Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

ENTWURF — diese Fassung ist noch nicht in Kraft. Die juristische Prüfung steht aus. Maßgeblich ist bis dahin die individuelle vertragliche Vereinbarung.

Parteien und Präambel

Diese Vereinbarung konkretisiert nach Art. 28 Abs. 3 DSGVO die datenschutzrechtlichen Rechte und Pflichten der Parteien im Rahmen der zwischen ihnen bestehenden Leistungsbeziehung (nachfolgend „Hauptvertrag“).

Auftragsverarbeiter ist die Softics GmbH, Beethovenstraße 11, 76676 Graben-Neudorf, vertreten durch den Geschäftsführer Joachim Knoth, Amtsgericht Mannheim HRB 721247.

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde, für dessen Unternehmen die SoftBill-Instanz betrieben wird.

Der Abschluss in elektronischer Form ist nach Art. 28 Abs. 9 DSGVO zulässig; eine qualifizierte elektronische Signatur ist nicht erforderlich.

§ 1 Gegenstand, Rangfolge und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag und nach Weisung des Verantwortlichen im Rahmen der in Anlage 1 beschriebenen Leistungen.

(2) Diese Vereinbarung ist Bestandteil des Hauptvertrags. Bei Widersprüchen gehen in datenschutzrechtlichen Fragen die Regelungen dieser Vereinbarung vor. Die Anlagen sind Bestandteil dieser Vereinbarung.

(3) Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Die Pflichten nach § 10 sowie die Vertraulichkeitspflichten nach § 6 bestehen darüber hinaus fort.

(4) Diese Vereinbarung gilt auch für Verarbeitungen, die bereits vor ihrem Abschluss im Rahmen des Hauptvertrags erfolgt sind, ab dem tatsächlichen Beginn der Verarbeitung.

§ 2 Art und Zweck der Verarbeitung

(1) Zweck ist der Betrieb der SoftBill-Instanz des Verantwortlichen. Die Verarbeitung umfasst das Erfassen, Speichern, Ändern, Auslesen, Übermitteln (elektronische Rechnung und E-Mail-Versand), Archivieren sowie das Löschen nach Fristablauf.

(2) Die Verarbeitung erfolgt ausschließlich für Zwecke des Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt; die Daten werden insbesondere nicht zu Werbe-, Analyse- oder Trainingszwecken genutzt, einschließlich des Trainings von Modellen künstlicher Intelligenz.

(3) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum statt. Abweichungen richten sich nach § 9.

§ 3 Art der personenbezogenen Daten

• Stammdaten von Geschäftspartnern und deren Ansprechpartnern: Name, Anschrift, Kontaktdaten, Steuermerkmale
• Belegdaten: Angebote, Rechnungen, Gutschriften und Mahnungen samt Positionen, Beträgen und Freitexten
• Zahlungsdaten: Kontoumsätze und Bankverbindungen einschließlich IBAN, soweit sie für den Abgleich offener Posten eingelesen werden
• Benutzerkonten des Verantwortlichen: Name, dienstliche E-Mail-Adresse, Rolle, Kennung des Identitätsanbieters sowie das Anmelde- und Änderungsprotokoll

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Gibt der Verantwortliche solche Daten dennoch in Freitextfeldern ein, behandelt der Auftragsverarbeiter sie mit dem Schutzniveau nach § 7 und wertet sie nicht aus.

§ 4 Kategorien betroffener Personen

• Kunden, Interessenten, Lieferanten und sonstige Geschäftspartner des Verantwortlichen sowie deren Ansprechpartner
• Beschäftigte des Verantwortlichen, soweit sie SoftBill als Benutzer nutzen
• Zahlungspflichtige und Zahlungsempfänger aus eingelesenen Kontoumsätzen

§ 5 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf eine Übermittlung in Drittländer, sofern er nicht durch Unionsrecht oder mitgliedstaatliches Recht zur Verarbeitung verpflichtet ist.

