Auftrags­verarbeitungs­vertrag (AVV)

Vertragsparteien

Verantwortlicher: das Unternehmen oder die sonstige Stelle, die Lavesy auf Grundlage der AGB nutzt, mit den im Kundenkonto hinterlegten Angaben – nachfolgend „Kunde“.

Auftragsverarbeiter: Henry Manke, An der Eveke 3, 58511 Lüdenscheid, Deutschland, E-Mail mail@lavesy.de – nachfolgend „Anbieter“. Vollständige Angaben enthält das Impressum.

Die Parteien haben einen Vertrag über die Nutzung der Software-as-a-Service-Anwendung „Lavesy“ geschlossen, dessen Grundlage die Allgemeinen Geschäftsbedingungen des Anbieters sind (nachfolgend „Hauptvertrag“). Dabei verarbeitet der Anbieter personenbezogene Daten, für die der Kunde Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist. Dieser Vertrag regelt die Rechte und Pflichten der Parteien nach Art. 28 DSGVO.

1. Gegenstand, Art, Zweck, Dauer und Ort der Verarbeitung

(1) Gegenstand. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden bei der Bereitstellung und dem Betrieb von Lavesy als cloudbasierte Lager-, Bestands- und Belegverwaltung im Umfang des vom Kunden gebuchten Tarifs, einschließlich Datensicherung, Fehlerbehebung und Unterstützung (Support).

(2) Art der Verarbeitung. Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Abgleichen, Offenlegen durch Übermittlung innerhalb der Anwendung und an die vom Kunden bestimmten Empfänger (zum Beispiel beim Versand von E-Mails und Nachrichten aus der Anwendung), Einschränken, Löschen und Vernichten – jeweils ausschließlich zu dem in Absatz 3 genannten Zweck.

(3) Zweck. Die Verarbeitung erfolgt ausschließlich zur Erbringung der im Hauptvertrag vereinbarten Leistungen. Eine Verarbeitung zu eigenen Zwecken des Anbieters, insbesondere zu Zwecken der Werbung, der Profilbildung, des Verkaufs von Daten oder des Trainings von Systemen künstlicher Intelligenz, findet nicht statt. Absatz 7 bleibt unberührt.

(4) Arten der Daten und Kategorien betroffener Personen. Diese ergeben sich aus Anlage 1.

(5) Dauer. Die Verarbeitung beginnt mit der Bereitstellung des Zugangs und dauert, solange der Hauptvertrag besteht; die Abwicklung nach dessen Ende richtet sich nach Ziffer 9. Die Kündigung eines kostenpflichtigen Tarifs beendet den Hauptvertrag nicht; das Konto wird dann im kostenfreien Tarif „Privat“ fortgeführt (AGB Ziffer 7).

(6) Ort der Verarbeitung. Der Anbieter speichert und verarbeitet die Daten in Rechenzentren in der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum; die derzeit genutzten Standorte nennt Anlage 3. Eine Übermittlung in ein Drittland findet nur nach Maßgabe der Ziffer 11 statt.

2. Weisungen des Kunden (Art. 28 Abs. 3 S. 2 lit. a DSGVO)

(1) Der Anbieter verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation. Das gilt nicht, soweit der Anbieter nach dem Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Der Hauptvertrag, die dort beschriebenen Funktionen und die Konfiguration, die der Kunde in der Anwendung vornimmt, bilden die Weisung des Kunden. Als Weisung gelten insbesondere: das Anlegen, Ändern und Löschen von Datensätzen durch Nutzer des Kunden, die Verwaltung von Mitgliedern, Rollen und Berechtigungen, der Versand von E-Mails und Nachrichten aus der Anwendung, das Aktivieren oder Deaktivieren optionaler Funktionen und angebundener Dienste (Ziffer 10), das Auslösen eines Exports sowie das Auslösen der Löschung.

(3) Weitere Weisungen erteilt der Kunde in Textform (zum Beispiel per E-Mail an die in Anlage 4 genannte Adresse). Weisungsberechtigt sind die Administratoren der Firma des Kunden in Lavesy sowie Personen, die der Kunde in Textform benennt. Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform. Der Anbieter dokumentiert die Weisungen.

