Vertrag zur Auftrags­verarbeitung

Mit Zustimmung zu den Nutzungsbedingungen bei der Registrierung gilt dieser Vertrag als geschlossen. Eine unterschriebene Fassung bekommst du auf Anfrage per E-Mail.

Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO zwischen dem bei buro registrierten Betrieb (Verantwortlicher, im Folgenden „du“) und Jens Köhler, Dedinghauser Weg 83, 59557 Lippstadt (Auftragsverarbeiter, im Folgenden „ich“).

1. Gegenstand und Dauer

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die du bei der Nutzung von buro – der Webanwendung und der Apps – speicherst oder verarbeitest. Ich stelle dir buro dafür als Software zur Verfügung, betreibe die zugehörigen Server und sichere die Daten.

(2) Der Vertrag gilt, solange der Nutzungsvertrag nach den Nutzungsbedingungen besteht, und darüber hinaus, solange ich noch Daten aus diesem Auftrag verarbeite (Abschnitt 8).

(3) Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht für den Datenschutz dieser Vertrag vor.

2. Art und Zweck der Verarbeitung, Datenarten, Betroffene

(1) Art der Verarbeitung: Speichern, Organisieren, Anzeigen, Ändern, Übermitteln auf deine Veranlassung (etwa per E-Mail oder Kundenportal), Sichern, Wiederherstellen und Löschen von Daten mit buro.

(2) Zweck der Verarbeitung ist die Bereitstellung von buro für die Abwicklung deiner betrieblichen Abläufe – zum Beispiel Angebote, Aufträge, Rechnungen, Mahnwesen, Produktion, Lager, Kundenverwaltung, Wartung und Zeiterfassung.

(3) Arten personenbezogener Daten:

• Kontaktdaten (Name, Anschrift, Telefonnummern, E-Mail-Adressen, Ansprechpartner),
• Vertrags- und Auftragsdaten (Angebote, Aufträge, Leistungen, Preise, Objekte und Anlagen, Wartungstermine),
• Beleg- und Abrechnungsdaten (Rechnungen, Gutschriften, Mahnungen, Zahlungsinformationen, Bankverbindungen),
• Zeit- und Einsatzdaten (Arbeitszeiten, Einsätze, Tätigkeiten, Zuordnung zu Aufträgen),
• Bild- und Tondaten (Fotos, Unterschriften, Sprachnotizen),
• Zugangs- und Nutzungsdaten deiner Mitarbeiter (Benutzerkonten, Rollen, Änderungsprotokolle).

(4) Kategorien betroffener Personen: deine Kunden und deren Ansprechpartner, deine Lieferanten und deren Ansprechpartner, sonstige Geschäftskontakte sowie deine Mitarbeiter.

(5) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind für die Verarbeitung mit buro nicht vorgesehen. Wenn du solche Daten dennoch erfasst, bist du dafür verantwortlich, dass das zulässig ist.

(6) Die Verarbeitung findet in Deutschland statt. Eine Übermittlung in Drittländer erfolgt nur im Rahmen von Abschnitt 6 durch die dort genannten Unterauftragsverarbeiter.

3. Weisungsgebundenheit

(1) Ich verarbeite die Daten nur auf deine dokumentierte Weisung, es sei denn, ich bin nach dem Recht der EU oder Deutschlands zu einer Verarbeitung verpflichtet. In diesem Fall teile ich dir die rechtliche Anforderung vor der Verarbeitung mit, sofern das Gesetz das nicht verbietet.

(2) Deine Weisungen erteilst du in erster Linie durch die Bedienung von buro: Was du in der Software anlegst, änderst, versendest, exportierst oder löschst, gilt als Weisung. Darüber hinausgehende Weisungen erteilst du in Textform, etwa per E-Mail an info@buro-office.de.

(3) Halte ich eine Weisung für rechtswidrig, weise ich dich unverzüglich darauf hin. Ich darf die Ausführung der Weisung aussetzen, bis du sie bestätigst oder änderst.

(4) Ich verwende die Daten nicht für eigene Zwecke, gebe sie nicht an Dritte weiter und werte sie nicht aus, soweit das nicht zur Erfüllung des Auftrags nötig ist.

