andaOS ist in der Closed Beta. Zugang auf Anfrage – jetzt vormerken
andaOS
Login Zur Beta anmelden

Vertrag über die Auftragsverarbeitung (AVV)

gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO). Dieser Vertrag wird bei der Registrierung elektronisch geschlossen (Art. 28 Abs. 9 DSGVO) und ist Bestandteil des Nutzungsvertrags nach den Allgemeinen Geschäftsbedingungen (AGB).

§ 1 Vertragsparteien, Gegenstand und Laufzeit

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch ConceptAgent – Kevin Cluse, Carl-Hölzle-Straße 3, 75179 Pforzheim (nachfolgend „Auftragsverarbeiter“ oder „Anbieter“) im Auftrag des Kunden (nachfolgend „Verantwortlicher“), der die Software-as-a-Service-Lösung „andaOS“ nutzt.

(2) Der Verantwortliche speichert und verarbeitet im Rahmen der Nutzung von andaOS personenbezogene Daten, für die er datenschutzrechtlich verantwortlich ist. Der Anbieter verarbeitet diese Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen.

(3) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags über andaOS. Er gilt darüber hinaus fort, solange der Anbieter nach Vertragsende Daten des Verantwortlichen verarbeitet, insbesondere während der Karenz und einer Aufbewahrung nach § 6 Abs. 5 der AGB (siehe § 9).

§ 2 Art, Zweck, Umfang und Ort der Verarbeitung

(1) Art und Zweck der Verarbeitung ergeben sich aus dem Funktionsumfang von andaOS: Speicherung, Organisation und Verwaltung von Geschäftsdaten des Verantwortlichen, insbesondere Kontakt-, Angebots-, Auftrags-, Projekt-, Einkaufs-, Einsatzplanungs-, Zeiterfassungs-, Personal-, Buchhaltungs- und Rechnungsdaten, einschließlich Hosting, Datensicherung, Support und Wartung, KI-gestützter Funktionen (Belegerkennung, Import-Assistent, Hilfe-Assistent), der Bankanbindung (Abruf von Kontoumsätzen und Auslösen von Überweisungen), des Versands von E-Mails und Push-Benachrichtigungen sowie der vom Verantwortlichen aktivierten Schnittstellen.

(2) Die Verarbeitung findet grundsätzlich in der Bundesrepublik Deutschland bzw. in der Europäischen Union oder im Europäischen Wirtschaftsraum statt. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO; derzeit betrifft dies das Vereinigte Königreich (Requesty, Angemessenheitsbeschluss der EU-Kommission) und die USA (Google LLC im Rahmen von Firebase Cloud Messaging, EU-US Data Privacy Framework). Weitere Drittlandübermittlungen erfolgen nur nach vorheriger Information gemäß § 6 Abs. 2.

§ 3 Art der Daten und Kategorien betroffener Personen

Datenarten

Kategorien betroffener Personen

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet. Die Nutzung von andaOS durch den Verantwortlichen (einschließlich der Konfiguration und der ausgelösten Funktionen) gilt als Weisung. Weitere Weisungen bedürfen der Textform.

(2) Der Anbieter stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Anbieter ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage 1).

(4) Der Anbieter unterstützt den Verantwortlichen mit angemessenen Mitteln dabei, Anträge betroffener Personen (Art. 12–23 DSGVO) zu beantworten sowie die Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung) einzuhalten. Verlangt eine betroffene Person die Löschung nach Art. 17 DSGVO, kann der Verantwortliche die Daten in andaOS löschen; die endgültige Löschung wird nach § 9 Abs. 1 innerhalb von 60 Tagen vollzogen. Besteht Anlass für eine frühere endgültige Löschung, genügt eine Weisung in Textform an den Anbieter.

(5) Der Anbieter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt.

(6) Zugriffe des Anbieters auf das Kundenkonto zu Support- und Wartungszwecken erfolgen nur nach Maßgabe von § 8 Abs. 3 und 4 der AGB — anlassbezogen, im erforderlichen Umfang und streng vertraulich.

§ 5 Meldung von Datenschutzverletzungen

Der Anbieter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden sind. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht der Anbieter nach, sobald sie vorliegen. Der Anbieter unterstützt den Verantwortlichen bei der Erfüllung seiner Melde- und Benachrichtigungspflichten gemäß Art. 33 und 34 DSGVO.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern. Aktuell eingesetzt werden:

(2) Der Anbieter informiert den Verantwortlichen spätestens 30 Tage vor dem Einsatz in Textform über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern). Der Verantwortliche kann innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen; im Falle des Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht des Nutzungsvertrags zum Zeitpunkt des geplanten Einsatzes zu.

(3) Der Anbieter erlegt Unterauftragsverarbeitern vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Anbieter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes Unterauftragsverarbeiters.

