AVV

1. Parteien und Gegenstand

Diese Vereinbarung gilt zwischen dem registrierten Unternehmenskunden als Verantwortlichem und Emilio Luciano Vita, handelnd unter All Seasons Production, als Auftragsverarbeiter. Gegenstand ist die cloudbasierte Bereitstellung von LunaOffice für die Dauer des Hauptvertrags zuzüglich Abruf-, Rückgabe- und gesetzlicher Aufbewahrungsfristen.

Die Verarbeitung umfasst Erfassen, Ordnen, Speichern, Auslesen, Abgleichen, Verknüpfen, Bereitstellen, Exportieren, Einschränken und Löschen zur Unterstützung von Rechnungs-, Beleg-, Kontakt-, Zahlungs-, Buchhaltungs-, Berichts-, Import- und Exportabläufen.

2. Daten und betroffene Personen

Mögliche Datenarten sind Stamm- und Kontaktdaten, Kunden-/Lieferantendaten, Rechnungen, Belege, Originaldateien, Bank-/Zahlungsinformationen, Buchungs-/Steuermerkmale, Kommunikation, Benutzer-/Berechtigungsdaten und Sicherheitsprotokolle. Betroffen sein können Nutzer und Beschäftigte, Kunden, Interessenten, Lieferanten, Dienstleister, Ansprechpartner und Zahlungspartner des Verantwortlichen.

3. Weisungen und Vertraulichkeit

Verarbeitet wird nur auf dokumentierte Weisung, soweit keine gesetzliche Pflicht besteht. Rechtswidrig erscheinende Weisungen werden unverzüglich gemeldet und dürfen bis zur Klärung ausgesetzt werden. Zugriffsberechtigte Personen werden zur Vertraulichkeit verpflichtet.

4. Unterstützung, Vorfälle und Betroffenenrechte

Der Auftragsverarbeiter unterstützt angemessen bei Betroffenenrechten und Pflichten nach Art. 32 bis 36 DSGVO. Datenschutzverletzungen mit Auftragsdaten werden nach Bekanntwerden unverzüglich mit den verfügbaren Angaben gemeldet. Betroffenen- und Behördenanfragen werden weitergeleitet, soweit dies rechtlich zulässig ist.

5. Nachweise, Rückgabe und Löschung

Geeignete Nachweise werden bereitgestellt; verhältnismäßige Kontrollen durch den Verantwortlichen oder unabhängige Prüfer bleiben möglich. Nach Vertragsende können Daten innerhalb der vereinbarten Frist exportiert werden. Danach erfolgt Löschung oder Rückgabe, soweit keine gesetzliche Aufbewahrungspflicht oder ein Legal Hold entgegensteht.

6. Technische und organisatorische Maßnahmen

Im Anwendungscode nachweisbar sind rollenbasierte und mandantengebundene Zugriffe, serverseitige Firmenzuordnung, MFA-Vorbereitung, CSRF-Schutz, sichere Cookie-Attribute, Sicherheitsheader, Passwort-Hashes, Schutz von Provider-Zugangsdaten, Audit-/Änderungsverläufe, Erhalt von Originaldateien sowie Retention- und Legal-Hold-Protokolle.

Vor Produktion offen: Nachweise zur TLS- und Schlüsselverwaltung, Datenträger-/Backup-Verschlüsselung, Backup- und Restore-Tests, RPO/RTO, Monitoring, Patch-/Incident-Prozess, unabhängiger Penetrationstest, Infrastruktur-Berechtigungen, Löschfristen und regelmäßige TOM-Prüfungen. Diese Liste ist keine Zertifizierung.

7. Unterauftragnehmer und Empfänger

Vorgesehenes Hosting: Hypnotic c/o COCENTER, Stuttgarter Straße 106, 70736 Fellbach; nach aktueller Anbieterangabe Serverstandort Nürnberg. Identität, AVV, TOMs, Backup-/Löschfristen und Standort sind vor Produktion zu verifizieren. Ein SMTP-Anbieter ist noch nicht ausgewählt und darf bis zur Prüfung keine Auftragsdaten erhalten.

Mollie B.V. wird für Zahlungsdienste nach der offiziellen Datenschutzerklärung grundsätzlich eigenständig verantwortlich tätig. Bei finAPI ist die Rollenverteilung der konkret genutzten AIS/PIS-Leistung anhand der offiziellen Datenschutzinformationen zu prüfen.

Neue oder ersetzte Unterauftragnehmer werden grundsätzlich mindestens 30 Tage vor Einsatz angekündigt. Ein datenschutzrechtlich begründeter Widerspruch bleibt möglich.

8. Offizielle Grundlagen

DSGVO, insbesondere Art. 28, 32 und 33 sowie die EDPB-Leitlinien 07/2020.

Version 2026-08-08.2