Diese Auftragsverarbeitungsvereinbarung ("AVV") wird zwischen {{controller_name}}, {{controller_address}} ("Verantwortlicher"), und der TaxRouter UG (haftungsbeschränkt), Lange Reihe 14, 20099 Hamburg ("Auftragsverarbeiter"), geschlossen. Sie ist Bestandteil des Vertrags, auf dessen Grundlage der Auftragsverarbeiter TaxRouter-Dienste für den Verantwortlichen erbringt ("Hauptvertrag").
1. Geltungsbereich und Rangfolge
Diese AVV gilt, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen im Sinne von Art. 28 DSGVO verarbeitet. Widerspricht diese AVV dem Hauptvertrag hinsichtlich der Verarbeitung personenbezogener Daten, geht diese AVV vor. Zwingendes Datenschutzrecht geht beiden vor.
Der Verantwortliche bleibt für die Festlegung von Zwecken und wesentlichen Mitteln sowie für Rechtmäßigkeit, Transparenz, Richtigkeit und Betroffeneninformationen seiner Verarbeitung verantwortlich.
2. Einzelheiten der Verarbeitung
Gegenstand, Dauer, Art, Zweck, Datenkategorien und betroffene Personen ergeben sich aus Anlage 1. Die Verarbeitung dauert für die Laufzeit des Hauptvertrags und den zur Rückgabe oder Löschung erforderlichen Zeitraum an, soweit keine gesetzliche Pflicht zur weiteren Verarbeitung besteht.
3. Dokumentierte Weisungen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen ergeben sich insbesondere aus Hauptvertrag, dieser AVV, Nutzung und Konfiguration des Dienstes sowie autorisierten Supportanfragen. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Verantwortlichen, soweit dies rechtlich zulässig ist, und darf die betroffene Verarbeitung bis zur Klärung aussetzen.
Verlangt Unionsrecht oder das Recht eines Mitgliedstaats eine Verarbeitung außerhalb der Weisungen, informiert der Auftragsverarbeiter den Verantwortlichen vorab, sofern das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.
4. Vertraulichkeit und Personal
Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung befugte Personen der Vertraulichkeit oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur im für ihre Aufgaben erforderlichen Umfang Zugriff erhalten. Für relevante Personen werden angemessene Datenschutz- und Sicherheitsmaßnahmen zur Sensibilisierung unterhalten.
5. Sicherheit
Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen, Zwecken und Risiken der Verarbeitung setzt der Auftragsverarbeiter angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO um. Die geltenden Maßnahmen sind in dem als Anlage 2 einbezogenen Dokument zu den technischen und organisatorischen Maßnahmen beschrieben.
Einzelne Maßnahmen dürfen aktualisiert werden, sofern das Gesamtschutzniveau nicht wesentlich verringert wird. Wesentliche Verringerungen bedürfen der vorherigen Zustimmung des Verantwortlichen, soweit gesetzlich erforderlich.
6. Unterauftragsverarbeiter
Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung zum Einsatz der in der aktuellen Liste der Unterauftragsverarbeiter genannten Anbieter. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter zu Datenschutzpflichten mit im Wesentlichen gleichwertigem Schutz für die jeweilige Verarbeitung und bleibt nach Maßgabe von Art. 28 DSGVO für deren Leistung verantwortlich.
Eine beabsichtigte Hinzuziehung oder Ersetzung wird mindestens 30 Kalendertage vor der Änderung mitgeteilt. Der Verantwortliche kann innerhalb von 14 Kalendertagen nach Zugang der Mitteilung aus angemessenen Datenschutzgründen widersprechen. Die Parteien bemühen sich nach Treu und Glauben um eine Lösung. Ist keine angemessene Lösung möglich, kann der Verantwortliche den von der Änderung betroffenen Dienst mit einer Frist von 30 Tagen zum Monatsende außerordentlich kündigen; die Kündigung berührt den Hauptvertrag im Übrigen nicht.
7. Internationale Übermittlungen
Der Auftragsverarbeiter übermittelt personenbezogene Daten nur auf dokumentierte Weisung und auf Grundlage eines rechtmäßigen Übermittlungsmechanismus an ein Drittland oder eine internationale Organisation. Soweit Standardvertragsklauseln verwendet werden, stellt er die anwendbaren Module, ergänzenden Maßnahmen und Transferprüfungen im gesetzlich erforderlichen Umfang bereit. Der Auftragsverarbeiter benennt dem Verantwortlichen auf Anfrage die Drittländer, in die personenbezogene Daten im Rahmen des Dienstes tatsächlich übermittelt werden, sowie den jeweils genutzten Übermittlungsmechanismus (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln nebst genutztem Modul und ergänzenden Maßnahmen).