(4) Ist der Anbieter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, informiert er den Kunden unverzüglich (Art. 28 Abs. 3 S. 3 DSGVO). Er darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

(5) Geht eine Weisung über den im Hauptvertrag vereinbarten Leistungsumfang hinaus, teilt der Anbieter dem Kunden vorab in Textform mit, ob und zu welcher Vergütung er sie umsetzt; die Umsetzung erfolgt erst nach Zustimmung des Kunden. Die Erfüllung der Pflichten des Anbieters aus diesem Vertrag und aus der DSGVO macht der Anbieter nicht von einer Vergütung abhängig.

(6) Der Anbieter stellt sicher, dass ihm unterstellte Personen, die Zugang zu den Daten haben, diese nur auf Weisung des Kunden verarbeiten (Art. 29, Art. 32 Abs. 4 DSGVO).

3. Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er stellt insbesondere sicher, dass für die Verarbeitung eine Rechtsgrundlage besteht und die betroffenen Personen nach Art. 13 und 14 DSGVO informiert werden.

(2) Lavesy ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder von Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) bestimmt; der Kunde stellt solche Daten nicht gezielt ein. Gelangen sie dennoch in die Anwendung, etwa als Inhalt hochgeladener Belege, gelten für sie die Pflichten dieses Vertrags unverändert; der Kunde prüft, ob die Maßnahmen nach Anlage 2 für sie ausreichen.

(3) Mitteilungen nach diesem Vertrag richtet der Anbieter an die E-Mail-Adressen der Administratoren der Firma des Kunden in Lavesy oder an eine abweichende Kontaktadresse, die der Kunde in Textform benannt hat (Anlage 4). Der Kunde hält diese Angaben aktuell.

(4) Der Kunde informiert den Anbieter unverzüglich, wenn er bei der Prüfung der Verarbeitung Fehler oder Unregelmäßigkeiten in Bezug auf den Datenschutz feststellt.

4. Vertraulichkeit (Art. 28 Abs. 3 S. 2 lit. b DSGVO)

(1) Der Anbieter gewährleistet, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Derzeit hat ausschließlich der Inhaber des Anbieters Zugriff auf die Daten des Kunden. Erhalten weitere Personen Zugriff (zum Beispiel Beschäftigte oder freie Mitarbeiter), verpflichtet der Anbieter sie vorher in Textform zur Vertraulichkeit, macht sie mit den maßgeblichen Datenschutzvorschriften vertraut und beschränkt ihren Zugriff auf das für ihre Aufgabe Erforderliche.

(3) Die Pflicht zur Vertraulichkeit besteht nach dem Ende der Tätigkeit fort.

5. Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 S. 2 lit. c, Art. 32 DSGVO)

(1) Der Anbieter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen. Sie gewährleisten unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen ein angemessenes Schutzniveau.

(2) Der Anbieter überprüft die Wirksamkeit der Maßnahmen regelmäßig, mindestens einmal jährlich, sowie anlassbezogen bei wesentlichen Änderungen der Anwendung oder der Infrastruktur.

(3) Der Anbieter darf die Maßnahmen an die technische Entwicklung anpassen, sofern das Schutzniveau nach Anlage 2 nicht unterschritten wird. Die jeweils aktuelle Fassung der Anlage 2 veröffentlicht er auf dieser Seite; über wesentliche Änderungen informiert er den Kunden auf Anfrage.

(4) Der Kunde prüft anhand der Anlage 2, ob die Maßnahmen für die von ihm verarbeiteten Daten angemessen sind.

6. Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)

(1) Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) nach Maßgabe dieser Ziffer einzusetzen. Die eingesetzten Unterauftragsverarbeiter nennt Anlage 3 mit ihrem Stand-Datum; die dort bei Abschluss oder Zustimmung zu dieser Fassung genannten gelten als genehmigt, später nach den Absätzen 2 bis 4 hinzugekommene ebenso, wenn der Kunde nicht widersprochen hat. Die Liste veröffentlicht der Anbieter auch unter lavesy.de/auftragsverarbeiter.

(2) Über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Anbieter den Kunden mindestens vier Wochen vor dem geplanten Einsatz per E-Mail an die Adressen nach Ziffer 3 Abs. 3 und durch einen Hinweis in der Liste nach Absatz 1. Die Information nennt Name und Anschrift, Leistung, Ort der Verarbeitung, die betroffenen Daten und gegebenenfalls die Garantien für eine Drittlandübermittlung.

