Vertrag zur Auftragsverarbeitung

Verantwortlicher ist der Kunde (nachfolgend „Auftraggeber").
Auftragsverarbeiter ist TürPilot – Inhaber David Jan Bauer, Münchinger Weg 20/2, 71701 Schwieberdingen (nachfolgend „Auftragnehmer").

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung der Software TürPilot.

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrages einschliesslich einer sich anschliessenden Archivphase nach § 8 Abs. 3 der Allgemeinen Geschäftsbedingungen. Diese Vereinbarung gilt für die Dauer der Archivphase fort; ohne sie fände die Aufbewahrung ohne vertragliche Grundlage statt.

§ 2 Art und Zweck der Verarbeitung

Erfassung, Speicherung, Strukturierung, Auslesen und Übermittlung personenbezogener Daten zum Zweck der Dokumentation von Einsätzen des Auftraggebers und der Übergabe von Abrechnungsdaten an ein vom Auftraggeber benanntes Buchhaltungssystem.

Schaltet der Auftraggeber die Übernahme von Umsatz und Ausgaben ein (Cockpit › Schnittstellen, derzeit nur sevDesk), liest der Auftragnehmer mit dessen Zugangsdaten zusätzlich Rechnungen, Belege und Gutschriften der letzten zwölf Monate aus dem Buchhaltungssystem aus und zeigt daraus Monatssummen im Cockpit. Gespeichert werden ausschliesslich diese Summen je Monat; die einzelnen Vorgänge werden nur für die Berechnung verarbeitet und nicht abgelegt. Die Übernahme lässt sich jederzeit wieder ausschalten.

Beauftragt der Auftraggeber die Überwachung eines von ihm benannten E-Mail-Postfachs (Cockpit › Schnittstellen), sieht der Auftragnehmer dieses Postfach darauf an, ob dort Aufträge eingegangen sind, die dem Auftraggeber von Drittanbietern – etwa Versicherungen, Schutzbriefanbietern oder Vermittlern – als Dokument zugeschickt werden. Aus einem gefundenen Dokument liest er die Angaben zum Auftrag aus und legt daraus einen Entwurf im Cockpit an. Dabei gilt:

• Gelesen wird nur. Nichts wird als gelesen markiert, verschoben oder gelöscht; der Auftraggeber findet sein Postfach vor, wie er es kennt.
• Gesucht wird auf dem Server nach einem benannten Absender, in Nachrichten der letzten 90 Tage, höchstens 25 je Durchgang. Von jedem Treffer werden Betreff, Absender, Empfänger, Zeitpunkt und Grösse gelesen, um den Auftrag als solchen zu erkennen; der Inhalt anderer Nachrichten wird nicht heruntergeladen.
• Das Dokument wird nicht gespeichert. Es wird ausgelesen und verworfen; aufbewahrungspflichtig ist es beim Drittanbieter. Gespeichert werden nur die in § 3 genannten Angaben. Dasselbe gilt für ein Dokument, das der Auftraggeber statt der Postfachüberwachung selbst hochlädt.
• Gelesen wird erst, wenn der Auftragnehmer den Betrieb freigeschaltet und der Auftraggeber die Beauftragung bestätigt hat. Die Überwachung lässt sich jederzeit abschalten; mit dem Entfernen der Schnittstelle werden die Zugangsdaten des Postfachs gelöscht.

Denselben Entwurf kann der Auftraggeber auch ohne Postfachüberwachung anlegen: indem er den Auftrag oder den Tätigkeitsbericht des Drittanbieters selbst hochlädt – die Datei wird ausgelesen und verworfen, nicht gespeichert – oder indem er die Angaben von Hand einträgt. Verarbeitet werden dabei dieselben Datenarten wie beim Weg über das Postfach (§ 3); verzeichnet wird zusätzlich, auf welchem dieser Wege der Vorgang erfasst wurde. Auch diese beiden Wege setzen die Freischaltung durch den Auftragnehmer und die bestätigte Beauftragung voraus.

Schaltet der Auftragnehmer die Rechnungsstellung durch TürPilot frei und schaltet der Auftraggeber sie ein (Cockpit › Schnittstellen), erzeugt der Auftragnehmer auf dessen Weisung zu einem freigegebenen Einsatz die Rechnung des Auftraggebers und, wenn dieser sie aufhebt, eine Stornorechnung. Dabei gilt:

