Auftragsverarbeitungsvereinbarung (AVV)

Vereinbarung nach Art. 28 DSGVO zwischen dem Kunden als Vertragspartner des Nutzungsvertrags über „AccuBooked“ (nachfolgend „Verantwortlicher“) und der Taxivo Software UG (haftungsbeschränkt), Leopoldstraße 31, 80802 München (nachfolgend „Auftragsverarbeiter“).

Präambel

Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen auf Grundlage des Nutzungsvertrags über die Software „AccuBooked“ (nachfolgend „Hauptvertrag“). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO. Sie wird bei der Registrierung digital abgeschlossen und ist Bestandteil des Hauptvertrags; einer Unterschrift bedarf es nicht.

1. Gegenstand und Dauer

1.1 Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung und Nutzung der Software AccuBooked. Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

1.2 Die Dauer dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags. Die Regelungen zur Löschung (Ziffer 8) gelten darüber hinaus.

2. Ort der Verarbeitung

Die Verarbeitung findet grundsätzlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des EWR statt. Eine Verarbeitung in Drittländern erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss, EU-Standardvertragsklauseln). Einzelheiten zu den eingesetzten Unterauftragsverarbeitern enthält Anlage 2.

3. Verantwortlichkeit und Weisungen

3.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Dies gilt insbesondere für die von ihm über Schnittstellen eingebundenen Bestell- und Kundendaten seiner Endkunden.

3.2 Der Auftragsverarbeiter prüft die Inhalte der für den Verantwortlichen verarbeiteten Daten und Dateien nicht. Die Verantwortung für deren Richtigkeit, Vollständigkeit und Zulässigkeit trägt der Verantwortliche. Die Software ist ein technisches Hilfsmittel; eine Haftung des Auftragsverarbeiters für die inhaltliche Richtigkeit der Buchführung des Verantwortlichen ist nach § 2 Abs. 5 der AGB ausgeschlossen.

3.3 Weisungen erteilt der Verantwortliche grundsätzlich durch die Nutzung und Konfiguration der Software (z. B. Anbinden von Verkaufsplattformen, Auslösen von Rechnungserstellung und -versand, Übergabe an die Buchhaltung, Nutzung von Löschfunktionen). Darüber hinausgehende Weisungen bedürfen der Textform.

3.4 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Er darf die Ausführung der Weisung bis zu deren Bestätigung oder Änderung aussetzen.

4. Pflichten des Auftragsverarbeiters

4.1 Er verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

4.2 Er setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

4.3 Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 3 und schreibt sie entsprechend dem Stand der Technik fort; das vereinbarte Schutzniveau darf dabei nicht unterschritten werden.

4.4 Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO) und unterstützt ihn in angemessenem Umfang bei dessen Pflichten nach Art. 32 bis 36 DSGVO.

4.5 Er unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12 bis 23 DSGVO) zu beantworten. Anträge, die unmittelbar beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter.

4.6 Er führt ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

5. Unterauftragsverarbeiter

5.1 Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die aktuell eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

5.2 Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der Aufnahme oder dem Austausch eines Unterauftragsverarbeiters in Textform oder innerhalb der Software. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichen Grund widersprechen. Kommt keine einvernehmliche Lösung zustande, kann jede Partei den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

5.3 Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern durch Vertrag Datenschutzpflichten auf, die den Pflichten aus dieser Vereinbarung im Wesentlichen entsprechen.

5.4 Keine Unterauftragsverhältnisse im Sinne dieser Regelung sind Nebenleistungen wie Telekommunikations-, Post-/Transport-, Wartungs- oder Reinigungsleistungen.

6. Vom Verantwortlichen angebundene Drittdienste

Verkaufsplattformen (eBay, Amazon, Kaufland), Versanddienstleister (DHL), Buchhaltungsdienste (Sevdesk, Lexware Office) und der E-Mail-Ausgangsserver des Verantwortlichen sind keine Unterauftragsverarbeiter des Auftragsverarbeiters, sondern eigene Vertragspartner des Verantwortlichen. Der Abruf von Daten aus diesen Diensten und die Übermittlung von Daten an sie erfolgen ausschließlich auf Weisung des Verantwortlichen, die dieser durch das Anbinden der Dienste und das Auslösen der jeweiligen Funktionen erteilt. Für die Rechtmäßigkeit des Einsatzes dieser Dienste ist der Verantwortliche zuständig.

