Auftragsverarbeitungsvertrag

Parteien

• Verantwortlicher: [NAME DER KUNDENORGANISATION], mit Sitz in [ORT], Handelskammernummer [HANDELSKAMMERNUMMER] („Verantwortlicher“).
• Auftragsverarbeiter: Mega Software mit Sitz in Den Haag, Handelskammernummer 94577056 („Auftragsverarbeiter“).

Artikel 1: Begriffsbestimmungen

• DSGVO: Datenschutz-Grundverordnung.
• Personenbezogene Daten: alle Informationen über eine identifizierte oder identifizierbare natürliche Person, die im Rahmen dieses Vertrags verarbeitet werden.
• Verarbeitung: jeder Vorgang im Zusammenhang mit personenbezogenen Daten, wie Erheben, Speichern, Abfragen und Löschen.
• Unterauftragsverarbeiter: ein Dritter, den der Auftragsverarbeiter einschaltet, um (einen Teil) der Verarbeitung durchzuführen.

Artikel 2: Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich für den Verantwortlichen und auf dessen Weisung, im Rahmen der Nutzung von TelMaar. Dieser Vertrag läuft gleich mit dem Hauptvertrag und endet von Rechts wegen mit dessen Beendigung, unbeschadet der Bestimmungen, die ihrer Art nach auch nach Beendigung fortgelten (darunter Artikel 10 über Rückgabe und Löschung).

Artikel 3: Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Speichern, Verwalten und Verarbeiten personenbezogener Daten der Geschäftspartner (Kunden, Lieferanten und deren Ansprechpartner) des Verantwortlichen zum Zweck der Finanzbuchhaltung, der Fakturierung und der Pflege der Geschäftsbeziehung, wie in der Datenschutzerklärung des Verantwortlichen näher beschrieben. Die Kategorien betroffener Personen und personenbezogener Daten entsprechen den Artikeln 2 und 4 jener Datenschutzerklärung.

Artikel 4: Pflichten des Auftragsverarbeiters

• Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf Grundlage schriftlicher Weisungen des Verantwortlichen, sofern nicht eine gesetzliche Verpflichtung etwas anderes verlangt.
• Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben.
• Der Auftragsverarbeiter leistet angemessene Unterstützung bei Anträgen betroffener Personen auf Auskunft, Berichtigung oder Löschung, innerhalb der Grenzen der gesetzlichen Aufbewahrungspflicht.
• Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Auffassung nach gegen geltendes Recht verstößt.
• Der Auftragsverarbeiter verwendet personenbezogene Daten nicht zum Trainieren oder Verbessern eigener oder fremder Modelle und verpflichtet die von ihm eingeschalteten Unterauftragsverarbeiter in gleicher Weise.

Artikel 5: Sicherheitsmaßnahmen

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen, darunter:

• Verschlüsselung der Daten bei der Übertragung mit TLS 1.3.
• Verschlüsselung der Daten im Ruhezustand mit AES-256, mit zusätzlicher Envelope-Verschlüsselung (ein Data-Encryption-Key je Organisation, verschlüsselt mit einem Master Key) für Zugangsdaten von Zahlungsdienstleistern und andere besonders sensible Felder.
• Rollenbasierte Zugriffssteuerung (RBAC) und Sicherheit auf Zeilenebene (Row Level Security) in der Datenbank, sodass Daten einer Organisation für eine andere niemals zugänglich sind.
• Verpflichtende Zwei-Faktor-Authentifizierung (2FA) für Nutzer mit Schreibzugriff auf Finanzdaten.
• Ein ausschließlich anfügbares Auditprotokoll der Änderungen an Finanzdaten, einschließlich Zeitpunkt, IP-Adresse und Nutzer.
• Regelmäßige, verschlüsselte Backups mit einer Aufbewahrungsdauer von mindestens 7 und höchstens 30 Tagen, sodass nach einer Löschung gemäß Artikel 10 keine Kopie zurückbleibt.

