Auftrags­verarbeitungs­vertrag

§ 1. Parteien und Vertragsschluss

1. Der Vertrag wird geschlossen zwischen dem Kunden, der den Dienst Księguś nutzt (Verantwortlicher), und der Volt and Amaranth spółka z ograniczoną odpowiedzialnością, ul. 55 Pułku Piechoty 34, 64-100 Leszno, NIP 6972347881, KRS 0000733234 (Auftragsverarbeiter).
2. Der Vertrag wird in elektronischer Form (Art. 28 Abs. 9 DSGVO) bei der Registrierung im Dienst zusammen mit dem Vertrag über die Erbringung von Dienstleistungen zu den Bedingungen der AGB (Hauptvertrag) geschlossen und gilt so lange wie der Hauptvertrag sowie bis zur Löschung der Daten gemäß § 9. Großgeschriebene Begriffe haben die ihnen in den AGB zugewiesene Bedeutung.
3. Der Vertrag dient der Umsetzung von Art. 28 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (DSGVO). In darin nicht geregelten Angelegenheiten gelten die DSGVO und die AGB.

§ 2. Gegenstand, Art und Zweck der Verarbeitung

1. Der Verantwortliche beauftragt den Auftragsverarbeiter mit der Verarbeitung der in den Kundendaten enthaltenen personenbezogenen Daten ausschließlich zum Zweck der Erbringung der in den AGB beschriebenen Dienstleistungen.
2. Die Verarbeitung umfasst: Erheben (einschließlich Abrufen aus dem Nationalen System für E-Rechnungen (Krajowy System e-Faktur, KSeF) und Auslesen aus übermittelten Dateien und Kontoauszügen), Erfassen, Speichern, Ordnen, Einsehen, Zuordnen, Verwenden zur Erstellung von Rechnungen, Überweisungsdateien und Aufstellungen, Bereitstellen für die Nutzer des Verantwortlichen, Übermitteln an das KSeF auf Weisung des Verantwortlichen, Erstellen von Sicherungskopien und Löschen. Die Daten werden in einem IT-System fortlaufend für die Dauer des Hauptvertrags verarbeitet.
3. Kategorien betroffener Personen:
   • Geschäftspartner des Verantwortlichen (Käufer und Lieferanten), die natürliche Personen sind, einschließlich Personen mit Gewerbebetrieb, sowie deren Vertreter und Kontaktpersonen;
   • in Verwendungszwecken von Überweisungen und in Bankumsätzen genannte Personen;
   • Arbeitnehmer und Mitarbeiter des Verantwortlichen (Arbeitsvertrag, Auftragsvertrag, Werkvertrag) sowie Personen, denen der Verantwortliche Zugang zum Dienst gewährt hat.
4. Arten von Daten:
   • Identifikations- und Kontaktdaten: Vor- und Nachname, Firmenname, NIP, Anschrift, E-Mail-Adresse, Telefonnummer;
   • Finanzdaten: Bankkontonummern, Beträge, Verwendungszwecke und Daten von Zahlungen, Inhalt von Rechnungen;
   • Mitarbeiterdaten: PESEL (polnische Personenkennziffer), Geburtsdatum, Anschrift, Kontonummer, Art und Bedingungen des Vertrags, Vergütung, Arbeitszeit, Urlaube und Abwesenheiten, Personalunterlagen;
   • besondere Kategorien von Daten (Gesundheitsdaten): ärztliche Arbeitsunfähigkeitsbescheinigungen und ärztliche Gutachten von Mitarbeitern, sofern der Verantwortliche sie in den Dienst eingibt.

§ 3. Weisungen des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung von Daten an ein Drittland, sofern er nicht nach dem Unionsrecht oder dem polnischen Recht zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt er dies dem Verantwortlichen vor Beginn der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.
2. Dokumentierte Weisungen sind: dieser Vertrag, die AGB, die von den Nutzern des Verantwortlichen im Dienst vorgenommenen Einstellungen und Handlungen (z. B. Abrufen von Rechnungen, Einlesen eines Kontoauszugs, Hinzufügen eines Mitarbeiters, Export) sowie Weisungen, die per E-Mail von der Adresse des Inhabers des Firmenkontos übermittelt werden.
3. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich darüber und kann die Ausführung bis zur Klärung aussetzen.
4. Der Auftragsverarbeiter verwendet die ihm anvertrauten Daten nicht für eigene Zwecke.

