Trust-Center

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

gemäß Artikel 28 der Verordnung (EU) 2016/679 (DSGVO)

Präambel

Dieser Vertrag konkretisiert die Pflichten der Parteien zum Datenschutz, die sich aus der Nutzung der Software einfach+ ergeben (nachfolgend „Hauptvertrag"). Er gilt für alle Tätigkeiten, bei denen Beschäftigte des Auftragnehmers oder von ihm beauftragte Dritte personenbezogene Daten des Auftraggebers verarbeiten.

Zwischen

dem Auftraggeber — der Organisation, unter deren Namen das Nutzerkonto in einfach+ geführt wird. Ihre Angaben und die handelnde Person werden beim Abschluss nach § 16 Abs. 4 protokolliert und gehen in die Ausfertigung ein. — nachfolgend „Auftraggeber" oder „Verantwortlicher" —

und

epicsoft LLC, Saburtalo District, A. Kazbegi Avenue N 14, Flat N7, 0162 Tbilisi, Georgia, eingetragen bei der LEPL National Agency of Public Registry unter der Identifikationsnummer 405574640, vertreten durch Alexander Schwarz — nachfolgend „Auftragnehmer" oder „Auftragsverarbeiter" —

— gemeinsam die „Parteien" —

§ 1 Gegenstand, Dauer und Beendigung

1. Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Rahmen der Bereitstellung und des Betriebs der Software einfach+ als Software-as-a-Service.

2. Die Verarbeitung umfasst ausschließlich die in Anlage 3 (Verarbeitungsübersicht) beschriebenen Tätigkeiten.

3. Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Er endet automatisch mit dessen Beendigung; eine gesonderte ordentliche Kündigung ist nicht erforderlich und nicht möglich. Absatz 4 bleibt unberührt.

4. Der Auftraggeber kann diesen Vertrag zusammen mit dem Hauptvertrag jederzeit fristlos kündigen, wenn der Auftragnehmer schwerwiegend gegen datenschutzrechtliche Vorschriften oder gegen wesentliche Pflichten aus diesem Vertrag verstößt, eine rechtmäßige Weisung nicht ausführt oder eine Kontrolle verweigert, die den Voraussetzungen des § 11 entspricht.

5. Nach Beendigung gelten die Pflichten aus § 10 (Löschung und Rückgabe) sowie § 15 (Kontinuität) fort.

§ 2 Art, Umfang und Zweck der Verarbeitung

1. Art und Zweck. Der Auftragnehmer stellt eine mandantenfähige Buchhaltungs- und Betriebsführungssoftware bereit und betreibt die dafür erforderliche Infrastruktur. Personenbezogene Daten werden ausschließlich verarbeitet, um dem Auftraggeber die vertraglich geschuldete Nutzung der Software zu ermöglichen, einschließlich Speicherung, Sicherung, Suche, Dokumentenerzeugung, Versand und technischer Unterstützung.

2. Kategorien betroffener Personen und Datenarten ergeben sich abschließend aus Anlage 3. Der Auftragnehmer verarbeitet insbesondere keine Daten zu eigenen Zwecken, erstellt keine Profile und nutzt die Daten des Auftraggebers nicht zur Verbesserung eigener Produkte, zum Training von Modellen künstlicher Intelligenz oder zu statistischen Auswertungen über Mandanten hinweg.

3. Besondere Kategorien. Die Software bietet keine Funktionen zur Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO an; solche Daten sind nicht Gegenstand der Verarbeitung (Anlage 3 Abschnitt 6, Anlage 1). Übermittelt der Auftraggeber eigenmächtig — etwa als frei gewählten Anhang — dennoch solche Daten, so geschieht dies außerhalb des vorgesehenen Funktionsumfangs und in seiner alleinigen Verantwortung.

4. Ort der Verarbeitung. Die Verarbeitung findet in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums statt; Ausnahmen bestehen nur, soweit Anlage 2 sie mit ihrer Übermittlungsgrundlage ausweist. Die Speicherorte ergeben sich aus Anlage 2. Für den in § 12 geregelten Fernzugriff aus Georgien gelten die dort genannten Garantien.

§ 3 Rechte und Pflichten des Auftraggebers

1. Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er ist allein verantwortlich für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage, für die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO und für die Wahrung der Rechte betroffener Personen.

2. Der Auftraggeber ist verpflichtet, die Zugangsdaten seiner Nutzer vertraulich zu behandeln, Berechtigungen zeitnah zu entziehen, wenn sie nicht mehr benötigt werden, und den Auftragnehmer unverzüglich zu informieren, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

3. Der Auftraggeber benennt einen für diesen Vertrag zuständigen Ansprechpartner. Änderungen teilt er dem Auftragnehmer unverzüglich in Textform mit.

4. Empfänger im Drittland. Bestimmt der Auftraggeber über die Versandfunktionen der Software Empfänger von E-Mails oder Briefen in einem Drittland ohne Angemessenheitsbeschluss, so ist er für die Zulässigkeit dieser Übermittlung nach Kapitel V der DSGVO verantwortlich. Der Auftragnehmer stellt ausschließlich den Übertragungsweg bereit und protokolliert die Veranlassung (Empfänger, Zeitpunkt, auslösendes Konto) als Weisungsnachweis. Für den Briefversand ist der Versand in solche Länder technisch gesperrt (Anlage 2); für den E-Mail-Versand besteht diese Sperre nicht.

§ 4 Weisungsrecht (Art. 28 Abs. 3 lit. a DSGVO)

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Software durch den Auftraggeber und seine Nutzer gilt als Weisung im Rahmen des in Anlage 3 beschriebenen Funktionsumfangs.

2. Weisungen erfolgen in Textform, im Regelfall über die im Produkt bereitgestellten Funktionen oder gegenüber der in § 14 Abs. 1 benannten Kontaktstelle. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

3. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Bestimmungen zum Datenschutz verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragnehmer darf die Ausführung einer solchen Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

4. Der Auftragnehmer führt keine Verarbeitung außerhalb der Weisungen durch, soweit er nicht nach dem Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5. Vorab erteilte Dauerweisung zur Löschung. Der Auftraggeber weist den Auftragnehmer an, personenbezogene Daten nach den in Anlage 4 festgelegten Fristen und Verfahren zu löschen. Diese Weisung ist jederzeit widerruflich; der Widerruf gilt für künftige Löschläufe.

§ 5 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

1. Der Auftragnehmer setzt zur Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Bestimmungen zum Datenschutz vertraut gemacht worden sind. Die Verpflichtung gilt auch nach Beendigung der Tätigkeit fort.

2. Der Auftragnehmer hält die Verpflichtungserklärungen vor und legt sie dem Auftraggeber auf Verlangen vor.

3. Zugriffsminimierung. Der Kreis der Personen mit administrativem Zugriff auf die Produktivumgebung ist auf das unbedingt erforderliche Maß beschränkt und in Anlage 1 beschrieben. Der Auftragnehmer teilt dem Auftraggeber eine wesentliche Erweiterung dieses Personenkreises im Rahmen von § 7 Abs. 4 mit.

§ 6 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

1. Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen. Sie gewährleisten ein dem Risiko angemessenes Schutzniveau.

2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie anpassen, darf das Schutzniveau dabei jedoch nicht unterschreiten. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber mit.

3. Der Auftragnehmer überprüft die Wirksamkeit der Maßnahmen regelmäßig, mindestens jedoch jährlich, und dokumentiert das Ergebnis.

§ 7 Unterauftragsverhältnisse (Art. 28 Abs. 2 und 3 lit. d DSGVO)

1. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine schriftliche Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter im Sinne von Art. 28 Abs. 2 Satz 2 DSGVO.

2. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und hiermit genehmigt.

3. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Pflichten, die den Pflichten aus diesem Vertrag im Wesentlichen entsprechen, insbesondere auf hinreichende Garantien nach Art. 28 Abs. 4 DSGVO. Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Pflichtverletzungen.

4. Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage im Voraus in Textform über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung eines Unterauftragsverarbeiters. Die Mitteilung erfolgt über den Kanal für Pflichtmitteilungen nach § 16 Abs. 6; eine Veröffentlichung auf der Website ersetzt sie nicht, ergänzt sie aber.

5. Der Auftraggeber kann einer Änderung innerhalb von 30 Tagen nach Zugang der Mitteilung aus wichtigem, datenschutzbezogenem Grund in Textform widersprechen. Widerspricht er, sind die Parteien verpflichtet, eine einvernehmliche Lösung zu suchen. Kommt keine zustande, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt der beabsichtigten Änderung ohne Einhaltung einer Frist kündigen.

6. Keine Unterauftragsverarbeitung sind Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, ohne dass diese bestimmungsgemäßen Zugang zu personenbezogenen Daten des Auftraggebers erhalten — etwa Telekommunikationsleistungen, Post, Wartung von Hardware oder die Entsorgung von Datenträgern. Der Auftragnehmer trifft auch hier angemessene Vorkehrungen.

§ 8 Unterstützung bei den Rechten betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO)

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Kapitel III der DSGVO.

2. Der Auftragnehmer beantwortet Anträge betroffener Personen nicht selbst. Wendet sich eine betroffene Person unmittelbar an ihn, leitet er den Antrag unverzüglich an den Auftraggeber weiter und weist die Person darauf hin, dass der Auftraggeber Verantwortlicher ist.

3. Was der Auftraggeber selbst erledigen kann und wobei der Auftragnehmer mitwirkt, ergibt sich aus Anlage 3 Abschnitt 7. Für Rechte, für die die Software keine eigene Funktion bereitstellt, erbringt der Auftragnehmer die Unterstützung nach Absatz 1 auf Anforderung und innerhalb einer Frist, die dem Auftraggeber die fristgerechte Beantwortung nach Art. 12 Abs. 3 DSGVO ermöglicht — im Regelfall innerhalb von 14 Tagen nach Zugang der Anforderung.

4. Für Unterstützungsleistungen, die über die in Anlage 3 Abschnitt 7 genannten Funktionen hinausgehen und die vom Auftraggeber veranlasst sind, kann der Auftragnehmer einen angemessenen Aufwandsersatz verlangen. Das gilt nicht für die Unterstützung nach Absatz 3, soweit sie erforderlich ist, weil die Software für das betreffende Recht keine eigene Funktion bereitstellt, und nicht, soweit die Unterstützung auf einem Umstand beruht, den der Auftragnehmer zu vertreten hat.

§ 9 Unterstützung bei Sicherheit, Meldepflichten und Folgenabschätzung (Art. 28 Abs. 3 lit. f DSGVO)

1. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere durch die Bereitstellung der Informationen in Anlage 1 und Anlage 3.

2. Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO). Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden in Textform. Die Meldung enthält, soweit verfügbar:

   • eine Beschreibung der Art der Verletzung, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze,
   • den Namen und die Kontaktdaten der Anlaufstelle nach § 16 Abs. 5,
   • eine Beschreibung der wahrscheinlichen Folgen,
   • eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen.