(3) Der Kunde kann der beabsichtigten Änderung bis zum Ablauf dieser Frist in Textform aus sachlichen datenschutzrechtlichen Gründen widersprechen. Die Parteien bemühen sich dann um eine einvernehmliche Lösung. Gelingt sie nicht, kann der Kunde den Hauptvertrag mit Wirkung vor dem Einsatz des neuen Unterauftragsverarbeiters außerordentlich kündigen; im Voraus gezahlte Entgelte für die Zeit nach dem Vertragsende erstattet der Anbieter anteilig.

(4) Muss ein Unterauftragsverarbeiter aus dringenden Gründen der Sicherheit oder der Verfügbarkeit kurzfristig ersetzt werden (zum Beispiel bei einem Sicherheitsvorfall oder dem Ausfall des Dienstleisters), darf der Anbieter die Frist nach Absatz 2 verkürzen. Er informiert den Kunden dann unverzüglich unter Angabe der Gründe; das Recht nach Absatz 3 bleibt unberührt.

(5) Der Anbieter wählt Unterauftragsverarbeiter sorgfältig aus, insbesondere im Hinblick auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen, und erlegt ihnen durch Vertrag dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 S. 1 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Anbieter gegenüber dem Kunden für die Einhaltung der Pflichten jenes Unterauftragsverarbeiters (Art. 28 Abs. 4 S. 2 DSGVO).

(6) Setzt ein Unterauftragsverarbeiter seinerseits weitere Auftragsverarbeiter ein, nennt die Liste nach Absatz 1 die Stelle, an der deren Liste veröffentlicht ist. Über Änderungen in dieser Kette informiert der Anbieter den Kunden unverzüglich, nachdem er selbst davon erfahren hat. Auf Anfrage stellt der Anbieter dem Kunden die Datenschutzbestimmungen der Verträge mit Unterauftragsverarbeitern zur Verfügung; der Anbieter darf geschäftliche Angaben darin schwärzen.

(7) Keine Unterauftragsverarbeitung im Sinne dieser Ziffer sind Leistungen Dritter, bei denen diese nicht bestimmungsgemäß auf die Daten des Kunden zugreifen (zum Beispiel Telekommunikations- und Postdienste), sowie die vom Kunden selbst angebundenen Dienste nach Ziffer 10. Dienste, die der Anbieter selbst auf seiner Infrastruktur betreibt, sind in Anlage 3 gesondert genannt.

7. Unterstützung bei Rechten betroffener Personen (Art. 28 Abs. 3 S. 2 lit. e DSGVO)

(1) Wendet sich eine betroffene Person mit einem Anliegen zu den Daten des Kunden unmittelbar an den Anbieter, leitet der Anbieter es unverzüglich an den Kunden weiter und beantwortet es nicht selbst, es sei denn, der Kunde weist ihn dazu an.

(2) Der Anbieter unterstützt den Kunden angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten (Art. 12 bis 22 DSGVO).

(3) Hierfür stellt die Anwendung dem Kunden insbesondere folgende Funktionen bereit:

• Einsehen, Berichtigen und Löschen einzelner Datensätze in der Anwendung;
• einen Export der Unternehmensdaten als strukturierte JSON-Datei, in jedem Tarif, für Administratoren der Firma; hochgeladene Belege lassen sich einzeln herunterladen;
• die Deaktivierung von Mitgliedern sowie die Löschung des eigenen Nutzerkontos durch die jeweilige Person;
• die Löschung der Firma mit allen Daten (Ziffer 9 Abs. 4).

(4) Kann der Kunde einen Antrag mit diesen Funktionen nicht selbst erfüllen, unterstützt ihn der Anbieter auf Anforderung in Textform, insbesondere durch die Löschung oder Auskunft zu einzelnen Personen. Diese Unterstützung ist unentgeltlich, soweit sie nicht durch einen Verstoß des Kunden gegen diesen Vertrag veranlasst ist.

8. Sicherheit, Meldung von Datenpannen und Folgenabschätzung (Art. 28 Abs. 3 S. 2 lit. f, Art. 32 bis 36 DSGVO)

(1) Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

(2) Meldung. Der Anbieter meldet dem Kunden jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich, möglichst innerhalb von 24 Stunden und spätestens 48 Stunden nach Kenntnis, per E-Mail an die Adressen nach Ziffer 3 Abs. 3 (Art. 33 Abs. 2 DSGVO).

