Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO · Stand: 2026-06-16

zwischen

Orangize Digital
Brüderstraße 11
32547 Bad Oeynhausen
– nachfolgend „Auftragsverarbeiter“ –

und

dem jeweiligen Kunden, der die SaaS-Anwendung dVersum nutzt – nachfolgend „Verantwortlicher“ –

Dieser AVV wird durch Annahme der AGB sowie durch die Nutzung der Anwendung wirksam. Eine zusätzliche schriftliche Unterzeichnung ist möglich; ein PDF-Export dieser Seite ist auf Anfrage erhältlich.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der SaaS-Anwendung dVersum.

(2) Die Verarbeitung erfolgt ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen und nach dokumentierter Weisung des Verantwortlichen.

(3) Die Laufzeit entspricht der Dauer des SaaS-Nutzungsvertrags. Nach dessen Beendigung gelten die Bestimmungen dieses Vertrags fort, soweit personenbezogene Daten des Verantwortlichen noch beim Auftragsverarbeiter vorhanden sind.

§ 2 Art, Umfang und Zweck der Verarbeitung

Die Verarbeitung umfasst insbesondere:

  • Speicherung und Verwaltung von Kunden-, Lieferanten- und Kontaktdaten
  • Erstellung, Versand und Archivierung von Angeboten, Rechnungen, Gutschriften, Mahnungen und Verträgen
  • Erfassung von Projekt-, Aufgaben-, Zeit- und Kalenderdaten
  • KI-gestützte Verarbeitung von Nutzereingaben (KI-Assistent Vero, Content-Generierung)
  • Hosting, Backup, Versionierung, Audit-Logging und IT-Sicherheit
  • Support- und Ticketbearbeitung
  • Versand transaktionaler E-Mails (Bestätigungen, Erinnerungen, Benachrichtigungen)
  • Verarbeitung von Zahlungs- und Bankdaten zur SEPA-Lastschrift (pain.008)

Zweck ist die technische Bereitstellung der Anwendung sowie die Erbringung der damit verbundenen Nebenleistungen.

§ 3 Art der Daten und Kategorien betroffener Personen

Verarbeitete Datenarten:

  • Stammdaten (Name, Anschrift, Kontaktdaten, USt-ID)
  • Rechnungs-, Zahlungs- und Bankdaten (IBAN, BIC, SEPA-Mandate)
  • Steuerrelevante Daten (Belege, Buchungsdaten, DATEV-Exporte)
  • Projekt-, Aufgaben- und Zeitbuchungsdaten
  • Kommunikationsdaten (E-Mails, Tickets, Kommentare, KI-Chatverläufe)
  • Technische Daten (IP-Adresse, User-Agent, Audit-Logs)
  • Authentifizierungsdaten (bcrypt-Passwort-Hashes, TOTP-Geheimnisse, JWT-Tokens)

Kategorien betroffener Personen:

  • Mitarbeiter und Mitnutzer des Verantwortlichen
  • Kunden, Lieferanten und Geschäftspartner des Verantwortlichen
  • Interessenten und sonstige Kontakte des Verantwortlichen

§ 4 Ort der Verarbeitung und Drittlandübermittlung

(1) Die Verarbeitung findet primär in Deutschland (Hetzner-Rechenzentren in Falkenstein und Nürnberg) statt. Eine Verarbeitung in anderen Mitgliedstaaten der EU oder des EWR ist zulässig.

(2) Eine Übermittlung in Drittländer (insbesondere USA) findet nur statt, soweit dies in § 8 für einzelne Subunternehmer ausgewiesen ist. In diesen Fällen ist die Übermittlung durch EU-Standardvertragsklauseln (Art. 46 DSGVO) und – soweit verfügbar – durch die Zertifizierung des jeweiligen Subunternehmers im EU-US Data Privacy Framework abgesichert.

§ 5 Weisungen des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet ist.

(2) Allgemeine Weisungen erfolgen über die bestimmungsgemäße Nutzung der Anwendung (Einstellungen, Konfiguration, Berechtigungssystem). Abweichende oder ergänzende Weisungen sind in Textform an datenschutz@dversum.com zu richten.

