Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag konkretisiert die Pflichten der Parteien im Zusammenhang mit der datenschutzrechtlichen Auftragsverarbeitung gemäß Art. 28 DSGVO. Er gilt ergänzend zum Nutzungsverhältnis zwischen Ihnen als Verantwortlichem und Dominik Weindl (Rechnungsstube), Konradstraße 10, 85737 Ismaning, als Auftragsverarbeiter.

1. Gegenstand und Dauer

Gegenstand der Verarbeitung sind die von Ihnen in Rechnungsstube hinterlegten personenbezogenen Daten Ihrer Kundinnen und Kunden zum Zweck des automatisierten Zahlungserinnerungsversands. Die Vertragsdauer entspricht der Laufzeit des Hauptvertrags (Abonnement bei Rechnungsstube). Betroffene Personen sind die Kundinnen und Kunden (Debitoren) des Verantwortlichen; verarbeitet werden insbesondere Name, Anschrift, Kontaktdaten sowie Rechnungs- und Zahlungsdaten.

2. Art und Zweck der Verarbeitung

Speicherung, Auslesung und Verarbeitung von Rechnungs- und Debitorendaten zur Erstellung und zum Versand von Zahlungserinnerungen im Namen des Verantwortlichen, einschließlich automatisierter Texterkennung hochgeladener Rechnungsbelege.

3. Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt die in der Datenschutzerklärung genannten Unterauftragsverarbeiter ein. Über einen Wechsel oder die Hinzuziehung weiterer Unterauftragsverarbeiter wird rechtzeitig informiert; der Verantwortliche kann diesem widersprechen.

4. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, insbesondere Zugriffskontrolle über organisationsbezogene Berechtigungen (Row Level Security), Verschlüsselung während der Übertragung sowie Speicherung der Kerndaten auf einer selbst gehosteten Infrastruktur in Deutschland.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter (Art. 28 Abs. 3 DSGVO)

• verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf eine etwaige Übermittlung in ein Drittland, sofern er nicht durch das Recht der EU oder eines Mitgliedstaats hierzu verpflichtet ist (lit. a);
• gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind (lit. b);
• trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (siehe Ziffer 4, lit. c);
• zieht weitere Unterauftragsverarbeiter nur unter den Bedingungen der Ziffer 3 hinzu (lit. d);
• unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenanfragen (Art. 12–23 DSGVO) (lit. e);
• unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO, insbesondere bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen (lit. f);
• meldet dem Verantwortlichen eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich;
• löscht oder gibt nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Abschluss der Verarbeitung zurück und löscht vorhandene Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht (lit. g);
• stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen (lit. h).

Der Verantwortliche bleibt für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen verantwortlich.