(3) Die Meldung enthält, soweit bekannt: eine Beschreibung der Art der Verletzung, möglichst mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze; die wahrscheinlichen Folgen; die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung; eine Kontaktstelle für weitere Informationen. Was zum Zeitpunkt der Meldung noch nicht bekannt ist, reicht der Anbieter unverzüglich nach. Der Anbieter ergreift unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen zu mindern, und dokumentiert die Verletzung.

(4) Die Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und die Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) obliegen dem Kunden; der Anbieter unterstützt ihn dabei mit den ihm vorliegenden Informationen.

(5) Auf Anfrage unterstützt der Anbieter den Kunden bei einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und einer vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) mit den bei ihm vorhandenen Informationen zu Verarbeitungsvorgängen und Schutzmaßnahmen.

(6) Anfragen von Behörden und Dritten. Verlangt eine Behörde oder ein sonstiger Dritter vom Anbieter Auskunft über die Daten des Kunden oder deren Herausgabe, informiert der Anbieter den Kunden unverzüglich, soweit dies rechtlich zulässig ist, und gibt Daten nur auf Weisung des Kunden oder aufgrund einer rechtlichen Verpflichtung heraus. Über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, die die Verarbeitung für den Kunden betreffen, informiert er den Kunden ebenfalls unverzüglich.

9. Löschung und Rückgabe nach Vertragsende (Art. 28 Abs. 3 S. 2 lit. g DSGVO)

(1) Nach dem Ende der Verarbeitungsleistungen löscht der Anbieter nach Wahl des Kunden alle personenbezogenen Daten des Kunden oder gibt sie ihm zurück und löscht danach die vorhandenen Kopien, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht.

(2) Wahlfrist. Endet der Hauptvertrag durch Kündigung des gesamten Vertrags, beginnt eine Wahlfrist von 30 Tagen. In dieser Zeit bleibt die Anwendung für den Kunden nutzbar, sodass er seine Daten exportieren kann; er kann die Kündigung innerhalb der Frist auch zurücknehmen. Etwa sieben Tage vor Ablauf weist der Anbieter den Kunden per E-Mail auf den Löschtermin hin. Mit Ablauf der Frist löscht der Anbieter die Daten nach Absatz 4, ohne dass es einer weiteren Erklärung des Kunden bedarf. Löscht der Kunde seine Firma selbst (Funktion „Konto & Daten löschen“), entfällt die Wahlfrist; die Löschung erfolgt sofort.

(3) Rückgabe. Die Rückgabe erfolgt in erster Linie durch den Export nach Ziffer 7 Abs. 3. Auf Anforderung in Textform innerhalb der Wahlfrist stellt der Anbieter dem Kunden die Daten einschließlich der hochgeladenen Belegdateien unentgeltlich in einem gängigen, maschinenlesbaren Format bereit.

(4) Durchführung der Löschung. In der Datenbank löscht der Anbieter den Personenbezug durch unumkehrbare Anonymisierung: Alle Angaben, die eine natürliche Person identifizieren, werden entfernt oder überschrieben, ohne dass eine Zuordnung aufbewahrt wird; Daten ohne Personenbezug (zum Beispiel Mengen und Buchungen) können in dieser anonymisierten Form erhalten bleiben. Hochgeladene Dateien und die vom Kunden hinterlegten Zugangsdaten zu Diensten nach Ziffer 10 löscht der Anbieter spätestens 30 Tage nach der Anonymisierung.

(5) Sicherungskopien. Daten in Sicherungskopien werden nicht einzeln gelöscht, sondern entfallen mit dem planmäßigen Überschreiben der Sicherungen, spätestens 90 Tage nach der Löschung im laufenden System. Bis dahin sind sie von jeder weiteren Verarbeitung ausgenommen. Muss eine Sicherung wiederhergestellt werden, wiederholt der Anbieter bereits durchgeführte Löschungen.

(6) Ausnahmen. Besteht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung, schränkt der Anbieter die Verarbeitung der betroffenen Daten auf diesen Zweck ein und löscht sie nach Ablauf der Pflicht. Daten, die der Anbieter nach Ziffer 1 Abs. 7 als Verantwortlicher verarbeitet – insbesondere seine Rechnungen an den Kunden –, unterliegen nicht dieser Ziffer.

(7) Die Löschung bestätigt der Anbieter dem Kunden auf Anfrage in Textform.

(8) Kopien, die der Kunde selbst angefertigt hat (zum Beispiel Exporte oder Sicherungen in einem eigenen Speicher nach Ziffer 10), löscht der Kunde selbst.

