Auftragsverarbeitungsvertrag

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

1. (1)
   Gegenstand und Umfang der Verarbeitung ergeben sich aus dem Hauptvertrag sowie aus diesem AVV.
2. (2)
   Art und Zweck der Verarbeitung: Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zu dem Zweck, die im Hauptvertrag vereinbarten Leistungen zu erbringen. Dies umfasst insbesondere:

   1. den lesenden Abruf von Transaktions-, Gebühren-, Auszahlungs-, Rechnungs- und Kundendaten aus den vom Verantwortlichen angebundenen Konten bei Zahlungsanbietern;
   2. die Aufbereitung dieser Daten zu Buchungssätzen und die Erstellung von Exportdateien (z. B. Buchungsstapel, Belegdateien) nach den Einstellungen des Verantwortlichen;
   3. die Speicherung der Exportdateien und ihre Bereitstellung zum Download im finHero-Konto des Verantwortlichen;
   4. den Versand von Exportdateien und zugehörigen E-Mail-Benachrichtigungen an die vom Verantwortlichen bestimmten Empfänger (z. B. dessen Steuerberater);
   5. die Übertragung von Buchungsdaten in das vom Verantwortlichen angebundene Buchhaltungssystem, soweit der Verantwortliche dies eingerichtet hat;
   6. die Bearbeitung von Support-Anfragen, soweit dabei Einsicht in Auftragsdaten erforderlich ist.
3. (3)
   Der Auftragsverarbeiter darf die im Rahmen der Leistungserbringung anfallenden Daten ausschließlich in anonymisierter und aggregierter Form – ohne jeden Personenbezug und ohne Nennung des Verantwortlichen – für statistische Zwecke auswerten.
4. (4)
   Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach über das Vertragsende hinauswirken (insbesondere Löschung, Rückgabe und Vertraulichkeit), bleiben hiervon unberührt.
5. (5)
   Ort der Verarbeitung ist die Europäische Union bzw. der Europäische Wirtschaftsraum. Verarbeitungen in Drittländern erfolgen nur nach Maßgabe von § 9.

§ 2 Art der Daten und Kategorien betroffener Personen

1. (1)
   Art der Daten: Gegenstand der Verarbeitung sind insbesondere folgende Datenarten, soweit sie vom jeweiligen Zahlungsanbieter bereitgestellt werden:

   1. Stammdaten (z. B. Name, Firma, Rechnungsanschrift, Land, Umsatzsteuer-Identifikationsnummer);
   2. Kontaktdaten (z. B. E-Mail-Adresse, Telefonnummer);
   3. Transaktions- und Zahlungsdaten (z. B. Betrag, Währung, Datum, Zahlungsstatus, Zahlungsart, Transaktions- und Referenznummern, Gebühren, Erstattungen, Rückbuchungen, Auszahlungen);
   4. eingeschränkte Zahlungsmitteldaten (z. B. Kartenmarke, Ausstellerland, letzte vier Ziffern einer Karten- oder Kontonummer, Kontoinhaber, ggf. IBAN bei Lastschriftzahlungen);
   5. Vertrags- und Rechnungsdaten (z. B. Rechnungsnummer, Rechnungsdatum, Rechnungspositionen, Leistungsgegenstand, Steuersätze, Abonnementdaten);
   6. Buchungsdaten (z. B. Buchungssätze, Konten, Steuerschlüssel, Belegfelder).
2. (2)
   Kategorien betroffener Personen:

   1. Kunden des Verantwortlichen sowie sonstige Zahlungspflichtige und Zahlungsempfänger (z. B. Käufer, Abonnenten, Rechnungsempfänger);
   2. Ansprechpartner und sonstige Kontaktpersonen bei Kunden des Verantwortlichen;
   3. vom Verantwortlichen benannte Empfänger von Exporten (z. B. Steuerberater) und Nutzer des finHero-Kontos.

§ 3 Weisungsrecht des Verantwortlichen

1. (1)
   Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, soweit er nicht durch das Recht der Union oder der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. (2)
   Der Hauptvertrag, dieser AVV und die vom Verantwortlichen in der Software vorgenommenen Einstellungen bilden die Erstweisung. Darüber hinaus kann der Verantwortliche jederzeit weitere Weisungen erteilen. Weisungen sind in Textform (z. B. per E-Mail) zu erteilen; mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
3. (3)
   Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.
4. (4)
   Der Auftragsverarbeiter verwendet die überlassenen Daten für keine anderen Zwecke und gibt sie nicht an Dritte weiter, soweit dies nicht in diesem AVV (insbesondere § 7 und § 8) vorgesehen oder vom Verantwortlichen angewiesen ist. Kopien und Duplikate werden ohne Kenntnis des Verantwortlichen nicht erstellt; ausgenommen sind Sicherungskopien zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung sowie Daten, die zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