(3) Erscheint eine Weisung dem Auftragsverarbeiter rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit. Bis zur Klärung ist der Auftragsverarbeiter berechtigt, die Ausführung der Weisung auszusetzen.

§ 6 Vertraulichkeit und Verpflichtung der Beschäftigten

(1) Der Auftragsverarbeiter wahrt das Datengeheimnis. Diese Pflicht besteht auch nach Beendigung dieses Vertrags fort.

(2) Sämtliche mit der Verarbeitung befassten Personen werden vor Aufnahme ihrer Tätigkeit schriftlich auf die Vertraulichkeit verpflichtet und mindestens einmal jährlich in Datenschutzfragen geschult.

(3) Zugriff auf Daten eines Verantwortlichen durch interne Support-Mitarbeiter setzt eine ausdrückliche Freigabe durch einen Administrator des Verantwortlichen über das integrierte Zugriffsantrags-System voraus. Freigaben sind zeitlich befristet (max. 10 Tage) und werden vollständig protokolliert.

§ 7 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft die nachfolgenden Maßnahmen gemäß Art. 32 DSGVO. Wesentliche Änderungen werden mit dem Verantwortlichen in Textform abgestimmt.

7.1 Zutritts- und Zugangskontrolle

  • Server in Hetzner-Rechenzentren mit ISO 27001-Zertifizierung, Zutrittskontrolle, Videoüberwachung und 24/7-Bewachung
  • Persönliche Accounts für jeden Mitarbeiter; keine geteilten Accounts
  • TOTP-basierte Zwei-Faktor-Authentifizierung für Administrator- und Staff-Konten
  • Passwörter ausschließlich als bcrypt-Hash gespeichert; Mindestlänge 8 Zeichen
  • Automatische Sitzungsabläufe und Re-Authentifizierung

7.2 Zugriffs- und Berechtigungskontrolle

  • Rollenbasiertes Berechtigungssystem (Admin / Member / Staff) je Organisation
  • Multi-Tenant-Datentrennung über organization_id auf allen relevanten Tabellen
  • Datenbankzugriff ausschließlich serverseitig; kein direkter Zugriff aus dem Browser
  • Audit-Logging aller sicherheitsrelevanten Aktionen (Login, Rollenänderung, Datenexport, AVV-Zugriff)

7.3 Verschlüsselung

  • TLS 1.2+ für die gesamte Kommunikation zwischen Browser und Server
  • AES-256-GCM-Verschlüsselung sensibler ruhender Daten (Nutzer-API-Keys, SEPA-Gläubiger-ID, IBAN)
  • bcrypt für Passwort-Hashes
  • Verschlüsselte Backups und Replikate

7.4 Verfügbarkeit und Wiederherstellbarkeit

  • Tägliche, automatisierte Backups der Produktionsdatenbank
  • Wiederherstellung aus Backups der letzten 14 Tage garantiert
  • Sicherheitsrelevante Updates innerhalb von 7 Tagen, kritische Updates (CVSS ≥ 9.0) innerhalb von 48 Stunden
  • Redundante Speichermedien beim Hosting-Subunternehmer
  • Regelmäßige Wiederherstellungstests, dokumentiert

7.5 Eingabe-, Weitergabe- und Auftragskontrolle

  • Eingaben, Änderungen und Löschungen sind über Audit-Log nachvollziehbar (Nutzer, Zeitpunkt, Aktion)
  • Datenexporte (CSV, DATEV) sind ausschließlich authentifizierten und berechtigten Nutzern zugänglich
  • Beauftragung weiterer Subunternehmer nur nach den Vorgaben in § 8

7.6 Privacy by Default

  • Standardeinstellungen sind datensparsam (keine öffentlichen Profile, keine Werbe-Cookies ohne Einwilligung)
  • Externe Tracker (Statistik, Marketing) werden ausschließlich nach ausdrücklicher Einwilligung über den Cookie-Banner aktiviert
  • KI-Funktionen werden niemals zum Training der zugrundeliegenden Modelle verwendet (BYOK + System-Fallback)