10. Vom Kunden angebundene Dienste Dritter

(1) Der Kunde kann in Lavesy Dienste Dritter anbinden, die er selbst in eigenem Namen und mit eigenem Zugang nutzt. Das sind derzeit:

1. KI-Anbieter für die KI-gestützte Belegextraktion und den KI-Assistenten (derzeit OpenAI und Anthropic), jeweils mit einem eigenen API-Schlüssel des Kunden;
2. ein eigenes E-Mail-Konto des Kunden (eigener SMTP-Server oder Microsoft 365) für den Versand geschäftlicher E-Mails, zum Beispiel von Bestellungen;
3. Nachrichtenkanäle (zum Beispiel WhatsApp oder Telegram) mit eigenen Zugangsdaten;
4. ein eigener, S3-kompatibler Speicher für Sicherungen;
5. KI-Anwendungen des Kunden, denen ein Nutzer über die MCP-Schnittstelle mit seiner Zustimmung (OAuth) Zugriff auf die Daten erteilt.

(2) Diese Funktionen sind ausgeschaltet, bis der Kunde sie aktiviert oder einen Zugang hinterlegt. Ohne Aktivierung übermittelt der Anbieter keine Daten an diese Dienste; die Texterkennung (OCR) hochgeladener Belege läuft dann ausschließlich auf der Infrastruktur des Anbieters.

(3) Die Aktivierung ist eine dokumentierte Weisung des Kunden, die für die jeweilige Funktion erforderlichen Daten unter Verwendung des Zugangs des Kunden an den gewählten Dienst zu übermitteln oder ihm Zugriff zu gewähren. Der Anbieter übermittelt dabei nur die für die Funktion erforderlichen Daten.

(4) Die angebundenen Dienste sind keine Unterauftragsverarbeiter des Anbieters. Das Vertragsverhältnis über diese Dienste – einschließlich eines etwa erforderlichen Auftragsverarbeitungsvertrags und der Garantien für eine Drittlandübermittlung – besteht zwischen dem Kunden und dem jeweiligen Dienst.

(5) Aktiviert der Kunde einen solchen Dienst, so

• schließt er, soweit erforderlich, mit dem Dienst einen Vertrag nach Art. 28 DSGVO und prüft die Zulässigkeit einer Drittlandübermittlung (Art. 44 ff. DSGVO);
• nutzt er die beim Dienst vorhandenen Einstellungen, insbesondere zum Ausschluss der Verwendung seiner Daten für das Training von KI-Modellen und zur Speicherdauer;
• stellt er sicher, dass er zur Übermittlung der betroffenen Daten berechtigt ist, und nimmt die Verarbeitung in sein Verzeichnis von Verarbeitungstätigkeiten auf;
• widerruft er die Zugänge beim jeweiligen Dienst, wenn er sie nicht mehr nutzt.

(6) Der Anbieter speichert die hinterlegten Zugangsdaten feldverschlüsselt (Anlage 2) und nennt auf der Seite Auftragsverarbeiter die gängigen anbindbaren Dienste mit Verweisen auf deren Vertragsunterlagen.

(7) Ergebnisse der KI-gestützten Belegextraktion legt die Anwendung den Nutzern des Kunden zur Prüfung und Freigabe vor; eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt. Der KI-Assistent und die MCP-Schnittstelle handeln nur mit den Rechten des jeweiligen Nutzers.

11. Übermittlung in Drittländer

(1) Der Anbieter speichert die Daten des Kunden ausschließlich in der Europäischen Union (Anlage 3) und übermittelt sie nicht selbst in Drittländer.

(2) Der Hosting-Dienstleister setzt für Netzwerk- und E-Mail-Dienste seinerseits weitere Auftragsverarbeiter ein, darunter Unternehmen mit Sitz in den USA. Soweit diese beim Versand von E-Mails über den Versandweg des Anbieters (zum Beispiel Einladungen und Benachrichtigungen) Daten des Kunden verarbeiten, erfolgt dies auf Grundlage der Standardvertragsklauseln der Europäischen Kommission im Vertrag des Hosting-Dienstleisters. E-Mails, die der Kunde über ein eigenes E-Mail-Konto nach Ziffer 10 versendet, sind davon nicht betroffen.

