Auftragsverarbeitungsvertrag (AVV)

(1) Gegenstand ist die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen im Rahmen der SaaS-Plattform BauFin. (2) Die Verarbeitung umfasst: Hosting und Speicherung in der Multi-Tenant-Architektur; Bereitstellung der Anwendungslogik (Buchhaltung, Rechnungen, GoBD-Archiv, Mitarbeiter-/Subunternehmer-Verwaltung, Kundenportal, GPS-Tracking, KI-gestützte Auswertungen); automatisierte Benachrichtigungen (E-Mail, Push); Backups und Disaster Recovery; optional die Bearbeitung von Betroffenenanfragen (Concierge). (3) Begriffe entsprechen Art. 4 DSGVO (Verantwortlicher, Auftragsverarbeiter, Unterauftragsverarbeiter, TOMs = technische und organisatorische Maßnahmen nach Art. 32 DSGVO).

(1) Art der Verarbeitung: Erhebung, Erfassung, Organisation, Speicherung, Anpassung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung, Abgleich, Verknüpfung, Einschränkung, Löschung und Vernichtung. (2) Zweck: Erfüllung der Leistungen aus dem Software-Nutzungsvertrag, insbesondere Unterstützung der handwerklich-kaufmännischen Prozesse (Buchhaltung, Rechnungswesen, Lohnabrechnung, Projektverwaltung), Compliance-Funktionen (GoBD, X-Rechnung, Bauabzugsteuer § 48 EStG, ArbZG-Prüfung, Sofortmeldung DSRV) und gesetzliche Aufbewahrung (§ 147 AO, § 257 HGB). (3) Kategorien betroffener Personen (Detail Anlage 3): Mitarbeiter, Subunternehmer und Lieferanten, Kunden des Verantwortlichen, Geschäftspartner und Behörden. (4) Datenkategorien (Detail Anlage 3): Stammdaten, Arbeitsdaten, Finanzdaten, Compliance-Daten, Kommunikationsdaten sowie Standortdaten von Firmenfahrzeugen (bei aktivem Fahrtenbuch-/BauFin-Box-Modul; besonders schutzbedürftig, jedoch nicht allein deshalb besondere Kategorien nach Art. 9 DSGVO). (5) Ort: Anwendungs-, Datenbank- und Backup-Verarbeitung im Standardbetrieb in der EU/EWR; Drittlandsbezüge nur in den Fällen des § 8 und der Anlage 2 mit Garantien nach Art. 44 ff. DSGVO.

(1) Der Vertrag tritt mit dem Software-Nutzungsvertrag in Kraft und endet mit dessen Beendigung. (2) Nachvertragliche Pflichten (insbesondere Löschung/Rückgabe nach § 12, gesetzliche Aufbewahrung) bleiben unberührt.

BauFin verarbeitet Daten ausschließlich nach dokumentierten Weisungen. Im Einzelnen: (1) Weisungsgebundenheit — Weisungen erfolgen i. d. R. durch Nutzung der Software-Funktionen, per E-Mail an [email protected] oder über das Ticket-System; mündliche Weisungen sind schriftlich zu bestätigen. (2) Hinweispflicht bei rechtswidrigen Weisungen mit Recht zur Aussetzung. (3) Vertraulichkeit: alle befugten Personen sind schriftlich verpflichtet; Belehrungen jährlich. (4) Sicherheit nach Art. 32 DSGVO — Maßnahmen in Anlage 1 (TOMs), jährliche Überprüfung. (5) Unterauftragsverarbeiter nur mit allgemeiner Genehmigung — § 7 und Anlage 2. (6) Unterstützung bei Betroffenenrechten (Art. 15–22): im Standardmodell Bereitstellung der Daten (JSON/CSV), der Verantwortliche antwortet; im Concierge-Modul operative Übernahme auf Basis der Vollmacht. (7) Unterstützung bei Pflichten aus Art. 32–36 DSGVO (u. a. DSFA); Mehraufwand gesondert vergütbar, soweit nicht im Concierge enthalten. (8) Meldung von Datenschutzverletzungen unverzüglich, spätestens innerhalb 24 Stunden (§ 10). (9) Löschung/Rückgabe nach Vertragsende (§ 12). (10) Nachweis und Audits (§ 5 Abs. 4). (11) Eigenes Verzeichnis nach Art. 30 Abs. 2 DSGVO mit Auszügen auf Verlangen. (12) Datenschutzbeauftragter: Kontakt gemäß Anlage 1, sofern bestellt.

