Vereinbarung zur Auftragsverarbeitung (AVV)

1. Parteien und Einbeziehung

Verantwortlicher / Auftraggeber: das Unternehmen bzw. die Organisation, die Rechnungsmanager oder Differenzmanager aufgrund einer Bestellung, Registrierung oder sonstigen Vereinbarung mit HSD nutzt („Kunde“).

Auftragsverarbeiter / Auftragnehmer:
HSD Datenverarbeitungs-GmbH
Hauptstraße 45
56599 Leutesdorf
Deutschland

Diese Vereinbarung zur Auftragsverarbeitung („AVV“) ergänzt den zwischen dem Kunden und HSD bestehenden Vertrag über Rechnungsmanager und/oder Differenzmanager. Sie gilt, soweit HSD personenbezogene Daten im Auftrag des Kunden verarbeitet.

Die AVV kann elektronisch abgeschlossen und in den Bestell- bzw. Registrierungsprozess einbezogen werden. Bei Widersprüchen gehen die Regelungen dieser AVV für Fragen der Auftragsverarbeitung den allgemeinen Vertragsbedingungen vor.

2. Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die technische Bereitstellung, Speicherung, Übertragung, Sicherung, Strukturierung und – abhängig vom gebuchten Funktionsumfang – automatisierte Verarbeitung personenbezogener Daten innerhalb von Rechnungsmanager und Differenzmanager.

Die Verarbeitung beginnt mit Aktivierung des jeweiligen Zugangs bzw. mit der erstmaligen Verarbeitung von Kundendaten und dauert grundsätzlich bis zur Beendigung des Hauptvertrags sowie der anschließenden vertrags- und gesetzeskonformen Rückgabe oder Löschung der Daten.

3. Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zur Erbringung der vom Kunden beauftragten Softwareleistungen. Dazu können insbesondere gehören:

• Hosting und Bereitstellung der webbasierten Anwendung,
• Benutzer-, Rollen- und Zugriffsverwaltung,
• Speicherung und Verarbeitung von Stamm-, Kontakt-, Vertrags-, Beleg- und Rechnungsdaten,
• Erstellung und Verwaltung von Angeboten, Rechnungen sowie elektronischen Rechnungsformaten,
• Verwaltung von Ankauf, Verkauf, Waren-, Fahrzeug- und Bestandsdaten,
• Dokumenten- und Dateispeicherung,
• OCR- und KI-gestützte Dokumentenerkennung, soweit aktiviert,
• Erstellung von Exporten und Übergabe an vom Kunden aktivierte Schnittstellen,
• E-Mail-, SMS- oder sonstige Benachrichtigungsfunktionen, soweit aktiviert,
• Datensicherung, Fehleranalyse, Protokollierung und IT-Sicherheit.

HSD verarbeitet personenbezogene Daten nicht für eigene fachliche Zwecke, soweit HSD hinsichtlich dieser Daten als Auftragsverarbeiter tätig ist.

4. Kategorien betroffener Personen

Je nach Nutzung des jeweiligen Produkts können insbesondere folgende Personengruppen betroffen sein:

• Kunden und Interessenten des Auftraggebers,
• Lieferanten, Verkäufer, Käufer und sonstige Geschäftspartner,
• private Verkäufer bzw. Ankäufer im Rahmen von Ankaufsvorgängen,
• Mitarbeiter und Benutzer des Auftraggebers,
• Mandanten und deren Kontaktpersonen, soweit das Produkt durch eine Kanzlei eingesetzt wird,
• Rechnungsempfänger, Ansprechpartner und sonstige in Dokumenten genannte Personen.

5. Arten personenbezogener Daten

Je nach Funktionsumfang können insbesondere verarbeitet werden:

• Name, Firma, Anschrift, E-Mail-Adresse und Telefonnummer,
• Benutzer-, Rollen-, Zugriffs- und Authentifizierungsdaten,
• Kunden-, Lieferanten-, Mandanten- und Kontaktdaten,
• Vertrags-, Angebots-, Rechnungs-, Zahlungs- und Leistungsdaten,
• Fahrzeug-, FIN-, Kennzeichen-, Seriennummern-, Waren- und Bestandsdaten, soweit diese einer Person zugeordnet werden können,
• Kauf-, Ankaufs- und Verkaufsvertragsdaten,
• hochgeladene Dokumente, Bilder, Rechnungen, Belege und sonstige Dateien,
• Kommunikationsdaten einschließlich E-Mail- und SMS-Inhalten, soweit entsprechende Funktionen genutzt werden,
• technische Nutzungs-, Protokoll-, Sicherheits- und Fehlerdaten.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Standardleistung. Werden solche Daten vom Kunden dennoch verarbeitet, muss dies für den konkreten Zweck rechtlich zulässig und vom vereinbarten Leistungsumfang gedeckt sein.

