Auftragsverarbeitungsvertrag

zwischen dem Unternehmen, für das eine Organisation in kontura angelegt wird (im Folgenden „Auftraggeber“, Verantwortlicher), und Florian van der Galiën, [Straße Hausnummer], [PLZ Ort], Deutschland (im Folgenden „Auftragnehmer“, Auftragsverarbeiter).

§ 1 Gegenstand und Dauer

1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um ihm die Software kontura nach den AGB bereitzustellen (im Folgenden „Hauptvertrag“). Gegenstand, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen ergeben sich aus Anlage 1.
2. Der Vertrag gilt je Organisation. Er beginnt mit ihrem Anlegen und endet mit dem Hauptvertrag, frühestens aber, wenn der Auftragnehmer die Daten nach § 9 gelöscht hat.

§ 2 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, sofern er nicht nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt er dem Auftraggeber die rechtliche Anforderung vor der Verarbeitung mit, soweit das Recht dies nicht verbietet.
2. Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und der Nutzung der Funktionen von kontura durch den Auftraggeber, seine Mitglieder und die von ihm verbundenen KI-Assistenten. Weitere Weisungen erteilt der Auftraggeber in Textform an hallo@flori.dev.
3. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

§ 3 Vertraulichkeit

Der Auftragnehmer betreibt kontura selbst. Alle Personen, die er künftig zur Verarbeitung einsetzt, verpflichtet er vorher zur Vertraulichkeit, soweit sie keiner gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Der Auftragnehmer greift auf die Daten nur zu, soweit es für den Betrieb, die Behebung von Störungen oder eine Anfrage des Auftraggebers erforderlich ist.

§ 4 Technische und organisatorische Maßnahmen

1. Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind (Art. 28 Abs. 3 lit. c DSGVO).
2. Die Maßnahmen entwickeln sich mit dem Stand der Technik weiter. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen. Das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen dokumentiert er in einer neuen Fassung von Anlage 2.

§ 5 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 genannt und gelten als genehmigt.
2. Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann der Auftraggeber den Hauptvertrag fristlos kündigen.
3. Der Auftragnehmer legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag enthält, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO).
4. Keine Unterauftragsverarbeitung sind Leistungen, die der Auftragnehmer als reine Nebenleistung bezieht und bei denen kein Zugriff auf die Daten des Auftraggebers besteht, etwa die Verwaltung des Quellcodes.

§ 6 Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in der Europäischen Union oder im Europäischen Wirtschaftsraum statt [Serverstandort von Lettermint bestätigen]. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers in Textform und der Voraussetzungen der Art. 44 ff. DSGVO. Übermittlungen, die der Auftraggeber selbst veranlasst (Rechnungsversand an Empfänger in Drittländern, Abrufe durch einen von ihm verbundenen KI-Assistenten), sind keine Verlagerung durch den Auftragnehmer.

§ 7 Unterstützung des Auftraggebers

1. Der Auftraggeber kann Kundendaten in kontura selbst einsehen und berichtigen. Die Kundenstammdaten kann er in kontura selbst exportieren (Datei customers.json im Export unter „Archiv & Export“, Anlage zu den AGB). Darüber hinaus unterstützt der Auftragnehmer ihn mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.
2. Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Datenschutzverletzungen und bei einer Datenschutz-Folgenabschätzung, unter Berücksichtigung der ihm vorliegenden Informationen (Art. 28 Abs. 3 lit. f DSGVO).
3. Ausgestellte Rechnungen, erfasste Zahlungen und das Ereignisprotokoll sind technisch unveränderbar, weil der Auftraggeber sie nach § 147 AO und § 14b UStG aufbewahren muss. Eine Berichtigung erfolgt dort durch Korrekturbeleg oder Stornobuchung, eine Löschung erst nach Ablauf der Aufbewahrungsfrist des Auftraggebers oder nach § 9.
4. Das Ereignisprotokoll enthält auch Namen von Kunden, etwa beim Anlegen oder Umbenennen eines Kunden. Für Kunden, an die Rechnungen gestellt wurden, ist das Teil der Aufbewahrung nach § 147 AO. Für Kunden, an die nie eine Rechnung gestellt wurde, bleibt der Eintrag ebenfalls bis zur Löschung nach § 9 bestehen.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes der Daten des Auftraggebers unverzüglich, nachdem sie ihm bekannt geworden ist, per E-Mail an die Adresse, mit der dieser Vertrag abgeschlossen wurde, und an die E-Mail-Adresse in den Unternehmensdaten der Organisation. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen, die noch fehlen, reicht er nach, sobald sie vorliegen.

