Vertrag über die Auftragsverarbeitung

zwischen dem Kunden des gehosteten Angebots von SoloOffice

– nachfolgend „Verantwortlicher“ –

und der

– nachfolgend „Auftragsverarbeiter“ –

1. Gegenstand und Dauer

1.1 Der Auftragsverarbeiter stellt dem Verantwortlichen die Software SoloOffice als gehosteten Dienst zur Verfügung (Hauptvertrag: AGB für das gehostete Angebot). Dabei verarbeitet er personenbezogene Daten, die der Verantwortliche in der Software speichert, im Auftrag und nach Weisung des Verantwortlichen.

1.2 Die Dauer dieses Vertrags entspricht der Dauer des Hauptvertrags. Die Pflichten zur Löschung und Rückgabe nach Ziffer 8 gelten über das Vertragsende hinaus.

2. Art, Zweck und Umfang der Verarbeitung

2.1 Zweck: Bereitstellung, Betrieb, Wartung und Sicherung der Software für die Rechnungsstellung, Kunden-, Auftrags- und Belegverwaltung sowie die vorbereitende Buchhaltung des Verantwortlichen.

2.2 Art der Verarbeitung: Speichern, Anzeigen, Verändern, Übermitteln (E-Mail-Versand an vom Verantwortlichen benannte Empfänger), Sichern, Wiederherstellen und Löschen in der vom Verantwortlichen gesteuerten Anwendung. Eine inhaltliche Auswertung durch den Auftragsverarbeiter findet nicht statt.

2.3 Ort der Verarbeitung: Rechenzentren in der Bundesrepublik Deutschland. Eine Verarbeitung in einem Drittland findet nicht statt und wird ohne vorherige Zustimmung des Verantwortlichen nicht aufgenommen.

2.4 Datenarten und Kategorien betroffener Personen sind inAnlage 1 beschrieben.

3. Weisungen

3.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen der Software durch den Verantwortlichen und die von ihm eingeladenen Nutzer gilt als Weisung. Darüber hinausgehende Weisungen erteilt der Verantwortliche in Textform an die in der Kopfzeile genannte E-Mail-Adresse.

3.2 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Verantwortlichen unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen.

3.3 Ist der Auftragsverarbeiter durch das Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter

1. verarbeitet Daten nur im Rahmen dieses Vertrags und nutzt sie nicht für eigene Zwecke – insbesondere nicht für Werbung, Profilbildung oder das Training von Modellen;
2. stellt sicher, dass alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind und Zugriff nur erhalten, soweit es für Betrieb, Wartung und Support erforderlich ist;
3. trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2 und hält sie dem Stand der Technik entsprechend aufrecht;
4. unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Erfüllung von Betroffenenrechten (Art. 12 bis 22 DSGVO). Die Software stellt hierfür Export-, Korrektur- und Löschfunktionen bereit; darüber hinausgehende Unterstützung erfolgt gegen Aufwandsvergütung, soweit sie nicht auf einem Verschulden des Auftragsverarbeiters beruht;
5. unterstützt den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation), soweit die Informationen beim Auftragsverarbeiter liegen;
6. meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, mit den nach Art. 33 Abs. 3 DSGVO verfügbaren Angaben;
7. führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO;
8. benennt keinen Datenschutzbeauftragten, da die Voraussetzungen des § 38 BDSG derzeit nicht vorliegen, und teilt eine Bestellung mit;
9. löscht oder gibt nach Vertragsende alle Daten nach Ziffer 8 zurück.

5. Unterauftragsverarbeiter

5.1 Der Verantwortliche genehmigt die in Anlage 3aufgeführten Unterauftragsverarbeiter. Mit ihnen bestehen Verträge nach Art. 28 Abs. 4 DSGVO, die ihnen dieselben Pflichten auferlegen wie diesem Vertrag.

5.2 Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der Beauftragung eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen. Bei einem berechtigten Widerspruch, dem nicht abgeholfen werden kann, steht beiden Seiten ein Sonderkündigungsrecht für den Hauptvertrag zu.

5.3 Keine Unterauftragsverarbeitung sind Leistungen, die der Auftragsverarbeiter als Nebenleistung in Anspruch nimmt, ohne dass die Anbieter Zugriff auf die Daten des Verantwortlichen haben (etwa Telekommunikation, Wartung von Hardware ohne Datenzugriff).