   Sind nicht alle Angaben sofort verfügbar, meldet der Auftragnehmer zunächst die bekannten Umstände und ergänzt die übrigen unverzüglich.

3. Der Auftragnehmer dokumentiert jede Verletzung einschließlich der ergriffenen Abhilfemaßnahmen und stellt die Dokumentation dem Auftraggeber zur Verfügung.

4. Der Auftragnehmer unterstützt den Auftraggeber auf Anfrage bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und bei einer vorherigen Konsultation nach Art. 36 DSGVO.

§ 10 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

1. Nach Beendigung des Hauptvertrages löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers oder gibt sie zurück — nach Wahl des Auftraggebers. Fehlt eine Wahl, gilt Absatz 3.

   Diese Pflicht ist nicht auf den Selbstbedienungsexport nach Absatz 2 beschränkt. Verlangt der Auftraggeber die Rückgabe, stellt der Auftragnehmer ihm alle zu seiner Organisation gespeicherten personenbezogenen Daten in einem gängigen Format zur Verfügung, auch soweit der Selbstbedienungsexport sie nicht erfasst. Die Bereitstellung erfolgt innerhalb von 30 Tagen nach dem Verlangen.

2. Selbstbedienungsexport. Der Auftraggeber kann seine Daten ohne Mitwirkung des Auftragnehmers in einem strukturierten, gängigen und maschinenlesbaren Format exportieren; der Export umfasst die hinterlegten Dateien. Welche Datenbestände er erfasst, ergibt sich aus Anlage 4.

   Häufigkeit. Ohne gebuchtes Zusatzpaket steht der Export einmal je drei Monate zur Verfügung; mit gebuchtem Zusatzpaket wird er täglich automatisch erstellt. Die Funktion steht auch nach Kündigung zur Verfügung, und zwar während der gesamten Frist nach Absatz 3 — bis zur Löschung.

   Im Kündigungsfall gilt die Häufigkeitsgrenze nicht. Steht sie einem Export entgegen, stellt der Auftragnehmer auf Anfrage unentgeltlich einen zusätzlichen Export bereit. Die Rückgabe nach Absatz 1 bleibt daneben unberührt.

3. Frist. Nach Beendigung des Hauptvertrages bleiben die Daten 90 Tage erhalten. In dieser Zeit bleibt die Nutzung auf Ansehen und Export beschränkt; neue Daten kann der Auftraggeber dann nicht mehr anlegen. Die Organisation bleibt in dieser Zeit wiederherstellbar. Nach Ablauf der Frist werden die Daten endgültig gelöscht. Erreicht die Mitteilung vor der Löschung (Anlage 4 Abschnitt 4) niemanden, wird erst später gelöscht; Ansehen und Export bleiben bis dahin möglich.

4. Die Löschung erstreckt sich auf alle Kopien, einschließlich Suchindizes, Objektspeicher und abgeleiteter Dokumente. Datensicherungen werden nicht einzeln bereinigt; sie laufen nach der in Anlage 4 genannten Frist aus. Wird aus einer Sicherung wiederhergestellt, wendet der Auftragnehmer die Löschung erneut an.

5. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Soweit der Auftragnehmer aufgrund gesetzlicher Vorschriften zur weiteren Aufbewahrung verpflichtet ist, werden die betroffenen Daten gesperrt und ausschließlich zu diesem Zweck vorgehalten.

6. Der Auftragnehmer weist die Löschung auf Verlangen in Textform nach.

§ 11 Nachweise und Kontrollrechte (Art. 28 Abs. 3 lit. h DSGVO)

1. Der Auftragnehmer weist die Einhaltung der Pflichten aus diesem Vertrag vorrangig durch geeignete Nachweise nach. Als Nachweis gelten insbesondere:

   • die jeweils aktuelle Fassung von Anlage 1 (TOM) sowie deren vollständige Beschreibung, die der Auftragnehmer auf Anfrage bereitstellt,
   • eine ausgefüllte Selbstauskunft nach einem gängigen Fragenkatalog,
   • Auszüge aus Protokollen und Konfigurationen, soweit sie keine Geheimnisse Dritter oder sicherheitsrelevanten Details offenbaren,
   • Zertifikate oder Prüfberichte, soweit vorhanden.

2. Reichen diese Nachweise im Einzelfall nicht aus, kann der Auftraggeber eine Überprüfung vor Ort verlangen. Dafür gilt:

   • Ankündigung mindestens 30 Tage im Voraus in Textform,
   • höchstens einmal je Kalenderjahr, außer bei einem konkreten Anlass wie einer gemeldeten Verletzung des Schutzes personenbezogener Daten,
   • während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs,
   • durch den Auftraggeber selbst oder einen von ihm beauftragten Prüfer, der nicht Wettbewerber des Auftragnehmers sein darf und zur Verschwiegenheit verpflichtet ist.

3. Kosten. Jede Partei trägt ihren eigenen Aufwand. Für den Aufwand einer wiederholten Vor-Ort-Prüfung innerhalb desselben Kalenderjahres kann der Auftragnehmer eine angemessene Vergütung verlangen, sofern die vorangegangene Prüfung keinen Verstoß zutage gefördert hat. Für die erste Prüfung eines Kalenderjahres und für jede anlassbezogene Prüfung wird keine Vergütung verlangt.

4. Prüfungen dürfen nicht dazu führen, dass der Auftraggeber Zugang zu Daten anderer Mandanten erhält.

5. Private Bereiche. Die Prüfung erstreckt sich nicht auf Daten anderer Auftraggeber und nicht auf private Bereiche von Arbeitsplatzrechnern, Konten oder Datenträgern, die zugleich privat genutzt werden. Soweit ein Nachweis nur durch Einsicht in einen solchen Bereich zu führen wäre, tritt an seine Stelle ein Ersatznachweis — durch Konfigurationsauszug, Einstellungsexport oder schriftliche Erklärung, auf Verlangen des Auftraggebers erbracht oder bestätigt durch einen zur Verschwiegenheit verpflichteten Dritten, der dem Auftraggeber ausschließlich das Ergebnis mitteilt. Die Kosten dieses Dritten trägt der Auftragnehmer. Rechte der Aufsichtsbehörde nach Art. 58 DSGVO bleiben unberührt.

§ 12 Drittlandbezug — Fernzugriff aus Georgien

1. Sachverhalt. Der Auftragnehmer hat seinen Sitz in Georgien. Für Georgien besteht kein Angemessenheitsbeschluss der Europäischen Kommission. Die Daten werden in der Europäischen Union gespeichert und verarbeitet; Ausnahmen bestehen nur, soweit Anlage 2 sie mit ihrer Übermittlungsgrundlage ausweist. Ein Zugriff aus Georgien erfolgt zu Zwecken der Administration und der technischen Unterstützung. Dieser Zugriff ist eine Übermittlung im Sinne des Kapitels V der DSGVO.

2. Garantien. Die Parteien schließen zu diesem Zweck die Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 ab — Modul 2 (Verantwortlicher an Auftragsverarbeiter), bei Bedarf Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), sofern der Auftraggeber selbst Auftragsverarbeiter ist. Sie werden gemeinsam mit diesem Vertrag abgeschlossen (§ 16 Abs. 4), sind Bestandteil des Vertragswerks und gehen diesem Vertrag im Kollisionsfall vor. Der Wortlaut der gewählten Optionen und die Anhänge I bis III werden zusammen mit diesem Vertrag bereitgestellt; der amtliche Klauseltext ist dort mit Fundstelle und Abrufadresse benannt.

3. Zusätzliche Maßnahmen. Der Auftragnehmer hat die Wirksamkeit der Garantien in einer Bewertung der Drittlandübermittlung bewertet und setzt die dort beschriebenen zusätzlichen Maßnahmen um. Die wesentlichen sind:

   • Der Zugriff aus Georgien erfolgt ausschließlich über eine verschlüsselte VPN-Verbindung auf einen Arbeitsplatzrechner in der Europäischen Union; über diese Verbindung werden ausschließlich Bildschirminhalte, Tastatur- und Mauseingaben übertragen.
   • Eine Dateiübertragung, Zwischenablage-Übertragung, Laufwerks- oder Druckerumleitung ist technisch deaktiviert. Es entsteht damit keine dauerhafte Kopie personenbezogener Daten auf einem Endgerät in Georgien.
   • Die Verwaltungszugänge der Produktivsysteme nehmen Verbindungen ausschließlich aus dem internen Netz des Auftragnehmers in der Europäischen Union an.
   • Zugriffe werden protokolliert und sind einzelnen Personen zurechenbar.
   • Dateien für den Objektspeicher und Nachrichten für die Nachrichtenwarteschlange werden den Anbietern ausschließlich verschlüsselt übergeben; die Schlüssel verlassen die Umgebung des Auftragnehmers nicht.

   Eine Zusammenfassung der Bewertung ist unter https://einfach.plus/trust/ abrufbar; die vollständige Fassung stellt der Auftragnehmer auf Anfrage bereit.

4. Vertreter in der Union. Der Auftragnehmer hat gemäß Art. 27 DSGVO einen Vertreter in der Union benannt:

   xnovis GmbH, Herderstr. 2b, 92318 Neumarkt i.d. Opf., Deutschland, Telefon +49 9181 2700444, E-Mail info@xnovis.com

   An ihn können sich betroffene Personen und Aufsichtsbehörden neben dem Auftragnehmer wenden.

5. Behördliche Zugriffsersuchen. Erhält der Auftragnehmer von einer Behörde eines Drittlandes ein rechtlich bindendes Ersuchen um Offenlegung personenbezogener Daten des Auftraggebers, so gilt Klausel 15 der Standardvertragsklauseln. Der Auftragnehmer benachrichtigt den Auftraggeber unverzüglich, sofern ihm das rechtlich nicht untersagt ist, prüft die Rechtmäßigkeit des Ersuchens und legt Rechtsmittel ein, soweit Aussicht auf Erfolg besteht. Er gibt nur den rechtlich zwingend erforderlichen Mindestumfang heraus.

§ 13 Haftung

1. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.

2. Im Innenverhältnis stellt der Auftragnehmer den Auftraggeber von Ansprüchen frei, soweit der Schaden darauf beruht, dass der Auftragnehmer seine Pflichten aus diesem Vertrag oder aus der DSGVO verletzt und dies zu vertreten hat.

3. Im Verhältnis der Parteien zueinander gelten die Haftungsregelungen des Hauptvertrages auch für Ansprüche aus diesem Vertrag, einschließlich der Freistellung nach Absatz 2, soweit zwingende Vorschriften nicht entgegenstehen. Die Haftung nach Klausel 12 der Standardvertragsklauseln bleibt unberührt.

§ 14 Datenschutzbeauftragter und Kontaktstellen

1. Der Auftragnehmer benennt als Kontaktstelle für Datenschutzfragen: Alexander Schwarz, info@einfach.plus, +995 596 42 42 42.

2. Der Auftragnehmer ist zur Bestellung eines Datenschutzbeauftragten nicht verpflichtet; die Prüfung der Auslöserbedingungen nach Art. 37 Abs. 1 DSGVO und § 38 BDSG ist dokumentiert und wird wiederkehrend überprüft. Für Datenschutzanfragen gilt die Kontaktstelle nach Absatz 1.

