Auftragsverarbeitungsvertrag

Vereinbarung über die Auftragsverarbeitung gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO). Fassung 2026-09-07.

Zwischen wem

Verantwortlicher: der Betrieb, der SIMPro nutzt — mit Vor- und Nachname, Firmenwortlaut, Anschrift und UID beziehungsweise GISA-Zahl, wie bei der Registrierung angegeben.

Auftragsverarbeiter: Sascha Suchan, SIMPro — Sascha Invoice Manager Pro, Steyrling 176, 4571 Steyrling, Österreich.

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen das Fakturierungs- und Buchhaltungssystem SIMPro (Software as a Service, einschließlich Speicherung, Sicherung und E-Mail-Versand). Gegenstand der Verarbeitung sind die vom Verantwortlichen und seinen Benutzern im System erfassten personenbezogenen Daten. Die Vereinbarung gilt für alle Betriebe (Mandanten), die der Verantwortliche im System führt, und läuft auf unbestimmte Zeit; sie endet mit der Beendigung der Nutzung des Systems.

§ 2 Art und Zweck der Verarbeitung

Erhebung, Speicherung, Anzeige, Übermittlung (Belegversand per E-Mail), Sicherung und Löschung von Daten zum Zweck der Erstellung und Verwaltung von Angeboten, Rechnungen und sonstigen Belegen, der Kunden- und Artikelverwaltung, der Ausgabenerfassung, der Registrierkassenführung (sofern aktiviert) und der Erfüllung gesetzlicher Aufbewahrungspflichten (insb. BAO, UGB, RKSV).

§ 3 Kategorien betroffener Personen und Datenarten

Kunden und Ansprechpartner des Verantwortlichen: Name, Anschrift, Kontaktdaten, UID, Konditionen, Belegdaten (Leistungen, Beträge, Zahlungsstatus).

Lieferanten: Name, Anschrift, Kontaktdaten, Belegdaten aus Eingangsrechnungen.

Benutzer des Verantwortlichen: Name, E-Mail-Adresse, Rolle, Anmelde- und Gerätedaten (zur Zugriffssicherung), Protokolldaten im Prüfpfad.

Bankdaten, sofern der Verantwortliche die Bankanbindung oder Zahlungsvorschläge nutzt: Umsatzdaten des Geschäftskontos, IBAN.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Verantwortliche verpflichtet sich, solche Daten nicht im System zu erfassen.

§ 4 Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der Funktionen des Systems durch den Verantwortlichen gilt als Weisung. Zusätzliche Weisungen erfolgen in Textform an office@simpro-software.at. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet sich und allfällige zur Verarbeitung befugte Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO). Derzeit verarbeitet ausschließlich der Auftragsverarbeiter selbst als Einzelunternehmer die Daten.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die zum Zeitpunkt des Abschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben. Der Auftragsverarbeiter darf sie an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

Der Verantwortliche genehmigt allgemein die Beiziehung der in Anlage 1 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Der Auftragsverarbeiter informiert den Verantwortlichen vorab in Textform über beabsichtigte Änderungen; der Verantwortliche kann aus wichtigem, datenschutzrechtlichem Grund binnen 14 Tagen widersprechen. Mit jedem Unterauftragsverarbeiter besteht ein Vertrag, der die Pflichten dieser Vereinbarung sinngemäß weitergibt.

§ 8 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit – im System über die Kundenakte verfügbar) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO, soweit ihm dies möglich ist.

§ 9 Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 48 Stunden nach Kenntnis, an die hinterlegte E-Mail-Adresse des Inhabers – mit Beschreibung der Art der Verletzung, der betroffenen Datenkategorien, der wahrscheinlichen Folgen und der ergriffenen Maßnahmen.

§ 10 Löschung und Rückgabe

Nach Beendigung der Nutzung stellt der Auftragsverarbeiter die Daten auf Wunsch in einem gängigen Format bereit (Export) und löscht sie anschließend, einschließlich der Sicherungen nach Ablauf des Sicherungszyklus, soweit nicht gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters entgegenstehen. Endet die Testzeit ohne Abo, bleiben die Daten im Lesemodus erreichbar; eine angekündigte Löschung wird dem Verantwortlichen vorab mitgeteilt.

§ 11 Nachweis und Kontrolle

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), insbesondere die Beschreibung der Maßnahmen nach Anlage 2 und – auf begründetes Verlangen – Auszüge aus dem manipulationsgesicherten Prüfprotokoll des eigenen Betriebs. Vor-Ort-Kontrollen sind nach Ankündigung mit angemessener Frist während üblicher Geschäftszeiten möglich.

§ 12 Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und den gesetzlichen Bestimmungen. Änderungen dieser Vereinbarung bedürfen der Textform. Es gilt österreichisches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Form des Abschlusses

Der Abschluss kann gemäß Art. 28 Abs. 9 DSGVO auch in elektronischem Format erfolgen — etwa durch Zustimmung im Registrierungsvorgang oder Bestätigung per E-Mail. Zeitpunkt und Fassungskennung Ihrer Zustimmung werden zu Ihrem Betrieb gespeichert und lassen sich auf Anfrage nachweisen.

Anlage 1 — Genehmigte Unterauftragsverarbeiter

Cloudflare verarbeitet ausschließlich DNS-Anfragen (Domainnamen-Auflösung); Inhalts- und Kundendaten laufen nicht über Cloudflare, da der Proxy deaktiviert ist.

Anlage 2 — Technische und organisatorische Maßnahmen (Auszug)

• Zugangskontrolle: Anmeldung nur mit Passwort (mind. 12 Zeichen) und verpflichtendem zweiten Faktor (TOTP) für jedes Konto; Wiederherstellungscodes; Begrenzung der Anmeldeversuche; Kontosperre nach Fehlversuchen.
• Zugriffskontrolle: Rollenmodell (Inhaber, Verwalter, Benutzer) mit serverseitiger Rechteprüfung; Mandantentrennung auf Datenbankebene durch Row-Level Security – kein Zugriff über Betriebsgrenzen hinweg.
• Übertragungskontrolle: Transportverschlüsselung (TLS) für alle Verbindungen; Server-Zertifikate mit automatischer Erneuerung.
• Eingabekontrolle: manipulationsgesichertes Prüfprotokoll (Hashkette) über sicherheitsrelevante Vorgänge; festgeschriebene Belege werden nicht verändert, Korrekturen erfolgen als eigene Belege.
• Verfügbarkeitskontrolle: tägliche verschlüsselte Sicherungen (restic) auf getrennten Speicher (Hetzner Storage Box); Überwachung der Erreichbarkeit; Warnmeldungen an den Betreiber bei Sicherungsfehlern, Plattenplatz und Zertifikatsablauf.
• Trennungskontrolle: getrennte Mandanten je Betrieb; Test- und Produktivumgebung getrennt.
• Organisatorisches: Geheimnisse werden außerhalb des Quellcodes verwaltet; Protokollbereinigung; dokumentierte Architektur- und Sicherheitsentscheidungen; Sicherheitsprüfungen orientiert an ASVS Level 2.

Die Maßnahmen dürfen an den Stand der Technik angepasst werden, solange das Schutzniveau nicht unterschritten wird (§ 6 dieser Vereinbarung).