Vereinbarung zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO

Präambel

Zwischen dem Kunden der Fizard GmbH (nachfolgend „Auftraggeber“) und der Fizard GmbH, St.-Cajetan-Straße 5, 81669 München (nachfolgend „Auftragnehmer“ oder „Fizard“).

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien bei der Nutzung der Software-as-a-Service-Lösung „Fizard“ mit den Modulen DATEV-Export für Stripe, E-Rechnung für Stripe und KI-Plattform für Kanzleien. Grundlage ist der zwischen den Parteien geschlossene Vertrag nach den AGB des Auftragnehmers (nachfolgend „Hauptvertrag“).

Vereinbarung (§§ 1 bis 13)

§ 1 Parteien, Abschluss, Definitionen

(1)Diese Vereinbarung wird mit der Annahme der AGB bei der Registrierung des Auftraggebers geschlossen und, für Module nach § 5 Abs. 7 AGB, mit der Bestätigung in der Stripe-App durch einen Nutzer des Stripe-Kontos, unabhängig davon, ob ein Kundenkonto besteht (Art. 28 Abs. 9 DSGVO, elektronisches Format). Der Auftragnehmer stellt sie im Kundenkonto und in der App mit Versionsnummer und Datum zum Abruf und Download bereit und protokolliert die Annahme mit Zeitpunkt, Version, Kundenkonto oder Stripe-Konto und annehmendem Nutzer; der bestätigende Nutzer versichert, zur Vertretung des Auftraggebers beziehungsweise des Inhabers des Stripe-Kontos berechtigt zu sein. Auf Anforderung stellt der Auftragnehmer eine beidseitig unterzeichnete Fassung bereit.

(2)Die Vereinbarung gilt für alle vom Auftraggeber aktivierten Module. Die modulbezogenen Verarbeitungen sind in Anlage 1 beschrieben; sie gelten, soweit das jeweilige Modul aktiviert ist.

(3)Begriffe entsprechen den Definitionen des Art. 4 DSGVO. Unterauftragsverarbeiter sind vom Auftragnehmer eingesetzte Dritte, die personenbezogene Daten des Auftraggebers im Auftrag verarbeiten. Nicht als Unterauftragsverarbeitung gelten Nebenleistungen ohne konkreten Bezug zu den Leistungen für den Auftraggeber (etwa Telekommunikation, Post, Reinigung) sowie Leistungen von Stellen, die der Auftraggeber selbst beauftragt hat (§ 3). Drittland ist jedes Land außerhalb der EU und des EWR.

§ 2 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1)Gegenstand und Dauer. Gegenstand ist die Verarbeitung personenbezogener Daten zur Erbringung der im Hauptvertrag vereinbarten Leistungen. Die Dauer richtet sich nach der Laufzeit des Hauptvertrages beziehungsweise des jeweiligen Moduls; die Pflichten nach § 12 gelten bis zur vollständigen Löschung.

(2)Art der Verarbeitung. Abruf, Import und Empfang von Daten aus den vom Auftraggeber bezeichneten Quellsystemen und Dateien; Speicherung und Hosting; Aufbereitung, Validierung, Zuordnung und Erzeugung von Buchungssätzen, Belegen und elektronischen Rechnungen nach der Konfiguration des Auftraggebers; Übergabe und Übermittlung an die vom Auftraggeber bezeichneten Empfänger (DATEV-Bestand, Rechnungsempfänger); Bereitstellung zum Export; Löschung. Einzelheiten je Modul in Anlage 1.

(3)Ort der Verarbeitung. Die dauerhafte Speicherung und die Verarbeitung der Produktivdaten erfolgen an den in Anlage 2 ausgewiesenen Orten in Deutschland beziehungsweise im EWR. Eine Verarbeitung in Drittländern findet nur durch die in Anlage 2 genannten Unterauftragsverarbeiter in dem dort ausgewiesenen Umfang (etwa Supportzugriffe, Fehleranalyse mit bereinigten Fehlerberichten, Supportkommunikation, vorübergehende Verarbeitung bei der Auslieferung der Benutzeroberfläche und von Downloads) und nur auf Grundlage eines Übermittlungsmechanismus nach Kapitel V DSGVO statt (§ 8). Der Auftragnehmer darf Auftragsdaten zwischen seinen Anwendungen und Systemen verschieben und Anwendungen zusammenführen, sofern Verarbeitungsort, Schutzniveau und Unterauftragsverarbeiter dieser Vereinbarung entsprechen; eine Änderung der Unterauftragsverarbeiter richtet sich nach § 8.

(4)Zweck. Die Verarbeitung dient ausschließlich der vorbereitenden Finanzbuchhaltung und Rechnungsstellung des Auftraggebers. Der Auftraggeber weist den Auftragnehmer an, technische Kennzahlen der Verarbeitung (etwa Verarbeitungszeiten, Fehlerraten, Nutzungshäufigkeit von Funktionen, Anzahl von Belegen, Umsätzen und Exporten) nach einem dokumentierten Verfahren vollständig und irreversibel so zu anonymisieren, dass kein Bezug zu Personen, Auftraggebern, deren Mandanten und verbundenen Unternehmen oder geschützten Geheimnissen verbleibt; Belegbilder, Freitexte, Verwendungszwecke sowie Namen und Kennungen von Personen, Auftraggebern, deren Mandanten und verbundenen Unternehmen werden weder anonymisiert noch ausgewertet. Nur die so entstandenen anonymen Datensätze darf der Auftragnehmer zur Qualitätssicherung, für aggregierte Statistiken und zur Weiterentwicklung der vertraglichen Leistungen nutzen (§ 2 Abs. 7 AGB); bis zur Anonymisierung gelten alle Pflichten dieser Vereinbarung. Eine Verwendung personenbezogener Daten für eigene Zwecke des Auftragnehmers, insbesondere zum Training von KI-Modellen, ist untersagt, soweit der Auftragnehmer nicht gesetzlich dazu verpflichtet ist.

