Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

1. Dieser Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers gemäß Art. 28 DSGVO im Zusammenhang mit der Nutzung der von cs&m bereitgestellten E-Rechnungs-Software InvoiceFlowX sowie dazugehöriger Leistungen.
2. Der AVV ergänzt den zwischen den Parteien geschlossenen Hauptvertrag, insbesondere die AGB und gegebenenfalls individuelle Leistungsvereinbarungen.
3. Der AVV tritt mit Abschluss des Hauptvertrags in Kraft und gilt für die Dauer der Auftragsverarbeitung. Pflichten zur Löschung, zum Nachweis und zur Vertraulichkeit gelten über das Vertragsende hinaus fort, soweit gesetzlich erforderlich.

2. Gegenstand der Verarbeitung

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen.
2. Art und Zweck der Verarbeitung umfassen insbesondere:
   • Bereitstellung, Hosting und Betrieb der E-Rechnungs-Software,
   • technische Verarbeitung, Speicherung und Übermittlung elektronischer Rechnungen und sonstiger Geschäftsdokumente,
   • Verwaltung von Mandanten-, Kunden-, Lieferanten- und Benutzerdaten,
   • Support, Störungsanalyse und Fehlerbehebung,
   • Datensicherung, Wiederherstellung und Systemsicherheit sowie
   • Protokollierung sicherheits- und betriebsrelevanter Ereignisse.
3. Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, soweit nicht eine gesetzliche Verpflichtung zu einer weitergehenden Verarbeitung besteht.

3. Art der personenbezogenen Daten und Kategorien betroffener Personen

1. Verarbeitet werden je nach Nutzung insbesondere folgende Datenarten:
   • Stammdaten wie Name, Firma, Anschrift, Kundennummer, Steuerdaten und USt-IdNr.,
   • Kommunikationsdaten wie E-Mail-Adresse, Telefonnummer und Ansprechpartner,
   • Vertrags- und Abrechnungsdaten,
   • Rechnungs- und Buchungsdaten, insbesondere Leistungsinhalte, Beträge, Steuersätze, Zahlungsinformationen und Referenzen,
   • Benutzer- und Zugangsdaten sowie
   • Protokoll- und Nutzungsdaten, insbesondere Zeitpunkte, IP-Adressen, Logdaten und Systemereignisse.
2. Betroffene Personen sind insbesondere:
   • Mitarbeiter und Benutzer des Auftraggebers,
   • Kunden, Rechnungsempfänger und Ansprechpartner des Auftraggebers,
   • Lieferanten, Dienstleister und sonstige Geschäftspartner des Auftraggebers sowie
   • sonstige Personen, deren Daten der Auftraggeber im Rahmen der Nutzung verarbeitet.

4. Weisungsrecht des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen verantwortlich.
2. Weisungen sind grundsätzlich in Textform zu erteilen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
3. Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und ist berechtigt, die betreffende Verarbeitung bis zur Klärung auszusetzen.

5. Pflichten des Auftragnehmers

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen des Hauptvertrags, dieses AVV und der Weisungen des Auftraggebers.
2. Der Auftragnehmer stellt sicher, dass alle mit der Verarbeitung befassten Personen auf Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
3. Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit bei der Erfüllung von Betroffenenrechten gemäß Art. 12 bis 22 DSGVO.
4. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in Art. 32 bis 36 DSGVO geregelten Pflichten, soweit dies die konkrete Auftragsverarbeitung betrifft.
5. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit diesem Auftrag bekannt wird.
6. Der Auftragnehmer führt ein Verzeichnis über die eingesetzten Unterauftragsverarbeiter und stellt dem Auftraggeber auf Anfrage die für Art. 28 DSGVO erforderlichen Informationen zur Verfügung.

6. Technische und organisatorische Maßnahmen

1. Der Auftragnehmer trifft angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
2. Dazu gehören insbesondere, soweit für die jeweilige Betriebsumgebung einschlägig:
   • Transportverschlüsselung für Datenübertragungen,
   • rollenbasierte Zugriffsbeschränkungen und Berechtigungskonzepte,
   • Verfahren zur Authentifizierung und Protokollierung,
   • Backup- und Wiederherstellungsverfahren,
   • Schutz vor unbefugtem Zutritt, Zugriff, Veränderung und Verlust,
   • Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen sowie
   • Mandantentrennung bei Mehrmandantenbetrieb.
3. Der Auftragnehmer ist berechtigt, die technischen und organisatorischen Maßnahmen während der Vertragslaufzeit weiterzuentwickeln, sofern das Schutzniveau insgesamt nicht abgesenkt wird.
4. Eine detaillierte TOM-Anlage sollte vor produktivem Einsatz noch mit den tatsächlich eingesetzten Systemen, Hosting-Standorten und Sicherheitsprozessen abgeglichen werden.

