Entwurf: Dieser Text wurde noch nicht rechtlich geprüft.

Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag gehört zum Vertrag über Peppol-check. Der Kunde ist Verantwortlicher. Angelista Enterprise B.V. ist Auftragsverarbeiter.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur, um Peppol-check zu erbringen, solange der Vertrag läuft.

2. Art, Zweck und Daten

Buchhaltungskanzleien prüfen, ob ihre Kunden korrekt bei Peppol registriert sind, und finden mögliche doppelte Eingangsrechnungen.

• Die E-Mail-Adresse, mit der Sie sich anmelden
• Ihre Kundenliste: Name und Unternehmensnummer pro Kunde
• Das Ergebnis der Abfrage im öffentlichen Peppol-Register pro Kunde, mit einem Protokoll der Änderungen
• Von Einkaufsexporten nur das Ergebnis: Lieferant, Rechnungsnummer, Datum und Betrag möglicher Duplikate. Die Dateien selbst speichern wir nicht.
• Ein Sitzungscookie, damit Sie angemeldet bleiben

Betroffene: Beschäftigte, Kunden, Mieter oder Geschäftspartner des Kunden, soweit sie in seinen Dateien stehen.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die bestimmungsgemäße Nutzung des Dienstes gilt als Weisung.

4. Vertraulichkeit

Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.

5. Sicherheit

Der Auftragsverarbeiter trifft geeignete Maßnahmen (Art. 32 DSGVO): verschlüsselte Verbindungen (HTTPS), Zugang nur mit Anmeldung, Server im EWR, beschränkter Administratorzugang und Backups.

6. Unterauftragsverarbeiter

Der Kunde genehmigt allgemein diese Unterauftragsverarbeiter:

• OVHcloud SAS, Roubaix, Frankreich (Hosting von Server und Datenbank)
• Heinlein Hosting GmbH (mailbox.org), Berlin, Deutschland (Versand und Empfang von E-Mails)

Einen neuen Unterauftragsverarbeiter kündigt der Auftragsverarbeiter 30 Tage vorher an. Der Kunde kann widersprechen und dann kündigen.

7. Unterstützung

Der Auftragsverarbeiter unterstützt den Kunden bei Anfragen Betroffener und bei den Pflichten aus Art. 32 bis 36 DSGVO.

8. Datenschutzverletzungen

Der Auftragsverarbeiter meldet eine Verletzung unverzüglich, spätestens 48 Stunden nach Kenntnis, an den Kunden (Art. 33 DSGVO).

9. Ende

Nach Vertragsende kann der Kunde die Daten 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter sie, auch aus Backups innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht.

10. Kontrollen

Der Auftragsverarbeiter stellt alle nötigen Informationen zum Nachweis bereit und ermöglicht angemessene Überprüfungen.

11. Übermittlung

Es werden keine Daten in Länder außerhalb des EWR übermittelt.