Auftragsverarbeitung

Bevor Sie uns den ersten Beleg übergeben, schließen wir mit Ihnen einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Diese Seite fasst zusammen, was darin geregelt ist und welche technischen und organisatorischen Maßnahmen wir treffen. Den vollständigen Vertragstext erhalten Sie vor Beginn der Zusammenarbeit zur Unterzeichnung.

Gegenstand und Dauer

Art der Daten und betroffene Personen

• Stammdaten Ihrer Geschäftspartner: Name, Anschrift, Bankverbindung, Steuernummern
• Buchhaltungsdaten: Rechnungen, Belege, Kontoumsätze, Zahlungsdaten
• Beschäftigtendaten, soweit die Lohnabrechnung beauftragt ist: Stammdaten, Entgelt, Sozialversicherungsdaten
• Betroffen sind Ihre Kundinnen und Kunden, Lieferanten, Beschäftigten und sonstige Geschäftspartner

Besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO — etwa Gesundheitsdaten in Abrechnungsunterlagen von Praxen — begegnen wir mit gesonderten Zugriffsbeschränkungen. Gleiches gilt für Unterlagen, die dem Berufsgeheimnis nach § 203 StGB unterliegen; unsere Mitarbeitenden sind ausdrücklich als „berufsmäßig tätige Gehilfen" verpflichtet.

Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Verarbeitung ausschließlich in zertifizierten Rechenzentren in Deutschland mit dokumentierter Zutrittssicherung.
• Zugangskontrolle: Persönliche Benutzerkonten, verpflichtende Zwei-Faktor-Anmeldung, Sperrung nach Fehlversuchen, keine Sammelkonten.
• Zugriffskontrolle: Rollen- und rechtebasierte Freigabe. Mandantenbereiche sind vollständig voneinander getrennt; Lohnunterlagen liegen in einem gesondert geschützten Bereich.
• Trennungskontrolle: Keine gemeinsamen Datentöpfe über Mandanten hinweg; jede Zuordnung ist auf den jeweiligen Mandanten begrenzt.
• Verpflichtung: Alle Mitarbeitenden sind auf das Datengeheimnis und, wo einschlägig, auf das Berufsgeheimnis verpflichtet.

Integrität

• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (TLS). Kein Versand unverschlüsselter Belege per E-Mail auf unsere Veranlassung.
• Eingabekontrolle: Jede Erstellung, Änderung und Löschung wird mit Zeitstempel und Benutzerkonto protokolliert. Belege werden unveränderbar abgelegt (GoBD).

Verfügbarkeit und Belastbarkeit

• Regelmäßige, verschlüsselte Sicherungen mit dokumentierter Wiederherstellungsprüfung.
• Getrennte Aufbewahrung der Sicherungen vom Produktivsystem.
• Versionsstände vor jeder Überschreibung, Rücksetzung jederzeit möglich.

Verfahren zur Überprüfung

• Regelmäßige Überprüfung der Berechtigungen und der eingesetzten Software.
• Auftragskontrolle: Verarbeitung ausschließlich nach Ihrer dokumentierten Weisung.
• Verfahrensdokumentation nach GoBD, auf Anforderung einsehbar.

Unterauftragsverhältnisse

Wir setzen Unterauftragnehmer nur mit Ihrer allgemeinen Genehmigung und auf Grundlage eigener AV-Verträge ein. Über beabsichtigte Änderungen informieren wir Sie vorab; Sie können widersprechen. Derzeit eingesetzt:

Ihre Rechte als Auftraggeber

• Weisungsrecht gegenüber uns, jederzeit und in Textform
• Kontrollrecht: Nachweise, Auskünfte und, nach Ankündigung, Vor-Ort-Prüfungen
• Unterstützung bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Meldepflichten nach Art. 33 und 34 DSGVO
• Rückgabe aller Daten in einem gängigen Format sowie nachweisliche Löschung bei Vertragsende

Meldung von Verletzungen

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, informieren wir Sie unverzüglich und unterstützen Sie bei der Meldung an die Aufsichtsbehörde innerhalb der Frist des Art. 33 DSGVO.

Stand: 23.09.2026