4. Vertraulichkeit

Ich verarbeite die Daten selbst und behandle sie vertraulich. Setze ich künftig weitere Personen ein, die Zugriff auf die Daten erhalten können, verpflichte ich sie vorher zur Vertraulichkeit, sofern sie nicht ohnehin einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Pflicht zur Vertraulichkeit gilt auch nach Ende dieses Vertrags fort.

5. Technische und organisatorische Maßnahmen

(1) Ich treffe die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen sind in der Anlage beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Ich darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen dokumentiere ich.

6. Unterauftragsverarbeiter

(1) Den Betrieb von Servern, Datenbank, Dateiablage, Mailserver und Sicherungen übernehme ich selbst auf eigener Hardware in eigenen Räumen in Deutschland. Dafür setze ich keine Unterauftragsverarbeiter ein.

(2) Du stimmst dem Einsatz folgender Unterauftragsverarbeiter zu:

• Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA – Zustellung von Push-Benachrichtigungen an iPhone und iPad (Apple Push Notification Service). Übermittelt werden das Gerätekennzeichen und der Inhalt der Benachrichtigung.
• Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA – Zustellung von Push-Benachrichtigungen an Android-Geräte (Firebase Cloud Messaging). Übermittelt werden das Gerätekennzeichen und der Inhalt der Benachrichtigung.
• HERE Global B.V., Kennedyplein 222–226, 5611 ZT Eindhoven, Niederlande – Umrechnung von Adressen in Koordinaten (Geokodierung), nur wenn diese Funktion aktiviert ist. Übermittelt wird nur die Adresse als Suchbegriff.
• Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA – KI-Funktionen über die Gemini API (Abschrift von Sprachnotizen, Auslesen von Lieferantenbelegen, KI-Assistent), nur wenn eine dieser Funktionen genutzt wird. Übermittelt werden die jeweilige Tonaufnahme, das Dokument bzw. die Anfrage. Genutzt wird der kostenpflichtige Zugang, bei dem die Inhalte nicht zum Training der Modelle verwendet werden.

(3) Für die Übermittlung an Apple Inc. und Google LLC (Push-Benachrichtigungen und Gemini API) in die USA gilt der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework; beide Unternehmen sind danach zertifiziert. Fällt diese Grundlage weg, sorge ich für eine andere zulässige Grundlage nach Kapitel V DSGVO oder stelle die Übermittlung ein.

(4) Mit den Unterauftragsverarbeitern bestehen Vereinbarungen, die den Anforderungen des Art. 28 Abs. 4 DSGVO entsprechen; dafür gelten deren Bedingungen zur Auftragsverarbeitung.

(5) Bevor ich einen Unterauftragsverarbeiter hinzunehme oder ersetze, informiere ich dich per E-Mail. Du kannst der Änderung innerhalb von 30 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Können wir uns nicht einigen, kannst du den Nutzungsvertrag fristlos kündigen.

7. Unterstützung, Betroffenenrechte und Meldepflichten

(1) Mit den Funktionen von buro kannst du Daten selbst einsehen, berichtigen, exportieren und löschen und so die Rechte betroffener Personen nach Kapitel III DSGVO erfüllen. Reicht das im Einzelfall nicht aus, unterstütze ich dich darüber hinaus. Wendet sich eine betroffene Person direkt an mich, leite ich ihre Anfrage unverzüglich an dich weiter und antworte ihr nicht selbst in der Sache, solange du mich nicht dazu anweist.

(2) Werde ich auf eine Verletzung des Schutzes personenbezogener Daten aufmerksam, die deine Daten betrifft, melde ich sie dir ohne schuldhaftes Zögern. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Ich unterstütze dich bei der Meldung an die Aufsichtsbehörde (Art. 33) und gegebenenfalls bei der Benachrichtigung der Betroffenen (Art. 34).

(3) Unter Berücksichtigung der Art der Verarbeitung und der mir vorliegenden Informationen unterstütze ich dich außerdem bei der Datenschutz-Folgenabschätzung und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde (Art. 35 und 36 DSGVO).

8. Löschung und Rückgabe nach Vertragsende

(1) Bis zum Ende des Vertrags und danach bis zur Löschung kannst du deine Daten jederzeit über die Exportfunktionen von buro herunterladen. Das gilt als Rückgabe der Daten.

