Auftragsverarbeitungsvereinbarung (AVV, Anlage 1)

AUFTRAGSVERARBEITUNGSVEREINBARUNG

gemäß Art. 28 DSGVO • Anlage 1 zur Nutzungsvereinbarung HILO-Basis

• Parteien
• Auftragsverarbeiterin: Caterina Essberger-Brenscheidt, Reuschenberger Straße 11, 41472 Neuss

Verantwortliche: Die selbständige/r Beratungsstellenleiter/in des HILO e.V., die die Nutzungsvereinbarung HILO-Basis abgeschlossen hat. Soweit zusätzlich die ASG-Ergänzungsvereinbarung abgeschlossen wurde, gilt diese AVV auch für die Verarbeitung von ASG-Mandantendaten.

1. Gegenstand, Art und Zweck der Verarbeitung

Die Auftragsverarbeiterin verarbeitet im Auftrag der Verantwortlichen personenbezogene Daten im Rahmen des SaaS-Dienstes „Belegsortierung“. Gegenstand ist die automatisierte Sortierung steuerlicher Belegdaten. Eine inhaltliche Auswertung der Daten durch die Auftragsverarbeiterin findet nicht statt.

2. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer der Nutzungsvereinbarung (inkl. etwaiger Ergänzungsvereinbarung). Nach Vertragsende werden personenbezogene Daten gelöscht (vgl. Ziff. 10).

3. Art der personenbezogenen Daten

• Steuerliche Belegdaten (Rechnungen, Quittungen, sonstige Nachweise) mit möglichem Personenbezug;
• Mitglieds-/Mandantennummer und Veranlagungsjahr im Nutzungsprotokoll (pseudonymisiert, ohne Namen oder Beleginhalte).

4. Kategorien betroffener Personen

• HILO-Basis: Mitglieder des HILO e.V., die der Beratungsstelle zugeordnet sind.
• ASG-Zusatz (sofern gebucht): Mandanten der Verantwortlichen im Rahmen ihrer ASG-Tätigkeit.

5. Weisungsrecht

(1) Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen. Die Nutzung des Dienstes gemäß Nutzungsvereinbarung gilt als Weisung.

(2) Weitere Weisungen können schriftlich oder per E-Mail erteilt werden.

(3) Ist die Auftragsverarbeiterin der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert sie die Verantwortliche unverzüglich. Die Auftragsverarbeiterin ist berechtigt, die Ausführung einer rechtswidrigen Weisung bis zur Klärung auszusetzen.

6. Vertraulichkeit

Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Die Vertraulichkeitspflicht besteht über das Vertragsende fort.

7. Technisch-organisatorische Maßnahmen (TOM) gem. Art. 32 DSGVO

• 7.1 Verschlüsselung
• Alle Datenübertragungen erfolgen verschlüsselt (TLS 1.2 oder höher / HTTPS).
• 7.2 Zugriffskontrolle
• Zugriff ist auf authentifizierte Nutzerinnen beschränkt. Jede Beratungsstelle sieht ausschließlich ihre eigenen Daten und ihr eigenes Protokoll.
• 7.3 Datenminimierung
• Das Nutzungsprotokoll speichert ausschließlich Datum/Uhrzeit, Mitglieds-/Mandantennummer und Veranlagungsjahr. Namen und Beleginhalte werden nicht protokolliert (Art. 5 Abs. 1 lit. c DSGVO).
• 7.4 Löschkonzept
• Verarbeitete Belegdaten werden spätestens 30 Tage nach Periodenende gelöscht.
• 7.5 Verfügbarkeit und Monitoring
• Die Verfügbarkeit wird durch automatisiertes Monitoring (Zeitstempel-Log) dokumentiert. Nachweis auf Anfrage binnen 14 Tagen.

8. Unterauftragsverarbeiter

(1) Der Einsatz von Unterauftragsverarbeitern ist zulässig, sofern diese vertraglich dieselben Datenschutzpflichten erfüllen wie diese AVV.

(2) Die Verantwortliche wird über Einschaltung oder Wechsel wesentlicher Unterauftragsverarbeiter schriftlich informiert und kann innerhalb von 14 Tagen widersprechen. Bei fehlender Einigung steht der Verantwortlichen ein Sonderkündigungsrecht zu.

(3) Aktuell eingesetzte Unterauftragsverarbeiter werden auf Anfrage mitgeteilt.

9. Unterstützung der Verantwortlichen

• Die Auftragsverarbeiterin unterstützt die Verantwortliche bei:
• Betroffenenrechten (Auskunft, Löschung, Berichtigung, Art. 15 ff. DSGVO);
• Meldung von Datenpannen: unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden;
• Datenschutz-Folgenabschätzungen (Art. 35 DSGVO), soweit erforderlich.

10. Rückgabe und Löschung nach Vertragsende

(1) Nach Vertragsende löscht die Auftragsverarbeiterin alle im Auftrag verarbeiteten personenbezogenen Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Bestätigung der Löschung auf Verlangen schriftlich binnen 30 Tagen.

(3) Das Nutzungsprotokoll kann vor Löschung exportiert werden.

11. Kontrollrechte der Verantwortlichen

(1) Die Verantwortliche darf die Einhaltung dieser AVV durch Anforderung von Dokumentation prüfen.

(2) Vor-Ort-Prüfungen sind mit 14 Tagen Vorlauf anzukündigen und auf das erforderliche Maß zu begrenzen.

(3) Kosten einer Vor-Ort-Prüfung trägt die Verantwortliche, es sei denn, die Prüfung ergibt einen wesentlichen Verstoß seitens der Auftragsverarbeiterin.

12. Sonstiges

(1) Diese AVV ist Bestandteil der Nutzungsvereinbarung HILO-Basis und gilt entsprechend für die ASG-Ergänzungsvereinbarung. Im Konfliktfall gehen datenschutzrechtliche Regelungen dieser AVV vor.

(2) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Neuss.

(3) Änderungen dieser AVV bedürfen der Textform (lesbare, dauerhafte Erklärung; § 126b BGB).

• Annahme
• Die Verantwortliche nimmt diese AVV mit separater Bestätigung im Registrierungsprozess an (eigener Haken: „Ich akzeptiere die Auftragsverarbeitungsvereinbarung gem. Anlage 1“). Datum und Zeitstempel der Annahme werden protokolliert.

Neuss, Stand: Juni 2026