(2) Der Hauptvertrag einschließlich Anlage 1 stellt die initiale und maßgebliche Weisung dar. Auch die Konfiguration der Instanz durch den Verantwortlichen (etwa Nummernkreise, Rollen, Aufbewahrungseinstellungen) gilt als Weisung.

(3) Weisungen erfolgen in Textform an info@softics.de. Mündlich erteilte Weisungen im laufenden Störungsfall sind zulässig und werden vom Auftragsverarbeiter unverzüglich in Textform dokumentiert.

(4) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

§ 6 Vertraulichkeit

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die auf Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterworfen sind (Art. 28 Abs. 3 lit. b, Art. 29 und Art. 32 Abs. 4 DSGVO). Die Verpflichtung wirkt über die Beendigung der Tätigkeit hinaus.

(2) Der Zugriff auf Daten des Verantwortlichen ist auf die Personen beschränkt, die ihn zur Erfüllung der vertraglichen Pflichten benötigen.

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen und hält sie während der Vertragslaufzeit aufrecht.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Anpassungen sind zulässig, solange das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert und auf Anfrage mitgeteilt.

§ 8 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung zur Beauftragung weiterer Auftragsverarbeiter nach Art. 28 Abs. 2 Satz 2 und Abs. 4 DSGVO.

(2) Die zum Zeitpunkt des Abschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 dieses Vertrags abschließend aufgeführt. Anlage 3 ist Vertragsbestandteil. Sie steht bewusst in diesem Dokument und nicht unter einer externen Adresse: eine Verweisung, die ins Leere zeigen kann, wäre als Vertragsbestandteil unbrauchbar.

(3) Die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters teilt der Auftragsverarbeiter mindestens vier Wochen im Voraus in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen nach Zugang aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen.

(4) Widerspricht der Verantwortliche, suchen die Parteien eine einvernehmliche Lösung. Kommt sie nicht zustande und ist die Leistungserbringung ohne den betreffenden Unterauftragsverarbeiter nicht zumutbar, kann jede Partei den betroffenen Leistungsteil mit einer Frist von einem Monat kündigen.

(5) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die ihm nach dieser Vereinbarung obliegen, und haftet gegenüber dem Verantwortlichen für deren Einhaltung.

(6) Keine Unterauftragsverarbeitung sind Nebenleistungen ohne bestimmungsgemäßen Zugriff auf personenbezogene Daten des Verantwortlichen, etwa Telekommunikations-, Reinigungs- und Wartungsleistungen sowie Aktenvernichtung.

§ 9 Drittlandtransfer

(1) Eine Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation findet nicht statt.

(2) Wird eine solche Übermittlung erforderlich, erfolgt sie nur, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses nach Art. 45 DSGVO oder der EU-Standardvertragsklauseln nach Art. 46 DSGVO nebst erforderlicher zusätzlicher Maßnahmen. Der Verantwortliche wird vorher nach § 8 Abs. 3 informiert.

(3) Anlage 3 weist je Unterauftragsverarbeiter den Ort der Verarbeitung und die Transfergrundlage aus. Ein dort ausdrücklich als offen gekennzeichneter Punkt ist bis zu seiner Klärung keine Zusicherung des Auftragsverarbeiters.

§ 10 Löschung und Rückgabe

(1) Nach Beendigung der Leistungserbringung gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten zurück oder löscht sie und löscht anschließend vorhandene Kopien.

(2) Der Verantwortliche teilt seine Wahl innerhalb von 30 Tagen nach Beendigung in Textform mit. Trifft er keine Wahl, erfolgt die Löschung nach Ablauf weiterer 30 Tage.

(3) Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format; für Belege sind dies die im Archiv abgelegten PDF- und XML-Dateien nebst einer Übersicht der zugehörigen Prüfsummen.

