Auftragsverarbeitungsvertrag (AVV)
nach Art. 28 DSGVO
Dieser AVV regelt die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag der Kanzlei. Er wird pro Kanzlei geschlossen und ist Bestandteil des Nutzungsvertrags. Für den verbindlichen Abschluss speichern Sie dieses Dokument als PDF, ergänzen die Angaben der verantwortlichen Kanzlei und unterzeichnen es; die Annahme wird beim Onboarding dokumentiert. [Vollständiger klickbarer Signatur-/Annahme-Flow ist in Vorbereitung.]
1. Parteien und Rollen
Verantwortliche: die jeweilige Kanzlei (Name, Anschrift, Vertretung werden beim Abschluss eingetragen).
Auftragsverarbeiter: Heinrich Neb, Im Burgblick 69, 56288 Kastellaun, Deutschland.
Die Kanzlei ist Verantwortliche i. S. d. Art. 4 Nr. 7 DSGVO; der Anbieter verarbeitet personenbezogene Daten ausschließlich weisungsgebunden (Art. 28 DSGVO).
2. Gegenstand, Art und Zweck
Gegenstand ist die Bereitstellung von Kanzlei-Kompass. Verarbeitet werden Stamm- und Kontaktdaten von Kanzlei-Mitarbeitenden sowie kanzleiseitig eingegebene Inhalts- und Kennzahlendaten (u. a. aus DATEV-Exporten). Kategorien betroffener Personen sind Mitarbeitende und ggf. weitere von der Kanzlei erfasste Personen. Die Dauer entspricht der Vertragslaufzeit.
3. Weisungsrecht
Der Anbieter verarbeitet Daten nur auf dokumentierte Weisung der Kanzlei. Hält er eine Weisung für rechtswidrig, teilt er dies mit.
4. Vertraulichkeit und Steuergeheimnis
Alle mit der Verarbeitung befassten Personen sind auf Vertraulichkeit sowie — soweit einschlägig — auf das Steuergeheimnis (§ 203 StGB) verpflichtet, bevor sie Zugriff auf Mandantendaten erhalten. [Namen der zugriffsberechtigten Personen und deren Verpflichtung als Anlage führen; derzeit dokumentiert: Heinrich Neb, Marc Schmidt.]
5. Technische und organisatorische Maßnahmen (Anlage TOMs, Art. 32)
| Maßnahme | Umsetzung |
|---|---|
| Mandantentrennung | Postgres Row Level Security (FORCE) auf allen Mandanten-Tabellen, fail-closed; jede Abfrage org-gescoped. Verifiziert: ohne Org-Kontext 0 Zeilen. |
| Transportverschlüsselung | TLS (Let's Encrypt), HSTS. |
| Verschlüsselung at rest | Mandanten-Datenbank auf dediziertem LUKS2-Volume (AES-XTS). |
| Backups | Tägliche, AES-256-verschlüsselte Backups mit Retention; Restore verifiziert; zusätzliche Off-Box-Kopie. |
| Authentifizierung / Zugriff | Keycloak (OIDC), erzwungener Login, Brute-Force-Schutz; kein Zugriff ohne gültige Session. |
| Hosting-Ort | Deutschland (Hetzner), keine Drittlandübermittlung der Mandantendaten. |
| KI-Verarbeitung (EU) | KI-Analysen über einen Auftragsverarbeiter mit Verarbeitung ausschließlich in der EU (Deutschland); AVV nach Art. 28 DSGVO, keine Drittlandübermittlung. [Rechtlich prüfen: Firmierung des Unterauftragsverarbeiters + AVV bestätigen.] |
| Protokollierung | Audit-Log sicherheitsrelevanter/destruktiver Aktionen (org-gescoped). |
6. Sub-Prozessoren
Die Kanzlei genehmigt den Einsatz folgender Sub-Prozessoren:
- Hetzner Online GmbH — Hosting (Deutschland).
- Stripe — Zahlungsabwicklung.
- Resend — transaktionaler E-Mail-Versand.
- Cloudflare — DNS (keine Inhalts-/Personendatenverarbeitung).
Ein externer KI-Dienstleister wird nicht eingesetzt. Änderungen der Sub-Prozessoren werden rechtzeitig mitgeteilt; der Kanzlei steht ein Widerspruchsrecht zu.
7. Anonyme Benchmark-Signale
Der Anbieter bildet aus der Nutzung anonyme, kategoriale Signale, um Kanzleien Vergleichswerte ihrer Größenklasse zu geben. Übermittelt werden ausschließlich: ein Thema aus einem festen Vokabular, eine grobe Ergebnis-Einordnung, ein Konfidenzwert sowie eine Größenklasse (1–5, 6–15, 16–50, 50+).
Ausgeschlossen sind: Auftragsdaten der Kanzlei, Mandanten- und Mitarbeiterdaten, Namen, Zieltexte, Kennzahlenwerte und die exakte Mitarbeiterzahl. Ein Freitextfeld existiert auf diesem Weg technisch nicht. Die beitragende Kanzlei wird nur über ein nicht umkehrbares Pseudonym gezählt; ein Muster wird erst ausgeliefert, wenn es von mindestens drei unabhängigen Kanzleien stammt. Diese Verarbeitung ist damitkeine Verarbeitung personenbezogener Auftragsdaten im Sinne dieses Vertrags. Die Kanzlei kann den Beitrag jederzeit in den Einstellungen deaktivieren.
8. Unterstützung des Verantwortlichen
Der Anbieter unterstützt die Kanzlei angemessen bei Betroffenenrechten (Auskunft, Löschung, Berichtigung, Datenübertragbarkeit), bei Datenschutz-Folgenabschätzungen und bei der Erfüllung von Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).
9. Löschung und Rückgabe
Nach Beendigung des Vertrags werden die verarbeiteten Daten nach Wahl der Kanzlei gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Org-Löschung entfernt sämtliche zugehörigen Mandantendaten kaskadierend.
10. Nachweise und Kontrollen
Der Anbieter stellt der Kanzlei die zum Nachweis der Einhaltung erforderlichen Informationen bereit und ermöglicht angemessene Überprüfungen.