• Die Nummer stammt aus einem eigenen, lückenlosen Nummernkreis des Auftraggebers. Der Inhalt wird beim Ausstellen eingefroren; eine Rechnung wird nie geändert oder gelöscht, sondern nur durch eine Stornorechnung mit eigener Nummer und Begründung aufgehoben.
• Die Rechnung entsteht als PDF mit eingebetteter maschinenlesbarer Rechnung (ZUGFeRD). Auf Wunsch des Auftraggebers wird sie zusätzlich als XRechnung zum Herunterladen erzeugt; diese trägt als elektronische Adresse des Empfängers die Leitweg-ID eines öffentlichen Auftraggebers oder die E-Mail-Adresse seines Rechnungseingangs.
• Per E-Mail verschickt der Auftragnehmer die Rechnung auf Weisung des Auftraggebers an den Kunden, wenn dieser selbst der Rechnungsempfänger ist – an die zum Einsatz erfasste E-Mail-Adresse, auf dem Weg, den der Auftraggeber für seine E-Mails gewählt hat (§ 6). An einen abweichenden Rechnungsempfänger verschickt er keine Rechnung: Die erfasste E-Mail-Adresse gehört dem Kunden vor Ort, nicht dem Rechnungsempfänger. Diese Rechnung lädt der Auftraggeber herunter.
• An das Buchhaltungssystem des Auftraggebers (derzeit nur sevDesk) geht die Rechnung als fertiger Beleg in der versandten Fassung, eine Stornorechnung ebenso; einen Buchungsstapel mit den Belegen kann der Auftraggeber zudem selbst als DATEV-Export herunterladen.
• Im revisionssicheren Archiv wird die Rechnung in der Fassung abgelegt, die der Empfänger erhält (§ 5).

§ 3 Art der Daten und Kategorien betroffener Personen

An das Buchhaltungssystem des Auftraggebers (§ 2) gehen je Rechnung Name und Anschrift des Rechnungsempfängers – und, sofern erfasst und der Rechnungsempfänger der Kunde selbst ist, dessen E-Mail-Adresse, Telefonnummer und USt-IdNr. –, die Positionen mit Steuersätzen sowie im Fusstext der Rechnung die Zuordnung zum Nachweis: Nummer des Einsatzprotokolls, Zeitpunkt der Abnahme, Einsatzort, Öffnungsart, ob eine Legitimation geprüft wurde, und die Belegnummer der Zahlung. Nicht übermittelt werden Aufnahmen, Unterschriften, interne Notizen sowie Art und Nummer eines vorgelegten Ausweises. Schreibt der Auftragnehmer die Rechnung selbst (§ 2), geht sie mit diesen Angaben als fertiger Beleg in der versandten Fassung an das Buchhaltungssystem; die Rechnung an einen Drittanbieter trägt dabei dessen Auftragsnummer, aber keine Angaben der hilfesuchenden Person.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht verarbeitet. Der Auftragnehmer stellt insbesondere sicher, dass von Unterschriften ausschliesslich das Bild und keine Dynamikdaten erfasst werden, und dass keine Ausweiskopien gespeichert werden können.

§ 4 Weisungsrecht

(1) Der Auftragnehmer verarbeitet die Daten ausschliesslich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Weisungen erfolgen in Textform. Die Nutzung der Software durch den Auftraggeber gilt als Weisung im Rahmen des vereinbarten Funktionsumfangs.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Auftraggeber unverzüglich mit und darf die Ausführung aussetzen.

(4) Bleibt eine erforderliche Weisung aus, verarbeitet der Auftragnehmer die Daten nicht weiter als für den Betrieb der Software und die Erfüllung gesetzlicher Pflichten nötig. Er fordert die Weisung in Textform an und weist auf die Folgen des Ausbleibens hin.

§ 5 Technische und organisatorische Massnahmen (Art. 32 DSGVO)

Die vollständige Beschreibung enthält die Anlage über die technischen und organisatorischen Massnahmen. Sie ist Bestandteil dieser Vereinbarung und wird fortgeschrieben; eine Verschlechterung des Schutzniveaus wird mindestens vier Wochen vorher in Textform mitgeteilt. Im Überblick:

