Stand: November 2026, Fassung 1.1
Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO für VARANO
zwischen dem Kunden, der VARANO nutzt (nachfolgend „Auftraggeber“), und Dominik Holzner, DGH-IT, Florianweg 5, 83317 Teisendorf, Deutschland (nachfolgend „Auftragnehmer“).
Der Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO), indem der Auftraggeber ihm bei der Registrierung oder Bestellung zustimmt. Er ergänzt die Allgemeinen Geschäftsbedingungen des Auftragnehmers. In Fragen des Datenschutzes geht dieser Vertrag den AGB vor.
§ 1 Gegenstand und Dauer
(1) Der Auftragnehmer stellt dem Auftraggeber die Software VARANO als Onlinedienst bereit (Kunden- und Lieferantenverwaltung, Angebote, Aufträge, Rechnungen, Kassenbuch, Lager, Belegablage, Buchhaltung). Dabei verarbeitet er personenbezogene Daten, die der Auftraggeber im Dienst erfasst, ausschließlich in dessen Auftrag.
(2) Der Vertrag gilt für die Dauer der Nutzung von VARANO, einschließlich eines kostenlosen Kennenlern-Zugangs, und endet mit der vollständigen Löschung der Daten nach § 9.
§ 2 Art, Zweck und Umfang der Verarbeitung
(1) Art der Verarbeitung: Speichern, Organisieren, Abfragen, Anzeigen, Übermitteln per E-Mail auf Veranlassung des Auftraggebers, Sichern, Wiederherstellen, Löschen.
(2) Zweck: Bereitstellung, Betrieb, Sicherung und Wartung von VARANO für die geschäftlichen Zwecke des Auftraggebers.
(3) Art der Daten: Stamm- und Kontaktdaten (Name, Firma, Anschrift, E-Mail, Telefon), Vertrags- und Abrechnungsdaten (Angebote, Aufträge, Rechnungen, Zahlungen, Bankverbindungen), Buchhaltungs- und Kassendaten, hochgeladene Belege und Dokumente, Lager- und Lieferantendaten, Zugangsdaten und Protokolldaten der Benutzer des Auftraggebers. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Auftraggeber erfasst solche Daten nicht in VARANO.
(4) Kategorien betroffener Personen: Kunden, Interessenten, Lieferanten, Geschäftspartner und deren Ansprechpartner sowie Beschäftigte und sonstige Benutzer des Auftraggebers.
(5) Ort der Verarbeitung: Die Verarbeitung findet ausschließlich auf Servern des Auftragnehmers in Deutschland statt. Eine Verarbeitung außerhalb der Europäischen Union findet nicht statt.
§ 3 Weisungen
(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder deutschem Recht zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber die Verpflichtung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
(2) Weisungen sind dieser Vertrag, die Nutzung der Funktionen von VARANO durch den Auftraggeber und Einzelweisungen in Textform an kontakt@dgh-it.de.
(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.
§ 4 Vertraulichkeit
Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Daten des Auftraggebers erfolgt nur, soweit er für Betrieb, Sicherung, Fehlerbehebung oder auf Wunsch des Auftraggebers (Support) erforderlich ist.
§ 5 Technische und organisatorische Maßnahmen
(1) Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.
(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen dokumentiert er.
§ 6 Unterauftragsverarbeiter
(1) Der Auftragnehmer betreibt VARANO einschließlich Datenbank, Sicherungen und E-Mail-Versand auf eigener Infrastruktur. Derzeit werden keine Unterauftragsverarbeiter eingesetzt (Anlage 2). Der Internetzugangsanbieter leitet nur verschlüsselte Datenpakete weiter und ist kein Unterauftragsverarbeiter.
(2) Der Auftraggeber erteilt eine allgemeine Genehmigung für künftige Unterauftragsverarbeiter. Der Auftragnehmer informiert ihn mindestens 30 Tage vor dem Einsatz eines neuen Unterauftragsverarbeiters in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Zeitpunkt des Einsatzes kündigen.
(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich mindestens zu den Pflichten aus diesem Vertrag.
§ 7 Rechte der betroffenen Personen
Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). VARANO stellt dafür Funktionen zum Anzeigen, Ändern, Exportieren und Löschen bereit; gesetzliche Aufbewahrungspflichten (z. B. für festgeschriebene Rechnungen und Buchungen) bleiben unberührt. Wenden sich betroffene Personen direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
§ 8 Unterstützungs- und Meldepflichten
(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der ihm vorliegenden Informationen.
(2) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, an die im Dienst hinterlegte E-Mail-Adresse des Inhabers. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht.
§ 9 Löschung und Rückgabe
(1) Der Auftraggeber kann seine Daten jederzeit über die Datensicherung in VARANO exportieren (JSON und CSV, Belege als Dateien).
(2) Nach Vertragsende – beim Kennenlern-Zugang nach dessen Ablauf, wenn kein Tarif gewählt wurde – bleiben die Daten 30 Tage lesbar und exportierbar. Danach löscht der Auftragnehmer alle Daten des Auftraggebers automatisch und vollständig; der Auftraggeber wird 7 Tage vorher per E-Mail erinnert. Unbestätigte Registrierungen werden nach 7 Tagen gelöscht.
