Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Stand: November 2026

Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem (nachfolgend „Kunde“) und Dogan Mermertas, Spoken (Einzelunternehmen), Hermine-von-Parish-Str. 3, 81245 München, Deutschland, als Auftragsverarbeiter (nachfolgend „Anbieter“). Er ist Bestandteil des Nutzungsvertrags nach den AGB, wird mit dessen Abschluss wirksam und gilt, solange der Anbieter personenbezogene Daten des Kunden verarbeitet. Bei Widersprüchen zu den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

Gegenstand ist die Bereitstellung der App „KMU Controlling Tool“ als Software as a Service. Der Anbieter speichert die vom Kunden in der App erfassten Inhalte (nachfolgend „Kundendaten“), stellt sie den Nutzern des Kunden bereit, berechnet daraus Auswertungen, sichert sie und löscht sie. Zweck ist ausschließlich die Erbringung der vertraglichen Leistungen. Nicht erfasst sind die Daten, für die der Anbieter selbst Verantwortlicher ist (Konto-, Abrechnungs- und Sicherheitsdaten, siehe Datenschutzerklärung).

§ 2 Art der Daten und Kategorien betroffener Personen

Mitarbeitende des Kunden: Name, Art der Beschäftigung, Arbeitszeit, Lohn bzw. Gehalt, Zuordnung zu Aufträgen und Nachkalkulationen, Notizen.
Kunden und Interessenten des Kunden (bzw. deren Ansprechpartner): Firmen- und Personennamen, Anrede, Anschrift, Angebots- und Auftragsdaten, Notizen.
Lieferanten, Hersteller und sonstige Geschäftspartner: Namen, Konditionen, Zahlungsdaten, Notizen.
Nutzer der App: Name als handelnde Person im Änderungsprotokoll.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind für die App nicht vorgesehen; der Kunde erfasst solche Daten nicht, insbesondere nicht in Notizfeldern.

§ 3 Weisungen

(1) Der Anbieter verarbeitet Kundendaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Kunden diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Weisungen sind dieser Vertrag, die Nutzung der Funktionen und Einstellungen der App durch den Kunden sowie Einzelweisungen in Textform.

(2) Der Kunde weist den Anbieter an, die Kundendaten auf dem in Anlage 2 genannten Server in den USA zu verarbeiten. Der Anbieter informiert den Kunden unverzüglich, wenn er eine Weisung für rechtswidrig hält; er kann die Ausführung bis zur Bestätigung durch den Kunden aussetzen.

§ 4 Pflichten des Anbieters

(1) Der Anbieter nutzt die Kundendaten nicht für eigene Zwecke. Er greift auf Kundendaten nur zu, soweit es für Betrieb, Sicherheit und Fehlerbehebung der App erforderlich ist oder der Kunde ihn darum bittet.

(2) Der Anbieter gewährleistet, dass sich alle Personen, die Zugang zu Kundendaten haben, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

(4) Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten. Wendet sich eine betroffene Person an den Anbieter, leitet er das Anliegen unverzüglich an den Kunden weiter. Die App ermöglicht dem Kunden selbst Auskunft, Berichtigung, Export und Löschung.

(5) Der Anbieter unterstützt den Kunden unter Berücksichtigung der ihm vorliegenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(6) Der Anbieter meldet dem Kunden eine Verletzung des Schutzes von Kundendaten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen, und ergreift die erforderlichen Maßnahmen zur Eindämmung.

§ 5 Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter nennt Anlage 2; sie gelten als genehmigt.

(2) Der Anbieter informiert den Kunden mindestens vier Wochen vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters per E-Mail. Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Kunde das Abonnement zum Zeitpunkt der Änderung kündigen; bereits gezahlte Beträge für die Zeit danach werden anteilig erstattet.

(3) Der Anbieter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), und bleibt dem Kunden für dessen Pflichten verantwortlich.

§ 6 Nachweise und Kontrollen

Der Anbieter stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Inspektionen sind mit angemessener Frist, in der Regel zwei Wochen, anzukündigen, finden während der üblichen Geschäftszeiten statt und sollen den Betrieb nicht unverhältnismäßig stören; vorrangig erfolgt der Nachweis durch Unterlagen. Rechte der Aufsichtsbehörden bleiben unberührt.