§ 4 Pflichten des Auftragsverarbeiters

1. (1)
   Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen dieses AVV und der dokumentierten Weisungen des Verantwortlichen (§ 3).
2. (2)
   Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (§ 5).
3. (3)
   Der Auftragsverarbeiter setzt die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen um; Einzelheiten ergeben sich aus Anlage 1 (§ 6).
4. (4)
   Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12 bis 23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und erteilt selbst keine Auskunft.
5. (5)
   Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind (§ 11).
6. (6)
   Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollmaßnahmen und Anordnungen einer Aufsichtsbehörde, soweit diese die Verarbeitung im Rahmen dieses AVV betreffen.
7. (7)
   Der Auftragsverarbeiter hat eine Kontaktstelle für Datenschutzanfragen benannt; die Kontaktdaten ergeben sich aus § 15.

§ 5 Vertraulichkeit

1. (1)
   Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Personen vor Aufnahme der Tätigkeit zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt auch nach Beendigung der Tätigkeit fort.
2. (2)
   Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen mit den maßgeblichen Bestimmungen des Datenschutzes und diesem AVV vertraut sind und in den für ihre Tätigkeit relevanten Punkten unterwiesen werden.

§ 6 Technische und organisatorische Maßnahmen

1. (1)
   Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.
2. (2)
   Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter ist berechtigt, sie weiterzuentwickeln und anzupassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
3. (3)
   Wesentliche Änderungen der Maßnahmen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

§ 7 Unterauftragsverarbeiter

1. (1)
   Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und werden hiermit genehmigt.
2. (2)
   Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann einer Änderung innerhalb von zwei Wochen nach Zugang der Information aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen. Erfolgt kein fristgerechter Widerspruch, gilt die Änderung als genehmigt. Im Fall eines berechtigten Widerspruchs ist der Auftragsverarbeiter berechtigt, den betroffenen Leistungsteil bzw. den Hauptvertrag angemessen anzupassen oder zu kündigen.
3. (3)
   Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten dieses AVV im Wesentlichen entsprechen, insbesondere auf hinreichende Garantien nach Art. 28 Abs. 4 DSGVO. Er bleibt gegenüber dem Verantwortlichen für die Einhaltung der Pflichten durch den Unterauftragsverarbeiter verantwortlich.
4. (4)
   Nicht als Unterauftragsverarbeitung im Sinne dieser Vorschrift gelten Nebenleistungen (z. B. Telekommunikations- oder Postdienstleistungen, Wartung) sowie die in § 8 genannten, vom Verantwortlichen selbst veranlassten Anbindungen und Empfänger.

§ 8 Datenquellen und Datenempfänger

1. (1)
   Der Verantwortliche bindet auf eigene Veranlassung seine Konten bei Zahlungsanbietern (z. B. Stripe, PayPal, Mollie, Adyen, Paddle, Lemon Squeezy, GoCardless) an finHero an. Aus diesen Konten ruft finHero die für die Leistungserbringung erforderlichen Daten lesend ab. Die Zahlungsanbieter werden vom Verantwortlichen auf Grundlage eigener, unmittelbar mit ihm geschlossener Verträge eingesetzt; die vertragliche und datenschutzrechtliche Beziehung zu ihnen obliegt allein dem Verantwortlichen. Der Auftragsverarbeiter ist nicht Vertragspartei dieser Beziehungen und für die Datenverarbeitung innerhalb dieser Konten nicht verantwortlich.
2. (2)
   Soweit der Verantwortliche eine Übertragung in sein Buchhaltungssystem (z. B. bexio) einrichtet, übermittelt finHero Buchungsdaten im Auftrag und auf Weisung des Verantwortlichen an dieses System. Das Buchhaltungssystem ist ein System des Verantwortlichen; Absatz 1 Satz 3 und 4 gelten entsprechend.
3. (3)
   Benennt der Verantwortliche Empfänger für Exporte (z. B. seinen Steuerberater), übermittelt finHero die Exportdateien im Auftrag und auf Weisung des Verantwortlichen an diese Empfänger. Diese sind keine Unterauftragsverarbeiter des Auftragsverarbeiters.
4. (4)
   Der Verantwortliche stellt sicher, dass für die Anbindung der unter Absatz 1 und 2 genannten Systeme und für die Übermittlung an die unter Absatz 3 genannten Empfänger eine gültige Rechtsgrundlage besteht.

§ 9 Datenverarbeitung in Drittländern

1. (1)
   Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter findet grundsätzlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums statt.
2. (2)
   Soweit einzelne der in Anlage 2 genannten Unterauftragsverarbeiter Daten in einem Drittland verarbeiten oder ein Zugriff aus einem Drittland möglich ist, erfolgt dies nur, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Als geeignete Garantien dienen insbesondere:

   1. ein Angemessenheitsbeschluss der EU-Kommission für das betreffende Drittland (Art. 45 DSGVO);
   2. die Standardvertragsklauseln der EU-Kommission gemäß Durchführungsbeschluss (EU) 2021/914 (Art. 46 Abs. 2 lit. c DSGVO), erforderlichenfalls ergänzt um zusätzliche Schutzmaßnahmen;
   3. für Übermittlungen in die USA zusätzlich die Zertifizierung des jeweiligen Empfängers unter dem EU-US Data Privacy Framework, soweit eine solche besteht.