§ 9 Löschung und Rückgabe nach Vertragsende

1. Nach dem Ende des Hauptvertrags kann der Auftraggeber seine Daten 30 Tage lang exportieren (Abrufzeitraum). Der Export nach der Anlage zu den AGB ist die Rückgabe der Daten (Art. 28 Abs. 3 lit. g DSGVO).
2. Nach Ablauf des Abrufzeitraums löscht der Auftragnehmer alle Daten der Organisation, soweit nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung beim Auftragnehmer besteht. Kopien in Sicherungen werden mit deren regulärem Ablauf überschrieben, spätestens nach [Frist].
3. Der Auftragnehmer selbst hat keine Pflicht, die Rechnungen des Auftraggebers aufzubewahren. Eine Aufbewahrung über den Abrufzeitraum hinaus erfolgt nur, wenn die Parteien sie gesondert vereinbaren.
4. Auf Anforderung bestätigt der Auftragnehmer die Löschung in Textform.

§ 10 Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), insbesondere die jeweils aktuelle Fassung von Anlage 2.
2. Der Auftraggeber kann Überprüfungen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Sie werden mit einer Frist von mindestens vier Wochen angekündigt, finden zu üblichen Geschäftszeiten statt und erfolgen ohne Anlass höchstens einmal im Jahr. Sie dürfen den Betrieb und die Daten anderer Kunden nicht beeinträchtigen. Die Prüfung der Rechenzentren erfolgt über die Nachweise der Unterauftragsverarbeiter.

§ 11 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten im Übrigen die Haftungsregeln der AGB.

§ 12 Schlussbestimmungen

1. Der Auftraggeber schließt diesen Vertrag online ab, indem er beim Anlegen einer Organisation das entsprechende Feld bestätigt. Der Auftragnehmer speichert dazu die Fassung, den Zeitpunkt und die E-Mail-Adresse des bestätigenden Mitglieds im unveränderbaren Ereignisprotokoll der Organisation. Für Organisationen, die vor Einführung dieses Vertrags angelegt wurden, erfolgt der Abschluss in den Einstellungen.
2. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht.
3. Änderungen bedürfen der Textform. Eine neue Fassung dieses Vertrags wird erst wirksam, wenn der Auftraggeber sie in kontura bestätigt. Bis dahin gilt die zuletzt bestätigte Fassung. Neue Fassungen der Anlagen 2 und 3 richten sich nach § 4 Abs. 2 und § 5 Abs. 2.
4. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1: Gegenstand, Art und Zweck der Verarbeitung, Daten, Betroffene

Gegenstand: Bereitstellung von kontura als Software-as-a-Service zum Verwalten von Kunden und zum Erstellen, Prüfen, Ausstellen, Archivieren, Versenden und Exportieren von E-Rechnungen.

Art der Verarbeitung: Erheben und Erfassen (Eingabe in der Weboberfläche oder durch einen verbundenen KI-Assistenten), Speichern, Ordnen, Verändern von Entwürfen, Auslesen und Abfragen, Verwenden zur Erzeugung und Prüfung von PDF- und XML-Dateien, unveränderbare Archivierung mit Hash-Kette, Übermitteln (E-Mail-Versand an vom Auftraggeber angegebene Empfänger, Abruf durch verbundene KI-Assistenten, Export), Einschränken und Löschen.

Zweck: Erfüllung des Hauptvertrags, also die Rechnungsstellung des Auftraggebers einschließlich Archiv und Export für seine Aufbewahrungspflichten.

Art der Daten:

• Unternehmensdaten des Auftraggebers, soweit sie eine Person betreffen: Name, Inhaber, Anschrift, E-Mail-Adresse, Telefonnummer, Steuernummer, USt-IdNr., IBAN, Steuerstatus mit Datum, deren Änderungshistorie
• Kundenstammdaten: Name oder Firma, Ansprechpartner, Anschrift, E-Mail-Adresse, Kundennummer
• Rechnungsdaten: Rechnungsnummer, Datum, Leistungszeitraum, Positionen mit Beschreibung, Menge, Preis und Steuersatz, Beträge, Zahlungsziel, Leitweg-ID, Bezug von Korrekturen, Snapshots von Verkäufer und Empfänger, PDF- und XML-Dateien, Prüfsummen
• Zahlungen: Datum, Betrag und Notiz je Rechnung, Stornobuchungen
• E-Mail-Versand: Empfängeradresse, Nachrichtentext, Anhänge, Zeitpunkt
• Ereignisprotokoll: Art und Zeitpunkt von Vorgängen mit kurzer Beschreibung (zum Beispiel Kundenname, Rechnungstitel, E-Mail-Adresse bei Abschluss dieses Vertrags)
• Angaben, die der Auftraggeber in Freitextfeldern erfasst

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Auftraggeber erfasst sie nicht in Freitextfeldern.