(5)Der Auftragnehmer trifft keine automatisierten Entscheidungen im Einzelfall im Sinne des Art. 22 DSGVO.

§ 3 Rollen und Drittdienste

(1)Der Auftraggeber ist Verantwortlicher für alle Daten, die er in die Software eingibt oder in seinem Auftrag abrufen, importieren oder erzeugen lässt. Der Auftragnehmer ist Auftragsverarbeiter.

(2)Keine Unterauftragsverarbeiter des Auftragnehmers sind die vom Auftraggeber beauftragten oder gewählten Dienstleister, mit denen er eigene Vertragsbeziehungen unterhält, insbesondere sein Zahlungsdienstleister, Kontoinformationsdienste und kontoführende Banken, die DATEV eG, seine steuerliche Beratung und die Empfänger seiner Rechnungen; der Auftragnehmer ruft Daten dort auf Weisung des Auftraggebers ab oder übermittelt Daten auf Weisung dorthin. Welche dieser Stellen ein Modul betrifft, benennen Anlage 1 je Modul und Anlage 2 Teil B.

(3)Der Auftraggeber stellt sicher, dass er zur Freigabe des Zugriffs auf diese Stellen und Quellsysteme berechtigt ist und die dort geltenden Bedingungen einhält.

(4)Auftraggeber als Auftragsverarbeiter. Handelt der Auftraggeber für die Auftragsdaten selbst als Auftragsverarbeiter eines Dritten (etwa als Buchführungsbüro oder für verbundene Unternehmen, Teil B3 Abs. 10 AGB), gilt diese Vereinbarung als Vertrag nach Art. 28 Abs. 4 DSGVO. Der Auftraggeber stellt sicher, dass der Verantwortliche den Einsatz des Auftragnehmers genehmigt hat und diese Vereinbarung den Pflichten aus seinem Vertrag mit dem Verantwortlichen entspricht; Weisungen erteilt der Auftraggeber, die Rechte des Verantwortlichen aus dieser Vereinbarung übt er für diesen aus.

§ 4 Kategorien betroffener Personen und Arten personenbezogener Daten

(1)Die Kategorien betroffener Personen und die Datenarten sind je Modul in Anlage 1 beschrieben. Zusammengefasst: Kunden, Rechnungsempfänger, Zahlungspartner, Lieferanten und Mitarbeitende des Auftraggebers sowie deren Ansprechpersonen, bei Auftraggebern mit Mandanten oder verbundenen Unternehmen (Teil B3 Abs. 10 AGB) auch die Mandanten des Auftraggebers sowie die Kontoinhaber, Zahlungspartner, Kunden, Lieferanten und Mitarbeitende der Mandanten und verbundenen Unternehmen; Nutzer des Auftraggebers; Stammdaten, Rechnungs- und Abrechnungsdaten, Belegdaten, Zahlungs- und Kontoumsatzdaten, Nutzungs- und Protokolldaten.

(2)Besondere Kategorien. Eine gezielte Auswertung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder von Daten nach Art. 10 DSGVO ist nicht Leistungszweck. Den Parteien ist bekannt, dass solche Daten in Verwendungszwecken von Kontoumsätzen, Rechnungspositionen, Buchungstexten, Belegen und Freitextfeldern enthalten sein können (etwa Mitgliedsbeiträge, Spenden, Gesundheitsleistungen); soweit sie in vertragsgemäß verarbeiteten Daten enthalten sind, werden sie von dieser Vereinbarung erfasst. Der Auftraggeber verantwortet die Voraussetzungen nach Art. 9 Abs. 2 beziehungsweise Art. 10 DSGVO; der Auftragnehmer berücksichtigt das erhöhte Risiko bei seinen Schutzmaßnahmen. Der Auftragnehmer wertet Freitexte nicht zu anderen Zwecken aus, erstellt keine Profile und wendet auf diese Daten dieselben technischen und organisatorischen Maßnahmen an wie auf alle übrigen Daten.

§ 5 Pflichten und Weisungsbefugnis des Auftraggebers

(1)Verantwortlichkeit. Der Auftraggeber ist allein verantwortlich für die Zulässigkeit der Verarbeitung, für die Wahrung der Rechte der betroffenen Personen und für die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO gegenüber den betroffenen Personen, insbesondere gegenüber seinen Kunden, Zahlungspartnern und Rechnungsempfängern.

(2)Weisungen. Der Auftraggeber hat das Recht, dokumentierte Weisungen zu erteilen. Der Hauptvertrag, diese Vereinbarung mit Anlage 1 sowie die Konfiguration und Nutzung der Software durch den Auftraggeber (insbesondere die Freigabe von Quellsystemen, die Aktivierung von Modulen, das Auslösen von Exporten, Übertragungen und Versendungen) gelten als dokumentierte Weisungen. Einzelweisungen sind in Textform an privacy@fizard.com zu richten. Weisungsberechtigt sind die im Kundenkonto als Inhaber oder Administratoren hinterlegten Personen, für Module nach § 5 Abs. 7 AGB die Nutzer des Stripe-Kontos.

