Vertrag zur Auftragsverarbeitung (AVV)

Anwendungsbereich

Eine Auftragsverarbeitung im Sinne dieses AVV liegt insbesondere vor bei:

• dem Telefonservice (Modul E der AGB): Entgegennahme von Anrufen sowie Erfassung und Weitergabe von Gesprächsnotizen und Nachrichten Dritter (z. B. Anrufer, Geschäftspartner des Kunden) für den Kunden;
• dem Post-, Scan- und Weiterleitungsservice (Modul B der AGB): Annahme, Erfassung, Digitalisierung und Weiterleitung eingehender Geschäftspost, soweit diese personenbezogene Daten Dritter enthält.

Die Verarbeitung der Vertrags-, Stamm-, Identitäts- und Abrechnungsdaten des Kunden selbst (insbesondere Bestellung, KYC/Geldwäscheprüfung, Rechnungsstellung, Kundenkonto) erfolgt durch den Anbieter in eigener Verantwortlichkeit und ist nicht Gegenstand dieses AVV.

§ 1 Parteien und Rollen

(1) Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde (nachfolgend „Verantwortlicher“).

(2) Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist Büro- und IT Service Strate, Inhaber Michael Strate, Hans-Böckler-Str. 21, 40764 Langenfeld (nachfolgend „Auftragsverarbeiter“ oder „Anbieter“). Kontakt: kontakt@flex-adresse.de, Telefon +49 2173 937 721 0.

(3) Begriffe dieses AVV (z. B. „personenbezogene Daten“, „Verarbeitung“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“) sind im Sinne der DSGVO zu verstehen.

§ 2 Gegenstand, Art, Zweck und Dauer der Verarbeitung

(1) Gegenstand der Verarbeitung ist die Erbringung der vom Verantwortlichen gebuchten Leistung im Anwendungsbereich dieses AVV.

(2) Art und Zweck der Verarbeitung: Entgegennahme, Erfassung, Speicherung, Strukturierung, Übermittlung an den Verantwortlichen und Löschung personenbezogener Daten zum Zweck der Anruf- bzw. Postbearbeitung im Auftrag des Verantwortlichen. Eine darüber hinausgehende Nutzung, insbesondere zu eigenen Zwecken, erfolgt nicht.

(3) Art der Daten: insbesondere Name und Kontaktdaten von Anrufern und Absendern, Telefonnummern, E-Mail- und Postanschriften, Inhalte von Nachrichten, Gesprächsnotizen und Sendungen sowie zugehörige Metadaten (Zeitpunkt, Betreff, Status). Der Verantwortliche stellt sicher, dass besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) nur übermittelt oder veranlasst werden, wenn dies erforderlich ist und eine taugliche Rechtsgrundlage besteht.

(4) Kategorien betroffener Personen: Anrufer, Absender und Empfänger von Sendungen, Geschäftspartner, Interessenten und sonstige Dritte, deren Daten der Verantwortliche durch die Inanspruchnahme der Leistung verarbeiten lässt.

(5) Dauer: Die Verarbeitung erfolgt für die Laufzeit des zugrunde liegenden Hauptvertrags über die jeweilige Leistung. Dieser AVV endet automatisch mit Beendigung des Hauptvertrags; die Pflichten zur Löschung bzw. Rückgabe nach § 10 bleiben bestehen.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung in Drittländer, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Weisungen werden im Regelfall durch die im Bestell- und Leistungsprozess getroffenen Festlegungen (gebuchter Leistungsumfang, hinterlegte Bearbeitungs- und Weiterleitungsvorgaben) erteilt. Ergänzende oder abweichende Einzelweisungen erteilt der Verantwortliche in Textform an die oben genannte Kontaktadresse.

(3) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter gewährleistet insbesondere:

(1) Vertraulichkeit. Er setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und macht sie mit den einschlägigen Datenschutzbestimmungen vertraut (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(2) Sicherheit der Verarbeitung. Er ergreift die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die zum Zeitpunkt des Vertragsschlusses geltenden Maßnahmen sind in Anlage 1 beschrieben. Der Auftragsverarbeiter darf Maßnahmen weiterentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.