• Vertraulichkeit: rollenbasierte Zugriffsrechte (Inhaber, Büro, Monteur), mandantengetrennte Datenhaltung, Transportverschlüsselung nach dem Stand der Technik, verschlüsselte Ablage von Zugangsschlüsseln für Drittsysteme (AES-256-GCM), Passwörter ausschliesslich als Hash mit Salt. Das Passwort eines überwachten Postfachs liegt ebenso verschlüsselt; der Zugriff darauf ist ausschliesslich lesend und auf den benannten Absender und das Betreffmuster beschränkt.
• Integrität: Protokolle sind nach der Freigabe inhaltlich unveränderbar; Änderungen werden versioniert und mit Begründung festgehalten. Ausgenommen ist allein die Anonymisierung auf ein Löschverlangen, soweit die archivierte Fassung den Beleg bewahrt (siehe unten zur Löschung). Bei Belegen aus Aufträgen von Drittanbietern (§ 2) wird auch ohne archivierte Fassung anonymisiert: Sie werden nach dieser Vorschrift nie abgelegt, und der aufbewahrungspflichtige Beleg ist dort das Dokument des Drittanbieters, das dieser selbst aufbewahrt. Ein freigegebenes Protokoll wird nicht entfernt, sondern mit Begründung storniert. Vorgänge, die nie freigegeben wurden – etwa nicht ausgeführte oder vor der Freigabe stornierte –, unterliegen keiner Aufbewahrungspflicht; ihre personenbezogenen Angaben kann der Auftraggeber entfernen. Die Belegnummer bleibt, damit die Nummernfolge lückenlos nachvollziehbar ist.
• Verfügbarkeit: regelmässige Sicherungen, Wiederherstellungsverfahren, Überwachung des Betriebs. Gesichert wird dreifach: auf dem Server täglich die Datenbank, verschlüsselt mit einem öffentlichen Schlüssel, dessen privater Teil nicht auf dem Server liegt; beim Unterauftragsverarbeiter (§ 6) täglich der ganze Server; und beim Auftragnehmer selbst täglich ein vollständiger, mit AES-256 verschlüsselter Abzug der Datenbank auf einer lokalen Festplatte eines Rechners in seinem Büro in Deutschland. Dieser Abzug wird nach 30 Tagen gelöscht und nie in einem Cloudspeicher abgelegt.
• Nachvollziehbarkeit: Protokollierung sicherheits- und nachweisrelevanter Vorgänge (Anmeldung, Freigabe, Storno, Übertragung, Änderung von Zugangsschlüsseln, Export). In den Protokollen werden keine Geheimnisse gespeichert.
• Datenminimierung: keine Ausweiskopien, keine biometrischen Unterschriftsdaten, keine Kartendaten; Aufnahmen und interne Notizen werden nicht an Drittsysteme übermittelt. Aufnahmen des Einsatzortes werden nach drei Jahren automatisch gelöscht, gerechnet ab dem Ende des Jahres der Leistung.
• Revisionssichere Aufbewahrung: Der Beleg ohne Aufnahmen wird bei der Freigabe verschlüsselt in einem Objektspeicher mit Unveränderbarkeitssperre abgelegt. Bis zum Ablauf der Aufbewahrungsfrist kann er weder verändert noch gelöscht werden – auch nicht durch den Auftragnehmer. Während einer kostenfreien Testphase (§ 3 Abs. 3 der Allgemeinen Geschäftsbedingungen) erfolgt keine Ablage; die in dieser Zeit freigegebenen Belege werden mit Beginn der Vergütungspflicht in ihrer jeweils letzten Fassung nachträglich abgelegt. Endet der Vertrag mit der Testphase oder vorher, unterbleibt die Ablage; die Belege liegen dann ausschliesslich in der Datenbank der Software, und die dem Auftraggeber übermittelten Protokolle bewahrt er selbst auf. Nicht abgelegt werden Belege aus Aufträgen von Drittanbietern (§ 2) – unabhängig davon, auf welchem der dort genannten Wege sie erfasst wurden: Der Beleg des Vorgangs ist das Dokument des Drittanbieters, und dieser bewahrt es nach seinen Bedingungen auf. Ebenso abgelegt wird jede Rechnung und Stornorechnung, die der Auftragnehmer nach § 2 erzeugt, in der Fassung, die der Empfänger erhält – mit eigenem Schlüssel, nach derselben Regel für die Testphase und auch dann, wenn sie an einen Drittanbieter geht. Die Sperre läuft bei Einsatzprotokollen zehn Jahre, bei Rechnungen und Stornorechnungen acht Jahre, jeweils ab dem Ende des Kalenderjahres der Leistung, bei späterer Ablage ab dem Ende des Jahres der Ablage.
• Erfüllbarkeit des Löschanspruchs: Jeder archivierte Beleg ist mit einem eigenen Schlüssel verschlüsselt. Wird dieser Schlüssel vernichtet, ist der Beleg dauerhaft unlesbar, ohne dass die Unveränderbarkeitssperre gebrochen werden müsste.
• Zugangssicherung: Auf Wunsch des Auftraggebers eine zweite Stufe beim Anmelden über einen zeitlich befristeten Code per E-Mail.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz der nachfolgenden Unterauftragsverarbeiter zu:

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor einem Wechsel oder der Hinzunahme eines weiteren Unterauftragsverarbeiters in Textform. Der Auftraggeber kann innerhalb von zwei Wochen aus wichtigem Grund widersprechen; in diesem Fall steht ihm ein Sonderkündigungsrecht zu.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter durch Vertrag auf dieselben Datenschutzpflichten, die ihn selbst treffen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Einhaltung (Art. 28 Abs. 4 Satz 2 DSGVO).

(4) Kein Unterauftragsverhältnis ist die Übermittlung an Systeme, die der Auftraggeber selbst benennt und mit eigenen Zugangsdaten anbindet – etwa sein Buchhaltungssystem, sein Kartenzahlungsanbieter oder das eigene E-Mail-Postfach, über das er Protokolle und Rechnungen versenden lässt. Der Auftragnehmer handelt dabei auf Weisung des Auftraggebers; das Verhältnis zwischen Auftraggeber und Drittanbieter richtet sich allein nach deren Vereinbarung, und der Auftraggeber schliesst dort gegebenenfalls einen eigenen Vertrag zur Auftragsverarbeitung.

(5) Mit jedem der in Absatz 1 genannten Unternehmen besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Ausser bei ihnen liegen Daten des Auftraggebers nur beim Auftragnehmer selbst, als verschlüsselte Sicherung in Deutschland (§ 5). Eine Verarbeitung ausserhalb der Europäischen Union findet nicht statt. SMS verschickt die Software nur an deutsche Rufnummern (Landeskennung +49); an eine ausländische Rufnummer geht keine SMS hinaus.

§ 7 Unterstützungspflichten

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung der Betroffenenrechte nach Art. 15 bis 22 DSGVO sowie bei den Pflichten aus Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich weiter.