(3)Mehraufwand. Führen Einzelweisungen oder Unterstützungsleistungen (§ 6 Abs. 5, § 9) zu einem Aufwand, der über die vereinbarten Leistungen hinausgeht, ist dieser angemessen zu vergüten, wenn der Auftragnehmer Umfang und Kosten vorher angekündigt und der Auftraggeber zugestimmt hat; gesetzlich geschuldete Unterstützung erbringt der Auftragnehmer unabhängig davon fristgerecht. Dies gilt nicht, wenn die Weisung oder der Unterstützungsbedarf auf einem Verstoß des Auftragnehmers beruht.

(4)Kontrollrechte. Der Auftraggeber hat das Recht zur Kontrolle der Einhaltung dieser Vereinbarung (§ 10).

§ 6 Pflichten des Auftragnehmers

(1)Weisungsgebundene Verarbeitung. Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch bei der Übermittlung in Drittländer, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet; in diesem Fall informiert er den Auftraggeber vorab, sofern dies zulässig ist.

(2)Hinweispflicht. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt, und ist berechtigt, die Durchführung bis zur Klärung auszusetzen; eine Weisung, die auch nach Bestätigung durch den Auftraggeber rechtswidrig bleibt, führt er nicht aus.

(3)Vertraulichkeit. Der Auftragnehmer verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit, auch über das Ende ihrer Tätigkeit hinaus (Art. 28 Abs. 3 lit. b DSGVO). Für Auftraggeber, die einem Berufsgeheimnis nach § 203 StGB unterliegen, gilt zusätzlich Anlage 4 (Verschwiegenheit nach § 203 StGB und § 62a StBerG).

(4)Sicherheit. Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO (§ 7, Anlage 3).

(5)Unterstützung. Der Auftragnehmer unterstützt den Auftraggeber bei der Wahrung der Betroffenenrechte (§ 9) und bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, einschließlich Datenschutz-Folgenabschätzungen und vorheriger Konsultationen. Die Vergütung richtet sich nach § 5 Abs. 3.

(6)Verzeichnis. Der Auftragnehmer führt ein Verzeichnis nach Art. 30 Abs. 2 DSGVO.

(7)Behördenanfragen. Erhält der Auftragnehmer ein Auskunfts- oder Herausgabeverlangen einer Behörde oder eines Gerichts, auch aus einem Drittland, das Auftragsdaten betrifft, prüft er dessen Rechtmäßigkeit und Verbindlichkeit und informiert den Auftraggeber unverzüglich, soweit rechtlich zulässig. Er unterstützt den Auftraggeber bei der Beantwortung und, soweit erforderlich und zumutbar, bei der Abwehr. Er gibt nur die Daten heraus, zu deren Herausgabe er nach dem Recht der Union oder eines Mitgliedstaats verpflichtet ist. Bei Ersuchen aus Drittländern prüft er insbesondere Art. 48 DSGVO und für nicht personenbezogene Daten Art. 32 der Verordnung (EU) 2023/2854; eine ausländische Anordnung begründet für sich allein keine Befugnis zur Offenlegung.

(8)Support- und Testzugriffe. Zugriffe des Supports auf Auftragsdaten erfolgen nur anlassbezogen zur Bearbeitung einer Anfrage des Auftraggebers, nach dem Prinzip der minimalen Rechte und werden im jeweiligen Vorgang dokumentiert (Person, Zeitpunkt, Organisation, Anlass). In Test- und Entwicklungsumgebungen werden keine Auftragsdaten verwendet; Einzelheiten regelt Anlage 3 (Trennungskontrolle).

(9)Zugriffe Dritter. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn Auftragsdaten von einer Pfändung, einem Antrag auf Eröffnung eines Insolvenzverfahrens über sein Vermögen oder von Ansprüchen sonstiger Dritter betroffen sind. Er weist die Beteiligten darauf hin, dass die Auftragsdaten dem Auftraggeber zustehen und nicht zu seinem Vermögen gehören. Verlangen von Behörden und Gerichten regelt Abs. 7.

§ 7 Technische und organisatorische Maßnahmen

(1)Der Auftragnehmer trifft die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen. Der Auftraggeber erhält die Maßnahmen zur Prüfung; seine gesetzlichen Verantwortlichkeiten und Kontrollrechte bleiben unberührt.

(2)Der Auftragnehmer überprüft die Wirksamkeit der Maßnahmen regelmäßig und passt sie an den Stand der Technik an. Er darf Maßnahmen weiterentwickeln oder durch gleichwertige ersetzen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen kündigt er mit angemessener Frist, in der Regel 30 Tage, an.

§ 8 Unterauftragsverarbeiter und Drittlandübermittlung

(1)Allgemeine Genehmigung. Der Auftraggeber genehmigt allgemein den Einsatz von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Die bei Abschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 Teil A mit Sitz, Verarbeitungsort, Leistung, betroffenen Modulen und Übermittlungsmechanismus aufgeführt und gelten als genehmigt. Die Genehmigung umfasst die nachgelagerten Unterauftragsverarbeiter dieser Anbieter nach den Anbieterlisten, die in der Liste nach Absatz 2 verlinkt sind.

(2)Änderungen. Der Auftragnehmer führt die Liste öffentlich unter trust.fizard.com/subprozessoren und informiert den Auftraggeber über beabsichtigte Hinzuziehungen oder Ersetzungen in Textform an die nach § 13 Abs. 3 maßgebliche Kontaktadresse mindestens 30 Tage vor dem Einsatz. Neue oder ersetzende Unterauftragsverarbeiter setzt der Auftragnehmer erst nach Ablauf der Informationsfrist und ohne fristgerechten Widerspruch ein. Bei dringenden Sicherheits- oder Betriebserfordernissen (etwa dem Ausfall eines Unterauftragsverarbeiters) kann er vorübergehend einen bereits in Anlage 2 genehmigten Unterauftragsverarbeiter für die betroffene Leistung einsetzen oder vorab die ausdrückliche Genehmigung des Auftraggebers einholen; er informiert den Auftraggeber unverzüglich unter Angabe der Gründe.