3. Der Auftraggeber benennt als Kontaktstelle den im Kundenkonto hinterlegten Ansprechpartner (§ 3 Abs. 3).

§ 15 Kontinuität

1. Der Auftragnehmer trifft angemessene Vorkehrungen dafür, dass der Betrieb bei Ausfall einzelner Personen fortgeführt oder geordnet beendet werden kann. Einzelheiten in Anlage 1.

2. Notausgang des Auftraggebers. Unabhängig davon kann der Auftraggeber seine Daten ohne Mitwirkung des Auftragnehmers exportieren (§ 10 Abs. 2). Diese Funktion bleibt für die Dauer des Hauptvertrages verfügbar; der Auftragnehmer wird sie nicht einschränken und ihren Umfang nicht verringern.

3. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn absehbar ist, dass er den Betrieb nicht fortführen kann.

§ 16 Schlussbestimmungen

1. Rangfolge und Bestandteile. Die Anlagen 1 bis 4 sind Bestandteil dieses Vertrages. Die Anlagen 3 und 4 sind diesem Vertrag beigefügt. Die Anlagen 1 und 2 werden gesondert geführt und gelten in der bei Vertragsschluss geltenden Fassung; sie sind unter https://einfach.plus/trust/ abrufbar, und ihre Änderung richtet sich nach § 6 Abs. 2 und § 7. Bei Widersprüchen gilt: Standardvertragsklauseln vor diesem Vertrag, dieser Vertrag vor dem Hauptvertrag, dieser Vertrag vor seinen Anlagen.

2. Änderungen der Anlagen. Der Auftragnehmer darf Anlage 1 nach Maßgabe von § 6 Abs. 2 und Anlage 2 nach Maßgabe von § 7 anpassen. Änderungen an diesem Vertrag und an den Anlagen 3 und 4 bedürfen der Zustimmung des Auftraggebers; § 16 Abs. 4b bleibt unberührt.

3. Form. Änderungen und Ergänzungen bedürfen der Textform (Art. 28 Abs. 9 DSGVO). Der Vorrang individueller Vereinbarungen (§ 305b BGB) bleibt unberührt.

4. Elektronischer Abschluss. Die Parteien schließen diesen Vertrag elektronisch; einer Unterschrift bedarf es nach Art. 28 Abs. 9 DSGVO nicht. Der Abschluss erfolgt gemeinsam mit der Annahme der Nutzungsbedingungen — bei der Registrierung oder, für bestehende Auftraggeber, im Kundenbereich der Software — durch eine ausdrückliche Handlung einer vertretungsberechtigten Person. Diese Person versichert mit dem Abschluss, zur Vertretung des Auftraggebers beim Abschluss dieses Vertrages berechtigt zu sein. Der Auftragnehmer protokolliert Zeitpunkt, handelnde Person, die Fassungsnummer dieses Vertrages, die Fassungsnummern der Anlagen 1 und 2 sowie der Standardvertragsklauseln und je einen kryptografischen Prüfwert der abgeschlossenen Texte und stellt dem Auftraggeber auf Anforderung eine dauerhaft speicherbare Ausfertigung bereit.

4a. Abschluss auf Papier. Auftraggeber, die den Vertrag gegenzeichnen lassen möchten, erhalten auf Anfrage eine ausdruckbare Fassung mit denselben Fassungsnummern und demselben Prüfwert. Der gegengezeichnete Vertrag wird dem Konto zugeordnet; er ersetzt die elektronische Bestätigung nach Absatz 4.

4b. Neue Fassungen dieses Vertrages. Der Auftragnehmer teilt dem Auftraggeber eine neue Fassung mindestens 30 Tage vor ihrem Wirksamwerden in Textform mit; die Mitteilung benennt die Änderungen.

a) Änderungen, die die Rechte des Auftraggebers und das Schutzniveau nach Anlage 1 nicht beeinträchtigen — insbesondere Klarstellungen, redaktionelle Anpassungen, die Aufnahme zusätzlicher Schutzmaßnahmen und die Anpassung an geänderte rechtliche Vorgaben — werden mit Ablauf der Frist wirksam, ohne dass es einer weiteren Erklärung bedarf. Der Auftraggeber kann ihnen bis zum Ablauf der Frist in Textform widersprechen; in diesem Fall gilt die bisherige Fassung fort, und jede Partei kann den Hauptvertrag zum Zeitpunkt des Wirksamwerdens kündigen.

b) Alle übrigen Änderungen — namentlich solche, die den Auftraggeber schlechter stellen — werden nur wirksam, wenn der Auftraggeber ihnen nach Absatz 4 zustimmt.

c) Die Mitteilung weist auf die Einordnung nach Buchstabe a oder b, auf die Bedeutung des Fristablaufs, auf das Widerspruchsrecht und auf dessen Rechtsfolge ausdrücklich hin.

4c. Bereits begonnene Verarbeitung. Dieser Vertrag erfasst auch die Verarbeitung, die vor seinem Abschluss im Rahmen der Nutzung der Software aufgenommen wurde. Die Pflichten der Parteien aus diesem Vertrag gelten ab seinem Abschluss.

5. Anlaufstelle für Meldungen nach § 9 Abs. 2 ist info@einfach.plus.

6. Pflichtmitteilungen nach § 7 Abs. 4 und § 16 Abs. 4b versendet der Auftragnehmer an die im Konto hinterlegte Ansprechpartner-Adresse. Sie sind nicht abbestellbar; eine Abmeldung von Werbemitteilungen berührt sie nicht.

7. Rechtswahl und Gerichtsstand. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus und im Zusammenhang mit diesem Vertrag ist, wenn der Sitz des Auftraggebers — bei natürlichen Personen sein Wohnsitz — in Deutschland oder Georgien liegt, das dafür örtlich zuständige Gericht; in allen anderen Fällen sind ausschließlich die Gerichte in Frankfurt am Main zuständig. Maßgeblich ist der Ort im Zeitpunkt der Klageerhebung; hat der Auftraggeber ihn nach Vertragsschluss in einen anderen Staat verlegt oder ist er dann nicht bekannt, der Ort bei Vertragsschluss. Die Gerichtsstandsvereinbarung der Standardvertragsklauseln bleibt unberührt.

8. Vertragssprache. Vertragssprache ist Deutsch. Dieser Vertrag und seine Anlagen kommen in deutscher Sprache zustande; für ihre Auslegung ist allein die deutsche Fassung maßgeblich. Übersetzungen dienen, soweit der Auftragnehmer sie bereitstellt, ausschließlich der Information. Für die Standardvertragsklauseln gilt Abweichendes: Sie liegen amtlich in allen Amtssprachen der Union vor, und es gilt die vom Auftraggeber gewählte Sprachfassung des Durchführungsbeschlusses.

9. Salvatorische Klausel. Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.

Anlagen

Anlage 3 — Verarbeitungsübersicht

Art. 28 Abs. 3, Art. 30 Abs. 2 DSGVO

Diese Anlage beschreibt abschließend, welche personenbezogenen Daten die Software im Auftrag des Auftraggebers verarbeitet. Sie ist zugleich als Baustein für das Verarbeitungsverzeichnis des Auftraggebers nach Art. 30 Abs. 1 DSGVO gedacht — die Angaben lassen sich direkt übernehmen.

1. Zweck der Verarbeitung

Bereitstellung und Betrieb einer mandantenfähigen Software zur Betriebsführung, Auftragsabwicklung und Buchhaltung. Der Auftragnehmer verarbeitet die Daten ausschließlich, um diese Leistung zu erbringen.

Ausdrücklich nicht Gegenstand der Verarbeitung:

• Nutzung der Daten zu eigenen Zwecken des Auftragnehmers
• Profilbildung, automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO
• Auswertungen über mehrere Mandanten hinweg
• Training oder Verbesserung von Systemen künstlicher Intelligenz
• Weitergabe an Dritte außerhalb der in Anlage 2 genannten Verarbeiter

2. Kategorien betroffener Personen

3. Datenkategorien nach Funktionsbereich

3.1 Kontakte und Stammdaten

Anrede, Vor- und Nachname, Firmierung, Anschriften, Telefonnummern, E-Mail-Adressen, Bankverbindungen, Steuernummer und Umsatzsteuer-Identifikationsnummer, Kundennummer, Zahlungsbedingungen, Notizen und Zuordnungen zwischen Kontakten, Kommunikationsverlauf.

3.2 Fahrzeuge und Werkstattvorgänge

Fahrzeugidentifizierungsnummer, amtliches Kennzeichen, Hersteller, Modell, Typ, Erstzulassung, Kilometerstand, Reparatur- und Wartungshistorie, Reifendaten, technische Merkmale, Zuordnung zum Halter.

Hinweis für den Auftraggeber: Kennzeichen und Fahrzeugidentifizierungsnummer sind personenbezogene Daten, sobald sie einem Halter zugeordnet werden können. Das ist hier regelmäßig der Fall.

3.3 Belege und Buchhaltung

Angebote, Auftragsbestätigungen, Lieferscheine, Rechnungen, Gutschriften, Proformarechnungen, Zahlungseingänge und -zuordnungen, Mahnungen, Positionen und Preise, Steuersätze, Kontierung, hochgeladene Belegdateien, Zahlungsvorgänge.

3.4 Artikel und Lagerhaltung

Artikelstammdaten, Warengruppen, Lieferantenzuordnung, Preise. Ohne Personenbezug, soweit keine Zuordnung zu einer Person erfolgt.

3.5 Nutzer und Berechtigungen

Anmeldename, Name, E-Mail-Adresse, Rolle und Berechtigungen, Spracheinstellung, Zeitpunkt der letzten Anmeldung, Aktivitätsprotokoll, Benachrichtigungseinstellungen.

3.6 Kommunikation

Versandte E-Mails und Briefe mit Empfängeradresse, Betreff und Inhalt, Versandzeitpunkt und Zustellstatus, Textvorlagen, Serienmail-Empfängerlisten (soweit vom Auftraggeber genutzt).

Unzustellbarkeitsmeldungen und automatische Abwesenheitsnachrichten, die auf eine Rückläuferadresse des Auftragnehmers eingehen, sowie Unzustellbarkeitsmeldungen, die der Versanddienst für E-Mails (Anlage 2) als Zustellereignis bereithält. Ausgewertet werden ausschließlich Empfängeradresse, Statuscode und die Begründung des meldenden Servers — Adressen darin unkenntlich gemacht, auf 512 Zeichen gekürzt —, allein zur Pflege der Zustellbarkeit; darüber hinausgehende Inhalte werden nicht ausgewertet.

Hinterlegt der Auftraggeber einen eigenen Postausgangsserver, so werden zusätzlich dessen Zugangsdaten (Servername, Benutzername, Kennwort) gespeichert — verschlüsselt und ausschließlich zur Zustellung im Auftrag des Auftraggebers verwendet. Löschung nach Anlage 4.