§ 8 Meldung von Verletzungen

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntniserlangung, und stellt die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit.

§ 9 Kontrollrechte

(1) Der Auftraggeber kann sich von der Einhaltung dieser Vereinbarung überzeugen. Der Auftragnehmer stellt hierzu auf Anfrage die Dokumentation der technischen und organisatorischen Massnahmen bereit.

(2) Der Nachweis erfolgt vorrangig durch die Anlage über die technischen und organisatorischen Massnahmen sowie durch die Zertifikate der eingesetzten Unterauftragsverarbeiter – für das Rechenzentrum insbesondere ISO/IEC 27001. Das ist keine Ausweichbewegung, sondern die Realität: Der Auftragnehmer betreibt kein eigenes Rechenzentrum und kann dort niemandem Zutritt verschaffen.

(3) Reichen diese Nachweise im Einzelfall nicht aus, sind Kontrollen beim Auftragnehmer nach angemessener Vorankündigung während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig. Der Auftraggeber trägt die Kosten einer solchen Kontrolle, es sei denn, sie deckt einen Verstoss auf.

§ 10 Löschung und Rückgabe

(1) Nach Beendigung des Vertrages bleibt der Zugang des Auftraggebers lesend bestehen; Exporte in einem gängigen, maschinell auswertbaren Format stehen weiterhin zur Verfügung. Für das Vorhalten der Daten berechnet der Auftragnehmer die Grundgebühr weiter. Endet der Vertrag mit einer kostenfreien Testphase oder vorher, entsteht nach § 5 kein Archiv; dann wird dafür auch keine Grundgebühr berechnet (§ 8 Abs. 4 der Allgemeinen Geschäftsbedingungen). Der Auftraggeber ist für die Erfüllung seiner eigenen Aufbewahrungspflichten selbst verantwortlich.

(2) Gelöscht wird ausschliesslich auf ausdrückliches Verlangen des Auftraggebers. Das Verlangen wird im System dokumentiert und ist bis zur Ausführung widerruflich. Der Auftragnehmer löscht nicht von sich aus – es sind die Geschäftsunterlagen des Auftraggebers, und dessen Aufbewahrungspflichten laufen unabhängig von diesem Vertrag weiter. Einzige Ausnahme ist § 8 Abs. 6 der Allgemeinen Geschäftsbedingungen: Ist der Hauptvertrag beendet und gerät der Auftraggeber mit der Grundgebühr für das Vorhalten der Daten mehr als zwei Monate in Verzug, kann der Auftragnehmer die Archivierung beenden und die Daten löschen – erst nach einer Mahnung, die auf diese Folge und auf die Exportmöglichkeit hinweist, und nach Ablauf einer Frist von weiteren 30 Tagen. Bis dahin kann der Auftraggeber alles exportieren, was er aufbewahren muss; für die Erfüllung seiner Aufbewahrungspflichten bleibt er selbst verantwortlich.

(3) Belege im revisionssicheren Archiv sind bis zum Ablauf ihrer Aufbewahrungsfrist unveränderbar. Auf Verlangen des Auftraggebers – nach Fristablauf oder mit der Bestätigung, seine Aufbewahrungspflicht anderweitig zu erfüllen – vernichtet der Auftragnehmer die zugehörigen Schlüssel; die Belege sind danach für niemanden mehr lesbar. In den verschlüsselten Datensicherungen des Auftragnehmers wirkt das mit deren Ablauf, spätestens nach zwölf Monaten.

(4) Anfragen betroffener Personen nach Art. 17 DSGVO führen nicht zur Vernichtung archivierter Belege. Solange die Aufbewahrungspflicht läuft, ist der Löschanspruch nach Art. 17 Abs. 3 lit. b DSGVO ausgeschlossen. Im laufenden Bestand werden die personenbezogenen Angaben entfernt; die archivierte Fassung bleibt unverändert. Liegt ein freigegebener Beleg noch nicht im Archiv, bleibt er zunächst unverändert; die Software holt die Anonymisierung selbsttätig nach, sobald er dort abgelegt ist. Wird er nicht abgelegt, weil der Vertrag mit der Testphase endet, bleibt er bis zum Ablauf der Aufbewahrungsfrist unverändert. Bei einem freigegebenen Beleg aus einem Auftrag eines Drittanbieters (§ 2) gilt das nicht: Er wird nach § 5 nie abgelegt – der aufbewahrungspflichtige Beleg ist dort das Dokument des Drittanbieters, das dieser nach seinen Bedingungen aufbewahrt. Sofort entfernt werden dort der Einsatzort, der Name der hilfesuchenden Person, die Mitglieds- und die Schadennummer, die Freitexte, die Unterschriften und der Vermerk über eine Legitimationsprüfung. Die Auftragsnummer bleibt stehen: Über sie ordnet der Drittanbieter seine Zahlung dem Einsatz zu, und sie benennt einen Vorgang, keine Person. Es bleiben ferner Abrechnungsweg, Tarif, Zeitpunkt der Beauftragung und zugesagter Betrag sowie Name und Anschrift des Drittanbieters – er ist der Rechnungsempfänger, und ohne ihn ist die Rechnung nach § 14 Abs. 4 Nr. 1 UStG unbrauchbar. Ebenso bleibt ein freigegebener Beleg unverändert, dessen archivierte Fassung der Auftraggeber auf eigenen Antrag hat unlesbar machen lassen – das Archiv bewahrt ihn dann nicht mehr (§ 5). Der Auftragnehmer teilt dem Auftraggeber in allen diesen Fällen mit, was gilt, damit dieser die betroffene Person nach Art. 12 Abs. 4 DSGVO unterrichten kann. Bei Vorgängen, die nie freigegeben wurden, werden die personenbezogenen Angaben sofort entfernt. Aufnahmen des Türzustands löscht die Software regulär drei Jahre nach Ende des Jahres der Leistung. Geht vorher ein Löschverlangen ein, verkürzt sich die Frist auf zwei Jahre ab dem Einsatztag, sie entfällt aber nicht: Bis zum Ablauf der Verjährung von Mängelansprüchen (§ 634a Abs. 1 Nr. 1 BGB) sind die Aufnahmen der einzige Nachweis über den Zustand vor der Öffnung, und Art. 17 Abs. 3 lit. e DSGVO lässt die Aufbewahrung dafür zu. Bei Aufträgen von Drittanbietern (§ 2) gilt diese Frist nicht: Dort entstehen keine Aufnahmen über die Software, und vorhandene werden auf ein Löschverlangen sofort gelöscht – der Nachweis über den Zustand der Tür liegt beim Drittanbieter.

