Vertrag über die Auftragsverarbeitung (AVV)

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch Nurb44 im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der cloudbasierten ERP-Software „Nurb44“ einschließlich aller Module, des Kundenportals, der KI-Funktionen und der vom Verantwortlichen angebundenen Kommunikationskanäle.

(2) Der Verantwortliche ist für die Rechtmäßigkeit der Erhebung, Verarbeitung und Nutzung der Daten sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Nurb44 verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; der Abschluss des Nutzungsvertrags, die Konfiguration und die bestimmungsgemäße Bedienung der Software gelten als Weisung.

(3) Nicht Gegenstand dieses Vertrags sind Daten, die Nurb44 in eigener Verantwortung verarbeitet (Vertrags-, Konto-, Abrechnungs- und Zugriffsdaten des Verantwortlichen; vgl. Ziffer 1 der Datenschutzerklärung).

(1) Art der Verarbeitung: Erhebung, Speicherung, Strukturierung, Analyse, Übermittlung, Bereitstellung und Löschung von Daten innerhalb der Software, insbesondere in den Modulen Artikel- und Stammdatenverwaltung, Kalkulation, Kunden- und Lieferantenverwaltung, Aufträge, Produktion, Lager, Buchhaltung, Personal und Kommunikation sowie im Kundenportal und in den KI-Funktionen.

(2) Zweck der Verarbeitung: Bereitstellung der Software und ihrer Funktionen für die Geschäftsprozesse des Verantwortlichen gemäß Nutzungsvertrag.

(3) Dauer: für die Laufzeit des Nutzungsvertrags; für die Zeit danach gilt § 11.

(1) Kategorien betroffener Personen (je nach Nutzung durch den Verantwortlichen):

• Mitarbeiter des Verantwortlichen (einschließlich Anwesenheits- und Abwesenheitsdaten),
• Kunden, Interessenten und deren Ansprechpartner,
• Lieferanten, Fremdfertiger und deren Ansprechpartner,
• Nutzer des Kundenportals (registrierte Besteller und Gäste der Sofort-Kalkulation),
• Personen, die mit KI-Assistenten des Verantwortlichen kommunizieren (z. B. über WhatsApp).

(2) Arten personenbezogener Daten (je nach Nutzung):

• Stammdaten (Name, Anschrift, Kontaktdaten, Unternehmenszugehörigkeit),
• Vertrags- und Abrechnungsdaten (Angebote, Aufträge, Rechnungen, Zahlungsdaten),
• Kommunikationsdaten (E-Mails, WhatsApp-Nachrichten, Telefonnummern, Gesprächsverläufe mit KI-Assistenten),
• Konstruktions- und Projektdaten (CAD-Dateien, Zeichnungen, Spezifikationen),
• Dokumente der Wissensdatenbank,
• Kalender- und Termindaten,
• Nutzungs- und Protokolldaten (Anmeldungen, Änderungshistorie, Nutzungsumfang der KI-Funktionen),
• Beschäftigtendaten im Rahmen der Personal- und Zeitverwaltung (Rollen, Arbeitszeiten, Zeitbuchungen am Terminal).

(3) Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht Zweck dieses Vertrags. Der Verantwortliche stellt sicher, dass solche Daten nur dann in die Software eingestellt werden, wenn hierfür eine Rechtsgrundlage besteht, und informiert Nurb44 in diesem Fall vorab in Textform.

Nurb44 verpflichtet sich insbesondere:

• personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO),
• alle mit der Verarbeitung befassten Personen zur Vertraulichkeit zu verpflichten (Art. 28 Abs. 3 lit. b DSGVO),
• die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen umzusetzen und aufrechtzuerhalten (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO),
• den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) mit angemessenen technischen und organisatorischen Maßnahmen zu unterstützen (Art. 28 Abs. 3 lit. e DSGVO); Anfragen betroffener Personen, die unmittelbar bei Nurb44 eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet,
• den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation) zu unterstützen (Art. 28 Abs. 3 lit. f DSGVO),
• dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die seine Daten betreffen, unverzüglich und spätestens innerhalb von 48 Stunden nach Kenntnis mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben zu melden, damit der Verantwortliche seine Meldefrist von 72 Stunden einhalten kann,
• die Daten nach Vertragsende nach Wahl des Verantwortlichen zu löschen oder zurückzugeben (§ 11; Art. 28 Abs. 3 lit. g DSGVO),
• alle zur Nachweisführung erforderlichen Informationen bereitzustellen und Kontrollen zu ermöglichen (§ 9; Art. 28 Abs. 3 lit. h DSGVO),
• den Verantwortlichen unverzüglich zu informieren, wenn Nurb44 der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

