Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

(1) Dieser Vertrag ist Anlage 1 der Nutzungsbedingungen für die gehosteten OpenBills-Tarife („Hauptvertrag“) und gilt mit deren Annahme als geschlossen. Nach dem Hauptvertrag stellt der Auftragsverarbeiter dem Verantwortlichen die Rechnungssoftware OpenBills als gehosteten Dienst bereit. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Dieser Vertrag gilt für die Dauer des Hauptvertrags. Er endet automatisch mit dem Hauptvertrag, soweit sich aus den Regelungen zur Löschung und Rückgabe nichts anderes ergibt.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

Art der Verarbeitung: Speichern, Organisieren, Abfragen, Verwenden, Übermitteln (E-Mail-Versand im Auftrag), Sichern und Löschen von Daten im Rahmen des Betriebs von OpenBills.

Zweck: Erstellung und Verwaltung von Angeboten, Aufträgen, Rechnungen und Mahnungen sowie deren Versand für den Verantwortlichen.

Datenarten: Stammdaten und Kontaktdaten (Name, Anschrift, E-Mail-Adressen, Telefonnummern), Vertrags- und Abrechnungsdaten (Angebote, Rechnungen, Positionen, Beträge, Zahlungsstatus, Mahnungen), Auftrags- und Zeiterfassungsdaten, Unterschriften bei Abnahmen (gespeichert als Bild, ohne dynamische oder biometrische Merkmale), Inhalte versendeter E-Mails und Dateianhänge, Bankverbindungen. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht planmäßig verarbeitet.

Betroffene Personen: Kunden und Interessenten des Verantwortlichen sowie deren Ansprechpartner, Beschäftigte des Verantwortlichen, die OpenBills nutzen.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Das gilt auch für die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation. Eine Ausnahme gilt nur, wenn der Auftragsverarbeiter nach dem Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung von OpenBills durch den Verantwortlichen im Rahmen der vereinbarten Funktionen gilt als Weisung. Weitere Weisungen erteilt der Verantwortliche in Textform an [email protected]. Mündliche Weisungen sind in Ausnahmefällen zulässig und werden vom Verantwortlichen unverzüglich in Textform bestätigt.

(3) Weisungsberechtigt auf Seiten des Verantwortlichen ist der bei der Anfrage angegebene Ansprechpartner (erreichbar unter dessen bei der Anfrage angegebener E-Mail-Adresse). Weisungsempfänger auf Seiten des Auftragsverarbeiters ist Jannick Namyslo ([email protected]). Änderungen der Ansprechpartner teilen sich die Parteien in Textform mit.

(4) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anhang 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit eine allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die in Anhang 2 genannten Unterauftragsverarbeiter gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vorab per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Die Information enthält Name, Anschrift, Leistung und Ort der Verarbeitung.

(3) Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Zugang der Information in Textform widersprechen. Widerspricht er, bemühen sich die Parteien um eine einvernehmliche Lösung. Kommt keine Lösung zustande, ist der Verantwortliche berechtigt, den Hauptvertrag und diesen Vertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich zu kündigen.

(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind. Dabei muss insbesondere hinreichend garantiert sein, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung den Anforderungen der DSGVO entspricht.

(5) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

(6) Die Verarbeitung findet grundsätzlich in der Europäischen Union oder im Europäischen Wirtschaftsraum statt. Übermittlungen in Drittländer erfolgen nur durch genehmigte Unterauftragsverarbeiter oder deren Unterauftragnehmer und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (einschließlich des EU-US Data Privacy Framework) oder von Standardvertragsklauseln.

(7) Nicht als Unterauftragsverhältnis gelten Nebenleistungen, bei denen kein Zugriff auf personenbezogene Daten des Verantwortlichen besteht, zum Beispiel die Ausstellung von TLS-Zertifikaten.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–22 DSGVO).

(2) Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO. Dazu gehören Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation der Aufsichtsbehörde.

(3) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter. Er beantwortet sie nicht selbst, es sei denn, der Verantwortliche weist ihn dazu an.

(4) Unterstützungsleistungen, die über die Funktionen von OpenBills hinausgehen, kann der Auftragsverarbeiter nach vorheriger Ankündigung zu angemessenen Sätzen vergüten lassen. Das gilt nicht, wenn die Unterstützung durch einen Verstoß des Auftragsverarbeiters veranlasst ist.