(4) Dienste Dritter, die der Verantwortliche selbst mit eigenen Zugangsdaten oder auf Grundlage eines eigenen Vertrags mit dem jeweiligen Anbieter in andaOS anbindet (Integrationen, z. B. eigenes Microsoft-365-Konto, eigener Mailserver oder E-Mail-Relay-Dienst wie Brevo oder Mailjet, GoCardless, Telefonanlagen wie 3CX, DATEV, Dateiaustausch per FTP), sind keine Unterauftragsverarbeiter des Anbieters und werden in Absatz 1 nicht aufgeführt. Der Verantwortliche entscheidet in eigener Verantwortung über Auswahl und Aktivierung dieser Dienste und schließt mit dem jeweiligen Anbieter die erforderlichen datenschutzrechtlichen Vereinbarungen (insbesondere nach Art. 28 DSGVO) selbst ab. Der Anbieter übermittelt personenbezogene Daten an diese Dienste ausschließlich auf Weisung des Verantwortlichen, nämlich durch dessen Aktivierung und Konfiguration der jeweiligen Integration, und schützt die hinterlegten Zugangsdaten nach Maßgabe von Anlage 1.

(5) Die Abrechnung des Nutzungsvertrags über den Zahlungsdienstleister Mollie B.V. betrifft Daten des Verantwortlichen als Vertragspartner des Anbieters; sie ist keine Auftragsverarbeitung und nicht Gegenstand dieses Vertrags (siehe Datenschutzerklärung).

§ 7 Kontrollrechte des Verantwortlichen

(1) Der Anbieter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.

(2) Kontrollen werden vorrangig durch die Vorlage geeigneter Nachweise (z. B. Dokumentation der technischen und organisatorischen Maßnahmen, Prüfberichte) erfüllt. Darüber hinausgehende Prüfungen vor Ort erfolgen nach vorheriger Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs.

§ 8 Haftung

Für die Haftung gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Nutzungsvertrags (§ 9 der AGB).

§ 9 Löschung und Rückgabe

(1) Löschung während der Vertragslaufzeit (Papierkorb). Löscht der Verantwortliche während der Vertragslaufzeit einzelne Daten oder Datensätze in andaOS, werden diese zunächst für 60 Tage in einem Papierkorb vorgehalten, um versehentliches Löschen rückgängig machen zu können. In dieser Zeit sind sie für Nutzer nicht sichtbar und werden nicht weiterverarbeitet; wiederherstellen kann sie nur die Administration des Verantwortlichen. Nach Ablauf der 60 Tage löscht der Anbieter die Daten automatisch und endgültig, einschließlich der zugehörigen Dateien. Eine manuelle Leerung des Papierkorbs durch den Verantwortlichen ist nicht vorgesehen; auf Weisung nach Abs. 4 löscht der Anbieter früher.

(2) Aufbewahrungspflichtige Unterlagen. Ausgestellte Rechnungen und festgeschriebene Belege, die der Verantwortliche nach den GoBD, § 147 AO oder § 257 HGB aufbewahren muss, können in andaOS nicht gelöscht werden und liegen getrennt vom Papierkorb im GoBD-Archiv.

(3) Nach Vertragsende. Nach Vertragsende kann der Verantwortliche seine Daten 60 Tage lang (Karenz) lesen und exportieren. Danach löscht der Anbieter die Daten nach Wahl des Verantwortlichen vollständig oder bewahrt das GoBD-Archiv (Umfang abschließend in Anlage 2; personenbezogene Daten der Beschäftigten werden dabei auf die dort genannten Angaben beschränkt, Abwesenheiten nur als genehmigte Abwesenheiten ohne Angabe gesundheitsbezogener Gründe aufbewahrt, Kommentare zu Abwesenheiten, Personaldokumente und Zugänge mit Ausnahme eines Administrators gelöscht sowie Personendaten der Beschäftigten in Einträgen des Änderungsprotokolls unkenntlich gemacht) bzw. alle Daten gemäß § 6 Abs. 5 der AGB für die vereinbarte Dauer auf; ohne Wahl werden die Daten nach Ablauf der Karenz gelöscht. Nach dem Ende der Aufbewahrung kann der Verantwortliche die Daten noch 30 Tage lang lesen und exportieren (Exportfrist); danach löscht der Anbieter sie innerhalb von 30 Tagen. Endet die Aufbewahrung wegen Zahlungsverzugs, gilt § 6 Abs. 5 der AGB; vor Ablauf der dort genannten Fristen und der Exportfrist wird nichts gelöscht. Die Aufbewahrung erfolgt auf dokumentierte Weisung des Verantwortlichen; die Wahl im Kundenkonto gilt als Weisung. Der Verantwortliche bestimmt Umfang und Dauer der Aufbewahrung und prüft in eigener Verantwortung, ob und wie lange für die aufbewahrten Daten eine Aufbewahrungspflicht oder eine andere Rechtsgrundlage besteht (insbesondere Art. 6 Abs. 1 lit. c und Art. 17 Abs. 3 lit. b DSGVO). Der Anbieter prüft keine Fristen je Datensatz. Entfällt der Grund für die Aufbewahrung einzelner Datenkategorien vorzeitig, löscht der Anbieter sie auf Weisung des Verantwortlichen in Textform im Einzelfall durch den Support (Abs. 4); eine Funktion zur selbstständigen Löschung im Kundenkonto besteht hierfür nicht.

