Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO. Stand: 26. September 2026.
Zwischen dem Kunden der Software Angebotsmanager (nachfolgend „Auftraggeber“) und Lars Tietjens, Reinbeker Str. 3h, 22145 Stapelfeld (nachfolgend „Auftragnehmer“). Dieser Vertrag ist gemäß den AGB Bestandteil des Nutzungsvertrags über die Software Angebotsmanager.
§ 1 Gegenstand und Dauer
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung der Software Angebotsmanager (Software-as-a-Service). Die Laufzeit dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags; er endet automatisch mit dessen Beendigung.
§ 2 Art und Zweck der Verarbeitung
Hosting, Speicherung, Anzeige und Verarbeitung von Kunden-, Angebots-, Rechnungs- und Ausgabendaten des Auftraggebers; Transkription von Sprachaufnahmen und KI-gestützte Strukturierung von Transkripten sowie Bildanalyse von Fotos (Foto-zu-Angebot, Belegfotos) zur Erstellung von Angeboten, Rechnungen und Ausgaben; Beantwortung von Fragen und Vorbereitung von Aktionen durch einen KI-Assistenten, der dazu Chat-Eingaben und die zur Beantwortung nötigen Ausschnitte der gespeicherten Daten an den Unterauftragsverarbeiter OpenAI übermittelt (Ausführung von Änderungen nur nach ausdrücklicher Bestätigung durch den Auftraggeber in der Anwendung); Versand von Angeboten und Rechnungen per E-Mail; Bereitstellung eines öffentlichen Angebotslinks für Endkunden einschließlich der Erfassung von Öffnungsereignissen; auf Veranlassung des Auftraggebers Übertragung von Rechnungen an dessen eigenes Lexoffice-Konto. Die Verarbeitung findet in Mitgliedstaaten der Europäischen Union statt, soweit in Anlage 3 nichts Abweichendes geregelt ist.
§ 3 Datenarten und Kreis der Betroffenen
Die verarbeiteten Datenarten und der Kreis der betroffenen Personen ergeben sich aus Anlage 1.
§ 4 Pflichten des Auftragnehmers
- Verarbeitung nur auf dokumentierte Weisung des Auftraggebers. Weisungen erfolgen durch die Nutzung der Funktionen der Software; darüber hinausgehende Weisungen bedürfen der Textform.
- Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2.
- Unterstützung des Auftraggebers bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) durch die Export-, Berichtigungs- und Löschfunktionen der Software, darüber hinaus auf Anfrage.
- Meldung von Verletzungen des Schutzes personenbezogener Daten an den Auftraggeber ohne unangemessene Verzögerung.
- Unterstützung bei den Pflichten aus Art. 32–36 DSGVO unter Berücksichtigung der Art der Verarbeitung.
- Nach Beendigung des Nutzungsvertrags kann der Auftraggeber seine Daten 30 Tage lang exportieren (vgl. AGB). Danach erhält er einen Hinweis per E-Mail; die Daten werden spätestens 44 Tage nach Vertragsende gelöscht, soweit keine gesetzliche Aufbewahrungspflicht des Auftragnehmers besteht. In Sicherungskopien können Daten bis zu deren Ablauf (lokal 14 Tage, extern 30 Tage) noch enthalten sein. Aufbewahrungspflichten des Auftraggebers (z. B. für seine Rechnungen) erfüllt der Auftraggeber selbst; dafür steht der Export (ZIP) bereit.
§ 5 Unterauftragsverarbeiter
Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter. Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen (Aufnahme oder Ersetzung). Der Auftraggeber kann einer Änderung innerhalb von 30 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein Kündigungsrecht zum nächsten Kündigungstermin zu.
Mit allen Unterauftragsverarbeitern bestehen Verträge, die den Anforderungen des Art. 28 Abs. 4 DSGVO genügen.
§ 6 Kontrollrechte
Der Auftragnehmer weist die Einhaltung dieses Vertrags durch geeignete Unterlagen nach (Selbstauskunft, Zertifikate und Nachweise der Unterauftragsverarbeiter). Vor-Ort-Kontrollen sind nach vorheriger Vereinbarung mit angemessener Frist und unter Rücksichtnahme auf den Geschäftsbetrieb möglich.
§ 7 Haftung und Schlussbestimmungen
Die Haftung richtet sich nach den AGB und Art. 82 DSGVO. Es gilt deutsches Recht; Gerichtsstand ist, soweit gesetzlich zulässig, Hamburg. Bei Widersprüchen zwischen den AGB und diesem Vertrag geht in Datenschutzfragen dieser Vertrag vor. Änderungen dieses Vertrags werden entsprechend AGB § 11 mitgeteilt.