§ 7 Löschung und Rückgabe

Der Kunde kann seine Daten jederzeit in der App exportieren und löschen. Endet die Verarbeitung, insbesondere mit der Löschung des Kontos oder der Beendigung des Nutzungsvertrags nach § 12 der AGB, löscht der Anbieter alle Kundendaten, soweit keine Pflicht zur Speicherung nach dem Recht der Union oder eines Mitgliedstaats besteht. Aus den Datensicherungen werden sie spätestens nach 14 Tagen entfernt. Vor der Löschung kann der Kunde seine Daten exportieren.

§ 8 Kunde als Auftragsverarbeiter

Verarbeitet der Kunde in der App Daten im Auftrag Dritter (etwa als Berater im Tarif Berater für betreute Unternehmen), ist der Anbieter insoweit weiterer Auftragsverarbeiter. Der Kunde stellt sicher, dass seine Verantwortlichen dem Einsatz des Anbieters und der Unterauftragsverarbeiter nach Anlage 2 zugestimmt haben, und gibt deren Weisungen an den Anbieter weiter. Dieser Vertrag gilt entsprechend.

§ 9 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Änderungen dieses Vertrags bedürfen der Textform; für Änderungen gilt § 15 der AGB entsprechend. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Verschlüsselung: Übertragung ausschließlich per HTTPS/TLS. Kundendaten werden in der Datenbank mit AES-256-GCM verschlüsselt, mit einem eigenen, abgeleiteten Schlüssel je Kundenkonto; der Hauptschlüssel liegt als Secret außerhalb der Datenbank. Bezeichnungen im Änderungsprotokoll werden ebenfalls verschlüsselt gespeichert.
Zugangs- und Zugriffskontrolle: Anmeldung mit persönlichem Passwort (gespeichert als scrypt-Hashwert), optional zweiter Faktor (TOTP); Sitzungscookie nur über HTTPS, für Skripte nicht lesbar und nur von der eigenen Website gesendet; Begrenzung von Anmeldeversuchen; Rollen- und Rechtekonzept (Inhaber, Controlling, Berater, Fertigung ohne Lohndaten, Lesezugriff); strikte Trennung der Kundenkonten bei jeder Datenbankabfrage; Administration nur durch den Anbieter mit Zwei-Faktor-Anmeldung.
Server und Netzwerk: Betrieb in Containern auf einem Server der netcup GmbH in einem gesicherten Rechenzentrum (physische Zutrittskontrolle durch den Betreiber); die Datenbank liegt in einem internen Netz ohne Verbindung zum Internet; Server-Zugang nur für den Anbieter.
Integrität und Nachvollziehbarkeit: Prüfung aller Eingaben auf zulässige Formate und Angriffsmuster; Schutz vor gleichzeitigen Änderungen; Änderungsprotokoll je Kundenkonto; Protokollierung sicherheitsrelevanter Ereignisse mit Benachrichtigung.
Verfügbarkeit und Belastbarkeit: mehrere Instanzen der Anwendung mit Lastverteilung und automatischem Neustart; tägliche Datensicherung mit 14 Tagen Aufbewahrung und automatischem Wiederherstellungstest; Überwachung mit Benachrichtigung bei Fehlern.
Regelmäßige Überprüfung: automatisierte Tests vor jeder Auslieferung; Prüfung der Software-Images auf bekannte Schwachstellen; nächtliche Neuerstellung mit aktuellen Sicherheitsupdates; regelmäßige Aktualisierung der Abhängigkeiten.
Datenminimierung: keine Zugriffsprotokolle des Webservers; Protokolle mit automatischen Löschfristen (siehe Datenschutzerklärung); keine Weitergabe von Kundendaten an Dritte außer den Unterauftragsverarbeitern nach Anlage 2.

Anlage 2: Unterauftragsverarbeiter

netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland: Bereitstellung des Servers (Hosting). Ort der Verarbeitung: Rechenzentrum Manassas (Virginia, USA). netcup ist in der EU ansässig und an die DSGVO gebunden; die Kundendaten sind dort zusätzlich nach Anlage 1 verschlüsselt gespeichert.

Kundendaten werden von keinem weiteren Dienstleister verarbeitet. E-Mails der App (z. B. Einladungen) enthalten keine Kundendaten, sondern nur Konto- und Kontaktangaben, für die der Anbieter selbst verantwortlich ist.