(4) Frühere Löschung. Auf ausdrückliche Weisung des Verantwortlichen in Textform löscht der Anbieter Daten jederzeit, auch archivierte Belege, soweit keine gesetzliche Pflicht des Anbieters entgegensteht. Die Verantwortung für die Einhaltung der Aufbewahrungspflichten liegt in diesem Fall allein beim Verantwortlichen.

(5) Sicherungskopien. Gelöschte Daten können noch bis zu 90 Tage in Sicherungskopien enthalten sein und werden dann überschrieben. Sie werden nicht für andere Zwecke verwendet; wird ein Datenbestand aus einer Sicherung wiederhergestellt, werden zwischenzeitliche Löschungen nachgezogen.

§ 10 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen hinsichtlich des Datenschutzes die Regelungen dieses Vertrags vor.

(2) Änderungen dieses Vertrags richten sich nach § 12 der AGB; für Unterauftragsverarbeiter gilt § 6 Abs. 2.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Für den Gerichtsstand gilt § 13 Abs. 2 der AGB.

(4) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

Integrität

Verfügbarkeit und Belastbarkeit

Verfahren zur regelmäßigen Überprüfung

Anlage 2: Umfang des GoBD-Archivs (§ 6 Abs. 5 lit. b der AGB)

Wählt der Verantwortliche nach Vertragsende die Aufbewahrung nur des GoBD-Archivs, bewahrt der Anbieter abschließend die folgenden Daten auf, soweit sie beim Verantwortlichen vorhanden sind. Die genannten Vorschriften sind Beispiele möglicher Aufbewahrungspflichten des Verantwortlichen; ob und wie lange sie im Einzelfall gelten, prüft der Verantwortliche selbst (§ 9 Abs. 3).

Aufbewahrte Daten

KategorieInhaltZweckMögliche Aufbewahrungspflicht des Verantwortlichen
Belege und BuchhaltungAngebote, Aufträge, Rechnungen, Abnahmeprotokolle, Eingangs- und Kassenbelege, Buchungen, Bankumsätze und ausgeführte Überweisungen, Steuermeldungen, Anlagenverzeichnis, Inventuren und Lagerjournal, jeweils mit ÄnderungsverlaufAufbewahrung, Nachweis gegenüber der Finanzverwaltung§ 147 AO, § 257 HGB, GoBD
AbrechnungsunterlagenAufmaße, Berichte, Mehraufwände, Restarbeiten und Kostenanpassungen von Auftragspositionen mit Fotos, Skizzen, Unterschriften und Anhängen; archivierte Dokumente; in Texte eingebettete BilderAbrechnung, Nachweis erbrachter Leistungen§ 147 AO, § 257 HGB (soweit Buchungsbeleg oder Geschäftsbrief)
ZeiterfassungZeiteinträge, Stempelungen, Tagesabschlüsse, Korrekturen mit Begründung, Zeitkonto-Monatsabschlüsse, Objekt- und AuftragszeitenNachweis der Arbeitszeit, Abrechnung nach Aufwandz. B. § 17 MiLoG, § 16 Abs. 2 ArbZG, soweit anwendbar
BeschäftigteName; Ein- und Austrittsdatum; Standort (für Feiertage); Urlaubs- und Überstunden-Eingangssalden mit Stichtag; Arbeitszeitmodelle, Urlaubsregeln und Lohngruppen mit Gültigkeitszeitraum, Lohngruppen mit den hinterlegten Stunden- und Kalkulationssätzen; genehmigte Abwesenheiten mit Zeitraum und Art, wobei Krankheit als sonstige bezahlte oder unbezahlte Abwesenheit ohne Angabe des Grundes geführt wirdSoll- und Istzeit, Zeitkonto, Urlaubskonto, Nachkalkulationsoweit Lohnunterlagen: § 41 EStG, § 28f SGB IV; im Übrigen wie Zeiterfassung
StammdatenKontakte, Ansprechpartner, Projekte, Leistungsorte, Wartungsverträge, Artikel, Einheiten, Preisgruppen, Lagerorte, Briefkopf, Ordner und Vorlagen, jeweils nur soweit aufbewahrte Unterlagen auf sie verweisenLesbarkeit der aufbewahrten Unterlagenwie die verweisende Unterlage
ProtokolleÄnderungsprotokoll (Personendaten der Beschäftigten, E-Mail-Adresse, Benutzername und Passwort-Hash in Einträgen zu Beschäftigten unkenntlich gemacht; Einträge zu Belegen unverändert), E-Mail-Versandprotokoll, Protokoll der Einstellungsänderungen, Import-EinwilligungenNachvollziehbarkeit und UnveränderbarkeitGoBD, Art. 5 Abs. 2 DSGVO
Zugangein Administrator (E-Mail-Adresse, Benutzername, Passwort-Hash, Zwei-Faktor-Anmeldung)Lese- und Exportzugriff–

Gelöschte oder unkenntlich gemachte Daten

Zugriff und Löschung

Version 2026-11 · Stand: 12.11.2026