Auftragsverarbeitungsvertrag (ADV)

A. Gegenstand, Art, Zweck und Dauer der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Nutzung der DATENBRÜCKE. Dies umfasst insbesondere:

• Spiegelung von DATEV-Daten in einer je Verantwortlichem bereitgestellten, von anderen Kunden getrennten SQL-Datenbank (sie enthält alle DATEV-Mandanten des Verantwortlichen über Wirtschaftsjahre hinweg),
• Speicherung, Pflege und strukturierte Bereitstellung für Analyse- und Reportingzwecke,
• Zugang durch Mitarbeitende des Auftragnehmers nur bei Bedarf (Support, Onboarding).

Zweck ist die Bereitstellung der vertraglich vereinbarten Leistungen. Die Verarbeitung erfolgt für die Dauer des Hauptvertrags; die Beendigung richtet sich nach Abschnitt H.

B. Kategorien betroffener Personen und Daten

Kategorien betroffener Personen (soweit in den Daten enthalten):

• Kunden, Lieferanten und sonstige Geschäftspartner des Verantwortlichen,
• Beschäftigte des Verantwortlichen – nur, soweit der Verantwortliche die Anbindung des Moduls DATEV Lohn und Gehalt bzw. LODAS ausdrücklich beauftragt hat. Diese Anbindung ist nicht Bestandteil der Grundleistung und erfolgt nicht automatisch.

Kategorien personenbezogener Daten:

• Stammdaten (z. B. Kunden-, Lieferanteninformationen),
• Finanzbuchhaltungsdaten (z. B. Buchungssätze, Belegtexte),
• Kostenstellen, Sachkonten, Mandantenzuordnungen.

Zusätzlich bei angebundenem Modul „Lohn und Gehalt" (Personal- und Entgeltdaten):

• Personalstammdaten (z. B. Name, Personalnummer, Ein-/Austritt, Tätigkeit, Kostenstellenzuordnung),
• Entgelt- und Beschäftigungsdaten (z. B. Lohnarten, Brutto-/Nettobezüge, Beschäftigungsumfang/FTE, Abwesenheiten),
• abrechnungsbezogene Merkmale (z. B. Steuer- und Sozialversicherungsmerkmale).

Umfang der Übernahme: Wurde das Lohn-Modul beauftragt und angebunden, werden die dort vorhandenen Personal- und Entgeltdaten vollständig gespiegelt; eine feldweise Auswahl findet derzeit nicht statt. Ohne diese gesonderte Beauftragung werden keine Lohn- und Gehaltsdaten verarbeitet.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Bei reiner Finanzbuchhaltung sind sie nicht Gegenstand des Auftrags. Bei angebundenem Lohn-Modul sind Angaben, die Rückschlüsse auf besondere Kategorien zulassen, regelmäßig enthalten – etwa das Kirchensteuermerkmal (religiöse Überzeugung), Entgeltfortzahlung im Krankheitsfall oder die Schwerbehinderteneigenschaft (Gesundheitsdaten) sowie Gewerkschaftsbeiträge (Gewerkschaftszugehörigkeit). Der Auftragnehmer verarbeitet diese Daten ausschließlich im Rahmen der vereinbarten Zwecke und nach den Maßnahmen dieses Vertrags. Der Verantwortliche entscheidet über die Anbindung des Lohn-Moduls und bleibt für die Rechtmäßigkeit der Verarbeitung sowie für etwaige Beteiligungsrechte (z. B. des Betriebsrats) verantwortlich.

C. Weisungsrecht

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag und die Nutzung der Funktionen der DATENBRÜCKE gelten als Weisung. Weitere Einzelweisungen bedürfen der Textform. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen geltendes Recht verstößt, informiert er den Verantwortlichen; er darf die betroffene Weisung bis zu deren Bestätigung aussetzen.

D. Pflichten des Auftragnehmers

• Verarbeitung nur nach dokumentierter Weisung,
• Verpflichtung der eingesetzten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO),
• Umsetzung technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO (siehe Abschnitt E),
• Protokollierung von Support-Zugriffen,
• Information des Verantwortlichen, falls der Auftragnehmer nach Unionsrecht oder mitgliedstaatlichem Recht zur Verarbeitung verpflichtet ist, vor der Verarbeitung – sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO),
• Unterstützung des Verantwortlichen im Rahmen des Zumutbaren (siehe Abschnitt G).

