Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

§ 1 Gegenstand und Dauer des Vertrags

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Grundlage der Beta-AGB (nachfolgend „Hauptvertrag“) die Software Tantiemen-Abrechnung.de zur Erstellung und Verwaltung von Abrechnungen und Gutschriften zur Verfügung. Dabei verarbeitet er personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen.

(2) Dieser AVV gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet.

(3) Nicht Gegenstand dieses AVV ist die Verarbeitung der Konto- und Nutzungsdaten des Verantwortlichen selbst, für die der Auftragsverarbeiter eigenständig verantwortlich ist (siehe Datenschutzerklärung).

§ 2 Art und Zweck der Verarbeitung, Art der Daten und Kreis der Betroffenen

(1) Art und Zweck der Verarbeitung: Speicherung, Organisation, Strukturierung, Berechnung und Bereitstellung der vom Verantwortlichen eingegebenen oder hochgeladenen Daten sowie Erstellung von Gutschriften und Verkaufsberichten als PDF-Dokumente, jeweils zur Nutzung der Software-Funktionen durch den Verantwortlichen.

(2) Art der Daten:

• Stamm- und Kontaktdaten (Name, Firma, Anschrift, E-Mail-Adresse)
• Steuer- und Zahlungsdaten (Steuernummer bzw. USt-IdNr., steuerlicher Status, Bankverbindung)
• Abrechnungsdaten (Projekt- und Partnerzuordnung, Beteiligungsquoten, Umsätze, Tantiemen- und Gutschriftsbeträge, Abrechnungszeiträume)
• Angaben aus hochgeladenen Berichten (Titel, Autor, ISBN, Distributor- und Kontokennungen, Verkaufszahlen und -beträge)

(3) Betroffene Personen: Partner des Verantwortlichen (Sprecher, Autoren und sonstige Rechteinhaber), deren Ansprechpartner sowie die in hochgeladenen Berichten genannten Autoren und Sprecher.

(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet. Der Verantwortliche darf solche Daten nicht in die Software einbringen.

§ 3 Rechte und Pflichten des Verantwortlichen, Weisungen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung (insbesondere für das Vorliegen einer Rechtsgrundlage und die Erfüllung der Informationspflichten gegenüber den Betroffenen) sowie für die Wahrung der Betroffenenrechte verantwortlich.

(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(3) Weisungen werden grundsätzlich durch die Nutzung der Software-Funktionen erteilt (z. B. Eingabe, Änderung oder Löschung von Daten). Darüber hinausgehende Weisungen erteilt der Verantwortliche in Textform.

(4) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der Weisung bis zu ihrer Bestätigung oder Änderung auszusetzen.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Kapitel III DSGVO). Wendet sich eine betroffene Person unmittelbar an ihn, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(4) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und stellt die für eine Meldung erforderlichen Informationen zur Verfügung (Art. 33 Abs. 2 DSGVO).

(5) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Überprüfungen sind rechtzeitig anzukündigen und dürfen den Betrieb nicht unverhältnismäßig stören.

§ 5 Technische und organisatorische Maßnahmen (TOM)

(1) Der Auftragsverarbeiter hat unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung geeignete technische und organisatorische Maßnahmen getroffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO). Die Maßnahmen sind in Anlage 1 beschrieben und Bestandteil dieses AVV.

(2) Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen regelmäßig und darf sie an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverhältnisse

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die in Anlage 2 genannten Unterauftragsverarbeiter sind bei Vertragsschluss genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen rechtzeitig vorab in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; wird keine Einigung erzielt, kann er den Hauptvertrag kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zur Einhaltung derselben Datenschutzpflichten, die in diesem AVV festgelegt sind, und haftet gegenüber dem Verantwortlichen für deren Einhaltung (Art. 28 Abs. 4 DSGVO).

(4) Eine Übermittlung personenbezogener Daten in ein Drittland erfolgt nur, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Die hierfür bestehenden Garantien sind in Anlage 2 genannt.

§ 7 Löschung und Rückgabe von Daten

(1) Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten zurück oder löscht sie und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht.

(2) Der Verantwortliche kann die in der Software erzeugten Dokumente jederzeit herunterladen und weitere Daten vor der Löschung in Textform in einem gängigen, maschinenlesbaren Format anfordern.

(3) Löscht der Verantwortliche sein Nutzerkonto in den Einstellungen der Software, werden alle zugehörigen Daten einschließlich hochgeladener Dateien und erzeugter Dokumente unwiderruflich gelöscht; dies gilt als Wahl der Löschung. Es verbleibt lediglich ein technischer Datensatz ohne Namen und E-Mail-Adresse (Nutzer-ID sowie Zeitpunkte der Anlage und Löschung).

(4) Endet der Hauptvertrag auf andere Weise, löscht der Auftragsverarbeiter die Daten unverzüglich nach Vertragsende, sofern der Verantwortliche nicht zuvor die Rückgabe angefordert hat. Sicherungskopien werden im Rahmen der regulären Backup-Rotation überschrieben.

§ 8 Haftung und Schlussbestimmungen

(1) Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der Beta-AGB.

