Vereinbarung zur Auftragsverarbeitung (AVV)

Diese Vereinbarung wird geschlossen zwischen dem Kunden als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortlicher") und Ertugrul Kolac, Remboldstr. 5, 86356 Neusäß (nachfolgend „Auftragsverarbeiter"). Sie wird mit Abschluss des Nutzungsvertrags (AGB) verbindlicher Vertragsbestandteil und erfüllt das Dokumentationserfordernis des Art. 28 Abs. 9 DSGVO in elektronischem Format.

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung des SaaS-Dienstes Relexable. Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Nutzungsvertrags und endet mit dessen Beendigung.

§ 2 Art, Zweck, Datenarten, Betroffene

Art und Zweck der Verarbeitung, die verarbeiteten Datenkategorien sowie die Kategorien der betroffenen Personen ergeben sich aus Anlage 1 dieser Vereinbarung.

§ 3 Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die bestimmungsgemäße Nutzung der Funktionen der Anwendung durch den Verantwortlichen gilt als dokumentierte Weisung im Sinne des Art. 28 Abs. 3 lit. a DSGVO.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

(3) Konfiguration als Weisung: Die Aktivierung und Konfiguration automatisierter Kommunikationsprozesse (Mahnläufe, Angebots-Nachfassung, Ablauf-Erinnerungen, Terminbenachrichtigungen, Smart Outreach) einschließlich der Auswahl von Empfängerkreisen, Fristen, Vorlagen und der Freigabe von Altbeständen erfolgt allein durch den Verantwortlichen und gilt als dessen dokumentierte Weisung. Der Auftragsverarbeiter versendet Nachrichten an Kontakte des Verantwortlichen nur im Rahmen dieser Konfiguration.

(4) Rollenverteilung: Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die im Konto verarbeiteten Kontakt-, Rechnungs- und Kommunikationsdaten ist der Kunde. Der Anbieter ist insoweit ausschließlich Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet diese Daten nicht für eigene Zwecke. Für eigene Zwecke (Vertragsabwicklung, Abrechnung, Plattformsicherheit) ist der Anbieter eigener Verantwortlicher; hierfür gilt die Datenschutzerklärung.

(5) Schutzmaßnahmen ohne Weisung: Der Auftragsverarbeiter darf automatisierte Versandprozesse ohne vorherige Weisung vorübergehend blockieren oder begrenzen, wenn dies zur Abwehr eines drohenden Schadens (insbesondere ungewollter Massenversand oder Verarbeitung erkennbar fehlerhafter Datenbestände) erforderlich ist. Er informiert den Verantwortlichen unverzüglich darüber. Eine inhaltliche Änderung der Daten erfolgt dabei nicht.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die erforderlichen technischen und organisatorischen Maßnahmen zur Sicherstellung eines dem Risiko angemessenen Schutzniveaus gemäß Art. 32 DSGVO. Die konkreten Maßnahmen ergeben sich aus Anlage 2.

§ 6 Subunternehmer

(1) Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Subunternehmer.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor beabsichtigten Änderungen (Hinzuziehung oder Ersetzung weiterer Subunternehmer) in Textform.

(3) Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann keine einvernehmliche Lösung gefunden werden, steht dem Verantwortlichen ein Sonderkündigungsrecht hinsichtlich des betroffenen Leistungsbestandteils zu.

(4) Der Auftragsverarbeiter verpflichtet Subunternehmer schriftlich auf ein Datenschutzniveau, das dem dieser Vereinbarung entspricht.

§ 7 Unterstützungspflichten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) sowie bei Meldepflichten nach Art. 33 und 34 DSGVO.

(2) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stundennach Bekanntwerden, in Textform an die im Konto hinterlegte Kontaktadresse.

(3) Die Meldung enthält, soweit verfügbar: Beschreibung der Art der Verletzung, betroffene Datenkategorien und – soweit bekannt – die Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, bereits ergriffene und vorgeschlagene Gegenmaßnahmen sowie eine Ansprechstelle für Rückfragen. Fehlen Informationen zum Zeitpunkt der Erstmeldung, werden sie unverzüglich nachgereicht.

(4) Der Auftragsverarbeiter meldet dem Verantwortlichen ebenso unverzüglich Vorfälle im automatisierten Nachrichtenversand (z. B. ungewollter Massenversand, Versand an unzutreffende Empfängerkreise, Fehlversand aufgrund eines Programmfehlers), damit der Verantwortliche seine Pflichten nach Art. 33 und 34 DSGVO prüfen und erfüllen kann. Die Meldepflicht des Verantwortlichen gegenüber der Aufsichtsbehörde bleibt bei ihm.

(5) Der Auftragsverarbeiter dokumentiert jeden Vorfall einschließlich Ursache, betroffenem Umfang und Korrekturmaßnahmen und stellt diese Dokumentation dem Verantwortlichen auf Anfrage zur Verfügung.

