nach Art. 28 DSGVO · Stand: 2026-06-16
zwischen
Orangize Digital
Brüderstraße 11
32547 Bad Oeynhausen
– nachfolgend „Auftragsverarbeiter“ –
und
dem jeweiligen Kunden, der die SaaS-Anwendung dVersum nutzt – nachfolgend „Verantwortlicher“ –
Dieser AVV wird durch Annahme der AGB sowie durch die Nutzung der Anwendung wirksam. Eine zusätzliche schriftliche Unterzeichnung ist möglich; ein PDF-Export dieser Seite ist auf Anfrage erhältlich.
(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der SaaS-Anwendung dVersum.
(2) Die Verarbeitung erfolgt ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen und nach dokumentierter Weisung des Verantwortlichen.
(3) Die Laufzeit entspricht der Dauer des SaaS-Nutzungsvertrags. Nach dessen Beendigung gelten die Bestimmungen dieses Vertrags fort, soweit personenbezogene Daten des Verantwortlichen noch beim Auftragsverarbeiter vorhanden sind.
Die Verarbeitung umfasst insbesondere:
Zweck ist die technische Bereitstellung der Anwendung sowie die Erbringung der damit verbundenen Nebenleistungen.
Verarbeitete Datenarten:
Kategorien betroffener Personen:
(1) Die Verarbeitung findet primär in Deutschland (Hetzner-Rechenzentren in Falkenstein und Nürnberg) statt. Eine Verarbeitung in anderen Mitgliedstaaten der EU oder des EWR ist zulässig.
(2) Eine Übermittlung in Drittländer (insbesondere USA) findet nur statt, soweit dies in § 8 für einzelne Subunternehmer ausgewiesen ist. In diesen Fällen ist die Übermittlung durch EU-Standardvertragsklauseln (Art. 46 DSGVO) und – soweit verfügbar – durch die Zertifizierung des jeweiligen Subunternehmers im EU-US Data Privacy Framework abgesichert.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet ist.
(2) Allgemeine Weisungen erfolgen über die bestimmungsgemäße Nutzung der Anwendung (Einstellungen, Konfiguration, Berechtigungssystem). Abweichende oder ergänzende Weisungen sind in Textform an datenschutz@dversum.com zu richten.
(3) Erscheint eine Weisung dem Auftragsverarbeiter rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit. Bis zur Klärung ist der Auftragsverarbeiter berechtigt, die Ausführung der Weisung auszusetzen.
(1) Der Auftragsverarbeiter wahrt das Datengeheimnis. Diese Pflicht besteht auch nach Beendigung dieses Vertrags fort.
(2) Sämtliche mit der Verarbeitung befassten Personen werden vor Aufnahme ihrer Tätigkeit schriftlich auf die Vertraulichkeit verpflichtet und mindestens einmal jährlich in Datenschutzfragen geschult.
(3) Zugriff auf Daten eines Verantwortlichen durch interne Support-Mitarbeiter setzt eine ausdrückliche Freigabe durch einen Administrator des Verantwortlichen über das integrierte Zugriffsantrags-System voraus. Freigaben sind zeitlich befristet (max. 10 Tage) und werden vollständig protokolliert.
Der Auftragsverarbeiter trifft die nachfolgenden Maßnahmen gemäß Art. 32 DSGVO. Wesentliche Änderungen werden mit dem Verantwortlichen in Textform abgestimmt.
organization_id auf allen relevanten Tabellen(1) Der Verantwortliche stimmt dem Einsatz der unten aufgeführten Subunternehmer zu. Der Auftragsverarbeiter stellt vertraglich sicher, dass jeder Subunternehmer die in diesem AVV vereinbarten Pflichten in gleichwertiger Weise einhält.
(2) Beabsichtigt der Auftragsverarbeiter, einen Subunternehmer hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen mindestens 4 Wochen vorab in Textform (E-Mail an die hinterlegte Admin-Adresse genügt). Der Verantwortliche kann der Änderung innerhalb von 2 Wochen ab Erhalt aus wichtigem datenschutzrechtlichen Grund widersprechen. Ein berechtigter Widerspruch führt zu einem außerordentlichen Kündigungsrecht beider Parteien hinsichtlich des Hauptvertrags; im Übrigen gilt die Zustimmung als erteilt.
(3) Aktuelle Liste der Subunternehmer:
| Leistung | Subunternehmer | Ort | Absicherung |
|---|---|---|---|
| Hosting, Datenbank, Backup | Hetzner Online GmbH | Deutschland (Falkenstein, Nürnberg) | AVV nach Art. 28 DSGVO · ISO 27001 |
| Transaktionaler E-Mail-Versand | Resend, Inc. | USA | SCC nach Art. 46 DSGVO · EU-US Data Privacy Framework |
| Zahlungsabwicklung (Plattform) | Stripe Payments Europe Ltd. | Irland | AVV nach Art. 28 DSGVO · SCC für Drittlandbestandteile |
| KI-Inferenz (System-Fallback) | OpenAI Ireland Ltd. | Irland / USA | SCC nach Art. 46 DSGVO · EU-US Data Privacy Framework · Zero-Retention-Option für API |
| KI-Inferenz (System-Fallback) | Anthropic PBC | USA | SCC nach Art. 46 DSGVO · EU-US Data Privacy Framework · keine Trainingsnutzung |
| OAuth + Kalender (optional, pro Nutzer) | Google Ireland Ltd. | Irland / USA | SCC nach Art. 46 DSGVO · EU-US Data Privacy Framework |
| Telegram-Bot (optional, pro Nutzer) | Telegram Messenger Inc. | Vereinigtes Königreich / VAE | SCC nach Art. 46 DSGVO; Aktivierung nur bei expliziter Kopplung durch den Nutzer |
Drittanbieter, die der Verantwortliche selbst über Integrationen anbindet (z. B. Lexware, easybill, DATEV, ClickUp, awork), gelten nicht als Subunternehmer des Auftragsverarbeiters; der Verantwortliche schließt mit diesen gegebenenfalls eigene Verträge ab.