(3)Widerspruch. Der Auftraggeber kann der Änderung innerhalb von 30 Tagen nach Zugang der Information in Textform widersprechen; der Widerspruch soll die datenschutzrechtlichen Gründe benennen. Widerspricht er nicht, gilt die Änderung als genehmigt. Im Fall eines Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung; bis dahin setzt der Auftragnehmer den betroffenen Unterauftragsverarbeiter für Auftragsdaten des widersprechenden Auftraggebers nicht ein; ist die Verarbeitung ohne ihn nicht fortführbar, setzt er sie insoweit vorübergehend aus. Gelingt eine Lösung nicht binnen 30 Tagen, kann der Auftraggeber das betroffene Modul oder den Hauptvertrag mit sofortiger Wirkung kündigen; bereits gezahlte Entgelte werden anteilig erstattet. Der Auftragnehmer kann das betroffene Modul in diesem Fall mit einer Frist von einem Monat kündigen.

(4)Verpflichtung der Unterauftragsverarbeiter. Der Auftragnehmer erlegt Unterauftragsverarbeitern vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, wie sie in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO). Er bleibt gegenüber dem Auftraggeber für die Erfüllung der Pflichten der Unterauftragsverarbeiter verantwortlich. Auf Anforderung stellt er dem Auftraggeber Informationen über die Verträge mit Unterauftragsverarbeitern und über deren nachgelagerte Unterauftragsverarbeiter bereit, soweit sie für die Prüfung der Garantien erforderlich sind.

(5)Drittlandübermittlung. Eine Übermittlung in Drittländer erfolgt nur auf Grundlage eines Übermittlungsmechanismus nach Kapitel V DSGVO: (a) eines Angemessenheitsbeschlusses, insbesondere für Empfänger in den USA, die nach dem EU-US Data Privacy Framework zertifiziert sind; (b) andernfalls der Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 3), ergänzt um eine dokumentierte Risikoprüfung (Transfer Impact Assessment) und erforderliche zusätzliche Maßnahmen. Mit US-Unterauftragsverarbeitern vereinbart der Auftragnehmer die Standardvertragsklauseln auch dann, wenn sie nach dem Data Privacy Framework zertifiziert sind. Bei Unterauftragsverarbeitern mit Sitz im EWR, die Konzernunternehmen in Drittländern einsetzen, stützt sich die Übermittlung auf die von diesen vereinbarten Standardvertragsklauseln. Die Übermittlungsmechanismen je Unterauftragsverarbeiter ergeben sich aus Anlage 2; auf Anforderung stellt der Auftragnehmer eine Übermittlungsübersicht und die Risikoprüfung bereit. Entfällt ein Übermittlungsmechanismus oder wird er von einem Gericht oder einer Aufsichtsbehörde beanstandet, setzt der Auftragnehmer die betroffene Übermittlung aus, bis ein anderer tragfähiger Mechanismus mit dokumentierter Risikoprüfung und den erforderlichen zusätzlichen Maßnahmen besteht, und informiert den Auftraggeber darüber unverzüglich in Textform; Absatz 3 gilt entsprechend.

§ 9 Rechte der betroffenen Personen

(1)Die Bearbeitung von Anfragen betroffener Personen (Art. 15 bis 22 DSGVO) obliegt dem Auftraggeber.

(2)Der Auftragnehmer ermöglicht dem Auftraggeber, Anfragen vorrangig über Funktionen der Software selbst zu bearbeiten (Suche, Export, Berichtigung, Löschung). Soweit dies nicht möglich ist, wird der Auftragnehmer auf dokumentierte Weisung tätig, unverzüglich und spätestens innerhalb von fünf Arbeitstagen nach Anforderung.

(3)Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, soweit er hierzu nicht gesetzlich verpflichtet ist.

(4)Die Vergütung richtet sich nach § 5 Abs. 3.

§ 10 Nachweise und Kontrollen

(1)Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung.

(2)Standardnachweise. Der Nachweis erfolgt vorrangig durch aktuelle Dokumentationen: Selbstauskünfte des Auftragnehmers und die Dokumentation der Maßnahmen nach Anlage 3, Zertifikate und Prüfberichte seiner Infrastrukturanbieter (je nach Anbieter ISO/IEC 27001, SOC 2 oder BSI C5, anerkannte Prüfstandards für Informationssicherheit) sowie Fernprüfungen.

(3)Prüfungen vor Ort. Der Auftraggeber kann nach eigener Einschätzung, insbesondere wenn die Standardnachweise nach Absatz 2 aus seiner Sicht nicht ausreichen oder ein begründeter Anlass besteht (etwa eine Datenschutzverletzung oder eine behördliche Anordnung), selbst oder durch einen zur Verschwiegenheit verpflichteten, sachkundigen Dritten, der nicht im Wettbewerb zum Auftragnehmer steht, Prüfungen vor Ort durchführen. Prüfungen werden mit angemessener Frist, in der Regel 30 Tage, bei begründetem dringendem Anlass auch kurzfristig, angekündigt, finden zu den üblichen Geschäftszeiten statt, stören den Betrieb nicht unangemessen und sind ohne besonderen Anlass auf eine je Kalenderjahr begrenzt. Prüfungen bei Unterauftragsverarbeitern erfolgen im Rahmen der dort bestehenden Prüfrechte des Auftragnehmers (Prüfberichte, Zertifikate, Fragebögen).