§ 11 Vertraulichkeit

Der Auftragnehmer verpflichtet alle mit der Verarbeitung befassten Personen auf Vertraulichkeit und stellt sicher, dass sie mit den einschlägigen Vorschriften vertraut sind.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen dieser Vereinbarung und dem Nutzungsvertrag gehen die Regelungen dieser Vereinbarung vor. Es gilt deutsches Recht.

(2) Zustandekommen. Diese Vereinbarung wird mit dem Nutzungsvertrag geschlossen; der Kunde bestätigt sie bei der Registrierung ausdrücklich. Sie trägt eine Fassungsnummer und ein Datum. Der Auftragnehmer hält jede Fassung dauerhaft abrufbar und teilt dem Auftraggeber eine neue Fassung mindestens vier Wochen vor ihrem Inkrafttreten in Textform mit. Widerspricht der Auftraggeber innerhalb von zwei Wochen, gilt die bisherige Fassung bis zum Ende des laufenden Vertragsverhältnisses fort; ein Sonderkündigungsrecht bleibt unberührt.

(3) Fortgeltung. Die Pflichten zur Vertraulichkeit (§ 11), zur Löschung (§ 10) und zur Unterstützung bei Betroffenenanfragen (§ 7) bestehen über das Ende dieser Vereinbarung hinaus fort, solange Daten des Auftraggebers noch beim Auftragnehmer vorhanden sind.

Fassungen

Dies ist Fassung 6 vom 25. September 2026. Jede Fassung bleibt nach § 12 Abs. 2 dauerhaft abrufbar – zusammen mit der Anlage, die zu ihr gehört.

