Auftragsverarbeitungsvertrag

Verantwortlicher: der Kunde des Dienstes Kontevia, ein Unternehmen oder Selbstständiger, der personenbezogene Daten verarbeitet, die in seinen Buchhaltungsunterlagen und anderen an den Dienst übermittelten Daten enthalten sind.

Auftragsverarbeiter: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Tschechische Republik, Firmenidentifikationsnummer 22103741, eingetragen im Handelsregister beim Stadtgericht Prag, Aktenzeichen C 410771. Kontakt für Datenschutz: hello@kontevia.com.

1.1. Dieser Vertrag regelt die Rechte und Pflichten der Parteien, wenn der Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung des Dienstes Kontevia (die „Leistung“) personenbezogene Daten verarbeitet.

1.2. Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen und tritt in Kraft, wenn sich der Verantwortliche für die Leistung registriert. Er gilt, solange der Auftragsverarbeiter personenbezogene Daten für den Verantwortlichen verarbeitet.

2.1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Erbringung der Leistung, insbesondere:

• Empfang und Digitalisierung von Buchhaltungsbelegen, die per Chat, E-Mail oder Upload übermittelt werden;
• Extraktion von Daten aus Dokumenten mittels optischer Zeichenerkennung und automatisierter Extraktionsmodelle;
• Kategorisierung, Duplikaterkennung und Vorschläge zur umsatzsteuerlichen Behandlung;
• Ausstellung von Rechnungen und anderen Dokumenten auf Anweisung des Verantwortlichen;
• Import von Bankumsätzen, die der Verantwortliche verbindet, und deren Abgleich mit Belegen;
• Erstellung von Zusammenfassungen, Berichten und Exporten für das Buchhaltungssystem oder den Berater des Verantwortlichen;
• Speicherung von Dokumenten und Daten innerhalb der Leistung für die Dauer des Vertrags und den Exportzeitraum.

2.2. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Anweisung des Verantwortlichen, einschließlich Anweisungen zu Übermittlungen in Drittländer, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet; in diesem Fall informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung, sofern das Recht dies nicht untersagt.

3.1. Betroffene Personen: Geschäftspartner des Verantwortlichen (Lieferanten, Kunden, Ansprechpartner), Mitarbeiter und Auftragnehmer des Verantwortlichen, sofern Lohn- oder Spesenbelege verarbeitet werden, sowie die eigenen Nutzer der Leistung des Verantwortlichen.

3.2. Kategorien personenbezogener Daten: Identifikationsdaten (Name, Firma, Firmen- und USt-Identifikationsnummer); Kontaktdaten (Adresse, E-Mail, Telefon); Finanzdaten (Rechnungsbeträge, Bankkontonummern, Zahlungsreferenzen); Beschäftigungsdaten, sofern Lohnunterlagen übermittelt werden (Berufsbezeichnung, Gehalt, Versicherungskennungen); Nutzungsdaten der Nutzer des Verantwortlichen.

3.3. Der Auftragsverarbeiter benötigt keine besonderen Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO. Der Verantwortliche verpflichtet sich, solche Daten nicht über die Leistung zu übermitteln, es sei denn, sie sind in einem Dokument enthalten, das der Verantwortliche gesetzlich aufbewahren muss; in diesem Fall ist der Verantwortliche für die Rechtsgrundlage verantwortlich.

Der Auftragsverarbeiter verpflichtet sich:

• personenbezogene Daten nur auf dokumentierte Anweisung des Verantwortlichen und nur im für die Leistung erforderlichen Umfang zu verarbeiten;
• sicherzustellen, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
• die nach Artikel 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen umzusetzen, insbesondere die im Anhang dieses Vertrags aufgeführten;
• keinen weiteren Auftragsverarbeiter ohne vorherige allgemeine schriftliche Genehmigung des Verantwortlichen hinzuzuziehen, die der Verantwortliche gemäß Artikel 6 dieses Vertrags erteilt;
• unter Berücksichtigung der Art der Verarbeitung den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte zu unterstützen;
• den Verantwortlichen bei der Einhaltung der Artikel 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) zu unterstützen, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen;
• nach Wahl des Verantwortlichen nach Beendigung der Erbringung der Leistung alle personenbezogenen Daten zu löschen oder zurückzugeben und vorhandene Kopien zu löschen, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine Speicherung vorschreibt;
• dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind, und Prüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, zu ermöglichen und daran mitzuwirken;
• den Verantwortlichen unverzüglich zu informieren, wenn eine Anweisung nach seiner Auffassung gegen die DSGVO oder andere unionsrechtliche oder mitgliedstaatliche Datenschutzbestimmungen verstößt.

