsbeendigung nicht unbegrenzt verhindern.

9. Elektronischer Abschluss und Vorrang

Die Vereinbarung kann elektronisch geschlossen werden. Der Abschlussnachweis muss Auftraggeber, berechtigte handelnde Person, Fassungen dieser Vereinbarung und der Anlagen sowie Zeitpunkt und bereitgestellte Vertragskopie nachvollziehbar festhalten.

Bei Datenschutzfragen zur Auftragsverarbeitung geht diese Vereinbarung allgemeinen Nutzungsbedingungen vor. Zwingende Ansprüche betroffener Personen bleiben unberührt. Die Pflichten gelten bis zur vollständigen Beendigung der Verarbeitung fort.