6. Kontrollrechte

6.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Dazu gehören insbesondere die aktuelle Fassung der Anlage 2, die veröffentlichten Betriebs- und Prüfnachweise im Quelltext-Repository (github.com/TingelTangelBob/SoloOffice, Verzeichnis docs/) sowie auf Anfrage Auskünfte in Textform.

6.2 Der Verantwortliche kann Überprüfungen, einschließlich Inspektionen, durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Sie sind mit angemessener Frist – in der Regel vier Wochen – anzukündigen, auf die üblichen Geschäftszeiten zu beschränken und dürfen den Betrieb für andere Kunden nicht beeinträchtigen. Der Auftragsverarbeiter kann verlangen, dass Inspektionen zunächst durch Vorlage geeigneter Nachweise (Ziffer 6.1) erfüllt werden. Prüfungen, die über einmal jährlich hinausgehen oder nicht durch einen konkreten Anlass begründet sind, erfolgen gegen Aufwandsvergütung.

7. Pflichten des Verantwortlichen

7.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, die Information der betroffenen Personen und die Wahrung ihrer Rechte verantwortlich. Er stellt insbesondere sicher, dass er die Daten seiner Kunden, Mitarbeiter und Geschäftspartner in der Software auf einer Rechtsgrundlage verarbeitet.

7.2 Der Verantwortliche verwaltet die Zugangsrechte der von ihm eingeladenen Nutzer selbst und entfernt Zugänge ausgeschiedener Personen unverzüglich.

7.3 Der Verantwortliche meldet dem Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung bemerkt.

7.4 Der Verantwortliche speichert in der Software keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, soweit dies nicht für den Zweck der Rechnungsstellung unvermeidbar ist (etwa der Name eines Patienten auf einer Rechnung eines Heilberuflers). In diesem Fall prüft er eigenständig, ob eine Datenschutz-Folgenabschätzung erforderlich ist, und informiert den Auftragsverarbeiter, damit ergänzende Maßnahmen vereinbart werden können.

8. Löschung und Rückgabe

8.1 Der Verantwortliche kann seine Daten jederzeit über die Exportfunktion der Software in einem maschinenlesbaren Format (JSON, ZIP mit Belegen) abrufen.

8.2 Nach Ende des Hauptvertrags bleibt der Zugang für die in den AGB genannte Frist im Lesemodus bestehen, damit der Verantwortliche seine Daten exportieren kann. Danach löscht der Auftragsverarbeiter alle Daten des Verantwortlichen einschließlich Kopien in Datensicherungen innerhalb der in den AGB genannten Frist, sofern keine gesetzliche Aufbewahrungspflicht des Auftragsverarbeiters entgegensteht. Er bestätigt die Löschung auf Anfrage in Textform.

8.3 Löscht der Verantwortliche während der Vertragslaufzeit einen Workspace oder sein Konto, werden die Daten aus dem Produktivsystem sofort und aus den Datensicherungen mit deren regulärem Umlauf (Anlage 2, Ziffer 6) entfernt.

9. Haftung und Schlussbestimmungen

9.1 Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten ergänzend die Haftungsregelungen des Hauptvertrags.

9.2 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen für Fragen des Datenschutzes die Regelungen dieses Vertrags vor.

9.3 Änderungen dieses Vertrags bedürfen der Textform. Es gilt deutsches Recht; Gerichtsstand ist der des Hauptvertrags.

Anlage 1 – Datenarten und betroffene Personen

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der vereinbarten Verarbeitung; siehe Ziffer 7.4.

Anlage 2 – Technische und organisatorische Maßnahmen

Stand: 15. September 2026. Maßnahmen, die im Quelltext oder in der Betriebsdokumentation nachweisbar sind, stehen ohne Zusatz; Maßnahmen, die für den Start des gehosteten Angebots eingeplant, aber noch nicht umgesetzt sind, tragen den Zusatz „vorgesehen“.