(3) Aktiviert ein Nutzer Push-Benachrichtigungen, stellt der Anbieter diese über den Push-Dienst zu, den der Browser oder das Betriebssystem des Nutzers vorgibt (zum Beispiel von Google, Apple oder Mozilla); diese Dienste können ihren Sitz in Drittländern haben. Der Inhalt der Benachrichtigung wird Ende-zu-Ende verschlüsselt übertragen und ist für den Push-Dienst nicht lesbar.

(4) Für die angebundenen Dienste nach Ziffer 10 gilt Ziffer 10 Abs. 4 und 5. Jede weitere Übermittlung in ein Drittland erfolgt nur auf dokumentierte Weisung des Kunden oder nach dem Verfahren der Ziffer 6 und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

12. Nachweise und Überprüfungen (Art. 28 Abs. 3 S. 2 lit. h DSGVO)

(1) Der Anbieter stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und diesem Vertrag zur Verfügung und ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen, die vom Kunden oder einem von ihm beauftragten Prüfer durchgeführt werden.

(2) Den Nachweis kann der Anbieter insbesondere durch die aktuelle Anlage 2, durch schriftliche Auskünfte (zum Beispiel die Beantwortung eines Fragebogens des Kunden), durch Unterlagen und Protokolle, durch Nachweise seiner Unterauftragsverarbeiter (zum Beispiel Zertifikate oder Prüfberichte) oder durch genehmigte Verhaltensregeln oder Zertifizierungen nach Art. 40 und 42 DSGVO führen.

(3) Reichen diese Nachweise im Einzelfall nicht aus, kann der Kunde eine Inspektion beim Anbieter durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der nicht in einem Wettbewerbsverhältnis zum Anbieter steht. Die Inspektion ist mit einer Frist von mindestens 30 Tagen in Textform anzukündigen, findet zu den üblichen Geschäftszeiten statt, ist auf das Erforderliche beschränkt und darf die Sicherheit anderer Kunden nicht gefährden. Sie findet in der Regel höchstens einmal im Kalenderjahr statt; bei einer Verletzung des Schutzes personenbezogener Daten, bei begründeten Zweifeln an der Einhaltung dieses Vertrags oder auf Verlangen einer Aufsichtsbehörde ist sie auch darüber hinaus und mit kürzerer Frist möglich.

(4) Jede Partei trägt die Kosten, die ihr durch eine Überprüfung entstehen, selbst.

(5) Der Anbieter unterstützt den Kunden bei Überprüfungen durch die Aufsichtsbehörde, soweit sie die Verarbeitung im Auftrag des Kunden betreffen, und arbeitet mit der Aufsichtsbehörde zusammen (Art. 31 DSGVO).

13. Haftung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO; diese Haftung wird durch diesen Vertrag nicht beschränkt.

(2) Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrags (AGB Ziffer 11), soweit nicht zwingendes Recht entgegensteht. Ziffer 6 Abs. 5 Satz 2 bleibt unberührt.

14. Laufzeit und Rangfolge

(1) Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Anbieter Daten des Kunden verarbeitet; Ziffer 9 gilt über das Vertragsende hinaus. Eine gesonderte ordentliche Kündigung dieses Vertrags ist ausgeschlossen.

(2) Verstößt der Anbieter schwerwiegend gegen diesen Vertrag oder gegen Datenschutzvorschriften und stellt er den Verstoß nach Aufforderung nicht ab, ist der Kunde zur außerordentlichen Kündigung des Hauptvertrags berechtigt.

(3) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag oder sonstigen Vereinbarungen geht dieser Vertrag in allen Fragen des Datenschutzes vor.

15. Änderungen dieses Vertrags

(1) Änderungen dieses Vertrags werden nur wirksam, wenn der Kunde ihnen ausdrücklich zustimmt, mindestens in Textform – zum Beispiel durch die Zustimmung eines Administrators des Kunden in der Anwendung. Die Veröffentlichung einer neuen Fassung auf dieser Seite oder Schweigen des Kunden genügen nicht; AGB Ziffer 13 findet auf diesen Vertrag keine Anwendung.

(2) Stimmt der Kunde einer neuen Fassung nicht zu, gilt für ihn die bisherige Fassung weiter. Das Recht beider Parteien zur ordentlichen Kündigung des Hauptvertrags bleibt unberührt.

(3) Keine Änderung dieses Vertrags sind die Fortschreibung der Anlage 2 nach Ziffer 5 Abs. 3 und die Änderung der Unterauftragsverarbeiter nach dem Verfahren der Ziffer 6.

