Auftragsverarbeitungsvertrag

Vertrag zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden als Verantwortlichem (nachfolgend „Kunde“) und Ignilabs, Inhaber Can Dogan, Ludwigsburger-Straße 6, 55122 Mainz, als Auftragsverarbeiter (nachfolgend „Anbieter“).

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Vertrag über die Nutzung von IgniLabs Paydesk, dem die Allgemeinen Geschäftsbedingungen des Anbieters zugrunde liegen (nachfolgend „Hauptvertrag“). Begriffe wie „Nutzer“, „Mandant (Datenbereich)“, „Kanzleimandant“ und „Kundendaten“ werden wie in den AGB verwendet; im Übrigen gelten die Begriffsbestimmungen des Art. 4 DSGVO.

§ 1 Gegenstand und Dauer

1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden bei der Bereitstellung und dem Betrieb von IgniLabs Paydesk als Software-as-a-Service-Lösung einschließlich Speicherung, Datensicherung, E-Mail-Versand und Support.
2. Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Die Pflichten aus diesem Vertrag gelten darüber hinaus fort, solange der Anbieter Kundendaten verarbeitet, insbesondere bis zu deren vollständiger Rückgabe und Löschung (§ 12). Die Verschwiegenheitspflichten nach § 6 bestehen zeitlich unbegrenzt fort.
3. Nicht Gegenstand dieses Vertrags ist die Verarbeitung, für die der Anbieter selbst Verantwortlicher ist: die Benutzerkonten der Nutzer einschließlich Anmelde-, Einladungs- und Zustimmungsdaten, die Zuordnung der Benutzerkonten zu Mandanten (Datenbereichen) und Rollen, Systemmails, technische Protokolle und Fehlerberichte sowie die Vertragsabwicklung mit dem Kunden. Hierüber informiert die Datenschutzerklärung des Anbieters. Die technischen und organisatorischen Maßnahmen nach Anlage 1 schützen gleichwohl das Gesamtsystem.

§ 2 Art und Zweck der Verarbeitung

1. Der Anbieter verarbeitet die Kundendaten ausschließlich, um dem Kunden und seinen Nutzern die Funktionen von IgniLabs Paydesk bereitzustellen. Dazu gehören insbesondere das Erheben, Erfassen, Speichern, Ordnen, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln durch E-Mail-Versand im Auftrag des Kunden, Sichern, Einschränken und Löschen von Daten.
2. Im Einzelnen umfasst die Verarbeitung: die Verwaltung von Kunden-, Lieferanten- und Kontaktdaten, die Erstellung, den Versand und die Verwaltung von Rechnungen und Zahlungserinnerungen, die Erfassung von Zahlungen, die Ablage von Dokumenten, den Versand von Geschäftsmails einschließlich deren Protokollierung, die Datensicherung sowie Wartung, Fehleranalyse und Support, soweit dabei Kundendaten betroffen sind.
3. Eine Verarbeitung der Kundendaten zu eigenen Zwecken des Anbieters, insbesondere zu Werbezwecken, zur Analyse oder zum Training von Systemen, findet nicht statt.

§ 3 Art der Daten

Gegenstand der Verarbeitung sind, abhängig von der Nutzung durch den Kunden, insbesondere folgende Datenarten:

• Stammdaten und Kontaktdaten (z. B. Namen, Firmen, Anschriften, E-Mail-Adressen, Telefonnummern, Ansprechpartner);
• Vertrags-, Rechnungs- und Abrechnungsdaten (z. B. Rechnungspositionen, Beträge, Steuerangaben, Umsatzsteuer-Identifikationsnummern, Fälligkeiten, Mahnstufen);
• Zahlungs- und Bankdaten (z. B. Zahlungseingänge, Bankverbindungen);
• Inhalte von Dokumenten und Dateien, die der Kunde hochlädt oder mit IgniLabs Paydesk erzeugt;
• Kommunikationsdaten (Inhalt und Metadaten versendeter E-Mails, E-Mail-Vorlagen);
• Namen und Kontaktdaten von Nutzern, soweit sie in den Kundendaten vorkommen (z. B. als Absender von Geschäftsmails oder als zuständige Betreuer).

Die Kundendaten können Daten enthalten, die einem Berufsgeheimnis unterliegen (§ 6). Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht Zweck von IgniLabs Paydesk; erfasst der Kunde solche Daten dennoch, ist er für deren Zulässigkeit verantwortlich.