• Fassung 6 vom 25. September 2026 · Anlage: technische und organisatorische Massnahmen
  • Rechnungsstellung durch den Auftragnehmer (§ 2, § 3, § 5, TOM-Anlage): Fassung 5 beschrieb nur die Übergabe von Abrechnungsdaten an das Buchhaltungssystem des Auftraggebers. Seit dem 23.09.2026 kann der Auftragnehmer – wenn er die Funktion freischaltet und der Auftraggeber sie einschaltet – dessen Rechnungen und Stornorechnungen selbst erzeugen: mit Nummern aus einem eigenen, lückenlosen Nummernkreis des Auftraggebers, mit einem beim Ausstellen eingefrorenen Inhalt, als PDF mit eingebetteter maschinenlesbarer Rechnung (ZUGFeRD) und auf Wunsch zusätzlich als XRechnung zum Herunterladen. Per E-Mail verschickt er die Rechnung nur an den Kunden selbst, wenn dieser der Rechnungsempfänger ist; eine Rechnung an einen abweichenden Rechnungsempfänger lädt der Auftraggeber herunter und verschickt sie selbst. An sevDesk geht die fertige Rechnung als Beleg, und im revisionssicheren Archiv wird sie in der versandten Fassung abgelegt. Fassung 6 nennt diesen Zweck, den Versandweg und die Ablage.
  • Neue Datenarten (§ 3): der abweichende Rechnungsempfänger – etwa Vermieter oder Hausverwaltung – mit Name und Anschrift als eigene Kategorie betroffener Personen, und für die XRechnung die Leitweg-ID eines öffentlichen Auftraggebers oder die E-Mail-Adresse des Rechnungseingangs. Fassung 5 nannte den abweichenden Rechnungsempfänger nur beiläufig bei der Übergabe an die Buchhaltung, die Angaben zur XRechnung gar nicht. Die E-Mail-Adresse des Rechnungseingangs wird auf ein Löschverlangen entfernt; die Leitweg-ID bezeichnet eine Behörde und bleibt.
  • Aufbewahrungsfristen im Archiv (§ 5): Fassung 5 nannte keine Frist. Fassung 6 nennt sie: Einsatzprotokolle zehn Jahre, Rechnungen und Stornorechnungen acht Jahre, jeweils ab dem Ende des Kalenderjahres der Leistung, bei späterer Ablage ab dem Ende des Jahres der Ablage. Neu abgelegte Einsatzprotokolle sperrt das Archiv seit dem 25.09.2026 zehn statt acht Jahre; länger gesperrt heisst auch: länger unlöschbar.
  • Sicherungen (§ 5, § 6 Abs. 5, TOM-Anlage): Fassung 5 nannte nur „regelmässige Sicherungen“, und ihre Anlage nannte als Ort der Verarbeitung allein die Rechenzentren von Hetzner. Tatsächlich entstehen drei Sicherungen: auf dem Server täglich eine mit einem öffentlichen GPG-Schlüssel verschlüsselte Sicherung der Datenbank (30 Tages- und 12 Monatsstände), beim Anbieter tägliche Abzüge des ganzen Servers, und beim Auftragnehmer selbst täglich ein vollständiger, mit AES-256 verschlüsselter Abzug der Datenbank auf einer lokalen Festplatte eines Rechners in seinem Büro in Deutschland – 30 Tage lang, nie in einem Cloudspeicher. Fassung 6 und ihre Anlage beschreiben das. Neu beschreibt die Anlage ausserdem, dass die verwendete Sicherung und die verschlüsselten Nachträge für die Dauer einer Wiederherstellung auf dem Arbeitsrechner des Auftragnehmers liegen (ausserhalb synchronisierter Ordner, danach gelöscht, spätestens nach 30 Tagen), dass Löschungen und Anonymisierungen in den Sicherungen erst mit dem Ablauf des letzten Stands wirken, und dass der Auftragnehmer sie nach einer Wiederherstellung aus dem zuletzt vorhandenen Datenbestand nachzieht.
  • Unterauftragsverarbeiter (§ 6): Die Leistung von Hetzner ist vollständig beschrieben – auch der E-Mail-Versand von Rechnungen und Bitten um Bewertung und die Abzüge des Servers. Klargestellt ist, dass der Anbieter des eigenen Postfachs, über das ein Auftraggeber seine E-Mails versenden lässt, kein Unterauftragsverarbeiter ist. § 6 Abs. 5 sagt jetzt ausdrücklich, dass die Software SMS nur an deutsche Rufnummern verschickt. Nach dem Vertrag mit seven erhielte bei einer SMS an eine Rufnummer ausserhalb des EWR der Mobilfunkanbieter im Empfängerland Rufnummer und Inhalt; eine solche SMS geht deshalb nicht hinaus, und es bleibt dabei, dass ausserhalb der Europäischen Union nicht verarbeitet wird.
  • Legitimationsprüfung (§ 3): Fassung 5 nannte bei den Kunden des Auftraggebers nur einen „Vermerk über eine Legitimationsprüfung“. Gespeichert werden dazu schon bisher die Art des vorgelegten Dokuments und die letzten drei Zeichen seiner Nummer – nie die ganze Nummer, nie eine Kopie. Fassung 6 nennt beides ausdrücklich; an der Verarbeitung ändert sich nichts.
  • Löschung bei Zahlungsverzug nach Vertragsende (§ 10 Abs. 2): Fassung 5 sagte ohne Ausnahme, der Auftragnehmer lösche nicht von sich aus – im Widerspruch zu § 8 Abs. 6 der AGB. Fassung 6 nimmt diesen einen Fall aus: Ist der Hauptvertrag beendet und bleibt die Grundgebühr für das Vorhalten der Daten mehr als zwei Monate unbezahlt, kann der Auftragnehmer nach einer Mahnung, die auf diese Folge und auf den Export hinweist, und weiteren 30 Tagen die Archivierung beenden und die Daten löschen.