6. Weisungsgebundenheit

HSD verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, soweit nicht eine Verarbeitung aufgrund einer für HSD geltenden gesetzlichen Verpflichtung erforderlich ist. In diesem Fall informiert HSD den Kunden vor der Verarbeitung über die betreffende gesetzliche Verpflichtung, soweit dies rechtlich zulässig ist.

Als dokumentierte Weisungen gelten insbesondere die Nutzung der vereinbarten Funktionen, Einstellungen und Schnittstellen durch autorisierte Benutzer sowie zusätzliche Weisungen in Textform.

Hält HSD eine Weisung für datenschutzrechtlich unzulässig, informiert HSD den Kunden unverzüglich. HSD darf die Ausführung der betreffenden Weisung bis zur Klärung aussetzen, soweit dies erforderlich ist.

7. Vertraulichkeit

HSD stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe werden auf Personen beschränkt, die diese zur Erfüllung ihrer Aufgaben benötigen.

8. Technische und organisatorische Maßnahmen

HSD trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO.

Die zum Zeitpunkt des Vertragsschlusses vorgesehenen Maßnahmen sind in Anlage 2 – Technische und organisatorische Maßnahmen (TOM) beschrieben. HSD darf Maßnahmen technisch weiterentwickeln oder durch gleichwertige bzw. bessere Maßnahmen ersetzen, sofern das Schutzniveau insgesamt nicht abgesenkt wird.

9. Unterauftragsverarbeiter

Der Kunde erteilt HSD eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern, soweit diese für die Erbringung der vereinbarten Leistungen erforderlich sind.

Die bei Erstellung dieser AVV vorgesehenen Unterauftragsverarbeiter sind in Anlage 3 aufgeführt. HSD informiert den Kunden über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern so rechtzeitig, dass der Kunde innerhalb einer angemessenen Frist Einwände aus berechtigten datenschutzrechtlichen Gründen erheben kann. Soweit nicht anders mitgeteilt, beträgt diese Frist 14 Kalendertage ab Zugang der Information.

HSD verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den für HSD nach dieser AVV geltenden Pflichten entsprechen. HSD bleibt gegenüber dem Kunden für die Erfüllung der Pflichten der von HSD eingesetzten Unterauftragsverarbeiter verantwortlich.

10. Übermittlungen in Drittländer

Eine Übermittlung personenbezogener Daten in ein Land außerhalb des Europäischen Wirtschaftsraums oder an eine internationale Organisation erfolgt nur auf dokumentierte Weisung des Kunden oder wenn sie zur Erbringung einer vereinbarten Leistung erforderlich und datenschutzrechtlich zulässig ist.

Soweit kein Angemessenheitsbeschluss besteht, stellt HSD sicher, dass ein zulässiger Transfermechanismus eingesetzt wird, insbesondere geeignete Garantien nach Kapitel V DSGVO wie Standardvertragsklauseln der Europäischen Kommission sowie erforderlichenfalls ergänzende technische oder organisatorische Schutzmaßnahmen.

11. Unterstützung bei Betroffenenrechten

HSD unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen in angemessenem Umfang bei der Erfüllung von Anträgen betroffener Personen nach Kapitel III DSGVO.

Richtet eine betroffene Person einen Antrag unmittelbar an HSD, soweit HSD nur Auftragsverarbeiter ist, leitet HSD den Antrag grundsätzlich an den Kunden weiter und beantwortet ihn nicht eigenständig, sofern der Kunde HSD hierzu nicht anweist oder eine gesetzliche Verpflichtung besteht.

12. Unterstützung bei Datenschutzpflichten des Kunden

HSD unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der HSD zur Verfügung stehenden Informationen in angemessenem Umfang bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datensicherheit, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und erforderlichen Konsultationen mit Aufsichtsbehörden.

13. Meldung von Datenschutzverletzungen

HSD informiert den Kunden unverzüglich, nachdem HSD eine Verletzung des Schutzes personenbezogener Daten festgestellt hat, die im Rahmen der Auftragsverarbeitung Kundendaten betrifft.

Die Mitteilung enthält, soweit zu diesem Zeitpunkt verfügbar, Angaben zur Art des Vorfalls, zu betroffenen Daten bzw. Personengruppen, zu wahrscheinlichen Folgen sowie zu ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Noch nicht verfügbare Informationen können ohne unangemessene Verzögerung nachgereicht werden.