§ 10 Verletzungen des Schutzes personenbezogener Daten

1. (1)
   Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die im Rahmen dieses AVV verarbeitete Daten betrifft, unverzüglich nach Bekanntwerden.
2. (2)
   Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit dem Auftragsverarbeiter verfügbar, insbesondere eine Beschreibung der Art der Verletzung, der wahrscheinlichen Folgen und der ergriffenen oder vorgeschlagenen Maßnahmen.
3. (3)
   Der Auftragsverarbeiter unterstützt den Verantwortlichen auf dessen Anforderung bei der Erfüllung der Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO. Meldungen an die Aufsichtsbehörde oder an betroffene Personen nimmt der Auftragsverarbeiter nur nach vorheriger Abstimmung mit dem Verantwortlichen vor, soweit er nicht selbst gesetzlich dazu verpflichtet ist.

§ 11 Nachweis- und Kontrollrechte

1. (1)
   Der Auftragsverarbeiter weist dem Verantwortlichen die Einhaltung der in diesem AVV festgelegten Pflichten mit geeigneten Mitteln nach.
2. (2)
   Der Verantwortliche ist berechtigt, sich von der Einhaltung der technischen und organisatorischen Maßnahmen sowie der Pflichten aus diesem AVV zu überzeugen. Der Auftragsverarbeiter stellt hierzu auf Anforderung die erforderlichen Auskünfte zur Verfügung.
3. (3)
   Der Nachweis kann auch durch die Vorlage geeigneter, aktueller Zertifizierungen, Testate oder Berichte unabhängiger Stellen (z. B. nach anerkannten IT-Sicherheitsstandards) erbracht werden.
4. (4)
   Vor-Ort-Kontrollen werden rechtzeitig angekündigt, während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebsablaufs durchgeführt.

§ 12 Löschung und Rückgabe von Daten

1. (1)
   Nach Abschluss der Verarbeitungstätigkeiten löscht der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie an ihn zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Die Rückgabe erfolgt in der Regel dadurch, dass der Verantwortliche seine Exportdateien bis zum Vertragsende selbst herunterlädt; die Löschung erfolgt spätestens innerhalb der im Hauptvertrag genannten Frist.
2. (2)
   Die Löschung erfolgt datenschutzgerecht und nach dem Stand der Technik so, dass eine Wiederherstellung nicht oder nur mit unverhältnismäßigem Aufwand möglich ist. Dies gilt entsprechend für Sicherungskopien nach Ablauf der jeweiligen Aufbewahrungszyklen.
3. (3)
   Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, darf der Auftragsverarbeiter über das Vertragsende hinaus entsprechend den gesetzlichen Aufbewahrungsfristen aufbewahren.

§ 13 Haftung

Für die Haftung gelten Art. 82 DSGVO sowie die im Hauptvertrag getroffenen Haftungsregelungen. Im Verhältnis der Parteien untereinander gilt: Jede Partei trägt die Verantwortung für die Einhaltung der ihr nach der DSGVO und diesem AVV obliegenden Pflichten.

§ 14 Rechte und Pflichten des Verantwortlichen

1. (1)
   Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich (Art. 24 DSGVO).
2. (2)
   Der Verantwortliche stellt sicher, dass für die Verarbeitung – einschließlich der Anbindung der in § 8 genannten Systeme und der Übermittlung an die dort genannten Empfänger – eine gültige Rechtsgrundlage besteht.
3. (3)
   Der Verantwortliche erteilt Weisungen in Textform und benennt dem Auftragsverarbeiter eine zuständige Ansprechperson. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

§ 15 Datenschutz-Kontaktstelle

Anfragen zum Datenschutz im Zusammenhang mit dieser Auftragsverarbeitung richten Sie bitte an: d-automation GmbH, Am Erlenbuck 17, 79379 Müllheim, E-Mail: datenschutz@d-automation.de. Ein Datenschutzbeauftragter wurde nicht bestellt, da hierzu keine gesetzliche Verpflichtung besteht; sollte sich dies ändern, wird der Auftragsverarbeiter den Verantwortlichen entsprechend informieren.

§ 16 Schlussbestimmungen

1. (1)
   Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlicher Hinsicht die Regelungen dieses AVV vor.
2. (2)
   Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Änderung dieser Textformklausel.
3. (3)
   Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame Regelung, die dem verfolgten Zweck am nächsten kommt.
4. (4)
   Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist – soweit zulässig – Freiburg im Breisgau bzw. der Sitz des Auftragsverarbeiters.