Auftragsverarbeitungsvertrag (AVV)

Verbindliche Fassung, unverändert aus unserem Rechtstext-Bestand übernommen. Fragen dazu beantwortet datenschutz@zepdesk.de.

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zur Nutzung von ZepDesk. Stand: 2026-04-25

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) konkretisiert die Verpflichtungen der Parteien zum Datenschutz, die sich aus der im Hauptvertrag („Nutzungsvertrag“) vereinbarten Bereitstellung und Nutzung der Plattform ZepDesk ergeben.

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde, nachfolgend „Auftraggeber“.
Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist ZeptronIT UG (haftungsbeschränkt), nachfolgend „Auftragnehmer“.

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand der Verarbeitung ist die Bereitstellung der SaaS-Plattform ZepDesk, einschließlich der damit verbundenen Speicherung, Verarbeitung und Bereitstellung der vom Auftraggeber eingestellten Daten.

(2) Art und Zweck: ERP- und Buchhaltungsfunktionen, Kundenverwaltung, Angebote, Rechnungen, Lieferscheine, Zahlungsabgleich, Reporting.

(3) Dauer: Die Dauer entspricht der Laufzeit des Nutzungsvertrags zuzüglich 30-tägiger Grace-Periode für den Daten-Export.

§ 2 Umfang, Art und Zweck der Erhebung, Verarbeitung und Nutzung

(1) Art der Daten:

• Stammdaten (Name, Anschrift, E-Mail, Telefon) der Endkunden, Lieferanten und Mitarbeiter des Auftraggebers
• Kommunikationsdaten aus dem Rechnungs- und Angebotsprozess
• Vertrags- und Abrechnungsdaten
• Bankverbindungen, soweit vom Auftraggeber eingestellt
• Inhaltsdaten aus Dokumenten, Anhängen und Notizen

(2) Kategorien betroffener Personen:

• Mitarbeiter und Nutzer des Auftraggebers
• Kunden, Interessenten, Lieferanten des Auftraggebers
• Weitere Geschäftspartner des Auftraggebers, deren Daten erfasst werden

(3) Zweck: Betrieb der ERP-/Buchhaltungsfunktionen für den Auftraggeber.

§ 3 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

1. Daten ausschließlich auf dokumentierte Weisung des Auftraggebers zu verarbeiten. Eine Weisung wird insbesondere durch die Festlegungen dieses Vertrags, durch konkrete Einzelweisungen des Auftraggebers oder durch Funktionen, die der Auftraggeber über die Plattform selbst steuert, erteilt.
2. die in Art. 32 DSGVO genannten technisch-organisatorischen Maßnahmen (TOM) gemäß der Anlage 1 dieses Vertrags einzuhalten.
3. alle mit der Datenverarbeitung beschäftigten Personen zur Vertraulichkeit zu verpflichten (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).
4. den Auftraggeber unverzüglich bei Datenpannen zu informieren (Art. 33 Abs. 2 DSGVO), sodass dieser seinen eigenen Meldepflichten nach Art. 33 DSGVO nachkommen kann.
5. den Auftraggeber bei der Erfüllung von Anfragen und Ansprüchen betroffener Personen zu unterstützen (Art. 12 ff. DSGVO).
6. den Auftraggeber bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörden zu unterstützen (Art. 35, 36 DSGVO).
7. nach Abschluss der Erbringung der Verarbeitungsleistungen sämtliche personenbezogenen Daten nach Wahl des Auftraggebers zurückzugeben oder zu löschen, sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.

§ 4 Pflichten des Auftraggebers

Der Auftraggeber ist der Verantwortliche im Sinne Art. 4 Nr. 7 DSGVO. Er ist insbesondere verpflichtet:

• die Rechtmäßigkeit der Verarbeitung sicherzustellen (Rechtsgrundlage, ggf. Einwilligungen einzuholen);
• Rechte der Betroffenen (Auskunft, Berichtigung, Löschung, Widerspruch) zu wahren;
• Weisungen klar und dokumentiert zu erteilen;
• den Auftragnehmer unverzüglich zu informieren, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 5 Unterauftragsverhältnisse

(1) Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Unterauftragsverarbeiter	Leistung	Ort
Hetzner Online GmbH	Server-Hosting, Storage, Netzwerk	EU
Mollie B.V.	Payment-Processing (SEPA, Karte)	Niederlande (EU)
Let's Encrypt (ISRG)	SSL-Zertifikatsausstellung	USA (Standardvertragsklauseln)

(2) Der Auftragnehmer wird neue Unterauftragsverarbeiter mindestens 30 Tage vor deren Einsatz schriftlich ankündigen. Der Auftraggeber kann innerhalb von 14 Tagen widersprechen; in diesem Fall kann der Auftraggeber den Vertrag außerordentlich kündigen.

