Auftragsverarbeitungsvertrag

1. Parteien

Verantwortlicher: der Kunde. Auftragsverarbeiter: Eucalypt 4 s.r.o., Jičínská 226/17, Žižkov, 130 00 Praha 3, Tschechische Republik (Kontevia).

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung von Belegdaten des Kunden im Rahmen des Dienstes Kontevia. Die Dauer entspricht der Laufzeit des Hauptvertrags zuzüglich der Frist für Export und Löschung.

3. Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen

• Art: Entgegennahme, Erkennung, Speicherung, Archivierung, Export und Übermittlung an vom Kunden benannte Empfänger (Steuerberater, DATEV).
• Zweck: Belegvorbereitung für die Buchhaltung des Kunden.
• Datenkategorien: Belegbilder und Belegdaten (Lieferant, Beträge, Positionen), Kontaktdaten der Nutzer (Name, E-Mail, Telefonnummer), Angaben auf Bewirtungsbelegen (Teilnehmer, Anlass), Protokolldaten.
• Betroffene: Mitarbeiter und Geschäftsführung des Kunden, Lieferanten und deren Mitarbeiter, Bewirtungsteilnehmer.

4. Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Kunden; die Nutzung des Dienstes gilt als Weisung.
• Vertraulichkeitsverpflichtung aller eingesetzten Personen.
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage 1).
• Unterstützung des Kunden bei Betroffenenrechten, Datenschutz-Folgenabschätzung und Meldepflichten; Meldung von Verletzungen ohne unangemessene Verzögerung, spätestens innerhalb von 48 Stunden nach Kenntnis.
• Löschung oder Rückgabe aller Daten nach Ende des Vertrags nach Wahl des Kunden, soweit keine gesetzliche Aufbewahrungspflicht besteht.
• Bereitstellung aller Informationen zum Nachweis der Einhaltung; Duldung von Prüfungen nach angemessener Ankündigung.

5. Unterauftragsverarbeiter

Kontevia setzt Unterauftragsverarbeiter ein für Hosting und Datenbank, Dateiarchiv, Texterkennung, E-Mail-Versand und den Nachrichtentransport über WhatsApp (WhatsApp Ireland Ltd. als Anbieter der WhatsApp Business Platform). Hosting, Archiv und Erkennung erfolgen in der Europäischen Union. Die aktuelle Liste mit Firmensitz und Standort wird dem Kunden mit dem Vertrag übergeben (Anlage 2). Über Änderungen informiert Kontevia mindestens 30 Tage vorher; der Kunde kann aus wichtigem Grund widersprechen und den Hauptvertrag kündigen.

6. Drittlandübermittlung

Eine Übermittlung in Drittländer erfolgt nur, soweit der Nachrichtentransport über WhatsApp dies bedingt, auf Grundlage der von WhatsApp Ireland Ltd. bereitgestellten Standardvertragsklauseln. Belegbilder und erkannte Daten werden in der EU gespeichert und verarbeitet.

7. Anlage 1: Technische und organisatorische Maßnahmen (Zusammenfassung)

• Zutritt und Zugang: Rechenzentren mit Zutrittskontrolle, Zugang nur mit personalisierten Konten und Zwei-Faktor-Authentifizierung für Administratoren.
• Verschlüsselung: Transport über TLS, Speicherung verschlüsselt, Zugangsdaten gehasht.
• Trennung: mandantengetrennte Datenhaltung, Zugriff nur im Rahmen des eigenen Kontos.
• Integrität: Originale unveränderbar, Änderungen protokolliert, Prüfsummen je Datei.
• Verfügbarkeit: tägliche Sicherungen an getrenntem Standort in der EU, dokumentierte Wiederherstellung.
• Organisation: Verzeichnis der Verarbeitungstätigkeiten, Verpflichtung der Mitarbeiter, Prozess für Datenschutzvorfälle.