Auftragsverarbeitung (AVV)
Auftragsverarbeitungsvertrag für KK0a – Stand 12.10.2026
Dieser Vertrag wird durch ausdrückliche Zustimmung des hierzu berechtigten Kunden geschlossen. Die Veröffentlichung allein begründet keine rückwirkende Zustimmung bestehender Kunden.
1. Vertragsparteien und Gegenstand
Verantwortlicher ist das im Kundenkonto beziehungsweise der Bestellung bezeichnete Unternehmen, vertreten durch die zustimmende, hierzu berechtigte Person. Auftragsverarbeiter ist S&S Connect GbR – Schippers & Singh, Nobelstraße 3-5, 41189 Mönchengladbach, Deutschland, vertreten durch Parampuneet Singh und Fabrice Schippers; Kontakt [email protected].
Gegenstand ist die Bereitstellung von KK0a für Kundenverwaltung, Angebote, Rechnungen, Mahnungen, PDF-Ausgabe und eingerichteten E-Mail-Versand. Die Auftragsverarbeitung dauert für die Bereitstellung und eine erforderliche Rückgabe-/Löschabwicklung an. Dieser Vertrag konkretisiert die Datenschutzpflichten; für diese Pflichten hat er Vorrang vor widersprechenden allgemeinen Nutzungsbedingungen.
2. Verarbeitung und betroffene Personen
Verarbeitung umfasst Erheben über Nutzereingaben, Speichern, Strukturieren, Ändern, Abrufen, Erzeugen von Dokumenten, Übermitteln auf Weisung, Sichern, Wiederherstellen und Löschen. Verarbeitet werden Firmen- und Kundenstammdaten, Namen, Anschriften, Kontaktdaten, Leistungs- und Abrechnungsangaben, Zahlungsinformationen zu Kundenforderungen, Dokumente, Logos und gegebenenfalls SMTP-Konfigurationen. Betroffen sind insbesondere Kunden, Lieferanten, Beschäftigte und Ansprechpartner des Verantwortlichen.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und strafrechtliche Daten nach Art. 10 DSGVO sind nicht Gegenstand des vorgesehenen Dienstes. Sollen solche Daten verarbeitet werden, ist vorher eine gesonderte Prüfung und Vereinbarung erforderlich.
3. Weisungen
Die Verarbeitung erfolgt nur auf dokumentierte Weisung des Verantwortlichen. Vereinbarte Funktionen und die durch berechtigte Nutzer ausgelösten Vorgänge sind Weisungen. Zusätzliche Weisungen können in Textform an die Kontaktadresse gerichtet werden. Auch eine Verarbeitung in einem Drittland bedarf einer dokumentierten Grundlage. Gesetzlich zwingende abweichende Verarbeitung wird dem Verantwortlichen vorab mitgeteilt, soweit rechtlich zulässig. Bei Zweifeln an der Rechtmäßigkeit einer Weisung informiert der Auftragsverarbeiter unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus, soweit erforderlich.
4. Vertraulichkeit und Sicherheit
Zugriff erhalten nur berechtigte und zur Vertraulichkeit verpflichtete Personen, soweit für ihre Aufgabe erforderlich. Die Schutzmaßnahmen werden risikogerecht fortentwickelt; das vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Die technischen und organisatorischen Maßnahmen sind in Anlage 1 beschrieben. Der Anbieter verpflichtet die zugriffsberechtigten Personen zur Vertraulichkeit und dokumentiert Berechtigungen, Kontrollen und Vorfälle.
5. Unterstützung und Vorfälle
Der Auftragsverarbeiter unterstützt unter Berücksichtigung der Verarbeitung und verfügbarer Informationen bei Betroffenenrechten, Sicherheitsmaßnahmen, Datenschutz-Folgenabschätzungen und erforderlichen Konsultationen der Aufsichtsbehörde. Er leitet Anfragen Betroffener ohne unnötige Verzögerung weiter und entscheidet darüber nicht eigenständig, sofern keine gesetzliche Verpflichtung besteht.
Verletzungen des Schutzes personenbezogener Daten werden dem Verantwortlichen unverzüglich nach Bekanntwerden gemeldet. Verfügbare Angaben über Art, Umfang, betroffene Daten/Personen, mögliche Folgen und Abhilfemaßnahmen sowie eine erreichbare Kontaktperson werden mitgeteilt und bei Bedarf ergänzt. Der Auftragsverarbeiter unterstützt die Untersuchung, Eindämmung und Erfüllung gesetzlicher Melde- und Informationspflichten.