(1) Der Verantwortliche ist allein verantwortlich für die Rechtmäßigkeit der Verarbeitung (Art. 6 DSGVO), einschließlich Einwilligungen, Informationspflichten (Art. 13/14) und Beschäftigtendatenschutz (§ 26 BDSG). (2) Er dokumentiert seine Weisungen; Standardweisungen ergeben sich aus diesem Vertrag und der Software-Nutzung. (3) Er informiert über Änderungen seiner Anforderungen unverzüglich. (4) Kontrollrechte: Prüfung der Compliance-Dokumentation, schriftliche Auskünfte, Vor-Ort-Audits mit mindestens 14 Tagen Ankündigung, höchstens einmal jährlich (außer bei begründetem Anlass). Kosten trägt der Verantwortliche, außer das Audit deckt einen wesentlichen Verstoß auf. (5) Ein gültiges zertifiziertes Prüfverfahren (z. B. ISO 27001, BSI C5) ersetzt das Vor-Ort-Audit.

(1) BauFin trifft Maßnahmen nach Art. 32 DSGVO unter Berücksichtigung von Stand der Technik, Kosten, Art, Umfang und Risiken. (2) Details in Anlage 1, mindestens: Verschlüsselung (TLS 1.3 in transit, AES-256 at rest), Vertraulichkeit/Integrität/Verfügbarkeit/Belastbarkeit, Wiederherstellbarkeit (RTO 24h, RPO 1h), jährliche Wirksamkeitsprüfung. (3) Wesentliche Änderungen der TOMs werden mitgeteilt.

(1) Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 Satz 2 DSGVO). (2) Die aktuelle Liste steht in Anlage 2 (Leistungskategorien: Hosting in deutschen Rechenzentren, transaktionaler E-Mail-Versand in der EU, DNS/TLS/CDN/WAF, verschlüsselte Speicherung der Datenexporte, KI-Funktionen mit Übermittlung nur auf explizite Nutzeraktion auf Basis DPA + SCC). Verarbeitungen auf eigener Infrastruktur (u. a. GPS-/Standortdaten, Push, Geocoding, Karten, Routing) sind keine Unterauftragsverarbeitung; Zahlungsabwicklung erfolgt durch eigenständige Verantwortliche. (3) Änderungen werden mit mindestens 30 Tagen Vorlauf mitgeteilt; Einspruchsrecht des Verantwortlichen. (4) Bei berechtigtem, nicht ausräumbarem Einspruch: Kündigungsrecht mit 30 Tagen zum Ende des Abrechnungszeitraums. (5) Mit jedem Unterauftragsverarbeiter besteht ein schriftlicher Vertrag mit gleichwertigen Pflichten; Vorlage auf Anfrage (ggf. geschwärzt). (6) Bei Drittlandsübermittlungen gilt zusätzlich § 8.

(1) Im Standardbetrieb erfolgt die Verarbeitung ausschließlich in der EU/EWR. (2) Drittlandsübermittlungen finden statt bei: a) KI-Funktionen („Finanz-Guide", KI-Assistent) — Übermittlung der erforderlichen Daten an Anthropic, PBC (US) auf Grundlage DPA, SCC und ergänzender Schutzmaßnahmen, datenminimiert; b) Zahlungsabwicklung — durch eigenständige Verantwortliche in der EU/EWR, keine Drittlandsübermittlung durch BauFin; c) Netzwerk- und Sicherheitsdienste — Zugriffs-/Netzwerkdaten können über globale Infrastruktur laufen, abgesichert durch DPA, SCC und technische Maßnahmen. (3) BauFin trifft ergänzende „Schrems-II"-Maßnahmen (Transport-/Inhaltsverschlüsselung, Zugriffsbeschränkungen). (4) Weitere Drittlandsübermittlungen nur nach Vertragsänderung und vorheriger Information.

