Auftragsverarbeitungsvertrag
Stand: Oktober 2026
Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher, „Auftraggeber“) und [Firmenname inkl. Rechtsform, Anschrift] (Auftragsverarbeiter, „Auftragnehmer“). Er ist Bestandteil der AGB und gilt mit Abschluss des Nutzungsvertrags als vereinbart, ohne dass es einer Unterschrift bedarf. Eine unterschriebene Fassung senden wir auf Wunsch zu: kontakt@buerofy.de.
1. Gegenstand und Dauer
Der Auftragnehmer stellt dem Auftraggeber die Software Bürofy als Online-Dienst bereit (Rechnungen, Angebote, Projekte, Zeiterfassung, Buchhaltung und verwandte Funktionen). Dabei verarbeitet er personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.
2. Art der Daten und Kreis der Betroffenen
- Daten: Stammdaten und Kontaktdaten (Name, Anschrift, E-Mail, Telefon), Vertrags- und Abrechnungsdaten (Angebote, Rechnungen, Zahlungen, Bankumsätze), Projekt- und Baustellendaten inkl. Fotos und Unterschriften, Arbeitszeiten und Abwesenheiten, Kommunikationsinhalte (E-Mails, Projekt-Chat, Anrufnotizen), Protokolldaten.
- Betroffene: Kunden, Interessenten und Lieferanten des Auftraggebers sowie deren Ansprechpartner, Beschäftigte und Nachunternehmer des Auftraggebers, Anrufer beim KI-Telefon.
- Besondere Kategorien nach Art. 9 DSGVO verarbeitet Bürofy nicht gezielt; Krankheitstage werden nur als Abwesenheitsart ohne Diagnose geführt.
3. Weisungen
Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers; diese ergibt sich aus diesem Vertrag und der Nutzung der Funktionen der Software. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.
4. Vertraulichkeit
Personen, die beim Auftragnehmer Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Zugriffe auf Kundendaten erfolgen nur, soweit sie für Betrieb, Fehlerbehebung oder Support auf Anfrage des Auftraggebers nötig sind.
5. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die auf der Seite Sicherheit & Datenschutz beschrieben sind (Anlage 1). Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.
6. Unterstützung des Auftraggebers
- Betroffenenrechte: Bürofy bietet Funktionen zum Auskunft geben, Berichtigen, Exportieren und Löschen. Darüber hinaus unterstützt der Auftragnehmer auf Anfrage.
- Datenpannen: Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten und unterstützt bei Meldung und Benachrichtigung (Art. 33, 34 DSGVO).
- Er unterstützt bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen, soweit sie Bürofy betreffen.
7. Unterauftragsverarbeiter
Der Auftraggeber genehmigt die auf der Seite Unterauftragnehmer genannten Dienstleister (Anlage 2). Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens 30 Tage im Voraus per E-Mail. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Zeitpunkt der Änderung kündigen. Der Auftragnehmer verpflichtet Unterauftragnehmer vertraglich auf ein gleichwertiges Schutzniveau. Dienste, die der Auftraggeber selbst anbindet (z. B. eigener Mailserver, eigenes KI-Konto), sind keine Unterauftragsverarbeiter des Auftragnehmers.
8. Drittländer
Eine Verarbeitung außerhalb von EU/EWR erfolgt nur bei den in Anlage 2 so gekennzeichneten Diensten und nur auf Grundlage von Art. 44 ff. DSGVO (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, oder Standardvertragsklauseln). Optionale Dienste mit Drittlandbezug (KI-Funktionen, KI-Telefon) sind erst aktiv, wenn der Auftraggeber sie einschaltet.
9. Kontrollen
Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage nach, vorrangig durch aktuelle Dokumentation, Berichte oder Zertifikate. Vor-Ort-Prüfungen sind nach angemessener Vorankündigung zu üblichen Geschäftszeiten möglich, ohne den Betrieb zu stören und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden.
10. Rückgabe und Löschung
Der Auftraggeber kann seine Daten jederzeit unter Einstellungen → Datenexport vollständig exportieren. Nach Vertragsende hält der Auftragnehmer die Daten [30] Tage zum Export bereit und löscht sie anschließend einschließlich der Kopien, soweit keine gesetzliche Pflicht zur Speicherung besteht. Datensicherungen werden im regulären Rotationszyklus von [Anzahl] Tagen überschrieben.
11. Schlussbestimmungen
Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.