Auftrags­verarbeitungs­vertrag erstellen

Auftragsverarbeitungsvertrag

gemäß Artikel 28 Absatz 3 der Datenschutz-Grundverordnung (DSGVO / EU 2016/679)

In Erwägung nachstehender Gründe:

• Der Kunde nutzt Ledger Botje, eine SaaS-Plattform, die KI-Assistenten über das Model Context Protocol (MCP) mit der Exact Online-Verwaltung des Kunden verbindet;
• der Auftragsverarbeiter verarbeitet bei der Erbringung dieser Dienstleistung personenbezogene Daten, für die der Kunde Verantwortlicher im Sinne von Artikel 4 Nr. 7 DSGVO ist;
• die Parteien treffen daher gemäß Artikel 28 DSGVO schriftliche Vereinbarungen über die Verarbeitung dieser personenbezogenen Daten, wie in diesem Vertrag festgelegt (nachfolgend: «AVV»).

Artikel 1 — Begriffsbestimmungen

Die Begriffe «personenbezogene Daten», «Verarbeitung», «Verantwortlicher», «Auftragsverarbeiter», «Unterauftragsverarbeiter», «betroffene Person», «Verletzung des Schutzes personenbezogener Daten» (Datenschutzverletzung) und «Aufsichtsbehörde» haben die ihnen in der DSGVO zugewiesene Bedeutung. «Hauptvertrag» bezeichnet den Ledger Botje-Abonnementvertrag sowie die darauf anwendbaren Nutzungsbedingungen.

Artikel 2 — Gegenstand und Laufzeit

2.1 Dieser AVV ist untrennbar mit dem Hauptvertrag verbunden und regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Kunden.

2.2 Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag hat dieser AVV in Bezug auf Datenschutz und Datensicherheit Vorrang.

2.3 Dieser AVV tritt am [DATUM] in Kraft und endet automatisch mit der Beendigung des Hauptvertrags, unbeschadet der Bestimmungen, die ihrer Natur nach fortgelten.

Artikel 3 — Art, Zweck und Dauer der Verarbeitung

3.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag des Kunden und ausschließlich zu den folgenden Zwecken:

• Zugriff auf, Lesen von und — soweit die gewählte Abonnementform dies zulässt — Ändern von Kundendaten in Exact Online im Auftrag des Kunden;
• Zwischenspeicherung (Caching) dieser Daten in einer dem Kunden zugewiesenen, getrennten Mandanten-Datenbank, um wiederholte API-Aufrufe an Exact Online zu begrenzen;
• Authentifizierung und Autorisierung der Nutzer des Kunden über Exact Online OAuth 2.0;
• Durchführung von Sicherheitsprotokollierung und Incident Response im Sinne von Artikel 32 DSGVO;
• Erbringung von Support auf Anfrage des Kunden.

3.2 Der Auftragsverarbeiter verarbeitet keine personenbezogenen Daten zu eigenen Zwecken, mit Ausnahme von (a) anonymen Nutzungsstatistiken und (b) Verarbeitungen, für die der Auftragsverarbeiter selbst Verantwortlicher ist (eigene Abonnementverwaltung und Marketing-Website).

Artikel 4 — Arten personenbezogener Daten und Kategorien betroffener Personen

Die folgenden Kategorien werden — grundsätzlich — verarbeitet (vollständige Aufstellung: siehe Anlage A):

Der Auftragsverarbeiter verarbeitet keine besonderen Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO und keine niederländischen Sozialversicherungsnummern (BSN). Das BSN-Feld wurde aktiv aus dem Datenmodell entfernt.

Artikel 5 — Pflichten des Auftragsverarbeiters

5.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Konfiguration des Abonnements, die aktivierten MCP-Tools und die Synchronisationseinstellungen gelten als solche Weisung.

5.2 Der Auftragsverarbeiter stellt sicher, dass Personen, die unter seiner Verantwortung personenbezogene Daten verarbeiten, eine Vertraulichkeitserklärung unterzeichnet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

5.3 Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, wie in Artikel 7 und Anlage B beschrieben.

5.4 Der Auftragsverarbeiter informiert den Kunden unverzüglich, wenn eine Weisung des Kunden seiner Auffassung nach gegen die DSGVO oder andere anwendbare Rechtsvorschriften verstößt.

