Auftragsverarbeitungsvertrag (AVV)
Letzte Aktualisierung: 25.08.2026
Vertrag über die Auftragsverarbeitung gemäß Art. 28 DSGVO zwischen dem Kunden („Auftraggeber") und AngebotPro24 („Auftragnehmer").
§ 1 Gegenstand und Dauer
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Nutzung der Software AngebotPro24. Die Verarbeitung umfasst insbesondere Stammdaten, Angebots- und Rechnungsdaten der Kunden des Auftraggebers.
Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags.
§ 2 Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt zum Zweck der Bereitstellung der Software und Speicherung der vom Auftraggeber eingegebenen Daten. Eine Nutzung der Daten zu eigenen Zwecken des Auftragnehmers findet nicht statt.
§ 3 Art der Daten und betroffene Personenkreise
- Stammdaten der Kunden des Auftraggebers (Name, Anschrift, Kontaktdaten)
- Angebots- und Rechnungsdaten
- Zahlungsinformationen
- Nutzungsdaten des Auftraggebers (E-Mail-Adresse, IP-Adresse, Zeitstempel von Anmeldungen und Dokumentänderungen)
Kategorien betroffener Personen:
- Der Auftraggeber selbst als Nutzer der Software
- Kunden und Geschäftspartner des Auftraggebers
- Gegebenenfalls Beschäftigte des Auftraggebers, soweit er deren Daten eingibt
§ 4 Pflichten des Auftragnehmers
- Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt er dies dem Auftraggeber unverzüglich mit (Art. 28 Abs. 3 S. 3 DSGVO).
- Verpflichtung aller zur Verarbeitung befugten Personen auf Vertraulichkeit
- Umsetzung technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO (siehe § 5)
- Unterstützung des Auftraggebers bei Anfragen betroffener Personen (Art. 12–23 DSGVO)
- Unterstützung des Auftraggebers bei Datenschutz-Folgenabschätzung und vorheriger Konsultation (Art. 32–36 DSGVO), soweit dies dem Auftragnehmer möglich ist
- Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntniserlangung, in der Regel innerhalb von 48 Stunden, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben
- Bereitstellung aller Informationen, die zum Nachweis der Einhaltung dieser Pflichten erforderlich sind
- Löschung oder Rückgabe der Daten nach Vertragsende gemäß § 9
§ 5 Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft die folgenden Maßnahmen nach Art. 32 DSGVO. Der Stand entspricht dem Datum der letzten Aktualisierung dieses Dokuments.
- Hosting: Hetzner Online GmbH, Rechenzentrum Nürnberg (Deutschland). Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union statt.
- Transportverschlüsselung: Übertragung ausschließlich über TLS 1.2 oder TLS 1.3; ältere Protokollversionen sind deaktiviert. HTTP-Anfragen werden auf HTTPS umgeleitet (HSTS).
- Verschlüsselung der Sicherungen: Datenbank-Backups werden vor der Ablage mit GnuPG (AES-256) verschlüsselt. Die produktive Datenbank selbst liegt auf einem nicht vollverschlüsselten Datenträger; der Zugriff ist auf den Serverbetreiber beschränkt.
- Mandantentrennung: Jeder Datensatz ist einem Konto zugeordnet; sämtliche Zugriffe werden serverseitig gegen das angemeldete Konto geprüft. Fremde Datensätze sind auch bei Kenntnis der ID nicht abrufbar.
- Authentifizierung: Passwörter werden ausschließlich als bcrypt-Hash gespeichert. Für Benutzerkonten steht eine Zwei-Faktor-Anmeldung (TOTP) zur Verfügung. Nach mehreren Fehlversuchen wird das Konto vorübergehend gesperrt.
- Administrativer Zugang: Der Serverzugang erfolgt über SSH ausschließlich mit kryptografischen Schlüsseln; eine Anmeldung des Administrators mit Passwort ist nicht möglich. Eine Firewall beschränkt die erreichbaren Dienste.
- Sicherungen: Tägliche automatische Datenbanksicherung mit Erfolgskontrolle (Prüfung von Rückgabewert, Mindestgröße und Vollständigkeitsmarke). Ältere Sicherungen werden erst nach erfolgreicher neuer Sicherung entfernt.
- Protokollierung: Sicherheits- und nachweisrelevante Vorgänge (Anmeldungen, Erstellung und Änderung von Dokumenten, Stornierungen, Exporte) werden in einem Audit-Log aufgezeichnet.
