AVV-Muster für CleanCalc-Kunden

Dieser Mustervertrag erfüllt die Anforderungen von Art. 28 DSGVO. Er gilt für die Nutzung von CleanCalc, wenn Sie als Kunde (Verantwortlicher) darin personenbezogene Daten Ihrer eigenen Kunden, Mitarbeitenden oder Interessenten verarbeiten.

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen

Name / Firma: ______________________________
Anschrift: ______________________________
E-Mail der Anmeldung bei CleanCalc: ______________________________
– nachfolgend „Verantwortlicher“ –

und

CleanCalc – ein Angebot von neu-protec Mediendesign, vertreten durch Thomas Perke
Hamburger Str. 43, 40221 Düsseldorf
E-Mail: info@neu-protec.de
– nachfolgend „Auftragsverarbeiter“ –

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Web-Anwendung CleanCalc zur Erstellung von Angeboten und Rechnungen, zur Kundenverwaltung und zum Versand von Dokumenten bereit (Hauptvertrag, Tarife und AGB auf cleancalc.de). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Diese Vereinbarung gilt ab Abschluss des Hauptvertrags (auch während der Testphase) und endet automatisch mit dessen Beendigung, soweit sich aus den Regelungen dieser Vereinbarung nichts anderes ergibt.

§ 2 Art, Zweck, Daten und Betroffene

Art und Zweck der Verarbeitung, die Arten der Daten und die Kreise der Betroffenen ergeben sich aus Anlage 1. Die Verarbeitung findet im Gebiet der Bundesrepublik Deutschland bzw. der Europäischen Union statt; Ausnahmen regelt § 8.

§ 3 Weisungen des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag und die Bedienung der Anwendung durch den Verantwortlichen sind die Weisung. Weitere Weisungen erfolgen in Textform (E-Mail genügt).

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung aussetzen, bis die Weisung bestätigt oder geändert wird.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, sofern sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Er trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt sie im Rahmen des Stands der Technik weiter. Wesentliche Änderungen dokumentiert er; das Schutzniveau wird nicht unterschritten.

(3) Er unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte (Art. 12 bis 22 DSGVO), bei der Datensicherheit, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO), soweit dies im Rahmen der Anwendung möglich ist.

(4) Er meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, möglichst innerhalb von 48 Stunden, in Textform an die bei CleanCalc hinterlegte E-Mail-Adresse.

(5) Ein Datenschutzbeauftragter ist beim Auftragsverarbeiter nicht benannt, weil die gesetzliche Pflicht dazu nicht besteht. Ansprechpartner für den Datenschutz ist Thomas Perke, info@neu-protec.de.

(6) Er führt ein Verzeichnis aller im Auftrag durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO).

§ 5 Rechte der Betroffenen

Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst. Der Verantwortliche kann Daten in der Anwendung selbst berichtigen, löschen und exportieren; darüber hinaus unterstützt der Auftragsverarbeiter auf Anfrage.

§ 6 Kontrollrechte

Der Verantwortliche darf sich von der Einhaltung dieser Vereinbarung überzeugen. Der Auftragsverarbeiter erteilt dazu auf Anfrage Auskunft und stellt die erforderlichen Nachweise bereit, vorrangig in Textform oder durch Vorlage der Dokumentation. Prüfungen vor Ort sind nach vorheriger Anmeldung (mindestens 14 Tage) und zu den üblichen Geschäftszeiten möglich, ohne den Betrieb unverhältnismäßig zu stören.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter. Zum Vertragsschluss sind dies die in Anlage 3 genannten Unternehmen.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage vor einer Änderung (Hinzufügen oder Ersetzen) in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Bleibt der Widerspruch ohne Einigung, kann jede Partei den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind, und haftet für dessen Pflichtverletzungen wie für eigene.

§ 8 Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU / des EWR findet nur statt, soweit dies in Anlage 3 genannt ist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (zum Beispiel Angemessenheitsbeschluss oder Standardvertragsklauseln).

§ 9 Löschung und Rückgabe

Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten exportieren. Danach löscht der Auftragsverarbeiter die Daten des Verantwortlichen einschließlich Sicherungskopien innerhalb von 60 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Auf Wunsch bestätigt er die Löschung in Textform.

§ 10 Haftung und Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO und die Regelungen des Hauptvertrags.

(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Bei Widersprüchen geht diese Vereinbarung dem Hauptvertrag im Bereich des Datenschutzes vor.

(3) Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Ort, Datum: ______________________________

Anlage 1 – Gegenstand der Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen

• Vertraulichkeit / Zutritt: Betrieb auf Servern eines Hosting-Anbieters in Rechenzentren in Deutschland bzw. der EU; Zutrittskontrolle liegt beim Rechenzentrumsbetreiber.
• Zugang und Zugriff: persönliche Anmeldung mit E-Mail und Passwort; Passwörter werden nur als Hash (bcrypt) gespeichert; Rollen- und Rechtekonzept (Inhaber, Mitarbeitende, Administration); administrativer Zugriff nur für den Auftragsverarbeiter.
• Trennung: Daten werden je Konto getrennt gespeichert und abgefragt (Mandantentrennung).
• Weitergabe: Verschlüsselte Übertragung (TLS/HTTPS) zwischen Gerät und Server; E-Mail-Versand über den Hosting-Anbieter.
• Eingabekontrolle: Änderungen an Angeboten und Rechnungen werden mit Zeitpunkt gespeichert; Fehler und Sicherheitsereignisse werden protokolliert; Protokolle werden nach festen Fristen gelöscht.
• Verfügbarkeit: regelmäßige Datensicherungen; Wiederherstellung aus der Sicherung bei Datenverlust.
• Belastbarkeit und Überprüfung: Software wird laufend gepflegt, Sicherheitsfehler werden zeitnah behoben; die Maßnahmen werden mindestens einmal jährlich überprüft.
• Organisation: Verpflichtung auf Vertraulichkeit; Datenschutzvorgaben für alle Beteiligten; Verfahren zur Meldung von Datenschutzverletzungen.

Anlage 3 – Unterauftragsverarbeiter

Stand: 14. November 2026