Vertrag zur Auftragsverarbeitung (AVV)

Verantwortlicher im Sinne dieses Vertrages ist der registrierte Nutzer (Unternehmer), der die Anwendung zur Erstellung seiner Verfahrensdokumentation nutzt. Auftragsverarbeiter ist Vanessa Schumacher, Marienstraße 40, 50374 Erftstadt, Deutschland, info@verfahrensdokumentation-einfach.de.

§ 1 Gegenstand und Dauer. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der Anwendung „Verfahrensdokumentation einfach". Er gilt ab Registrierung und für die Dauer des Nutzungsverhältnisses. Die Kündigung des Nutzungsverhältnisses beendet auch diesen Vertrag.

§ 2 Zweck, Art und Umfang der Verarbeitung. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung der SaaS-Leistungen (Erfassung, Speicherung, Vorschau und PDF-Export von Verfahrensdokumentationen sowie Nutzerverwaltung und Support) und nur nach dokumentierter Weisung des Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken, insbesondere zur Profilbildung oder Weitergabe an Dritte zu Werbezwecken, findet nicht statt.

§ 3 Art der Daten und Kategorien betroffener Personen. Verarbeitet werden: Stammdaten des Unternehmens und des Inhabers (Name, Anschrift, Steuernummer, USt-IdNr.), Kontaktdaten (E-Mail), Zugangsdaten, im Assistenten eingegebene Angaben zu Organisation und IT sowie Nutzungs- und Protokolldaten. Betroffene Personen sind der Verantwortliche selbst sowie von ihm benannte Personen (z. B. Mitarbeitende mit Zugriffsrechten, Vertretung, Steuerberatung).

§ 4 Weisungsrecht. Die Verarbeitung erfolgt ausschließlich im Rahmen der Weisungen des Verantwortlichen. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies mit und darf die Ausführung aussetzen. Weisungen werden in Textform (auch E-Mail) erteilt und dokumentiert.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO). Der Auftragsverarbeiter trifft und dokumentiert insbesondere folgende Maßnahmen: Transportverschlüsselung (TLS) für alle Verbindungen, Verschlüsselung der Daten im Ruhezustand, rollen- und mandantenbezogene Zugriffskontrolle (jeder Nutzer sieht ausschließlich seine eigenen Dokumentationen), Authentifizierung über Passwort oder Single-Sign-On, Protokollierung sicherheitsrelevanter Vorgänge, regelmäßige automatisierte Backups mit Wiederherstellungstests, Trennung von Test- und Produktivdaten sowie Verpflichtung aller Zugriffsberechtigten auf Vertraulichkeit.

§ 6 Unterauftragsverarbeiter. Der Verantwortliche stimmt der Einbindung folgender Unterauftragsverarbeiter zu: Base44 Ltd. (Anwendungs- und Datenbank-Hosting), Google Cloud/Google Ireland Ltd. (Infrastruktur, Single-Sign-On) und Stripe Payments Europe Ltd. (Zahlungsabwicklung). Mit allen Unterauftragsverarbeitern bestehen Verträge mit den Pflichten dieses Vertrages. Über den Wechsel oder die Hinzunahme weiterer Unterauftragsverarbeiter wird der Verantwortliche vorab informiert; er kann innerhalb von 14 Tagen widersprechen und in diesem Fall den Vertrag kündigen.

§ 7 Ort der Verarbeitung und Drittlandtransfer. Die Verarbeitung findet grundsätzlich innerhalb der EU/des EWR statt. Soweit im Einzelfall eine Verarbeitung in einem Drittland erfolgt, geschieht dies nur auf Grundlage eines Angemessenheitsbeschlusses oder der EU-Standardvertragsklauseln nebst ergänzender Schutzmaßnahmen.

§ 8 Vertraulichkeit. Alle mit der Verarbeitung befassten Personen sind auf das Datengeheimnis verpflichtet und über die einschlägigen Datenschutzvorschriften unterrichtet. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus.

§ 9 Unterstützungspflichten. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 15–22 DSGVO), bei Datenschutz-Folgenabschätzungen und bei Meldepflichten. Anfragen betroffener Personen, die direkt beim Auftragsverarbeiter eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet.

§ 10 Meldung von Datenschutzverletzungen. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten und stellt die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit.

§ 11 Kontrollrechte und Nachweise. Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrages zu überprüfen. Nachweise erfolgen vorrangig durch Auskünfte und Dokumentation der Maßnahmen; Vor-Ort-Kontrollen sind nach angemessener Vorankündigung während der Geschäftszeiten und ohne Störung des Betriebs möglich.

§ 12 Löschung und Rückgabe. Nach Beendigung des Vertrages werden die verarbeiteten Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, sobald keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Verantwortliche kann seine Dokumentation jederzeit selbst als PDF exportieren. Für steuerlich relevante Unterlagen bleiben die gesetzlichen Aufbewahrungsfristen unberührt; insoweit werden die Daten gesperrt statt gelöscht.

§ 13 Haftung und Schlussbestimmungen. Es gilt Art. 82 DSGVO. Änderungen dieses Vertrages bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.

Stand: 2026. Diesen Vertrag können Sie jederzeit unter „AVV" im Impressum-Bereich abrufen oder per E-Mail als Kopie anfordern.