• Fassung 5 vom 22. September 2026 · Anlage: technische und organisatorische Massnahmen
  • Was an das Buchhaltungssystem des Auftraggebers geht, steht jetzt ausdrücklich in § 3 und in der TOM-Anlage: Name und Anschrift des Rechnungsempfängers (Kontaktdaten nur, wenn er der Kunde selbst ist), die Positionen mit Steuersätzen und im Fusstext der Rechnung die Zuordnung zum Nachweis – Protokollnummer, Zeitpunkt der Abnahme, Einsatzort, Öffnungsart, ob eine Legitimation geprüft wurde, Belegnummer der Zahlung. Fassung 4 nannte den Fusstext nicht; die TOM-Anlage sagte, der Legitimationsvermerk werde nicht übertragen – übertragen wird die Tatsache der Prüfung, nie Art oder Nummer des Ausweises. Aufnahmen, Unterschriften und interne Notizen gehen weiterhin nicht hinaus.
  • Aufträge von Drittanbietern (§ 3): Der Einsatzort ist eine eigene Angabe am Auftrag, keine interne Notiz mehr. In die Rechnung an den Drittanbieter – und damit an die Buchhaltung des Auftraggebers – gehen Auftragsnummer, Mitglieds- und Schadennummer und der Einsatzort; interne Notizen nie. In Fassung 4 stand der Einsatzort in den Notizen, und die Rechnung nannte ihn trotzdem – genau der Widerspruch, den Fassung 5 auflöst.
• Fassung 4 vom 20. September 2026 · Anlage: technische und organisatorische Massnahmen
  • Aufträge, die per E-Mail von Drittanbietern kommen (§ 2, § 3, TOM-Anlage): Fassung 3 kannte nur Einsätze, die der Auftraggeber selbst erfasst, und das Lesen aus seinem Buchhaltungssystem. Seit dem 20.09.2026 kann der Auftraggeber den Auftragnehmer beauftragen, ein von ihm benanntes E-Mail-Postfach anzusehen und aus Aufträgen, die ihm Drittanbieter – Versicherungen, Schutzbriefanbieter, Vermittler – als Dokument zuschicken, einen Entwurf anzulegen. Fassung 4 nennt diesen Zweck und beschreibt die Grenzen: Der Ordner wird nur gelesen, nichts wird markiert, verschoben oder gelöscht; gesucht wird ausschliesslich nach einem benannten Absender und einem Betreffmuster; angesehen werden nur Nachrichten der letzten 90 Tage und höchstens 25 je Durchgang. Ohne Freischaltung durch den Auftragnehmer und ohne bestätigte Beauftragung des Auftraggebers wird kein Postfach gelesen, und die Überwachung lässt sich jederzeit abschalten. Dieselbe Freischaltung und dieselbe Beauftragung gelten für die beiden anderen Wege: Der Auftraggeber kann ein solches Dokument auch selbst hochladen oder die Angaben von Hand eintragen; verarbeitet werden dabei dieselben Daten.
  • Neue Kategorie betroffener Personen (§ 3): die hilfesuchenden Personen aus solchen Aufträgen. In Fassung 3 kamen sie nicht vor – ihre Daten stammen nicht aus der Erfassung des Auftraggebers, sondern aus dem Dokument des Drittanbieters. Als Datenarten kommen hinzu: Auftragsnummer, Mitglieds- und Schadennummer, Abrechnungsweg, Tarif, Zeitpunkt der Beauftragung, zugesagter Betrag sowie Name der hilfesuchenden Person und Einsatzort in den internen Notizen des Belegs.
  • Das Dokument selbst wird nicht gespeichert (§ 2, § 3, TOM-Anlage): Es wird ausgelesen und verworfen – aufbewahrungspflichtig ist es beim Drittanbieter. Dasselbe gilt für ein Dokument, das der Auftraggeber statt der Postfachüberwachung selbst hochlädt. Fassung 3 enthielt dazu nichts, weil es die Funktion nicht gab.
  • TOM-Anlage: Die Zugangsdaten des überwachten Postfachs liegen verschlüsselt (Passwort AES-256-GCM; Host, Port und Benutzer im Klartext, damit in den Einstellungen sichtbar bleibt, welches Postfach gelesen wird) und werden mit dem Entfernen der Schnittstelle gelöscht. Der Zugriff ist ausschliesslich lesend und auf den benannten Absender und das Betreffmuster beschränkt. Neu ist ausserdem der Hinweis, dass Belege aus solchen Aufträgen nicht im revisionssicheren Archiv abgelegt werden: Der Beleg des Vorgangs ist das Dokument des Drittanbieters, und der bewahrt es nach seinen Bedingungen auf.
  • Löschverlangen zu solchen Aufträgen (§ 3, § 5, § 10 Abs. 4): Fassung 3 sagte zu, ein freigegebener Beleg bleibe unverändert, solange keine archivierte Fassung besteht. Für Belege aus Aufträgen von Drittanbietern gilt das nicht – sie werden nach § 5 nie archiviert, und würde die Zusage auch für sie gelten, bliebe ein Löschverlangen für immer unerledigt. Bei ihnen werden deshalb sofort entfernt: der Einsatzort, der Name der hilfesuchenden Person, die Mitglieds- und die Schadennummer, die Freitexte, die Unterschriften und der Vermerk über eine Legitimationsprüfung. Nicht entfernt wird die Auftragsnummer – über sie ordnet der Drittanbieter seine Zahlung dem Einsatz zu, und sie benennt einen Vorgang, keine Person. Ebenfalls stehen bleiben Belegnummer, Datum, Leistung und Betrag sowie Abrechnungsweg, Tarif und Zeitpunkt der Beauftragung, dazu Name und Anschrift des Drittanbieters als Rechnungsempfänger. § 3 nennt dieselbe Aufteilung bei den Datenarten.