§ 4 Kategorien betroffener Personen

• Kunden, Interessenten und Lieferanten des Kunden bzw. seiner Kanzleimandanten sowie deren Ansprechpartner;
• bei Kanzleien: deren Kanzleimandanten sowie deren Geschäftspartner und Beschäftigte, soweit sie in den Kundendaten vorkommen;
• Nutzer des Kunden, soweit sie in den Kundendaten vorkommen (zu ihren Benutzerkonten siehe § 1 Abs. 3);
• Empfänger von E-Mails, die über IgniLabs Paydesk versendet werden;
• sonstige Personen, deren Daten in hochgeladenen Dokumenten enthalten sind.

§ 5 Weisungen

1. Der Anbieter verarbeitet die Kundendaten nur auf dokumentierte Weisung des Kunden, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO); in einem solchen Fall teilt der Anbieter dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.
2. Die Weisungen des Kunden sind abschließend in diesem Vertrag, im Hauptvertrag und in der Nutzung der Funktionen von IgniLabs Paydesk durch den Kunden und seine Nutzer festgelegt; Einstellungen und Aktionen in der Anwendung gelten als Weisung. Einzelweisungen erteilt der Kunde in Textform. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, werden als Antrag auf Leistungsänderung behandelt.
3. Der Anbieter informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Durchführung der Weisung auszusetzen, bis der Kunde sie bestätigt oder ändert.

§ 6 Vertraulichkeit und Schutz von Berufsgeheimnissen (§ 203 StGB, § 62a StBerG)

1. Der Anbieter gewährleistet, dass sich alle Personen, die zur Verarbeitung der Kundendaten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Diese Personen verarbeiten die Kundendaten ausschließlich entsprechend den Weisungen des Kunden.
2. Ist der Kunde Berufsgeheimnisträger im Sinne des § 203 Abs. 1 StGB, insbesondere Steuerberater, Steuerbevollmächtigter oder Steuerberatungsgesellschaft, wirkt der Anbieter als sonstige mitwirkende Person an der beruflichen Tätigkeit des Kunden mit (§ 203 Abs. 3 Satz 2 StGB). Der Kunde ist befugt, dem Anbieter fremde Geheimnisse insoweit zugänglich zu machen, als dies für die Inanspruchnahme der Leistungen erforderlich ist (§ 62a Abs. 1 StBerG).
3. Der Anbieter verpflichtet sich gegenüber dem Kunden zur Verschwiegenheit über alle fremden Geheimnisse, die ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit für den Kunden bekannt werden (§ 62a Abs. 3 Satz 2 Nr. 1 StBerG). Er nimmt von solchen Geheimnissen nur insoweit Kenntnis, als dies zur Vertragserfüllung erforderlich ist (§ 62a Abs. 3 Satz 2 Nr. 2 StBerG), etwa zur Behebung eines Fehlers oder zur Bearbeitung einer Supportanfrage des Kunden.
4. Belehrung: Der Anbieter ist darüber belehrt, dass er sich nach § 203 Abs. 4 Satz 1 StGB strafbar macht, wenn er unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person bekannt geworden ist. Die Tat wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft, bei Handeln gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe (§ 203 Abs. 6 StGB). Ebenso strafbar ist die unbefugte Verwertung eines solchen Geheimnisses (§ 204 StGB). Der Anbieter macht sich nach § 203 Abs. 4 Satz 2 Nr. 2 StGB auch dann strafbar, wenn er sich einer weiteren mitwirkenden Person bedient und nicht dafür Sorge trägt, dass diese zur Geheimhaltung verpflichtet wurde, und diese ein Geheimnis unbefugt offenbart.
5. Der Anbieter darf weitere Personen, insbesondere Unterauftragsverarbeiter nach § 8, zur Vertragserfüllung nur heranziehen, wenn er sie zuvor in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt hat (§ 62a Abs. 3 Satz 2 Nr. 3 StBerG). Die eigenen Mitarbeiter des Anbieters, die Zugang zu Kundendaten haben, werden in gleicher Weise verpflichtet und belehrt.
6. Die Verarbeitung findet ausschließlich im Inland bzw. innerhalb der Europäischen Union statt (§ 11), sodass ein dem Inland vergleichbarer Schutz der Geheimnisse gewährleistet ist (§ 62a Abs. 4 StBerG).
7. Die Absätze 2 bis 6 gelten entsprechend, wenn der Kunde einer anderen beruflichen Verschwiegenheitspflicht unterliegt, etwa als Rechtsanwalt oder Wirtschaftsprüfer; an die Stelle des § 62a StBerG treten dann die entsprechenden berufsrechtlichen Vorschriften (z. B. § 43e BRAO, § 50a WPO).