7. Unterauftragsverarbeiter

1. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Unterauftragsverarbeiter einzusetzen, soweit die Anforderungen von Art. 28 DSGVO eingehalten werden.
2. Unterauftragsverarbeiter:
   • Hosting-/Infrastrukturprovider: auf eigenen Systemen der cs&m, Linux/Debian, Access VTX Services SA, Basel, Schweiz,
   • E-Mail-/Benachrichtigungsdienst: auf eigenen Systemen der cs&m, Software: Sophos, Kerio Connect,
   • Zahlungsdienstleister: Stripe LLC sowie
   • Support-/Ticketing-System: auf eigenen Systemen der cs&m.
3. Der Auftragnehmer informiert den Auftraggeber in Textform über beabsichtigte Änderungen bei Unterauftragsverarbeitern mit angemessener Vorlaufzeit.
4. Der Auftraggeber kann einer Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs werden die Parteien eine zumutbare Lösung abstimmen.
5. Der Auftragnehmer legt Unterauftragsverarbeitern mindestens dieselben Datenschutzpflichten auf, die in diesem AVV geregelt sind.

8. Kontrollrechte

1. Der Auftraggeber ist berechtigt, die Einhaltung der gesetzlichen Anforderungen und der vertraglichen Vereinbarungen in angemessenem Umfang zu überprüfen oder durch geeignete Dritte überprüfen zu lassen.
2. Der Auftragnehmer wird dem Auftraggeber auf Anfrage geeignete Nachweise zur Verfügung stellen, etwa aktuelle Zertifikate, Auditberichte, TOM-Beschreibungen oder Selbstauskünfte.
3. Vor-Ort-Kontrollen sind nur nach angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung von Betriebs- und Geschäftsgeheimnissen sowie Sicherheitsinteressen des Auftragnehmers zulässig.
4. Unangemessene oder häufig wiederholte Kontrollen kann der Auftragnehmer ablehnen. Soweit gesetzlich zulässig, trägt der Auftraggeber die durch Sonderprüfungen entstehenden angemessenen Kosten.

9. Mitteilungspflichten und Unterstützung

1. Der Auftragnehmer meldet dem Auftraggeber Datenschutzvorfälle unverzüglich nach Bekanntwerden.
2. Die Meldung enthält, soweit verifizierbar:
   • Art des Vorfalls,
   • betroffene Datenkategorien und Personengruppen,
   • voraussichtliche Folgen,
   • bereits ergriffene oder vorgeschlagene Abhilfemaßnahmen sowie
   • Ansprechpartner für Rückfragen.
3. Der Auftragnehmer unterstützt den Auftraggeber im angemessenen Umfang bei Datenschutz-Folgenabschätzungen und bei einer etwaigen Konsultation von Aufsichtsbehörden.

10. Rückgabe und Löschung

1. Nach Beendigung des Hauptvertrags wird der Auftragnehmer personenbezogene Daten des Auftraggebers nach dessen Wahl löschen oder zurückgeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
2. Soweit die Software eine Exportfunktion bereitstellt, kann der Auftraggeber seine Daten vor Vertragsende oder innerhalb einer angemessenen Nachfrist in einem gängigen Format exportieren.
3. In Sicherungskopien enthaltene Daten werden im Rahmen der regulären Backup-Rotation gelöscht.
4. Der Auftragnehmer bestätigt die Löschung auf Verlangen in Textform.

11. Datenverarbeitung in Drittstaaten

1. Eine Verarbeitung personenbezogener Daten in einem Drittstaat oder durch einen Unterauftragsverarbeiter in einem Drittstaat erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO eingehalten sind.
2. Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Eine Übermittlung personenbezogener Daten in die Schweiz ist daher grundsätzlich zulässig; Standardvertragsklauseln oder andere zusätzliche Übermittlungsinstrumente sind hierfür grundsätzlich nicht erforderlich.
3. Damit gelten die Voraussetzungen der Art. 44 ff. DSGVO für diese Übermittlung als erfüllt, solange der Angemessenheitsbeschluss fortbesteht und die konkrete Verarbeitung von seinem Anwendungsbereich umfasst ist.

12. Haftung

1. Die Haftung der Parteien richtet sich nach den gesetzlichen Datenschutzvorschriften, insbesondere Art. 82 DSGVO, sowie ergänzend nach den Haftungsregelungen des Hauptvertrags.
2. Soweit gesetzlich zulässig, gelten Haftungsbeschränkungen des Hauptvertrags nicht für Ansprüche aus Vorsatz, grober Fahrlässigkeit, Verletzung von Leben, Körper oder Gesundheit sowie für zwingende datenschutzrechtliche Haftungstatbestände.

13. Schlussbestimmungen

1. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich der Auftragsverarbeitung die Regelungen dieses AVV vor.
2. Änderungen und Ergänzungen dieses AVV bedürfen mindestens der Textform.
3. Sollten einzelne Bestimmungen dieses AVV ganz oder teilweise unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

14. Der Auftragnehmer

cs&m Radio- und IT-Service GmbH
Grafing b. München, 22. Juli 2026