Vertrag über die Auftragsverarbeitung (AVV)

• Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Erbringung der Leistungen nach dem Hauptvertrag (Belegverwaltung, automatische Auslesung, Kontierungsvorschläge, Mandantenportal, Export an DATEV oder Lexware Office). Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
• Der AVV gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet.
• Der AVV wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), indem der Kunde ihn bei der Registrierung bzw. in der Plattform ausdrücklich annimmt. Der Anbieter speichert Fassung, Zeitpunkt und annehmende Person. Der Kunde kann den Text jederzeit unter dieser Adresse abrufen und speichern.
• Bei Widersprüchen geht dieser AVV den Regelungen des Hauptvertrags zum Datenschutz vor.

• Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.
• Die Weisungen werden durch den Hauptvertrag, diesen AVV und die Nutzung der Funktionen der Plattform durch den Kunden und seine Nutzer (z. B. Hochladen, Freigeben, Exportieren, Löschen) erteilt. Darüber hinausgehende Weisungen erteilt der Verantwortliche in Textform an info@myrobotax.de.
• Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

• Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
• Da der Verantwortliche Berufsgeheimnisträger ist (§ 57 Abs. 1 StBerG, § 203 StGB), verpflichtet sich der Auftragsverarbeiter zusätzlich nach Anlage 4 (§ 62a StBerG).

• Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Anlage 2).
• Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das vertraglich geschuldete Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen werden in Anlage 2 dokumentiert.

• Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.
• Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters vorab in Textform (E-Mail an die Adresse des Kontoinhabers oder Hinweis in der Plattform). Der Verantwortliche kann innerhalb von 14 Tagen nach Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, ist der Verantwortliche berechtigt, den Hauptvertrag zum Zeitpunkt des Einsatzes des neuen Unterauftragsverarbeiters zu kündigen.
• Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.
• Nicht als Unterauftragsverarbeitung gelten Leistungen, die der Kunde selbst veranlasst und die ein Dritter in eigener Verantwortung erbringt, insbesondere die Übermittlung an DATEV oder Lexware Office über die vom Kunden eingerichteten Schnittstellen.

Datenbank und Dateiablage befinden sich in der Europäischen Union (Frankfurt am Main). Soweit ein Unterauftragsverarbeiter Daten in einem Drittland verarbeitet oder ein Zugriff aus einem Drittland möglich ist, erfolgt dies nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder der Standardvertragsklauseln der Europäischen Kommission. Die jeweilige Grundlage ist in Anlage 3 angegeben.

• Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO). Die Plattform stellt hierfür Funktionen zum Auffinden, Exportieren, Berichtigen und Löschen von Daten bereit. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter.
• Er unterstützt den Verantwortlichen unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

• Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, nachdem sie ihm bekannt geworden ist, in Textform an die Adresse des Kontoinhabers.
• Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, Kontaktstelle, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen). Informationen, die noch nicht vorliegen, werden ohne unangemessene weitere Verzögerung nachgereicht.
• Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen.

• Nach Beendigung des Hauptvertrags kann der Verantwortliche seine Daten innerhalb von 30 Tagen über die Exportfunktionen der Plattform oder auf Anfrage herunterladen. Anschließend löscht der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht.
• Während der Vertragslaufzeit bewahrt die Plattform freigegebene oder exportierte Belege auch nach einer Löschung durch den Kunden auf, um dem Kunden die Erfüllung seiner Aufbewahrungspflichten (§ 147 AO, § 257 HGB) zu ermöglichen; sie sind für Nutzer nicht mehr sichtbar. Auf Weisung des Verantwortlichen werden sie vorzeitig gelöscht oder herausgegeben.
• Datensicherungen werden im Rahmen der regulären Rotationszyklen gelöscht. Die Löschung wird auf Anfrage in Textform bestätigt.

• Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere diesen AVV, die Anlagen und Nachweise der Unterauftragsverarbeiter (z. B. Zertifizierungen und Prüfberichte, soweit diese sie bereitstellen).
• Der Verantwortliche kann Überprüfungen einschließlich Inspektionen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Inspektionen sind mit angemessener Frist, in der Regel vier Wochen, anzukündigen, während der üblichen Geschäftszeiten durchzuführen und dürfen den Betrieb nicht unverhältnismäßig stören. Prüfungen bei Unterauftragsverarbeitern richten sich nach deren Bedingungen.

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

• Änderungen dieses AVV teilt der Anbieter dem Kunden in Textform mit; die geänderte Fassung wird erst mit erneuter Annahme durch den Kunden wirksam. Änderungen der Anlagen 2 und 3 richten sich nach § 4 und § 5.
• Sollte eine Bestimmung dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
• Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Berlin, soweit gesetzlich zulässig.
• Dieser AVV wird in deutscher Sprache geschlossen. Übersetzungen dienen ausschließlich der Information.

• Der Auftragsverarbeiter verpflichtet sich, über alle Tatsachen, die ihm bei der Erbringung der Leistungen für den Verantwortlichen bekannt werden, Verschwiegenheit zu bewahren. Er wird sich nur insoweit Kenntnis von fremden Geheimnissen verschaffen, als dies zur Vertragserfüllung erforderlich ist (§ 62a Abs. 3 StBerG).
• Der Auftragsverarbeiter wurde darüber belehrt, dass er sich nach § 203 Abs. 4 StGB strafbar machen kann, wenn er ein fremdes Geheimnis, das ihm bei der Erbringung der Leistungen bekannt geworden ist, unbefugt offenbart (§ 62a Abs. 3 StBerG).
• Der Auftragsverarbeiter darf weitere Personen zur Erfüllung des Vertrags nur heranziehen, wenn er sie in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen belehrt hat; dies gilt für eigene Beschäftigte und für Unterauftragsverarbeiter (§ 62a Abs. 3 StBerG).
• Erfolgt die Leistung im Ausland, ist sie nur zulässig, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist, es sei denn, dieser Schutz ist für die Geheimnisse nicht geboten (§ 62a Abs. 4 StBerG). Der Verantwortliche prüft dies anhand der Angaben in Anlage 3; der Auftragsverarbeiter stellt hierfür auf Anfrage weitere Informationen bereit.
• Dient die Leistung unmittelbar einem einzelnen Mandat, darf der Verantwortliche dem Auftragsverarbeiter den Zugang zu fremden Geheimnissen nur eröffnen, wenn der Mandant eingewilligt hat (§ 62a Abs. 5 StBerG); die Einholung der Einwilligung obliegt dem Verantwortlichen.