- Zugriffsbeschränkung: Zugriff auf Produktivdaten nur durch den Anbieter selbst und nur, soweit dies für Betrieb, Fehlersuche oder Support erforderlich ist.
§ 6 Unterauftragnehmer
Der Auftraggeber erteilt hiermit die allgemeine Genehmigung zum Einsatz der nachfolgend genannten Unterauftragnehmer (Art. 28 Abs. 2 DSGVO). Der Auftragnehmer verpflichtet diese vertraglich auf ein Schutzniveau, das den Pflichten aus diesem Vertrag entspricht.
| Unterauftragnehmer | Zweck | Sitz / Grundlage |
|---|---|---|
| Hetzner Online GmbH, Gunzenhausen | Hosting, Server, Speicherung der Sicherungen | Deutschland (EU) |
| Stripe Payments Europe, Ltd., Dublin | Abwicklung der Zahlungen für das Pro-Abonnement | Irland (EU). Bei Datenflüssen zur Konzernmutter Stripe, Inc. (USA) gelten die EU-Standardvertragsklauseln. |
| Sendinblue GmbH (Brevo), Berlin | Versand von Transaktions-E-Mails (z. B. Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts) | Deutschland / Frankreich (EU). Keine Drittlandübermittlung. |
Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragnehmern. Der Auftraggeber kann einer Änderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann der Widerspruch nicht ausgeräumt werden, ist der Auftraggeber berechtigt, den Hauptvertrag zum Wirksamwerden der Änderung zu kündigen.
Nicht als Unterauftragsverarbeitung gelten Leistungen, die der Auftragnehmer als Nebenleistung in Anspruch nimmt, ohne dass ein Zugriff auf personenbezogene Daten des Auftraggebers erfolgt.
§ 7 Kontrollrechte des Auftraggebers
Der Auftraggeber hat das Recht, die Einhaltung der in diesem Vertrag vereinbarten Pflichten zu überprüfen (Art. 28 Abs. 3 lit. h DSGVO). Die Überprüfung erfolgt nach vorheriger Ankündigung mit angemessener Frist von mindestens 14 Tagen, während der üblichen Geschäftszeiten und höchstens einmal pro Kalenderjahr — es sei denn, es besteht ein konkreter Anlass, etwa nach einer Verletzung des Schutzes personenbezogener Daten.
Der Nachweis kann vorrangig durch Selbstauskunft, aktuelle Testate oder die Vorlage dieser Dokumentation erbracht werden. Ergibt sich daraus kein ausreichendes Bild, kann der Auftraggeber eine Vor-Ort-Prüfung verlangen; die dabei entstehenden Kosten trägt er selbst, sofern die Prüfung keinen Verstoß aufdeckt.
§ 8 Ort der Verarbeitung und Drittlandtransfer
Die Verarbeitung der Daten des Auftraggebers findet ausschließlich in Rechenzentren innerhalb der Europäischen Union statt (Hetzner Online GmbH, Nürnberg).
Eine Übermittlung in ein Drittland findet nur im Rahmen der in § 6 genannten Unterauftragnehmer statt und nur auf Grundlage eines nach Kapitel V DSGVO zulässigen Übermittlungsinstruments, insbesondere der EU-Standardvertragsklauseln. Betroffen ist derzeit ausschließlich die Zahlungsabwicklung über Stripe; der E-Mail-Versand findet vollständig in der EU statt. Eine darüber hinausgehende Übermittlung erfolgt nur auf dokumentierte Weisung des Auftraggebers.
§ 9 Löschung und Rückgabe
Nach Beendigung des Hauptvertrags löscht der Auftragnehmer die personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen, sofern der Auftraggeber nicht zuvor die Rückgabe verlangt. Der Auftraggeber kann seine Daten jederzeit selbst über die in der Software enthaltene Exportfunktion vollständig herunterladen.
Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht — insbesondere nach § 147 AO und § 257 HGB (bis zu zehn Jahre für Rechnungen und steuerlich relevante Unterlagen). Diese Daten werden für die Dauer der Aufbewahrungsfrist gesperrt und ausschließlich zu diesem Zweck vorgehalten.
Verschlüsselte Sicherungskopien können systembedingt noch bis zum Ablauf des jeweiligen Sicherungszyklus (maximal 30 Tage) Restdaten enthalten; sie werden danach automatisch überschrieben.
§ 10 Haftung
Es gelten die Haftungsregelungen aus den AGB sowie Art. 82 DSGVO.
§ 11 Schlussbestimmungen
Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung. Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags vor. Es gilt deutsches Recht; Gerichtsstand ist Karlsruhe, sofern der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.