(3) Der Auftragnehmer verpflichtet die Unterauftragsverarbeiter vertraglich zu einem Schutzniveau, das mindestens dem dieses AVV entspricht.

§ 6 Technisch-organisatorische Maßnahmen (TOM) — Anlage 1

6.1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Serverräume Hetzner — mehrstufige Zugangskontrolle (Videoüberwachung, Zutrittsausweise, biometrische Verfahren). ISO 27001-zertifiziert.
• Zugangskontrolle: SSH nur per Ed25519-Key, kein Passwort-Login. 2-Faktor-Authentifizierung für Admins des Auftragnehmers. Passwörter werden im bcrypt/scrypt-Hash gespeichert.
• Zugriffskontrolle: Pro Kunde eigene, isolierte Datenbank. Rollenbasiertes Rechtesystem innerhalb der Kunden-Instanz. Vollständiges Audit-Log.
• Trennungskontrolle: Multi-Mandantenfähigkeit auf DB-Ebene (je Kunde eigener Schema-Namespace), nicht auf Row-Level. Keine Shared-DB.
• Pseudonymisierung: IP-Adressen werden nach 7 Tagen im Server-Log anonymisiert.

6.2 Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Weitergabekontrolle: Verschlüsselung im Transit (TLS 1.2/1.3) und at rest (AES-256 für Passwort-Felder, Backups verschlüsselt mit Kunde-spezifischen Keys).
• Eingabekontrolle: Jede Änderung wird mit Zeitstempel und Benutzer-ID im Audit-Log festgehalten.

6.3 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Verfügbarkeitskontrolle: Tägliche automatische Backups, 30 Tage Aufbewahrung, Restore-Tests mindestens wöchentlich. Auto-Scaling über Hetzner Cloud API.
• Rasche Wiederherstellbarkeit: Recovery-Point-Objective (RPO) ≤ 24h, Recovery-Time-Objective (RTO) ≤ 4h.

6.4 Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Interne Security-Reviews mindestens halbjährlich
• Penetrationstests bei größeren Änderungen der Plattform
• Abhängigkeiten (Third-Party-Libraries) via Dependabot überwacht
• Incident-Response-Plan und Notfallkontakte dokumentiert

§ 7 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, die Einhaltung der datenschutzrechtlichen Pflichten des Auftragnehmers durch Stichproben zu überprüfen. Der Auftragnehmer stellt auf Anfrage geeignete Nachweise (z. B. TOM-Dokumentation, Zertifikate der Unterauftragnehmer) zur Verfügung.

(2) Vor-Ort-Kontrollen durch den Auftraggeber sind mit angemessener Vorankündigung (min. 14 Tage), während üblicher Geschäftszeiten und unter Wahrung der Betriebsabläufe zulässig. Der Auftraggeber trägt die Kosten der Vor-Ort-Kontrolle selbst.

§ 8 Haftung

Für Schäden, die durch die Verarbeitung von Daten im Sinne dieses AVV entstehen, haften die Parteien gemäß Art. 82 DSGVO. Die Haftungsbegrenzung aus § 9 des Hauptvertrags (AGB) bleibt unberührt, soweit sie nach DSGVO zulässig ist.

§ 9 Schlussbestimmungen

(1) Dieser AVV endet mit Beendigung des Hauptvertrags. Datenschutzrechtliche Pflichten, die ihrer Natur nach über die Vertragsbeendigung hinaus fortbestehen (insbesondere Löschpflichten), bleiben unberührt.

(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag hat der AVV Vorrang in Fragen des Datenschutzes.

(3) Es gilt deutsches Recht.

PRÜFPFAD ................