Vertrag zur Auftragsverarbeitung (AVV)

Der Auftragnehmer betreibt für den Auftraggeber die Software Handschlagfertig zum Erstellen, Verschicken und Verwalten von Angeboten und Rechnungen. Dabei verarbeitet er personenbezogene Daten im Auftrag. Der Vertrag gilt, solange der Auftraggeber ein Konto hat, und darüber hinaus bis zur Löschung der Daten nach Nr. 9.

• Zweck: Speichern und Verarbeiten von Kunden-, Anfrage-, Angebots- und Rechnungsdaten, Vorschläge durch ein KI-Modell, Versand über das Kundenportal, Export an die Buchhaltung.
• Daten: Namen, Anschriften, E-Mail-Adressen, Telefonnummern, Ansprechpartner, Inhalte von Anfragen und Gesprächsnotizen, Fotos und Dokumente, Angebots- und Rechnungsinhalte, Zahlungsstand, Zeitpunkte von Öffnen und Annahme im Portal. Daten der Mitarbeiter des Auftraggebers, die er einlädt (Name, E-Mail).
• Betroffene: Kunden und Interessenten des Auftraggebers, deren Ansprechpartner, Besucher seiner Website, die das Anfrage-Formular nutzen, Mitarbeiter des Auftraggebers.
• Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen. Der Auftraggeber legt solche Daten nicht ab.

Der Auftragnehmer verarbeitet die Daten nur nach dokumentierter Weisung des Auftraggebers. Weisung ist dieser Vertrag und die Bedienung der Software durch den Auftraggeber. Weitere Weisungen erteilt der Auftraggeber per E-Mail. Hält der Auftragnehmer eine Weisung für rechtswidrig, sagt er das unverzüglich.

• Wer Zugriff auf die Daten hat, ist zur Vertraulichkeit verpflichtet.
• Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
• Er unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 12 bis 23 DSGVO), bei Meldungen von Verletzungen (Art. 33, 34) und bei Datenschutz-Folgenabschätzungen.
• Er meldet eine Verletzung des Schutzes der Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.
• Er nutzt die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung und nicht zum Training von KI-Modellen.

Der Auftraggeber stimmt den Unterauftragsverarbeitern in Anlage 2 zu. Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens 4 Wochen vorher per E-Mail an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist eine Lösung nicht möglich, kann er den Vertrag zum Zeitpunkt der Änderung kündigen.

Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dasselbe Schutzniveau.

Für die KI-Vorschläge übermittelt der Auftragnehmer die jeweils nötigen Inhalte an Anthropic PBC in den USA. Grundlage sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Data Processing Addendum von Anthropic. Die Inhalte werden dort nicht zum Training verwendet. Alle übrigen Daten bleiben in Deutschland.

Der Auftragnehmer weist die Einhaltung auf Anfrage durch Auskünfte und Unterlagen nach (etwa die Nachweise seiner Unterauftragsverarbeiter). Vor-Ort-Kontrollen stimmt der Auftraggeber mit angemessener Frist ab, während der Geschäftszeiten und ohne den Betrieb zu stören. Kosten für Kontrollen trägt jede Seite selbst.

Der Auftraggeber ist für die Zulässigkeit der Verarbeitung verantwortlich und informiert seine Kunden, etwa in seiner Datenschutzerklärung, auch über das Anfrage-Formular auf seiner Website und die KI-Vorschläge.

Nach Ende des Vertrags kann der Auftraggeber seine Daten 90 Tage lang exportieren. Danach löscht der Auftragnehmer sie einschließlich der Dateien. Sicherungen werden nach höchstens 14 weiteren Tagen überschrieben. Gesetzliche Aufbewahrungspflichten des Auftraggebers erfüllt dieser durch den Export.

Für die Haftung gilt Art. 82 DSGVO, im Übrigen § 9 der AGB. Im Widerspruch zwischen AGB und diesem Vertrag geht dieser Vertrag vor, soweit es um den Datenschutz geht.

• Zutritt: Rechenzentrum von Mittwald in Deutschland mit Zutrittskontrolle, Videoüberwachung und Protokollen (nach Nachweisen des Hosters).
• Zugang: Verwaltung nur über Zugänge mit Zwei-Faktor-Anmeldung. Passwörter der Nutzer nur als scrypt-Hash, Sitzungen per sicherem, httpOnly-Cookie mit Ablauf.
• Zugriff: Jeder Betrieb sieht nur seine Daten. Die Trennung ist zentral in der Datenschicht erzwungen und geprüft. Links ins Kundenportal mit zufälligem Schlüssel (96 Bit).
• Weitergabe: Übertragung nur verschlüsselt (TLS). Zugangsschlüssel zu Microsoft-Konten verschlüsselt gespeichert (AES-256-GCM).
• Eingabe: Verlauf je Angebot mit Zeitpunkt und Art jeder Änderung. Festgeschriebene Rechnungen sind unveränderbar.
• Verfügbarkeit: Tägliche Sicherung der Datenbank, 14 Tage aufbewahrt, dazu die Sicherungen des Hosters.
• Trennung: Kennzeichnung jedes Datensatzes mit dem Betrieb, Demo-Daten getrennt und nach 2 Tagen gelöscht.
• Überprüfung: Prüfung der Maßnahmen bei jeder größeren Änderung, mindestens jährlich.

• Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4–6, 32339 Espelkamp, Deutschland. Hosting der Anwendung und der Datenbank, Speicherung der Dateien, E-Mail-Versand. Ort: Deutschland. Grundlage: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Anthropic PBC, San Francisco, Kalifornien, USA. KI-Modell Claude: Lesen hochgeladener Dokumente und Anfragen, Vorschläge für Positionen, Preise und Texte. Ort: USA. Grundlage: Auftragsverarbeitungsvertrag (Data Processing Addendum) mit EU-Standardvertragsklauseln, Art. 46 Abs. 2 lit. c DSGVO.

Nur wenn der Auftraggeber es selbst einrichtet: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (Lesen alter Angebote aus SharePoint oder OneDrive, nur wenn der Betrieb seinen Ordner verbindet). Hier handelt Microsoft auf Grundlage des Vertrags des Auftraggebers mit Microsoft. Stripe verarbeitet keine Daten der Kunden des Auftraggebers.