(4) Gesetzliche Aufbewahrungspflichten bleiben unberührt, insbesondere § 147 AO und § 14b UStG. Die betroffenen Daten werden für die Dauer der Aufbewahrung gesperrt und nach Wegfall der Pflicht gelöscht.

(5) Sicherungskopien werden im Rahmen der regulären Rotationszyklen gelöscht; eine gezielte Einzellöschung aus Sicherungsmedien erfolgt nicht. Ein produktiver Zugriff auf diese Bestände findet nicht mehr statt.

(6) Die Löschung wird auf Anforderung in Textform bestätigt.

§ 11 Unterstützungspflichten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 23 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich weiter und beantwortet es nicht selbst.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(3) Jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, in Textform an die vom Verantwortlichen benannte Kontaktstelle. Die Meldung enthält, soweit verfügbar, Art der Verletzung, betroffene Datenkategorien und Personenzahl, wahrscheinliche Folgen, ergriffene und vorgeschlagene Gegenmaßnahmen sowie eine Kontaktstelle.

(4) Der Auftragsverarbeiter ergreift unverzüglich die zur Eindämmung erforderlichen Maßnahmen und dokumentiert den Vorfall.

§ 12 Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage nach, vorrangig durch die Beschreibung der Maßnahmen nach Anlage 2, durch Selbstauskünfte sowie durch Zertifikate und Prüfberichte der eingesetzten Unterauftragsverarbeiter, insbesondere des Betreibers des Rechenzentrums.

(2) Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche Überprüfungen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, der kein Wettbewerber des Auftragsverarbeiters sein darf.

(3) Vor-Ort-Prüfungen erfolgen nach Ankündigung mit angemessener Frist von mindestens vier Wochen während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs, in der Regel höchstens einmal je Kalenderjahr; bei konkretem Anlass auch kurzfristiger.

(4) Der Auftragsverarbeiter stellt sicher, dass durch die Prüfung keine Daten anderer Kunden offengelegt werden. Die getrennten Instanzen nach Anlage 2 machen das technisch einfach.

§ 13 Sonstige Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

(2) Kontaktstelle für Datenschutzanfragen ist info@softics.de.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollhandlungen einer Aufsichtsbehörde, soweit sie Verarbeitungen im Auftrag des Verantwortlichen betreffen, und arbeitet mit der Aufsichtsbehörde zusammen (Art. 31 DSGVO).

§ 14 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen allein verantwortlich (Art. 24 DSGVO).

(2) Er erfüllt die Informationspflichten gegenüber den betroffenen Personen nach Art. 13 und Art. 14 DSGVO und führt sein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO.

(3) Er stellt sicher, dass er zur Übermittlung der Daten an den Auftragsverarbeiter berechtigt ist und etwaige Mitbestimmungsrechte gewahrt sind.

(4) Er benennt eine Kontaktstelle für Datenschutzfragen und Meldungen nach § 11 Abs. 3 und hält sie aktuell.

§ 15 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit sie zwingenden Vorschriften der DSGVO nicht entgegenstehen.

§ 16 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Dies gilt auch für die Abbedingung dieses Textformerfordernisses.

(2) Es gilt das Recht der Bundesrepublik Deutschland.

(3) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame Regelung, die dem wirtschaftlichen Zweck am nächsten kommt.

Anlage 1 — Leistungsbeschreibung

Der Auftragsverarbeiter betreibt für den Verantwortlichen eine eigene SoftBill-Instanz. Die Leistung umfasst:

• Betrieb eines je Kunde getrennten Anwendungscontainers mit einer eigenen Datenbank auf Microsoft SQL Server — keine gemeinsame Datenhaltung mit anderen Kunden
• Anmeldung der Benutzer über deren Geschäftskonto bei Microsoft Entra ID oder Google; der Auftragsverarbeiter speichert keine eigenen Kennwörter
• Erstellung, Versand und Verwaltung von Rechnungen und weiteren Belegen einschließlich der elektronischen Rechnung (XRechnung und ZUGFeRD)
• Unveränderbares Belegarchiv mit Prüfsumme je Dokument sowie ein Änderungsprotokoll über alle fachlichen Änderungen
• Abgleich eingelesener Kontoumsätze mit offenen Posten sowie das Mahnwesen
• Betrieb auf Servern der Hetzner Online GmbH in Deutschland, Erstellung von Sicherungskopien und Wiederherstellung im Störungsfall