(2) Bei Widersprüchen zwischen diesem AVV und den Beta-AGB geht dieser AVV vor, soweit es um die Verarbeitung personenbezogener Daten geht. Im Übrigen gelten die Beta-AGB, insbesondere zu anwendbarem Recht und Gerichtsstand.

Anlage 1: Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft folgende technische und organisatorische Maßnahmen (Art. 32 DSGVO), um die Sicherheit der verarbeiteten Daten in der genutzten Infrastruktur zu gewährleisten:

1. 1. Zutrittskontrolle (Schutz vor unbefugtem physischem Zutritt)

   Die Software wird in Cloud-Rechenzentren der Unterauftragsverarbeiter betrieben (Anlage 2). Diese verfügen über strenge physische Sicherheitsmaßnahmen wie Zutrittskontrollen, Videoüberwachung und Sicherheitspersonal.

   Die Daten werden in Rechenzentren innerhalb der Europäischen Union gespeichert und verarbeitet.

2. 2. Zugangskontrolle (Schutz vor unbefugter Systemnutzung)

   Nutzer melden sich mit E-Mail-Adresse und Passwort an (Mindestlänge 8 Zeichen). Passwörter werden ausschließlich als Hash gespeichert.

   Der Zugang des Auftragsverarbeiters zu den Verwaltungsoberflächen (Vercel, Supabase) ist durch sichere Passwörter und Zwei-Faktor-Authentifizierung (2FA) geschützt und auf das notwendige Maß beschränkt (Need-to-know-Prinzip).

3. 3. Zugriffskontrolle (Schutz vor unbefugtem Lesen, Kopieren und Verändern)

   Innerhalb der Datenbank ist eine strikte Mandantentrennung durch Row Level Security (RLS) umgesetzt. Nutzer können nur auf die Daten ihres eigenen Kontos zugreifen; die Prüfung erfolgt in der Datenbank und nicht allein in der Anwendung.

   Hochgeladene Dateien und erzeugte Dokumente werden in nach Nutzer-ID getrennten Pfaden gespeichert; der Zugriff ist durch Zugriffsregeln des Dateispeichers auf das jeweilige Konto beschränkt.

4. 4. Weitergabekontrolle (Schutz bei Übertragung und Speicherung)

   Alle Datenübertragungen zwischen dem Endgerät des Nutzers, der Anwendung (Vercel) und der Datenbank bzw. dem Dateispeicher (Supabase) erfolgen verschlüsselt nach dem Stand der Technik (HTTPS/TLS 1.2 oder höher).

   Gespeicherte Daten werden von den Unterauftragsverarbeitern verschlüsselt abgelegt (Encryption at Rest).

5. 5. Eingabekontrolle (Nachvollziehbarkeit)

   Anmeldungen und Kontoaktivitäten (Registrierung, An- und Abmeldung, Änderung von Passwort und Kontodaten) werden protokolliert, unter anderem über Supabase Auth.

   Serverseitig wird sichergestellt, dass Eingaben eindeutig dem jeweiligen Nutzerkonto (Mandanten) zugeordnet werden.

6. 6. Auftragskontrolle

   Unterauftragsverarbeiter werden sorgfältig ausgewählt; mit ihnen bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Der Auftragsverarbeiter verarbeitet Daten nur nach den Weisungen des Verantwortlichen.

7. 7. Verfügbarkeits- und Belastbarkeitskontrolle (Schutz vor Datenverlust)

   Die Datenbank wird regelmäßig automatisiert gesichert (Backups über Supabase).

   Die Infrastruktur ist durch die Cloud-Anbieter gegen DDoS-Angriffe geschützt (u. a. Edge Network Security von Vercel).

8. 8. Trennungskontrolle (Getrennte Verarbeitung)

   Die Daten unterschiedlicher Nutzer werden logisch über eindeutige Nutzer-IDs und Row Level Security strikt voneinander getrennt verarbeitet, sodass eine Vermischung von Abrechnungsdaten verhindert wird.

Anlage 2: Genehmigte Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:

1. 1. Vercel Inc.

   Anschrift: 440 N Barranca Avenue #4133, Covina, CA 91723, USA

   Funktion / Leistung: Hosting der Anwendung und Ausführung der serverseitigen Funktionen (Backend-Logik).

   Verarbeitungsort (Region): Europäische Union (konfigurierte Funktionsregion). Die Auslieferung der Anwendung kann über das globale Edge-Netzwerk von Vercel erfolgen.

   Garantien für Drittlandübermittlungen: Vercel ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission). Ergänzend gelten die Standardvertragsklauseln des Auftragsverarbeitungsvertrags von Vercel.

2. 2. Supabase Pte. Ltd.

   Anschrift: 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513

   Funktion / Leistung: Bereitstellung der Datenbank, der Nutzerauthentifizierung (Auth) und des Dateispeichers (Storage).

   Verarbeitungsort (Region): Europäische Union (konfigurierte Region). Supabase setzt eigene Unterauftragsverarbeiter ein, insbesondere Amazon Web Services als Infrastrukturanbieter; die aktuelle Liste ist abrufbar unter supabase.com/legal/customer-resources/subprocessor-list.

   Garantien für Drittlandübermittlungen: Der Auftragsverarbeitungsvertrag von Supabase enthält die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914).