Auftragsverarbeitungsvereinbarung (AVV)

Anlage zu den Allgemeinen Geschäftsbedingungen

Vereinbarung über die Auftragsverarbeitung personenbezogener Daten („AVV“) nach Art. 28 DSGVO

Präambel

Der Kunde nutzt billware, um Angebote, Rechnungen und weitere Geschäftsdokumente zu erstellen, Aufträge aus Shops und Marktplätzen zu importieren und seine Belege zu verwalten. Dabei verarbeitet billware personenbezogene Daten, die der Kunde eingibt oder importiert, in seinem Auftrag. Diese Vereinbarung regelt diese Auftragsverarbeitung. Sie ist Bestandteil der Allgemeinen Geschäftsbedingungen (nachfolgend „Vertrag“) und gilt für alle Tätigkeiten, bei denen der Auftragnehmer oder von ihm beauftragte Personen personenbezogene Daten des Auftraggebers verarbeiten.

§ 1 Parteien, Gegenstand und Dauer

1. Auftragnehmer ist Christian Rinne, Kirschenweg 34, 24558 Henstedt-Ulzburg (nachfolgend „billware“ oder „Auftragnehmer“). Auftraggeber ist der Kunde, der billware nach dem Vertrag nutzt (nachfolgend „Auftraggeber“). Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, billware ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.
2. Gegenstand der Auftragsverarbeitung ist der Betrieb der Software billware als Onlinedienst (Software as a Service) einschließlich Hosting, Speicherung, Sicherung, Ausgabe und Versand der vom Auftraggeber eingegebenen oder importierten Daten sowie die Wartung und der Support des Dienstes.
3. Die Dauer dieser Vereinbarung entspricht der Laufzeit des Vertrags. Pflichten, die ihrer Natur nach über das Vertragsende hinauswirken, insbesondere die Vertraulichkeit sowie Rückgabe und Löschung nach § 10, bleiben davon unberührt.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Zweck der Verarbeitung ist die Auftragsabwicklung und Buchhaltung des Auftraggebers mit billware. Die Verarbeitung umfasst insbesondere:
   • Speicherung und Verwaltung der Kunden-, Lieferanten-, Artikel- und Auftragsdaten des Auftraggebers,
   • Erstellung von Angeboten, Auftragsbestätigungen, Rechnungen, Lieferscheinen, Mahnungen, Storno- und Korrekturbelegen als PDF und als elektronische Rechnung (ZUGFeRD, XRechnung),
   • Versand dieser Dokumente per E-Mail an die vom Auftraggeber angegebenen Empfänger, auf Wunsch über den vom Auftraggeber hinterlegten E-Mail-Server,
   • Import von Bestellungen, Kunden und Artikeln aus den vom Auftraggeber angebundenen Shops und Marktplätzen und Rückmeldung von Statusänderungen an diese,
   • Erfassung von Ausgaben und Belegen einschließlich hochgeladener Dateien, sofern die Erweiterung gebucht ist,
   • Erzeugung von Versandmarken über einen Versanddienstleister, sofern die Erweiterung gebucht ist,
   • Bereitstellung von Auswertungen, Exporten und Backups für den Auftraggeber,
   • Sicherung des Gesamtsystems, Protokollierung und Fehleranalyse zum Betrieb des Dienstes sowie
   • Support, soweit der Auftraggeber billware dafür Zugriff auf seine Daten gewährt.
2. Die Verarbeitung findet in Rechenzentren in Deutschland und in der Europäischen Union statt. Eine Verarbeitung in Drittländern erfolgt nur durch die in § 9 genannten Subunternehmer unter den dort beschriebenen Garantien.

§ 3 Datenkategorien und betroffene Personen

1. Gegenstand der Verarbeitung sind folgende Kategorien personenbezogener Daten:

   Kategorie	Beispiele
   Stammdaten	Name, Firma, Anschrift, Kundennummer, Rechtsform
   Kontaktdaten	E-Mail-Adresse, Telefonnummer, Ansprechpartner
   Vertrags- und Rechnungsdaten	Angebote, Aufträge, Rechnungen, Lieferscheine, Mahnungen, Zahlungsstatus, Zahlungsbedingungen, Steuernummer, Umsatzsteuer-Identifikationsnummer
   Zahlungsdaten	Bankverbindung, Zahlungsart, Zahlungseingänge, Erstattungen
   Bestell- und Versanddaten	Bestellungen, Artikel, Lieferanschriften, Versandarten, Sendungsnummern aus angebundenen Shops und Marktplätzen
   Belege und Dokumente	Ausgabenbelege, hochgeladene Dateien, Anhänge zu Dokumenten
   Kommunikationsdaten	Versendete Dokumenten-E-Mails, Notizen zu Kunden und Lieferanten
   Benutzerdaten	E-Mail-Adresse, gehashtes Passwort, Rollen und Rechte, Einstellungen des Kontos
   Nutzungs- und Protokolldaten	IP-Adresse, Zeitpunkt von Anmeldungen, Gerätekennung, technische Protokolle