3.7 Vertrags- und Nachweisdaten

Zeitpunkt und Fassung der vom Auftraggeber angenommenen Vertragsdokumente, Name und E-Mail-Adresse der handelnden Person, technische Nachweisdaten des Abschlusses. Diese Verarbeitung erfolgt in der Rolle des Auftragnehmers als eigener Verantwortlicher und ist in dessen Datenschutzerklärung beschrieben.

3.8 Support-Vorgänge

Anfragen des Auftraggebers an den Support mit Name und E-Mail-Adresse der anfragenden Person, Betreff, Schriftwechsel, Bearbeitungsstand sowie Anhängen — etwa Bildschirmfotos oder Datenauszüge, die der Auftraggeber der Anfrage beifügt.

Zwei Rollen, und sie sind zu unterscheiden. Der Vorgang selbst — wer wann was gefragt hat und wie bearbeitet wurde — ist eigene Dokumentation des Auftragnehmers zur Erfüllung dieses Vertrages; insoweit verarbeitet er die Daten als eigener Verantwortlicher, und seine Datenschutzerklärung beschreibt diese Verarbeitung. Anhänge und zitierte Inhalte aus der Anwendung bleiben dagegen Auftragsverarbeitung: Sie sind Daten des Auftraggebers, unterliegen seiner Weisung und den Fristen aus Anlage 4.

Was in eine Anfrage aufgenommen wird, bestimmt der Auftraggeber. Er ist gehalten, sich auf das für die Bearbeitung Erforderliche zu beschränken (Anlage 1 Abschnitt 7).

4. Verarbeitungstätigkeiten

5. Empfänger

Empfänger personenbezogener Daten sind:

• die in Anlage 2 genannten Unterauftragsverarbeiter und eigenen Systeme;
• Empfänger von E-Mails und Briefen, die der Auftraggeber selbst bestimmt. Adressiert der Auftraggeber Empfänger in einem Drittland ohne Angemessenheitsbeschluss, so bestimmt und verantwortet er die Zulässigkeit dieser Übermittlung (Art. 44 ff. DSGVO); der Auftragnehmer stellt lediglich den Übertragungsweg bereit und protokolliert die Veranlassung als Weisungsnachweis. Für den Briefversand ist der Versand in Drittländer ohne Angemessenheitsbeschluss technisch gesperrt (Anlage 2); für den E-Mail-Versand besteht diese Sperre bewusst nicht — der Auftraggeber bestimmt den Empfänger frei.
• ein Vertriebs- oder Abrechnungspartner des Auftragnehmers, sofern der Vertrieb über einen solchen läuft: Er erhält die zur Rechnungsstellung erforderlichen Vertrags-, Rechnungs- und Kontaktdaten als eigener Verantwortlicher (Anlage 2), nicht als Unterauftragsverarbeiter.

6. Besondere Kategorien personenbezogener Daten

Die Software bietet keine Funktionen zur Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO an. Solche Daten sind nicht Gegenstand der Auftragsverarbeitung.

Übermittelt der Auftraggeber eigenmächtig — etwa als frei gewählter Anhang an einen Beleg — Dokumente mit Angaben besonderer Kategorien, so geschieht dies außerhalb des vorgesehenen Funktionsumfangs und in alleiniger Verantwortung des Auftraggebers.

7. Unterstützung bei Betroffenenrechten

In der Software selbst kann der Auftraggeber ohne Mitwirkung des Auftragnehmers erledigen:

Mit Unterstützung des Auftragnehmers nach § 8 Abs. 3 des Vertrages werden erledigt:

Warum diese Aufteilung im Vertrag steht. Der Auftraggeber muss die Antwortfristen des Art. 12 Abs. 3 DSGVO einhalten. Er kann das nur planen, wenn er weiß, welche Anträge er selbst bedient und für welche er den Auftragnehmer anfordern muss. Diese Übersicht wird fortgeschrieben, sobald für ein Recht eine eigene Funktion in der Software zur Verfügung steht; die Unterstützung nach § 8 Abs. 3 bleibt davon unberührt.

Anlage 4 — Lösch- und Aufbewahrungskonzept

Art. 5 Abs. 1 lit. e, Art. 17, Art. 28 Abs. 3 lit. g DSGVO

Zwei Arten von Fristen stehen hier, und sie sind unterschiedlich fest:

Gesetzliche Fristen — Abschnitt 2	Nicht verhandelbar: § 147 AO, § 257 HGB, jeweils mit Absatz und Nummer. Sie sind nachprüfbar
Selbst gesetzte Fristen — Abschnitte 3 bis 5	Hier gibt das Gesetz keine Zahl vor. Maßstab ist Art. 5 Abs. 1 lit. e: nur so lange, wie es für den Zweck erforderlich ist. Jede Zahl steht mit ihrer Begründung dort, wo sie steht

1. Grundsatz

Personenbezogene Daten werden gelöscht, sobald sie für den Zweck nicht mehr erforderlich sind und keine gesetzliche Aufbewahrungspflicht entgegensteht.

Zwei Stufen:

2. Aufbewahrungspflichten — der Vorrang, den der Auftraggeber kennen muss

Der Auftraggeber unterliegt eigenen handels- und steuerrechtlichen Aufbewahrungspflichten. Ein Löschverlangen einer betroffenen Person geht insoweit ins Leere (Art. 17 Abs. 3 lit. b DSGVO).

Zu lange aufzubewahren ist kein sicherer Weg, sondern selbst ein Verstoß. Art. 5 Abs. 1 lit. e erlaubt die Speicherung nur, solange sie erforderlich ist; nach Ablauf der acht Jahre trägt keine Aufbewahrungspflicht die Belege mehr. Wer sie vorsichtshalber zehn Jahre hält, speichert zwei Jahre lang ohne Rechtsgrundlage.

Umsetzung: Belegrelevante Daten werden nicht gelöscht, sondern gesperrt und bis zum Fristablauf ausschließlich zu diesem Zweck vorgehalten. Stammdaten ohne Belegbezug sind davon unabhängig löschbar.

3. Regelfristen

Grundsatz. Für Inhalte des Auftraggebers (Kontakte, Fahrzeuge, Vorgangsdaten, Belege, Kommunikationsinhalte) setzt der Auftragnehmer keine eigene Frist. Als Auftragsverarbeiter löscht er solche Daten nur auf Weisung des Auftraggebers — im Einzelfall über die Löschfunktionen der Software oder, für die gesamte Organisation, über die vorab erteilte Dauerweisung nach Abschnitt 4 (Vertragsende). Eine automatische Löschung einzelner Datensätze innerhalb eines aktiven Kontos findet nicht statt; darüber entscheidet der Auftraggeber als Verantwortlicher.

Eigene Fristen des Auftragnehmers gelten nur für Betriebsdaten (Protokolle, Sicherungen, Vertragsnachweise) und für die gesondert genannten Vorgänge:

Abgrenzung Zugriffs- gegen Betriebsprotokolle. „Anmelde- und Zugriffsprotokolle der Systeme" (90 Tage) meint die personenbezogene Zugangsspur — Anmeldung und Rechteausweitung von Personen an den Servern. Technische Verbindungs- und Ablaufprotokolle der Dienste — auch der Datenbanken — zählen zu den Anwendungsprotokollen (30 Tage).

Warum der Zustellnachweis der Pflichtmitteilungen länger läuft als die technischen Zustelldaten. Beides betrifft denselben Versand, aber nicht denselben Zweck. Die technischen Zustelldaten (12 Monate) belegen einen Sendevorgang. Der Zustellnachweis belegt, dass eine Mitteilung mit Rechtsfolge zugegangen ist — bei den Aufforderungen nach § 16 Abs. 6 ist er der Nachweis der fruchtlosen Fristsetzung, auf der eine Kündigung beruht, bei den Mitteilungen vor Kündigung und Löschung der Beleg, dass die Frist lief oder warum sie nach Abschnitt 4 verlängert wurde. Er muss deshalb so lange tragen, wie Kündigung oder Löschung angegriffen werden können; die drei Jahre entsprechen der Regelverjährung und den Nachbarzeilen „Vertragsnachweise" und „Löschnachweise". Gespeichert wird auch hier kein Nachrichteninhalt.

Zur Zeile „Abgebrochene Registrierungen": Die Bestätigung einer E-Mail-Adresse läuft nach sieben Tagen ab und lässt sich danach nicht wiederbeleben — damit ist der Zweck entfallen, zu dem die Angaben erhoben wurden. Die drei Wochen darauf sind Rückfragefrist. Die dabei erklärten Zustimmungen gehen mit, und das ist kein Widerspruch zur Zeile „Vertragsnachweise": Jene bewahrt den Nachweis geschlossener Verträge; eine nie bestätigte Registrierung hat keinen begründet.

Zur Zeile „Nutzerkonten": Ein Konto kann mehreren Organisationen angehören, und die Vorgänge einer Organisation verweisen darauf — etwa wer ein Dokument angelegt oder bearbeitet hat. Der Entzug der Berechtigung sperrt deshalb den Zugang zu dieser Organisation; das Konto selbst wird gelöscht, wenn keine Organisation mehr besteht, der es zugeordnet ist. Die 30 Tage schützen ein Konto, das noch genutzt wird. Die Vertragsnachweise bleiben nach der Zeile „Vertragsnachweise"; die übrigen Angaben des Kontos gehen mit ihm.

Zur Zeile „Vertragsnachweise": Sie überdauert die Organisation bewusst. Nach Vertragsende ist der Nachweis eine eigene Unterlage des Auftragnehmers, für die er Verantwortlicher ist — nicht mehr ein Rest der Auftragsdaten. Grundlage sind Art. 6 Abs. 1 lit. f (Verteidigung gegen Ansprüche, Nachweis der Rechtmäßigkeit nach Art. 5 Abs. 2) und Art. 17 Abs. 3 lit. e. Die Frist folgt der regelmäßigen Verjährung (§§ 195, 199 BGB) — nicht den zehn Jahren des Steuerrechts, denn dieser Vertrag ist keine steuerlich aufbewahrungspflichtige Unterlage. Aufbewahrt wird nur, was den Nachweis trägt; die übrigen Angaben des Benutzerkontos werden mit dem Konto gelöscht.

Zur Zeile „Guthabenstand bei Vertragsende": Sie überdauert die Organisation aus demselben Grund und für dieselbe Dauer. Nach § 7 Abs. 5 der Nutzungsbedingungen verfällt ein Guthaben nicht, wenn der Anlass der Beendigung nicht beim Auftraggeber liegt — etwa bei einer Kündigung wegen Inaktivität; der Auftraggeber kann die Erstattung verlangen, und dieser Anspruch verjährt in drei Jahren. Ohne den festgehaltenen Betrag wäre er nach der Löschung nicht mehr bezifferbar — ein Anspruch, den nur der Schuldner nicht mehr nachrechnen kann, ist wertlos. Hinzu kommt: Ein nicht erstattetes Guthaben ist eine offene Verbindlichkeit des Auftragnehmers; sie erlischt nicht dadurch, dass der Gläubiger aus einer Datenbank entfernt wird. Aufbewahrt wird nur der Schlussbetrag, nicht die Bewegungshistorie: Wann welches Leistungsmerkmal wie oft genutzt wurde, ist Nutzungsdatum ohne Aufbewahrungspflicht und wird mit der Organisation gelöscht.

