Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO

Auftragsverarbeiter: Techno Plug, Alex Galdin, Henhöferstraße 22, 75179 Pforzheim, E-Mail business@technoplug.de („Anbieter“)
Verantwortlicher: der Kunde, der Zahlenfrieden für seinen Betrieb nutzt („Kunde“).

Der Vertrag kommt zustande, wenn der Kunde ihm bei der Registrierung oder bei der Anmeldung zustimmt. Er gilt, solange der Kunde ein Portal nutzt.

§ 1 Gegenstand, Art und Zweck

Der Anbieter stellt dem Kunden das Programm Zahlenfrieden für Rechnungen, Belege, Buchhaltung und Steuer bereit (Software als Dienst). Dabei speichert er die Daten, die der Kunde eingibt oder hochlädt, und verarbeitet sie nur, um diese Funktionen bereitzustellen.

§ 2 Art der Daten und Betroffene

Daten: Namen, Anschriften, E-Mail-Adressen, Telefonnummern, Steuer- und Kundennummern, Bankverbindungen, Rechnungs- und Zahlungsdaten, Belege und deren Inhalt, Kontoumsätze, Notizen; im privaten Bereich auf Wunsch des Kunden auch Einkommensteuerdaten.
Betroffene: der Kunde und seine Mitarbeiter mit Zugang, Kunden, Lieferanten und Geschäftspartner des Kunden.

§ 3 Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind die Nutzung der Programmfunktionen und Mitteilungen in Textform. Hält der Anbieter eine Weisung für rechtswidrig, teilt er das dem Kunden unverzüglich mit.

§ 4 Vertraulichkeit

Der Anbieter und alle Personen, die für ihn Zugriff haben, sind zur Vertraulichkeit verpflichtet. Der Anbieter sieht im Programm nur die Anzahl der Rechnungen und Ausgaben und den Zeitpunkt der letzten Anmeldung. Inhalte sieht er nur, wenn der Kunde darum bittet (z. B. zur Fehlersuche) oder ein Gesetz es verlangt. Jeder Eingriff des Anbieters in das Portal (z. B. neuer Einladungslink, Sperre, Löschung) steht im Protokoll unter „Meine Daten“.

§ 5 Sicherheit der Verarbeitung

Der Anbieter trifft die technischen und organisatorischen Maßnahmen aus Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

§ 6 Unterauftragsverarbeiter

Der Kunde genehmigt die Unterauftragsverarbeiter aus Anlage 2. Über neue oder geänderte Unterauftragsverarbeiter informiert der Anbieter mindestens vier Wochen vorher; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann kündigen. Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf dasselbe Schutzniveau.

§ 7 Unterstützung des Kunden

Der Anbieter unterstützt den Kunden bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Export), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen, soweit ihm das möglich ist. Export und Löschung kann der Kunde selbst im Programm auslösen.

§ 8 Meldung von Verletzungen

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes der Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

§ 9 Ende des Vertrags: Rückgabe und Löschung

Der Kunde kann jederzeit unter „Meine Daten“ alle Daten als ZIP herunterladen und das Konto kündigen. Nach der Kündigung bleiben die Daten 30 Tage erhalten; danach löscht der Anbieter das Portal mit allen Belegen und Sicherungen, sofern kein Gesetz die weitere Speicherung verlangt. Für die Aufbewahrung der Buchhaltungsunterlagen nach Handels- und Steuerrecht sorgt der Kunde selbst.

§ 10 Nachweise und Kontrollen

Der Anbieter stellt dem Kunden die Informationen zum Nachweis der Pflichten aus diesem Vertrag zur Verfügung und ermöglicht Überprüfungen nach Absprache, in der Regel durch schriftliche Auskunft.

§ 11 Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in der Europäischen Union statt.

§ 12 Schluss

Es gilt deutsches Recht. Änderungen bedürfen der Textform; bei wesentlichen Änderungen stimmt der Kunde bei der nächsten Anmeldung neu zu. Sollte eine Bestimmung unwirksam sein, bleibt der Rest wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

• Zutritt und Zugang: Rechenzentrum des Hosting-Anbieters mit Zutrittskontrolle; Server-Zugang nur für den Anbieter, über verschlüsselte Verbindungen.
• Zugriff: Anmeldung mit persönlichem Passwort (als Hash gespeichert), optional Zwei-Faktor-Anmeldung, Sperre nach Fehlversuchen, automatische Abmeldung, Abmeldung aller Geräte möglich.
• Trennung: Jedes Portal hat eine eigene Datenbank und einen eigenen Ordner für Belege und Sicherungen.
• Weitergabe: ausschließlich verschlüsselt (HTTPS mit HSTS); keine Inhalte von fremden Servern; strenge Content-Security-Policy.
• Eingabekontrolle: unveränderlicher Änderungsverlauf mit Zeitpunkt und Person; Protokoll der Eingriffe des Anbieters.
• Verfügbarkeit: tägliche Sicherung (AES-256-GCM verschlüsselt, 60 Tage), Export jederzeit durch den Kunden.
• Datenschutz durch Voreinstellungen: keine Analyse- oder Werbedienste, private Steuerdaten nur nach ausdrücklicher Einwilligung.
• Überprüfung: Sicherheitsupdates und regelmäßige Prüfung der Maßnahmen durch den Anbieter.

Anlage 2: Unterauftragsverarbeiter

Stand: 05.11.2026