Auftragsverarbeitungsvertrag (AVV)

Stand: 26.10.2026

gemäß Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO)

Auftragnehmer ist Canteq, Inhaber Mehmet Can, Weidenstraße 34, 72116 Mössingen, Deutschland, E-Mail info@canteq.de. Auftraggeber ist der Nutzer der SaaS-Anwendung BilanQo. Der Vertrag kommt mit der Bestätigung beim Registrieren zustande.

1. Gegenstand und Dauer

(1) Der Auftragnehmer verarbeitet personenbezogene Daten für den Auftraggeber im Rahmen der Bereitstellung der SaaS-Anwendung BilanQo.

(2) Der Vertrag läuft so lange wie der Nutzungsvertrag (Hauptvertrag).

(3) Die Verarbeitung findet in Deutschland statt. Eine Übermittlung in ein Land außerhalb der EU oder des EWR erfolgt nur auf dokumentierte Weisung des Auftraggebers und unter den Voraussetzungen der Art. 44 ff. DSGVO.

2. Zweck, Art der Daten und betroffene Personen

(1) Zweck: Bereitstellung einer Cloud-Software für Angebote, Rechnungen, Belege, Buchhaltung und damit verbundene betriebliche Abläufe.

(2) Art der Daten: Stammdaten (Name, Anschrift), Kontaktdaten (E-Mail, Telefon), Vertrags-, Rechnungs- und Buchungsdaten sowie alle weiteren Daten, die der Auftraggeber in der Anwendung speichert.

(3) Betroffene Personen: Kunden, Interessenten, Mitarbeiter, Lieferanten und sonstige Geschäftspartner des Auftraggebers sowie die Nutzer seines Kontos.

3. Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist gesetzlich dazu verpflichtet; dann teilt er dem Auftraggeber diese Pflicht vorher mit, soweit das Gesetz dies nicht verbietet. Dieser Vertrag und die Nutzung der Anwendung sind die grundlegenden Weisungen.

(2) Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

(3) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 2. Er darf sie anpassen, solange das Schutzniveau nicht sinkt.

(4) Der Auftragnehmer unterstützt den Auftraggeber mit den Mitteln der Anwendung bei Anträgen betroffener Personen (Kapitel III DSGVO) und bei den Pflichten aus Art. 32 bis 36 DSGVO.

(5) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie bekannt sind.

(6) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

4. Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt allgemein den Einsatz weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten stehen in Anlage 1 und gelten als genehmigt.

(2) Über eine Hinzuziehung oder Ersetzung informiert der Auftragnehmer vorher in Textform. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen und, wenn keine Einigung gelingt, den Hauptvertrag kündigen.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).

5. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen durch den Auftraggeber oder einen zur Verschwiegenheit verpflichteten Prüfer nach angemessener Vorankündigung.

6. Löschung und Rückgabe nach Vertragsende

(1) Bis zur Löschung kann der Auftraggeber seine Daten jederzeit über die Exportfunktionen der Anwendung herunterladen.

(2) Löscht der Auftraggeber sein Konto, werden seine Daten sofort gelöscht oder anonymisiert. Endet der Vertrag auf andere Weise, geschieht dies 30 Tage nach Vertragsende. Verschlüsselte Datensicherungen werden spätestens 8 Wochen später überschrieben.

(3) Ausgenommen sind Belege, Buchungen und die zugehörigen Stammdaten, die der Auftraggeber nach Handels- oder Steuerrecht aufbewahren muss (insbesondere Rechnungen, Buchungen, Kassenbuch). Der Auftraggeber weist den Auftragnehmer an, diese Daten bis zum Ablauf der gesetzlichen Frist gesperrt aufzubewahren. Sie werden in dieser Zeit nicht weiter verarbeitet; auf Anfrage stellt der Auftragnehmer sie dem Auftraggeber zur Verfügung. Widerruft der Auftraggeber diese Weisung in Textform, werden die Daten gelöscht.

7. Schlussbestimmungen

(1) Sind die Daten beim Auftragnehmer durch Pfändung, Beschlagnahme, Insolvenz oder Maßnahmen Dritter gefährdet, informiert er den Auftraggeber unverzüglich.

(2) Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um die Auftragsverarbeitung geht.

Anlage 1: Unterauftragsverarbeiter

Belege und andere E-Mails an Kunden des Auftraggebers verschickt der Auftraggeber selbst, über seinen eigenen E-Mail-Zugang oder sein Mailprogramm. Sie laufen nicht über den Auftragnehmer.

Anlage 2: Technische und organisatorische Maßnahmen

• Zutritt: Betrieb im Rechenzentrum des Hosters aus Anlage 1 mit dessen Zutrittskontrollen.
• Zugang: Persönliche Logins, Passwörter nur als Hash, optionale Zwei-Faktor-Anmeldung, httpOnly-Sitzungscookies.
• Zugriff: Jede Datenabfrage ist an den Mandanten gebunden; Teamzugänge haben Rollen mit getrennten Rechten.
• Weitergabe: Übertragung nur verschlüsselt (TLS).
• Eingabe: Schreibende Vorgänge werden protokolliert.
• Verschlüsselung: Besonders sensible Felder (u. a. IBAN, BIC, Zwei-Faktor-Geheimnis) mit AES-256-GCM.
• Trennung: Mandanten sind in der Datenbank logisch getrennt.
• Uploads: Hochgeladene Dateien werden vor der Übernahme auf Schadsoftware geprüft.
• Verfügbarkeit: Tägliche verschlüsselte Sicherung von Datenbank und hochgeladenen Dateien; Tagesstände 14 Tage, Wochenstände 8 Wochen. Zusätzlich kann der Auftraggeber alle Daten jederzeit exportieren.
• Protokolle: Server- und Anwendungsprotokolle werden nach 14 Tagen gelöscht.