Anlage 1 — Datenarten und Betroffene
Datenarten:
- Zugangsdaten der Nutzer des Auftraggebers (E-Mail-Adresse, Passwort-Hash, Anmeldelinks)
- Firmendaten des Auftraggebers (Name, Anschrift, Kontaktdaten, Bankverbindung, Steuernummer bzw. USt-ID, Logo)
- Endkundendaten (Name, Anschrift, Telefon, E-Mail-Adresse, USt-ID)
- Angebots- und Rechnungsdaten (Positionen, Mengen, Preise, Status, Annahme/Ablehnung inkl. freiwilliger Begründung)
- Sprachaufnahmen: werden zur Transkription an den Unterauftragsverarbeiter OpenAI übermittelt und auf den Servern des Auftragnehmers nicht gespeichert
- Transkripte der Spracheingaben (werden beim Angebot gespeichert)
- Fotos aus der Funktion Foto-zu-Angebot: werden zur Bildanalyse an OpenAI übermittelt und auf den Servern des Auftragnehmers nicht gespeichert
- Belegfotos und Daten der Ausgaben (Betrag, Datum, Lieferant): werden zur Bildanalyse an OpenAI übermittelt und mit der Ausgabe gespeichert
- KI-Assistent: Chat-Eingaben des Auftraggebers sowie die zur Beantwortung nötigen Datenausschnitte (Angebots-/ Rechnungslisten mit Nummer, Status, Kundenname und Beträgen, einzelne Belege mit Positionen, Namen und Orte passender Kunden) werden an OpenAI übermittelt; keine vollständigen Datenbestände, keine Kontaktdaten in Listen. Sämtliche KI-Übermittlungen lassen sich je Konto in den Einstellungen abschalten
- Öffnungsereignisse des öffentlichen Angebotslinks und des Zählpixels in Angebots-E-Mails: Zeitpunkt, IP-Adresse (gekürzt) und User-Agent des Endkunden; Löschung nach 90 Tagen
- Versandprotokoll der aus der Software versandten E-Mails (Empfänger, Betreff, Zeitpunkt, Zustellstatus)
Kreis der Betroffenen:
- Endkunden und Interessenten des Auftraggebers
- Team-Mitglieder und Ansprechpartner des Auftraggebers
- Lieferanten des Auftraggebers (aus Belegen)
Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Hosting von Anwendung und Datenbank bei der Hetzner Online GmbH, Serverstandort Deutschland
- Transportverschlüsselung: TLS, HTTPS erzwungen
- Authentifizierung per E-Mail und Passwort (Speicherung nur als bcrypt-Hash) oder per einmaligem, zeitlich befristetem Anmeldelink (Magic-Link); Sperre nach wiederholten Fehlversuchen; Rate-Limits für Anmeldung und Registrierung
- HttpOnly-Session-Cookie (SameSite=Lax), serverseitige Invalidierung aller Sitzungen bei Passwortänderung
- Mandantentrennung in der Anwendung je Konto und zusätzlich in der Datenbank über Row-Level-Security
- Verschlüsselung besonders schutzbedürftiger Zugangsdaten in der Datenbank (z. B. Lexoffice-API-Schlüssel, AES-256-GCM)
- Containerisierte Umgebung (Docker)
- Tägliche automatisierte Sicherungskopien der Datenbank, lokal (Aufbewahrung 14 Tage) und extern auf Speicher der Hetzner Online GmbH (Aufbewahrung 30 Tage)
- Zugriff auf das Produktivsystem ausschließlich durch den Auftragnehmer per SSH-Schlüssel
- Sprachaufnahmen und Fotos aus Foto-zu-Angebot werden nur im Arbeitsspeicher zur Weitergabe an den Unterauftragsverarbeiter verarbeitet und auf den Servern des Auftragnehmers nicht gespeichert
Anlage 3 — Unterauftragsverarbeiter
- Hetzner Online GmbH (Deutschland) — Hosting von Anwendung und Datenbank, Speicher für Sicherungskopien. Verarbeitung in Rechenzentren der Hetzner Online GmbH.
- OpenAI (OpenAI Ireland Ltd., Irland; OpenAI, L.L.C., USA; Verarbeitung auch in den USA möglich) — Transkription von Sprachaufnahmen (Whisper), Strukturierung von Transkripten einschließlich darin genannter Endkundendaten (GPT-4o-mini), Bildanalyse von Fotos aus Foto-zu-Angebot und von Belegfotos (GPT-4o) sowie Beantwortung von Assistent-Anfragen einschließlich der dafür nötigen Beleg- und Kundendaten-Ausschnitte (GPT-4o-mini) über die API. Nach Angaben von OpenAI keine Nutzung der API-Daten zum Training. OpenAI kann Ein- und Ausgaben nach seinen Standardbedingungen bis zu 30 Tage zur Missbrauchserkennung speichern. Garantien für die Übermittlung in die USA: EU-US Data Privacy Framework, soweit zertifiziert, im Übrigen EU-Standardvertragsklauseln.
- Resend, Inc. (USA) — Versand von E-Mails (Anmelde- und Bestätigungslinks, Angebote, Rechnungen, Erinnerungen). Garantien: EU-US Data Privacy Framework, soweit zertifiziert, im Übrigen EU-Standardvertragsklauseln.
Zahlungsdienstleister (Stripe, PayPal) verarbeiten Zahlungsdaten des Auftraggebers als eigenständige Verantwortliche und sind daher keine Unterauftragsverarbeiter im Sinne dieses Vertrags (siehe Datenschutzerklärung). Die Übertragung an Lexoffice erfolgt nur auf Veranlassung des Auftraggebers an dessen eigenes Lexoffice-Konto; Lexoffice ist kein Unterauftragsverarbeiter des Auftragnehmers.