Vertrag über die Auftragsverarbeitung (AVV)

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch Nurb44 im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der cloudbasierten ERP-Software „Nurb44“ einschließlich aller Module und des Kundenportals.

(2) Der Verantwortliche ist für die Rechtmäßigkeit der Erhebung, Verarbeitung und Nutzung der Daten sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Nurb44 verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Bestellung der Software und die bestimmungsgemäße Bedienung gelten als entsprechende Weisung.

(1) Art der Verarbeitung: Bereitstellung, Speicherung, Strukturierung, Übermittlung, Analyse und Löschung von Daten innerhalb der ERP-Software, insbesondere in den Modulen Artikelverwaltung, CRM, Produktion, Lager, Buchhaltung, Personal, Kommunikation sowie im Kundenportal.

(2) Zweck der Verarbeitung: Vertragserfüllung aus dem Nutzungsvertrag, also die Bereitstellung der Software und ihrer Funktionen für die Geschäftsprozesse des Verantwortlichen.

(3) Dauer: Die Verarbeitung erfolgt für die Laufzeit des Nutzungsvertrags; für die Zeit nach Vertragsende gilt § 11.

(1) Kategorien betroffener Personen (je nach Nutzung durch den Verantwortlichen):

• Mitarbeiter des Verantwortlichen (inkl. Abwesenheits- und Anwesenheitsdaten),
• Kunden, Interessenten und deren Ansprechpartner,
• Lieferanten und deren Ansprechpartner,
• Besteller über das Kundenportal.

(2) Arten personenbezogener Daten (je nach Nutzung):

• Stammdaten (Name, Adresse, Kontaktdaten, Unternehmenszugehörigkeit),
• Vertrags- und Abrechnungsdaten (Aufträge, Rechnungen, Zahlungsdaten),
• Kommunikationsdaten (E-Mails, WhatsApp-Nachrichten, Telefonnummern),
• Konstruktions- und Projektdaten (CAD-Dateien, Zeichnungen, Spezifikationen),
• Kalender- und Termindaten,
• Nutzungs- und Protokolldaten (Logins, Token-Verbrauch der KI-Funktionen),
• Beschäftigtendaten im Rahmen der Personalverwaltung (Rollen, Arbeitszeiten).

(3) Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht Zweck dieses Vertrags. Der Verantwortliche stellt sicher, dass solche Daten nur dann in die Software eingestellt werden, wenn hierfür eine Rechtsgrundlage besteht, und informiert Nurb44 in diesem Fall vorab in Textform.

Nurb44 verpflichtet sich insbesondere:

• personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO),
• alle mit der Verarbeitung beauftragten Personen zur Vertraulichkeit zu verpflichten (Art. 28 Abs. 3 lit. b DSGVO),
• die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen umzusetzen und aufrechtzuerhalten (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO),
• den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) mit angemessenen technischen und organisatorischen Maßnahmen zu unterstützen (Art. 28 Abs. 3 lit. e DSGVO); Anfragen betroffener Personen, die unmittelbar bei Nurb44 eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet,
• den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Folgenabschätzung) zu unterstützen (Art. 28 Abs. 3 lit. f DSGVO),
• dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntnis, zu melden,
• die Daten nach Vertragsende nach Wahl des Verantwortlichen zu löschen oder zurückzugeben (§ 11; Art. 28 Abs. 3 lit. g DSGVO),
• alle zur Nachweisführung erforderlichen Informationen bereitzustellen und Kontrollen zu ermöglichen (§ 9; Art. 28 Abs. 3 lit. h DSGVO),
• den Verantwortlichen unverzüglich zu informieren, wenn Nurb44 der Meinung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt (Art. 28 Abs. 3 Satz 2 DSGVO).

(1) Weisungen erfolgen in Textform (E-Mail genügt) an den jeweils benannten Ansprechpartner oder über die in der Software bereitgestellten Funktionen (z. B. Export, Löschung). Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(2) Ist Nurb44 nach Unionsrecht oder dem Recht der Mitgliedstaaten zu einer weitergehenden Verarbeitung verpflichtet, teilt Nurb44 dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

(1) Nurb44 setzt die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (TOM) um. Diese gewährleisten ein dem Risiko angemessenes Schutzniveau im Sinne des Art. 32 DSGVO.

(2) Nurb44 ist berechtigt, die TOM an den Stand der Technik anzupassen, sofern das vereinbarte Schutzniveau dadurch nicht unterschritten wird. Wesentliche Änderungen werden dem Verantwortlichen auf Anfrage mitgeteilt.

(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Subunternehmer (Art. 28 Abs. 2 DSGVO) zu. Nurb44 stellt durch Vertrag sicher, dass die Subunternehmer denselben Datenschutzpflichten unterliegen wie Nurb44 (Art. 28 Abs. 4 DSGVO).

(2) Über beabsichtigte Änderungen der Subunternehmer-Liste (Hinzufügung oder Ersetzung) informiert Nurb44 den Verantwortlichen mindestens vier Wochen vorher in Textform oder durch Veröffentlichung der aktualisierten Anlage 2 mit gesonderter Mitteilung. Der Verantwortliche kann der Änderung innerhalb von vier Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Im Fall eines begründeten Widerspruchs, der nicht beigelegt werden kann, steht beiden Parteien ein Sonderkündigungsrecht zu.

