Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag einschließlich seiner Anlagen konkretisiert die datenschutzrechtlichen Pflichten zwischen dem Kunden als Auftraggeber und accuno Boy & Dzialek GbR als Auftragnehmer bei der Nutzung von accuno. Er ist Bestandteil des Hauptvertrags und gilt, soweit der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Handelt der Auftraggeber seinerseits als Auftragsverarbeiter, gelten die Regelungen entsprechend für den Auftragnehmer als weiteren Auftragsverarbeiter.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die in Anlage 1 beschriebene Verarbeitung personenbezogener Daten zur Bereitstellung, Absicherung und Unterstützung der webbasierten Buchhaltungssoftware.

(2) Dieser AVV tritt mit dem Hauptvertrag beziehungsweise der Aktivierung einer Funktion in Kraft, die Auftragsverarbeitung voraussetzt. Er gilt für deren Dauer und darüber hinaus, solange der Auftragnehmer noch auftragsbezogene Daten besitzt.

§ 2 Art, Zweck und Umfang

Art, Zweck, Umfang, Datenarten und betroffene Personengruppen ergeben sich aus Anlage 1, dem Hauptvertrag, den vom Auftraggeber aktivierten Funktionen und seinen dokumentierten Weisungen. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet mit Kundeninhalten nicht statt, soweit nicht eine gesonderte gesetzliche Erlaubnis oder Verpflichtung besteht.

Verarbeitungen, für die accuno selbst Verantwortlicher ist (insbesondere Vertragsverwaltung, Abrechnung und Sicherheit des eigenen Dienstes), richten sich nach der Datenschutzerklärung und sind nicht Gegenstand dieses AVV.

§ 3 Weisungen und Verantwortlichkeit

(1) Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers, einschließlich zur Übermittlung in Drittländer, soweit keine unionsrechtliche oder mitgliedstaatliche Pflicht entgegensteht. In diesem Fall informiert er den Auftraggeber vor der Verarbeitung, sofern das Gesetz dies nicht aus wichtigem öffentlichem Interesse untersagt.

(2) Hauptvertrag, dieser AVV, die Produktkonfiguration und die Nutzung einzelner Funktionen sind dokumentierte Weisungen. Weitere Weisungen erfolgen in Textform über die vereinbarten Support- oder Vertragskanäle. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt, und darf ihre Ausführung bis zur Klärung aussetzen.

(3) Der Auftraggeber ist für Zulässigkeit, Transparenz, Datenminimierung, Richtigkeit und die Wahrung der Betroffenenrechte verantwortlich. Er stellt sicher, dass seine Weisungen und die Nutzung insbesondere von Bank-, E-Mail- und KI- sowie Steuerübermittlungsfunktionen rechtmäßig sind.

(4) Soweit die optionale ELSTER-Funktion gesondert freigeschaltet ist, gelten die vom Auftraggeber ausgelöste ERiC-Prüfung, Vorschauerzeugung und ausdrückliche Versandfreigabe als dokumentierte Weisung zur Verarbeitung und, erst im Versandfall, zur Übermittlung an die vom Auftraggeber bestimmte zuständige deutsche Finanzbehörde. Die Finanzbehörde ist Empfänger in eigener Verantwortlichkeit und kein weiterer Auftragsverarbeiter des Auftragnehmers. Der Auftraggeber stellt Rechtsgrundlage, Übermittlungsbefugnis, Vollmachten, Empfängerauswahl und steuerfachliche Richtigkeit sicher.

§ 4 Pflichten des Auftragnehmers

• Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b DSGVO und Beschränkung des Zugriffs auf berechtigte Personen,
• Umsetzung und dokumentierte Überprüfung angemessener technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO,
• Unterstützung bei Betroffenenanfragen und bei den Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen,
• Information über eine Verletzung des Schutzes auftragsbezogener personenbezogener Daten ohne unangemessene Verzögerung mit den jeweils verfügbaren Angaben zu Art, Umfang, Folgen und Gegenmaßnahmen,
• Bereitstellung der für den Nachweis der Pflichterfüllung erforderlichen Informationen und Ermöglichung von Kontrollen nach § 9.

