Auftragsverarbeitungsvertrag

Fassung 1.2, Stand: 18.09.2026

Zwischen

dem Betrieb, der sich in ArborOffice registriert hat, nachfolgend „Verantwortlicher" – die bei der Registrierung und in den Firmenstammdaten hinterlegten Angaben identifizieren ihn –

und

YESMAN VENTURES LLC, 30 N Gould St Ste N, Sheridan, WY 82801, USA, nachfolgend „Auftragsverarbeiter".

1. Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen die Software ArborOffice zur Verfügung. Dabei verarbeitet er personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Dieser Vertrag konkretisiert die Pflichten nach Art. 28 DSGVO.

Die Laufzeit entspricht der Laufzeit des Nutzungsvertrags (AGB). Der Vertrag endet mit dessen Beendigung; die Pflichten aus Ziffer 9 gelten fort.

2. Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Software durch den Verantwortlichen gilt als Weisung; darüber hinausgehende Weisungen erfolgen in Textform an info@arbor-office.com.

Als Weisung gilt insbesondere, dass der Verantwortliche Daten an Empfänger freigibt, die er selbst bestimmt: an Partnerbetriebe über einen geteilten Projektlink und an seinen Kalenderanbieter über das Kalender-Abo. Diese Empfänger handeln nicht im Auftrag des Auftragsverarbeiters und sind keine Unterauftragsverarbeiter im Sinne von Ziffer 5; für die Weitergabe an sie und eine damit verbundene Übermittlung in ein Drittland ist der Verantwortliche verantwortlich.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

3. Art der Verarbeitung, Datenkategorien, betroffene Personen

Siehe Anlage 1.

4. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich im Rahmen dieses Vertrags und der Weisungen, insbesondere keine Nutzung für eigene Zwecke und kein Training von KI-Modellen mit den Daten des Verantwortlichen.
• Verpflichtung aller zur Verarbeitung befugten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2.
• Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23), bei Meldepflichten (Art. 33, 34) und bei Datenschutz-Folgenabschätzungen (Art. 35, 36), soweit dem Verantwortlichen dies nicht selbst über die Funktionen der Software möglich ist.
• Meldung einer Verletzung des Schutzes personenbezogener Daten an den Verantwortlichen unverzüglich nach Kenntniserlangung, spätestens innerhalb von 48 Stunden, mit den nach Art. 33 Abs. 3 erforderlichen Angaben.
• Führung eines Verzeichnisses aller Verarbeitungstätigkeiten im Auftrag (Art. 30 Abs. 2 DSGVO).

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter.

Weitere oder andere Unterauftragsverarbeiter teilt der Auftragsverarbeiter mindestens 30 Tage vorher in Textform an die im Konto hinterlegte E-Mail-Adresse mit. Widerspricht der Verantwortliche innerhalb dieser Frist aus einem sachlichen, datenschutzbezogenen Grund, darf er den Nutzungsvertrag außerordentlich zum Zeitpunkt der geplanten Änderung kündigen.

Erfährt der Auftragsverarbeiter selbst erst kürzer vorher von einer Änderung – etwa weil ein Unterauftragsverarbeiter eine kürzere Frist einräumt –, gibt er die Information unverzüglich weiter; die Frist nach Absatz 1 verkürzt sich dann entsprechend. Das Widerspruchs- und Kündigungsrecht bleibt davon unberührt.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Pflichten, die diesem Vertrag entsprechen, und haftet für dessen Verhalten wie für eigenes.

6. Ort der Verarbeitung und Drittlandbezug

Die Daten werden auf Servern in Deutschland gespeichert. Die Verarbeitung findet in Deutschland und – für die Transkription und Auswertung von Sprachnotizen – in Frankreich statt. Die tägliche Sicherungskopie liegt ebenfalls in Frankreich; sie wird vor der Übertragung auf dem deutschen Server verschlüsselt, der Speicherdienst kann sie nicht lesen. Ein Export von Daten in ein Drittland findet nicht statt.

Der Auftragsverarbeiter ist eine Gesellschaft mit Sitz in den Vereinigten Staaten. Administrativer Zugriff auf die Systeme erfolgt durch ihn selbst. Für die dadurch begründete Übermittlung im Sinne von Kapitel V DSGVO schließen die Parteien die Standardvertragsklauseln nach Ziffer 12.

7. Kontrollrechte

Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen. Der Auftragsverarbeiter erteilt dazu auf Anfrage Auskunft und stellt vorhandene Nachweise bereit. Vor-Ort-Prüfungen sind nach Ankündigung mit angemessener Frist, während üblicher Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig; der Aufwand ist zu erstatten, wenn im Jahr mehr als eine Prüfung erfolgt und kein Anlass vorliegt.

8. Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Nutzungsvertrags.

9. Beendigung, Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter alle Daten des Verantwortlichen innerhalb von 30 Tagen, es sei denn, der Verantwortliche verlangt innerhalb dieser Frist die Herausgabe in einem gängigen Format. Sicherungskopien werden im Rahmen der regulären Rotation spätestens 30 Tage nach der Löschung überschrieben.

Gesetzliche Aufbewahrungspflichten bleiben unberührt; insoweit werden die Daten gesperrt statt gelöscht.

10. Schlussbestimmungen

Änderungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag geht dieser Vertrag vor; bei Widersprüchen zu den Standardvertragsklauseln gehen die Klauseln vor. Es gilt deutsches Recht.

11. Annahme

Dieser Vertrag wird bei der Registrierung in Textform angenommen (Art. 28 Abs. 9 DSGVO). Der Auftragsverarbeiter speichert Fassung und Zeitpunkt der Annahme und stellt sie auf Anfrage bereit.

12. Standardvertragsklauseln

Die Parteien schließen die Standardvertragsklauseln der Europäischen Kommission gemäß Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021, Modul 2 (Übermittlung von einem Verantwortlichen an einen Auftragsverarbeiter), in ihrer amtlichen Fassung ab. Der Wortlaut ist abrufbar unter eur-lex.europa.eu und wird hiermit vollständig in Bezug genommen; er darf nach Art. 2 des Beschlusses nicht verändert werden.

Es gelten:

• Klausel 7 (Kopplungsklausel): nicht anwendbar.
• Klausel 9 (Einsatz von Unterauftragsverarbeitern): Option 2 – allgemeine schriftliche Genehmigung, Vorankündigungsfrist 30 Tage, siehe Ziffer 5.
• Klausel 11 (Rechtsbehelf): die optionale Streitbeilegungsklausel wird nicht vereinbart.
• Klausel 17 (anwendbares Recht) und Klausel 18 lit. b (Gerichtsstand): Recht der Bundesrepublik Deutschland.
• Die Anlagen 1–3 dieses Vertrags gelten zugleich als Anhang I, Anhang II und Anhang III der Standardvertragsklauseln.

Die Bewertung nach Klausel 14 (Transfer Impact Assessment) hat der Auftragsverarbeiter durchgeführt und stellt sie auf Anfrage bereit.

Anlage 1 – Gegenstand der Verarbeitung (Anhang I SCC)

Parteien

Datenexporteur: der Verantwortliche nach diesem Vertrag, Rolle Verantwortlicher.
Datenimporteur: YESMAN VENTURES LLC, Sheridan, Wyoming, USA, Rolle Auftragsverarbeiter, Tätigkeit Bereitstellung einer Büro-Software für Baumpflegebetriebe.

Betroffene Personen

• Kundinnen und Kunden des Verantwortlichen sowie deren Ansprechpartner
• Beschäftigte und Nutzer des Verantwortlichen
• Partnerbetriebe, die einen geteilten Projektlink erhalten
• vom Verantwortlichen gewählte Kalenderanbieter, die das Kalender-Abo abrufen

Kategorien personenbezogener Daten

• Stammdaten: Name, Anschrift, E-Mail-Adresse, Telefonnummer
• Projektdaten: Einsatzadresse, Leistungsort, optionale Geokoordinaten und what3words-Adresse, Leistungsbeschreibung, Notizen, Fotos einschließlich ihrer Metadaten, Bewertungen, Termine (Art, Zeitraum, Bezeichnung, Notiz)
• Sprachnotizen: Audioaufnahme und daraus erzeugtes Transkript
• Vertrags- und Abrechnungsdaten: Angebote, Rechnungen, Positionen, Beträge, Zahlungsziele, erzeugte PDF- und E-Rechnungsdateien
• Konto- und Protokolldaten der Nutzer des Verantwortlichen

Besondere Kategorien (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags. Der Verantwortliche stellt sicher, dass solche Daten nicht eingegeben oder eingesprochen werden.

Häufigkeit, Art und Zweck der Verarbeitung

Fortlaufend, solange der Nutzungsvertrag besteht. Erhoben, gespeichert, verändert, ausgelesen, übermittelt und gelöscht wird zum Zweck der Verwaltung von Kunden, Projekten, Angeboten und Rechnungen sowie der Transkription und Auswertung von Sprachnotizen. Übermittelt wird außerdem an die vom Verantwortlichen bestimmten Empfänger nach Ziffer 2 (geteilter Projektlink, Kalender-Abo).