(3) Unterstützung bei Betroffenenrechten. Er unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen nach Möglichkeit bei der Erfüllung von Anträgen betroffener Personen (Art. 12–23 DSGVO) und leitet an ihn gerichtete Anträge unverzüglich weiter (Art. 28 Abs. 3 lit. e DSGVO).

(4) Unterstützung bei sonstigen Pflichten. Er unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) (Art. 28 Abs. 3 lit. f DSGVO).

(5) Nachweis und Information. Er stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen nach § 7 (Art. 28 Abs. 3 lit. h DSGVO).

(6) Datenschutzbeauftragter. Ein Datenschutzbeauftragter ist nach den gesetzlichen Voraussetzungen derzeit nicht zu benennen. Ansprechstelle für Datenschutzfragen ist die in § 1 Abs. 2 genannte Kontaktadresse.

§ 5 Verzeichnis von Verarbeitungstätigkeiten

Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt es der Aufsichtsbehörde sowie auf Anforderung dem Verantwortlichen zur Verfügung.

§ 6 Unterauftragsverhältnisse

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter (Unterauftragnehmer) nach Art. 28 Abs. 2 Satz 2 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragnehmer sind in Anlage 2 aufgeführt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragnehmern in Textform (z. B. per E-Mail oder im Kundenportal) und gibt ihm damit die Möglichkeit, gegen derartige Änderungen Einspruch zu erheben (Art. 28 Abs. 2 Satz 2 DSGVO). Der Einspruch ist binnen vier Wochen ab Zugang der Information in Textform zu erheben und muss auf sachlichen, datenschutzrechtlichen Gründen beruhen. Erhebt der Verantwortliche fristgerecht Einspruch und kann eine einvernehmliche Lösung nicht gefunden werden, ist der Verantwortliche berechtigt, die betroffene Leistung außerordentlich zu kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragnehmer durch Vertrag auf Datenschutzpflichten, die denen dieses AVV entsprechen, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragnehmers.

(4) Eine Übermittlung an Unterauftragnehmer in Drittländern erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien wie EU-Standardvertragsklauseln. Reine Hilfsleistungen wie Telekommunikations- oder Postdienste, die der Auftragsverarbeiter in eigener Verantwortung als üblichen Nebendienst in Anspruch nimmt, gelten nicht als Unterauftragsverhältnis im Sinne dieses Paragraphen.

§ 7 Kontroll- und Prüfrechte

(1) Der Auftragsverarbeiter ermöglicht dem Verantwortlichen die Überprüfung der Einhaltung der in diesem AVV festgelegten Pflichten in angemessenem Umfang und trägt zu Überprüfungen, einschließlich Inspektionen, bei (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis kann nach Wahl des Auftragsverarbeiters auch durch aktuelle Testate, Zertifikate, Berichte oder Auszüge unabhängiger Stellen oder durch eine geeignete Selbstauskunft (insbesondere die in Anlage 1 beschriebenen Maßnahmen) erbracht werden.

(3) Vor-Ort-Prüfungen sind nach rechtzeitiger Vorankündigung in Textform, zu den üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und in der Regel höchstens einmal jährlich zulässig; anlassbezogene Prüfungen bei konkreten Vorfällen bleiben unberührt. Geheimhaltungs- und Sicherheitsinteressen des Auftragsverarbeiters sowie Rechte Dritter sind zu wahren. Der eigene Aufwand des Auftragsverarbeiters für über die Mitwirkungspflicht hinausgehende Prüfungen kann angemessen vergütet werden.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes der im Auftrag verarbeiteten personenbezogenen Daten unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält, soweit verfügbar, mindestens eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Abhilfe.

(3) Meldungen einer betroffenen Person oder der Aufsichtsbehörde nach Art. 33, 34 DSGVO obliegen dem Verantwortlichen. Der Auftragsverarbeiter unterstützt ihn hierbei im erforderlichen Umfang.

§ 9 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte betroffener Personen verantwortlich. Er stellt sicher, dass für die im Auftrag durchgeführte Verarbeitung eine taugliche Rechtsgrundlage besteht und betroffene Personen, soweit erforderlich, informiert sind.

