Auftragsverarbeitungsvertrag (AVV)
Vereinbarung gemäß Art. 28 DSGVO
§ 1 Gegenstand und Dauer
Dieser Auftragsverarbeitungsvertrag (AVV) ergänzt den Nutzungsvertrag für visofibu. Der Auftragnehmer (Anbieter) verarbeitet personenbezogene Daten im Auftrag des Auftraggebers (Nutzer) gemäß Art. 28 DSGVO. Die Dauer richtet sich nach der Laufzeit des Hauptvertrags.
§ 2 Art und Zweck der Verarbeitung
Gegenstand ist die Verarbeitung von Buchungsdaten, Rechnungen, Kundendaten und Belegdateien zum Zweck der Bereitstellung der Buchhaltungssoftware. Die Verarbeitung umfasst Speicherung, Organisation, Abfrage, Verwendung und Löschung der Daten.
§ 3 Kategorien betroffener Personen
Betroffen sind: Kunden und Geschäftspartner des Auftraggebers (Rechnungsempfänger); Mitarbeiter und Teammitglieder des Auftraggebers; Mieter (bei Nutzung des Vermieter-Moduls).
§ 4 Kategorien personenbezogener Daten
Verarbeitet werden: Name, Anschrift, E-Mail, Telefon; Bankverbindungen (IBAN); Steuernummern und USt-IdNr.; Buchungs- und Rechnungsdaten; Belegdateien (hochgeladene Dokumente).
§ 5 Pflichten des Auftragsverarbeiters
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich gemäß den dokumentierten Weisungen des Auftraggebers. Er stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind. Er ergreift technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Er unterstützt den Auftraggeber bei der Erfüllung der Betroffenenrechte.
§ 6 Unterauftragsverarbeiter
Aktuelle Unterauftragsverarbeiter: Supabase (Hosting, Datenbank, Dateiablage), Vercel (Application Hosting). Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen. Der Auftraggeber kann innerhalb von 14 Tagen widersprechen.
§ 7 Technische und organisatorische Maßnahmen
Verschlüsselung: TLS für Übertragung, AES-256 für gespeicherte Geheimnisse. Zugriffskontrolle: Rollenbasiert mit separaten Berechtigungen. Pseudonymisierung: Firmen-IDs statt direkter Personenbezug. Wiederherstellbarkeit: Regelmäßige Backups. Belastbarkeit: Redundante Infrastruktur beim Hosting-Anbieter.
§ 8 Löschung und Rückgabe
Nach Ende des Hauptvertrags werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht. Der Auftraggeber kann vor Vertragsende einen vollständigen Datenexport anfordern. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
§ 9 Kontrollrechte
Der Auftraggeber hat das Recht, die Einhaltung der Vereinbarung zu überprüfen. Der Auftragnehmer stellt hierfür alle erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen und Inspektionen.