(4)Vertraulichkeit und Kosten. Der Auftraggeber behandelt erlangte Informationen vertraulich und trägt seine eigenen Kosten. Für Prüfungen, die über eine Prüfung je Kalenderjahr hinausgehen oder ohne besonderen Anlass mehr als einen Personentag Unterstützung des Auftragnehmers erfordern, kann der Auftragnehmer eine angemessene Vergütung verlangen, es sei denn, die Prüfung deckt erhebliche Verstöße des Auftragnehmers auf.

(5)Aufsichtsbehörde. Der Auftragnehmer duldet Kontrollen der für den Auftraggeber zuständigen Aufsichtsbehörde im Rahmen ihrer gesetzlichen Befugnisse, wirkt an ihnen mit und informiert den Auftraggeber über Kontrollen, die Auftragsdaten betreffen.

§ 11 Meldung von Datenschutzverletzungen

(1)Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, unverzüglich nach Kenntniserlangung, in der Regel innerhalb von 24 Stunden und spätestens innerhalb von 48 Stunden, an die nach § 13 Abs. 3 maßgebliche Kontaktadresse.

(2)Die Meldung enthält die verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktstelle. Liegen nicht alle Angaben vor, werden sie ohne unangemessene Verzögerung nachgereicht, bis ein Abschlussbericht vorliegt.

(3)Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung der Folgen und unterstützt den Auftraggeber bei dessen Pflichten nach Art. 33 und 34 DSGVO. Meldungen an Aufsichtsbehörden und an betroffene Personen nimmt der Auftraggeber vor; der Auftragnehmer meldet nur auf dessen Weisung oder aufgrund einer eigenen gesetzlichen Pflicht. Meldepflichten des Auftragnehmers gegenüber Dritten, etwa gegenüber Stripe nach den Bedingungen für Stripe-Apps, bleiben unberührt; der Auftragnehmer stimmt Inhalte solcher Meldungen, soweit möglich, mit dem Auftraggeber ab.

§ 12 Rückgabe und Löschung der Daten

(1)Wahlrecht. Nach Beendigung des Hauptvertrages oder eines Moduls gibt der Auftragnehmer die betroffenen Auftragsdaten nach Wahl des Auftraggebers zurück oder löscht sie, soweit keine gesetzliche Speicherpflicht des Auftragnehmers besteht. Die Wahl kann der Auftraggeber bis zum Ablauf der Abrufphase ausüben.

(2)Rückgabe. Die Rückgabe erfolgt durch die Exportfunktionen der Software und auf Anfrage durch einen vollständigen Export nach Anlage C der AGB, jeweils während der Laufzeit, des Übergangszeitraums bei einem Wechsel, des Lesezugriffs nach Modulende und der im Hauptvertrag vereinbarten Abrufphase von mindestens 30 Kalendertagen (§ 12 AGB), in strukturierten, gängigen und maschinenlesbaren Formaten. Ein Zurückbehaltungsrecht an Auftragsdaten steht dem Auftragnehmer nicht zu.

(3)Löschung. Die Auftragsdaten eines beendeten Moduls löscht der Auftragnehmer auf Weisung des Auftraggebers jederzeit. Verlangt der Auftraggeber keine Löschung, weist er den Auftragnehmer hiermit an, die Daten des beendeten Moduls zum Abruf, zum Export, zum Nachweis und für eine Reaktivierung im Lesezugriff bereitzuhalten (Bereithaltung zum Abruf); diese Weisung endet mit einer Löschweisung, der Löschung des Kundenkontos oder der Beendigung des Hauptvertrages. Nach einem erfolgreich abgeschlossenen Anbieterwechsel gelten die Löschfristen des § 12 Abs. 5 AGB. Nach Beendigung des Hauptvertrages oder auf Verlangen der Löschung des Kundenkontos löscht er alle Auftragsdaten nach Ablauf der Abrufphase von 30 Kalendertagen unwiederbringlich aus den Produktivsystemen, spätestens 30 Tage nach deren Ablauf. Für Module nach § 5 Abs. 7 AGB gilt an Stelle des Lesezugriffs und unabhängig davon, ob ein Kundenkonto besteht: Nach der Deinstallation der App bleiben die Auftragsdaten des Moduls 30 Tage zum Abruf verfügbar und werden nach Ablauf der Abrufphase gelöscht, spätestens 90 Tage nach der Deinstallation, auf Weisung früher. Widerruft der Auftraggeber die Freigabe eines Quellsystems (Stripe-App, Qonto, finAPI), löscht der Auftragnehmer die daraus stammenden Zugriffsberechtigungen unverzüglich; für die daraus bezogenen Daten gilt Satz 1, sofern das Modul nicht mit einer anderen Quelle fortgeführt wird.

(4)Sicherungskopien und Protokolle. In Sicherungskopien enthaltene Daten werden im Rahmen des regulären Rotationszyklus von längstens 100 Tagen (Datenbanken höchstens 14 Tage, Dateispeicher 100 Tage) überschrieben; die Höchstfrist gilt auch für manuelle Sicherungen und Sicherungen vor Releases, und nach einer Wiederherstellung wendet der Auftragnehmer zwischenzeitlich ausgeführte Löschungen erneut an, bevor die Daten produktiv bereitgestellt werden; bis dahin sind sie logisch getrennt und gegen unberechtigten Zugriff geschützt und werden nicht wiederhergestellt, es sei denn zur Wiederherstellung des Dienstes nach einem Ausfall. Technische Protokolle und Fehlerberichte mit Kennungen des Auftraggebers werden spätestens zwölf Monate nach ihrer Entstehung gelöscht, im Übrigen nach den Fristen in Anlage 3 und in der Datenschutzerklärung.