7. Kontrollrechte

7.1 Der Verantwortliche darf jederzeit prüfen, ob diese Vereinbarung eingehalten wird. Der Auftragsverarbeiter erteilt dazu Auskunft und stellt auf Anfrage die Beschreibung seiner Schutzmaßnahmen sowie die Nachweise seiner Unterauftragsverarbeiter zur Verfügung.

7.2 Reichen diese Unterlagen im Einzelfall nicht aus, kann der Verantwortliche nach rechtzeitiger Ankündigung zusätzlich vor Ort prüfen oder durch einen zur Verschwiegenheit verpflichteten Dritten prüfen lassen; für den damit verbundenen Aufwand kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, auf die er vorher hinweist. Rechenzentren der Unterauftragsverarbeiter sind von Vor-Ort-Prüfungen ausgenommen; dort gelten deren eigene Prüfberichte.

8. Löschung und Rückgabe

8.1 Während der Vertragslaufzeit kann der Verantwortliche seine Daten über die Exportfunktionen der Software selbst sichern; § 14 der AGB gilt ergänzend.

8.2 Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen einschließlich vorhandener Kopien innerhalb von 30 Tagen, es sei denn, es besteht eine gesetzliche Pflicht zur weiteren Speicherung; in diesem Fall wird die Verarbeitung eingeschränkt. Auf Anforderung bestätigt er die Löschung in Textform.

8.3 Wird ein Datensatz im laufenden Betrieb gelöscht, bleibt er noch so lange in den automatischen Sicherungskopien enthalten, bis diese planmäßig durch neue ersetzt werden. Spätestens 30 Tage nach der Löschung im laufenden Betrieb ist auch die letzte Sicherungskopie überschrieben.

8.4 Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen (z. B. Protokolle über erteilte Zustimmungen), darf der Auftragsverarbeiter über das Vertragsende hinaus entsprechend den gesetzlichen Fristen aufbewahren.

9. Haftung

Für die Haftung gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrags.

10. Schlussbestimmungen

10.1 Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieser Vereinbarung vor.

10.2 Es gilt deutsches Recht; der Gerichtsstand richtet sich nach dem Hauptvertrag.

10.3 Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Für Änderungen dieser Vereinbarung gilt § 15 der AGB entsprechend.

10.4 Ist eine Bestimmung dieser Vereinbarung unwirksam oder wird sie es, bleiben die übrigen Bestimmungen wirksam.

Anlage 1 — Gegenstand der Verarbeitung

Art und Zweck der Verarbeitung:

• Abruf, Speicherung und Aufbereitung von Bestell- und Transaktionsdaten aus vom Verantwortlichen angebundenen Verkaufsplattformen;
• Erstellung von Rechnungen, Gutschriften und zugehörigen Belegen;
• Versand von Belegen über den vom Verantwortlichen hinterlegten E-Mail-Ausgangsserver;
• Erstellung von Versandmarken;
• Aufbereitung und Übergabe von Daten an die Buchhaltungssysteme des Verantwortlichen sowie Bereitstellung von Exporten;
• steuerliche Auswertungen (z. B. One-Stop-Shop-Umsatzübersichten);
• Support und Fehlerdiagnose.

Arten personenbezogener Daten:

• Bestell- und Lieferdaten der Endkunden: Name, Liefer- und Rechnungsanschrift, E-Mail-Adresse (bei Marktplätzen häufig eine pseudonymisierte Weiterleitungsadresse), ggf. Telefonnummer, bestellte Artikel, Preise, Zahlungs- und Erstattungsbeträge, Bestell- und Sendungsnummern;
• Rechnungs- und Buchungsdaten mit Bezug zu Endkunden, einschließlich vom Marktplatz bereitgestellter Rechnungsdokumente;
• Inhalte der über den Ausgangsserver des Verantwortlichen versendeten E-Mails (Belegzustellung);
• Stammdaten des Verantwortlichen und seiner Nutzer (Name, E-Mail-Adresse, Anmeldedaten, Firmen- und Steuerdaten);
• verschlüsselt gespeicherte Zugangsdaten des Verantwortlichen zu den von ihm angebundenen Drittdiensten.

