Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Abs. 3 DSGVO

Zwischen dem Nutzer des Dienstes stripe2sevdesk (nachfolgend „Auftraggeber“)
und
Philipp Dormann IT Dienstleistungen, Sandäcker 5, 91074 Herzogenaurach (nachfolgend „Auftragnehmer“)

1. Gegenstand und Dauer der Vereinbarung

1.1
Der Auftragnehmer stellt dem Auftraggeber die SaaS-Lösung stripe2sevdesk zur Verfügung. Im Rahmen dieser Tätigkeit verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers im Sinne des Art. 28 DSGVO.

1.2
Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des Hauptvertrages (Nutzungsverhältnis der Software).

2. Art und Zweck der Verarbeitung

Zweck der Verarbeitung ist die automatisierte Synchronisierung von Transaktionsdaten zwischen dem Stripe-Konto und dem sevdesk-Account des Auftraggebers.

• Art der Daten: Stammdaten (Name, E-Mail), Rechnungsdaten (Betrag, Währung, Steuer), Transaktionsmetadaten (ID, Zeitstempel).

• Betroffene Personen: Kunden des Auftraggebers (Zahlungspflichtige).

3. Pflichten des Auftragnehmers (stripe2sevdesk)

3.1
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers.
Die Einrichtung der API-Verbindung durch den Auftraggeber gilt als fundamentale Weisung.

3.2
Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten berechtigten Personen zur Vertraulichkeit verpflichtet haben.

3.3
Der Auftragnehmer setzt technische und organisatorische Maßnahmen (TOM) um, die ein dem Risiko angemessenes Schutzniveau gewährleisten (siehe Punkt 8).

4. Unterauftragsverhältnisse

4.1
Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen.

4.2
Zum Zeitpunkt des Vertragsschlusses nutzt der Auftragnehmer folgende Unterauftragsverarbeiter (Infrastruktur & Hosting innerhalb der EU/Deutschland):

- Hetzner Online GmbH (Hosting/Serverstandort Deutschland/Finnland)
- netcup GmbH (Hosting/Serverstandort Deutschland/Österreich)
- IONOS SE (Hosting/Serverstandort Deutschland)

4.3
Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter.

5. Rechte und Pflichten des Auftraggebers

5.1
Der Auftraggeber ist allein verantwortlich für die Beurteilung der Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte von Betroffenen.

5.2
Der Auftraggeber ist dafür verantwortlich, dass die Datenquelle (Stripe) und das Zielsystem (sevdesk) korrekt konfiguriert sind.

6. Kontrollbefugnisse des Auftraggebers

6.1
Der Auftraggeber ist berechtigt, die Einhaltung der gesetzlichen und vertraglichen Vorschriften zum Datenschutz und zur Datensicherheit vor Beginn der Datenverarbeitung und während der
Vertragslaufzeit regelmäßig, im erforderlichen Umfang, zu kontrollieren.
Der Auftragnehmer muss diese Überprüfungen – einschließlich Inspektionen – die vom Auftraggeber oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, zu ermöglichen und zu diesen beizutragen.

6.2
Der Auftraggeber sorgt dafür, dass die Kontrollmaßnahmen verhältnismäßig sind und nicht
zu einer übermäßigen Beeinträchtigung des Geschäftsbetriebs führen.
In der Regel soll eine Prüfung nur nach vorheriger Anmeldung erfolgen, es sei denn, die vorherige Anmeldung würde den Kontrollzweck gefährden.
Wenn der Auftraggeber einen Prüfer bestellt, darf dieser nicht im unmittelbaren Wettbewerbsverhältnis zum Auftragnehmer stehen.

6.3
Die Ergebnisse der Kontrollen sind vom Auftraggeber in geeigneter Weise zu protokollieren.

6.4
Der Auftragnehmer verpflichtet sich, dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Verpflichtungen zur Verfügung zu stellen.

7. Löschung und Rückgabe

Nach Beendigung des Vertragsverhältnisses löscht der Auftragnehmer alle auftragsbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

8. Technische und Organisatorische Maßnahmen (TOMs)

1. Zutrittskontrolle:
   Datenverarbeitung erfolgt ausschließlich in gesicherten Rechenzentren (EU-Standort).

2. Zugangskontrolle:
   Zugriff auf die Datenbank ist passwortgeschützt und auf das notwendige Minimum beschränkt.

3. Zugriffskontrolle:
   Zugriffskontrolle (starke Passwörter, 2FA)
   

4. Übertragungskontrolle:
   Die Übertragung von Stripe zu sevdesk erfolgt ausschließlich über eine SSL/TLS-verschlüsselte HTTPS-Verbindung.

5. Verfügbarkeit:
   Regelmäßige Backups und eine redundante Serverstruktur stellen die Verfügbarkeit sicher.

6. Verfahren zur regelmäßigen Überprüfung
   Regelmäßige Updates der Softwarekomponenten und Sicherheitsüberprüfungen.

9. Haftung und Schlussbestimmungen

9.1
Es gelten die Haftungsregelungen des Hauptvertrages (AGB), soweit nicht die spezialgesetzliche Haftung gemäß Art. 82 DSGVO vorgeht.

9.2
Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Gültigkeit der übrigen Bestimmungen nicht.