(1) Weisungsberechtigt sind die vom Verantwortlichen als Administratoren eingerichteten Benutzer. Weisungen erfolgen in Textform (E-Mail genügt) an die im Impressum genannte Adresse oder über die in der Software bereitgestellten Funktionen (z. B. Berechtigungen, Export, Löschung). Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(2) Ist Nurb44 nach dem Recht der Union oder eines Mitgliedstaats zu einer weitergehenden Verarbeitung verpflichtet, teilt Nurb44 dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

(1) Nurb44 setzt die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (TOM) um. Sie gewährleisten ein dem Risiko angemessenes Schutzniveau im Sinne des Art. 32 DSGVO.

(2) Nurb44 darf die TOM an den Stand der Technik anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar; wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.

(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Subunternehmer zu (allgemeine Genehmigung, Art. 28 Abs. 2 DSGVO). Nurb44 stellt durch Vertrag sicher, dass die Subunternehmer denselben Datenschutzpflichten unterliegen wie Nurb44 selbst (Art. 28 Abs. 4 DSGVO).

(2) Über beabsichtigte Änderungen der Subunternehmer (Hinzufügung oder Ersetzung) informiert Nurb44 den Verantwortlichen mindestens vier Wochen vorher in Textform oder in der Software. Der Verantwortliche kann der Änderung innerhalb von vier Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Kann ein begründeter Widerspruch nicht beigelegt werden, steht beiden Parteien ein Sonderkündigungsrecht für den Nutzungsvertrag zu.

(3) Keine Subunternehmer sind Dienste, die der Verantwortliche selbst beauftragt und in die Software einbindet (insbesondere sein WhatsApp-Business-Konto bei Meta und eigene E-Mail-Domains). Für diese ist der Verantwortliche selbst Vertragspartner des jeweiligen Anbieters.

Die Verarbeitung erfolgt grundsätzlich in Rechenzentren innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Soweit einzelne Subunternehmer (Anlage 2) Daten in Drittländern verarbeiten (insbesondere USA), erfolgt dies nur unter den Garantien der Art. 44 ff. DSGVO, vorrangig auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO) und ergänzend bzw. hilfsweise auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) einschließlich zusätzlicher Schutzmaßnahmen.

(1) Der Verantwortliche kann die Einhaltung dieses Vertrags und der TOM überprüfen. Nurb44 stellt hierfür auf Anfrage geeignete Nachweise zur Verfügung (z. B. aktuelle TOM-Beschreibung, Subunternehmerliste, Zertifikate und Auditberichte der Subunternehmer).

(2) Kontrollen vor Ort sind nach Ankündigung mit angemessener Frist (mindestens zwei Wochen) während der üblichen Geschäftszeiten höchstens einmal jährlich zulässig und so durchzuführen, dass der Betrieb nicht gestört wird. Weitergehende Kontrollen sind zulässig, wenn eine konkrete Verletzung des Schutzes personenbezogener Daten oder eine behördliche Anordnung Anlass dazu gibt. Nurb44 kann die mit einer Kontrolle verbundenen angemessenen Aufwendungen ersetzt verlangen, sofern die Kontrolle keine Verstöße ergibt.

Für die Haftung der Parteien untereinander gelten die Haftungsregelungen des Nutzungsvertrags (§ 12 der AGB). Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

(1) Nach Beendigung des Nutzungsvertrags hält Nurb44 die Daten für 30 Tage zum Abruf über die Export- und Downloadfunktionen der Software bereit und stellt auf Anfrage innerhalb dieser Frist einen Gesamtexport in einem gängigen, maschinenlesbaren Format bereit.