(2) Er erteilt Weisungen nach § 3 in Textform und benennt eine für den Auftrag weisungsberechtigte und empfangsbevollmächtigte Ansprechperson.

§ 10 Löschung und Rückgabe nach Beendigung

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche im Auftrag verarbeiteten personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Daten, die der Auftragsverarbeiter aufgrund eigener gesetzlicher Aufbewahrungspflichten weiter vorhalten muss (z. B. handels- und steuerrechtliche Belege), werden für die Dauer der Aufbewahrungsfrist gesperrt und anschließend gelöscht.

§ 11 Haftung

(1) Im Außenverhältnis gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis der Parteien gelten die Haftungsregelungen des Hauptvertrags (AGB) ergänzend, soweit sie zwingenden gesetzlichen Vorgaben nicht entgegenstehen.

(2) Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Dritter frei, die darauf beruhen, dass die Verarbeitung ohne taugliche Rechtsgrundlage erfolgte oder Weisungen des Verantwortlichen datenschutzwidrig waren, soweit der Auftragsverarbeiter dies nicht zu vertreten hat.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag (AGB) gehen die Regelungen dieses AVV für Fragen des Datenschutzes vor.

(2) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist – soweit zulässig – der Geschäftssitz des Auftragsverarbeiters in Langenfeld.

(3) Sollte eine Bestimmung dieses AVV unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt die gesetzlich zulässige Regelung, die dem mit der unwirksamen Bestimmung verfolgten Zweck am nächsten kommt.

(4) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle. Die Anwendung wird auf einem Server in einem Rechenzentrum des Hosting-Dienstleisters (STRATO GmbH) betrieben; der physische Zutritt unterliegt den Sicherungsmaßnahmen des Rechenzentrums. Die Geschäftsräume am Standort Langenfeld sind gegen unbefugten Zutritt gesichert; Akten und Sendungen werden verschlossen aufbewahrt.

Zugangskontrolle. Der Zugang zu Kunden- und Administrationskonten erfordert die Anmeldung mit E-Mail-Adresse, Kundennummer und Passwort sowie eine verpflichtende Zwei-Faktor-Authentifizierung (TOTP). Passwörter werden ausschließlich als Argon2id-Hash gespeichert; Wiederherstellungscodes werden ebenfalls nicht im Klartext vorgehalten. Sitzungen nutzen Secure-, HttpOnly- und SameSite-Cookies, werden rotiert und sind serverseitig widerrufbar. Anmelde-, Aktivierungs-, 2FA- sowie Code-Versandvorgänge sind durch Rate-Limits geschützt.

Zugriffskontrolle. Es bestehen ausschließlich die Rollen „customer“ und „admin“; Authentifizierungs-, Rollen- und Freigabeentscheidungen werden serverseitig durchgesetzt. Personenbezogene Daten, Bestellinhalte, Bankdaten, TOTP-Geheimnisse und Dokumente werden mit XChaCha20-Poly1305 verschlüsselt gespeichert; die Schlüssel werden zweckgebunden und getrennt aus einem 256-Bit-Master-Key abgeleitet, der außerhalb des Webroots und getrennt von Datenbank-Backups aufbewahrt wird. Der Anwendungs-Datenbankbenutzer besitzt nur Lese-/Schreibrechte (DML), keine Schemarechte. Hochgeladene Dokumente liegen verschlüsselt außerhalb des öffentlichen Webroots und werden nur nach Authentifizierung und Berechtigungsprüfung ausgeliefert; jeder Zugriff wird protokolliert.

Trennungskontrolle. Daten werden zweckgebunden verarbeitet und über Mandanten-, Konto- und Rollentrennung logisch getrennt. Such- und Zuordnungsfunktionen für sensible Werte erfolgen ausschließlich über zweckgebundene, nicht umkehrbare HMAC-Blind-Indizes; Klartextspalten für solche Werte werden nicht geführt.