§ 7 Technische und organisatorische Maßnahmen

1. Der Anbieter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 1 beschrieben.
2. Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Anbieter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Sicherheitsniveau der vereinbarten Maßnahmen darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert der Anbieter und teilt sie dem Kunden auf Anfrage mit.

§ 8 Unterauftragsverarbeiter

1. Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. Der Anbieter informiert den Kunden mindestens vier Wochen vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, ist jede Partei berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen.
3. Der Anbieter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO), sowie die Verschwiegenheitspflichten nach § 6. Er haftet gegenüber dem Kunden für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.
4. Keine Unterauftragsverarbeitung im Sinne dieses Vertrags sind Nebenleistungen Dritter, die der Anbieter nicht zur Verarbeitung der Kundendaten in Anspruch nimmt, etwa Telekommunikations- und Transportleistungen im Internet. Hinterlegt der Kunde in IgniLabs Paydesk ein eigenes SMTP-Profil, werden seine E-Mails über den von ihm gewählten Mailserver versendet; dessen Betreiber ist kein Unterauftragsverarbeiter des Anbieters, sondern steht in einem Vertragsverhältnis mit dem Kunden.

§ 9 Unterstützung des Kunden

1. Der Anbieter unterstützt den Kunden angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Kapitel III der DSGVO (Art. 28 Abs. 3 Satz 2 lit. e DSGVO). Viele dieser Anfragen kann der Kunde selbst in der Anwendung erledigen, etwa durch Berichtigung, Löschung oder Herunterladen von Daten.
2. Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, es sei denn, der Kunde weist ihn dazu an.
3. Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörde (Art. 28 Abs. 3 Satz 2 lit. f DSGVO).
4. Für Unterstützungsleistungen, die über die Bereitstellung der Funktionen der Anwendung und die gesetzlich zwingenden Pflichten hinausgehen und nicht auf einem Verstoß des Anbieters beruhen, kann der Anbieter eine angemessene Vergütung nach Aufwand verlangen.

§ 10 Meldung von Datenschutzverletzungen

1. Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO), damit der Kunde seine Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO fristgerecht erfüllen kann.
2. Die Meldung enthält, soweit bekannt, eine Beschreibung der Art der Verletzung einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung. Informationen, die zunächst nicht vorliegen, reicht der Anbieter unverzüglich nach.
3. Der Anbieter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich hierzu mit dem Kunden ab. Meldungen an Aufsichtsbehörden oder betroffene Personen nimmt der Anbieter nur nach Weisung des Kunden vor.

§ 11 Ort der Verarbeitung

1. Die Verarbeitung der Kundendaten findet ausschließlich in Mitgliedstaaten der Europäischen Union statt. Die Standorte der einzelnen Komponenten – Anwendung und Datenbank, Mailserver und Fehlerprotokollierung, Dokumentenablage und Datensicherungen – sind in Anlage 2 aufgeführt.
2. Eine Verlagerung der Verarbeitung in ein Land außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums bedarf der vorherigen Zustimmung des Kunden in Textform und darf nur erfolgen, wenn die Voraussetzungen der Art. 44 ff. DSGVO und – bei Berufsgeheimnisträgern – des § 62a Abs. 4 StBerG erfüllt sind.

§ 12 Löschung und Rückgabe

1. Nach Ende des Hauptvertrags stellt der Anbieter dem Kunden auf dessen Verlangen, das bis spätestens 30 Tage nach Vertragsende in Textform zu stellen ist, die Kundendaten in einem gängigen, maschinenlesbaren Format zur Verfügung (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Rechnungen und Dokumente kann der Kunde bis zum Vertragsende jederzeit selbst herunterladen.
2. Spätestens 30 Tage nach Vertragsende löscht der Anbieter sämtliche Kundendaten einschließlich der Benutzerkonten, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. In den Datensicherungen enthaltene Kundendaten werden mit Ablauf der Aufbewahrungsdauer der Sicherungen (höchstens sechs Monate, Anlage 1 Nr. 3) durch Löschen der abgelaufenen Sicherungsstände endgültig gelöscht; bis dahin werden sie nicht mehr verarbeitet, außer zur Wiederherstellung nach einem Störfall.
3. Der Anbieter bestätigt dem Kunden die Löschung auf Anfrage in Textform. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, darf der Anbieter entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

