Vertragsparteien

Verantwortlicher (Auftraggeber): das Unternehmen, das diesen Vertrag in der Anwendung abschließt (Angaben beim Abschluss).

Auftragsverarbeiter (Auftragnehmer): friendworx gruppe UG (haftungsbeschränkt), Marktplatz 15, 93413 Cham, vertreten durch den Geschäftsführer Albert Fischer.

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber die Anwendung BelegOffice zur Verfügung. Mit ihr erfasst der Auftraggeber Belege, Kontoauszüge und Bankumsätze, ordnet Zahlungen ihren Belegen zu und stellt die Unterlagen für seinen Steuerberater bereit. Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers.

(2) Dieser Vertrag gilt, solange der Auftragnehmer für den Auftraggeber personenbezogene Daten verarbeitet. Er endet ohne gesonderte Kündigung mit dem Ende der Nutzung und der Rückgabe bzw. Löschung der Daten nach § 10.

§ 2 Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

(1) Art der Verarbeitung: Speichern, Auslesen (auch automatisiert per Texterkennung), Ordnen, Abgleichen, Anzeigen, Zusammenstellen und Bereitstellen zum Download, Sichern und Wiederherstellen.

(2) Zweck: Vorbereitung der Buchhaltung des Auftraggebers und Übergabe der Unterlagen an dessen Steuerberater; Aufbewahrung der Unterlagen für den Auftraggeber.

(3) Art der Daten: Inhalte von Belegen, Rechnungen, Gutschriften, Verträgen, Kontoauszügen und Bankumsätzen (z. B. Namen, Anschriften, E-Mail-Adressen, Bankverbindungen, Rechnungs- und Zahlungsdaten, Steuer-Identifikationsmerkmale von Geschäftspartnern); Angaben zu privat verauslagten Beträgen und Barzahlungen; Nutzerdaten (Name, E-Mail-Adresse, Rolle, Anmelde- und Protokolldaten).

(4) Betroffene Personen: Geschäftspartner des Auftraggebers (Lieferanten, Kunden, Zahlungspartner und deren Ansprechpartner), Beschäftigte und Gesellschafter des Auftraggebers, soweit sie in den Unterlagen vorkommen, sowie die Nutzer der Anwendung einschließlich des Steuerberaters.

(5) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Auftraggeber lädt solche Daten nur hoch, soweit sie unvermeidbar Teil eines Belegs sind.

§ 3 Weisungen des Auftraggebers

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Anforderungen vorher mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung der Anwendung durch den Auftraggeber (z. B. Hochladen, Zuordnen, Festschreiben, Herunterladen, Einladen weiterer Nutzer). Weitere Weisungen erteilt der Auftraggeber in Textform.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Daten des Auftraggebers erhalten sie nur, soweit es für den Betrieb, die Fehlerbehebung oder die Unterstützung auf Anfrage des Auftraggebers nötig ist.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber als neue Fassung dieses Vertrags angezeigt.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter. Bei Vertragsschluss sind die in Anlage 2 genannten Unterauftragsverarbeiter genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters in der Anwendung. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Vertrag über die Nutzung der Anwendung beenden; der Auftragnehmer stellt die Daten nach § 10 bereit.

(3) Der Auftragnehmer legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf wie in diesem Vertrag und haftet gegenüber dem Auftraggeber für dessen Einhaltung.

(4) Eine Verarbeitung findet in der Europäischen Union bzw. im Europäischen Wirtschaftsraum statt. Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind; Anlage 2 nennt die jeweiligen Garantien.

§ 7 Unterstützung bei Rechten betroffener Personen

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO), insbesondere durch Such-, Export- und Downloadfunktionen der Anwendung. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter. Gesetzliche Aufbewahrungspflichten des Auftraggebers (z. B. § 147 AO, § 257 HGB) bleiben unberührt.

§ 8 Weitere Unterstützungspflichten, Meldung von Verletzungen

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit es die ihm vorliegenden Informationen erlauben.

(2) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, an die in der Anwendung hinterlegten E-Mail-Adressen der Inhaber, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt. Die Meldung an die Aufsichtsbehörde obliegt dem Auftraggeber.

§ 9 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung, insbesondere diese Vertragsfassung mit Anlagen und auf Anfrage eine Beschreibung des Betriebs.

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann nach rechtzeitiger Anmeldung (in der Regel 14 Tage) während der Geschäftszeiten Überprüfungen durchführen. Überprüfungen dürfen den Betrieb und die Daten anderer Kunden nicht beeinträchtigen. Die Prüfung der Rechenzentren erfolgt über die Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate).

§ 10 Ende der Verarbeitung: Rückgabe und Löschung

(1) Nach Ende der Nutzung stellt der Auftragnehmer dem Auftraggeber alle Unterlagen als Download bereit (Originaldateien, Quartalspakete, Listen) und löscht die Daten anschließend, spätestens drei Monate nach Ende der Nutzung, einschließlich der Datensicherungen nach deren regulärem Ablauf.

(2) Der Auftraggeber kann statt der Löschung die Weiterführung der Aufbewahrung für die Dauer seiner gesetzlichen Aufbewahrungsfristen vereinbaren; die Einzelheiten werden gesondert geregelt. Gesetzliche Aufbewahrungspflichten des Auftragnehmers bleiben unberührt.

§ 11 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich. Er vergibt Zugänge nur an Personen, die die Daten kennen dürfen, und informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

§ 12 Haftung, Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Vereinbarungen über die Nutzung der Anwendung.

(2) Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): durch Bestätigung in der Anwendung durch eine für den Auftraggeber vertretungsberechtigte bzw. bevollmächtigte Person. Name, Zeitpunkt und Fassung der Bestätigung werden unveränderbar gespeichert; beide Parteien können die abgeschlossene Fassung jederzeit als PDF abrufen.

(3) Neue Fassungen dieses Vertrags werden dem Auftraggeber in der Anwendung angezeigt und bedürfen seiner erneuten Bestätigung; bis dahin gilt die zuletzt bestätigte Fassung. Änderungen der Unterauftragsverarbeiter richten sich nach § 6.

(4) Bei Widersprüchen geht dieser Vertrag den übrigen Vereinbarungen vor, soweit es um den Schutz personenbezogener Daten geht. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.