Kategorien betroffener Personen:

• Kunden des Auftraggebers und deren Ansprechpartner
• Empfänger von Rechnungs-E-Mails
• der Auftraggeber selbst, wenn er eine natürliche Person ist, sowie Mitglieder seiner Organisation
• Personen, die in Positionsbeschreibungen oder Freitexten genannt werden

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage beschreibt die Maßnahmen, die für kontura umgesetzt sind. Maßnahmen, die noch eingerichtet werden, sind am Ende jedes Abschnitts allgemein genannt. Wird eine von ihnen umgesetzt oder ändert sich eine Maßnahme wesentlich, erscheint eine neue Fassung dieser Anlage (§ 4 Abs. 2 AVV).

Betrieb und Administration liegen bei einer Person, dem Auftragnehmer. Weitere Personen haben keinen Zugriff auf das Produktivsystem.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

• Anwendung und Datenbank laufen auf einem virtuellen Server der IONOS SE in Deutschland [bestätigen]. Der physische Zutritt zum Rechenzentrum richtet sich nach den Maßnahmen von IONOS (Anlage 3).
• Der Auftragnehmer betreibt keine eigenen Server und hält keine Datenträger mit Nutzerdaten vor Ort.

Zugangskontrolle

• Anmeldung in kontura mit E-Mail-Adresse und Passwort (mindestens 12 Zeichen), erst nach bestätigter E-Mail-Adresse.
• Optional Zwei-Faktor-Authentifizierung mit Einmalcodes und Backup-Codes sowie Passkeys mit Nutzerverifikation auf dem Gerät.
• Begrenzung von Anmelde-, Registrierungs- und Zurücksetzungsversuchen je IP-Adresse und je Konto.
• Sitzungen laufen nach höchstens 7 Tagen ohne Nutzung ab. Sitzungs-Cookies sind für Skripte nicht lesbar (HttpOnly), werden nur über HTTPS übertragen (Secure) und bei Anfragen von fremden Websites nur für einfache Seitenaufrufe mitgesendet (SameSite=Lax). Ein Zurücksetzen des Passworts beendet alle Sitzungen und Zugänge von KI-Assistenten.
• Die Datenbank ist nicht aus dem Internet erreichbar: Sie veröffentlicht keinen Port und liegt in einem internen Netz ohne Verbindung nach außen.
• Der administrative Zugang zum Server ist auf den Auftragnehmer beschränkt.
• Die Härtung des Servers nach einer festen Checkliste der Betriebsdokumentation wird vor Aufnahme externer Nutzer eingerichtet.

Zugriffskontrolle

• Mandantentrennung: Jeder Geschäftsdatensatz gehört zu einer Organisation. Die Mitgliedschaft wird bei jeder Anfrage gegen die Datenbank geprüft. Schreibzugriffe nach einem Organisationswechsel in einem anderen Tab werden abgewiesen.
• Jedes Mitglied hat volle Rechte in seiner Organisation. Einladungen weiterer Mitglieder gibt es nicht, jede Organisation hat daher nur das anlegende Mitglied. Abgestufte Rollenrechte sind geplant.
• KI-Assistenten über MCP: OAuth 2.1 mit PKCE, je Zustimmung genau eine Organisation, nur die Berechtigungen, denen der Nutzer zugestimmt hat. Zugriffstoken gelten eine Stunde, Erneuerungstoken 30 Tage. Der Nutzer kann jede Verbindung jederzeit widerrufen. Anfragen sind je Organisation begrenzt.
• Rechnungen werden nur nach persönlicher Freigabe in der Weboberfläche ausgestellt, nie durch einen Assistenten.
• Die Anwendung nutzt eine eigene Datenbankrolle mit den nötigen Mindestrechten, ohne Administratorrechte und ohne Rechte zum Ändern des Schemas. Archiv, Ereignisprotokoll, Zahlungen und die Historie der Unternehmensdaten darf sie nur lesen und ergänzen, nicht ändern oder löschen. Migrationen laufen mit einer getrennten Rolle.
• Die sichere Ablage von Zugangsdaten und Schlüsseln einschließlich getrennter Offline-Sicherung wird vor Aufnahme externer Nutzer eingerichtet.

Trennungskontrolle

• Logische Trennung der Mandanten über die Organisation in jeder Tabelle und jeder Abfrage.
• Entwicklung und automatisierte Tests laufen mit synthetischen Daten, nie mit Produktivdaten. Integrations- und Sicherheitstests nutzen eine eigene Datenbank, die nach jedem Lauf verworfen wird.