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Mitteln bei der Erfüllung der Rechte betroffener Personen, insbesondere bei Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs- und Datenübertragungsanfragen.
(2) Wendet sich eine betroffene Person oder eine Aufsichtsbehörde direkt an den Auftragsverarbeiter, informiert dieser den Verantwortlichen unverzüglich und stimmt das weitere Vorgehen mit ihm ab.
(3) Primär verantwortlich für die Beantwortung von Anfragen betroffener Personen bleibt der Verantwortliche.
(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, über jeden Verstoß gegen den Schutz personenbezogener Daten im Sinne des Art. 33 DSGVO, der Daten des Verantwortlichen betrifft.
(2) Die Meldung enthält, soweit bekannt: Art des Vorfalls, Kategorien und Anzahl betroffener Personen, wahrscheinliche Folgen, ergriffene oder geplante Gegenmaßnahmen sowie eine Ansprechperson.
(3) Werden Daten des Verantwortlichen durch Pfändung, Beschlagnahme, Insolvenz oder andere Maßnahmen Dritter gefährdet, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich und weist die handelnden Stellen darauf hin, dass die Datenherrschaft beim Verantwortlichen liegt.
(1) Nach Beendigung des Hauptvertrags werden alle personenbezogenen Daten des Verantwortlichen auf Wunsch zunächst in einem strukturierten, gängigen und maschinenlesbaren Format exportiert (CSV / JSON).
(2) Anschließend löscht der Auftragsverarbeiter sämtliche Daten innerhalb von 30 Tagen irreversibel aus den Produktionssystemen. Backups werden im Rahmen der regulären Rotation automatisch überschrieben; die vollständige Entfernung aus Backups ist nach maximal weiteren 14 Tagen abgeschlossen.
(3) Gesetzliche Aufbewahrungspflichten (insbesondere aus §§ 147 AO, 257 HGB) bleiben unberührt. Für die Dauer der gesetzlichen Aufbewahrung wird die Verarbeitung auf das gesetzlich erforderliche Maß eingeschränkt.
(4) Die Löschung wird auf Anforderung in Textform bestätigt.
(1) Der Verantwortliche kann sich jederzeit von der Einhaltung dieses Vertrags überzeugen. Der Auftragsverarbeiter stellt dazu auf Anfrage geeignete Nachweise zur Verfügung – insbesondere Zertifikate seiner Subunternehmer, Auszüge aus diesem AVV, Audit-Berichte sowie eine aktuelle Liste der Subunternehmer.
(2) Reichen diese Nachweise nicht aus, kann der Verantwortliche eine Vor-Ort-Inspektion mit mindestens 30 Tagen Vorankündigung verlangen. Anlasslose Inspektionen sind auf eine pro Kalenderjahr begrenzt; bei begründetem Anlass (z. B. Datenschutzverletzung) bleibt das Recht auf zusätzliche Prüfungen unberührt.
(3) Inspektionen werden so durchgeführt, dass der laufende Betrieb nicht unverhältnismäßig beeinträchtigt wird; Kosten und Aufwand auf Seiten des Auftragsverarbeiters über das notwendige Maß hinaus sind vom Verantwortlichen zu tragen.
Ansprechpartner für Datenschutzfragen beim Auftragsverarbeiter:
Naumche Joshevski, Orangize Digital
datenschutz@dversum.com
Eine externe Datenschutzberatung wird bei Bedarf hinzugezogen; ein bestellter externer Datenschutzbeauftragter wird in dieser Liste benannt, sobald die gesetzlichen Schwellen (§ 38 BDSG) erreicht werden.
(1) Dieser AVV läuft solange, wie der Hauptvertrag (SaaS-Nutzungsvertrag) zwischen den Parteien besteht. Er kann von beiden Seiten mit einer Frist von 3 Monaten zum Monatsende gesondert gekündigt werden, sofern er nicht zugleich den Hauptvertrag entfallen lässt.
(2) Der Verantwortliche kann diesen Vertrag fristlos kündigen, wenn der Auftragsverarbeiter schwerwiegend gegen die Bestimmungen dieses Vertrags oder gegen Datenschutzvorschriften verstößt und der Verstoß nicht innerhalb einer angemessenen Frist behoben wird.
(1) Es gilt deutsches Recht.
(2) Ausschließlicher Gerichtsstand für Streitigkeiten aus diesem Vertrag ist – soweit gesetzlich zulässig – der Sitz des Auftragsverarbeiters.
(3) Änderungen und Ergänzungen bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.
(4) Dieser AVV ersetzt mit seinem Wirksamwerden alle früheren Vereinbarungen zwischen den Parteien über die Datenverarbeitung im Auftrag.
(5) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. An die Stelle der unwirksamen Bestimmung tritt die gesetzlich zulässige Regelung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.
Stand: 2026-06-16 · Wesentliche Änderungen werden den Verantwortlichen in Textform mitgeteilt.