2. Betroffen sind folgende Personengruppen:

   Personengruppe	Erläuterung
   Auftraggeber und seine Benutzer	Inhaber, Mitarbeiter und weitere Personen mit Zugang zum Konto
   Kunden des Auftraggebers	Rechnungs- und Lieferempfänger, Besteller, deren Ansprechpartner
   Interessenten	Empfänger von Angeboten und sonstige Kontaktpersonen
   Lieferanten und Dienstleister des Auftraggebers	einschließlich deren Ansprechpartner

3. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Auftraggeber stellt sicher, dass solche Daten nicht in billware eingegeben werden.

§ 4 Weisungen und Verantwortlichkeit

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Er beurteilt, ob die in § 6 beschriebenen Maßnahmen für die von ihm verarbeiteten Daten ein angemessenes Schutzniveau bieten.
2. Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus dem Vertrag und aus der Nutzung der Software: Der Auftraggeber erteilt sie, indem er Daten eingibt, importiert, Dokumente erstellt, versendet, exportiert oder löscht und die Einstellungen seines Kontos festlegt. Darüber hinausgehende Einzelweisungen erteilt der Auftraggeber in Textform an die in § 11 genannte Adresse. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
3. Weisungen, die im Vertrag nicht vorgesehen sind, behandelt der Auftragnehmer als Antrag auf Leistungsänderung. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.
4. Ist der Auftragnehmer nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

§ 5 Pflichten des Auftragnehmers

1. Vertraulichkeit. Der Auftragnehmer gewährleistet, dass alle Personen, die Daten des Auftraggebers verarbeiten, zur Vertraulichkeit verpflichtet sind und die Daten nur im Rahmen der Weisungen verarbeiten. Die Verpflichtung besteht nach Beendigung des Vertrags fort.
2. Sicherheit der Verarbeitung. Der Auftragnehmer trifft die in § 6 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, hält sie auf dem Stand der Technik und überprüft ihre Wirksamkeit regelmäßig. Er darf Maßnahmen ändern, solange das vereinbarte Schutzniveau nicht unterschritten wird.
3. Unterstützung des Auftraggebers. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Beantwortung von Anfragen betroffener Personen nach Kapitel III DSGVO, bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 32 bis 36 DSGVO). Die Export- und Backup-Funktionen der Software stehen dem Auftraggeber dafür jederzeit zur Verfügung. Geht die Unterstützung über die Funktionen der Software hinaus, kann der Auftragnehmer den nachgewiesenen Aufwand berechnen.
4. Meldung von Verletzungen. Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, in Textform. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie dem Auftragnehmer bekannt sind, und wird ergänzt, sobald weitere Informationen vorliegen. Der Auftragnehmer ergreift unverzüglich Maßnahmen zur Sicherung der Daten und zur Minderung nachteiliger Folgen und stimmt sich dazu mit dem Auftraggeber ab.
5. Ansprechpartner. Ansprechpartner des Auftragnehmers für Datenschutzfragen ist die in § 11 genannte Stelle. Ein Datenschutzbeauftragter ist beim Auftragnehmer nicht bestellt, weil keine gesetzliche Pflicht dazu besteht.
6. Gefährdung der Daten. Werden die Daten des Auftraggebers beim Auftragnehmer durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich und weist die Beteiligten darauf hin, dass die Daten in der Verantwortung des Auftraggebers stehen.
7. Verzeichnis und Nachweise. Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und weist dem Auftraggeber die Einhaltung seiner Pflichten aus dieser Vereinbarung auf Verlangen nach (§ 8).

§ 6 Technische und organisatorische Maßnahmen

Der Auftragnehmer setzt zum Schutz der Daten mindestens folgende Maßnahmen ein:

1. Zutritts- und Zugangskontrolle. Anwendung und Datenbank laufen in einem nach ISO 27001 zertifizierten Rechenzentrum in Deutschland mit Zutrittskontrolle durch den Rechenzentrumsbetreiber. Der administrative Zugang zu den Servern ist auf den Auftragnehmer beschränkt und erfolgt ausschließlich über verschlüsselte Verbindungen mit Schlüsselauthentifizierung.
2. Zugriffskontrolle. Jeder Benutzer des Auftraggebers meldet sich mit persönlichem Passwort an; Passwörter werden ausschließlich als Hash mit individuellem Salt gespeichert. Der Auftraggeber kann eine Zwei-Faktor-Authentifizierung aktivieren, Mitarbeitern abgestufte Rechte einräumen und angemeldete Geräte einsehen und abmelden. Fehlgeschlagene Anmeldungen werden begrenzt.
3. Trennungskontrolle. Die Daten der Kunden werden logisch getrennt gespeichert; jeder Datenzugriff der Anwendung ist an das Konto des jeweiligen Auftraggebers gebunden. Test- und Entwicklungssysteme sind vom Produktivsystem getrennt.
4. Übertragungs- und Transportkontrolle. Jede Verbindung zur Anwendung ist mit TLS verschlüsselt. Passwörter und API-Schlüssel, die der Auftraggeber für seinen E-Mail-Server oder angebundene Shops hinterlegt, werden verschlüsselt gespeichert. Der Versand von Dokumenten erfolgt über verschlüsselte Verbindungen zu den Mailservern.
5. Verfügbarkeitskontrolle. Die Datenbank wird täglich gesichert; die Sicherungen werden verschlüsselt übertragen und versioniert an einem zweiten Standort abgelegt. Hochgeladene Dokumente werden redundant gespeichert. Die Systeme werden überwacht, Sicherheitsaktualisierungen zeitnah eingespielt, und ein Dienst zur Abwehr von Angriffen ist der Anwendung vorgeschaltet.
6. Eingabekontrolle. Anmeldungen und sicherheitsrelevante Änderungen am Konto werden protokolliert; der Auftraggeber sieht die angemeldeten Geräte in seinem Konto.
7. Auftragskontrolle. Subunternehmer werden nach § 9 ausgewählt, vertraglich verpflichtet und in ihrer Leistung begrenzt. Support-Zugriffe auf Daten des Auftraggebers erfolgen nur auf dessen Anfrage.
8. Organisation. Der Auftragnehmer überprüft die Maßnahmen regelmäßig und passt sie an den Stand der Technik an. Die jeweils aktuelle Beschreibung der Maßnahmen ist Bestandteil dieser Vereinbarung.

§ 7 Pflichten des Auftraggebers

1. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung seiner Daten feststellt.
2. Der Auftraggeber hält die Zugangsdaten seiner Benutzer geheim, vergibt Rechte an Mitarbeiter nur im erforderlichen Umfang und entfernt ausgeschiedene Benutzer aus seinem Konto.
3. Der Auftraggeber erfüllt die Informationspflichten nach Art. 13 und 14 DSGVO gegenüber den betroffenen Personen und beantwortet deren Anfragen; er nennt dem Auftragnehmer auf Verlangen einen Ansprechpartner für Datenschutzfragen.
4. Für die gesetzlichen Aufbewahrungspflichten seiner Geschäftsunterlagen bleibt der Auftraggeber verantwortlich. Er sichert seine Daten regelmäßig über die Export- und Backup-Funktionen der Software.

§ 8 Anfragen betroffener Personen, Nachweise und Kontrollen

1. Wendet sich eine betroffene Person mit einem Anliegen zu ihren Daten an den Auftragnehmer, verweist er sie an den Auftraggeber, sofern eine Zuordnung möglich ist, und leitet das Anliegen unverzüglich an den Auftraggeber weiter. Der Auftragnehmer beantwortet solche Anfragen nicht selbst; für die fristgerechte Beantwortung ist der Auftraggeber verantwortlich.
2. Der Auftragnehmer weist die Einhaltung dieser Vereinbarung auf Verlangen durch geeignete Unterlagen nach, insbesondere durch die Beschreibung der Maßnahmen nach § 6, Zertifikate und Berichte der Rechenzentrumsbetreiber sowie Auskünfte zu den Subunternehmern.
3. Genügen diese Nachweise im Einzelfall nicht, kann der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer nach Anmeldung mit angemessener Vorlaufzeit von mindestens 14 Tagen eine Kontrolle zu den üblichen Geschäftszeiten durchführen, ohne den Betrieb zu stören. Der Auftragnehmer kann einen Prüfer ablehnen, der mit ihm im Wettbewerb steht. Kontrollen sind auf eine pro Kalenderjahr begrenzt, sofern kein konkreter Anlass besteht; den Aufwand einer anlasslosen Kontrolle kann der Auftragnehmer berechnen.
4. Kontrollen durch eine Aufsichtsbehörde des Auftraggebers duldet der Auftragnehmer im gesetzlichen Umfang; eine Verschwiegenheitserklärung ist von der Behörde nicht zu verlangen.