(5)Bestätigung. Auf Anforderung bestätigt der Auftragnehmer die Löschung in Textform unter Angabe des Zeitpunkts und der betroffenen Systeme.

(6)Ausnahmen. Gesetzliche Aufbewahrungspflichten des Auftragnehmers betreffen allein seine eigenen Geschäftsunterlagen (etwa Rechnungen an den Auftraggeber), nicht die Auftragsdaten. Konfigurationsdaten ohne Personenbezug bleiben nach § 11 Abs. 4 AGB gespeichert, bis der Auftraggeber ihre Löschung verlangt; eigene personenbezogene Vertrags-, Abrechnungs- und Nachweisdaten speichert der Auftragnehmer nur für die in der Datenschutzerklärung bezeichneten Zwecke und Fristen.

§ 13 Haftung, Schlussbestimmungen

(1)Haftung. Für die Haftung der Parteien im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrages; sie gelten nicht für Schäden, die eine Partei durch Vorsatz oder grobe Fahrlässigkeit verursacht hat. Die gesetzliche Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt. Geldbußen, die gegen eine Partei wegen eigener Verstöße verhängt werden, trägt diese Partei.

(2)Rangfolge. Bei Widersprüchen gehen die Regelungen dieser Vereinbarung in datenschutzrechtlichen Fragen dem Hauptvertrag vor.

(3)Kontaktstellen. Ansprechpartner des Auftragnehmers für Datenschutz: privacy@fizard.com. Der Auftraggeber hinterlegt im Kundenkonto eine Kontaktadresse für Datenschutzmeldungen und hält sie aktuell; für Module nach § 5 Abs. 7 AGB gilt die in Teil B der AGB bestimmte E-Mail-Adresse, bei Verbindung mit einem Kundenkonto auch dessen Kontaktadresse.

(4)Recht und Gerichtsstand. Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist München, sofern der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

(5)Änderungen. Änderungen dieser Vereinbarung bedürfen der Textform; sie können durch Bestätigung im Kundenkonto oder in der App erfolgen. Für untergeordnete Anpassungen durch den Auftragnehmer (redaktionelle Änderungen, Anpassungen an Gesetz und Rechtsprechung, Kontaktdaten) gilt die Zustimmungsfiktion des § 15 Abs. 3 AGB entsprechend; für alle übrigen Änderungen gilt das dort geregelte Angebotsverfahren entsprechend. Änderungen der Anlagen 2 und 3 richten sich nach § 7 Abs. 2 und § 8 Abs. 2.

(6)Salvatorische Klausel. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 – Verarbeitungsbeschreibung je Modul

1.0 Modulübergreifend: Kundenkonto, Nutzer, Support

Anlage 2 – Unterauftragsverarbeiter und Dienstleister des Auftraggebers

Die genehmigten Unterauftragsverarbeiter (Teil A), die Dienstleister des Auftraggebers (Teil B) und das Änderungsverfahren (Teil C) sind unter trust.fizard.com/subprozessoren abrufbar. Die Liste in der bei Abschluss dieser Vereinbarung gültigen Fassung ist Bestandteil dieser Vereinbarung; Änderungen richten sich nach § 8 Abs. 2 und 3.

Anlage 3 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand 17. September 2026. Die Maßnahmen beruhen auf einer regelmäßigen Risikoanalyse, die die Sensibilität von Finanzdaten berücksichtigt, und orientieren sich an ISO/IEC 27001 und den BSI-Standards. Die physische Sicherheit der Rechenzentren gewährleisten die zertifizierten Infrastrukturanbieter (je nach Anbieter ISO/IEC 27001, SOC 2 oder BSI C5), deren Nachweise auf Anforderung bereitgestellt werden.

1. Vertraulichkeit

• Zutrittskontrolle: Rechenzentren mit mehrstufigen Sicherheitszonen, Zugangskontrollen und Überwachung durch die Infrastrukturanbieter; eigene Standorte und Remote-Arbeitsplätze mit Zutrittsregelung, Sperrpflicht für Endgeräte und Clean-Desk-Regel; keine kritische Infrastruktur vor Ort.
• Zugangskontrolle: eindeutige Benutzerkennungen, Passwortrichtlinien nach dem Stand der Technik mit Passwortmanager, Multi-Faktor-Authentifizierung für die Konsolen der Infrastrukturanbieter und für Remote-Zugriffe; Zugang zum Administrationsbereich der Software nur für benannte Mitarbeitende mit individuellen Zugangsdaten nach der Passwortrichtlinie, protokolliert; zentrale Zugangsverwaltung; Endgeräte mit Festplattenverschlüsselung, Patch-Management und automatischer Sperre; Verpflichtung aller Personen mit Zugriff, auch externer Entwickler, in Textform auf Vertraulichkeit und Datenschutz; dokumentierter Offboarding-Prozess mit sofortiger Sperrung. Für Kundenkonten stehen Passwortregeln (Mindestlänge, Prüfung auf verbreitete und ähnliche Passwörter), E-Mail-Verifizierung und eine Drosselung von Registrierungen je IP-Adresse zur Verfügung; in app.fizard.ai zusätzlich eine Zwei-Faktor-Authentifizierung (zeitbasierte Einmalpasswörter, Wiederherstellungscodes) mit Sitzungsübersicht.
• Netzwerksicherheit: Datenbanken und Zwischenspeicher sind nicht aus dem öffentlichen Internet erreichbar, sondern nur mit individuellen Zugangsdaten und über verschlüsselte Verbindungen; der Zugriff wird durch Firewall-Regeln beschränkt; Transportverschlüsselung erzwungen (HSTS), sichere Cookie-Attribute, CSRF-Schutz, Ratenbegrenzung, signaturgeprüfte Webhooks.
• Zugriffskontrolle: rollenbasiertes Berechtigungskonzept nach dem Prinzip minimaler Rechte; administrative Berechtigungen beschränkt auf benannte Personen und erforderliche Aufgaben, Vergabe und Entziehung dokumentiert und regelmäßig geprüft, Änderungen an Produktivsystemen und Infrastruktur werden versioniert und protokolliert; direkter Zugriff auf Produktivdaten nur anlassbezogen und dokumentiert (§ 6 Abs. 8); besondere Zugriffsbeschränkung für Gehalts- und Kontoumsatzdaten im Support; mindestens jährliche Überprüfung aller Berechtigungen.
• Trennungskontrolle: logische Trennung der Daten der Auftraggeber auf Anwendungsebene (Mandantentrennung); strikte Trennung von Entwicklungs-, Test- und Produktivumgebungen; in Testumgebungen ausschließlich synthetische oder irreversibel anonymisierte Daten; zur Eingrenzung produktionskritischer Vorfälle können einzelne Datensätze vorübergehend in einer gesicherten Analyseumgebung verwendet werden, protokolliert und binnen 72 Stunden nach Behebung gelöscht.
• Pseudonymisierung: die an Analysedienste übermittelten Felder von Fehlerereignissen, Protokollen und Ablaufdaten sind abschließend festgelegt (Positivliste); Inhaltsdaten, Geheimnisse und nicht erforderliche Identifikatoren werden vor der Übermittlung ausgeschlossen; keine Sitzungsaufzeichnung.