Pseudonymisierung und Verschlüsselung. Personenbezogene Inhalte werden anwendungsseitig verschlüsselt; suchbare Merkmale werden pseudonymisiert über Blind-Indizes abgebildet. Der digitale Kundenausweis verwendet ein zufälliges, widerrufbares Token ohne Personen- oder Vertragsdaten im Token selbst.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Übertragungs- und Weitergabekontrolle. Sämtliche Webverbindungen sind per TLS (Let's Encrypt, automatische Erneuerung) verschlüsselt; HTTP wird auf HTTPS umgeleitet. Der E-Mail-Versand erfolgt über authentifiziertes SMTP mit direktem TLS sowie Zertifikats- und Hostnamenprüfung. Aufrufe externer Schnittstellen (Zahlungs-, Identitäts-, SMS- und Buchhaltungsdienst) erfolgen ausschließlich serverseitig über verschlüsselte Verbindungen; Zugangsdaten werden nicht an den Browser ausgegeben.

Eingabekontrolle. Sicherheitsrelevante Vorgänge werden in einem Audit-Log mit verschlüsselten Metadaten und IP-Adresse protokolliert. Administrative Korrekturen und Stornierungen werden mit internem Grund revisionsnah festgehalten. Datenbankzugriffe erfolgen ausschließlich über PDO mit vorbereiteten Statements. Eingehende Webhooks werden fail-closed über Signaturprüfung validiert; zustandsändernde Formulare sind durch CSRF-Schutz abgesichert.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

Verfügbarkeitskontrolle. Der Betrieb erfolgt in der Infrastruktur eines professionellen Hosting-Dienstleisters mit entsprechenden Maßnahmen gegen Strom- und Netzausfälle. Vor produktiven Änderungen werden Sicherungen des Webroots erstellt; ein Rollback-Verfahren ist definiert. Hochgeladene Dokumente und der Entschlüsselungsschlüssel werden so behandelt, dass destruktive Eingriffe vermieden werden.

Belastbarkeit und Wiederherstellbarkeit. Die Anwendung wird vor Änderungen durch Syntax- und Integrationstests sowie Smoke-Tests geprüft. Verfahren für verschlüsselte Offsite-Sicherungen und regelmäßige Wiederherstellungstests werden eingerichtet bzw. ausgebaut.

Hinweis: Soweit einzelne Maßnahmen (z. B. verschlüsselte Offsite-Backups mit regelmäßigen Restore-Tests oder ein Malware-Scan für Uploads) noch im Aufbau sind, wird dieser Stand vor dem Produktivbetrieb aktualisiert.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

Datenschutz-Management. Es gelten verbindliche interne Arbeits- und Sicherheitsregeln (u. a. Verbot des Committens von Geheimnissen und Echtdaten, Pflicht zur Verschlüsselung personenbezogener Daten, serverseitige Durchsetzung von Berechtigungen). Änderungen durchlaufen einen kontrollierten Freigabe- und Deploymentprozess.

Auftragskontrolle. Unterauftragnehmer werden vertraglich nach Art. 28 DSGVO verpflichtet. Externe Dienste werden nur nach Prüfung von Erforderlichkeit, Rechtsgrundlage und Datenschutzdokumentation eingebunden; Secrets werden ausschließlich aus nicht versionierter Konfiguration bzw. einem geschützten Speicher gelesen.

Datenminimierung und Datensparsamkeit. Es werden keine Analyse-, Tracking- oder Marketing-Dienste eingesetzt. Es wird ausschließlich ein technisch erforderliches Sitzungscookie verwendet. Daten werden zweckgebunden erhoben und nach Wegfall des Zwecks bzw. nach Maßgabe von § 10 gelöscht.

Veriff OÜ (Identitätsprüfung) und PayPal (Europe) S.à r.l. et Cie, S.C.A. (Zahlungsabwicklung) werden für Verarbeitungen in eigener Verantwortlichkeit des Anbieters bzw. als eigenständig Verantwortliche eingesetzt und gehören nicht zum Anwendungsbereich dieses AVV; Einzelheiten enthält die Datenschutzerklärung. Reine Telekommunikations- und Postdienstleister, die der Anbieter als üblichen Nebendienst in Anspruch nimmt, gelten nicht als Unterauftragnehmer im Sinne der Anlage 2.