Vertrag über die Auftragsverarbeitung

§ 1 Gegenstand und Dauer

1. Microapp verarbeitet für den Kunden personenbezogene Daten, um die Leistungen aus dem Hauptvertrag zu erbringen: Belege abholen und digitalisieren oder, bei Zackscan, digital entgegennehmen, laufende Geschäftsvorfälle buchen, Buchungsdaten an den Steuerberater übergeben, Löhne abrechnen, soweit beauftragt, und das Unternehmensportal bereitstellen.
2. Dieser Vertrag gilt, solange Microapp personenbezogene Daten für den Kunden verarbeitet, mindestens für die Laufzeit des Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung, Daten und betroffene Personen

1. Microapp erhebt die Daten mit den Belegen, erfasst, ordnet und speichert sie, wertet sie für Buchhaltung und Lohn aus, übermittelt sie an den Steuerberater des Kunden und, soweit es für Lohnabrechnung und Meldungen nötig ist, an Finanzamt und Krankenkassen, und löscht sie. Zweck ist die Buchführung und Lohnabrechnung des Kunden.
2. Verarbeitet werden folgende Arten von Daten:
   • aus Belegen und Kontoauszügen: Namen, Anschriften und Kontaktdaten, Bankverbindungen, Rechnungs-, Vertrags- und Zahlungsdaten,
   • bei der Lohnabrechnung zusätzlich: Stammdaten der Mitarbeiter wie Name, Anschrift, Geburtsdatum, Steuer-ID, Sozialversicherungsnummer und Bankverbindung, Steuer- und Sozialversicherungsmerkmale, Krankenkasse, Arbeits- und Fehlzeiten, Lohn- und Gehaltsdaten sowie Pfändungen.
3. Darunter sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, soweit die Lohnabrechnung sie braucht: die Religionszugehörigkeit (Kirchensteuermerkmal) und Gesundheitsdaten wie Zeiten der Arbeitsunfähigkeit oder eine Schwerbehinderung.
4. Betroffen sind Kunden, Lieferanten und andere Geschäftspartner des Kunden und deren Ansprechpartner sowie die Mitarbeiter des Kunden, auch Auszubildende, Aushilfen und ehemalige Mitarbeiter.

§ 3 Weisungen

1. Microapp verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei einer Übermittlung in ein Drittland. Das gilt nicht, soweit Microapp nach dem Recht der Europäischen Union oder Deutschlands zur Verarbeitung verpflichtet ist. Dann teilt Microapp dem Kunden diese Pflicht vor der Verarbeitung mit, sofern das Gesetz die Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die Weisungen ergeben sich aus dem Hauptvertrag und diesem Vertrag. Weitere Weisungen erteilt der Kunde in Textform, in Eilfällen mündlich mit Bestätigung in Textform.
3. Hält Microapp eine Weisung für einen Verstoß gegen Datenschutzrecht, informiert sie den Kunden unverzüglich. Sie darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

§ 4 Vertraulichkeit

1. Microapp setzt nur Personen ein, die sie zur Vertraulichkeit verpflichtet hat oder die einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Pflicht gilt über das Ende ihrer Tätigkeit hinaus.

§ 5 Sicherheit der Verarbeitung

1. Microapp trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.
2. Microapp darf die Maßnahmen dem technischen Fortschritt anpassen. Das Schutzniveau darf dabei nicht sinken.

§ 6 Unterauftragsverarbeiter

1. Der Kunde genehmigt die Unterauftragsverarbeiter in Anlage 2.
2. Weitere oder andere Unterauftragsverarbeiter setzt Microapp erst ein, nachdem sie den Kunden mindestens [vier] Wochen vorher in Textform informiert hat. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich beide Seiten nicht, kann jede den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. Microapp verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Datenschutzpflichten aus diesem Vertrag. Für dessen Pflichtverletzungen haftet sie dem Kunden wie für eigene.
4. Keine Unterauftragsverarbeitung sind Nebenleistungen, bei denen Dritte nicht auf die Daten zugreifen, etwa der Transport der verschlossenen Kiste durch Post- oder Kurierdienste.

§ 7 Unterstützung des Kunden

1. Microapp unterstützt den Kunden mit geeigneten Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung und ihre weiteren Rechte zu beantworten. Wendet sich eine betroffene Person direkt an Microapp, leitet Microapp die Anfrage unverzüglich an den Kunden weiter.
2. Microapp unterstützt den Kunden bei seinen Pflichten zur Sicherheit der Verarbeitung, zur Meldung und Benachrichtigung bei Datenschutzverletzungen, zur Datenschutz-Folgenabschätzung und zur vorherigen Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO).
3. Verletzungen des Schutzes personenbezogener Daten meldet Microapp dem Kunden unverzüglich, möglichst innerhalb von 24 Stunden, nachdem sie ihr bekannt geworden sind. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.
4. Unterstützung, die über den üblichen Rahmen hinausgeht und nicht auf einem Verstoß von Microapp beruht, kann Microapp nach § 5 Abs. 5 der AGB berechnen.