6. Unterauftragsverarbeitung
Der Verantwortliche erteilt die allgemeine Genehmigung für die in Anlage 2 vollständig benannten und vertraglich gebundenen Unterauftragsverarbeiter. Geplante Ergänzungen oder Ersetzungen werden grundsätzlich mindestens 14 Tage vor Einsatz mit Aufgaben und Verarbeitungsorten mitgeteilt. Der Verantwortliche kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen widersprechen. Vor einem Einsatz wird der Einwand geklärt und eine geeignete Lösung gesucht; erforderlichenfalls ist die betroffene Leistung zu beenden. Eine bloße Veröffentlichung einer neuen Liste ersetzt die Mitteilung nicht.
Unterauftragsverarbeitern werden entsprechende Datenschutzpflichten auferlegt. Der Auftragsverarbeiter bleibt für deren Erfüllung verantwortlich. Anforderungen an internationale Datenübermittlungen bleiben unberührt. Vom Verantwortlichen selbst ausgewählte Versanddienste werden nur nach dessen dokumentierter Einrichtung genutzt; deren vertragliche Rolle und Weisungen sind vor Einsatz zu klären.
7. Rückgabe, Löschung und Kontrollen
Nach Abschluss der Verarbeitung werden personenbezogene Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht; vorhandene Kopien sind einzubeziehen. Gesetzlich erforderliche Aufbewahrung bleibt auf die davon betroffenen Daten beschränkt. Eine Kündigung allein ist keine Löschweisung. Der Kontoexport ermöglicht die Rückgabe der aktiven Mandantendaten; eine Löschweisung ist gesondert zu dokumentieren. Die bestätigte Kontolöschung entfernt die aktiven Mandantendaten. Das zusätzliche Sicherungsverfahren ist in Anlage 3 beschrieben. Nach bestätigter Kontolöschung wird die Entfernung der zugehörigen Daten aus lokalen Sicherungen vor Updates durch einen getrennten, minütlich gestarteten Auftrag geprüft. Bis zum erfolgreichen Abschluss wird keine vollständige lokale Sicherungslöschung bestätigt. Fehler führen zu erneuter Prüfung. Gelöschte Daten dürfen bei Wiederherstellung nicht erneut produktiv verwendet werden.
Der Auftragsverarbeiter stellt erforderliche Informationen zum Nachweis der Pflichten bereit und ermöglicht angemessene Überprüfungen, auch durch beauftragte Prüfer. Dabei sind Vertraulichkeit, Sicherheit und die Rechte anderer Kunden zu schützen. Die Rechte zuständiger Aufsichtsbehörden bleiben unberührt.
Anlage 1 – Schutzmaßnahmen
Technisch geprüft: HTTPS-Auslieferung über Cloudflare; serverseitige Konto- und Mandantenprüfung; Kennwörter mit Salt und PBKDF2-Hash statt Klartext; zeitlich begrenzte Sitzungen; Schutz schreibender Anfragen gegen fremde Herkunft; eingeschränkte App-Prozessrechte; Zugangsschlüssel verbleiben auf dem Server; Änderungen am Produktivsystem werden getrennt getestet. Zusätzliche lokale Rücksicherungsstände werden geschützt abgelegt und in bestätigte Kontolöschungen einbezogen. Abgelaufene Sitzungs- und Linkkennungen werden stündlich bereinigt. Anwendungsprotokolle enthalten nur technische Ereignismetadaten und werden nach höchstens 14 Tagen entfernt. Ältere geschützte Sicherungsstände werden in bestätigte Kontolöschungen einbezogen.
Bestätigte Betreiberangaben: Anwendungsserver in eigenen Geschäftsräumen in Deutschland; administrativer Zugriff ausschließlich durch Parampuneet Singh und Fabrice Schippers. Verbindliche organisatorische Maßnahmen: Der Anbieter beschränkt den Zutritt zu Betriebsgeräten auf berechtigte Personen, schützt unbeaufsichtigte Arbeitsplätze und dokumentiert die Vertraulichkeitsverpflichtung der Berechtigten. Er prüft Berechtigungen mindestens vierteljährlich und bei Rollenwechsel, entfernt nicht mehr benötigte Zugänge, überprüft Wiederherstellungen mindestens vierteljährlich in einer getrennten Umgebung und führt ein Vorfallregister. Datenschutzverletzungen werden bewertet, eingedämmt und dem Verantwortlichen unverzüglich gemeldet; gesetzliche Meldepflichten werden unterstützt. Verantwortlich für diese Abläufe sind die vertretungsberechtigten Betreiber. Keine Zertifizierung oder lückenlose Sicherheit wird behauptet.