(2) Nach Ablauf dieser Frist löscht Nurb44 alle im Auftrag verarbeiteten personenbezogenen Daten einschließlich der Sicherungskopien innerhalb von 90 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Verantwortliche kann die Löschung auf Anfrage in Textform bestätigen lassen.

(3) Während der Vertragslaufzeit löscht der Verantwortliche Daten selbst über die Funktionen der Software. Gelöschte Datensätze werden in einem Papierkorb vorgehalten und nach dessen Leerung endgültig entfernt; Sicherungskopien rotieren innerhalb von 90 Tagen.

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform; dies gilt nicht für Aktualisierungen der Anlagen 1 und 2 nach § 6 Abs. 2 und § 7 Abs. 2.

(2) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Bielefeld, soweit gesetzlich zulässig.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Im Zweifel gelten die zwingenden Vorgaben des Art. 28 DSGVO.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Betrieb in Rechenzentren von Microsoft Azure mit zertifizierter Zutrittskontrolle (u. a. ISO/IEC 27001); kein physischer Zugriff von Nurb44 auf Server.
• Zugangskontrolle: Anmeldung mit Benutzername und Passwort (Hashing nach Stand der Technik), optionale Zwei-Faktor-Authentifizierung (TOTP) für Benutzer und Terminals, kurzlebige Zugriffstoken mit serverseitig widerrufbarer Sitzung (HttpOnly-Cookie), Sperrung von Zugängen bei Missbrauchsverdacht, Bot-Schutz für öffentliche Funktionen des Kundenportals.
• Zugriffskontrolle: Mandantentrennung auf Datenbank- und Dateiebene (jeder Mandant sieht nur eigene Daten); rollenbasiertes Berechtigungskonzept, das der Verantwortliche selbst verwaltet; Support-Zugriffe von Nurb44 auf Mandantendaten nur anlassbezogen zur Störungsbehebung und als Support-Sitzung gekennzeichnet.
• Weitergabekontrolle: Verschlüsselte Übertragung aller Daten per TLS; verschlüsselte Speicherung in Datenbank und Objektspeicher; Content-Security-Policy und weitere Sicherheits-Header in der Web-Anwendung.
• Auftragskontrolle: Subunternehmer nur nach vertraglicher Vereinbarung datenschutzrechtlicher Pflichten; dokumentierte Weisungsbindung.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Änderungshistorie für geschäftsrelevante Datensätze mit handelnder Person und Zeitpunkt; GoBD-konforme Unveränderbarkeit finalisierter Belege.
• Versionierte Softwarebereitstellung mit kontrolliertem Deployment-Prozess.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

• Regelmäßige, automatisierte Sicherungen der Datenbanken und Dateispeicher.
• Redundante Infrastruktur des Hosting-Anbieters.
• Schutz gegen Schadsoftware und unbefugte Zugriffe auf Infrastrukturebene (Firewalls, Zugriffsbeschränkungen, Monitoring).
• Verfahren zur Wiederherstellung der Daten nach einem Störfall.

4. Trennbarkeit

• Strikte Mandantentrennung: Daten eines Verantwortlichen sind für andere Mandanten nicht erreichbar; Dateien werden mandantenbezogen abgelegt.
• Trennung von Entwicklungs-, Test- und Produktivsystemen.

5. Organisatorische Maßnahmen

• Vertraulichkeitsverpflichtung aller Beschäftigten und Erfüllungsgehilfen.
• Verfahren zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen.
• Regelmäßige Überprüfung und Anpassung der Maßnahmen an den Stand der Technik.

Der Verantwortliche stimmt dem Einsatz der folgenden Subunternehmer zu (Änderungsverfahren gemäß § 7 Abs. 2):

Weitere Empfänger, die Daten in eigener Verantwortung bzw. im Auftrag des Verantwortlichen verarbeiten (keine Subunternehmer von Nurb44):

Die Angaben entsprechen dem Stand bei Veröffentlichung dieser Fassung. Nurb44 aktualisiert diese Anlage bei Änderungen gemäß § 7 Abs. 2.