Anfragen betroffener Personen, Behörden oder Dritter zu Kundeninhalten beantwortet der Auftragnehmer nicht eigenständig, sofern keine gesetzliche Pflicht besteht. Er leitet sie unverzüglich an den Auftraggeber weiter. Der Auftragnehmer berichtigt, sperrt, exportiert oder löscht Daten nur auf dokumentierte Weisung oder durch eine vom Auftraggeber ausgelöste Produktfunktion.

§ 5 Weitere Auftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine schriftliche Genehmigung für die in Anlage 3 genannten weiteren Auftragsverarbeiter. Der Auftragnehmer informiert mindestens 14 Tage vor einer beabsichtigten Hinzuziehung oder Ersetzung in Textform. Bei einer unaufschiebbaren sicherheits- oder rechtsbedingten Änderung darf die Information unverzüglich nachgeholt werden.

(2) Der Auftraggeber kann innerhalb der Ankündigungsfrist aus nachweisbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien suchen eine zumutbare Lösung. Ist eine solche nicht möglich, kann der Auftragnehmer die betroffene Funktion nicht bereitstellen; jede Partei darf den davon betroffenen Leistungsteil aus wichtigem Grund beenden.

(3) Der Auftragnehmer verpflichtet jeden weiteren Auftragsverarbeiter vertraglich mindestens zu den hier geschuldeten Datenschutzpflichten und bleibt dem Auftraggeber für dessen Pflichterfüllung verantwortlich.

§ 6 Technische und organisatorische Maßnahmen

(1) Die in Anlage 2 beschriebenen Maßnahmen bilden den bei Vertragsschluss dokumentierten Stand. Sie werden risikoorientiert weiterentwickelt. Gleichwertige oder stärkere Maßnahmen dürfen eingesetzt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

(2) Der Auftraggeber bewertet, ob die Maßnahmen für seine konkreten Datenarten, Zwecke und Risiken ausreichen, und teilt besondere Schutzbedarfe vor der Verarbeitung mit. Besondere Kategorien personenbezogener Daten sind nicht als regulärer Verarbeitungszweck vorgesehen.

Allgemeine produktbezogene Informationen enthält die Seite Sicherheit und Datenschutz. Maßgeblich ist Anlage 2 dieses AVV.

§ 7 Drittlandübermittlungen

Auftragsbezogene Daten werden nur auf dokumentierte Weisung und unter Einhaltung der Art. 44 ff. DSGVO in ein Drittland übermittelt. Der Auftragnehmer stützt sich auf einen Angemessenheitsbeschluss oder geeignete Garantien, insbesondere EU-Standardvertragsklauseln, und ergreift erforderlichenfalls ergänzende Maßnahmen. Auf Anfrage stellt er Informationen zu den einschlägigen Garantien bereit, soweit Rechte Dritter und Geschäftsgeheimnisse gewahrt bleiben.

§ 8 Meldung und Unterstützung bei Sicherheitsvorfällen

Der Auftragnehmer meldet bestätigte Verletzungen des Schutzes auftragsbezogener Daten ohne unangemessene Verzögerung an den vereinbarten Kontakt des Auftraggebers. Die Erstmeldung kann schrittweise ergänzt werden. Der Auftragnehmer dokumentiert den Vorfall, ergreift angemessene Eindämmungs- und Abhilfemaßnahmen und unterstützt den Auftraggeber mit den verfügbaren Informationen bei dessen Melde-, Informations-, Folgenabschätzungs- und Konsultationspflichten. Die rechtliche Bewertung und Meldung gegenüber Aufsichtsbehörden oder Betroffenen obliegt dem Auftraggeber.

§ 9 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt die Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind. Standardisierte Sicherheitsangaben, Zertifikate, Prüfberichte und schriftliche Auskünfte haben Vorrang, soweit sie eine angemessene Bewertung ermöglichen.

(2) Der Auftraggeber darf selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer nach angemessener Ankündigung Kontrollen durchführen. Sie sind auf den erforderlichen Umfang zu beschränken und dürfen Sicherheit, Betrieb, Geschäftsgeheimnisse und Daten anderer Kunden nicht gefährden. Bei konkretem Verdacht auf einen Datenschutzverstoß oder nach einem relevanten Vorfall ist eine kurzfristigere Kontrolle zulässig.