7.7 Regelmäßige Überprüfung

  • Mindestens jährliche Überprüfung der TOMs durch Geschäftsführung und IT-Verantwortliche; Anpassungen werden dokumentiert
  • Ad-hoc-Überprüfung nach sicherheitsrelevanten Vorfällen oder bei wesentlichen Änderungen der Anwendung

§ 8 Subunternehmer (Unterauftragsverarbeiter)

(1) Der Verantwortliche stimmt dem Einsatz der unten aufgeführten Subunternehmer zu. Der Auftragsverarbeiter stellt vertraglich sicher, dass jeder Subunternehmer die in diesem AVV vereinbarten Pflichten in gleichwertiger Weise einhält.

(2) Beabsichtigt der Auftragsverarbeiter, einen Subunternehmer hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen mindestens 4 Wochen vorab in Textform (E-Mail an die hinterlegte Admin-Adresse genügt). Der Verantwortliche kann der Änderung innerhalb von 2 Wochen ab Erhalt aus wichtigem datenschutzrechtlichen Grund widersprechen. Ein berechtigter Widerspruch führt zu einem außerordentlichen Kündigungsrecht beider Parteien hinsichtlich des Hauptvertrags; im Übrigen gilt die Zustimmung als erteilt.

(3) Aktuelle Liste der Subunternehmer:

LeistungSubunternehmerOrtAbsicherung
Hosting, Datenbank, BackupHetzner Online GmbHDeutschland (Falkenstein, Nürnberg)AVV nach Art. 28 DSGVO · ISO 27001
Transaktionaler E-Mail-VersandResend, Inc.USASCC nach Art. 46 DSGVO · EU-US Data Privacy Framework
Zahlungsabwicklung (Plattform)Stripe Payments Europe Ltd.IrlandAVV nach Art. 28 DSGVO · SCC für Drittlandbestandteile
KI-Inferenz (System-Fallback)OpenAI Ireland Ltd.Irland / USASCC nach Art. 46 DSGVO · EU-US Data Privacy Framework · Zero-Retention-Option für API
KI-Inferenz (System-Fallback)Anthropic PBCUSASCC nach Art. 46 DSGVO · EU-US Data Privacy Framework · keine Trainingsnutzung
OAuth + Kalender (optional, pro Nutzer)Google Ireland Ltd.Irland / USASCC nach Art. 46 DSGVO · EU-US Data Privacy Framework
Telegram-Bot (optional, pro Nutzer)Telegram Messenger Inc.Vereinigtes Königreich / VAESCC nach Art. 46 DSGVO; Aktivierung nur bei expliziter Kopplung durch den Nutzer

Drittanbieter, die der Verantwortliche selbst über Integrationen anbindet (z. B. Lexware, easybill, DATEV, ClickUp, awork), gelten nicht als Subunternehmer des Auftragsverarbeiters; der Verantwortliche schließt mit diesen gegebenenfalls eigene Verträge ab.

§ 9 Rechte der betroffenen Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Mitteln bei der Erfüllung der Rechte betroffener Personen, insbesondere bei Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs- und Datenübertragungsanfragen.

(2) Wendet sich eine betroffene Person oder eine Aufsichtsbehörde direkt an den Auftragsverarbeiter, informiert dieser den Verantwortlichen unverzüglich und stimmt das weitere Vorgehen mit ihm ab.

(3) Primär verantwortlich für die Beantwortung von Anfragen betroffener Personen bleibt der Verantwortliche.

§ 10 Datenschutzverletzungen und Meldepflichten

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, über jeden Verstoß gegen den Schutz personenbezogener Daten im Sinne des Art. 33 DSGVO, der Daten des Verantwortlichen betrifft.

(2) Die Meldung enthält, soweit bekannt: Art des Vorfalls, Kategorien und Anzahl betroffener Personen, wahrscheinliche Folgen, ergriffene oder geplante Gegenmaßnahmen sowie eine Ansprechperson.