5.5 Der Auftragsverarbeiter stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind.

5.6 Der Auftragsverarbeiter ist berechtigt, Weisungen des Kunden abzulehnen, die außerhalb des Umfangs des Hauptvertrags liegen, die nach dem billigen Ermessen des Auftragsverarbeiters einen unverhältnismäßigen Aufwand erfordern oder die gegen anwendbares Recht verstoßen. Im Fall einer Ablehnung treten die Parteien unverzüglich in Beratungen ein.

Artikel 6 — Pflichten des Kunden

6.1 Der Kunde garantiert, dass die von ihm beauftragte Verarbeitung rechtmäßig ist und dass er über die erforderliche Rechtsgrundlage verfügt (Art. 6 DSGVO).

6.2 Der Kunde ist verantwortlich für die Wahl des KI-Clients (ChatGPT, Claude, Copilot, Gemini, Mistral, Perplexity, Grok, Cursor, OpenClaw oder ein anderer MCP-Client) sowie für die Annahme der Nutzungs- und Datenschutzbedingungen dieses Clients. Der Auftragsverarbeiter ist nicht Partei dieser Beziehung.

6.3 Der Kunde legt innerhalb von Ledger Botje fest, ob die MCP-Verbindung im Nur-Lese-Modus oder im Lese-und-Schreib-Modus betrieben wird. Standardmäßig ist die MCP-Verbindung auf Nur-Lesen eingestellt.

6.4 Der Kunde ist für die Richtigkeit und Aktualität der in Exact Online gespeicherten personenbezogenen Daten verantwortlich.

Artikel 7 — Sicherheitsmaßnahmen

Der Auftragsverarbeiter trifft die in Anlage B beschriebenen technischen und organisatorischen Maßnahmen, darunter mindestens:

• Verschlüsselung bei der Übertragung (HTTPS / TLS, mit HSTS);
• Verschlüsselung ruhender Daten (at rest) der Kundendatenbanken beim Hosting-Anbieter;
• OAuth 2.1 mit verpflichtendem PKCE für MCP-Clients und OAuth 2.0 für Exact Online; keine Passwortspeicherung beim Auftragsverarbeiter;
• Mandantentrennung: Jeder Kunde verfügt über eine eigene, getrennte Datenbank;
• strikte Zugriffsbeschränkung für Produktionsdatenbanken;
• Audit-Logging mit begrenzter Aufbewahrungsdauer (siehe Artikel 13);
• Datenminimierung: Tokens und geheime Felder werden nicht in erkennbarer Form in Logs gespeichert;
• automatisierte tägliche Durchsetzung der Aufbewahrungsfristen für Audit- und Sicherheitsprotokolle.

Artikel 8 — Unterauftragsverarbeiter

8.1 Der Kunde erteilt hiermit die allgemeine vorherige Genehmigung zur Einschaltung von Unterauftragsverarbeitern, sofern diese Artikel 28 Absatz 4 DSGVO erfüllen und in Anlage C aufgeführt sind.

8.2 Der Auftragsverarbeiter informiert den Kunden über die Ledger Botje-Website oder per E-Mail über Änderungen der Liste der Unterauftragsverarbeiter mindestens 30 Tage vor Inkrafttreten der Änderung. Der Kunde kann innerhalb dieser Frist schriftlich und begründet Einspruch erheben, ausschließlich aus angemessenen, mit der Einhaltung der DSGVO zusammenhängenden Gründen; in diesem Fall treten die Parteien in Beratungen ein und der Kunde behält letztlich das Recht, den Hauptvertrag zu kündigen.

8.3 Der Kunde erkennt ausdrücklich an und akzeptiert, dass Exact Online B.V. (Quellsystem auf Weisung des Kunden), Mollie B.V. (eigenständig Verantwortlicher für die Zahlungsabwicklung) sowie die vom Kunden gewählten KI-Plattformen für die Zwecke dieses AVV nicht als Unterauftragsverarbeiter des Auftragsverarbeiters gelten.

Artikel 9 — Übermittlung außerhalb des EWR

9.1 Der Auftragsverarbeiter übermittelt keine personenbezogenen Daten außerhalb des Europäischen Wirtschaftsraums (EWR). Das Produktions-Hosting befindet sich ausschließlich in Rechenzentren innerhalb des EWR bei in der EU ansässigen Unterauftragsverarbeitern (zum Zeitpunkt der Unterzeichnung: Niederlande und Frankreich).

9.2 Der Kunde erkennt an, dass, wenn ein Endnutzer des Kunden einen KI-Client außerhalb des EWR wählt, dieser Datenfluss unter die Beziehung zwischen dem Kunden und der betreffenden KI-Plattform fällt und nicht unter Artikel 9.1 dieses AVV. Der Auftragsverarbeiter informiert den Kunden hierüber über die Nutzungsbedingungen und diesen AVV.