8. Unterstützung des Verantwortlichen
Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen angemessen bei:
- der Beantwortung von Anträgen zur Ausübung von Betroffenenrechten;
- der Einhaltung der Sicherheitspflichten nach Art. 32 bis 34 DSGVO;
- Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Art. 35 und 36 DSGVO; und
- Informationen, die zum Nachweis der Einhaltung von Art. 28 DSGVO angemessen erforderlich sind.
Wendet sich eine betroffene Person oder Aufsichtsbehörde unmittelbar wegen Daten des Verantwortlichen an den Auftragsverarbeiter, verweist dieser die Anfrage an den Verantwortlichen, sofern er nicht gesetzlich zu einer Antwort verpflichtet ist, und antwortet ohne Autorisierung nicht inhaltlich.
Unterstützungsleistungen im üblichen Umfang sind mit den Servicegebühren nach dem Hauptvertrag abgegolten. Übersteigt eine Anfrage des Verantwortlichen den üblichen Umfang erheblich oder erfordert sie außergewöhnlichen Aufwand (insbesondere umfangreiche manuelle Aufbereitung, gesonderte technische Analysen oder Unterstützung bei einer behördlichen Prüfung), kann der Auftragsverarbeiter hierfür eine angemessene Vergütung nach den im Hauptvertrag hinterlegten Sätzen verlangen und informiert den Verantwortlichen vor Beginn solcher Arbeiten über den voraussichtlich anfallenden Aufwand. Anfragen sind an info@taxrouter.com zu richten; der Auftragsverarbeiter bestätigt den Eingang innerhalb von 2 Werktagen und nennt eine voraussichtliche Bearbeitungsdauer. Zwingende Pflichten des Auftragsverarbeiters nach Art. 28 Abs. 3 lit. e) und f) DSGVO bleiben hiervon unberührt.
9. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten des Verantwortlichen bekannt wurde. Die Mitteilung enthält die verfügbaren Angaben für Prüfung und Meldepflichten, insbesondere Art der Verletzung, wahrscheinliche Folgen, betroffene Daten und Personen sowie ergriffene oder vorgeschlagene Maßnahmen. Noch nicht gleichzeitig verfügbare Angaben können schrittweise bereitgestellt werden.
Der Auftragsverarbeiter strebt eine Erstmeldung an den Verantwortlichen innerhalb von 24 Stunden nach Kenntniserlangung an, unbeschadet der Pflicht zur unverzüglichen Information nach Absatz 1. Meldungen erfolgen an die vom Verantwortlichen benannte Kontaktadresse sowie über den überwachten Sicherheitskontakt des Auftragsverarbeiters unter info@taxrouter.com. Bleibt eine Rückmeldung länger als 24 Stunden aus, kann der Verantwortliche über das Kontaktformular zu Händen des Geschäftsführers eskalieren. Die Kommunikation erfolgt über einen für personenbezogene Daten geeigneten, verschlüsselten Kanal.
10. Kontrollen und Nachweise
Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung dieser AVV erforderlichen Informationen bereit und ermöglicht Kontrollen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten unabhängigen Prüfer. Kontrollen müssen Vertraulichkeit, Sicherheit, andere Kunden und Betriebskontinuität wahren und sollen grundsätzlich zuerst aktuelle Zertifizierungen, unabhängige Berichte, Fragebögen und Remote-Nachweise nutzen.
Soweit nicht eine Datenschutzverletzung, ein begründeter Compliance-Verdacht oder eine Aufsichtsbehörde etwas anderes erfordert, sind Vor-Ort-Kontrollen auf einmal pro Kalenderjahr begrenzt, mit angemessener Frist anzukündigen, während der Geschäftszeiten und auf Kosten des Verantwortlichen durchzuführen. Prüfer dürfen keine unmittelbaren Wettbewerber sein und müssen der Vertraulichkeit unterliegen.
11. Rückgabe und Löschung
Nach Wahl des Verantwortlichen und vorbehaltlich des Hauptvertrags gibt der Auftragsverarbeiter personenbezogene Daten nach Ende der Dienste zurück oder löscht sie einschließlich vorhandener Kopien, sofern keine unions- oder mitgliedstaatliche Speicherungspflicht besteht. Daten in Backups werden von der gewöhnlichen Nutzung isoliert und im Rahmen dokumentierter Backup-Löschzyklen gelöscht.