§ 8 Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags werden die verarbeiteten Daten nach Wahl des Verantwortlichen binnen 30 Tagen gelöscht oder zurückgegeben, vorbehaltlich gesetzlicher Aufbewahrungspflichten. Während der Vertragslaufzeit stehen dem Verantwortlichen die im Dienst vorgesehenen Exportfunktionen zur Verfügung.

§ 9 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Einhaltung der Pflichten aus dieser Vereinbarung erforderlichen Informationen zur Verfügung.

(2) Überprüfungen erfolgen vorrangig durch Vorlage aussagekräftiger Unterlagen, Zertifikate oder Testate. Vor-Ort-Kontrollen sind nach angemessener Ankündigung während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich.

§ 10 Drittlandübermittlungen

Eine Übermittlung personenbezogener Daten in Drittländer erfolgt ausschließlich auf Grundlage eines Angemessenheitsbeschlusses (insbesondere EU-U.S. Data Privacy Framework) oder geeigneter Garantien nach Art. 46 DSGVO (insbesondere EU-Standardvertragsklauseln). Die konkreten Konstellationen ergeben sich aus Anlage 3.

§ 11 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und den Regelungen des Hauptvertrags.

Anlage 1 — Gegenstand der Verarbeitung

Betroffene Personen

• Endkunden des Verantwortlichen (Rechnungsempfänger, Interessenten)
• Mitarbeiter des Verantwortlichen (bei Nutzung von Relexable Connect)
• Kommunikationspartner (E-Mail, Social Media)

Datenkategorien

• Kontakt- und Stammdaten (Name, Firma, Anschrift, E-Mail, Telefon)
• Rechnungs- und Angebotsdaten (Nummern, Beträge, Fälligkeiten, Positionen)
• Kommunikationsdaten (E-Mail-Inhalte, Nachrichten, Anhänge)
• Auftrags- und Termindaten
• Bei Relexable Connect zusätzlich: Zeiterfassungs- und Standortdaten, Fotos, digitale Unterschriften, Push-Token

Zwecke der Verarbeitung

• Automatisiertes Forderungs- und Angebotsmanagement
• Auftrags- und Terminverwaltung
• Kommunikation mit Endkunden
• Mitarbeiter-Einsatzsteuerung und Dokumentation

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a)

• TLS-Transportverschlüsselung für alle Verbindungen (HTTPS, SMTP/IMAP over TLS)
• AES-256-GCM-Verschlüsselung gespeicherter Zugangsdaten, OAuth- und API-Tokens
• Schlüsselverwaltung ausschließlich serverseitig; Klartext-Token sind für Clients nicht lesbar
• Verschlüsselung der Datenbank und der Backups im Ruhezustand (at rest)

2. Vertraulichkeit — Zutritt, Zugang, Zugriff, Trennung

• Zutrittskontrolle: Hosting in zertifizierten EU-Rechenzentren (Supabase EU, Hetzner Deutschland); kein eigener Serverraum
• Zugangskontrolle: individuelle Benutzerkonten, Passwort-Hashing, optionale Zwei-Faktor-Authentifizierung (TOTP)
• Zugriffskontrolle: rollenbasierte Rechte (RBAC: Owner, Admin, Member), Least-Privilege für Administratoren
• Trennungskontrolle: mandantengetrennte Verarbeitung über Row Level Security (RLS) mit strikter Workspace-Isolation
• Zeitlich begrenzte signierte URLs für Datei- und Dokumentzugriffe; keine öffentlichen Buckets für Kundendaten

3. Integrität — Eingabe- und Weitergabekontrolle

• Protokollierung sicherheitsrelevanter Ereignisse und administrativer Eingriffe (Audit-Log)
• Nachvollziehbare Versandhistorie für alle ausgehenden Nachrichten (Empfänger, Zeitpunkt, Status)
• Sicherheitsmechanismen gegen ungewollten Massenversand (Altbestandsschutz, Schwellenwerte, Freigabepflicht)
• Weitergabe an Subunternehmer nur nach Anlage 3, mit AVV und ggf. EU-Standardvertragsklauseln

4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c)

• Regelmäßige automatisierte Backups mit Point-in-Time-Recovery-Fähigkeit des Datenbankanbieters
• Monitoring von Fehlerraten, Rate-Limits und Hintergrundprozessen mit Alarmierung
• Ressourcenlimits und Kill-Switches für Versand- und Automatisierungsdienste
• Wiederherstellungsverfahren nach Zwischenfällen; Datenexport per Self-Service

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d)

• Automatisierte Sicherheitsprüfungen der Datenbank-Policies und Abhängigkeiten
• Review sicherheitsrelevanter Änderungen vor Produktivsetzung; getrennte Staging-Umgebung
• Dokumentierte Nachbearbeitung von Sicherheits- und Versandvorfällen inkl. Korrekturmaßnahmen
• Datenlöschung und Löschkonzept per Self-Service sowie auf Weisung des Verantwortlichen

Anlage 3 — Genehmigte Subunternehmer