Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

zwischen der bei Offerway registrierten Firma (Verantwortlicher) und dem Anbieter von Offerway (Auftragsverarbeiter):
[wird ergänzt]
[wird ergänzt]
E-Mail: theo.seegebrecht@gmail.com

Der Vertrag wird mit der Registrierung bzw. der Zustimmung im Programm geschlossen und gilt für die Dauer der Nutzung von Offerway.

1. Gegenstand, Art und Zweck

Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software Offerway: Speicherung und Verarbeitung von Anfragen, Kundenstammdaten, Angeboten, Auftragsbestätigungen, Rechnungen und Mahnungen, E-Mail-Versand und -Empfang, digitale Annahme von Angeboten sowie – sofern eingestellt – KI-gestützte Auswertung von Anfragen und Textvorschläge.

2. Betroffene Personen und Daten

• Betroffene: Kunden und Interessenten des Verantwortlichen, deren Ansprechpartner; Mitarbeiter des Verantwortlichen mit Zugang.
• Daten: Name, Firma, Anschrift, E-Mail, Telefon, Inhalte von Anfragen und E-Mails, Veranstaltungs- bzw. Auftragsdaten, Angebots- und Rechnungsdaten, Zahlungsstatus, Name/Zeitpunkt/IP-Adresse bei digitaler Unterschrift, Zugangsdaten der Mitarbeiter.
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen und sollen nicht eingegeben werden.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind die Nutzung der Funktionen von Offerway, die Einstellungen der Firma sowie schriftliche Anweisungen. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin.

4. Vertraulichkeit und Zugriff des Betreibers

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Der Betreiber greift auf Inhalte einer Firma nur zu, wenn die Firma dafür in Offerway einen zeitlich begrenzten Support-Zugriff freigibt oder es zur Behebung einer Störung bzw. aufgrund gesetzlicher Pflicht zwingend nötig ist. Support-Zugriffe werden protokolliert und sind für die Firma einsehbar.

5. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen (Art. 32 DSGVO) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens 4 Wochen vorher per E-Mail; der Verantwortliche kann aus wichtigem datenschutzrechtlichen Grund widersprechen und in diesem Fall den Vertrag kündigen. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf gleichwertige Datenschutzpflichten.

7. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Export), bei Datenschutz-Folgenabschätzungen und bei der Meldung von Datenschutzverletzungen. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.

8. Löschung und Rückgabe

Nach Ende des Vertrags kann der Verantwortliche seine Daten über den Archiv-Export herunterladen. Danach löscht der Auftragsverarbeiter die Daten, soweit keine gesetzliche Pflicht zur Speicherung besteht; Sicherungen werden spätestens nach 60 Tagen überschrieben.

9. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die nötigen Informationen zum Nachweis der Pflichten zur Verfügung und ermöglicht Überprüfungen nach angemessener Vorankündigung.

10. Haftung und Schluss

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Nutzungsbedingungen. Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor.

Anlage 1 – Technische und organisatorische Maßnahmen

• Verschlüsselung: Alle Verbindungen ausschließlich über HTTPS/TLS. Externe Sicherungen werden mit AES-256-GCM verschlüsselt.
• Zugangskontrolle: Persönliche Konten; Passwörter nur als scrypt-Hash gespeichert (mind. 10 Zeichen); optional Anmeldung mit zusätzlichem E-Mail-Code (für den Betreiber Pflicht); signierte Sitzungen mit Ablauf; Abmeldung aller Geräte bei Passwortänderung; Begrenzung von Anmeldeversuchen.
• Zugriffskontrolle: Strikte Trennung der Daten je Firma (Mandantentrennung, automatisiert getestet); Rollen „Admin“ und „Mitarbeiter“; der Betreiber hat keinen Zugriff auf Inhalte einer Firma – außer die Firma gibt einen zeitlich begrenzten Support-Zugriff frei. Jeder Support-Zugriff wird protokolliert und ist für die Firma einsehbar.
• Schutz vor Manipulation: Schutz gegen Cross-Site-Request-Forgery; festgeschriebene Belege sind gegen Änderung und Löschung gesperrt und über eine Prüfsummen-Kette abgesichert (GoBD).
• Verfügbarkeit: Automatische Sicherung der Datenbank alle 6 Stunden (60 Stände); zusätzlich tägliche verschlüsselte Sicherung an einen zweiten Ort.
• Protokollierung: Wichtige Vorgänge (Anmeldungen per Code, Freischaltungen, Belege, Mails, Support-Zugriffe) werden je Firma protokolliert.
• Datenminimierung: Keine Tracking- oder Werbe-Cookies; nur ein technisch notwendiges Sitzungs-Cookie. Die KI erhält nur die Inhalte, die für die jeweilige Anfrage nötig sind.
• Standort: Server in der EU; Dienstleister mit Sitz in den USA nur mit Auftragsverarbeitungsvertrag und Standardvertragsklauseln bzw. DPF-Zertifizierung.

Anlage 2 – Unterauftragsverarbeiter