§ 13 Nachweise und Kontrollrechte

1. Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 Satz 2 lit. h DSGVO), insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen.
2. Der Kunde ist berechtigt, die Einhaltung dieses Vertrags durch Überprüfungen einschließlich Inspektionen selbst oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der nicht in einem Wettbewerbsverhältnis zum Anbieter steht, zu kontrollieren. Inspektionen vor Ort sind mit angemessener Frist, in der Regel mindestens vier Wochen, anzukündigen und während der üblichen Geschäftszeiten ohne vermeidbare Störung des Betriebs durchzuführen. Dabei sind die Vertraulichkeit der Daten anderer Kunden und die Sicherheitsvorgaben des Rechenzentrumsbetreibers zu wahren.
3. Der Anbieter unterstützt solche Überprüfungen angemessen. Für Überprüfungen, die über eine pro Kalenderjahr hinausgehen und nicht durch einen konkreten Anlass, insbesondere eine Datenschutzverletzung, veranlasst sind, kann der Anbieter eine angemessene Vergütung nach Aufwand verlangen.

§ 14 Haftung und Schlussbestimmungen

1. Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Bezug auf den Schutz personenbezogener Daten vor.
3. Dieser Vertrag wird zusammen mit dem Hauptvertrag geschlossen, indem der Kunde das Angebot des Anbieters in Textform annimmt oder der Anbieter einen Auftrag des Kunden in Textform bestätigt (§ 4 Abs. 1 AGB); damit ist die Textform gewahrt (Art. 28 Abs. 9 DSGVO, § 62a Abs. 3 Satz 1 StBerG). Die Bestätigung dieses Vertrags durch Nutzer in der Anwendung dokumentiert lediglich deren Kenntnisnahme (§ 4 Abs. 3 AGB). Änderungen und Ergänzungen bedürfen der Textform.
4. Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland; der Gerichtsstand richtet sich nach dem Hauptvertrag.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen beschreiben den Stand bei Vertragsschluss.

1. Vertraulichkeit

Zutrittskontrolle

• IgniLabs Paydesk läuft ausschließlich auf Servern an den in Anlage 2 genannten Standorten: Anwendung, Datenbank, Mailserver, Fehlerprotokollierung und Dokumentenablage in einem Rechenzentrum der netcup GmbH in Deutschland, Datensicherungen auf einem Speicherplatz der Hetzner Online GmbH in Deutschland.
• Die physische Sicherung der Räume (Zutrittskontrollsysteme, Überwachung, Schutz vor Umwelteinflüssen) obliegt dem jeweiligen Rechenzentrumsbetreiber nach dessen Sicherheitskonzept und ist Gegenstand des mit ihm geschlossenen Auftragsverarbeitungsvertrags.
• Die Arbeitsplatzrechner des Anbieters sind durch eine vollständige Festplattenverschlüsselung und eine automatische Bildschirmsperre geschützt.