§ 8 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden, nachdem sie ihm bekannt geworden ist. Die Meldung erfolgt per E-Mail an die bei der Anfrage angegebene E-Mail-Adresse des Ansprechpartners des Verantwortlichen.

(2) Die Meldung enthält, soweit verfügbar, mindestens: eine Beschreibung der Art der Verletzung, möglichst mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze; Name und Kontaktdaten einer Anlaufstelle; eine Beschreibung der wahrscheinlichen Folgen; eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung.

(3) Kann der Auftragsverarbeiter nicht alle Informationen gleichzeitig bereitstellen, liefert er sie schrittweise und ohne unangemessene weitere Verzögerung nach.

(4) Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen für die betroffenen Personen zu mindern. Er dokumentiert die Verletzung.

§ 9 Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten zurück oder löscht sie. Der Verantwortliche teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende in Textform mit. Teilt er nichts mit, stellt der Auftragsverarbeiter einen Export bereit und löscht die Daten nach Ablauf dieser Frist.

(2) Die Rückgabe erfolgt als vollständiger Export (ZIP-Archiv mit allen Datenbankinhalten im maschinenlesbaren JSON-Format einschließlich der Dateianhänge). Das Archiv ist mit einem vom Verantwortlichen gewählten Passwort verschlüsselt. Damit kann der Verantwortliche seine Aufbewahrungspflichten erfüllen, insbesondere nach § 147 AO, § 257 HGB und den GoBD.

(3) Die Aufbewahrungspflichten aus Abs. 2 liegen beim Verantwortlichen. Der Auftragsverarbeiter darf Daten über das Vertragsende hinaus nur speichern, wenn er selbst nach dem Recht der Union oder der Mitgliedstaaten dazu verpflichtet ist.

(4) Daten in Datensicherungen werden im regulären Sicherungszyklus spätestens nach 7 Tagen überschrieben. Bis dahin sind sie vor Zugriff geschützt und werden nicht weiter verarbeitet.

(5) Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und aus diesem Vertrag erforderlich sind.

(2) Der Auftragsverarbeiter ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen, die der Verantwortliche oder ein von ihm beauftragter Prüfer durchführt. Der beauftragte Prüfer muss zur Verschwiegenheit verpflichtet sein und darf kein Wettbewerber des Auftragsverarbeiters sein.

(3) Kontrollen vor Ort sind mit einer Vorankündigung von mindestens 14 Tagen zu den üblichen Geschäftszeiten möglich, ohne den Betrieb unverhältnismäßig zu stören. In begründeten Fällen, insbesondere nach einer Datenschutzverletzung, ist eine kürzere Frist zulässig.

(4) Der Nachweis kann auch durch geeignete Zertifizierungen, genehmigte Verhaltensregeln (Art. 40, 42 DSGVO) oder aktuelle Prüfberichte unabhängiger Stellen erbracht werden. Das Recht auf Kontrollen nach Abs. 2 bleibt davon unberührt.

(5) Erfährt der Auftragsverarbeiter von Prüfungen oder Maßnahmen einer Aufsichtsbehörde, die diese Verarbeitung betreffen, informiert er den Verantwortlichen unverzüglich, soweit das rechtlich zulässig ist.

§ 11 Schlussbestimmungen

(1) Dieser Vertrag wird mit Annahme der Nutzungsbedingungen geschlossen. Er liegt damit in elektronischer Form vor (Art. 28 Abs. 9 DSGVO). Änderungen dieses Vertrags bedürfen der Textform.

(2) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

(3) Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor.

(4) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

(5) Es gilt das Recht der Bundesrepublik Deutschland.

Anhang 1: Technische und organisatorische Maßnahmen

Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Verschlüsselung bei der Übertragung: siehe Weitergabekontrolle.
• Verschlüsselung gespeicherter Zugangsdaten: TOTP-Secrets der Zwei-Faktor-Authentisierung und das SMTP-Passwort werden in der Datenbank mit AES-256-GCM verschlüsselt; der Schlüssel ist je Instanz eigen.
• Verschlüsselte Backups: Backups aus OpenBills (ZIP) werden mit einem vom Nutzer gewählten Passwort verschlüsselt (AES-256-GCM, Schlüsselableitung mit scrypt). Das Passwort wird nicht gespeichert.
• Pseudonymisierung: wegen des Verarbeitungszwecks (Rechnungsstellung) nicht vorgesehen.

