Rechtliches
Auftragsverarbeitungsvertrag
Entwurfsstand:
Unterauftragnehmer, Verarbeitungsorte, Löschfristen und technische Maßnahmen müssen noch mit den produktiven Verträgen und der realen Systemkonfiguration abgeglichen werden.
Präambel und Parteien
Dieser Auftragsverarbeitungsvertrag („AVV“) konkretisiert die datenschutzrechtlichen Pflichten aus der Nutzung von INVONIVO zwischen dem im Hauptvertrag bezeichneten Kunden als Verantwortlichem und der BAI Sol UG (in Gründung), Hans-Holbeinstr. 42, 69190 Walldorf, Deutschland, als Auftragsverarbeiter. Er gilt, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
1. Gegenstand, Dauer und Zweck
Gegenstand der Verarbeitung ist die Bereitstellung der vertraglich gebuchten INVONIVO-Funktionen. Dazu zählen je nach Tarif insbesondere Empfang, Upload, Erkennung, Validierung, Erstellung, Verwaltung, Versand und Export von Rechnungen und Belegen sowie die dazugehörige Konten- und Nutzerverwaltung.
Die Verarbeitung beginnt mit der Bereitstellung des Dienstes und dauert grundsätzlich bis zur Beendigung des Hauptvertrags sowie dem Abschluss der vereinbarten Rückgabe- und Löschprozesse.
2. Art der Daten und betroffene Personen
Verarbeitet werden können insbesondere Stamm-, Kontakt-, Adress-, Identifikations-, Steuer-, Vertrags-, Leistungs-, Bank-, Zahlungs-, Rechnungs-, Beleg-, Kommunikations-, Nutzungs- und Protokolldaten.
Betroffen sein können Beschäftigte und Nutzer des Verantwortlichen, Kunden, Lieferanten, Dienstleister, Ansprechpartner, Rechnungsempfänger und -aussteller sowie weitere Personen, deren Daten in übermittelten Dokumenten enthalten sind.
3. Weisungen und Verantwortlichkeit
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zu einer anderen Verarbeitung besteht. Konfigurationen und die vertragsgemäße Nutzung der Software gelten als Weisungen. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, die Erfüllung der Informationspflichten und die Wahrung der Rechte betroffener Personen verantwortlich.
4. Vertraulichkeit und Personal
Der Auftragsverarbeiter setzt nur Personen ein, die auf Vertraulichkeit verpflichtet und hinsichtlich der relevanten Datenschutz- und Sicherheitsanforderungen unterwiesen wurden. Zugriffsrechte werden auf das erforderliche Maß beschränkt.
5. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft Maßnahmen nach Art. 32 DSGVO, die dem Risiko angemessen sind, und entwickelt sie entsprechend dem Stand der Technik weiter. Dazu gehören insbesondere:
- Zugangs-, Zugriffs- und Berechtigungskontrollen einschließlich rollenbasierter Vergabe,
- Mandantentrennung und aufgabenbezogene Beschränkung administrativer Zugriffe,
- verschlüsselte Übertragung und geschützte Verwaltung von Zugangsdaten und Geheimnissen,
- Protokollierungs-, Überwachungs- und Verfahren zur Behandlung von Sicherheitsereignissen,
- Sicherungs-, Wiederherstellungs- und Verfügbarkeitsverfahren nach dem jeweils gültigen Betriebskonzept,
- Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen.
Eine detaillierte TOM-Anlage mit den produktiv nachweisbaren Maßnahmen ist vor Vertragsfreigabe beizufügen.
6. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung angemessen bei Anfragen betroffener Personen, Datenschutz-Folgenabschätzungen, Konsultationen von Aufsichtsbehörden sowie bei der Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO. Anfragen betroffener Personen werden ohne eigene inhaltliche Entscheidung an den Verantwortlichen weitergeleitet.
7. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Er stellt die verfügbaren Informationen bereit, die der Verantwortliche zur Bewertung und Erfüllung seiner gesetzlichen Melde- und Benachrichtigungspflichten benötigt, und unterstützt bei Abhilfe- und Dokumentationsmaßnahmen.
8. Unterauftragnehmer
Der Verantwortliche erteilt die allgemeine Genehmigung, die nachfolgend benannten Unterauftragnehmer einzusetzen. Beabsichtigte Änderungen werden mit angemessener Vorlaufzeit mitgeteilt, damit der Verantwortliche aus wichtigen datenschutzrechtlichen Gründen widersprechen kann.
| Unterauftragnehmer | Leistung | Freigabestatus |
|---|---|---|
| Google Ireland Limited / verbundene Google-Cloud-Unternehmen | Hosting, Datenbank, Speicher, Authentifizierung und Cloud-Funktionen | Regionen, Rollen und Transfergrundlagen bestätigen |
| Mistral AI SAS | KI-gestützte Dokumentenanalyse und OCR, soweit aktiviert | Produktive Anbindung, Region und AVV bestätigen |
| Stripe Payments Europe, Limited | Checkout, Zahlungs- und Abrechnungsprozesse | Rollenverteilung und Datenflüsse bestätigen |
Vom Verantwortlichen angebundene E-Mail-, Buchhaltungs- oder Steuerberater-Systeme sind gesondert anhand der jeweiligen Integration zu bewerten.
9. Drittlandübermittlungen
Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums erfolgt nur auf dokumentierte Weisung oder wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Soweit erforderlich, werden insbesondere Angemessenheitsbeschlüsse, Standardvertragsklauseln und ergänzende Schutzmaßnahmen eingesetzt und dokumentiert.
10. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung. Kontrollen werden mit angemessener Vorankündigung, unter Wahrung von Betriebs- und Geschäftsgeheimnissen und ohne unverhältnismäßige Beeinträchtigung des Dienstes durchgeführt. Vor-Ort-Prüfungen kommen in Betracht, wenn geeignete Nachweise oder Remote-Prüfungen nicht ausreichen.
11. Rückgabe und Löschung
Nach Ende der Leistung löscht oder gibt der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Daten in Sicherungen werden im Rahmen des dokumentierten Sicherungs- und Löschzyklus gelöscht und bis dahin nicht für andere Zwecke verarbeitet.
Exportformate, Abruffristen und Sicherungszyklen: [mit Produkt- und Löschkonzept verbindlich festlegen]
12. Rangfolge und Schlussbestimmungen
Bei Widersprüchen gehen die datenschutzrechtlichen Bestimmungen dieses AVV den Regelungen des Hauptvertrags vor. Änderungen dieses AVV bedürfen mindestens der Textform, soweit nicht eine strengere Form gesetzlich vorgeschrieben ist.
Für den Abschluss ist eine dokumentierte Zuordnung zum jeweiligen Kundenvertrag beziehungsweise eine Signaturmöglichkeit vorzusehen.