§ 10 Rückgabe und Löschung

(1) Der Auftraggeber kann seine Daten während der Vertragslaufzeit über die vorgesehenen Exportfunktionen herausgeben lassen. Vor Vertragsende kann er in Textform zwischen Rückgabe im verfügbaren Exportformat und Löschung wählen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Ohne abweichende Weisung wird der operative Zugang nach Vertragsende gesperrt; der Mandant bleibt 90 Tage reaktivierbar. Danach werden auftragsbezogene operative Daten nach dem Löschkonzept gelöscht. Sicherungskopien werden im regulären, grundsätzlich 14-tägigen Wiederherstellungszyklus überschrieben und bis dahin nur für Wiederherstellungs- und Sicherheitszwecke verarbeitet.

(3) Gesetzlich aufzubewahrende Daten werden von der weiteren operativen Verarbeitung ausgeschlossen, zweckgebunden geschützt und nach Fristablauf gelöscht. Auf Anforderung bestätigt der Auftragnehmer die vertragsgemäße Löschung.

(4) Bei Nutzung der ELSTER-Funktion wird das tenantgebundene Zertifikat getrennt von der unveränderlichen Filing-Evidenz gespeichert und kann nach Weisung widerrufen, ersetzt oder gelöscht werden, soweit keine vorrangige Pflicht entgegensteht. Die PIN wird nicht dauerhaft gespeichert. UStVA-Eingaben, amtliche Antworten und Protokolle, Transfer-Tickets sowie Versions-, Hash-, Freigabe- und Versuchsnachweise werden nur nach dokumentierter Weisung und für die auf den konkreten Steuerfall anwendbare Aufbewahrung zweckgebunden geschützt. Eine Tenantlöschung wird erst nach dokumentierter Rückgabe, Löschung oder sonstiger freigegebener Disposition dieser Evidenz abgeschlossen.

§ 11 Haftung und Kosten

Die gesetzliche Haftungsverteilung nach Art. 82 DSGVO und die Haftungsregelungen des Hauptvertrags bleiben unberührt. Gesetzlich geschuldete Standardunterstützung ist mit der Vergütung abgegolten. Außergewöhnlicher Aufwand aufgrund zusätzlicher Weisungen oder Kontrollen kann nach vorheriger Abstimmung zu angemessenen Sätzen berechnet werden, sofern der Aufwand nicht auf einem Pflichtverstoß des Auftragnehmers beruht.

§ 12 Rangfolge und Schlussbestimmungen

Bei Widersprüchen zu Datenschutzfragen geht dieser AVV dem Hauptvertrag vor; individuell vereinbarte Weisungen und die zwingenden Regelungen der DSGVO bleiben unberührt. Im Übrigen gelten Rechtswahl, Gerichtsstand und Laufzeit des Hauptvertrags. Die Beendigung des Hauptvertrags beendet diesen AVV erst, wenn alle auftragsbezogenen Daten vertragsgemäß zurückgegeben oder gelöscht wurden.

Anlage 1: Beschreibung der Verarbeitung

Gegenstand und Zwecke

Bereitstellung der mandantenfähigen Buchhaltungssoftware, Dokumenten- und Belegverwaltung, Stammdaten, Buchungen, Banking und OPOS, Auswertungen und Steuervorbereitung, optionale ERiC-Prüfung und ELSTER-Übermittlung an die vom Auftraggeber bestimmte Finanzbehörde, Im- und Exporte, optionale E-Mail-Anbindung, KI-gestützte Extraktion, Support, Sicherung und Wiederherstellung.

Verarbeitungsvorgänge

Erheben beziehungsweise Empfangen, Erfassen, Ordnen, Speichern, Verändern, Auslesen, Abgleichen, Extrahieren, Prüfen, Anzeigen, auf ausdrückliche Weisung Übermitteln, Exportieren, Einschränken, Sichern, Wiederherstellen und Löschen.