4. Automatische Löschung nach Vertragsende

Die automatische Löschung erfolgt ausschließlich aufgrund der vorab erteilten Dauerweisung nach § 4 Abs. 5 des Vertrages.

Ein einziger Auslöser: das Ende des Hauptvertrages. Es gilt der Zeitrahmen aus § 10 Abs. 3 des Vertrages — insgesamt 90 Tage bis zur endgültigen Löschung:

Kommt die Mitteilung als unzustellbar zurück — bei mehreren Empfängern von allen — oder kann sie an niemanden ergehen, wird erst sechs Monate nach Vertragsende gelöscht. Ansehen und Export bleiben bis dahin möglich.

Längere Nichtnutzung führt nicht unmittelbar zur Löschung, sondern zunächst zur Kündigung: Meldet sich der Auftraggeber zwölf Monate lang nicht an, kann der Auftragnehmer den Hauptvertrag nach dessen § 10 Abs. 3 mit einer Frist von einem Monat kündigen; zuvor ergehen zwei Mitteilungen (30 und 14 Tage vor Ablauf der zwölf Monate), und eine einzige Anmeldung lässt die Frist neu beginnen. Kommt die zweite Mitteilung als unzustellbar zurück — bei mehreren Empfängern von allen —, wird frühestens sechs Monate nach ihr gekündigt. Erst das dadurch herbeigeführte Vertragsende setzt die Stufen dieses Abschnitts in Gang. Damit gibt es nur einen Löschauslöser, und die Löschung folgt immer dem Vertragsende — so, wie Art. 28 Abs. 3 lit. g die Rückgabe oder Löschung an das Ende der Erbringung knüpft.

Der Zugang zu den Daten muss bis zur Löschung möglich bleiben. Der Auftraggeber unterliegt eigenen Aufbewahrungspflichten (Abschnitt 2); eine Löschung ohne vorherige Gelegenheit zur Sicherung würde ihn daran hindern, diese zu erfüllen. Das geschieht über den Selbstbedienungsexport, der während der gesamten 90 Tage zur Verfügung steht; daneben bleibt die Rückgabe nach § 10 Abs. 1 — sie ist unentgeltlich, an keine Häufigkeitsgrenze gebunden und erfasst mehr als der Export.

5. Export durch den Auftraggeber

Der Auftraggeber kann seinen Datenbestand selbst exportieren — ohne Mitwirkung des Auftragnehmers, in einem strukturierten, gängigen und maschinenlesbaren Format (DuckDB-Datenbankdatei), einschließlich der hinterlegten Dateien.

Häufigkeit: ohne gebuchtes Zusatzpaket einmal je drei Monate, mit Zusatzpaket täglich automatisch (§ 10 Abs. 2 des Vertrages). Im Kündigungsfall gilt die Grenze nicht — der Auftragnehmer startet auf Anfrage unentgeltlich einen zusätzlichen Export. Daneben steht ein Export der Kontakte, Rechnungen, Belege und Zahlungen als CSV-Datei ohne Häufigkeitsgrenze zur Verfügung; er enthält keine Dateianhänge.

Der Selbstbedienungsexport ist eine Zusatzleistung, nicht die Erfüllung der Rückgabepflicht. Diese steht in § 10 Abs. 1 des Vertrages und ist ausdrücklich nicht auf den Export beschränkt: Verlangt der Auftraggeber die Rückgabe, erhält er alle zu seiner Organisation gespeicherten Daten binnen 30 Tagen, auch soweit der Export sie nicht erfasst. Art. 28 Abs. 3 lit. g verlangt die Rückgabe, nicht einen bestimmten Weg dorthin.

Der Export erfüllt zugleich:

• Art. 20 DSGVO — Recht auf Datenübertragbarkeit
• Art. 28 Abs. 3 lit. g DSGVO — Rückgabe bei Vertragsende
• § 15 Abs. 2 des Vertrages — Fortführungsmöglichkeit beim Ausfall des Auftragnehmers

Der Export ist kein Ersatz für eine Datensicherung des Auftragnehmers; die Sicherung ist in Anlage 1 geregelt.

6. Löschung aus Datensicherungen

Datensicherungen werden nicht einzeln bereinigt. Sie laufen nach der in Abschnitt 3 genannten Frist automatisch aus. Wird ausnahmsweise aus einer Sicherung wiederhergestellt, wendet der Auftragnehmer alle zwischenzeitlich erfolgten Löschungen erneut an.

Der Ablauf ist technisch umgesetzt, nicht organisatorisch zugesagt. Ein täglich laufender Vorgang entfernt jede Sicherung, die älter als 30 Tage ist, samt aller darauf aufbauenden Zwischenstände; eine Sicherung wird stets als Ganzes entfernt. Als Untergrenze bleiben bei der Datenbank die letzten acht Vollsicherungen erhalten — sie verhindert, dass ein Stillstand des Sicherungsbetriebs zugleich den Bestand der letzten verwertbaren Sicherungen beendet.

Zwei Schichten, zwei Fristen. Über den 30-Tage-Sicherungsdateien liegt der Sicherungsspeicher selbst, der bis zu 20 tägliche, unveränderliche Snapshots vorhält (Schutz gegen einen übernommenen Server). Ein gelöschter Datensatz kann daher in einem Snapshot über den Ablauf der Sicherungsdatei hinaus fortbestehen. Eine Löschung wirkt damit in den Datensicherungen endgültig erst nach Ablauf beider Schichten — spätestens rund 50 Tage nach ihrer Ausführung.

Zwischenspeicher des Selbstbedienungsexports. Der für den gebuchten Export (Abschnitt 5) genutzte verschlüsselte Zwischenspeicher erbt dieselben Snapshots. Er ist je Organisation gesondert verschlüsselt; entfällt der Zweck (Funktion abgeschaltet, Vertrag ausgelaufen oder Organisation gelöscht), wird der Organisationsschlüssel vernichtet. Da dieser Schlüssel selbst gesichert wird, wird die Löschung endgültig wirksam nach Ablauf der Sicherungsvorhaltung, nicht sofort.

Diese Vorgehensweise entspricht der gängigen Praxis und ist mit dem Grundsatz der Verhältnismäßigkeit vereinbar. Sie ist hier ausdrücklich dokumentiert, weil eine ungeregelte Handhabung im Audit als Lücke gilt.

7. Löschung an allen Speicherorten

Eine Löschung umfasst:

8. Nachweis

Der Auftragnehmer weist eine Löschung auf Verlangen des Auftraggebers in Textform nach (§ 10 Abs. 6 des Vertrages). Löschläufe werden protokolliert; das Protokoll enthält Zeitpunkt, Anlass und Umfang, jedoch keine gelöschten Inhalte.

Der Nachweis überdauert die Löschung um drei Jahre (Abschnitt 3). Er muss länger verfügbar sein als das, was er belegt — eine Frage nach einer Löschung kommt Monate später, und die Betriebsprotokolle sind bis dahin abgelaufen.

Der Umfang wird je Datenbestand ausgewiesen — Datenbank, Suchindex, Objektspeicher — und je beteiligtem Dienst gesondert. Auch Nullwerte stehen darin: Ein Bestand mit null entfernten Einträgen belegt, dass er geprüft wurde; ein fehlender Eintrag belegt nichts.

Abschluss

Auftraggeber

Ort, Datum: ______________________

Name, Funktion: ______________________

Unterschrift: ______________________

Auftragnehmer

Ort, Datum: ______________________

Name, Funktion: ______________________

Unterschrift: ______________________

Bei elektronischem Abschluss nach § 16 Abs. 4 entfallen die Unterschriftenfelder; an ihre Stelle tritt das Abschlussprotokoll mit Zeitstempel, Fassung und Prüfwert.

Technische und organisatorische Maßnahmen

Kurzfassung nach Art. 32 DSGVO

Diese Übersicht beschreibt, wie epicsoft LLC die Daten schützt, die Auftraggeber in einfach+ verarbeiten. Sie ist die Anlage 1 zum Auftragsverarbeitungsvertrag und damit dessen Bestandteil; maßgeblich für die vertragliche Zusage ist der Wortlaut dieses Dokuments. Eine ausführlichere Beschreibung derselben Maßnahmen — mit technischen Einzelheiten, die nicht in ein öffentlich abrufbares Dokument gehören — stellen wir Auftraggebern und deren Prüfern auf Anfrage zur Verfügung (§ 11 Abs. 1 des Vertrages).

Was hier steht, ist umgesetzt. Maßnahmen, die geplant, aber noch nicht in Betrieb sind, stehen nicht in dieser Übersicht — auch nicht in abgeschwächter Form.

Änderungen dieser Anlage richten sich nach § 6 Abs. 2 des Vertrages: Sie sind zulässig, dürfen das Schutzniveau aber nicht unterschreiten. Die bei Vertragsschluss geltende Fassung wird im Abschlussprotokoll festgehalten.

1. Vertraulichkeit

Wo verarbeitet wird. In Rechenzentren professioneller Anbieter; eigene Serverräume betreiben wir nicht. Die Betreiber unterhalten Zutrittskontrollen nach ISO 27001. Anwendung, Dateien, Nachrichten und Datensicherungen liegen in der Europäischen Union; wo ein Anbieter außerhalb der Union tätig wird — etwa beim Briefversand oder bei der Datenübernahme über die Schweiz —, nennt Anlage 2 Ort und Übermittlungsgrundlage. Auf Arbeitsplatzrechnern liegen Daten der Auftraggeber nie dauerhaft; Auszüge zur Fehlersuche und Bestände zur Datenübernahme nur verschlüsselt und befristet (Abschnitt 5, Anlage 4).

Wer hineinkommt. Nutzer melden sich über einen zentralen Identitätsanbieter an (OpenID Connect); Kennwörter werden nur als Hashwert gespeichert, Zwei-Faktor-Authentisierung steht zur Verfügung. Der administrative Zugang zu Produktivsystemen erfolgt ausschließlich über SSH mit personengebundenem Schlüssel — Kennwortanmeldung ist serverseitig abgeschaltet, private Schlüssel sind mit einer Passphrase geschützt und liegen in einem Kennwortmanager, nicht im Dateisystem.

Was von außen erreichbar ist. Aus dem öffentlichen Internet sind nur die Dienste erreichbar, die von außen erreichbar sein müssen — derzeit der VPN-Zugang, der Webzugang der Anwendung und der Empfang von Rückläufern (Unzustellbarkeitsmeldungen). Verwaltungsdienste, Datenbanken und Prüfschnittstellen sind an das interne Netz gebunden. Der Fernzugang ist zweifach abgesichert: in der vorgelagerten Firewall des Rechenzentrums und zusätzlich auf Betriebssystemebene mit der Grundeinstellung „eingehend verwerfen".

