Auftragsverarbeitungs-Vertrag (AV-Vertrag)

Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter (Unglaub Kübler Media UG) verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen (Kunde) im Rahmen der Bereitstellung der Software Kontora. Die Verarbeitung erfolgt für die Dauer des Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung

Speicherung von Geschäftsdaten (Kunden, Lieferanten, Rechnungen)
Versand von Rechnungen und Mahnungen per E-Mail
Buchhaltungs-Auswertungen und Audit-Logs

§ 3 Art der Daten

Kontaktdaten von Kunden (Name, Adresse, E-Mail, Telefon)
Steuerliche Daten (USt-IdNr., Steuernummer)
Geschäftsdaten (Rechnungspositionen, Beträge, Zahlungsstatus)
Audit-/Login-Daten (IP-Adressen, User-Agents)

§ 4 Kategorien betroffener Personen

Kunden und Geschäftspartner des Verantwortlichen
Mitarbeiter des Verantwortlichen (User-Accounts)

§ 5 Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen
Verpflichtung der Mitarbeiter auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)
Geeignete technische und organisatorische Maßnahmen (TOMs, siehe Anlage)
Unterstützung bei Betroffenenrechten (Art. 12-22 DSGVO)
Meldung von Datenschutzverstößen unverzüglich (Art. 33 DSGVO)
Löschung oder Rückgabe der Daten nach Vertragsende

§ 6 Subunternehmer

Folgende Subunternehmer werden eingesetzt:

Hosting: [Hosting-Provider, z.B. Hetzner Online GmbH, Deutschland]
Zahlungsabwicklung: Stripe Payments Europe Ltd, Irland (nur bei Plan-Buchung)
E-Mail-Versand: SMTP-Server des Verantwortlichen (kein zusätzlicher Subunternehmer)

Wechsel oder Ergänzungen werden mit einer Frist von 4 Wochen vorab mitgeteilt. Der Verantwortliche kann widersprechen.

§ 7 Technische und organisatorische Maßnahmen (TOMs)

Vertraulichkeit: Zugangskontrolle (bcrypt-Passwörter, optionales 2FA), Zugriffskontrolle (rollenbasiert), Trennung der Mandantendaten auf Datenbank-Ebene
Integrität: Audit-Log für alle Änderungen, logische Löschung von Belegen unter Wahrung der Aufbewahrungspflichten, finalisierte Rechnungen sind unveränderlich
Verfügbarkeit: Tägliche Backups mit 30 Tagen Aufbewahrung, Wiederherstellung der Datenbank aus den Sicherungen
Belastbarkeit: Ratenbegrenzung gegen Brute-Force-Angriffe, automatische Bereinigung
Verschlüsselung: TLS 1.2/1.3 für alle Verbindungen, HTTP Strict Transport Security, SMTP-Passwörter im Ruhezustand verschlüsselt (AES-256-GCM)

§ 8 Kontrollen

Der Verantwortliche kann nach vorheriger Ankündigung Audits durchführen.

§ 9 Datenlöschung

Nach Vertragsende werden Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten (§ 147 AO: 10 Jahre) entgegenstehen. Auf Wunsch wird vorab ein vollständiger DSGVO-Export (Art. 20) bereitgestellt.

Stand: 22.9.2026