(3) In Sicherungskopien sind gelöschte Daten noch bis zum Ablauf der Aufbewahrungsfristen der Sicherungen vorhanden (derzeit höchstens 7 Tage) und werden danach überschrieben. Sie werden bis dahin nicht weiter verarbeitet.
(4) Im Protokoll der Plattform bleibt ein Nachweis über die Löschung erhalten; personenbezogene Daten werden daraus entfernt.
(5) Gesetzliche Aufbewahrungspflichten des Auftraggebers (z. B. nach § 147 AO und § 257 HGB) erfüllt der Auftraggeber selbst, indem er seine Daten rechtzeitig exportiert.
§ 10 Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Anmeldung (in der Regel 14 Tage) während der Geschäftszeiten und ohne Störung des Betriebs. Vorrangig erfolgt der Nachweis durch schriftliche Auskünfte und Dokumentation.
§ 11 Haftung und Schlussbestimmungen
(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.
(2) Änderungen dieses Vertrags teilt der Auftragnehmer dem Auftraggeber mindestens 30 Tage vor Inkrafttreten in Textform mit; widerspricht der Auftraggeber nicht innerhalb dieser Frist, gelten sie als angenommen. Auf diese Folge wird in der Mitteilung hingewiesen.
(3) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragnehmers.
Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Vertraulichkeit
- Zutrittskontrolle: Die Server stehen in Räumen des Auftragnehmers in Deutschland; Dritte haben nur in Begleitung des Auftragnehmers Zutritt.
- Zugangskontrolle: Anmeldung mit persönlichem Konto; Passwörter nur als scrypt-Hash gespeichert; Zwei-Faktor-Anmeldung (TOTP) verfügbar und für Plattform-Administratoren Pflicht; Kontosperre nach wiederholten Fehlversuchen; Sitzungs-Cookies nur über HTTPS und nicht für Skripte lesbar; Schutz der Anmeldung und Registrierung gegen automatisierte Angriffe (Anfragebegrenzung, Rechenaufgabe gegen Bots, Erkennung und Sperre bekannter Angreifer-Adressen). Administrativer Zugang zu den Servern nur aus einem getrennten Verwaltungsnetz mit persönlichem Schlüssel.
- Zugriffskontrolle: Rollen- und Rechtekonzept je Mandant (Inhaber, Buchhaltung, Mitarbeiter, nur Lesen), serverseitig erzwungen; Plattform-Administratoren sehen keine Fachdaten der Mandanten.
- Trennungskontrolle: Strikte logische Mandantentrennung in jeder Datenbankabfrage, durch automatisierte Angriffstests geprüft; getrennte Netzsegmente für Dienste, Verwaltung und Internetzugang.
- Pseudonymisierung und Datenminimierung: IP-Adressen in Schutzprotokollen nur pseudonymisiert; IP-Adressen im Änderungsprotokoll werden nach 90 Tagen entfernt; Registrierungsversuche nach 30 Tagen gelöscht.
- Verschlüsselung: Übertragung ausschließlich per TLS 1.2/1.3 mit HSTS; E-Mail-Versand per STARTTLS; hinterlegte Zugangsdaten (z. B. SMTP) mit AES-256-GCM verschlüsselt; Systemsicherungen clientseitig verschlüsselt.
Integrität
- Weitergabekontrolle: Datenübermittlung nur verschlüsselt; E-Mails mit Belegen werden ausschließlich auf Veranlassung des Auftraggebers versendet und protokolliert.
- Eingabekontrolle: Unveränderliches Änderungsprotokoll (wer, wann, was); festgeschriebene Rechnungen, Buchungen, Kassenbucheinträge, Lagerbewegungen und Belege sind technisch gegen Änderung und Löschung gesperrt (GoBD).
Verfügbarkeit und Belastbarkeit
- Gespiegelte Datenträger (ZFS-Spiegel); tägliche Datenbanksicherung (14 Tage) und tägliche verschlüsselte Systemsicherung auf ein getrenntes Speichersystem (7 Tage); Wiederherstellung aus Sicherungen erprobt.
- Firewall mit Segmentierung, Sperrlisten bekannter Angreifer, Reverse-Proxy vor dem Dienst, gehärteter Dienst ohne Sonderrechte, zeitnahe Sicherheitsupdates.
Verfahren zur regelmäßigen Überprüfung
- Sicherheitsprüfungen der Anwendung mit automatisierten Angriffstests vor jeder Auslieferung; Prüfung der Firewall- und Serverkonfiguration; Auswertung der Sicherheitsprotokolle.
- Datenschutzfreundliche Voreinstellungen: Selbstregistrierung nur mit E-Mail-Bestätigung, automatische Löschung nicht benötigter Daten.
Anlage 2: Unterauftragsverarbeiter
Derzeit keine. Hosting, Datenbank, Sicherungen und E-Mail-Versand betreibt der Auftragnehmer auf eigener Infrastruktur in Deutschland.