5.1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch 48 Stunden nach Kenntniserlangung.

5.2. Die Meldung enthält mindestens: eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze; Name und Kontaktdaten der verantwortlichen Person; eine Beschreibung der wahrscheinlichen Folgen; sowie eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Minderung ihrer Auswirkungen.

5.3. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Meldepflichten gegenüber der zuständigen Aufsichtsbehörde und den betroffenen Personen.

6.1. Der Verantwortliche erteilt eine allgemeine Genehmigung, dass der Auftragsverarbeiter Unterauftragsverarbeiter zur Verarbeitung personenbezogener Daten hinzuzieht.

6.2. Die aktuelle Liste der Unterauftragsverarbeiter mit Zweck und Standort ist auf der Seite „Unterauftragsverarbeiter“ der Website des Auftragsverarbeiters veröffentlicht und ist Anhang dieses Vertrags.

6.3. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens 14 Tage im Voraus, per E-Mail an die Kontaktadresse des Verantwortlichen oder durch Hinweis in der Leistung, und gibt dem Verantwortlichen Gelegenheit zum Widerspruch.

6.4. Erhebt der Verantwortliche innerhalb von 14 Tagen nach der Mitteilung einen berechtigten Widerspruch, unterlässt der Auftragsverarbeiter die geplante Änderung oder bietet dem Verantwortlichen die Möglichkeit, den Vertrag ohne Vertragsstrafe und mit Erstattung der im Voraus bezahlten Gebühren für den ungenutzten Zeitraum zu kündigen.

6.5. Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien zur Umsetzung geeigneter technischer und organisatorischer Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, bleibt der Auftragsverarbeiter dem Verantwortlichen gegenüber für die Erfüllung der Pflichten dieses Unterauftragsverarbeiters in vollem Umfang verantwortlich.

7.1. Personenbezogene Daten werden auf Servern innerhalb der Europäischen Union gespeichert. Der Auftragsverarbeiter übermittelt personenbezogene Daten nicht außerhalb des Europäischen Wirtschaftsraums, außer an Unterauftragsverarbeiter, die auf der Seite „Unterauftragsverarbeiter“ aufgeführt sind, und nur mit geeigneten Garantien nach Kapitel V DSGVO.

7.2. Solche Übermittlungen stützen sich auf einen Angemessenheitsbeschluss der Europäischen Kommission (einschließlich des EU-US Data Privacy Framework für zertifizierte Empfänger), die von der Kommission gemäß Artikel 46 Absatz 2 Buchstabe c DSGVO angenommenen Standardvertragsklauseln oder andere geeignete Garantien, ergänzt durch zusätzliche Maßnahmen, sofern eine Transferfolgenabschätzung dies erfordert.

8.1. Der Auftragsverarbeiter unterstützt den Verantwortlichen angemessen bei der Bearbeitung von Anfragen betroffener Personen zur Ausübung ihrer Rechte nach den Artikeln 15 bis 22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Die Leistung umfasst Such-, Export- und Löschfunktionen, mit denen der Verantwortliche die meisten Anfragen direkt bearbeiten kann.

8.2. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, verweist der Auftragsverarbeiter sie unverzüglich an den Verantwortlichen und informiert den Verantwortlichen, es sei denn, die Anfrage betrifft Daten, für die der Auftragsverarbeiter selbst Verantwortlicher ist.

9.1. Der Auftragsverarbeiter gestattet dem Verantwortlichen oder einem von ihm beauftragten Prüfer die Durchführung von Prüfungen und Inspektionen zur Überprüfung der Einhaltung dieses Vertrags und der DSGVO.

9.2. Prüfungen erfolgen auf Kosten des Verantwortlichen, mit angemessener vorheriger Ankündigung von mindestens 14 Werktagen, während der Geschäftszeiten und in einer Weise, die den Betrieb des Auftragsverarbeiters nicht stört und die Sicherheit der Daten anderer Kunden nicht gefährdet. Der Prüfer muss zur Vertraulichkeit verpflichtet sein.

9.3. Anstelle einer Vor-Ort-Prüfung kann der Auftragsverarbeiter aktuelle Zertifikate, Berichte unabhängiger Prüfer oder andere Nachweise über die Einhaltung der Sicherheitsmaßnahmen vorlegen, sofern diese zur Beantwortung der Fragen des Verantwortlichen ausreichen.

10.1. Dieser Vertrag gilt für die Dauer der Vertragsbeziehung zwischen dem Verantwortlichen und dem Auftragsverarbeiter, das heißt, solange der Verantwortliche die Leistung nutzt.