(3) Werden Daten des Verantwortlichen durch Pfändung, Beschlagnahme, Insolvenz oder andere Maßnahmen Dritter gefährdet, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich und weist die handelnden Stellen darauf hin, dass die Datenherrschaft beim Verantwortlichen liegt.

§ 11 Löschung und Rückgabe von Daten

(1) Nach Beendigung des Hauptvertrags werden alle personenbezogenen Daten des Verantwortlichen auf Wunsch zunächst in einem strukturierten, gängigen und maschinenlesbaren Format exportiert (CSV / JSON).

(2) Anschließend löscht der Auftragsverarbeiter sämtliche Daten innerhalb von 30 Tagen irreversibel aus den Produktionssystemen. Backups werden im Rahmen der regulären Rotation automatisch überschrieben; die vollständige Entfernung aus Backups ist nach maximal weiteren 14 Tagen abgeschlossen.

(3) Gesetzliche Aufbewahrungspflichten (insbesondere aus §§ 147 AO, 257 HGB) bleiben unberührt. Für die Dauer der gesetzlichen Aufbewahrung wird die Verarbeitung auf das gesetzlich erforderliche Maß eingeschränkt.

(4) Die Löschung wird auf Anforderung in Textform bestätigt.

§ 12 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche kann sich jederzeit von der Einhaltung dieses Vertrags überzeugen. Der Auftragsverarbeiter stellt dazu auf Anfrage geeignete Nachweise zur Verfügung – insbesondere Zertifikate seiner Subunternehmer, Auszüge aus diesem AVV, Audit-Berichte sowie eine aktuelle Liste der Subunternehmer.

(2) Reichen diese Nachweise nicht aus, kann der Verantwortliche eine Vor-Ort-Inspektion mit mindestens 30 Tagen Vorankündigung verlangen. Anlasslose Inspektionen sind auf eine pro Kalenderjahr begrenzt; bei begründetem Anlass (z. B. Datenschutzverletzung) bleibt das Recht auf zusätzliche Prüfungen unberührt.

(3) Inspektionen werden so durchgeführt, dass der laufende Betrieb nicht unverhältnismäßig beeinträchtigt wird; Kosten und Aufwand auf Seiten des Auftragsverarbeiters über das notwendige Maß hinaus sind vom Verantwortlichen zu tragen.

§ 13 Datenschutzbeauftragter und Weisungsempfänger

Ansprechpartner für Datenschutzfragen beim Auftragsverarbeiter:
Naumche Joshevski, Orangize Digital
datenschutz@dversum.com

Eine externe Datenschutzberatung wird bei Bedarf hinzugezogen; ein bestellter externer Datenschutzbeauftragter wird in dieser Liste benannt, sobald die gesetzlichen Schwellen (§ 38 BDSG) erreicht werden.

§ 14 Laufzeit und Kündigung

(1) Dieser AVV läuft solange, wie der Hauptvertrag (SaaS-Nutzungsvertrag) zwischen den Parteien besteht. Er kann von beiden Seiten mit einer Frist von 3 Monaten zum Monatsende gesondert gekündigt werden, sofern er nicht zugleich den Hauptvertrag entfallen lässt.

(2) Der Verantwortliche kann diesen Vertrag fristlos kündigen, wenn der Auftragsverarbeiter schwerwiegend gegen die Bestimmungen dieses Vertrags oder gegen Datenschutzvorschriften verstößt und der Verstoß nicht innerhalb einer angemessenen Frist behoben wird.

§ 15 Schlussbestimmungen

(1) Es gilt deutsches Recht.

(2) Ausschließlicher Gerichtsstand für Streitigkeiten aus diesem Vertrag ist – soweit gesetzlich zulässig – der Sitz des Auftragsverarbeiters.

(3) Änderungen und Ergänzungen bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.

(4) Dieser AVV ersetzt mit seinem Wirksamwerden alle früheren Vereinbarungen zwischen den Parteien über die Datenverarbeitung im Auftrag.

(5) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. An die Stelle der unwirksamen Bestimmung tritt die gesetzlich zulässige Regelung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

Stand: 2026-06-16 · Wesentliche Änderungen werden den Verantwortlichen in Textform mitgeteilt.