(4) Jede Fassung trägt eine Versionskennung (oben auf dieser Seite). Frühere Fassungen führt der Anbieter im Abschnitt Frühere Fassungen dieser Seite auf und stellt sie auf Anfrage in Textform zur Verfügung.

16. Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts; für den Gerichtsstand gilt AGB Ziffer 14 Abs. 3.

(2) Maßgeblich ist die deutsche Fassung dieses Vertrags. Eine englische Übersetzung (Data Processing Agreement) dient nur der Information.

(3) Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.

(4) Die Anlagen 1 bis 4 sind Bestandteil dieses Vertrags.

Anlage 1 – Betroffene Personen, Datenarten und Verarbeitungstätigkeiten

1.1 Kategorien betroffener Personen

• Nutzerinnen und Nutzer des Kunden (insbesondere Beschäftigte und Inhaber);
• Ansprechpartner bei Lieferanten des Kunden, einschließlich Personen, die ein Preisformular des Kunden ausfüllen;
• Kunden des Kunden und deren Ansprechpartner;
• Personen, die in hochgeladenen Belegen genannt sind;
• Empfänger von E-Mails und Nachrichten, die der Kunde über die Anwendung versendet;
• sonstige Personen, deren Daten der Kunde in Freitextfeldern oder Adressen erfasst.

1.2 Arten personenbezogener Daten

Daten nach Art. 9 und 10 DSGVO sind nicht Gegenstand der Verarbeitung; es gilt Ziffer 3 Abs. 2.

1.3 Verarbeitungstätigkeiten

Bestandsführung und Lagerorte · Wareneingang und Warenausgang · Inventur · Verwaltung von Lieferanten, Kunden und Projekten · Bestellwesen einschließlich Preisanfragen an Lieferanten · Lieferscheine und Rechnungen des Kunden · Beleg- und Rechnungsprüfung mit Freigabeprozess · Texterkennung hochgeladener Belege auf der Infrastruktur des Anbieters · optionale Funktionen und Dienste nach Ziffer 10 · Versand von E-Mails, Nachrichten und Push-Benachrichtigungen · Import und Export · Protokollierung (Audit-Log) · Datensicherung · Fehlererfassung · Unterstützung (Support).

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 22. Oktober 2026.

2.1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

• Die Anwendung läuft auf einem virtuellen Server (VPS) in einem Rechenzentrum des Hosting-Dienstleisters (Anlage 3); die physische Sicherung der Räume liegt bei diesem und richtet sich nach dessen Auftragsverarbeitungsvertrag. Eigene Serverräume betreibt der Anbieter nicht.

Zugangskontrolle

• Zugriff auf die Anwendung ausschließlich über verschlüsselte Verbindungen (HTTPS mit TLS); HSTS und Sicherheits-Header einschließlich Content-Security-Policy werden gesetzt.
• Passwörter werden nur als kryptografischer Hash gespeichert; Anmeldeversuche und Schnittstellenaufrufe sind mengenbegrenzt (Schutz gegen automatisierte Angriffe).
• Die Administrationsoberfläche liegt unter einem nicht öffentlichen Pfad und verlangt einen zweiten Faktor (TOTP oder WebAuthn).
• Datenbank und Zwischenspeicher sind nur über ein internes Netz des Servers erreichbar, nicht aus dem Internet.
• Der technische Zugang für die automatisierte Auslieferung neuer Versionen ist schlüsselbasiert und auf einen festgelegten Befehl beschränkt.

Zugriffskontrolle

• Rollen- und Rechtekonzept je Firma, das der Kunde selbst verwaltet; Freigabeprozesse mit getrennten Rollen für Erfassung und Freigabe.
• Zugriffe des Anbieters auf Daten des Kunden erfolgen nur durch den Inhaber, nur soweit erforderlich und nur (a) auf Anforderung oder mit Kenntnis des Kunden zur Unterstützung, (b) zur Behebung von Störungen und zur Abwehr von Sicherheitsvorfällen oder (c) aufgrund einer rechtlichen Verpflichtung; im Fall (b) wird der Kunde nachträglich informiert, wenn dabei Inhalte seiner Daten eingesehen wurden. Änderungen über die Administrationsoberfläche werden protokolliert.

Trennungskontrolle

• Mandantentrennung: Jeder Datensatz ist genau einer Firma zugeordnet, Zugriffe sind auf die eigene Firma beschränkt; Dateien werden nach Firma getrennt abgelegt.
• Getrennte Umgebungen für Produktion und Test (Staging).