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Die Server stehen in einem Rechenzentrum der Hetzner Online GmbH in Helsinki (Finnland, EU); der physische Zutritt wird durch den Rechenzentrumsbetreiber kontrolliert.
• Zugangskontrolle: Anmeldung am Server ausschließlich per SSH-Schlüssel, die Anmeldung per Passwort ist deaktiviert. Eine Firewall (Hetzner Cloud Firewall) lässt nur die für den Betrieb nötigen Verbindungen zu.
• Zugriffskontrolle: Administrativen Zugriff auf Server und Daten hat ausschließlich der Inhaber. Der Zugang zur Hosting-Verwaltung ist mit Zwei-Faktor-Authentisierung geschützt, der Serverzugang mit persönlichem SSH-Schlüssel. Für den Support gibt es je Instanz einen als Support-Zugang gekennzeichneten Zugang ([email protected]), den nur der Inhaber nutzt.
• Anmeldung der Nutzer: Die Nutzer des Verantwortlichen melden sich mit einem eigenen Benutzerkonto direkt in OpenBills an. Passwörter werden nur als Hash gespeichert und müssen eine Mindestlänge haben. Zwei-Faktor-Authentisierung (TOTP) steht allen Nutzern zur Verfügung. Nach wiederholten Fehlversuchen werden weitere Anmeldeversuche gesperrt (pro Konto und IP-Adresse). Sitzungen werden serverseitig verwaltet. Sicherheitsrelevante Aktionen werden in einem Audit-Log protokolliert.
• Trennungskontrolle: Jeder Kunde erhält eine eigene OpenBills-Instanz mit eigener Datenbank und eigenen Containern.

Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Weitergabekontrolle: Alle Zugriffe auf OpenBills erfolgen verschlüsselt über HTTPS (TLS, Zertifikate von Let’s Encrypt). Datensicherungen verbleiben innerhalb der Hetzner-Infrastruktur in der EU.
• Eingabekontrolle: Zugriffe und Systemereignisse werden in den System-, Webserver- und Container-Protokollen erfasst und automatisch nach 90 Tagen gelöscht.
• E-Mail-Versand: Systemmails (Tarife Free, Starter, Professional) und Kundenmails (Tarif Starter; Professional ohne eigenen Mailserver) werden über den Versanddienst Brevo versendet. Die Einlieferung bei Brevo erfolgt per TLS. Für openbills.de sind SPF, DKIM und DMARC eingerichtet. Nutzt der Verantwortliche einen eigenen Mailserver, werden Kundenmails direkt über diesen versendet. Brevo speichert dabei nur Versanddaten (Empfänger, Betreff, Zeitpunkt, Zustell- und Öffnungsstatus); die Speicherung einer Inhaltsvorschau ist deaktiviert.

Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

• Datensicherung: Tägliche Sicherung des gesamten Servers als Abbild bei der Hetzner Online GmbH in der EU. Die Sicherungen werden 7 Tage rollierend aufbewahrt.
• Wiederherstellbarkeit: Die Wiederherstellung aus einer Sicherung wird vierteljährlich getestet.
• Updates: Betriebssystem und Software werden regelmäßig manuell aktualisiert, in der Regel nachts außerhalb der üblichen Nutzungszeiten.
• Überwachung: Die Verfügbarkeit der Dienste wird automatisch überwacht (Uptime Kuma). Bei Ausfällen wird der Inhaber benachrichtigt.
• Schutz vor Überlastung: DDoS-Schutz durch die Infrastruktur der Hetzner Online GmbH.

Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Die technischen und organisatorischen Maßnahmen werden einmal jährlich durch den Inhaber überprüft und bei Bedarf angepasst.

Anhang 2: Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: Hosting der Server und Datensicherungen (Finnland (EU)). Grundlage: AVV nach Art. 28 DSGVO, abgeschlossen am 21.10.2025.
• Brevo GmbH, Köpenicker Str. 126, 10179 Berlin: Versand von System- und Kundenmails (Relay); Vertragspartner des Auftragsverarbeiters, Konzernmutter Brevo SAS, Paris (EU (Frankreich, Belgien); einzelne Unterauftragnehmer von Brevo in den USA (u. a. Cloudflare, Zendesk) auf Basis des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln). Grundlage: Data Processing Agreement als Teil der Brevo-Nutzungsbedingungen, akzeptiert am 10.08.2023, Einsatz für OpenBills seit 13.11.2026.

Diese Seite gibt den Vertragstext zur Information wieder. Verbindlich ist die mit den Nutzungsbedingungen angenommene Fassung.