Artikel 10 — Vertraulichkeit

Der Auftragsverarbeiter und sein Personal sind verpflichtet, alle vom Kunden erhaltenen oder verarbeiteten personenbezogenen Daten streng vertraulich zu behandeln. Diese Pflicht besteht auch nach Beendigung dieses AVV fort.

Artikel 11 — Datenschutzverletzungen (Meldepflicht)

11.1 Der Auftragsverarbeiter unterrichtet den Kunden ohne unangemessene Verzögerung schriftlich, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, unter Berücksichtigung der Art und des Umfangs des Vorfalls. Verdachtsfälle, die nach der Triage nicht als Datenschutzverletzung bestätigt werden, werden nicht gemeldet, jedoch intern gemäß Artikel 33 Absatz 5 DSGVO dokumentiert.

11.2 Die Meldung enthält mindestens (soweit bekannt): die Art der Verletzung, die betroffenen Kategorien von Personen und Daten, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.

11.3 Der Kunde ist und bleibt verantwortlich für die Meldung an die zuständige Aufsichtsbehörde (Art. 33 DSGVO) sowie für eine etwaige Benachrichtigung der betroffenen Personen (Art. 34 DSGVO). Der Auftragsverarbeiter leistet angemessene Unterstützung.

Artikel 12 — Unterstützung bei Betroffenenrechten

12.1 Der Auftragsverarbeiter bietet dem Kunden, soweit vernünftigerweise möglich, technische und organisatorische Unterstützung bei der Beantwortung von Anfragen betroffener Personen gemäß den Artikeln 15 bis 22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

12.2 Anfragen, die direkt beim Auftragsverarbeiter eingehen und den Kunden betreffen, werden unverzüglich an den Kunden weitergeleitet.

12.3 Der Auftragsverarbeiter reagiert auf eine Unterstützungsanfrage des Kunden innerhalb von 10 Werktagen bei Anfragen zu Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO) oder Löschung (Art. 17 DSGVO) und innerhalb von 30 Tagen bei sonstigen Anfragen, jeweils so, dass der Kunde seine eigene Frist gemäß Artikel 12 DSGVO einhalten kann.

12.4 Unterstützung, die ihrer Natur nach regulären Produktsupport darstellt, ist im Abonnement enthalten. Für umfangreiche oder wiederkehrende Unterstützung (zum Beispiel eine große Anzahl von Anfragen, umfassende Fallbearbeitung oder Unterstützung bei einer Untersuchung durch eine Aufsichtsbehörde) kann der Auftragsverarbeiter nach vorheriger schriftlicher Ankündigung angemessene marktübliche Stunden in Rechnung stellen.

Artikel 13 — Aufbewahrungsfristen

Es gelten die folgenden Aufbewahrungsfristen, sofern gesetzlich nichts anderes vorgeschrieben ist:

Die Aufbewahrungsfristen werden automatisiert durch tägliche Bereinigungsläufe durchgesetzt. Löschanträge gemäß Art. 17 DSGVO werden innerhalb von 30 Tagen bearbeitet.

Artikel 14 — Audit und Kontrolle

14.1 Der Auftragsverarbeiter stellt dem Kunden auf angemessene Anfrage — und nicht häufiger als einmal jährlich — die relevante Dokumentation zum Nachweis der Einhaltung dieses AVV zur Verfügung, einschließlich der aktuellsten Fassung der DPIA Ledger Botje.

14.2 Ein Audit durch oder im Auftrag des Kunden erfolgt auf Kosten des Kunden, nach schriftlicher Ankündigung von mindestens 30 Tagen und nur insoweit, als dies zur Überprüfung der Einhaltung dieses AVV erforderlich ist. Das Audit wird von einem unabhängigen, qualifizierten und im EWR ansässigen Dritten durchgeführt, mit vorab schriftlich abgestimmtem Umfang, und beschränkt sich auf Dokumentationsprüfung und Interviews. Der Zugriff auf Produktionsumgebungen oder auf Daten anderer Kunden des Auftragsverarbeiters ist ausgeschlossen.

14.3 Soweit der Auftragsverarbeiter über gültige Zertifizierungen oder Auditberichte seiner Unterauftragsverarbeiter verfügt (z. B. ISO 27001 oder gleichwertig), können diese ein eigenes Audit ersetzen.