Der Verantwortliche kann innerhalb von 30 Kalendertagen nach Beendigung der Dienste den Export seiner Daten in einem gängigen, maschinenlesbaren Format verlangen. Nach Ablauf dieses Exportfensters löscht der Auftragsverarbeiter die Daten in den produktiven Systemen innerhalb weiterer 30 Kalendertage. Daten in Backups werden spätestens 90 Kalendertage nach Beendigung der Dienste im Rahmen des regulären Backup-Löschzyklus überschrieben oder gelöscht. Auf Verlangen bestätigt der Auftragsverarbeiter die durchgeführte Löschung in Textform. Unterlagen, die einer gesetzlichen Aufbewahrungspflicht unterliegen, werden von der weiteren Verarbeitung isoliert, ausschließlich zur Erfüllung dieser Pflicht vorgehalten und nach Ablauf der jeweiligen Frist gelöscht.
12. Haftung und Laufzeit
Diese AVV gilt, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag verarbeitet. Die Haftung richtet sich im rechtlich zulässigen Umfang nach dem Hauptvertrag, ohne zwingende Rechte oder Haftung nach der DSGVO einzuschränken.
Anlage 1 — Beschreibung der Verarbeitung
Gegenstand und Zweck
Bereitstellung, Absicherung, Support und Wartung von TaxRouter, einschließlich autorisierter Marketplace-Datensynchronisierung, Importnormalisierung, Umsatzsteuer- und Buchhaltungsworkflows, Abstimmung, Nachweisverwaltung, Exporten, Nutzer- und Zugriffsverwaltung, Support und Audit-Trails.
Art der Verarbeitung
Erheben, Empfangen, Zugriff, Ordnen, Strukturieren, Speichern, Anpassen, Auslesen, Abfragen, Abgleichen, Berechnen, Übermitteln an autorisierte Empfänger, Einschränken, Exportieren und Löschen nach Konfiguration oder Weisung.
Dauer
Für die Laufzeit des Hauptvertrags zuzüglich vereinbarter Rückgabe- und Löschzeiträume sowie zwingender gesetzlicher Aufbewahrung.
Kategorien betroffener Personen
- Nutzer, Beschäftigte, Auftragnehmer und Berater des Verantwortlichen;
- Kunden, Lieferanten und Geschäftskontakte des Verantwortlichen;
- Marketplace-Käufer, -Verkäufer, Empfänger und weitere in autorisierten Quelldaten enthaltene Personen; und
- sonstige Personen, deren Daten der Verantwortliche rechtmäßig an den Dienst übermittelt.
Kategorien personenbezogener Daten
- Identitäts-, Konto-, Rollen- und Kontaktdaten;
- Organisations-, Vertrags-, Abrechnungs- und Supportdaten;
- Transaktions-, Bestell-, Rechnungs-, Zahlungsreferenz-, Settlement-, Steuer-, Umsatzsteuer-, Versand- und Buchhaltungsdaten;
- Integrationskennungen, Autorisierungsmetadaten, Synchronisierungsstatus und Protokolle;
- Dokumente, Exporte, Kommunikation und hochgeladene Dateien; und
- Geräte-, IP-, Audit-, Diagnose- und Sicherheitsdaten.
Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO sowie von Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DSGVO ist nicht Gegenstand dieser AVV und im Rahmen des Dienstes ausgeschlossen. Der Verantwortliche stellt sicher, dass er keine derartigen Daten in den Dienst einbringt; verstößt er hiergegen, haftet er für die hieraus entstehenden Schäden und stellt den Auftragsverarbeiter insoweit von Ansprüchen Dritter frei.
Weisungen des Verantwortlichen
Hauptvertrag, diese AVV, Einstellungen und Handlungen autorisierter Nutzer, dokumentierte Supportanfragen und weitere zwischen den Parteien vereinbarte rechtmäßige schriftliche Weisungen.
Anlage 2 — Technische und organisatorische Maßnahmen
Die im Vertrag oder Zustimmungsnachweis bezeichnete Version des Dokuments zu technischen und organisatorischen Maßnahmen bildet Anlage 2. Unter der stabilen URL https://taxrouter.com/legal/technical-organizational-measures wird die jeweils aktuelle freigegebene Version angezeigt; für die einbezogene Fassung sind die protokollierte Version und der unveränderliche Zustimmungsnachweis maßgeblich.
Anlage 3 — Genehmigte Unterauftragsverarbeiter
Die im Vertrag oder Zustimmungsnachweis bezeichnete Version der Liste der Unterauftragsverarbeiter bildet Anlage 3. Unter der stabilen URL https://taxrouter.com/legal/subprocessors wird die jeweils aktuelle freigegebene Version angezeigt. Spätere Änderungen richten sich nach Abschnitt 6 und verändern nicht den Nachweis darüber, welche Version angenommen wurde.