E. Technische und organisatorische Maßnahmen (TOM)

Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Diese sind in der Anlage TOM beschrieben und Bestandteil dieses Vertrags. Einen Überblick stellen wir öffentlich bereit; die vollständige Anlage TOM enthält vertrauliche Angaben zur Sicherheitsarchitektur und wird auf Anfrage bzw. im Rahmen des Vertragsprozesses bereitgestellt (nicht öffentlich einsehbar). Der Auftragnehmer darf die Maßnahmen im Laufe der Zeit weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

F. Unterauftragsverarbeiter

Der Verantwortliche stimmt der Beauftragung der nachfolgenden Unterauftragsverarbeiter zu. Aufgeführt sind ausschließlich Dienste, die die im Auftrag verarbeiteten Daten (Mandanten-/DATEV-Daten sowie die Anwendungsdaten des Verantwortlichen) berühren. Dienste, die ausschließlich der Website- und Geschäftsebene des Auftragnehmers dienen (z. B. Zahlungsabwicklung, Marketing-E-Mail, Website-Chat, Video, Reichweitenmessung) und für die der Auftragnehmer selbst Verantwortlicher ist, sind nicht Gegenstand dieses ADV; sie sind in der Datenschutzerklärung aufgeführt.

* Einsatz/Umfang im neuen Modell noch zu bestätigen.

Der Auftragnehmer darf weitere Unterauftragsverarbeiter hinzuziehen oder ersetzen. Er informiert den Verantwortlichen hierüber vorab in Textform (z. B. per E-Mail oder auf einer Übersichtsseite). Der Verantwortliche kann einer Änderung innerhalb von zwei Wochen aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen. Im Fall eines berechtigten Widerspruchs ist der Auftragnehmer berechtigt, die betroffene Leistung anzupassen oder den Hauptvertrag mit angemessener Frist zu kündigen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter auf ein dem vorliegenden Vertrag entsprechendes Datenschutzniveau.

G. Unterstützung des Verantwortlichen

• Unterstützung bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO), soweit dem Auftragnehmer möglich und zumutbar,
• Unterstützung bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 35, 36 DSGVO),
• Unterstützung bei der Führung des Verzeichnisses von Verarbeitungstätigkeiten, soweit erforderlich (Art. 30 Abs. 2 DSGVO),
• Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, in der Regel innerhalb von 48 Stunden, an den Verantwortlichen.

Für Unterstützungsleistungen, die über den vertraglich geschuldeten Umfang hinausgehen oder auf Umständen im Verantwortungsbereich des Verantwortlichen beruhen, kann der Auftragnehmer eine angemessene Vergütung nach Aufwand verlangen.

H. Löschung und Rückgabe

Nach Beendigung der Verarbeitung löscht der Auftragnehmer die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen oder gibt sie zurück; die bereitgestellte Datenbank wird innerhalb von 30 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Bei Testkonten erfolgt die automatische Löschung nach 30 Tagen. Auf Anforderung bestätigt der Auftragnehmer die Löschung in Textform.

I. Nachweise und Kontrollen

Der Auftragnehmer weist die Einhaltung seiner Pflichten vorrangig durch geeignete Unterlagen nach (z. B. aktuelle TOM-Beschreibung, Testate oder Berichte). Vor-Ort-Kontrollen sind nur nach vorheriger Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten, in einem den Betrieb nicht störenden Umfang und höchstens einmal jährlich zulässig; die dem Auftragnehmer hierdurch entstehenden Aufwände trägt der Verantwortliche.

J. Rechte und Pflichten des Verantwortlichen

• Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und der Weisungen verantwortlich.
• Supportanfragen mit Zugriff auf Daten erfolgen auf Anforderung des Verantwortlichen.

K. Haftung und Schlussbestimmungen

Für die Haftung gelten die Regelungen des Hauptvertrags (AGB) entsprechend. Bei Widersprüchen zwischen diesem ADV und den AGB gehen die Regelungen dieses ADV für den Bereich der Auftragsverarbeitung vor. Es gilt deutsches Recht; Gerichtsstand ist Hamburg, sofern gesetzlich zulässig.