Auftragsverarbeitungsvertrag (AVV / DPA)

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV") konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien aus dem zwischen ihnen bestehenden Nutzungsvertrag über die Plattform Dumpstera (im Folgenden „Hauptvertrag"). Er gilt für alle Tätigkeiten, bei denen Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Unterauftragsverarbeiter mit personenbezogenen Daten des Auftraggebers in Berührung kommen.

§ 1 Vertragsparteien

Auftragsverarbeiter (im Folgenden „Auftragnehmer"):
Zepia UG (haftungsbeschränkt)
Tölzer Str. 5, 81379 München, Deutschland
vertreten durch den Geschäftsführer Felix Bauerdorf
E-Mail: info@dumpstera.org

Verantwortlicher (im Folgenden „Auftraggeber"): der Kunde, der die Plattform Dumpstera auf Grundlage des Hauptvertrags nutzt.

§ 2 Gegenstand und Dauer der Verarbeitung

1. Gegenstand der Verarbeitung ist die Bereitstellung der SaaS-Plattform Dumpstera zur Organisation, Analyse und Verwaltung von Rechnungen und sonstigen Dokumenten des Auftraggebers.
2. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Sie endet mit dessen Beendigung, soweit nicht gesetzliche Aufbewahrungsfristen entgegenstehen.

§ 3 Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zur Erbringung der vertraglich geschuldeten Leistungen, insbesondere:

• Speicherung und Verwaltung hochgeladener Dokumente
• Empfang und Verarbeitung von Rechnungen per E-Mail
• Automatisierte Extraktion und Analyse von Rechnungsdaten (inkl. KI-Verarbeitung)
• Bereitstellung von Auswertungen, Exporten und Dashboards
• Authentifizierung und Benutzerverwaltung
• Betrieb, Wartung und Support der Plattform

§ 4 Art der Daten

• Stammdaten (Name, Anschrift, Firmierung)
• Kontaktdaten (E-Mail-Adresse, ggf. Telefonnummer)
• Anmelde- und Authentifizierungsdaten
• Rechnungs- und Buchhaltungsdaten (Beträge, Steuersätze, Leistungsbeschreibungen)
• Inhaltsdaten hochgeladener Dokumente
• Nutzungs- und Metadaten (Log-Daten, Zeitstempel, IP-Adressen)

§ 5 Kategorien betroffener Personen

• Nutzer und Mitarbeiter des Auftraggebers
• Kunden, Lieferanten und Geschäftspartner des Auftraggebers
• Sonstige in den verarbeiteten Dokumenten genannte Personen

§ 6 Pflichten des Auftragnehmers

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen des Hauptvertrags, dieses AVV sowie auf dokumentierte Weisung des Auftraggebers.
2. Der Auftragnehmer stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
3. Der Auftragnehmer ergreift alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO (siehe § 9).
4. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO.
5. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen geltendes Datenschutzrecht verstößt.
6. Der Auftragnehmer benennt eine zuständige Kontaktstelle für Datenschutzanfragen: info@dumpstera.org.

§ 7 Pflichten des Auftraggebers

1. Der Auftraggeber ist der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO für die Verarbeitung der Daten durch den Auftragnehmer.
2. Der Auftraggeber ist verpflichtet, alle erforderlichen Einwilligungen und Rechtsgrundlagen für die Verarbeitung sicherzustellen.
3. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn ihm in den Ergebnissen der Auftragsverarbeitung Fehler oder Unregelmäßigkeiten auffallen.

§ 8 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter).
2. Eine aktuelle Liste der eingesetzten Unterauftragsverarbeiter ist auf Anfrage verfügbar.
3. Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen in Bezug auf Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Auftraggeber kann solchen Änderungen innerhalb von 30 Tagen aus wichtigem Grund widersprechen.
4. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den hier vereinbarten entsprechen.
5. Bei Übermittlungen in Drittländer stellt der Auftragnehmer geeignete Garantien gemäß Art. 44 ff. DSGVO sicher (insbesondere EU-Standardvertragsklauseln).

§ 9 Technische und organisatorische Maßnahmen (TOM)

Der Auftragnehmer trifft folgende Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus gemäß Art. 32 DSGVO:

• Vertraulichkeit: Verschlüsselte Datenübertragung (TLS 1.2+), Zugriffskontrollen, rollenbasierte Berechtigungen, Multi-Faktor-Authentifizierung für Administratoren.
• Integrität: Eingabekontrolle durch Logging, Schutz vor unberechtigter Veränderung durch Row-Level-Security und Berechtigungssystem.
• Verfügbarkeit: Regelmäßige Backups, redundante Speicherung, Wiederherstellungsverfahren, Monitoring.
• Belastbarkeit: Hosting in zertifizierten EU-Rechenzentren, Schutz vor DDoS und Missbrauch.
• Pseudonymisierung & Verschlüsselung: Verschlüsselte Speicherung sensibler Daten (Encryption at Rest), Passwort-Hashing.
• Verfahren zur Überprüfung: Regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOM.

§ 10 Mitteilungspflichten bei Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich über jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten. Die Meldung enthält mindestens die in Art. 33 Abs. 3 DSGVO genannten Angaben.

§ 11 Kontroll- und Auskunftsrechte

1. Der Auftragnehmer weist die Einhaltung der in diesem AVV festgelegten Pflichten auf Anfrage des Auftraggebers nach.
2. Der Auftraggeber ist berechtigt, sich von der Einhaltung der TOM zu überzeugen, im Regelfall durch geeignete Nachweise (z. B. Zertifikate, Audit-Berichte der Unterauftragsverarbeiter).
3. Vor-Ort-Prüfungen erfolgen mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs.

§ 12 Löschung und Rückgabe von Daten

Nach Beendigung des Hauptvertrags löscht oder gibt der Auftragnehmer alle personenbezogenen Daten nach Wahl des Auftraggebers zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. Die Löschung wird auf Anforderung dokumentiert.

§ 13 Haftung

Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags sowie Art. 82 DSGVO.

§ 14 Schlussbestimmungen

1. Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts.
2. Sollten einzelne Bestimmungen dieses AVV unwirksam sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.
3. Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Änderung dieser Textformklausel.
4. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV vor.

Abschluss des AVV

Mit der Nutzung der Plattform Dumpstera akzeptiert der Auftraggeber diesen AVV. Auf Wunsch stellt der Auftragnehmer eine unterzeichnete Fassung zur Verfügung. Anfragen hierzu bitte an info@dumpstera.org.