2. Integrität

• Verschlüsselung: Übertragung ausschließlich über TLS in aktuellen Profilen; Speicherung in Datenbanken, Objektspeichern und Sicherungskopien mit starker Verschlüsselung (AES-256); Secrets werden zentral verwaltet und zur Laufzeit injiziert, mit Rotation bei Bedarf und bei Kompromittierung; Zugriffsberechtigungen zu Quellsystemen (Qonto-Schlüssel, finAPI-Zugangsdaten, DATEV-Berechtigungen) werden mit einem symmetrischen Verfahren verschlüsselt gespeichert und nur serverseitig verwendet; für Stripe werden keine Kundenschlüssel gespeichert (App-Berechtigung); administrativer Zugriff nur über verschlüsselte Protokolle mit starker Authentifizierung.
• Eingabekontrolle: Protokollierung wesentlicher Aktionen in der Anwendung (Anmeldungen, Freigaben, Exporte, Importe, Übertragungen, Versand) und von Änderungen an der Infrastruktur; die Protokolle tragen einen Zeitstempel und, soweit die Aktion von einem Nutzer ausgelöst wurde, den handelnden Nutzer, werden von den Anwendungen geschrieben und können über die Oberfläche nicht verändert werden; Aufbewahrung zweck- und risikobasiert nach Löschkonzept.
• Datenintegrität der Verarbeitung: Abgleich der Exporte mit Saldenberichten der Quellsysteme; Validierung erzeugter Dateien gegen die Zielspezifikationen (DATEV-Format, EN 16931); Versionierung der Konfiguration.

3. Verfügbarkeit und Belastbarkeit

• Hochverfügbare, verwaltete Dienste mit Schutz vor Überlastangriffen; automatisierte Überwachung mit Alarmierung der zuständigen Personen, Reaktionszeiten nach Anlage A der AGB; tägliche automatische Sicherungen der Datenbanken in Frankfurt (app.fizard.com: 14 Tage Aufbewahrung, zusätzliche Sicherung vor Datenbankänderungen durch Releases, längstens 100 Tage aufbewahrt); versionierte Objektspeicher (app.fizard.com: Lebenszyklusregel 30 Tage für gelöschte Versionen, wöchentliche Sicherung mit 100 Tagen Aufbewahrung).
• Wiederherstellbarkeit: Wiederherstellung aus den automatischen Sicherungen der verwalteten Dienste; mindestens jährlicher Test der Wiederherstellung aus Sicherungen.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Vorfallmanagement mit definierten Prozessen zur Erkennung, Analyse, Behebung und Meldung (Fristen nach § 11); Schwachstellenmanagement: Prüfung von Abhängigkeiten auf bekannte Schwachstellen und zeitnahe Einspielung von Sicherheitsupdates, Code-Reviews vor der Auslieferung; jährliche Sensibilisierung aller Mitarbeitenden zu Datenschutz und Informationssicherheit; Datenschutzmanagement mit Verzeichnis der Verarbeitungstätigkeiten und Löschkonzept.
• KI-gestützte Funktionen: Übermittlung nur der für den Vorschlag erforderlichen, minimierten Daten an den KI-Anbieter; vertraglicher Ausschluss der Nutzung zu Trainingszwecken; keine Speicherung der Eingaben über die Verarbeitung hinaus, mit Ausnahme einer Zwischenspeicherung zur Missbrauchserkennung beim KI-Anbieter von höchstens 90 Tagen; Protokollierung der Aufrufe; Ausgaben werden ausschließlich als Vorschläge angezeigt und erst nach Prüfung durch den Auftraggeber wirksam; regelmäßige Bewertung der Vorschlagsqualität.

5. Auftragskontrolle

• Sorgfältige Auswahl anhand von Sicherheitsstandards und Zertifikaten und vertragliche Bindung aller Unterauftragsverarbeiter nach § 8; Remote-Support durch Unterauftragsverarbeiter nur anlassbezogen mit starker Authentifizierung und Protokollierung.