Verschlüsselung und Pseudonymisierung

• Transportverschlüsselung mit TLS für alle Verbindungen von außen, HSTS. Die Anwendung startet in Produktion nur mit einer HTTPS-Adresse.
• E-Mails werden nur über TLS-gesicherte Verbindungen an den Versanddienst übergeben.
• Geheimnisse der Zwei-Faktor-Authentifizierung, Backup-Codes und der Signaturschlüssel für MCP-Token sind mit einem Serverschlüssel verschlüsselt gespeichert.
• Eigene Zähler für Anmeldeversuche je Konto speichern E-Mail-Adressen nur als Hashwert.
• Die Verbindung zwischen Anwendung und Datenbank verlässt den Server nicht.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

• Exporte und Dateien nur nach Anmeldung und nur aus der aktiven Organisation. Antworten werden nicht zwischengespeichert (Cache-Control: no-store).
• Sicherheitsheader: Content Security Policy, Schutz vor Einbettung in fremde Seiten, keine Weitergabe der Herkunftsadresse, Prüfung der Herkunft von Anfragen.
• Keine Tracker und keine Inhalte von fremden Servern.

Eingabekontrolle

• Ereignisprotokoll je Organisation (unter anderem Speichern, Ausstellen, Versand, Zahlungen, Abschluss des AVV). Datenbank-Trigger verhindern das Ändern und Löschen von Einträgen.
• Ausgestellte Rechnungen, Archivdateien und erfasste Zahlungen sind durch Trigger gegen Änderung und Löschung geschützt. Eine falsche Zahlung wird durch eine Stornobuchung aufgehoben.
• Hash-Kette über jede ausgestellte Rechnung einschließlich der Prüfsummen von PDF und XML. Jeder Export prüft die vollständige Kette.
• Jede Änderung der Unternehmensdaten wird als neue Fassung gespeichert (nur Einfügen).
• Rechnungsentwürfe, die ein KI-Assistent anlegt, sind im Datensatz, im Ereignisprotokoll und im Export als solche gekennzeichnet.
• Eine unabhängige, unveränderbare Kopie der Archivdateien ist geplant.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Vor jeder Auslieferung mit Datenbankmigration wird die Datenbank gesichert und die Sicherung außerhalb des Servers abgelegt.
• Automatischer Neustart der Dienste, Statusprüfung des Containers und ein dokumentiertes Verfahren zur Rückkehr auf die Vorversion.
• Begrenzung von Anfragen gegen Überlastung, Größenbegrenzung von Anfragen, Rotation der Protokolle.
• Tägliche verschlüsselte Sicherungen an einem zweiten Ort, regelmäßige Wiederherstellungstests und eine externe Erreichbarkeitsprüfung werden vor Aufnahme externer Nutzer eingerichtet.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Vor jedem Build des Container-Images laufen automatisch Lint, Typprüfung und Unit-Tests. Integrations- und Sicherheitstests laufen vor Releases.
• Die Abhängigkeiten werden vor Releases auf bekannte Schwachstellen geprüft.
• Diese Maßnahmen werden [mindestens jährlich] und bei wesentlichen Änderungen überprüft. Das Ergebnis ist eine neue Fassung dieser Anlage.
• Unterauftragsverarbeiter werden nur mit einem Vertrag nach Art. 28 DSGVO eingesetzt (Anlage 3) [Abschluss bestätigen]. Weisungen erteilt der Auftragnehmer in Textform.
• Datenschutzverletzungen werden dem Auftraggeber unverzüglich gemeldet (§ 8 AVV).

Anlage 3: Unterauftragsverarbeiter

Kein Unterauftragsverarbeiter: GitHub (GitHub, Inc., USA) speichert den Quellcode, führt die automatisierten Prüfungen aus und stellt das Container-Image bereit. Neue Versionen stößt ein automatisierter GitHub-Ablauf über die Schnittstelle der selbst betriebenen Deploy-Software Komodo an [Standort von Komodo bestätigen]. GitHub erhält dabei keine personenbezogenen Daten von Nutzern oder deren Kunden. Der dafür nötige API-Schlüssel darf nur diese eine Anwendung ausliefern und liegt in einer geschützten Umgebung des Repositorys, die ausschließlich Auslieferungen aus dem Hauptzweig erlaubt [Einrichtung bestätigen].

Ebenfalls nicht erfasst sind Dienste, die der Auftraggeber selbst wählt, insbesondere die Anbieter von KI-Assistenten, die er über MCP verbindet, und die Mailserver der Empfänger seiner Rechnungen.