Datenarten

Kontakt-, Stamm-, Unternehmens-, Rollen- und Berechtigungsdaten; Rechnungs-, Buchungs-, Konto-, Zahlungs-, Bank-, Steuer- und Vertragsdaten; bei ELSTER-Nutzung auch Zertifikatsdatei und minimierte Zertifikatsmetadaten, kurzlebige PIN, UStVA-Kennzahlen, Vorschau, Status, amtliche Antwort/Protokoll und Transfer-Ticket; Dokumente, Anhänge und Kommunikationsinhalte; Nutzungs-, Import-, Export-, Support-, Sicherheits- und Auditdaten; technische Kennungen und Metadaten.

Betroffene Personen

Nutzer und Beschäftigte des Auftraggebers; dessen Kunden, Interessenten, Lieferanten, Dienstleister, Ansprechpartner, Schuldner, Gläubiger und sonstige Personen, die in Unterlagen, Kontakten, Bankbewegungen oder Kommunikation vorkommen.

Besondere Daten und Umfang

Besondere Kategorien nach Art. 9 DSGVO und Daten zu Straftaten nach Art. 10 DSGVO sind nicht als regulärer Zweck vorgesehen, können aber in frei hochgeladenen Dokumenten oder Buchungstexten enthalten sein. Der Auftraggeber aktiviert solche Verarbeitungen nur mit tragfähiger Rechtsgrundlage und angemessenen Schutzmaßnahmen. Umfang und Häufigkeit richten sich nach Tarif, Nutzung und Weisungen.

Anlage 2: Technische und organisatorische Maßnahmen

• Zutritts- und Systemschutz: Betrieb in kontrollierten Rechenzentren; abgesicherte Produktionszugänge, Netzwerkfilter, vorgelagerter DDoS-, Bot- und Anwendungsschutz.
• Zugangs- und Zugriffskontrolle: individuelle Konten, sichere Passwortspeicherung, Sitzungs- und Einladungsprüfungen, rollen- und berechtigungsbasierter Mandantenzugriff sowie serverseitige Mandantenisolation.
• Verschlüsselung: Transportverschlüsselung für externe Verbindungen; zusätzliche anwendungsseitige Verschlüsselung ausgewählter sensibler Werte; verschlüsselte Objektspeicherung mit serverseitig verwaltetem Schlüsselmaterial.
• Integrität und Nachvollziehbarkeit: Audit- und Sicherheitsprotokolle, fachliche Storno- und Korrekturverfahren sowie Schutz verbuchter Daten vor unbemerkter Überschreibung.
• ELSTER/ERiC: getrennte Berechtigungs-, Step-up- und Freigabegrenzen; tenantgebunden verschlüsseltes Zertifikat; nicht persistierte Einmal-PIN; isolierte Least-Privilege-Worker und allowgelisteter Egress; unveränderliche Eingabe-/Antwort-/Versionsnachweise; kein automatischer Wiederholungsversand bei unklarem Netzwerkausgang.
• Upload-Sicherheit: Dateityp-, Größen- und Inhaltsprüfungen; produktive Uploads werden vor weiterer Verarbeitung durch Malware-Scanning geprüft.
• Verfügbarkeit: Überwachung zentraler Dienste, Wiederanlaufverfahren, tägliche Systemsicherungen und rollierende Datenbank-Punktwiederherstellung mit grundsätzlich 14 Tagen Wiederherstellungsfenster.
• Trennung und Löschung: logische Mandantentrennung, getrennte Umgebungen und geregelte Sperr-, Aufbewahrungs- und Löschprozesse einschließlich Sicherungszyklen.
• Organisation: Vertraulichkeitsbindung, beschränkte administrative Berechtigungen, Änderungs- und Incident-Verfahren, Schwachstellen- und Abhängigkeitsprüfungen sowie risikobasierte Auswahl und Kontrolle von Dienstleistern.
• Wirksamkeitskontrolle: automatisierte Tests und Release-Prüfungen, Protokoll- und Kapazitätsüberwachung sowie anlassbezogene Überprüfung und Verbesserung der Schutzmaßnahmen.

Anlage 3: Genehmigte weitere Auftragsverarbeiter

Der konkrete Einsatz funktionsabhängiger Anbieter erfolgt nur, wenn die betreffende Funktion oder Verarbeitungsroute aktiviert beziehungsweise ausgewählt ist. Zahlungsabwicklung und optionale Marketing-Analyse sind hiervon getrennte Verarbeitungen in eigener Verantwortlichkeit und nicht Teil dieser Liste.