14. Nachweise, Kontrollen und Audits

HSD stellt dem Kunden alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen.

Der Kunde kann in angemessenem Umfang Kontrollen durchführen oder durch einen zur Vertraulichkeit verpflichteten sachkundigen Prüfer durchführen lassen. Vorrangig können geeignete Nachweise, Dokumentationen, Zertifizierungen oder Prüfberichte verwendet werden, soweit diese für den Prüfzweck ausreichen.

Vor-Ort-Prüfungen sind mit angemessener Vorankündigung während üblicher Geschäftszeiten so durchzuführen, dass der Geschäftsbetrieb und die Sicherheit anderer Kunden nicht unnötig beeinträchtigt werden. Bei einem konkreten Datenschutzvorfall oder begründetem Verdacht auf einen wesentlichen Verstoß kann eine kürzere Vorankündigung angemessen sein.

15. Berichtigung, Löschung, Rückgabe und Datenexport

HSD berichtigt, löscht oder beschränkt Kundendaten nach dokumentierter Weisung des Kunden, soweit dies technisch möglich und rechtlich zulässig ist.

Nach Beendigung der Auftragsverarbeitung löscht oder gibt HSD nach Wahl des Kunden die im Auftrag verarbeiteten personenbezogenen Daten zurück und löscht vorhandene Kopien, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Technische Sicherungskopien können bis zur regulären Überschreibung in geschützten Backup-Zyklen verbleiben und dürfen in dieser Zeit nur zu Sicherungs- und Wiederherstellungszwecken verarbeitet werden.

Der Kunde soll vor Vertragsende die angebotenen Export- oder Downloadmöglichkeiten nutzen, wenn er Daten für eigene Aufbewahrungszwecke benötigt.

16. Pflichten des Kunden

Der Kunde ist als Verantwortlicher insbesondere verpflichtet,

• die Rechtmäßigkeit der Verarbeitung und eine erforderliche Rechtsgrundlage sicherzustellen,
• betroffene Personen ordnungsgemäß zu informieren,
• nur erforderliche und sachlich richtige Daten zu verarbeiten,
• Benutzerberechtigungen angemessen zu vergeben und zu entziehen,
• die Software nicht für rechtswidrige Verarbeitungen zu verwenden,
• HSD keine Weisungen zu erteilen, die gegen geltendes Datenschutzrecht verstoßen.

17. Verantwortlichkeit für externe Dienste des Kunden

Verbindet der Kunde eigene Konten oder Dienste Dritter – beispielsweise DATEV, eigene E-Mail-/SMTP-Konten oder sonstige externe Fachsysteme – und wird der jeweilige Drittanbieter unmittelbar im Auftrag oder in eigener Verantwortung des Kunden tätig, ist dieser Drittanbieter nicht allein dadurch Unterauftragsverarbeiter von HSD.

Soweit HSD einen Drittanbieter hingegen selbst zur Erbringung der HSD-Softwareleistung als Auftragsverarbeiter einsetzt, gilt die Regelung zu Unterauftragsverarbeitern und Anlage 3.

18. Laufzeit und Beendigung der AVV

Diese AVV tritt mit ihrer wirksamen Einbeziehung in den Hauptvertrag oder mit elektronischer Annahme in Kraft. Sie gilt für die Dauer der Auftragsverarbeitung. Verpflichtungen, die ihrer Natur nach über das Vertragsende hinaus gelten, insbesondere Vertraulichkeits- und Löschpflichten, bleiben entsprechend bestehen.

19. Schlussbestimmungen

Änderungen und Ergänzungen dieser AVV einschließlich ihrer Anlagen sollen in Textform dokumentiert werden. Elektronische Form genügt, soweit gesetzlich zulässig.

Sollten einzelne Bestimmungen dieser AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt. Zwingende gesetzliche Datenschutzvorschriften gehen vor.

---

Anlage 1 – Beschreibung der Auftragsverarbeitung

A. Rechnungsmanager

Zweck: Online-Rechnungs- und Unternehmensverwaltung einschließlich Kunden-/Leistungsdaten, Angebote, Rechnungen, Zahlungsstatus, Dokumente und – soweit aktiviert – E-Rechnungsformate und Kommunikationsfunktionen.

Betroffene Personen: insbesondere Kunden, Ansprechpartner, Lieferanten, Rechnungsempfänger, Mitarbeiter und Benutzer des Auftraggebers.

Datenarten: Stamm- und Kontaktdaten, Rechnungs- und Leistungsdaten, Zahlungsstatus, Dokumente, Kommunikations- und technische Nutzungsdaten.