Wer worauf zugreifen darf. Rollen- und rechtebasiert, gebunden an Organisation, Bereich und Vorgangsart. Der Kreis der Personen mit administrativem Zugriff auf die Produktivumgebung ist auf eine namentlich benannte, zur Vertraulichkeit verpflichtete Person beschränkt. Zugriffe auf Daten eines Auftraggebers erfolgen nur anlassbezogen und auf dessen Veranlassung; sie sind protokolliert und der handelnden Person zurechenbar.

Trennung der Mandanten. Jeder Datensatz ist einer Organisation zugeordnet; die Anwendung beschränkt jeden Zugriff auf Datenbank und Suchindex auf die Organisation, in deren Namen er erfolgt. Entwicklungs- und Testumgebungen enthalten keine Produktionsdaten, und ihre Zugangsdaten können Produktionsgeheimnisse nicht abrufen.

Verschlüsselung.

Offen gesagt: Die Datenträger der Produktivserver selbst sind nicht verschlüsselt. Der Schutz der dort ruhenden Datenbankbestände beruht auf Zugriffskontrolle, Netztrennung und Härtung des Betriebssystems. Wir nennen das hier, weil eine Übersicht, die nur Stärken aufzählt, nichts wert ist.

Künstliche Intelligenz. KI-gestützte Werkzeuge arbeiten ausschließlich auf Quellcode, Konfiguration und Dokumentation — nicht auf Daten der Auftraggeber. Neben einer Freigabeliste besteht eine Sperrliste mit Vorrang, und die Werkzeuge laufen jeweils nur im Arbeitsverzeichnis eines einzelnen Projekts.

2. Integrität

Datenübertragungen laufen ausschließlich über verschlüsselte Verbindungen; ein Transport personenbezogener Daten auf mobilen Datenträgern findet nicht statt. Dokumente werden an Dritte nur auf Veranlassung des Auftraggebers versandt — Empfänger, Zeitpunkt und auslösendes Konto werden protokolliert. Hochgeladene Dateien werden vor der Ablage auf Schadsoftware geprüft, auf eigener Infrastruktur innerhalb der Union.

Anlage, Änderung und Löschung von Datensätzen tragen einen Zeitstempel und sind dem auslösenden Nutzerkonto zuordenbar. Löschungen erfolgen zunächst als Markierung und bleiben dadurch nachvollziehbar, bis die endgültige Entfernung nach dem Löschkonzept erfolgt.

3. Verfügbarkeit

Betrieb in einem Rechenzentrum mit redundanter Strom- und Netzanbindung, Überwachung mit Alarmierung bei Störungen, Schutz vor Überlastung durch einen vorgelagerten Dienst mit Angriffserkennung und Ratenbegrenzung.

Datensicherung von Datenbank, Objektspeicher, Identitätsanbieter und Support-System, verschlüsselt und getrennt vom Produktivsystem, so dass ein Ausfall oder eine Kompromittierung nicht beide erfasst. Wiederherstellungstests werden durchgeführt und dokumentiert.

4. Regelmäßige Überprüfung

Ein Verfahren zur jährlichen Überprüfung dieser Maßnahmen ist eingerichtet und dokumentiert; das Ergebnis jedes Durchlaufs wird festgehalten. Die eingesetzten Abhängigkeiten werden im Bauprozess auf bekannte Schwachstellen geprüft, ergänzt um statische Codeanalyse. Anwendungsänderungen erfolgen ausschließlich über einen automatisierten, versionierten Bereitstellungsprozess.

5. Zugriff aus einem Drittland

epicsoft LLC hat ihren Sitz in Georgien. Für Wartung und Unterstützung wird von dort auf die Systeme in der Union zugegriffen. Dabei entsteht in Georgien kein Datenbestand.

Die vollständige Bewertung dieser Übermittlung stellen wir auf Anfrage zur Verfügung; eine Zusammenfassung ist unter https://einfach.plus/trust/ abrufbar.

6. Unterauftragsverarbeiter

Auswahl nach Eignung und Datenschutzniveau, schriftliche Vereinbarungen nach Art. 28 DSGVO mit allen Beteiligten, Nachweise werden eingeholt und vorgehalten (unter anderem TÜV-Auditbericht und SOC-2-Type-2-Bericht). Wechselt ein Unterauftragsverarbeiter, wird der Auftraggeber vorher unterrichtet und kann widersprechen (§ 7 des Vertrages). Die namentliche Liste ist Anlage 2 des Vertrages und unter https://einfach.plus/trust/ abrufbar.

7. Unterstützung und Support

Support-Anfragen erreichen uns als E-Mail und werden in einem selbst betriebenen Support-System auf derselben Infrastruktur wie die Anwendung (Anlage 2 Nr. 1) als Vorgang mit Beiträgen und Anhängen geführt; ein Ticketsystem eines Drittanbieters ist dafür nicht im Einsatz. Den Anbieter des Postfachs, über das die Anfragen eingehen, nennt Anlage 2.

Die Oberfläche dieses Systems ist aus dem öffentlichen Internet nicht erreichbar — sie hängt am internen Zugang und ist nur über das verschlüsselte VPN zu erreichen; seine Datenbank ist an das interne Netz gebunden. Der Zugriff auf Support-Vorgänge ist auf denselben Personenkreis beschränkt wie der Zugriff auf die Produktivsysteme. Das Postfach wird maschinell über eine verschlüsselte Verbindung abgeholt; der Zugang von Personen dorthin ist durch Zwei-Faktor-Authentisierung geschützt.

Für Support-Vorgänge und ihre Anhänge gelten die Fristen des Löschkonzepts; ein täglicher Lauf setzt sie maschinell durch.

8. Kontinuität

Der Auftraggeber kommt ohne uns an seine Daten. Er kann sie eigenständig exportieren — in einem strukturierten, maschinenlesbaren Format einschließlich der hinterlegten Dateien, ohne Zutun des Auftragnehmers und unabhängig davon, ob dieser erreichbar ist; welche Bestände der Export erfasst, ergibt sich aus Anlage 4. Ohne gebuchtes Zusatzpaket steht der Export einmal je drei Monate zur Verfügung, mit Zusatzpaket täglich automatisch; die Ausgabe von Kontakten, Rechnungen, Belegen und Zahlungen als Tabelle ist unbegrenzt. Im Kündigungsfall gilt die Häufigkeitsgrenze nicht.

Daneben besteht die Rückgabepflicht nach § 10 Abs. 1 des Vertrages: Auf Verlangen erhält der Auftraggeber alle zu seiner Organisation gespeicherten Daten binnen 30 Tagen, auch soweit der Selbstbedienungsexport sie nicht erfasst.

Warum das hier und nicht bei der Verfügbarkeit steht. Eine Notfallregelung, die vom Fortbestand des Anbieters abhängt, hilft im schlechtesten Fall nicht. Der Export ist der einzige Weg, der auch dann noch funktioniert — deshalb sichert § 15 Abs. 2 des Vertrages ausdrücklich zu, ihn weder einzuschränken noch in seinem Umfang zu verringern.

Wenn die zugangsberechtigte Person ausfällt. Für diesen Fall sind die Schlüssel zu den Betriebszugängen bei mehreren voneinander unabhängigen Stellen hinterlegt, sodass keine Stelle allein Zugang erlangen kann. Herausgegeben werden sie nur unter festgelegten Bedingungen an diejenigen, die den Betrieb fortführen oder geordnet beenden. Die verwahrenden Stellen selbst haben keinen Zugriff auf Daten der Auftraggeber.

9. Besondere Kategorien

Die Software bietet keine Funktionen zur Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO an.

Vollständige Anlage 1, Löschkonzept, Bewertung der Drittlandübermittlung und Auftragsverarbeitungsvertrag auf Anfrage unter info@einfach.plus.

Unterauftragsverarbeiter

Anlage 2 zum Auftragsverarbeitungsvertrag · Art. 28 Abs. 2 und 4 DSGVO

Diese Liste benennt die von epicsoft LLC eingesetzten Unterauftragsverarbeiter. Sie ist Bestandteil des Auftragsverarbeitungsvertrages und wird bei Änderungen nach § 7 dieses Vertrages fortgeschrieben — mit mindestens 30 Tagen Vorlauf und Widerspruchsrecht des Auftraggebers.

Die jeweils aktuelle Fassung ist unter https://einfach.plus/trust/ abrufbar.

Die Fassungsnummer wird mit dem Dokument ausgewiesen und ist die Bezugsgröße für Mitteilungen nach § 7 des Vertrages — sie benennt, worauf sich eine Änderungsmitteilung bezieht. Sie wird außerdem beim Vertragsschluss protokolliert (§ 16 Abs. 4 des Vertrages).

1. Infrastruktur und Betrieb

84codes betreibt die Instanzen in Rechenzentren, deren Standort der Auftragnehmer bei der Bestellung festlegt. Sämtliche genutzten Instanzen liegen in der Azure-Region „Sweden Central". Der Anbieter ist nach SOC 2 Type 2 geprüft (Kriterien Sicherheit, Verfügbarkeit, Vertraulichkeit) und lässt regelmäßig externe Penetrationstests durchführen.

2. Kommunikation

Weitere Verarbeiter in der Briefkette (Nr. 7). Pingen setzt zum Druck und zur Zustellung Dienstleister ein, deren Auswahl sich nach dem Zielland des Briefes richtet. Maßgeblich ist die vom Anbieter geführte Liste (pingen.com/subcontractors/06_SubcontractorList_Pingen_de.pdf, derzeit Version 1.8 vom 1. August 2026). Für die Zielländer, die über die Anwendung erreichbar sind (siehe unten), nennt sie:

Die Druckdienstleister erhalten Name, Empfängeranschrift und den vollständigen Briefinhalt; die Zustelldienste erhalten den bereits kuvertierten Brief.

Kein Briefversand in Drittländer ohne Angemessenheitsbeschluss — technisch erzwungen. Ein Brief kann nur in Länder versandt werden, für die in der Anwendung ein länderspezifischer Adressaufbau hinterlegt ist; derzeit sind das Deutschland, Österreich, Italien, Irland, Luxemburg und die Schweiz. Für alle übrigen Länder wird die Adresse als nicht versandfähig gekennzeichnet, und die Anwendung bricht sowohl die Preisberechnung als auch den Versand serverseitig mit einem Validierungsfehler ab.

Die Unterauftragnehmerliste des Anbieters führt darüber hinaus Dienstleister für weitere Zielländer — diese sind über die Anwendung nicht erreichbar — sowie für Hosting, Benachrichtigungs-E-Mails und Kundendienst des Anbieters.

Der Versand von E-Mails kann zusätzlich über die unter Nr. 1 genannte Infrastruktur erfolgen; ein gesonderter Anbieter tritt dabei nicht hinzu.

Nutzt der Auftraggeber einen eigenen Postausgangsserver, den er in der Software hinterlegt, so ist dessen Anbieter kein Unterauftragsverarbeiter des Auftragnehmers. Der Auftraggeber wählt und verantwortet diesen Anbieter selbst; der Auftragnehmer übergibt die Nachricht lediglich an den vom Auftraggeber bestimmten Zugang.