Die Verarbeitung personenbezogener Daten erfolgt grundsätzlich in Rechenzentren innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Soweit einzelne Subunternehmer (Anlage 2) Daten in Drittländern verarbeiten (insbesondere USA), erfolgt dies nur unter den Garantien der Art. 44 ff. DSGVO — vorrangig auf Grundlage der Zertifizierung unter dem EU-US Data Privacy Framework (Art. 45 DSGVO) oder von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) einschließlich ergänzender Schutzmaßnahmen.

(1) Der Verantwortliche kann die Einhaltung dieses Vertrags und der TOM prüfen. Nurb44 stellt hierfür auf Anfrage geeignete Nachweise zur Verfügung (z. B. aktuelle TOM-Beschreibung, Subunternehmer-Liste, Zertifikate der Subunternehmer).

(2) Kontrollen vor Ort sind nach rechtzeitiger Ankündigung (mindestens zwei Wochen) während der üblichen Geschäftszeiten höchstens einmal jährlich zulässig und so durchzuführen, dass der Betrieb nicht gestört wird. Weitergehende Kontrollen sind zulässig, wenn eine konkrete Verletzung des Schutzes personenbezogener Daten Anlass dazu gibt. Nurb44 kann die mit der Kontrolle verbundenen angemessenen Aufwendungen ersetzt verlangen.

Für die Haftung der Parteien gelten die Haftungsregelungen des Nutzungsvertrags (§ 11 der AGB). Im Verhältnis zu betroffenen Personen bleibt Art. 82 DSGVO unberührt.

(1) Nach Beendigung des Nutzungsvertrags stellt Nurb44 dem Verantwortlichen die Daten für 30 Tage über die Standard-Exportfunktionen zur Verfügung.

(2) Nach Ablauf dieser Frist löscht Nurb44 alle verarbeiteten personenbezogenen Daten einschließlich vorhandener Sicherungskopien innerhalb einer angemessenen Frist von höchstens 90 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Verantwortliche kann die Löschung auf Anfrage schriftlich bestätigen lassen.

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform; dies gilt nicht für Aktualisierungen der Anlagen 1 und 2 gemäß § 6 Abs. 2 und § 7 Abs. 2.

(2) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz von Nurb44, soweit gesetzlich zulässig.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Rechenzentren mit zertifizierter Zutrittskontrolle der Betreiber (Microsoft Azure); kein physischer Zugriff Dritter auf Server durch Nurb44-Mitarbeiter außerhalb der Betreiberprozesse.
• Zugangskontrolle: Authentifizierung per Benutzername/Passwort mit serverseitiger Sitzungsvalidierung (JWT); rollenbasierte Berechtigungen; Sperrung von Zugängen bei Missbrauchsverdacht; Passwort-Hashing nach Stand der Technik.
• Zugriffskontrolle: Mandantentrennung auf Datenbankebene (jeder Mandant greift nur auf die eigenen Unternehmensdaten zu); Berechtigungskonzept nach dem Need-to-know-Prinzip; Protokollierung sicherheitsrelevanter Ereignisse.
• Weitergabekontrolle: Verschlüsselte Übertragung aller Daten per TLS; verschlüsselte Speicherung in der Datenbank und im Objektspeicher; kein unverschlüsselter Versand personenbezogener Daten.
• Auftragskontrolle: Subunternehmer nur nach vertraglicher Vereinbarung datenschutzrechtlicher Pflichten; Weisungsbindung dokumentiert.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Eingabekontrolle durch Protokollierung von Änderungen an sicherheits- und abrechnungsrelevanten Daten (Audit-Trail im Buchhaltungsmodul); GoBD-konforme Unveränderbarkeit finalisierter Belege.
• Versionierte Softwarebereitstellung mit kontrolliertem Deployment-Prozess.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

• Regelmäßige, automatisierte Datensicherungen der Datenbanken.
• Redundante Infrastruktur des Hosting-Anbieters.
• Schutzmaßnahmen gegen Schadsoftware und unbefugte Zugriffe auf Infrastrukturebene (Firewalls, Zugriffsbeschränkungen, Monitoring).
• Prozess zur Wiederherstellung der Daten nach einem Störfall.

4. Trennbarkeit

• Strikte Mandantentrennung: Daten eines Verantwortlichen sind für andere Mandanten nicht einsehbar; Dateien werden mandantenbezogen abgelegt.
• Getrennte Verarbeitungszwecke je Modul.

5. Organisatorische Maßnahmen

• Vertraulichkeitsverpflichtung aller Beschäftigten und Erfüllungsgehilfen.
• Prozess zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen.
• Regelmäßige Überprüfung und Anpassung der Maßnahmen an den Stand der Technik.

Der Verantwortliche stimmt dem Einsatz der folgenden Subunternehmer zu (Änderungsverfahren gemäß § 7 Abs. 2):

Hinweis: Die Angaben zum Verarbeitungsort und zu den Garantien entsprechen dem Stand bei Veröffentlichung dieses Vertrags. Nurb44 aktualisiert diese Anlage bei Änderungen gemäß § 7 Abs. 2.