(1) Anfragen betroffener Personen sind an den Verantwortlichen zu richten; direkt eingehende Anfragen leitet BauFin unverzüglich weiter. (2) Standardmodell — Software-Funktionen: Auskunft (Datenexport JSON/CSV), Berichtigung (Admin-UI), Löschung (Soft-Delete unter Beachtung gesetzlicher Aufbewahrung), Einschränkung (Markierung), Datenübertragbarkeit (maschinenlesbarer Export), Widerspruch (Markierung und Sperrung). (3) Concierge-Modul: operative Übernahme auf Basis der Vollmacht — Annahme ([email protected] oder Weiterleitung), Identitätsverifikation, materielle Prüfung, Prüfung der Aufbewahrungspflichten, Export/Änderungen, Antwortschreiben nach Art. 12 Abs. 3 DSGVO, Versand, Audit-Log-Dokumentation. (4) Fristen: Antwort innerhalb eines Monats (Art. 12 Abs. 3 DSGVO), bei Komplexität verlängerbar um höchstens zwei Monate; Betroffener und Verantwortlicher werden informiert. (5) Der Verantwortliche bleibt im Außenverhältnis letztverantwortlich (Art. 24 DSGVO). (6) Vergütung: Standardmodell in der Software-Vergütung enthalten; Concierge in der Concierge-Vergütung; außergewöhnliche Aufwände (über 20 Anfragen/Monat, Identitätsstreit, gerichtliche Verfahren) nach Aufwand.

(1) Meldung an den Verantwortlichen unverzüglich, spätestens innerhalb 24 Stunden nach Bekanntwerden, mit Art der Verletzung, betroffenen Kategorien und Anzahl, möglichen Folgen und Maßnahmen. (2) Bei kritischer Schwere zusätzlich telefonische Erstmeldung an die hinterlegte Notfallnummer. (3) Unterstützung bei Pflichten nach Art. 33/34 DSGVO (72h-Meldung, Benachrichtigung Betroffener); im Concierge auch Vorbereitung der Meldetexte. (4) Forensik und Beweissicherung für spätere Prüfungen. (5) Gegenseitige Mitwirkung bei Aufklärung und Behebung.

(1) BauFin führt ein Verzeichnis nach Art. 30 Abs. 2 DSGVO. (2) Inhalt mindestens: Kontaktdaten des Auftragsverarbeiters und der Unterauftragsverarbeiter, Kategorien der Verarbeitungen, Drittlandsübermittlungen mit Garantien, Beschreibung der TOMs. (3) Auszüge auf Anfrage. (4) Unterstützung des Verantwortlichen bei dessen Verzeichnis nach Art. 30 Abs. 1; im Concierge-Modul Mustertexte für BauFin-bezogene Einträge.

(1) Wahlrecht des Verantwortlichen: vollständige Rückgabe (JSON/CSV/SQL-Dump) oder vollständige Löschung. (2) Mitteilung der Wahl spätestens 30 Tage vor Vertragsende an [email protected]; ohne Wahl erfolgt automatische Löschung 90 Tage nach Vertragsende. (3) Umsetzung: Löschung/Deaktivierung aktiver Mandantendaten nach 90 Tagen; Ausrotation technischer Backups innerhalb von bis zu 35 weiteren Tagen; Löschung nicht aufbewahrungspflichtiger Logs innerhalb von 90 Tagen. (4) Ausnahme gesetzliche Aufbewahrung (§ 147 AO, § 257 HGB): zugriffsbeschränktes Archiv, Zugriff nur für Finanzbehörden/Gerichte, automatische Löschung nach Fristablauf. (5) Schriftliche Löschbestätigung mit Datum und Methode. (6) Kosten: einfache Datenausgabe inkludiert; aufwändige Konvertierungen oder Mehrfach-Exporte nach Aufwand.