Anlage 4 – Verschwiegenheit für Berufsgeheimnisträger (§ 203 StGB, § 62a StBerG)

Diese Anlage gilt, wenn der Auftraggeber als Steuerberater, Steuerbevollmächtigter, Wirtschaftsprüfer, vereidigter Buchprüfer, Rechtsanwalt oder in anderer Weise einem Berufsgeheimnis nach § 203 Abs. 1 StGB unterliegt oder eine Berufsausübungsgesellschaft solcher Berufsträger ist. Sie wird zusammen mit der AVV in Textform geschlossen (§ 62a Abs. 3 StBerG, § 43e Abs. 3 BRAO). Ob eine Einwilligung des Mandanten nach § 62a Abs. 5 StBerG erforderlich ist, beurteilt der Auftraggeber; diese Anlage gilt nach § 62a Abs. 6 StBerG auch dann.

(1)Stellung des Auftragnehmers. Der Auftragnehmer ist sonstige mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB und Dienstleister im Sinne des § 62a StBerG. Er verpflichtet sich, alle Geheimnisse, die ihm bei der Leistungserbringung bekannt werden, insbesondere Mandatsverhältnisse, Namen, Kontoumsätze, Belege, Buchungsdaten und alle weiteren Auftragsdaten des Auftraggebers und seiner Mandanten, zeitlich unbegrenzt geheim zu halten und ausschließlich zur Erbringung der vertraglichen Leistungen zu verwenden.

(2)Belehrung. Der Auftragnehmer ist darüber belehrt, dass die unbefugte Offenbarung eines Geheimnisses, das ihm bei der Leistungserbringung bekannt geworden ist, nach § 203 Abs. 4 Satz 1 StGB mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bedroht ist. Die unbefugte Verwertung eines solchen Geheimnisses ist nach § 204 StGB mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bedroht. Nach § 203 Abs. 4 Satz 2 Nr. 2 StGB macht sich der Auftragnehmer auch strafbar, wenn er eine weitere mitwirkende Person nicht zur Geheimhaltung verpflichtet hat und diese ein Geheimnis unbefugt offenbart. Die für ihn handelnden Personen werden über diese Voraussetzungen belehrt.

(3)Eigene Mitarbeitende. Der Auftragnehmer verpflichtet alle Personen, die bei ihm mit der Leistungserbringung befasst sind, einschließlich freier Mitarbeitender, vor Aufnahme ihrer Tätigkeit in Textform zur Verschwiegenheit und belehrt sie über die strafrechtlichen Folgen einer Verletzung. Nachweise stellt der Auftragnehmer auf Anforderung bereit.

(4)Weitere mitwirkende Personen. Weitere Personen, insbesondere die in Anlage 2 genannten Unterauftragsverarbeiter, zieht der Auftragnehmer nur hinzu, soweit dies für die Leistungserbringung erforderlich ist, und nur, wenn er sie in Textform zur Geheimhaltung verpflichtet hat; bei Unterauftragsverarbeitern kann die Verpflichtung Bestandteil des Vertrags nach § 8 Abs. 4 sein, sofern sie die Vertraulichkeit der zugänglich werdenden Auftragsdaten, die Beschränkung auf erforderliche Zugriffe und die entsprechende Verpflichtung weiterer Personen erfasst (§ 203 Abs. 4 Satz 2 Nr. 2 StGB, § 62a Abs. 3 Nr. 3 StBerG). Die dauerhafte Speicherung der Auftragsdaten erfolgt in Rechenzentren in Deutschland. Dienstleistungen aus dem Ausland (Verarbeitungsorte: § 2 Abs. 3) setzt der Auftragnehmer für Geheimnisse nur ein, wenn die Voraussetzungen des § 62a Abs. 4 StBerG oder der entsprechenden berufsrechtlichen Vorschrift erfüllt und dokumentiert sind; die Dokumentation umfasst die rechtlichen, vertraglichen und technischen Maßnahmen für einen vergleichbaren Geheimnisschutz einschließlich der Schlüsselverwaltung und möglicher Klartextzugriffe und wird dem Auftraggeber auf Anforderung bereitgestellt; eine Genehmigung nach § 8 ersetzt diese Prüfung nicht. Der Auftragnehmer fordert über Slack und E-Mail keine Geheimnisse an und übermittelt dort keine; Belege und Kontoumsätze werden ausschließlich über die Software bereitgestellt. Fehlerberichte werden vor der Übermittlung von Auftragsdaten bereinigt.

(5)Weisungen und Zugriff. Der Auftragnehmer nimmt Geheimnisse nur zur Kenntnis, soweit dies für die Leistungserbringung nach den Weisungen des Auftraggebers erforderlich ist; Zugriffe erfolgen nach dem Prinzip der minimalen Rechte und werden dokumentiert (§ 6 Abs. 8).

(6)Ersuchen Dritter. Ersuchen Dritter, auch von Behörden und Gerichten, auf Herausgabe oder Auskunft über Geheimnisse behandelt der Auftragnehmer nach § 6 Abs. 7 und 9; auf Zeugnisverweigerungsrechte und Beschlagnahmeverbote, die dem Auftraggeber zustehen, weist er hin.

(7)Kündigungsrecht. Ist die Einhaltung dieser Anlage nicht gewährleistet, kann der Auftraggeber den Hauptvertrag oder das betroffene Modul mit sofortiger Wirkung kündigen (§ 62a Abs. 2 StBerG); bereits gezahlte Entgelte werden anteilig erstattet, § 12 gilt.