2a. Datenübernahme und Postfach für Anfragen

Hetzner erscheint zweimal, weil zwei Verarbeitungsorte bestehen: Nr. 1 umfasst die Server der Anwendung in Helsinki, Nr. 8a das Postfach für Anfragen auf dem Webhosting des Anbieters, das nach dessen Angabe ausschließlich in seinen Rechenzentren in Nürnberg betrieben wird.

Zuschnitt der Nr. 8. Die Übergabe erfolgt auf Veranlassung des Auftraggebers und nur anlassbezogen: Der Auftragnehmer stellt je Übergabe einen zeitlich befristeten, passwortgeschützten Zugang bereit, über den der Auftraggeber die Dateien hochlädt. Es besteht kein laufender Datenfluss und keine dauerhafte Speicherung: Die Bestände werden nach erfolgreichem Import gelöscht, der Zugang wird widerrufen. Einzelheiten zur Aufbewahrung regelt Anlage 4 (Löschkonzept).

Zuschnitt der Nr. 8a. Der Auftraggeber bestimmt selbst, welche Angaben er in eine Support-Anfrage aufnimmt; er ist gehalten, sich auf das für die Bearbeitung Erforderliche zu beschränken (Anlage 1 Abschnitt 7). Der Auftragnehmer betreibt kein Ticketsystem eines Drittanbieters: Die Anfragen werden aus dem Postfach in ein selbst betriebenes System auf der Infrastruktur nach Nr. 1 abgeholt und dort als Vorgang bearbeitet (Abschnitt 6). Für die Aufbewahrung gilt Anlage 4.

Nutzt der Auftraggeber für die Übergabe einen anderen von ihm gewählten Weg, so gilt der Absatz am Ende von Abschnitt 2 entsprechend: Der Anbieter dieses Weges ist kein Unterauftragsverarbeiter des Auftragnehmers.

3. Eigene Verantwortliche (keine Unterauftragsverarbeitung)

Zahlungsabwicklung. Die Abwicklung von Zahlungen erfolgt über PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg. PayPal ist insoweit eigener Verantwortlicher und kein Unterauftragsverarbeiter; die Verarbeitung erfolgt außerhalb dieses Vertrages.

Vertriebs- und Abrechnungspartner. Für Auftraggeber mit Sitz in Deutschland, die per PayPal oder Kreditkarte zahlen, erfolgt die Abrechnung über die xnovis GmbH, Deutschland. Sie stellt die Leistung im eigenen Namen in Rechnung und ist für die dabei anfallenden Vertrags-, Rechnungs- und Kontaktdaten eigener Verantwortlicher (§ 14 UStG, § 147 AO) — kein Unterauftragsverarbeiter des Auftragnehmers. Die Weitergabe an sie ist eine Übermittlung zwischen Verantwortlichen; für ihre Verarbeitung gilt ihre eigene Datenschutzerklärung.

Wann sie nicht beteiligt ist: Bei Zahlung per Überweisung und für Auftraggeber außerhalb Deutschlands rechnet epicsoft LLC unmittelbar ab. Eine Übermittlung an den Vertriebspartner findet dann nicht statt.

4. Notfallverwahrung

Hier wird niemand geführt — und das ist keine Auslassung, sondern das Ergebnis der Ausgestaltung.

Für den Fall, dass die zugangsberechtigte Person dauerhaft ausfällt, sind die Schlüssel zu den Betriebszugängen bei mehreren voneinander unabhängigen Stellen hinterlegt. Keine von ihnen hält einen vollständigen Schlüssel — erst mehrere zusammen ergeben einen.

Auftragsverarbeitung setzt eine Verarbeitung im Auftrag voraus (Art. 4 Nr. 8, Art. 28 Abs. 1). Wer ausschließlich Schlüsselteile aufbewahrt und weitergibt, verarbeitet keine personenbezogenen Daten.

Die Grenze: Übernimmt eine dieser Stellen nach einem Notfall den Betrieb, ist das ein neuer Sachverhalt. Sie wird dann Auftragsverarbeiter, es wird ein Vertrag nach Art. 28 geschlossen, und der Eintrag erscheint in dieser Liste.

5. Nicht als Unterauftragsverarbeiter geführt

Die folgenden Dienste erhalten keine personenbezogenen Daten des Auftraggebers und sind deshalb nicht Teil dieser Anlage:

6. Eigene Systeme (keine Unterauftragsverarbeitung)

Die folgenden Komponenten betreibt der Auftragnehmer selbst auf der unter Nr. 1 genannten Infrastruktur. Sie sind keine Unterauftragsverarbeiter, werden hier aber der Vollständigkeit halber genannt, weil sie personenbezogene Daten verarbeiten:

• Identitätsanbieter (Anmeldung, Nutzerkonten)
• Suchindex (Suche und Vorschläge innerhalb des Mandanten)
• Support-System (Anfragen des Auftraggebers, siehe Anlage 1 Abschnitt 7)
• Empfangsserver für Rückläufer (nimmt Unzustellbarkeitsmeldungen an, je eine Instanz auf zwei Servern; die Meldungen werden maschinell ausgewertet und gelöscht, siehe Anlage 3 Abschnitt 3.6)
• Versanddienst für E-Mails, Serienmail-Dienst, Virenprüfung, Auslieferungsnetz für Programmdateien
• Überwachung und Alarmierung (selbst gehostet auf der Infrastruktur nach Nr. 1) — verarbeitet Betriebs- und Zugriffsdaten der Systeme; ein externer Anbieter ist nicht eingebunden
• Datensicherung (Hetzner StorageBox, verschlüsselt, getrennte Sub-Accounts) — derselbe Anbieter und Standort wie Nr. 1, kein eigener Übermittlungsvorgang

7. Fortschreibung

Jede spätere Änderung erscheint hier mit Fassungsnummer, Datum und Gegenstand.

Mitteilung von Änderungen erfolgt nach § 7 Abs. 4 des Vertrages an die im Konto hinterlegte Ansprechpartner-Adresse, mindestens 30 Tage im Voraus. Die Veröffentlichung auf der Trust-Seite ersetzt diese Mitteilung nicht.

Standardvertragsklauseln — Modul 2

Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 (ABl. L 199 vom 7.6.2021, S. 31 — CELEX 32021D0914)

Dieses Dokument bindet die Standardvertragsklauseln der Europäischen Kommission in ihrer unveränderten Fassung ein und füllt die dort vorgesehenen Wahlmöglichkeiten und Anhänge aus. Der Klauseltext selbst wird weder abgeschrieben noch verändert — Klausel 2 der Standardvertragsklauseln lässt das nicht zu, und eine Abweichung vom amtlichen Wortlaut kostete die Wirkung als geeignete Garantie nach Art. 46 Abs. 2 lit. c DSGVO.

Der amtliche Wortlaut ist in allen Amtssprachen der Union abrufbar unter eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0914. Auf Anfrage stellen wir ihn auch als Datei bereit.

1. Einbindung der Klauseln

1. Die Parteien schließen die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern nach dem Durchführungsbeschluss (EU) 2021/914, Modul Zwei (Verantwortlicher → Auftragsverarbeiter), in ihrer im Amtsblatt der Europäischen Union veröffentlichten Fassung ab. Der Klauseltext ist Bestandteil dieses Dokuments, als wäre er hier vollständig wiedergegeben.

2. Datenexporteur ist der Auftraggeber, Datenimporteur der Auftragnehmer (epicsoft LLC, Georgien). Die Rollen ergeben sich aus § 12 des Auftragsverarbeitungsvertrages.

3. Bei Widersprüchen zwischen diesen Klauseln und dem Auftragsverarbeitungsvertrag oder seinen Anlagen gehen die Standardvertragsklauseln vor (§ 16 Abs. 1 des Vertrages).

4. Werden die Klauseln durch die Kommission geändert oder ersetzt, vereinbaren die Parteien die Umstellung auf die neue Fassung innerhalb der von der Kommission gesetzten Frist.

2. Gewählte Module, Klauseln und Optionen

Das Recht stimmt mit § 16 Abs. 7 des Vertrages überein; dessen Gerichtsstand lässt Klausel 18 für Streitigkeiten aus diesen Klauseln unberührt. Klausel 17 Option 1 verlangt das Recht eines Mitgliedstaats, das Rechte Dritter — der betroffenen Personen — zulässt; deutsches Recht erfüllt das. Klausel 18 verlangt die Gerichte eines Mitgliedstaats.

3. Auftraggeber als Auftragsverarbeiter — Modul 3

Verarbeitet der Auftraggeber die in der Software erfassten Daten seinerseits im Auftrag eigener Kunden (z. B. Steuerberatung, Buchhaltungsbüro), so ist er Auftragsverarbeiter und der Auftragnehmer sein Unter-Auftragsverarbeiter. In diesem Fall gilt Modul Drei (Auftragsverarbeiter → Auftragsverarbeiter) des Durchführungsbeschlusses (EU) 2021/914 mit denselben Wahlmöglichkeiten (Abschnitt 2) und denselben Anhängen. Der Auftraggeber sichert zu, dass seine Weisungen mit den Weisungen seines jeweiligen Verantwortlichen im Einklang stehen.

Modul Drei wird durch die Angabe der Rolle in Anhang I A aktiviert, nicht durch einen abweichenden Text: Die Module stehen im amtlichen Beschluss nebeneinander, und Klausel 2 untersagt es, eines davon umzuschreiben.

Anhang I

A. Liste der Parteien

Datenexporteur

Datenimporteur

Warum die Angaben zum Datenexporteur hier nicht ausgeschrieben sind. Der Abschluss erfolgt elektronisch und je Auftraggeber; ein fest eingetragener Name wäre für jeden anderen falsch. Die Parteiangaben entstehen mit dem Abschluss und werden im Abschlussprotokoll festgehalten — sie sind damit Bestandteil der abgeschlossenen Klauseln, wie Klausel 1 lit. b es verlangt. Der Auftraggeber erhält sie mit seiner Ausfertigung (§ 16 Abs. 4 des Vertrages). Wer den Abschluss auf Papier wünscht, erhält eine Fassung mit ausgeschriebenen Feldern (§ 16 Abs. 4a des Vertrages).

B. Beschreibung der Übermittlung

C. Zuständige Aufsichtsbehörde

Zuständig ist die Aufsichtsbehörde am Niederlassungsort des Datenexporteurs. Bei einem in Deutschland niedergelassenen Auftraggeber ist dies die zuständige Landesdatenschutzbehörde des jeweiligen Bundeslandes; bei einem in einem anderen EU-/EWR-Staat niedergelassenen Auftraggeber die dortige Aufsichtsbehörde. Die im Einzelfall zuständige Behörde ergibt sich aus dem Sitz, der im Abschlussprotokoll festgehalten ist.