Pseudonymisierung und Verschlüsselung

• Geheimnisse in der Datenbank – insbesondere API-Schlüssel, Passwörter und Token der angebundenen Dienste nach Ziffer 10 – werden feldverschlüsselt gespeichert.
• Verschlüsselte Übertragung zwischen Browser bzw. App und Server (TLS).
• Sicherungskopien werden auf dem Server nur für den Systemverwalter lesbar abgelegt und, wenn sie den Server verlassen, ausschließlich verschlüsselt (SSH) übertragen.
• Push-Benachrichtigungen werden Ende-zu-Ende verschlüsselt (RFC 8291) übertragen.

2.2 Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Eingabekontrolle: Audit-Log je Firma mit Zeitpunkt, handelnder Person und Gegenstand der Änderung; Bestandsbewegungen werden in einem nicht nachträglich änderbaren Journal geführt.
• Weitergabekontrolle durch ausschließlich verschlüsselte Übertragung.
• Automatische Prüfung der eingesetzten Software-Komponenten auf bekannte Schwachstellen im Auslieferungsprozess, mit dokumentiertem Ausnahmeverfahren.
• Dublettenprüfung und regelbasierte Prüfung bei der Belegverarbeitung.

2.3 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Tägliche Sicherung der Datenbank; jede Sicherung wird auf Lesbarkeit geprüft und mit einer Prüfsumme versehen. Aufbewahrung auf dem Server 14 Tage; zusätzlich Sicherung vor jeder Auslieferung einer neuen Version und regelmäßige Server-Abbilder des Hosting-Dienstleisters.
• Dokumentiertes Wiederherstellungsverfahren mit regelmäßigen Wiederherstellungstests.
• Fehlererfassung und Betriebsüberwachung auf eigener Infrastruktur des Anbieters (Anlage 3).

2.4 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Dokumentierte Verfahren für Sicherheitsvorfälle, für den Wechsel von Zugangsdaten und für wiederkehrende Sicherheitsaufgaben einschließlich der Prüfung von Protokollen.
• Verzeichnis der Verarbeitungstätigkeiten als Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO) und Löschkonzept.
• Datenschutzfreundliche Voreinstellungen: Funktionen, die Daten an Dritte übermitteln, sind ausgeschaltet, bis der Kunde sie aktiviert (Ziffer 10).
• Automatische Aufbewahrungsfristen: Der Text versendeter E-Mails und Nachrichten wird nach 90 Tagen, der erkannte Volltext von Belegen nach 180 Tagen und Verläufe des KI-Assistenten werden 365 Tage nach der letzten Aktivität gelöscht.

2.5 Auftragskontrolle

• Unterauftragsverarbeiter werden nur mit einem Vertrag nach Art. 28 Abs. 4 DSGVO eingesetzt und in einer öffentlichen Liste mit Verarbeitungsort geführt (Auftragsverarbeiter).
• Weisungen des Kunden werden dokumentiert (Ziffer 2 Abs. 3).

Anlage 3 – Unterauftragsverarbeiter

Stand: 22.10.2026. Änderungen nach dem Verfahren der Ziffer 6 trägt der Anbieter hier und unter lavesy.de/auftragsverarbeiter nach; dort stehen auch angekündigte Änderungen. Zur Übermittlung durch weitere Auftragsverarbeiter des Hosting-Dienstleisters siehe Ziffer 11 Abs. 2.

Selbst betriebene Dienste (kein Dritter beteiligt): Fehlererfassung (GlitchTip) als Teil dieser Auftragsverarbeitung; außerhalb dieses Vertrags die Reichweitenmessung der Website (Umami) und die Feedback-Funktion (Quackback, Ziffer 1 Abs. 7 Nr. 6). Alle laufen auf dem oben genannten Server.

Keine Unterauftragsverarbeiter dieses Vertrags: der Zahlungsdienstleister Stripe, den der Anbieter für die Abrechnung des Hauptvertrags als Verantwortlicher einsetzt (Ziffer 1 Abs. 7 Nr. 1), sowie die vom Kunden angebundenen Dienste nach Ziffer 10.

Anlage 4 – Kontakte

Der Anbieter hat keinen Datenschutzbeauftragten benannt, weil die Voraussetzungen einer Benennungspflicht nach Art. 37 DSGVO und § 38 BDSG nicht vorliegen.