Vertrag über Auftragsverarbeitung

1. Gegenstand und Dauer

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit dies für die Bereitstellung der Webanwendung visotax nach den AGB erforderlich ist. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO.

(2) Der Vertrag gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet (Abschnitt 10).

2. Art, Zweck und Umfang der Verarbeitung

Zweck: Speicherung und Verarbeitung der vom Auftraggeber erfassten Daten zur Ertrags- und Steuerprognose, Erstellung von Berichten, Versand von Auswertungen an Beteiligte auf Veranlassung des Auftraggebers sowie Verwaltung der Benutzerzugänge des Auftraggebers.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Abfragen, Verwenden (Berechnung), Offenlegen durch Übermittlung (E-Mail-Versand auf Veranlassung des Auftraggebers), Löschen.

Kategorien betroffener Personen:

• Mandanten des Auftraggebers sowie deren Ansprechpartner
• Inhaber und Gesellschafter der Mandanten und deren Kinder
• Benutzer des Auftraggebers (Mitarbeiter der Kanzlei bzw. des Unternehmens)

Kategorien personenbezogener Daten:

• Stammdaten: Name, Anschrift, Geburtsdatum, E-Mail-Adresse, Telefonnummer, Familienstand, Bundesland
• Steuerliche Daten: Beteiligungsquoten, Vergütungen und Tantiemen, Einkünfte, Vorauszahlungen, Verlust- und Gewinnvorträge, Angaben zu Kindern (für Freibeträge)
• Wirtschaftliche Daten der Mandanten: BWA-Ergebnisse, Erträge und Aufwendungen, Steuerparameter
• Benutzerdaten: Name, Benutzername, E-Mail-Adresse, Passwort-Hash, Angaben zur Zwei-Faktor-Anmeldung, Profilbild, Anmeldezeitpunkte

Besondere Kategorien (Art. 9 DSGVO): Angaben zur Kirchensteuerpflicht bzw. Konfession, soweit der Auftraggeber sie für die Berechnung der Kirchensteuer erfasst.

3. Weisungen

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats bzw. der Schweiz zu einer anderen Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen sind durch die AGB, diesen Vertrag und die Nutzung der Funktionen von visotax durch den Auftraggeber festgelegt. Weitere Weisungen erteilt der Auftraggeber in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

4. Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Ihm ist bekannt, dass der Auftraggeber Berufsgeheimnisträger sein kann; er verpflichtet seine Mitwirkenden auch zur Wahrung fremder Geheimnisse im Sinne von § 203 StGB und § 62a StBerG und belehrt sie über die strafrechtlichen Folgen einer Verletzung. Er verschafft sich Kenntnis von fremden Geheimnissen nur, soweit dies für die Leistung erforderlich ist.

5. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind in der Anlage „Technische und organisatorische Maßnahmen“ unten beschrieben. Der Auftragnehmer darf sie dem Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:

• STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland – Hosting von Anwendung und Datenbank, Versand von E-Mails (Rechenzentren in Deutschland)

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen im Voraus in Textform über beabsichtigte Änderungen. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind.

(4) Keine Unterauftragsverarbeitung ist die Zahlungsabwicklung über Stripe; dabei werden nur Vertrags- und Zahlungsdaten des Auftraggebers selbst verarbeitet, keine Daten seiner Mandanten.

7. Ort der Verarbeitung

Die Daten werden in Rechenzentren in Deutschland gespeichert. Der Auftragnehmer hat seinen Sitz in der Schweiz und greift von dort zur Betreuung, Wartung und Weiterentwicklung auf die Systeme zu. Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Eine Verarbeitung in anderen Drittländern findet nur mit vorheriger Zustimmung des Auftraggebers in Textform und unter Einhaltung der Art. 44 ff. DSGVO statt.

8. Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–22 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

(2) Er unterstützt den Auftraggeber bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen.

(3) Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

9. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Anmeldung, in der Regel mit einer Frist von vier Wochen und zu den üblichen Geschäftszeiten. Vorrangig können Nachweise auch durch aktuelle Testate, Zertifikate oder Berichte unabhängiger Stellen erbracht werden.

10. Löschung und Rückgabe

Nach Ende des Nutzungsvertrags löscht der Auftragnehmer die Daten des Auftraggebers nach Ablauf von 90 Tagen (siehe § 11 der AGB), auf Verlangen des Auftraggebers auch früher, sofern keine Aufbewahrungspflicht besteht. Vor Vertragsende kann der Auftraggeber seine Auswertungen als PDF sichern; auf Anfrage stellt der Auftragnehmer die gespeicherten Daten in einem gängigen maschinenlesbaren Format bereit. Die Löschung wird auf Anfrage bestätigt.

11. Haftung und Rangfolge

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen der AGB. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.

Anlage: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Rechenzentren des Hosting-Anbieters in Deutschland mit Zutrittskontrolle durch den Anbieter
• Anmeldung nur mit persönlichem Benutzer, Passwort und zweitem Faktor (Authenticator-App oder Code per E-Mail); Passwörter nur als nicht umkehrbarer Hash gespeichert
• Schutz vor dem Durchprobieren von Passwörtern: Kontosperre nach mehreren Fehlversuchen und Begrenzung je IP-Adresse
• Automatische Abmeldung nach 30 Minuten ohne Aktivität; geänderte Zugangsdaten beenden alle übrigen Sitzungen
• Rollen- und Berechtigungskonzept; Benutzer sehen nur die ihnen zugeordneten Mandanten; Daten verschiedener Kunden sind logisch strikt getrennt
• Personenbezogene Angaben werden mit AES-256 verschlüsselt gespeichert; der Schlüssel liegt getrennt von der Datenbank außerhalb des Webverzeichnisses
• Hochgeladene Dateien liegen außerhalb des Webverzeichnisses und werden nur nach Berechtigungsprüfung ausgeliefert

Integrität

• Übertragung ausschließlich verschlüsselt per HTTPS (TLS) mit HSTS
• Schutz der Formulare gegen fremd ausgelöste Anfragen (CSRF-Token) und Content-Security-Policy gegen eingeschleuste Inhalte
• Versand von Auswertungen an Beteiligte nur über persönliche Links, die nach 48 Stunden ablaufen, einen Bestätigungscode erfordern und vom Auftraggeber widerrufen werden können
• Keine Tracker, Analyse-Werkzeuge oder Inhalte fremder Server

Verfügbarkeit und Belastbarkeit

• Betrieb auf Infrastruktur des Hosting-Anbieters mit Stromversorgungs- und Brandschutzmaßnahmen des Rechenzentrums
• Regelmäßige Datensicherung

Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Sicherheitsüberprüfungen der Anwendung und zeitnahes Einspielen von Sicherheitsaktualisierungen
• Datenschutzfreundliche Voreinstellungen: Es werden nur die für die Berechnung erforderlichen Daten erfasst

Fassung 2026-11 · Stand: November 2026