(1) Außenverhältnis: gesamtschuldnerische Haftung nach Art. 82 Abs. 4 DSGVO bleibt unberührt. (2) BauFin haftet im Innenverhältnis für Verstöße gegen Art.-28-Pflichten, gegen diesen Vertrag und für Handlungen außerhalb dokumentierter Weisungen. (3) Der Verantwortliche haftet im Innenverhältnis insbesondere für fehlerhafte Weisungen, fehlende Rechtsgrundlagen, verletzte Informationspflichten und Verstöße gegen § 26 BDSG. (4) Haftungsgrenze BauFin im Innenverhältnis: jährliche Nettovergütung aus dem Hauptvertrag im Schadensjahr; die Grenze gilt nicht bei Vorsatz/grober Fahrlässigkeit, Kardinalpflichtverletzung, Personenschäden, Produkthaftung und der Außenhaftung nach Art. 82 DSGVO. (5) IT-Haftpflichtversicherung gemäß Anlage 1.

Eine Vertragsstrafe wird nicht vereinbart. Gesetzliche und vertragliche Schadensersatzansprüche bleiben unberührt.

(1) Der Vertrag gilt für die Dauer des Hauptvertrags. (2) Eine isolierte Beendigung ist nicht möglich; das Ende des Hauptvertrags beendet auch diesen Vertrag. (3) Fristlose Kündigung aus wichtigem Grund (mehrfacher Verstoß nach Abmahnung, Insolvenz, nachhaltige Zerstörung des Vertrauensverhältnisses). (4) Fortgeltende Pflichten: Vertraulichkeit, Löschung/Rückgabe, gesetzliche Aufbewahrung, Haftung für entstandene Schäden.

(1) Änderungen bedürfen der Textform (§ 126b BGB). (2) Salvatorische Klausel. (3) Deutsches Recht unter Ausschluss des UN-Kaufrechts. (4) Gerichtsstand — soweit zulässig — Sitz des Auftragsverarbeiters. (5) Bei Widersprüchen zum Hauptvertrag gehen datenschutzrechtlich die Regelungen dieses Vertrags vor. (6) Anlagen als integraler Bestandteil: Anlage 1 (TOMs), Anlage 2 (Unterauftragsverarbeiter), Anlage 3 (Datenkategorien).

Vertraulichkeit: Produktionsserver in ISO-27001-zertifizierten Rechenzentren des Hosting-Anbieters IONOS SE in Deutschland; administrativer Zugriff nur für berechtigte Administratoren mit personenbezogenen Konten. Zugangskontrolle: Passwort + 2FA (TOTP, für Admins obligatorisch), Passwortanforderungen nach BSI TR-02102, Account-Lockout, Sitzungstimeout, rollenbasierte Rechte (RBAC). Zugriffskontrolle: strikte Mandantentrennung (Schema pro Tenant), AES-256 at rest, TLS 1.3 in transit, lückenloses Audit-Log, Vier-Augen-Prinzip für kritische Operationen. Trennungskontrolle: logische Trennung, separate Backups pro Tenant, getrennte Test-/Produktionsumgebungen (Testdaten synthetisch). Pseudonymisierung: Logs und KI-Anfragen weitgehend pseudonymisiert/aggregiert. Integrität: verschlüsselter Transfer, signierte Tokens, E-Mail mit DKIM/SPF/DMARC, Push über selbst betriebenen Dienst; vollständiges Änderungsprotokoll mit Benutzer/Zeitstempel/Werten. Verfügbarkeit: stündliche DB-Backups (RPO 1h), tägliche Voll-Backups, Aufbewahrung 35 Tage, dokumentierter DR-Plan (RTO 24h), monatlicher Test-Restore. Überprüfung: jährliche TOM-Prüfung, Incident-Response mit 24/7-Alarmierung, jährlicher externer Penetrationstest (kritische/hohe Befunde binnen 30 Tagen behoben), IT-Haftpflicht mit mindestens 1 Mio. EUR Deckung. Datenschutzbeauftragter: derzeit nicht bestellungspflichtig (§ 38 BDSG); Kontakt: [email protected].