Anlage 2 – Dienstleisterverzeichnis
Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA: Übertragung, Tunnel und Netzwerkschutz. Internationales Netzwerk mit Verarbeitung auch außerhalb des EWR. Die Datenschutzvereinbarung ist über Abschnitt 6.1 der Self-Service-Bedingungen einbezogen; sie regelt internationale Übermittlungen einschließlich Standardvertragsklauseln und EU-US Data Privacy Framework. Kontozuordnung am 11.10.2026 geprüft. Vertragsunterlagen: https://www.cloudflare.com/terms/ und https://www.cloudflare.com/cloudflare-customer-dpa/.
Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA: Versand von E-Mails und übergebenen Anhängen sowie Empfang von Kontakt-E-Mails über die lokale Mail-Brücke. Speicherung von Nachrichten und Zustelldaten in den USA. Die von Resend unterschriebene DPA ist nach der Kontoregistrierung abgeschlossen; Konto und Domainzuordnung am 11.10.2026 geprüft. Die DPA enthält Standardvertragsklauseln für die einschlägigen Übermittlungen. Im verwendeten Free-Tarif nennt Resend 30 Tage für Nachrichten und Protokolle sowie sieben Tage für Sicherungen. Unterlagen: https://resend.com/legal/dpa und https://resend.com/security/gdpr.
Tailscale: verschlüsseltes Privatnetz für administrative Verbindungen; Verarbeitung technischer Geräte- und Verbindungsdaten. Die veröffentlichte DPA ist in die zugrunde liegenden Vertragsbedingungen einbezogen: https://tailscale.com/legal/dpa. Eine Übermittlung unverschlüsselter Kundeninhalte an den Netzbetreiber ist nicht vorgesehen.
Stripe dient der eigenen Abonnementabrechnung des Anbieters. Stripe ist deshalb nicht allein wegen dieser Aufgabe Unterauftragsverarbeiter für die Rechnungsdaten der Kunden; die jeweilige Rolle ist gesondert zuzuordnen. Weitere Dienste mit Zugriff auf Kundeninhalte dürfen erst nach der vereinbarten Genehmigung und vertraglichen Bindung eingesetzt werden.
Anlage 3 – Sicherungs- und Löschverfahren
Bestätigte Betreiberangabe: Auf dem eigenen Sicherungsserver in Deutschland werden stündlich verschlüsselte vollständige Sicherungen erstellt. Pro Kunde besteht dort jeweils eine aktuelle Sicherung; ein neuer Stand ersetzt den bisherigen. Bestätigte Löschweisungen werden mit kurzer Latenz übertragen und die Entfernung bestätigt. Der Abgleich meldet unerwartete Abweichungen. Administrativen Zugriff haben nach Betreiberangabe ausschließlich Parampuneet Singh und Fabrice Schippers. Diese Angaben zur externen Sicherung wurden in dieser Textprüfung nicht durch eine eigene Wiederherstellungsprüfung bestätigt. Technisch festgestellt: Auf dem Anwendungsserver bestehen zusätzlich historische Sicherungsdateien vor Softwareupdates. Die Kontolöschroute entfernt das aktive Konto und den Mandantenordner und hinterlegt einen dauerhaften Löschauftrag. Ein getrennter Hostprozess prüft minütlich die lokalen Datenarchive vor Updates und entfernt gezielt Mandantenordner, Konteneinträge und zugehörige Abrechnungszuordnungen aus diesen Kopien. Andere Mandanten bleiben erhalten. Der Browser zeigt zunächst den ausstehenden Auftrag und bestätigt die lokale Entfernung erst nach erfolgreicher Archivprüfung. Fehler bleiben sichtbar und werden erneut geprüft. Die Löschaufträge enthalten lediglich technische Kennungen und Nachweiszeiten; sie werden für die Anwendung auf später wieder auftauchende Archive erhalten. Ein Nachweis der externen Sicherung wird hierdurch nicht behauptet. Vor jeder produktiven Wiederherstellung werden bestätigte Löschungen anhand eines außerhalb des wiederhergestellten Datenbestands gespeicherten Schutzverzeichnisses erneut angewandt. Die App entfernt gesperrte Konten und deren Inhalte vor dem Start. Fehlt das konfigurierte Schutzverzeichnis, verweigert sie den Start. Der Anbieter erhält und prüft dieses Verzeichnis gesondert; eine unkontrollierte Wiederherstellung mit älterer Software ist unzulässig. Bestehende Kundenbestände werden zur Erstellung dieses Konzepts nicht gelöscht. Eine pauschale Aufbewahrung sämtlicher Sicherungen für zehn Jahre wird nicht vereinbart.