Rechtliches · Art. 28 DSGVO · Stand: August 2026
Vereinbarung zur Auftragsverarbeitung (AVV)
Vertrag zur Auftragsverarbeitung zwischen Ihrem Unternehmen (Verantwortlicher i. S. d. Art. 4 Nr. 7 DSGVO) und der ePigeon UG (haftungsbeschränkt) (Auftragsverarbeiter i. S. d. Art. 4 Nr. 8 DSGVO) über die Verarbeitung personenbezogener Daten im Rahmen der Nutzung der Software ePigeon.
§ 1 Gegenstand und Dauer
(1) Diese Vereinbarung regelt die Pflichten der Parteien im Rahmen der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter (ePigeon UG (haftungsbeschränkt)) im Auftrag des Verantwortlichen (Kunde) im Zusammenhang mit der Nutzung der Software ePigeon.
(2) Die Dauer dieser Vereinbarung entspricht der Laufzeit des Hauptvertrages.
§ 2 Art der Daten und Kreis der Betroffenen
(1) Gegenstand der Verarbeitung sind personenbezogene Daten, die in eingehenden B2B-Rechnungen und Dokumenten enthalten sind (z. B. Namen, Adressen, Kontaktdaten, Bankverbindungen von Lieferanten/Kreditoren und Sachbearbeitern) sowie Stammdaten der Nutzer des Kunden (Namen, E-Mail-Adressen, Log-Daten).
(2) Kreis der Betroffenen: Mitarbeiter, Kunden, Lieferanten und Ansprechpartner des Verantwortlichen.
§ 3 Weisungsgebundenheit
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Erteilt der Verantwortliche eine Weisung, die nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich.
§ 4 Technische und organisatorische Maßnahmen (TOMs)
Der Auftragsverarbeiter stellt ein dem Risiko angemessenes Schutzniveau gemäß Art. 32 DSGVO sicher. Die konkreten Maßnahmen sind in der Anlage 1 (TOMs) festgelegt.
§ 5 Subunternehmer (Sub-Prozessoren)
(1) Der Verantwortliche stimmt der Beauftragung des folgenden Subunternehmers bei Vertragsschluss zu:
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Server-Hosting, Storage & Infrastruktur in Rechenzentren in Nürnberg/Falkenstein, Deutschland).
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung bezüglich der Hinzuziehung oder Ersetzung von Subunternehmern mindestens 14 Tage im Voraus in Textform. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen.
§ 6 Rechte der Betroffenen und Meldungen
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Anfragen betroffener Personen (Art. 12–22 DSGVO).
(2) Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung.
§ 7 Löschung und Rückgabe von Daten
Nach Beendigung des Hauptvertrages löscht oder übergibt der Auftragsverarbeiter alle verarbeiteten Daten nach Maßgabe von Ziffer 3.6 der AGB, sofern keine gesetzliche Pflicht zur Speicherung (z. B. GoBD/AO) besteht.
Anlage 1 zum AVV: Technisch-organisatorische Maßnahmen (TOMs)
1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)
- Zutrittskontrolle: Server-Hosting ausschließlich in zertifizierten (ISO/IEC 27001) Rechenzentren der Hetzner Online GmbH (Nürnberg/Falkenstein, Deutschland). 24/7-Überwachung, biometrische/elektronische Zutrittskontrollen. Keine lokalen Kundendaten-Server am Sitz des Anbieters.
- Zugangskontrolle: Nutzung von HTTPS/TLS-Verschlüsselung, Passwort-Hashing, Multi-Faktor-Authentifizierung (MFA) für administrative Zugriffe, SSH-Schlüssel für Serverzugang, Firewall-Regeln und Traefik Reverse-Proxy mit Rate-Limiting.
- Zugriffskontrolle: Strikte mandantenbezogene logische Datentrennung (Multi-Tenancy) in PostgreSQL 16 mittels Row-Level-Security /
company_id. Rollenbasierte Zugriffsrechte (RBAC) in der Software. - Trennungskontrolle: Getrennte Umgebungen für Entwicklung, Staging und Produktion. Keine Verwendung von Produktivdaten in Testumgebungen.
2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)
- Weitergabekontrolle: Zwingende TLS 1.2 / 1.3 Verschlüsselung für Daten in Transit. Verschlüsselung ruhender Daten (Data at Rest).
- Eingabekontrolle & GoBD-Compliance: Unveränderliches Audit-Logging aller Systemaktionen und Rechnungsstatusänderungen via Datenbank-Trigger. Unveränderliche WORM-Speicherung (Object Lock / Storage Box) für Originalbelege zur Absicherung gegen nachträgliche Bearbeitung.
3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)
- Verfügbarkeitskontrolle: Tägliche automatische, verschlüsselte Backups der Datenbanken und Storage-Bestände. Point-in-Time-Recovery. Asynchrone Task-Verarbeitung via Celery/Redis zur Abfederung von Lastspitzen.
4. Regelmäßige Evaluierung und Review (Art. 32 Abs. 1 lit. d DSGVO)
- Schwachstellenmanagement: Automatisierte Scans von Quellcode und Abhängigkeiten (Python/Next.js). Vier-Augen-Prinzip (Pull-Requests) vor jedem Release.
- Privacy by Design: Ausrichtung der Architektur auf Datenminimierung und automatisierte Löschkonzepte nach Ablauf gesetzlicher Fristen.
Download
Laden Sie den aktuellen AVV (inkl. Anlage 1 TOMs) als Textdatei herunter — z. B. zur internen Ablage oder Vorlage bei einer Datenschutz-Folgenabschätzung.
AVV herunterladen