B. Differenzmanager

Zweck: Verwaltung von Ankauf, Verkauf, Waren-/Fahrzeugbestand, Kauf- und Ankaufsverträgen, Rechnungen, Belegen, OCR-Erkennung, Differenzberechnungen und – soweit aktiviert – Schnittstellen-/Exportfunktionen.

Betroffene Personen: insbesondere private und gewerbliche Verkäufer, Käufer, Kunden, Lieferanten, Ansprechpartner, Mitarbeiter und Benutzer des Auftraggebers.

Datenarten: Stamm- und Kontaktdaten, Kauf-/Verkaufsdaten, Vertrags- und Rechnungsdaten, Fahrzeug-/FIN-/Seriennummerndaten, Dokumente, Bilder, Kommunikations- und technische Nutzungsdaten.

C. Dauer

Für die Laufzeit des jeweiligen Hauptvertrags und bis zur vertrags- bzw. gesetzeskonformen Rückgabe oder Löschung der im Auftrag verarbeiteten Daten.

Anlage 2 – Technische und organisatorische Maßnahmen (TOM)

1. Zugang und Berechtigungen

• rollen- und benutzerbezogene Zugriffskonzepte,
• Beschränkung administrativer Zugriffe auf berechtigte Personen,
• Verfahren zur Vergabe, Änderung und Entziehung von Berechtigungen,
• Schutz von Zugangsdaten und technische Authentifizierungsverfahren.

2. Übertragungs- und Kommunikationssicherheit

• verschlüsselte Übertragung über HTTPS/TLS für Webzugriffe und geeignete Schnittstellen,
• geschützte Verwaltung von API-Schlüsseln und sonstigen Zugangsinformationen,
• technische Schutzmaßnahmen gegen unbefugten Netzwerkzugriff.

3. Speicher- und Mandantenschutz

• logische Trennung von Kunden-/Mandantendaten innerhalb der Anwendung,
• Beschränkung von Datenzugriffen anhand von Benutzer-, Rollen- und Organisationszuordnungen,
• Nutzung der von eingesetzten Infrastruktur- und Cloud-Anbietern bereitgestellten Verschlüsselungs- und Sicherheitsmechanismen.

4. Verfügbarkeit und Wiederherstellung

• betriebliche Datensicherungs- und Wiederherstellungsverfahren,
• Überwachung wesentlicher Systemkomponenten und Fehlerzustände,
• angemessene Verfahren für Sicherheitsupdates, Patches und Wartung.

5. Protokollierung und Nachvollziehbarkeit

• technische Protokollierung sicherheits- und betriebsrelevanter Ereignisse, soweit erforderlich,
• Trennung von administrativen und normalen Benutzerfunktionen, soweit technisch vorgesehen,
• Fehler- und Ereignisanalyse zur Erkennung und Behebung von Störungen.

6. Organisation und Personal

• Verpflichtung berechtigter Personen auf Vertraulichkeit,
• Zugriff nach dem Need-to-know-Prinzip,
• regelmäßige Überprüfung und Weiterentwicklung technischer und organisatorischer Sicherheitsmaßnahmen,
• Verfahren zur Behandlung von Datenschutz- und Sicherheitsvorfällen.

7. Datenschutzfreundliche Gestaltung

• datenminimierende Ausgestaltung von Eingabefeldern und Prozessen, soweit fachlich möglich,
• Prüf- und Bestätigungsmechanismen bei automatisch erkannten oder vorgeschlagenen Daten,
• Export-, Lösch- oder Korrekturmöglichkeiten im Rahmen des jeweiligen Funktionsumfangs.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Stand: 09. September 2026. Je nach gebuchtem und aktiviertem Funktionsumfang können insbesondere folgende Unterauftragsverarbeiter eingesetzt werden:

Die von diesen Anbietern selbst eingesetzten weiteren Unterauftragnehmer richten sich nach den jeweils geltenden Auftragsverarbeitungsbedingungen und Unterauftragnehmerlisten der Anbieter. HSD stellt dem Kunden auf Anfrage die für die konkrete HSD-Leistung maßgeblichen Informationen zur Verfügung und informiert über relevante Änderungen nach Ziffer 9 dieser AVV.

Anlage 4 – Elektronische Annahme

Der Kunde kann diese AVV im Bestell-, Registrierungs- oder Kundenbereich elektronisch annehmen. Die Annahme soll mit Datum, Vertrags-/Kundenbezug und der verwendeten Fassung der AVV dokumentiert werden. Eine gesonderte handschriftliche Unterschrift ist für die elektronische Einbeziehung nicht erforderlich, soweit keine abweichende gesetzliche Form vorgeschrieben ist.