(2) Nach Ende des Vertrags lösche ich deine Daten innerhalb von 30 Tagen, sofern nicht nach dem Recht der EU oder Deutschlands eine Pflicht zur Speicherung besteht. In den Sicherungen sind sie danach noch bis zu 30 Tage enthalten, bis diese rollierend überschrieben werden; bis dahin werden sie nicht mehr verwendet.

(3) Auf Wunsch bestätige ich dir die Löschung per E-Mail.

9. Nachweise und Kontrollen

(1) Ich stelle dir auf Anfrage alle Informationen zur Verfügung, die nötig sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO und diesem Vertrag nachzuweisen.

(2) Du kannst Überprüfungen – einschließlich Inspektionen – selbst oder durch einen von dir beauftragten Prüfer durchführen, der zur Verschwiegenheit verpflichtet ist und nicht in einem Wettbewerbsverhältnis zu mir steht. Inspektionen vor Ort sind mit angemessener Frist, in der Regel mindestens 14 Tage vorher, anzukündigen und finden während üblicher Geschäftszeiten statt, ohne den Betrieb unverhältnismäßig zu stören. Da sich die Server in meinen privaten Räumen befinden, stimmen wir den Ablauf vorher gemeinsam ab.

(3) Ich informiere dich, wenn eine Aufsichtsbehörde bei mir Maßnahmen ergreift, die deine Daten betreffen.

10. Haftung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Danach hafte ich als Auftragsverarbeiter nur, wenn ich meine speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht erfüllt oder gegen deine rechtmäßigen Weisungen gehandelt habe.

(2) Im Verhältnis zwischen dir und mir gelten die Haftungsregeln der Nutzungsbedingungen, soweit Art. 82 DSGVO dem nicht zwingend entgegensteht.

(3) Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht.

Anlage: Technische und organisatorische Maßnahmen

Zutrittskontrolle

Die Server stehen in meinen eigenen, abgeschlossenen Räumen in Deutschland, die nicht öffentlich zugänglich sind. Zutritt haben nur ich und von mir begleitete Personen.

Zugangskontrolle

Die Anmeldung an buro erfolgt mit E-Mail-Adresse und persönlichem Passwort. Passwörter werden ausschließlich als Argon2-Hash gespeichert. Die Anmeldung erzeugt zeitlich begrenzte Zugangs-Token. In den Apps kann zusätzlich eine Entsperrung per Face ID, Touch ID oder Fingerabdruck eingerichtet werden. Die administrativen Zugänge zu den Servern sind auf mich beschränkt.

Zugriffskontrolle

buro verfügt über ein Rollen- und Rechtekonzept: Der Inhaber eines Betriebs legt fest, welcher Mitarbeiter welche Bereiche sehen und bearbeiten darf, und kann Zugänge jederzeit entfernen.

Trennungskontrolle

Die Daten jedes Betriebs sind einem eigenen Mandanten zugeordnet. Jeder Zugriff wird serverseitig auf den Mandanten des angemeldeten Benutzers beschränkt; ein Betrieb kann nicht auf die Daten eines anderen zugreifen.

Weitergabekontrolle

Alle Verbindungen zwischen Browser oder App und Server sind per TLS verschlüsselt. Die TLS-Verbindung endet an einem selbst betriebenen Reverse-Proxy auf eigener Hardware. E-Mails versendet buro über einen selbst betriebenen Mailserver. Eine Übermittlung an Dritte erfolgt nur an die Unterauftragsverarbeiter nach Abschnitt 6.

Eingabekontrolle

Wichtige Änderungen an Daten werden mit Benutzer und Zeitpunkt protokolliert. Server-Logdateien werden zur Erkennung von Störungen und Angriffen geführt und nach spätestens 14 Tagen gelöscht.

Verfügbarkeitskontrolle

Datenbank und Dateien werden regelmäßig automatisch gesichert. Die Sicherungen liegen auf eigener, vom Internet nicht öffentlich erreichbarer Infrastruktur und werden rollierend überschrieben. Die Wiederherstellung aus Sicherungen wird regelmäßig getestet.

Verfahren zur regelmäßigen Überprüfung

Ich halte Betriebssysteme und eingesetzte Software aktuell, spiele Sicherheitsupdates zeitnah ein und überprüfe die Maßnahmen dieser Anlage regelmäßig sowie bei wesentlichen Änderungen an buro.