Rechtliches
Auftragsverarbeitungsvertrag
gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)
Hinweis: Dieses Dokument ist ein Entwurf zur anwaltlichen Prüfung. Es entfaltet rechtliche Wirkung erst nach Freigabe durch einen Rechtsanwalt.
1 Parteien und Gegenstand
(1)Dieser AVV wird zwischen dem Nutzer von DachCalc (Verantwortlicher) und dem Anbieter (Auftragsverarbeiter) geschlossen:
(2)Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der Software DachCalc.
(3)Dieser AVV ergänzt die zwischen den Parteien geltenden AGB. Bei Widersprüchen geht dieser AVV den AGB vor.
Durch die Nutzung von DachCalc (Registrierung und Aktivierung der Buchhaltungsfunktion) stimmt der Verantwortliche diesem AVV zu. Der Zeitstempel der Zustimmung wird gespeichert.
2 Art, Umfang und Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen folgende personenbezogene Daten:
| Datenkategorie | Betroffene Personen | Zweck |
|---|
| Name, Adresse, Kontaktdaten | Kunden des Verantwortlichen | Rechnungserstellung, Kundenverwaltung |
| Rechnungs- und Belegdaten | Kunden des Verantwortlichen | Buchhaltung, GoBD-Archivierung |
| Gescannte Dokumente (PDF/Bilder) | Aussteller von Eingangsrechnungen | Belegerfassung |
| Mitarbeiterdaten (optional) | Mitarbeiter des Verantwortlichen | Lohn-/Zeitverwaltung |
| Login-Daten, IP-Adressen | Nutzer des Verantwortlichen | Authentifizierung, Sicherheit |
(1)Zweck der Verarbeitung ist ausschließlich die Erbringung der vertraglich vereinbarten Leistungen.
(2)Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Software gilt als solche Weisung.
3 Pflichten des Auftragsverarbeiters
(1)Verarbeitung ausschließlich auf Weisung des Verantwortlichen, nicht für eigene Zwecke.
(2)Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.
(3)Umsetzung der technischen und organisatorischen Maßnahmen (TOM) gemäß Art. 32 DSGVO (siehe § 7).
(4)Unterstützung des Verantwortlichen bei Anfragen betroffener Personen (Auskunft, Löschung, Berichtigung).
(5)Information des Verantwortlichen, wenn eine Weisung gegen Datenschutzrecht verstößt.
(6)Meldung von Datenschutzverletzungen unverzüglich, spätestens innerhalb von 72 Stunden nach Bekanntwerden.
(7)Löschung oder Rückgabe aller Daten nach Vertragsende, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.
4 Pflichten des Verantwortlichen
(1)Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich.
(2)Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich über Fehler bei der Verarbeitung.
(3)Der Verantwortliche ist für die Informationspflichten gegenüber den betroffenen Personen verantwortlich.
5 Unterauftragsverarbeiter (Subprozessoren)
(1)Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:
| Anbieter | Sitz | Zweck | Rechtsgrundlage |
|---|
Strato AG
Pascalstraße 10, 10587 Berlin | Deutschland (EU) | Hosting, Serverinfrastruktur, Datenbank | Art. 28 DSGVO (AVV mit Strato) |
Anthropic PBC
548 Market St, SF, USA | USA (Drittland) | OCR / KI-Texterkennung (nur bei Nutzung der Scan-Funktion, optional) | EU-Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO |
(2)Änderungen der Subprozessoren werden mit einer Frist von mindestens 30 Tagen mitgeteilt. Der Verantwortliche kann innerhalb dieser Frist schriftlich widersprechen.
(3)Der Auftragsverarbeiter schließt mit Unterauftragsverarbeitern datenschutzrechtlich gleichwertige Verträge.
6 Datenübermittlung in Drittländer
(1)Eine Übermittlung in Länder außerhalb der EU/des EWR erfolgt nur bei Nutzung der optionalen OCR-Funktion (Anthropic PBC, USA).
(2)Die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.
(3)Die OCR-Funktion ist optional. Durch Nicht-Nutzung der Scan-Funktion findet keine Drittlandübermittlung statt.
7 Technische und Organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter trifft folgende Maßnahmen gemäß Art. 32 DSGVO:
Zutrittskontrolle
Serverinfrastruktur in Rechenzentren der Strato AG mit physischer Zugangskontrolle (ISO 27001).
Zugangskontrolle
Passwörter mit bcrypt (Cost 12) gehasht. Automatische Session-Timeouts. Rate-Limiting bei Login.
Zugriffskontrolle
Strikte Mandantentrennung: Alle DB-Abfragen sind technisch auf die user_id des eingeloggten Nutzers beschränkt.
Weitergabekontrolle
Alle Datenübertragungen ausschließlich über HTTPS/TLS-verschlüsselte Verbindungen. HTTPS-Pflicht per .htaccess.
Eingabekontrolle
GoBD-konformes Audit-Log: Festschreibungen, Stornierungen und Exporte werden mit Zeitstempel und IP protokolliert.
Verfügbarkeitskontrolle
Regelmäßige automatische Datensicherungen durch Strato AG. E-Mail-Verifizierung bei Registrierung.
Trennungskontrolle
Strikte Datentrennung zwischen Nutzern auf Datenbankebene. Kein Nutzer kann Daten anderer einsehen.
Pseudonymisierung
Login-Fehlversuche werden anonym protokolliert. Passwörter werden nie im Klartext gespeichert.
8 Kontrollrechte und Schlussbestimmungen
(1)Der Verantwortliche hat das Recht, die Einhaltung dieses AVV zu prüfen, auch durch Dritte. Der Auftragsverarbeiter unterstützt Prüfungen im zumutbaren Umfang mit mindestens 5 Werktagen Vorlaufzeit.
(2)Dieser AVV unterliegt deutschem Recht. Gerichtsstand ist Hannover.
(3)Änderungen dieses AVV werden dem Verantwortlichen mindestens 30 Tage im Voraus mitgeteilt.
Stand: 22.10.2026