§ 9 Subunternehmer und Drittlandübermittlung

1. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO, weitere Auftragsverarbeiter (Subunternehmer) einzusetzen. Als Subunternehmer gelten Dienstleister, die der Auftragnehmer mit der ganzen oder einer Teilleistung des Vertrags beauftragt und die dabei Daten des Auftraggebers verarbeiten. Nebenleistungen wie Telekommunikation, Wartung von Hardware oder Reinigung sind keine Subunternehmerleistungen; der Auftragnehmer stellt auch für sie den Schutz der Daten durch geeignete Vereinbarungen sicher.
2. Derzeit sind folgende Subunternehmer eingesetzt. Mit allen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO:

   Subunternehmer	Leistung	Sitz und Verarbeitungsort
   Hetzner Online GmbH, Gunzenhausen	Hosting der Anwendung und der Datenbank	Deutschland
   Amazon Web Services EMEA SARL	Ablage von Dokumenten und Belegen (S3), E-Mail-Versand (SES)	Luxemburg; Speicherung im Rechenzentrum Irland (eu-west-1)
   Cloudflare Germany GmbH	Auslieferung der Anwendung, Angriffsabwehr	Deutschland / USA
   Stichting Mollie Payments	Zahlungsabwicklung des Vertrags mit billware	Niederlande
   Okta, Inc. (Auth0)	Anmeldung über externe Anbieter, nur bei Nutzung dieser Anmeldung	USA
   Help Scout Inc.	Bearbeitung von Support-Anfragen	USA
   shipcloud GmbH	Erzeugung von Versandmarken, nur bei gebuchter Erweiterung	Deutschland

3. Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Hinzuziehung oder Ersetzung eines Subunternehmers mindestens 30 Tage im Voraus in Textform, etwa per E-Mail an die Adresse des Kontos. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist eine einvernehmliche Lösung nicht möglich, kann der Auftraggeber den Vertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich kündigen. Ohne Widerspruch gilt die Änderung als genehmigt.
4. Der Auftragnehmer erlegt jedem Subunternehmer vertraglich dieselben Datenschutzpflichten auf, die ihn nach dieser Vereinbarung treffen, und bleibt dem Auftraggeber gegenüber für die Erfüllung der Pflichten des Subunternehmers verantwortlich.
5. Eine Verarbeitung in Drittländern findet nur durch die in Absatz 2 genannten Subunternehmer mit Sitz in den USA statt. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Subunternehmer dort zertifiziert ist, und ergänzend auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

§ 10 Rückgabe und Löschung nach Vertragsende

1. Bis zum Vertragsende kann der Auftraggeber seine Daten jederzeit über die Export- und Backup-Funktionen der Software in gängigen, maschinenlesbaren Formaten abrufen.
2. Nach Vertragsende gibt der Auftragnehmer nach Wahl des Auftraggebers die vertragsgegenständlichen Daten zurück oder löscht sie. Trifft der Auftraggeber innerhalb von 30 Tagen nach Vertragsende keine Wahl, löscht der Auftragnehmer die Daten einschließlich aller Kopien nach Ablauf dieser Frist; Sicherungskopien werden im Rahmen des Sicherungszyklus überschrieben.
3. Daten, die der Auftragnehmer aufgrund gesetzlicher Aufbewahrungspflichten weiter speichern muss, insbesondere die Abrechnung des Vertrags mit dem Auftraggeber, werden bis zum Ablauf der Aufbewahrungsfrist in der Verarbeitung eingeschränkt und danach gelöscht.
4. Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform. Während des Vertrags berichtigt oder löscht der Auftragnehmer Daten auf Weisung des Auftraggebers; die Lösch- und Bearbeitungsfunktionen der Software gelten als solche Weisung.

§ 11 Ansprechpartner

Ansprechpartner des Auftragnehmers für alle Fragen zu dieser Vereinbarung, für Weisungen in Textform und für Meldungen ist: Christian Rinne, Kirschenweg 34, 24558 Henstedt-Ulzburg, E-Mail [email protected].

§ 12 Haftung

1. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregelungen des Vertrags; sie werden durch diese Vereinbarung nicht erweitert.

§ 13 Schlussbestimmungen

1. Diese Vereinbarung geht bei Widersprüchen den übrigen Regelungen des Vertrags vor, soweit es den Datenschutz betrifft. Zwingende Vorgaben der DSGVO gehen dieser Vereinbarung vor.
2. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Der Auftragnehmer darf die Beschreibung der technischen und organisatorischen Maßnahmen nach § 6 und die Liste der Subunternehmer nach § 9 im dort geregelten Verfahren aktualisieren.
3. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Vereinbarung im Übrigen wirksam. Es gilt deutsches Recht.

Stand: September 2026