Anhang II — Technische und organisatorische Maßnahmen

Die technischen und organisatorischen Maßnahmen des Datenimporteurs zur Gewährleistung eines angemessenen Schutzniveaus (Art. 32 DSGVO) ergeben sich abschließend aus Anlage 1 des Vertrages, die Bestandteil dieses Anhangs ist.

Zusammenfassend gilt für die Übermittlung:

„Dateien im Objektspeicher und Nachrichten der Nachrichtenwarteschlange werden den Anbietern ausschließlich in verschlüsselter Form (AES-256-GCM, Schlüsselableitung über PBKDF2-HMAC-SHA512) übergeben. Die Schlüssel werden ausschließlich in der Anwendungsumgebung des Auftragsverarbeiters vorgehalten. Diesen Anbietern sind lediglich Metadaten wie Objektnamen, Warteschlangenbezeichnungen, Zeitpunkte und Datenmengen zugänglich."

Für den Fernzugriff aus Georgien gelten zusätzlich die in Anlage 1 beschriebenen besonderen Maßnahmen: Zugriff ausschließlich über eine verschlüsselte Verbindung auf genau einen Arbeitsplatzrechner in der Union, serverseitig abgeschaltete Datei-, Zwischenablage-, Laufwerks-, Drucker- und USB-Umleitung, Verwaltungszugänge, die Verbindungen nur aus dem internen Netz in der Union annehmen, sowie personenbezogene Protokollierung jedes Zugriffs. Ihre Wirksamkeit ist in einer Bewertung der Drittlandübermittlung beurteilt; eine Zusammenfassung ist unter https://einfach.plus/trust/ abrufbar, die vollständige Fassung stellen wir auf Anfrage bereit.

Anhang III — Liste der Unterauftragsverarbeiter

Der Auftraggeber hat der Beauftragung der in Anlage 2 des Vertrages genannten Unterauftragsverarbeiter zugestimmt (Klausel 9 Option 2). Maßgeblich ist die Fassung von Anlage 2, die bei Vertragsschluss galt; sie ist im Abschlussprotokoll festgehalten und unter https://einfach.plus/trust/ abrufbar. Änderungen werden mit einer Frist von 30 Tagen vorab mitgeteilt; der Auftraggeber kann ihnen nach § 7 des Vertrages widersprechen.

Abschluss

Diese Standardvertragsklauseln werden gemeinsam mit dem Auftragsverarbeitungsvertrag nach dessen § 16 Abs. 4 elektronisch abgeschlossen; das Abschlussprotokoll mit Zeitstempel, Fassung und Prüfwert erfasst auch dieses Dokument. Auf Wunsch des Auftraggebers erfolgt der Abschluss auf Papier (§ 16 Abs. 4a des Vertrages).

Bewertung der Drittlandübermittlung — Zusammenfassung

Zugriff aus Georgien · Klausel 14 der Standardvertragsklauseln · Art. 46 DSGVO

Diese Zusammenfassung gibt das Ergebnis unserer Prüfung wieder. Die vollständige Bewertung stellen wir Auftraggebern und deren Prüfern auf Anfrage zur Verfügung.

1. Worum es geht

epicsoft LLC betreibt einfach+ von Georgien aus. Gegenstand der Bewertung ist kein Datenexport nach Georgien, sondern ein Fernzugriff auf eine Bildschirmsitzung. Diese Unterscheidung trägt die gesamte Bewertung.

Ein Fernzugriff aus einem Drittland auf Daten, die in der Union gespeichert sind, ist eine Übermittlung im Sinne des Kapitels V der DSGVO — auch wenn die Daten die Union physisch nicht verlassen. Wir behandeln ihn entsprechend.

2. Wo die Daten liegen

Anwendung, Objektspeicher, Nachrichtenwarteschlange und Sicherungen liegen in der Europäischen Union. Die eingesetzten Unterauftragsverarbeiter und ihre Übermittlungsgrundlagen — auch dort, wo ein Anbieter außerhalb der Union tätig wird — sind unter https://einfach.plus/trust/ aufgeführt.

3. Wenn Daten übernommen werden

Einmal werden Ihre Daten auch im Klartext verarbeitet: bei der Übernahme vorhandener Bestände zur Einrichtung. Auch dieser Vorgang findet in der Union statt:

1. Sie legen den Bestand in einem befristeten, passwortgeschützten Ablageort ab — Ende-zu-Ende-verschlüsselt, Anbietersitz Schweiz. Das Fenster läuft nach sieben Tagen automatisch ab; Link und Passwort erhalten Sie getrennt.
2. Die Aufbereitung erfolgt in einem verschlüsselten Arbeitsbereich auf einem Rechner in der Europäischen Union — außerhalb von Sicherung und Suchindex.
3. Nach Abschluss von Import und Prüfung wird der Bestand gelöscht, spätestens 30 Tage nach dem Hochladen: lokal durch Vernichtung des Schlüssels, beim Ablageort einschließlich Papierkorb und Fassungen.

Aus Georgien wird auf diesen Rechner ausschließlich über die Bildschirmsitzung zugegriffen. Es gelangt kein Bestand in das Drittland.

4. Rechtsgrundlage

Die Übermittlung stützt sich auf Art. 46 Abs. 2 lit. c DSGVO — Standardvertragsklauseln, Modul Zwei (Verantwortlicher an Auftragsverarbeiter) — ergänzt um zusätzliche Maßnahmen im Sinne der Empfehlungen 01/2020 des Europäischen Datenschutzausschusses.

Ein Hinweis zur Wahl des Instruments, den wir nicht auslassen: Die Standardvertragsklauseln von 2021 sind für Auftragsverarbeiter gedacht, die nicht selbst der DSGVO unterliegen. epicsoft LLC unterliegt ihr nach Art. 3 Abs. 2 — deshalb gibt es auch den Vertreter nach Art. 27. Die Europäische Kommission hat für diesen Fall einen eigenen Klauselsatz angekündigt, ihn aber bislang nicht erlassen. Bis dahin verwenden wir die vorhandenen Klauseln: Ein anderes geeignetes Instrument nach Art. 46 Abs. 2 steht nicht zur Verfügung, und sie schaffen genau die Verpflichtungen, auf die es hier ankommt — insbesondere das Verfahren bei behördlichen Ersuchen. Sobald der neue Klauselsatz vorliegt, prüfen wir die Umstellung.

5. Worauf das Ergebnis beruht

Die Bewertung stützt sich ausdrücklich nicht auf das Schutzniveau des georgischen Rechts. Sie beruht auf drei tatsächlichen Umständen, die von der dortigen Rechtslage unabhängig sind:

1. Es findet kein Datenexport nach Georgien statt. Die Daten werden in der Union verarbeitet und gespeichert; in Georgien entsteht kein Bestand.
2. Der Zugangsweg ist technisch beschränkt und serverseitig durchgesetzt. Endgeräte im Drittland erreichen genau einen Arbeitsplatzrechner in der Union; jedes andere Ziel wird verworfen und protokolliert. Die Sitzung besitzt keinen Rückkanal: Dateiübertragung, Zwischenablage sowie Laufwerks-, Drucker- und USB-Umleitung sind abgeschaltet, und zwar serverseitig, nicht in der Einstellung des zugreifenden Geräts.
3. Ein unmittelbarer behördlicher Zugriff ist ausgeschlossen. Georgische Stellen können weder auf die Systeme noch auf die Datenbestände zugreifen — beides liegt außerhalb ihres Hoheitsgebiets. Der mittelbare Weg über die handelnde Person ist vertraglich adressiert (Verfahren nach Klausel 15 der Standardvertragsklauseln) und praktisch fernliegend.

Diese Umstände behalten ihre Wirkung auch dann, wenn sich die rechtsstaatlichen Rahmenbedingungen im Drittland weiter verschlechtern. Genau darin liegt ihre Eignung als zusätzliche Maßnahme.

Zum naheliegenden Einwand. Die Empfehlungen 01/2020 behandeln in einem eigenen Anwendungsfall den Fernzugriff aus einem Drittland und kommen dort zu dem Ergebnis, es sei keine wirksame technische Maßnahme vorstellbar. Jener Fall setzt jedoch voraus, dass der Empfänger die Daten in das Drittland erhält und dort im Klartext verarbeitet — dann bleibt der dortige Bestand angreifbar. Hier entsteht im Drittland kein Bestand: Die Klartextverarbeitung findet in der Union statt, dorthin geht nur eine flüchtige Bildausgabe ohne Rückkanal. Deshalb greifen hier technische Maßnahmen, wo sie dort nicht greifen — sie setzen am Zugangsweg an und nicht am Datenbestand.

6. Zur Rechtslage in Georgien

Wir benennen den Befund, statt ihn zu übergehen: Die Prüfung hat ergeben, dass Georgien die unabhängige Datenschutzaufsicht zum 2. März 2026 abgeschafft hat — die Aufgabe liegt seither beim Rechnungshof, einer Behörde, deren gesetzlicher Auftrag die Prüfung der Haushaltsführung ist. Zum selben Zeitpunkt wurden auch das Anti-Korruptions-Büro und die Stelle des Wirtschafts-Ombudsmanns aufgelöst und derselben Behörde zugewiesen — es handelt sich also nicht um eine Umorganisation im Datenschutz allein. Hinzu kommen: die organisatorische Zuordnung der Überwachungsstelle zum Staatssicherheitsdienst, das nicht gezeichnete Übereinkommen 108+ und die Feststellung der Europäischen Kommission in ihrem Erweiterungsbericht vom 4. November 2025 zur Beeinträchtigung der Justizunabhängigkeit.

Eine Bewertung, die auf einem angeblich vergleichbaren Schutzniveau des georgischen Rechts aufbaut, wäre durch diesen Befund entwertet. Unsere baut darauf nicht auf — sie stützt sich auf Abschnitt 5.

7. Verbleibendes Risiko

Es besteht ein Restrisiko: Wer eine Sitzung führt, sieht die darin angezeigten Daten. Es beschränkt sich auf genau diese Daten und wird durch Datenminimierung am Arbeitsplatz begrenzt — Fehlersuche ohne Datenkopie als Regelfall, anonymisierte Auszüge als Standard, echte Auszüge nur in einem verschlüsselten Behälter mit Löschfrist und Protokolleintrag. Wir bewerten dieses Restrisiko als vertretbar.

Eine Maßnahme ist eingerichtet, aber noch nicht in Betrieb und wird deshalb nicht als erfüllt in Anschlag gebracht: die Ausleitung der Protokolle auf ein getrenntes, nur anfügbares Ziel. Sie betrifft die Abmilderung des Restrisikos, nicht die tragenden Umstände aus Abschnitt 5.

8. Überprüfung

Die Bewertung wird jährlich überprüft und außerdem anlassbezogen:

Wird die Beschränkung des Zugangsweges gelockert oder ihre serverseitige Durchsetzung entfernt, entfällt die Grundlage dieser Bewertung und sie ist neu vorzunehmen.

Fragen

Die vollständige Bewertung, das Verfahren bei behördlichen Zugriffsersuchen und die technischen und organisatorischen Maßnahmen erhalten Sie auf Anfrage unter info@einfach.plus.