Kategorien betroffener Personen:

• Endkunden (Käufer) des Verantwortlichen auf Verkaufsplattformen;
• der Verantwortliche selbst sowie seine Mitarbeiter und Nutzer;
• ggf. Lieferanten, Steuerberater und sonstige Geschäftspartner des Verantwortlichen, soweit deren Daten in Belegen oder E-Mails enthalten sind.

Anlage 2 — Unterauftragsverarbeiter

Nicht als Unterauftragsverarbeiter aufgeführt sind Dienste, die ausschließlich Konto- und Anmeldedaten des Verantwortlichen betreffen und keine Daten der Endkunden verarbeiten (z. B. Discord bei der Anmeldung über ein Discord-Konto). Hierüber informiert die Datenschutzerklärung.

Anlage 3 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 21. August 2026. Die Maßnahmen werden mindestens vierteljährlich überprüft.

1. Vertraulichkeit

Zugang zur Anwendung

• Der Zugang ist nur nach Anmeldung möglich.
• Eine Zwei-Faktor-Anmeldung steht zur Verfügung; die Anforderungen an Passwörter werden serverseitig durchgesetzt und lassen sich nicht umgehen.
• Passwörter werden nicht im Klartext gespeichert.
• Sämtliche Bereiche der Anwendung sind standardmäßig geschützt; öffentlich erreichbar sind nur Anmeldung und Registrierung.

Trennung der Kunden voneinander

• Jeder Kunde erhält ausschließlich Zugriff auf die eigenen Daten. Die Trennung wird nicht erst in der Anwendung, sondern bereits in der Datenhaltung selbst durchgesetzt.
• Dateien mit Personenbezug — insbesondere Rechnungen und Marktplatzbelege — sind nicht öffentlich abrufbar und werden nur über zeitlich befristete Links ausgeliefert.
• Produktiv- und Entwicklungsumgebung sind voneinander getrennt.

Zugriffe des Auftragsverarbeiters

• Zugänge werden personenbezogen und nur im erforderlichen Umfang vergeben und regelmäßig überprüft.
• Alle eingesetzten Personen sind zur Vertraulichkeit verpflichtet (Ziffer 4.2).

Verschlüsselung

• Zugangsdaten des Verantwortlichen zu angebundenen Diensten werden ausschließlich verschlüsselt gespeichert und in der Oberfläche maskiert.
• Personenbezogene Bestelldaten werden zusätzlich verschlüsselt abgelegt.
• Die gespeicherten Daten sind beim Datenbank-Dienstleister verschlüsselt. Es kommen jeweils Verfahren nach dem Stand der Technik zum Einsatz.

2. Integrität

• Alle Verbindungen sind verschlüsselt; unverschlüsselte Verbindungen werden abgewiesen.
• Die Datenhaltung ist aus dem öffentlichen Netz nicht unmittelbar erreichbar.
• Der Hosting-Anbieter schützt die Anwendung vor Überlastangriffen.
• Protokolle zur Fehlersuche werden vor der Speicherung von personenbezogenen Inhalten bereinigt.
• Eingaben werden serverseitig geprüft.

3. Verfügbarkeit und Belastbarkeit

• Die Daten werden täglich automatisch gesichert.
• Die genutzte Infrastruktur ist über mehrere Standorte redundant ausgelegt.
• Für die Wiederherstellung besteht ein dokumentiertes Vorgehen.
• Der Verantwortliche kann über die Exportfunktionen jederzeit eigene Sicherungen erstellen.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Für Sicherheitsvorfälle besteht ein dokumentiertes Vorgehen einschließlich der Meldung an den Verantwortlichen nach Ziffer 4.4.
• Die Zugangs- und Zugriffskontrollen sowie die vergebenen Berechtigungen werden mindestens vierteljährlich überprüft.
• Datenminimierung und datenschutzfreundliche Voreinstellungen sind fester Bestandteil der Entwicklung.
• Unterauftragsverarbeiter werden nach Datenschutz- und Sicherheitskriterien ausgewählt; mit ihnen bestehen Auftragsverarbeitungsverträge.

Diese Übersicht beschreibt die Schutzwirkung der getroffenen Maßnahmen. Einzelheiten zur technischen Umsetzung werden hier bewusst nicht veröffentlicht, da ihre Offenlegung die Schutzwirkung selbst beeinträchtigen würde. Der Verantwortliche erhält sie auf Anfrage vertraulich, soweit er sie zur Beurteilung nach Art. 28 Abs. 1 DSGVO benötigt.