1. Vertraulichkeit

• Zutrittskontrolle: Betrieb in zertifizierten Rechenzentren des Unterauftragsverarbeiters in Deutschland mit Zutrittsregelung, Videoüberwachung und Protokollierung (Nachweis über dessen Zertifizierungen).
• Zugangskontrolle: Anmeldung nur mit persönlichem Konto; Passwörter mit scrypt und individuellem Salt gehasht; serverseitige Sitzungen mit zufälligem Token, httpOnly- und SameSite-Cookie, TLS-Only im gehosteten Betrieb; Ratenbegrenzung für Anmeldeversuche; E-Mail-Bestätigung bei der Registrierung; Passwort-Zurücksetzen nur über zeitlich begrenzte Links. Zwei-Faktor-Authentifizierung für Betreiberzugänge: vorgesehen.
• Zugriffskontrolle: Rollen (Besitzer, Administrator, Mitarbeiter, Nur-Lesen) je Workspace; Berechtigungsprüfung in der Schnittstelle, nicht nur in der Oberfläche; Betreiberzugriffe auf Kundendaten nur zu Betrieb, Wartung und Support und nur durch die Gesellschafter.
• Trennungskontrolle: Mandantentrennung durch PostgreSQL Row-Level Security mit erzwungenen Richtlinien; der technische Datenbankbenutzer kann die Richtlinien nicht umgehen (NOSUPERUSER, NOBYPASSRLS); die Trennung wird bei jedem Build gegen eine frische Datenbank automatisch geprüft und wurde manuell abgenommen. Backups und Wiederherstellung sind workspacebezogen.
• Pseudonymisierung/Verschlüsselung: Transport über TLS; hinterlegte SMTP-Zugangsdaten mit einem instanzspezifischen Schlüssel verschlüsselt; Betriebsgeheimnisse mit Dateimodus 600. Verschlüsselung der Datensicherungen am Ablageort: vorgesehen.

2. Integrität

• Weitergabekontrolle: E-Mail-Versand nur an vom Nutzer angegebene Empfänger; keine Schnittstelle zu externen Erkennungs-, Analyse- oder KI-Diensten; Belegerkennung im eigenen Container.
• Eingabekontrolle: Unveränderbare Änderungshistorie für Rechnungen mit Zeitstempel und Benutzer; ausgestellte Rechnungen sind gesperrt; durchgängige Request-IDs in Logs ohne Speicherung von IP-Adressen; Sitzungen mit IP-Adresse und Browserkennung, Löschung 30 Tage nach Ablauf oder Widerruf.

3. Verfügbarkeit und Belastbarkeit

• Container mit schreibgeschütztem Dateisystem, ohne zusätzliche Linux-Capabilities und ohne Rechteausweitung; Healthchecks mit kontrolliertem Neustart; Ratenbegrenzung und Größenbegrenzung für Uploads (Belege 25 MB, E-Rechnungen 10 MB, Wiederherstellungsarchive 50 MB).
• Datensicherung mit konsistentem Datenbank-Snapshot; ein fehlgeschlagener Export erzeugt keine unvollständige Sicherung, fertige Sicherungen werden atomar abgelegt. Täglicher Zeitplan, Aufbewahrung nach AGB und Ablage an einem vom Produktivsystem getrennten Ort in Deutschland: vorgesehen (derzeit manuell auslösbar, lokales Volume). Regelmäßige Wiederherstellungsprobe in einer Testinstanz: vorgesehen.
• Sicherheitsaktualisierungen der Abhängigkeiten werden in der Build-Pipeline blockierend geprüft (npm audit); Updates laufen mit vorherigem Backup, Healthcheck und Prüfung des ausgerollten Stands.

4. Verfahren zur Überprüfung

• Datenschutz-Management: Verzeichnis der Verarbeitungstätigkeiten, Meldeprozess nach Art. 33 DSGVO mit 48-Stunden-Frist gegenüber dem Verantwortlichen, Verpflichtung der Gesellschafter zur Vertraulichkeit.
• Auftragskontrolle: Verträge nach Art. 28 DSGVO mit allen Unterauftragsverarbeitern (Anlage 3); Weisungen in Textform; Funktionen der Software als dokumentierte Standardweisung.
• Nachvollziehbarkeit: Der vollständige Quelltext der betriebenen Fassung ist öffentlich, der ausgerollte Commit ist in der Anwendung einsehbar; Betriebsnachweise (Mandantentrennung, Backup und Wiederherstellung, Build) sind im Repository dokumentiert.

Anlage 3 – Unterauftragsverarbeiter

Kein Unterauftragsverarbeiter im Sinne dieses Vertrags ist Stripe Payments Europe, Ltd.: Stripe verarbeitet ausschließlich die Zahlungsdaten des Verantwortlichen gegenüber dem Auftragsverarbeiter (die Abrechnung des gehosteten Angebots), nicht die Daten, die der Verantwortliche in der Software speichert. Für diese Verarbeitung ist Stripe eigenständig verantwortlich; Einzelheiten stehen in der Datenschutzerklärung.