Dauer

Für die Laufzeit des Nutzungsvertrags, danach nach Ziffer 9.

Zuständige Aufsichtsbehörde (Anhang I Abschnitt C)

Die Aufsichtsbehörde des Bundeslandes, in dem der Verantwortliche niedergelassen ist.

Anlage 2 – Technische und organisatorische Maßnahmen (Anhang II SCC)

Vertraulichkeit

• Zutritt: Serverbetrieb in einem Rechenzentrum der IONOS SE in Deutschland; physischer Zutritt ausschließlich durch IONOS nach deren Sicherheitskonzept – festgelegte Sicherheitsbereiche, protokollierter Zutritt, benannte Zutrittsberechtigte, Begleitung von Fremdpersonal, Überwachung der Räume. IONOS betreibt ein Informationssicherheits- management nach ISO 27001.
• Zugang: Anmeldung mit E-Mail und Passwort; Passwörter werden ausschließlich als bcrypt-Hash gespeichert. Zugriff auf die Anwendung über kurzlebige Zugriffstoken, die auf dem Endgerät im Schlüsselspeicher des Betriebssystems abgelegt werden. Bremse gegen automatisiertes Durchprobieren von Passwörtern.
• Zugriff: Mandantentrennung auf Datensatzebene – jeder Datensatz trägt die Kennung des Betriebs, ein Betrieb kann Daten eines anderen weder lesen noch verändern. Administrativer Zugriff auf den Server nur über SSH mit Schlüsselauthentifizierung.
• Trennung: getrennte Datenbanken für Entwicklung und Produktivbetrieb.
• Datenträger: Der Schutz der gespeicherten Daten beruht auf den oben genannten Maßnahmen – Zugang nur über SSH mit Schlüsselauthentifizierung, getrennte Systemkonten, Mandantentrennung. Für ausgemusterte Datenträger sagt der Rechenzentrumsbetreiber datenschutzgerechte Lösch- und Zerstörungsverfahren mit Löschprotokollen zu. Eine Verschlüsselung der virtuellen Datenträger im laufenden Betrieb gehört nicht zu seinen zugesagten Maßnahmen und wird deshalb hier nicht als Maßnahme geführt (geprüft 16.09.2026). Die ausgelagerte Sicherung wird verschlüsselt, bevor sie den Server verlässt, siehe „Verfügbarkeit und Belastbarkeit".

Integrität

• Transport: ausschließlich TLS (HTTPS) zwischen App und Server, HSTS aktiviert. Der öffentliche Projektlink und der Kalender-Link sind nur über ein zufälliges Token erreichbar, jederzeit widerrufbar und stehen nicht im Zugriffsprotokoll des Servers.
• Eingabe: Änderungen an Angeboten und Rechnungen werden versioniert; zu jedem festgeschriebenen Dokument existiert eine unveränderliche Fassung.

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung von Datenbank und Dateien: lokal auf dem Server (7 Tage) und zusätzlich auf einem räumlich getrennten Speicher in Frankreich (30 Tage). Die ausgelagerte Kopie wird auf dem Server verschlüsselt, bevor sie ihn verlässt; der Schlüssel liegt nicht beim Speicherdienst. Die Wiederherstellung ist getestet.
• Automatischer Zeitplan mit sichtbarem Fehlerzustand: ein fehlgeschlagener Sicherungslauf bleibt als Fehler stehen und wird nicht stillschweigend übergangen.

Verfahren zur Überprüfung und Bewertung

• Datenschutz durch Voreinstellung: keine Analyse- oder Tracking-Dienste Dritter, keine Cookies, keine Einbindung von Inhalten Dritter.
• Protokollierung ohne Inhaltsdaten: weder Kundendaten noch Audioinhalte oder Transkripte gelangen in Protokolle. Protokolle werden nach spätestens 14 Tagen gelöscht.
• Auftragskontrolle: Unterauftragsverarbeiter nur nach Anlage 3 und nur mit Vertrag nach Art. 28 DSGVO.

Anlage 3 – Unterauftragsverarbeiter (Anhang III SCC)

Für Mistral AI sind Zero Data Retention und der Ausschluss der Nutzung zu Trainingszwecken vertraglich aktiviert. Scaleway erhält ausschließlich verschlüsselte Sicherungsdateien und keinen Schlüssel dazu.

AGB · Datenschutzerklärung · Impressum