Zugangskontrolle

• Zugang zur Anwendung nur mit persönlichem Benutzerkonto; gemeinsam genutzte Konten sind nicht vorgesehen.
• Passwortrichtlinie: mindestens 12 Zeichen, Ausschluss offensichtlicher Passwörter sowie von Passwörtern, die den Benutzernamen oder die E-Mail-Adresse enthalten.
• Passwörter werden in der Datenbank ausschließlich als Hashwert mit einem anerkannten, gesalzenen Hashverfahren gespeichert.
• Neue Nutzer legen ihr Passwort über einen persönlichen Einladungslink selbst fest; Administratoren vergeben keine Passwörter. Einladungslinks sind sieben Tage, Links zum Zurücksetzen des Passworts eine Stunde gültig und nur einmal verwendbar. Das enthaltene Einmal-Kennzeichen wird in der Datenbank ausschließlich als Hashwert gespeichert; da es Teil der aufgerufenen Adresse ist, erscheint es in den technischen Zugriffsprotokollen.
• Begrenzung von Anmeldeversuchen: nach fünf Fehlversuchen innerhalb von 15 Minuten je Benutzerkennung und IP-Adresse wird die Anmeldung vorübergehend gesperrt. Zusätzlich ist die Zahl fehlgeschlagener Anmeldeversuche je Konto unabhängig von der IP-Adresse begrenzt (zehn pro Stunde, falsch eingegebene Anmeldecodes eingeschlossen); beim Erreichen dieser Grenze wird der Kontoinhaber per E-Mail auf die auffälligen Anmeldeversuche hingewiesen.
• Zwei-Faktor-Anmeldung: Administratoren und Steuerberater melden sich nach dem Passwort zusätzlich mit einem sechsstelligen Code an, der per E-Mail zugesandt wird (zehn Minuten gültig, nur einmal verwendbar, nach fünf Fehlversuchen verworfen, in der Datenbank ausschließlich als Hashwert gespeichert). Für alle weiteren Nutzer kann das Verfahren freiwillig aktiviert werden. Auf Wunsch des Nutzers wird ein Gerät für 30 Tage als vertrauenswürdig gemerkt; diese Vertrauensstellung kann jederzeit für alle Geräte entzogen werden und erlischt bei einer Passwortänderung oder Sperrung des Kontos.
• Sitzungen werden serverseitig gespeichert und enden nach etwa einer Stunde ohne Aktivität; Sitzungscookies sind gegen den Zugriff durch Skripte geschützt und werden nur über verschlüsselte Verbindungen übertragen. „Angemeldet bleiben“ nur auf ausdrücklichen Wunsch des Nutzers und jeweils sieben Tage ab der letzten Anmeldung; bei Konten mit Zwei-Faktor-Anmeldung ersetzt es den Code nicht.
• Nach einer Passwortänderung werden andere Sitzungen des Nutzers ungültig. Gesperrte (deaktivierte) Benutzerkonten können sich nicht anmelden; laufende Sitzungen eines gesperrten Kontos enden sofort mit der nächsten Anfrage, ebenso wirken Änderungen der Rollen unmittelbar.
• Administrativer Zugang zu den Servern ist nur berechtigten Personen möglich, und zwar ausschließlich per SSH mit SSH-Schlüsseln über eine verschlüsselte VPN-Verbindung (WireGuard); eine Anmeldung mit Passwort ist nicht vorgesehen.

Zugriffskontrolle

• Rollen- und Berechtigungskonzept: Plattform-Administration durch den Anbieter; je Mandant (Datenbereich) Rollen für Inhaber, Mitarbeiter und Steuerberater. Nutzer sehen nur die Mandanten (Datenbereiche), denen sie zugeordnet sind.
• Mandantentrennung auf Datenbankebene: Jeder Datensatz ist einem Mandanten (Datenbereich) zugeordnet, und jede Datenbankabfrage wird automatisch auf den aktiven Mandanten beschränkt. Kann kein Mandant ermittelt werden, liefert die Abfrage keine Daten (Fail-closed-Prinzip). Verweise auf Datensätze oder Benutzer anderer Mandanten werden abgewiesen.
• Bei Mandanten (Datenbereichen), die von einem Steuerberater betreut werden, haben die übrigen Benutzer des Mandanten nur dann Schreibzugriff, wenn der Steuerberater das Bearbeiten freigeschaltet hat; andernfalls ist der Mandant für sie schreibgeschützt.
• Schutz vor Cross-Site-Request-Forgery durch Tokens bei zustandsändernden Anfragen; Ausgaben werden maskiert. Eine Content-Security-Policy beschränkt Skripte, Stile und Schriften auf eigene Server.
• Sicherheits-Header (u. a. HTTP Strict Transport Security, Schutz vor Einbettung in fremde Seiten, Referrer-Policy, Permissions-Policy).
• Der Anbieter greift auf Kundendaten nur zu, soweit dies für Betrieb, Wartung, Fehleranalyse oder eine Supportanfrage des Kunden erforderlich ist, und nur durch Personen, die nach § 6 zur Verschwiegenheit verpflichtet sind.

Trennungskontrolle

• Logische Trennung der Daten verschiedener Kunden und Mandanten (Datenbereiche), siehe Zugriffskontrolle.
• Getrennte Umgebungen für Produktion, Test und Entwicklung mit jeweils eigener Datenbank. Echte Kundendaten werden nicht in Test- oder Entwicklungsumgebungen verwendet.

