Entwurf: Dieser Text wurde noch nicht rechtlich geprüft.

Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag gehört zum Vertrag über Bauabzug-kit. Der Kunde ist Verantwortlicher. Angelista Enterprise B.V. ist Auftragsverarbeiter.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur, um Bauabzug-kit zu erbringen, solange der Vertrag läuft.

2. Art, Zweck und Daten

Ein Selbsthilfe-Kit für die Bauabzugsteuer: Checkliste, ausgefüllte Briefe und Erinnerungen für die Freistellungsbescheinigung und die Erstattungsfrist.

E-Mail-Adresse, Firmenname, Anschrift, USt-IdNr., ggf. deutsche Steuernummer, Ansprechpartner und Telefon
Antworten im Fragebogen
Namen, Anschriften und (optional) E-Mail-Adressen deutscher Kunden
Daten und Beträge von Zahlungen mit 15 % Abzug
Ablaufdatum der Freistellungsbescheinigung
Ein Sitzungscookie (sid), um angemeldet zu bleiben
Bei Zahlung: Rechnungs-E-Mail, Land, USt-IdNr., Betrag und Mollie-Kundennummer, 7 Jahre aufbewahrt (steuerliche Aufbewahrungspflicht)

Betroffene: Beschäftigte, Kunden, Mieter oder Geschäftspartner des Kunden, soweit sie in seinen Dateien stehen.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die bestimmungsgemäße Nutzung des Dienstes gilt als Weisung.

4. Vertraulichkeit

Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.

5. Sicherheit

Der Auftragsverarbeiter trifft geeignete Maßnahmen (Art. 32 DSGVO): verschlüsselte Verbindungen (HTTPS), Zugang nur mit Anmeldung, Server im EWR, beschränkter Administratorzugang und Backups.

6. Unterauftragsverarbeiter

Der Kunde genehmigt allgemein diese Unterauftragsverarbeiter:

OVHcloud SAS, Roubaix, Frankreich (Hosting von Server und Datenbank)
Heinlein Hosting GmbH (mailbox.org), Berlin, Deutschland (Versand und Empfang von E-Mails)
Mollie B.V., Amsterdam, Niederlande (Zahlungen)

Einen neuen Unterauftragsverarbeiter kündigt der Auftragsverarbeiter 30 Tage vorher an. Der Kunde kann widersprechen und dann kündigen.

7. Unterstützung

Der Auftragsverarbeiter unterstützt den Kunden bei Anfragen Betroffener und bei den Pflichten aus Art. 32 bis 36 DSGVO.

8. Datenschutzverletzungen

Der Auftragsverarbeiter meldet eine Verletzung unverzüglich, spätestens 48 Stunden nach Kenntnis, an den Kunden (Art. 33 DSGVO).

9. Ende

Nach Vertragsende erhält der Kunde auf Anfrage innerhalb von 30 Tagen einen Export der Daten. Der Auftragsverarbeiter löscht sie auf Verlangen des Kunden, sonst nach der Frist in der Datenschutzerklärung. Backups verfallen nach 14 Tagen. Dies gilt nicht, soweit eine gesetzliche Aufbewahrungspflicht besteht.

10. Kontrollen

Der Auftragsverarbeiter stellt alle nötigen Informationen zum Nachweis bereit und ermöglicht angemessene Überprüfungen.

11. Übermittlung

Es werden keine Daten in Länder außerhalb des EWR übermittelt.