• Fassung 3 vom 18. September 2026 · Anlage: technische und organisatorische Massnahmen
  • Übernahme von Umsatz und Ausgaben aus der Buchhaltung (§ 2, § 3, TOM-Anlage): Fassung 2 beschrieb nur eine Richtung – die Übergabe von Abrechnungsdaten an das Buchhaltungssystem. Seit dem 17.09.2026 liest die Software bei eingeschalteter Übernahme zusätzlich Rechnungen, Belege und Gutschriften der letzten zwölf Monate aus dem Buchhaltungssystem des Auftraggebers aus und speichert daraus Monatssummen. Fassung 3 nennt diesen Zweck, die Datenarten und als neue Kategorie betroffener Personen die Kunden und Lieferanten des Auftraggebers aus dessen Buchhaltung.
  • Grundgebühr nach Vertragsende (§ 10 Abs. 1): Fassung 2 verlangte sie ausnahmslos für das Vorhalten der Daten. Fassung 3 nimmt den Fall aus, in dem nach § 5 gar kein Archiv entsteht, weil der Vertrag mit der Testphase oder vorher endet – so wie es AGB § 8 Abs. 4 schon sagt.
  • Revisionssichere Ablage erst ab der Vergütungspflicht: In Fassung 2 wurde jeder freigegebene Beleg mit der Freigabe im Archiv abgelegt. In Fassung 3 gilt das während einer kostenfreien Testphase nicht – die Belege aus dieser Zeit werden mit Beginn der Vergütungspflicht in ihrer jeweils letzten Fassung nachträglich abgelegt, frühere Fassungen daraus nicht. Endet der Vertrag mit der Testphase oder vorher, unterbleibt die Ablage vollständig; die Belege liegen dann nur in der Datenbank der Software, und der Auftraggeber bewahrt die ihm übermittelten Protokolle selbst auf.
  • Löschverlangen ohne Archiv: In Fassung 2 musste der Auftraggeber die Anonymisierung eines freigegebenen Belegs erneut auslösen, sobald dieser im Archiv lag. In Fassung 3 holt die Software sie selbsttätig nach. Unterbleibt die Ablage, weil der Vertrag mit der Testphase endet, bleibt der freigegebene Beleg bis zum Ablauf der Aufbewahrungsfrist unverändert; der Auftragnehmer teilt mit, was im Einzelfall gilt.
  • TOM-Anlage: dieselben beiden Punkte – Ablage erst ab der Vergütungspflicht mit nachträglicher Ablage der letzten Fassung, selbsttätig nachgeholte Anonymisierung, und der Hinweis, dass die Prüfsumme bei nachträglich abgelegten Belegen den Stand ab der Ablage belegt.
• Fassung 2 vom 11. September 2026 · Anlage: technische und organisatorische Massnahmen
  • Löschbefugnis: Fassung 1 erlaubte dem Auftraggeber, drei Arten von Vorgängen zu löschen – nie freigegebene, nicht ausgeführte und vor der Leistungserbringung stornierte. Fassung 2 erlaubt nur noch bei nie freigegebenen Vorgängen, die personenbezogenen Angaben zu entfernen; der Vorgang und seine Belegnummer bleiben, damit die Nummernfolge lückenlos bleibt. Freigegebene Vorgänge, die nicht ausgeführt oder vor der Leistung storniert wurden, fallen nicht mehr darunter, und gelöscht wird in keinem Fall mehr.
  • Integrität: Freigegebene Protokolle sind inhaltlich unveränderbar; ausgenommen ist allein die Anonymisierung auf ein Löschverlangen, soweit die archivierte Fassung den Beleg bewahrt.
  • § 10 Abs. 3: In Fassung 1 nannte Abs. 3 den Fristablauf als eigenen Anlass für die Vernichtung der Schlüssel; nach § 10 Abs. 2 und der TOM-Anlage wurde auch dort nur auf Verlangen vernichtet. Fassung 2 stellt das klar: auf Verlangen des Auftraggebers – nach Fristablauf oder mit seiner Bestätigung, die Aufbewahrungspflicht anderweitig zu erfüllen. Neu ist auch der Satz zu den Datensicherungen: Dort wirkt die Vernichtung mit deren Ablauf, spätestens nach zwölf Monaten.
  • § 10 Abs. 4: Statt einer Einschränkung nach Art. 18 DSGVO werden im laufenden Bestand die personenbezogenen Angaben entfernt; die archivierte Fassung bleibt unverändert. Vorgänge ohne Aufbewahrungspflicht werden nicht mehr gelöscht, sondern anonymisiert. Ein freigegebener Beleg, der noch nicht im Archiv liegt, wird anonymisiert, wenn der Auftraggeber die Anonymisierung nach der Ablage erneut auslöst.
  • Aufnahmen des Türzustands: § 10 Abs. 4 nannte in Fassung 1 eine Löschung zwei Jahre nach dem Einsatz, auch ohne Verlangen. Fassung 2 bewahrt sie regulär länger auf – drei Jahre ab dem Ende des Leistungsjahres, wie schon in der Übersicht der Massnahmen – und nur nach einem Löschverlangen zwei Jahre ab dem Einsatztag.
  • TOM-Anlage: dieselbe Ausnahme bei der Unveränderbarkeit; bei einem Löschverlangen werden „die“ statt „alle“ personenbezogenen Angaben entfernt, freigegebene Belege erst nach ihrer Archivierung; die Aufnahmefrist ist nicht mehr als je Betrieb einstellbar beschrieben; die Beschreibung des Archivs sagt nicht mehr, der Beleg überlebe den Verlust der Datenbank, sondern dass er nur mit seinem Schlüssel aus der Datenbank oder ihrer Sicherung lesbar ist.
• Fassung 1 vom 2. September 2026 · Anlage: technische und organisatorische Massnahmen