10.2. Nach Beendigung der Vertragsbeziehung: ermöglicht der Auftragsverarbeiter dem Verantwortlichen 90 Tage lang den Export seiner Daten; nach Ablauf dieser 90 Tage löscht er alle personenbezogenen Daten des Verantwortlichen unwiderruflich; löscht Sicherungskopien spätestens 45 Tage nach Löschung der Primärdaten; und bestätigt die Löschung auf Wunsch des Verantwortlichen. Daten, die der Auftragsverarbeiter nach Unionsrecht oder dem Recht eines Mitgliedstaats aufbewahren muss (insbesondere Abrechnungsunterlagen), sind davon ausgenommen.

10.3. Die Pflichten aus diesem Vertrag, insbesondere Vertraulichkeit und Sicherheit, bestehen nach Beendigung der Vertragsbeziehung fort, solange der Auftragsverarbeiter noch personenbezogene Daten des Verantwortlichen besitzt.

11.1. Der Auftragsverarbeiter haftet für Schäden, die durch eine Verarbeitung unter Verstoß gegen diesen Vertrag oder die DSGVO entstehen, gemäß Artikel 82 DSGVO, insbesondere wenn er die speziell an Auftragsverarbeiter gerichteten Pflichten der DSGVO nicht eingehalten oder außerhalb oder entgegen rechtmäßigen Anweisungen des Verantwortlichen gehandelt hat.

11.2. Die Haftungsbeschränkungen der Allgemeinen Geschäftsbedingungen gelten, soweit gesetzlich zulässig, auch für diesen Vertrag; sie schränken die Rechte betroffener Personen nicht ein.

12.1. Diese Vereinbarung unterliegt dem Recht der Tschechischen Republik sowie dem unmittelbar anwendbaren Recht der Europäischen Union, insbesondere der DSGVO.

12.2. Bei Widersprüchen zwischen dieser Vereinbarung und den Allgemeinen Geschäftsbedingungen hat diese Vereinbarung in Fragen des Datenschutzes Vorrang.

12.3. Änderungen dieser Vereinbarung bedürfen der Schriftform; dazu zählt auch eine aktualisierte Fassung, die auf der Website veröffentlicht und dem Verantwortlichen gemäß den Allgemeinen Geschäftsbedingungen mitgeteilt wird.

12.4. Streitigkeiten aus dieser Vereinbarung werden von den nach dem Sitz des Auftragsverarbeiters zuständigen Gerichten der Tschechischen Republik entschieden, unbeschadet der Rechte betroffener Personen und der Aufsichtsbehörden.

Verschlüsselung

• AES-256-Verschlüsselung ruhender Daten, einschließlich Backups.
• TLS 1.2 oder höher für alle Daten während der Übertragung, einschließlich Verbindungen zu Unterauftragsverarbeitern.

Zugriffskontrolle

• Zugriff nach dem Prinzip der geringsten Berechtigung; jeder Mitarbeiter und jedes System erhält nur die für seine Rolle erforderlichen Rechte.
• Multi-Faktor-Authentifizierung für administrativen und infrastrukturellen Zugriff.
• Trennung der Kunden-Arbeitsbereiche auf Anwendungs- und Datenbankebene.
• Regelmäßige Überprüfung und zeitnahe Entziehung von Zugriffsrechten.

Verfügbarkeit und Belastbarkeit

• Regelmäßige automatisierte Backups mit getesteten Wiederherstellungsverfahren.
• Redundante Hosting-Infrastruktur innerhalb der Europäischen Union.
• Überwachung von Verfügbarkeit und Leistung mit Benachrichtigungssystem.

Integrität und Protokollierung

• Protokollierung von Zugriffen auf personenbezogene Daten und administrativen Handlungen.
• Prüfprotokoll für Dokumente: wer sie eingereicht, geändert, genehmigt oder exportiert hat und wann.
• Erkennung von Anomalien und Sicherheitsvorfällen.

Organisatorische Maßnahmen

• Vertraulichkeitsverpflichtungen aller Mitarbeiter und Auftragnehmer mit Zugriff auf personenbezogene Daten.
• Schulung der Mitarbeiter zu Datenschutz und Sicherheit.
• Dokumentierte interne Verfahren zur Verarbeitung personenbezogener Daten und zur Bearbeitung von Anfragen betroffener Personen.
• Notfallplan mit definierten Rollen und Meldefristen.
• Datenschutzprüfung neuer Unterauftragsverarbeiter vor deren Beauftragung.