§ 4. Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter gewährt Zugang zu den Daten ausschließlich Personen, die diese für die Erbringung der Dienstleistungen, die Wartung und den Schutz des Dienstes benötigen, von ihm dazu befugt und zur Vertraulichkeit verpflichtet sind, auch nach Beendigung der Zusammenarbeit.
2. Der Auftragsverarbeiter wendet die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen an, die in Anlage Nr. 1 beschrieben sind, und aktualisiert sie entsprechend dem Risiko und dem Stand der Technik. Er kann sie ändern, sofern das Schutzniveau nicht gesenkt wird.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit bei der Erfüllung seiner Pflicht, Anträge betroffener Personen zu beantworten (Art. 12–22 DSGVO), insbesondere durch Funktionen des Dienstes, mit denen Daten gesucht, berichtigt, exportiert und gelöscht werden können. Einen direkt an den Auftragsverarbeiter gerichteten Antrag leitet er unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, es sei denn, der Verantwortliche bittet ihn darum.
4. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
5. Der Auftragsverarbeiter führt das Verzeichnis aller Kategorien von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO.

§ 5. Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen eine festgestellte Verletzung des Schutzes der ihm anvertrauten Daten unverzüglich, spätestens innerhalb von 36 Stunden nach ihrer Feststellung, per E-Mail an die Adresse des Inhabers des Firmenkontos.
2. Die Meldung enthält, soweit verfügbar, die in Art. 33 Abs. 3 DSGVO genannten Informationen: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie Kontaktdaten. Informationen, die nicht sofort angegeben werden können, stellt der Auftragsverarbeiter schrittweise zur Verfügung.
3. Der Auftragsverarbeiter ergreift unverzüglich Maßnahmen zur Begrenzung der Folgen der Verletzung und dokumentiert jede Verletzung. Die Entscheidung über die Meldung der Verletzung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen trifft der Verantwortliche.

§ 6. Weitere Auftragsverarbeitung (Unterauftragsverarbeiter)

1. Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Inanspruchnahme weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die aktuelle Liste befindet sich in Anlage Nr. 2.
2. Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen mindestens 14 Tage im Voraus per E-Mail. Der Verantwortliche kann innerhalb dieser Frist begründeten Einspruch erheben. Einigen sich die Parteien nicht, kann der Verantwortliche den Hauptvertrag mit sofortiger Wirkung kündigen, und der Auftragsverarbeiter erstattet ihm den nicht genutzten Teil des bezahlten Entgelts.
3. Der Auftragsverarbeiter erlegt dem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf wie in diesem Vertrag, insbesondere die Pflicht zur Umsetzung geeigneter Sicherheitsmaßnahmen. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Erfüllung der Pflichten durch den Unterauftragsverarbeiter.
4. Die Übermittlung von Daten an das KSeF, das Verzeichnis der Mehrwertsteuerpflichtigen (wykaz podatników VAT), das REGON-Register (rejestr REGON) oder ein anderes System der öffentlichen Verwaltung auf Weisung des Verantwortlichen ist keine weitere Auftragsverarbeitung. Diese Systeme werden von Behörden betrieben, die auf gesetzlicher Grundlage handeln.

§ 7. Ort der Verarbeitung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Gebiet des Europäischen Wirtschaftsraums und übermittelt sie nicht an Drittländer oder internationale Organisationen ohne vorherige schriftliche oder elektronische Zustimmung des Verantwortlichen.

§ 8. Kontrolle

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und beantwortet insbesondere per E-Mail übermittelte Fragen innerhalb von 14 Tagen.
2. Der Verantwortliche oder ein von ihm beauftragter, zur Vertraulichkeit verpflichteter Prüfer kann eine Überprüfung oder Inspektion durchführen, nach Benachrichtigung des Auftragsverarbeiters mindestens 14 Tage im Voraus, an Werktagen, in einer Weise, die den Betrieb des Dienstes nicht beeinträchtigt, und ohne Zugang zu Daten anderer Kunden. Die Überprüfung erfolgt grundsätzlich durch Analyse von Unterlagen und Erläuterungen; eine Inspektion vor Ort ist möglich, wenn diese zum Nachweis der Einhaltung nicht ausreichen, oder nach einer Verletzung des Schutzes personenbezogener Daten. Die Kosten der Überprüfung trägt der Verantwortliche.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über eine Kontrolle durch die Aufsichtsbehörde, die die ihm anvertrauten Daten betrifft.

§ 9. Beendigung der Verarbeitung

1. Nach Beendigung des Hauptvertrags kann der Verantwortliche die Daten 30 Tage lang über die im Dienst verfügbaren Exportfunktionen herunterladen oder deren Übermittlung per E-Mail in einem gängigen Format anfordern.
2. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die ihm anvertrauten Daten aus dem Dienst. Aus den Sicherungskopien werden die Daten im regulären Zyklus ihres Ersetzens gelöscht, spätestens nach 12 Monaten; bis dahin bleiben die Kopien verschlüsselt und werden zu keinem anderen Zweck als der Wiederherstellung des Dienstes nach einem Ausfall verwendet.
3. Die Löschpflicht gilt nicht für Daten, deren Aufbewahrung dem Auftragsverarbeiter durch das Unionsrecht oder das polnische Recht vorgeschrieben ist.
4. Auf Wunsch des Verantwortlichen bestätigt der Auftragsverarbeiter die Löschung der Daten per E-Mail.

