1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen zum Zweck der Bereitstellung der Rechnungs- und Buchführungssoftware. Die Vereinbarung gilt für die Dauer der Nutzung.
2. Art, Umfang und Zweck
Verarbeitet werden Stammdaten (Kunden, Lieferanten, Artikel) sowie Beleg- und Zahlungsdaten, soweit für die Erstellung und Aufbewahrung von Rechnungen erforderlich.
3. Technisch-organisatorische Maßnahmen (Art. 32)
Verschlüsselung in Transit (TLS 1.3) und at rest, mandantengetrennte Zugriffskontrolle (Row-Level-Security), unveränderbares Audit-Log sowie Hosting in der EU.
4. Unterauftragsverarbeiter
Es werden ausschließlich Unterauftragsverarbeiter mit Sitz bzw. Verarbeitung in der EU eingesetzt (u.a. Hosting, Datenbank, E-Mail-Versand). Ergänzend betreibt der Auftragsverarbeiter eine selbst gehostete, cookielose Reichweitenmessung (Matomo, ebenfalls auf eigener EU-Infrastruktur) zur Verbesserung der Anwendung auf Grundlage seines eigenen berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) — sie ist kein Unterauftragsverarbeiter im Sinne dieser Vereinbarung, da keine Übermittlung an einen Dritten stattfindet, und wertet keine Auftragsdaten nach Ziffer 2 aus (Details: Datenschutzerklärung, Ziffer 6).
5. Betroffenenrechte und Löschung
Steuerrelevante Daten werden bei Löschanfragen gemäß Art. 17 Abs. 3b DSGVO gesperrt statt gelöscht und nach Ablauf der gesetzlichen Aufbewahrungsfrist (10 Jahre, GoBD) endgültig gelöscht.