IONOS SE (Montabaur, DE; Rechenzentren in Deutschland) — Hosting der Anwendungs- und Datenbankserver; AVV, ISO-27001-Rechenzentren. · Cloudflare, Inc. (US; EU-Edge) — CDN, DDoS-Schutz, DNS-Proxy für technische Verbindungsdaten; DPA + SCC. · Zoho Corporation B.V. (Utrecht, NL; EU-Rechenzentren) — transaktionaler E-Mail-Versand; DPA, Verarbeitung in der EU. · Backblaze, Inc. (US; Rechenzentrum Amsterdam, NL) — verschlüsselte Speicherung der Datenexporte (nur Modul „Datenexport Pro"); DPA + SCC. · Anthropic, PBC (US) — KI-Funktionen, nur bei aktiver Nutzung; DPA + SCC, Datenminimierung; ein ausschließlicher EU-Endpunkt wird nicht zugesichert. Eigene Infrastruktur (keine Unterauftragsverarbeitung): GPS-/Standortdaten, Push-Benachrichtigungen, Geocoding, Karten und Routing laufen ausschließlich auf eigener Infrastruktur in deutschen Rechenzentren; Standort- und Bewegungsdaten der Fahrzeuge verlassen die Infrastruktur des Anbieters nicht. Zahlungsdienstleister (eigenständige Verantwortliche): Revolut Bank UAB und PayPal (Europe) S.à r.l. et Cie, S.C.A. verarbeiten Zahlungsdaten als eigene Verantwortliche; Kundendaten des Verantwortlichen werden nicht an sie übermittelt.

Betroffene Personen: Inhaber/Geschäftsführer, Mitarbeiter, Subunternehmer, Lieferanten, Kunden des Verantwortlichen, beauftragte Prüfer (Steuerberater, Wirtschaftsprüfer), Behörden-Kontakte. Datenkategorien: Stammdaten (Name, Adresse, Geburtsdatum, Steuer-ID, USt-IdNr., SV-Nummer, Bankverbindung, Krankenkasse); Arbeitsdaten (Lohn, Arbeitszeitkonto, Urlaub, Krankheitstage ohne Diagnose, Qualifikationen, Sofortmeldung, Lohnabrechnungen); Finanzdaten (Rechnungen, Mahnungen, Zahlungen, Forderungen, Buchungen, Belege); Compliance-Daten (Freistellungsbescheinigungen § 48b EStG, Bauabzugsteuer, Sofortmeldungen, A1, Prüfberichte, GoBD-Audit-Trails); Kommunikationsdaten (E-Mails, Chat, Notizen, Anhänge); Standortdaten bei aktivem Fahrtenbuch-/BauFin-Box-Modul (GPS-Koordinaten, Routen, Geschwindigkeit, Zündung, OBD-Daten, Fahrerzuordnung sofern aktiviert) — besonders schutzbedürftig, aber nicht allein deshalb Art.-9-Kategorien. Besondere Kategorien (Art. 9): Gesundheitsdaten nur eingeschränkt (Krankheitstage ohne Diagnose) im Beschäftigungskontext (Art. 9 Abs. 2 lit. b DSGVO, § 26 BDSG); darüber hinaus nur, wenn der Verantwortliche solche Daten ausnahmsweise verarbeitet — hierfür bleibt er allein verantwortlich. Hinweis BetrVG: Bei Betriebsrat erfordert das Fuhrpark-Modul eine Betriebsvereinbarung (§ 87 Abs. 1 Nr. 6 BetrVG); dies verantwortet der Verantwortliche.