Artikel 6: Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter die Erlaubnis, folgende Unterauftragsverarbeiter einzuschalten: Supabase (Datenbank, Authentifizierung, Speicherung), Vercel (Hosting), Resend (E-Mail), Stripe und Mollie (Zahlungsabwicklung), Cloudflare (Sicherheit und Auslieferung von Inhalten) sowie Anthropic (Verarbeitung der Fragen und Dokumente, die der Verantwortliche über den Assistenten übermittelt). Der Assistent steht nur Nutzern mit einer Finanzrolle zur Verfügung und verarbeitet ausschließlich das, was der Nutzer selbst übermittelt; die übermittelten Daten werden nicht zum Training von Modellen verwendet. Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter vergleichbare Pflichten auf, wie sie in diesem Vertrag enthalten sind, und informiert den Verantwortlichen über Änderungen dieser Liste, mit der Möglichkeit zum Widerspruch.

Artikel 7: Übermittlung außerhalb des EWR

Die Verarbeitung findet grundsätzlich innerhalb des Europäischen Wirtschaftsraums statt. Soweit ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des EWR verarbeitet, geschieht dies ausschließlich auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder der Standardvertragsklauseln (SCC) der Europäischen Kommission, ergänzt um angemessene zusätzliche Maßnahmen wie die Verschlüsselung der Daten bei der Übertragung und im Ruhezustand. Auf Anfrage gewährt der Auftragsverarbeiter dem Verantwortlichen Einblick in die jeweils geltende Übermittlungsgrundlage je Unterauftragsverarbeiter.

Artikel 8: Datenschutzverletzungen und Meldefrist

Der Auftragsverarbeiter meldet dem Verantwortlichen eine festgestellte Verletzung des Schutzes personenbezogener Daten ohne unangemessene Verzögerung und spätestens innerhalb von 48 Stunden nach Entdeckung, damit dieser seiner eigenen Meldepflicht (innerhalb von 72 Stunden) gegenüber der niederländischen Datenschutzbehörde rechtzeitig nachkommen kann. Die Meldung umfasst mindestens die Art der Verletzung, die betroffenen Kategorien und die Zahl der betroffenen Personen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.

Artikel 9: Audits

Der Verantwortliche hat das Recht, nach vorheriger schriftlicher Ankündigung mit einer angemessenen Frist von mindestens vier Wochen Audits zur Einhaltung dieses Vertrags durchführen zu lassen oder sich anhand eines vom Auftragsverarbeiter bereitgestellten Berichts eines unabhängigen Dritten informieren zu lassen. Die Kosten eines Audits durch den Verantwortlichen trägt der Verantwortliche, sofern keine Mängel festgestellt werden.

Artikel 10: Rückgabe und Löschung nach Beendigung

Bei Beendigung des Hauptvertrags stellt der Auftragsverarbeiter auf Wunsch des Verantwortlichen alle personenbezogenen Daten in einem gängigen Exportformat bereit und löscht anschließend alle personenbezogenen Daten, mit Ausnahme der Daten, die aufgrund einer gesetzlichen Aufbewahrungspflicht (darunter die steuerliche Aufbewahrungspflicht von sieben Jahren) aufbewahrt werden müssen. Die Löschung erfolgt innerhalb von 30 Tagen nach dem Ersuchen.

Artikel 11: Haftung

Die Haftung der Parteien nach diesem Vertrag richtet sich nach dem Hauptvertrag zwischen den Parteien, nämlich Artikel 11 der Allgemeinen Geschäftsbedingungen.

Artikel 12: Anwendbares Recht

Auf diesen Vertrag ist niederländisches Recht anwendbar. Streitigkeiten werden dem zuständigen Gericht im Bezirk Den Haag vorgelegt, sofern zwingendes Recht nichts anderes vorschreibt.

Unterzeichnung

So vereinbart und von beiden Parteien unterzeichnet: