Auftragsverarbeitungsvertrag
1. Parteien und Rangfolge
Auftragsverarbeiter: WEB-SHOP-HOSTING, Inhaber Alexander Kinderknecht, B.Eng., Riesaer Str. 93, 12627 Berlin, Deutschland, [email protected].
Verantwortlicher: der bei SepaPilot registrierte Geschäftskunde, vertreten durch die registrierende oder sonst autorisierte Person.
Dieser AVV ergänzt die AGB. Bei Widersprüchen zu datenschutzrechtlichen Fragen geht der AVV vor; zwingendes Datenschutzrecht bleibt unberührt.
2. Gegenstand, Dauer, Art und Zweck
Gegenstand ist die technische Bereitstellung von SepaPilot zur Verbindung von Lexware Office und GoCardless, einschließlich Abruf und Abgleich von Rechnungen, Verwaltung von Kunden-Mandats-Zuordnungen, Vorschau, Erstellung von Zahlungsaufträgen nach LIVE-Freigabe, Statusabgleich, Berichten, Benachrichtigungen, Support, Sicherung und Fehleranalyse.
Die Verarbeitung erfolgt fortlaufend für die Dauer des SepaPilot-Nutzungsvertrags und danach nur noch zur Rückgabe, gesetzlich notwendigen Aufbewahrung oder Löschung. Art der Verarbeitung sind insbesondere Erheben über APIs, Auslesen, Strukturieren, Speichern, Abgleichen, Übermitteln auf Weisung, Bereitstellen, Einschränken und Löschen.
3. Betroffene Personen und Datenarten
| Betroffene Personen | Datenarten |
|---|---|
| Kunden und Zahler des Kunden | Name, Unternehmensbezug, Kontakt- und Kundenreferenzen, Rechnungsnummer, Betrag, Währung, Fälligkeit, Mandats- und Zahlungsreferenzen, Zahlungsstatus |
| Ansprechpartner und Beschäftigte des Kunden | Name, geschäftliche E-Mail-Adresse, Rolle, Konto- und Konfigurationsdaten, Supportkommunikation |
| Sonstige Rechnungskontakte | Die vom Kunden über Lexware Office bereitgestellten Kontakt- und Rechnungsmetadaten |
Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO und von Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO ist nicht vorgesehen. Der Kunde darf solche Daten nur nach vorheriger schriftlicher Vereinbarung und mit geeigneten zusätzlichen Schutzmaßnahmen einbringen.
4. Weisungen des Kunden
Der Anbieter verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Pflicht entgegensteht. Die AGB, dieser AVV, Einstellungen im Kundenkonto, aktivierte Zuordnungen, API-Aufrufe und in Textform erteilte Supportanweisungen gelten als dokumentierte Weisungen.
Hält der Anbieter eine Weisung für datenschutzwidrig, informiert er den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen. Weisungen, die den vereinbarten Leistungsumfang wesentlich überschreiten, können nach vorheriger Mitteilung angemessen vergütet werden.
5. Pflichten des Anbieters
Der Anbieter verpflichtet sich insbesondere,
- Auftragsdaten nur für die vereinbarten Zwecke und nur durch befugte Personen zu verarbeiten;
- alle zugriffsberechtigten Personen auf Vertraulichkeit zu verpflichten;
- die technischen und organisatorischen Maßnahmen aus Anlage 1 aufrechtzuerhalten und risikogerecht weiterzuentwickeln;
- den Kunden bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen und der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO angemessen zu unterstützen;
- Datenschutzverletzungen mit Bezug zu Auftragsdaten unverzüglich nach Bekanntwerden zu melden und die verfügbaren Informationen zu Art, Umfang, Folgen und Abhilfemaßnahmen bereitzustellen;
- Nachweise zur Einhaltung dieses AVV bereitzustellen und zulässige Kontrollen zu unterstützen.
6. Pflichten des Kunden
Der Kunde bleibt für die Rechtmäßigkeit der Verarbeitung, die Rechtsgrundlagen, Transparenz gegenüber Betroffenen, Datenrichtigkeit, Aufbewahrungsfristen und die Zulässigkeit seiner Weisungen verantwortlich. Er beschränkt API-Berechtigungen und Datenumfang auf das Erforderliche, prüft Zuordnungen und widerruft nicht mehr benötigte Schlüssel.
Betroffenenanfragen, behördliche Schreiben und Sicherheitsvorfälle mit möglichem Bezug zu SepaPilot teilt der Kunde dem Anbieter unverzüglich mit, soweit dessen Unterstützung erforderlich ist.
7. Betroffenenrechte
Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser die Anfrage grundsätzlich an den Kunden weiter, sofern die Zuordnung möglich und gesetzlich zulässig ist. Der Anbieter berichtigt, exportiert, sperrt oder löscht Auftragsdaten nur auf Weisung des Kunden, soweit nicht eine eigene gesetzliche Pflicht besteht.
8. Unterauftragsverarbeiter
Der Kunde erteilt eine allgemeine Genehmigung für die in Anlage 2 genannten Unterauftragsverarbeiter. Der Anbieter stellt vertraglich ein Schutzniveau sicher, das den Anforderungen dieses AVV entspricht.
Neue oder ersetzte Unterauftragsverarbeiter werden mindestens 30 Tage vor ihrem Einsatz auf dieser Seite oder per E-Mail angekündigt. Der Kunde kann aus sachlichen Datenschutzgründen innerhalb von zehn Tagen widersprechen. Können die Parteien keine angemessene Lösung finden, darf der Kunde den betroffenen Dienst zum Einsatzzeitpunkt außerordentlich kündigen.
Lexware Office und GoCardless sind keine vom Anbieter frei ausgewählten Unterauftragsverarbeiter: Der Kunde unterhält dort eigene Konten, stellt die Zugangsschlüssel bereit und weist SepaPilot an, mit diesen Diensten zu kommunizieren. Für PayPal besteht ein eigenes Verhältnis zwischen SepaPilot-Kunde und PayPal zur Zahlungsfreigabe des SepaPilot-Abos.
9. Drittlandübermittlungen
Eine Verarbeitung außerhalb des EWR erfolgt nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder der EU-Standardvertragsklauseln mit erforderlichen Zusatzmaßnahmen. Cloudflare kann aufgrund seines globalen Netzwerks und seiner Konzernstruktur solche Übermittlungen durchführen; die Garantien ergeben sich aus dem Cloudflare Data Processing Addendum.
10. Nachweise und Kontrollen
Der Anbieter stellt dem Kunden auf Anfrage geeignete Informationen, aktuelle Unterauftragsverarbeiterlisten und verfügbare Prüfberichte der Infrastrukturpartner zur Verfügung. Der Kunde kann bei begründetem Anlass und nach angemessener Vorankündigung höchstens einmal jährlich eine Kontrolle durchführen oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer durchführen lassen.
Kontrollen müssen Betriebsablauf, Sicherheit anderer Kunden und Geheimnisse wahren. Entsteht durch eine Kontrolle Aufwand, der über gesetzliche Nachweispflichten oder bereitgestellte Standardunterlagen hinausgeht, kann dieser nach vorheriger Abstimmung berechnet werden.
11. Rückgabe und Löschung
Nach Ende des Hauptvertrags stellt der Anbieter auf rechtzeitige Weisung einen angemessenen Export bereit und löscht anschließend Auftragsdaten einschließlich Secret-Ablagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Löschungen aus Sicherungskopien erfolgen im regulären Überschreibungszyklus; bis dahin bleiben die Daten gesperrt und dürfen nicht anderweitig verarbeitet werden.
Die gesetzlichen oder im Betriebskonzept festgelegten Fristen sind in der Datenschutzerklärung beschrieben.
12. Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO sowie ergänzend die Haftungsregelung der AGB, soweit gesetzlich zulässig. Änderungen dieses AVV bedürfen mindestens der Textform; elektronische Annahme und protokollierte Versionsbestätigung genügen. Es gilt deutsches Recht.
Anlage 1: Technische und organisatorische Maßnahmen
Zutritts- und Zugangskontrolle
- Cloudbasierte, logisch getrennte Infrastruktur ohne öffentlichen Datenbankzugriff;
- personenbezogene Administrationszugänge, minimale Berechtigungen und Secret-basierte Admin-Endpunkte;
- Passwörter als gesalzene PBKDF2-SHA-256-Hashes, keine Klartextspeicherung;
- hostgebundene, sichere und HttpOnly-Sitzungs-Cookies; serverseitig nur gehashte Kennungen;
- Rate Limits, Herkunftsprüfung und zeitlich begrenzte Einmal-Token.
Übertragungs- und Speicherkontrolle
- verschlüsselte Übertragung über TLS;
- API-Secrets getrennt von Fachdaten in Cloudflare KV; vollständige Werte werden nicht an das Frontend ausgegeben;
- signierte GoCardless- und PayPal-Webhooks, Payload-Hash und Duplikatsschutz;
- mandantenbezogene Datenbankabfragen und eindeutige technische Idempotenzschlüssel.
Verfügbarkeit, Belastbarkeit und Wiederherstellung
- Testmodus, LIVE-Gate, Betragslimit und sofortiger Kill Switch;
- automatisierte Statusprüfungen, Fehlerprotokolle, wiederholbarer E-Mail-Versand und tägliche Verarbeitungsläufe;
- regelmäßige Datenbanksicherungen im Deployment-Prozess und dokumentierte Rollback-Ziele;
- fehlersichere Verarbeitung: bei unklaren Zuständen keine neuen Zahlungsaufträge.
Datenschutzorganisation
- Datenminimierung, definierte Bereinigungsfristen und keine Speicherung von Bankverbindungen;
- Entwicklungsworkflow mit geschützter Hauptbranch, Review und automatisierten Sicherheits- und Migrationstests;
- regelmäßige Überprüfung von Berechtigungen, Abhängigkeiten, Unterauftragsverarbeitern und Schutzmaßnahmen.
Anlage 2: Genehmigte Unterauftragsverarbeiter
| Unternehmen | Leistung | Verarbeitungsorte/Garantien |
|---|---|---|
| Cloudflare, Inc. und die im Cloudflare DPA genannten Konzerngesellschaften und Unterauftragsverarbeiter | CDN, DDoS-Schutz, Pages, Workers, D1, KV, Logging und technische Unterstützung | Global; Angemessenheitsbeschlüsse, EU-Standardvertragsklauseln und Zusatzmaßnahmen gemäß Cloudflare DPA. Aktuelle Liste. |