Dauer der Verarbeitung: für die Laufzeit des Hauptvertrags; darüber hinaus für die Dauer gesetzlicher Aufbewahrungsfristen nach § 147 AO und § 14b UStG.
Ort der Verarbeitung: Deutschland, siehe Anlage 3.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Zutrittskontrolle: Die Server stehen in einem Rechenzentrum der Hetzner Online GmbH in Falkenstein, Sachsen, das nach ISO/IEC 27001 zertifiziert ist. Der physische Zutritt liegt beim Rechenzentrumsbetreiber.
• Zugangskontrolle: Die Anmeldung erfolgt ausschließlich über den Identitätsanbieter des Verantwortlichen; SoftBill vergibt und speichert keine eigenen Kennwörter. Die Sitzung liegt serverseitig und wird über ein Cookie mit den Merkmalen HttpOnly, Secure und SameSite geführt; im Browser wird kein Zugangsmerkmal abgelegt.
• Zugriffskontrolle: Drei feste Rollen mit abgestuften Rechten; jeder Zugriff ist an ein persönliches Benutzerkonto gebunden, Sammelkonten gibt es nicht. Der Anwendungsbenutzer der Datenbank besitzt keine Rechte, Journal- oder Archiveinträge zu ändern oder zu löschen.
• Weitergabekontrolle: Alle Verbindungen zur Anwendung sind mit TLS 1.2 oder TLS 1.3 verschlüsselt; unverschlüsselte Aufrufe werden umgeleitet.
• Eingabekontrolle: Ein Änderungsprotokoll hält Benutzer, Zeitpunkt, alten und neuen Wert jeder fachlichen Änderung fest. Es ist weder änderbar noch löschbar; die Einträge sind über eine Prüfsummenkette miteinander verbunden.
• Verfügbarkeitskontrolle: Regelmäßige Sicherungen der Datenbank und des Belegarchivs, getrennte Instanzen je Kunde, Überwachung des Betriebs.
• Trennungskontrolle: Je Kunde eine eigene Datenbank und ein eigener Anwendungscontainer. Die Trennung ist nicht nur logisch, sondern physisch — eine Fehlkonfiguration kann keine Daten eines anderen Kunden sichtbar machen.
• Integrität des Archivs: Zu jedem archivierten Dokument wird eine SHA-256-Prüfsumme gespeichert. Ein endgültiges Löschen ist technisch ausgeschlossen; auch der Anwendungsbenutzer der Datenbank besitzt dieses Recht nicht.
• Überprüfung: Die Wirksamkeit der Maßnahmen wird regelmäßig überprüft; jede Auslieferung durchläuft automatisierte Prüfungen, die unter anderem verhindern, dass Zugangsdaten in ein Auslieferungsabbild geraten.

Anlage 3 — Unterauftragsverarbeiter

Listenversion SUB-SoftBill-2026-08 · Stand: 26. August 2026

Mit allen hier genannten Unternehmen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Nicht in dieser Liste stehen die Identitätsanbieter Microsoft und Google: sie sind bei der Anmeldung eigenständig Verantwortliche und nicht Auftragsverarbeiter der Softics GmbH. Sie sind in Abschnitt 5 der Datenschutzerklärung beschrieben.

Änderungshistorie: 26.08.2026 — Erstfassung (ENTWURF).

Impressum · Datenschutzerklärung · AGB

Stand: 26. August 2026 — Fassung AVV-SoftBill-2026-08 (ENTWURF)