Artikel 15 — Rückgabe und Löschung

Bei Beendigung des Hauptvertrags oder früher auf Wunsch des Kunden löscht der Auftragsverarbeiter alle personenbezogenen Daten des Kunden innerhalb von 30 Tagen aus den Produktionssystemen. Zwischengespeicherte ERP-Daten werden unmittelbar nach Widerruf der OAuth-Verbindung unbrauchbar und automatisch bereinigt. Personenbezogene Daten in verschlüsselten Back-ups werden innerhalb der standardmäßigen Back-up-Rotation des Auftragsverarbeiters (maximal 90 Tage) oder beim ersten Überschreiben vernichtet; während dieses Zeitraums sind diese Daten für Produktionszwecke nicht zugänglich. Der Auftragsverarbeiter bewahrt ausschließlich Daten auf, zu deren Aufbewahrung er gesetzlich verpflichtet ist.

Artikel 16 — Haftung

Die Haftung der Parteien nach diesem AVV richtet sich nach der Haftungsklausel des Hauptvertrags, unbeschadet der Vorgaben von Artikel 82 DSGVO.

Artikel 17 — Laufzeit und Beendigung

Dieser AVV gilt so lange, wie der Auftragsverarbeiter im Auftrag des Kunden personenbezogene Daten verarbeitet. Die Beendigung des Hauptvertrags beendet diesen AVV automatisch, unbeschadet der Bestimmungen, die ihrer Natur nach fortgelten (darunter Vertraulichkeit, Haftung und die Löschpflicht).

Artikel 18 — Anwendbares Recht und Gerichtsstand

Auf diesen AVV ist ausschließlich niederländisches Recht anwendbar. Streitigkeiten werden dem zuständigen Gericht am Sitz des Auftragsverarbeiters vorgelegt, unbeschadet zwingender Zuständigkeitsvorschriften.

Artikel 19 — Schlussbestimmungen

19.1 Änderungen dieses AVV sind nur wirksam, wenn sie von beiden Parteien schriftlich vereinbart wurden.

19.2 Sollte eine Bestimmung dieses AVV nichtig oder anfechtbar sein, bleiben die übrigen Bestimmungen uneingeschränkt in Kraft. Die Parteien werden in diesem Fall eine neue Bestimmung vereinbaren, die dem Sinn der ursprünglichen Bestimmung möglichst nahekommt.

Anlage A — Beschreibung der Verarbeitung

A.1 Zwecke. Siehe Artikel 3.

A.2 Kategorien betroffener Personen. Mitarbeitende des Kunden, Geschäftspartner des Kunden (Debitoren/Kreditoren), geschäftliche Ansprechpartner in Transaktionen, Endnutzer des Kunden (soweit über Audit-Logs erfasst).

A.3 Arten personenbezogener Daten.

• Identifikations- und Kontaktdaten: Name, Anschrift, E-Mail, Telefon;
• Authentifizierungsdaten: Benutzername, OAuth-Tokens (verschlüsselt);
• Transaktionsdaten: Aufträge, Rechnungen, Lieferungen, Lagerbestand, Zahlungsmandate, IBAN;
• Technische Metadaten: IP-Adresse beim Login, Sitzungs-ID, User-Agent, MCP-Tool-Call-Logs;
• Abonnement- und Abrechnungsdaten (soweit der Auftragsverarbeiter als eigenständig Verantwortlicher handelt).

A.4 Keine besonderen Kategorien personenbezogener Daten. Der Auftragsverarbeiter verarbeitet keine Daten im Sinne von Artikel 9 DSGVO. Die niederländische Sozialversicherungsnummer (BSN) wird nicht verarbeitet.

A.5 Standorte. Produktionsumgebung ausschließlich in den Niederlanden und in Frankreich (innerhalb des EWR).

Anlage B — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die nachstehenden Maßnahmen geben den Implementierungsstand zum Zeitpunkt der Unterzeichnung wieder. Der Auftragsverarbeiter behält sich das Recht vor, einzelne Maßnahmen anzupassen, sofern das Sicherheitsniveau insgesamt mindestens gleichwertig bleibt.

Anlage C — Unterauftragsverarbeiter

Nicht als Unterauftragsverarbeiter des Auftragsverarbeiters angesehen: Exact Online (Quellsystem auf Weisung des Kunden), Mollie B.V. (eigenständig Verantwortlicher für Zahlungen) sowie die vom Kunden gewählten KI-Plattformen (OpenAI, Anthropic, Microsoft, Google, Mistral, Perplexity, xAI, Anysphere u. a.).