§ 8 Nachweise und Kontrollen

1. Microapp stellt dem Kunden alle Informationen zur Verfügung, die er zum Nachweis der Pflichten aus Art. 28 DSGVO braucht.
2. Microapp ermöglicht Überprüfungen, auch Inspektionen vor Ort, durch den Kunden oder einen von ihm beauftragten Prüfer. Kontrollen vor Ort kündigt der Kunde mit angemessener Frist an, in der Regel zwei Wochen vorher. Sie finden zu den Geschäftszeiten statt und dürfen den Betrieb nicht unnötig stören. Einen Prüfer, der mit Microapp im Wettbewerb steht, kann Microapp ablehnen.

§ 9 Ende der Verarbeitung

1. Nach Ende der Leistungen gibt Microapp dem Kunden alle personenbezogenen Daten nach seiner Wahl zurück oder löscht sie, einschließlich vorhandener Kopien. Das gilt nicht, soweit Microapp nach dem Recht der Europäischen Union oder Deutschlands zur Speicherung verpflichtet ist.
2. Originalbelege gibt Microapp nach § 9 der AGB zurück. Die Löschung bestätigt Microapp auf Verlangen in Textform.

§ 10 Ort der Verarbeitung

1. Microapp verarbeitet die Daten in der Europäischen Union oder im Europäischen Wirtschaftsraum. Eine Verarbeitung in einem Drittland ist nur mit vorheriger Zustimmung des Kunden in Textform und unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig.

§ 11 Schlussbestimmungen

1. Widersprechen sich dieser Vertrag und die AGB beim Schutz personenbezogener Daten, gilt dieser Vertrag.
2. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen dem Kunden und Microapp gilt § 7 der AGB.

Anlage 1: Technische und organisatorische Maßnahmen

[Vor dem Livegang prüfen: Hier darf nur stehen, was Microapp wirklich tut. Unzutreffendes streichen, Fehlendes ergänzen, dann diese Zeile löschen.]

Vertraulichkeit

• Büroräume sind abgeschlossen, Zutritt haben nur Mitarbeiter von Microapp.
• Kisten und Originalbelege lagern bis zur Rückgabe in [verschlossenen Räumen oder Schränken].
• Zugang zu Rechnern und Software nur mit persönlichem Benutzerkonto und Passwort[, für Fernzugriffe mit zweitem Faktor].
• Jeder Mitarbeiter hat nur die Rechte, die er für seine Aufgaben braucht.
• Die Daten jedes Kunden liegen in einem eigenen Mandanten der Buchhaltungs- und Lohnsoftware.
• [Zackscan mit Scanner: Jeder Scanner überträgt in ein eigenes Konto je Kunde. Microapp löscht die Dateien dort, sobald sie in der Buchhaltungssoftware archiviert sind.]
• [Scanner werden vor jeder neuen Ausgabe auf Werkseinstellungen zurückgesetzt, gespeicherte Zugangsdaten werden dabei gelöscht.]

Integrität

• Die Kiste wird verschlossen übergeben und transportiert.
• Daten werden nur verschlüsselt übertragen, auch von Beleg-App und Scanner. Das Unternehmensportal ist nur über eine verschlüsselte Verbindung erreichbar.
• Die Software protokolliert, wer Buchungen und Lohndaten erfasst oder ändert.

Verfügbarkeit und Belastbarkeit

• Die Daten werden [täglich] gesichert, [im Rechenzentrum des Softwareanbieters].
• Microapp digitalisiert die Belege nach Eingang, bevor die Originale zurückgehen.

Regelmäßige Überprüfung

• Alle Mitarbeiter sind schriftlich zur Vertraulichkeit verpflichtet und werden [jährlich] zum Datenschutz unterwiesen.
• Microapp überprüft diese Maßnahmen [jährlich] und nach jedem Sicherheitsvorfall.
• Papier mit personenbezogenen Daten, das nicht an den Kunden zurückgeht, wird [nach DIN 66399] vernichtet.

Anlage 2: Genehmigte Unterauftragsverarbeiter

• Agenda Informationssysteme GmbH & Co. KG, Oberaustraße 14, 83026 Rosenheim: Buchhaltungs- und Lohnsoftware, Unternehmensportal, Beleg-App, Rechenzentrum [Ort laut AV-Vertrag mit Agenda]
• Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland: Microsoft 365 mit OneDrive für die Übertragung vom Scanner bei Zackscan, Rechenzentrum [Ort laut Vertrag mit Microsoft prüfen, Daten in der EU speichern]
• [Hersteller des Scanners, falls die Scans über seinen Cloud-Dienst laufen (zum Beispiel ScanSnap Cloud): Name, Anschrift, Ort der Verarbeitung. Sonst diese Zeile löschen.]
• [weitere, zum Beispiel E-Mail-Anbieter oder IT-Dienstleister mit Fernzugriff: Name, Anschrift, Leistung, Ort der Verarbeitung]