Pseudonymisierung und Verschlüsselung

• Alle Verbindungen zwischen Browser und Anwendung sind per TLS verschlüsselt; Browser werden per HSTS angewiesen, ausschließlich verschlüsselt zu verbinden.
• Zugangsdaten zu Mailservern (SMTP-Passwörter) werden verschlüsselt gespeichert (authentifizierte Verschlüsselung). Die Zugangsdaten zum eigenen Mailserver des Kunden (E-Mail-Adresse, Benutzername, Passwort) werden von dazu berechtigten Nutzern des Kunden selbst hinterlegt und ausschließlich zur Prüfung der Verbindung und für den Versand der E-Mails des Kunden verwendet.
• Passwörter und Einmal-Kennzeichen werden in der Datenbank ausschließlich als Hashwert gespeichert.
• Im E-Mail-Protokoll wird der Inhalt von Systemmails mit Einmal-Links nicht gespeichert.

2. Integrität

Weitergabekontrolle

• Verschlüsselte Übertragung zwischen Browser und Anwendung. Mailserver und Fehlerprotokollierung sind über eine verschlüsselte VPN-Verbindung (WireGuard) angebunden; die Dokumentenablage wird über eine TLS-verschlüsselte Verbindung über den Reverse-Proxy angebunden, wobei die Serverzertifikate gegen eine interne Zertifizierungsstelle des Anbieters geprüft werden.
• Ausgehende E-Mails werden transportverschlüsselt (TLS) übertragen, soweit der empfangende Server dies unterstützt.
• Die Oberfläche lädt keine Inhalte von Servern Dritter; es werden keine Analyse- oder Tracking-Dienste eingesetzt.
• Fehlerberichte enthalten die aufgerufene Adresse und Metadaten der Anfrage, aber keine Formularinhalte, IP-Adressen oder Cookies.

Eingabekontrolle

• Datensätze tragen Zeitstempel ihrer Anlage und letzten Änderung.
• Versendete E-Mails werden mit Absender-Benutzer, Empfänger, Zeitpunkt und Versandstatus protokolliert.
• Technische Anwendungsprotokolle werden 14 Tage aufbewahrt und danach automatisch gelöscht; die Ausgaben der Server-Container werden nach Größe rotiert.
• Ein umfassendes Änderungsprotokoll (Audit-Log) ist derzeit nicht eingerichtet.

3. Verfügbarkeit und Belastbarkeit

• Tägliche Datensicherung der Datenbank und der Dokumentenablage, vor der Übertragung verschlüsselt (restic), bei einem zweiten Anbieter (Hetzner Online GmbH) in Deutschland. Aufbewahrt werden sieben tägliche, vier wöchentliche und sechs monatliche Sicherungsstände, eine Sicherung also höchstens sechs Monate.
• Statusprüfung der Anwendung einschließlich Datenbank und Cache; die Anwendung wird nach einem Absturz automatisch neu gestartet.
• Automatische Erfassung technischer Fehler in einer selbst betriebenen Fehlerprotokollierung.
• Begrenzung missbrauchsanfälliger Vorgänge (z. B. Anmeldeversuche, Rechnungserstellung).
• Betrieb in Containern mit versionierten Releases. Änderungen durchlaufen eine automatisierte Pipeline mit Tests und statischer Analyse.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Datenschutzfreundliche Voreinstellungen: keine Tracking- oder Analysewerkzeuge, keine Einbindung externer Inhalte, Fehlerberichte ohne Formularinhalte, IP-Adressen und Cookies.
• Automatisierte Tests prüfen unter anderem die Mandantentrennung, die Maskierung von Ausgaben, den Schutz vor Cross-Site-Request-Forgery und die Sicherheits-Header.
• Der Anbieter überprüft diese Maßnahmen bei wesentlichen Änderungen der Anwendung, mindestens jedoch einmal jährlich, und passt sie an.
• Auftragskontrolle: Unterauftragsverarbeiter nur nach § 8 und mit Vertrag nach Art. 28 DSGVO; Verpflichtung aller Beteiligten auf Vertraulichkeit und Verschwiegenheit nach § 6.
• Vorgehen bei Datenschutzverletzungen mit unverzüglicher Information des Kunden nach § 10.

Anlage 2 – Unterauftragsverarbeiter und Standorte

Bei Vertragsschluss setzt der Anbieter folgende Unterauftragsverarbeiter ein:

Die Komponenten von IgniLabs Paydesk betreibt der Anbieter selbst an folgenden Standorten:

Die Server und Speicherplätze an diesen Standorten stellen die oben genannten Unterauftragsverarbeiter bereit. Die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters kündigt der Anbieter nach § 8 Abs. 2 an.