§ 10. Haftung und Schlussbestimmungen

1. Die Haftung der Parteien gegenüber betroffenen Personen und gegenüber Behörden richtet sich nach Art. 82 und 83 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsgrundsätze und -beschränkungen der AGB, sofern die gesetzlichen Vorschriften deren Anwendung nicht ausschließen.
2. Der Verantwortliche erklärt, dass er über eine Rechtsgrundlage für die Verarbeitung der anvertrauten Daten verfügt, einschließlich der Gesundheitsdaten der Mitarbeiter, und dass er in den Dienst nur Daten eingibt, die für die Zwecke erforderlich sind, für die er ihn nutzt.
3. Änderungen dieses Vertrags erfolgen in dem für Änderungen der AGB vorgesehenen Verfahren. Die Änderung der Anlage Nr. 2 erfolgt im Verfahren nach § 6 Abs. 2.
4. Der Vertrag unterliegt polnischem Recht. Bei Widersprüchen zwischen diesem Vertrag und den AGB in Angelegenheiten des Schutzes personenbezogener Daten hat dieser Vertrag Vorrang.

Anlage Nr. 1. Technische und organisatorische Maßnahmen

• Server und Datenbank in einem nach ISO/IEC 27001 zertifizierten Rechenzentrum in der EU (Hetzner, Helsinki). Die Datenbank ist aus dem Internet nicht erreichbar.
• Verbindungen zum Dienst ausschließlich verschlüsselt (HTTPS, HSTS).
• Verschlüsselung in der Datenbank: KSeF-Tokens, Einzelheiten von Bankumsätzen (Name des Geschäftspartners, Konto, Verwendungszweck), Überweisungsdateien, Dateien per E-Mail übermittelter Rechnungen sowie Mitarbeiterdaten (PESEL, Anschrift, Konto, Unterlagen). Der Verschlüsselungsschlüssel wird außerhalb der Datenbank und ihrer Kopien aufbewahrt; er kann unter erneuter Verschlüsselung der Daten ausgetauscht werden.
• Tägliche, verschlüsselte Sicherungskopie bei einem anderen Anbieter in einem anderen Rechenzentrum in der EU (OVHcloud, Warschau); die Wiederherstellung aus der Kopie wird getestet.
• Passwörter als Argon2-Hashes gespeichert; Kontosperre nach 5 fehlgeschlagenen Anmeldeversuchen; Begrenzung der Versuche auch nach IP-Adresse; Zwei-Faktor-Anmeldung (Authentifizierungs-App, Ersatzcodes) für jeden Nutzer verfügbar.
• Die Sitzung läuft nach 60 Minuten Inaktivität und spätestens nach 12 Stunden ab; eine Passwortänderung meldet die übrigen Geräte ab.
• Trennung der Kundendaten: Jede Seite eines Unternehmens prüft die Berechtigungen des Nutzers, der Zugang hängt von der Rolle im jeweiligen Unternehmen ab; automatisierte Tests prüfen, dass ein Nutzer keine Daten eines anderen Unternehmens sieht.
• Schutz der Anwendung: Datenbankabfragen ausschließlich parametrisiert (Schutz vor SQL-Injection), Content Security Policy, Schutz vor Einbettung in Frames, von Nutzern hochgeladene Dateien werden isoliert geöffnet.
• Sicherheitsprotokoll (Anmeldungen, Fehlversuche, Exporte, heruntergeladene Überweisungsdateien, Öffnen von Gesundheitsdokumenten, Änderungen des KSeF-Tokens), zugänglich für den Inhaber und die Buchhaltung des Unternehmens, 365 Tage aufbewahrt.
• Automatische Löschung nicht mehr benötigter Daten: Überweisungsdateien und nicht übernommene Dateien aus E-Mails nach 90 Tagen, Einträge im Sicherheitsprotokoll nach 365 Tagen.
• Automatische Prüfung der Bibliotheken auf bekannte Schwachstellen bei jeder Codeänderung und wöchentlich; Sicherheitsupdates des Serverbetriebssystems.
• Administrativer Zugang zum Server ausschließlich per SSH-Schlüssel, für befugte Personen; Verfahren zur Reaktion auf Sicherheitsvorfälle mit Aufgabenverteilung bei der Meldung von Verletzungen.

Anlage Nr. 2. Unterauftragsverarbeiter