Auftragsverarbeitungsvertrag (AVV)
Dieser Vertrag ergänzt die AGB zwischen der Nutzerin (Verantwortliche) und dem Anbieter (Auftragsverarbeiter) und regelt, wie der Anbieter personenbezogene Daten im Auftrag der Nutzerin verarbeitet.
Stand: Oktober 2026 · Fassung 2026-10
Präambel
Verantwortliche („Nutzerin“) ist die im eigenbuch-Konto registrierte Person/Unternehmerin. Auftragsverarbeiter („Anbieter“) ist SW-Portal, Inhaber Uwe Richter, Martin-Luther-Straße 7, 01099 Dresden, Betreiber von eigenbuch (eigenbuch.eu, Kontakt: info@eigenbuch.eu).
eigenbuch ist eine Bürosoftware, in der die Nutzerin ihre eigenen Geschäftsdaten und die Daten ihrer Kunden erfasst. Der Anbieter entscheidet nicht über Zweck und Mittel dieser Inhalte – das tut allein die Nutzerin. Der Anbieter stellt nur die Software und den Speicher bereit.
Besonderheit (Zero-Knowledge): Die sensiblen Inhalte werden im Browser der Nutzerin ver- und entschlüsselt (AES-256-GCM, Schlüssel aus ihrem Passwort abgeleitet). Der Anbieter speichert diese Inhalte nur als Chiffrat und kann sie nicht lesen. Was der Anbieter lesen kann und was nicht, ist in § 4 ausdrücklich aufgeführt.
§ 1 Gegenstand und Rollen
Der Anbieter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung der Nutzerin, soweit eine Auftragsverarbeitung vorliegt. Die Nutzerin bleibt Verantwortliche im Sinne der DSGVO für alle von ihr eingegebenen Daten, insbesondere die Daten ihrer Kunden.
§ 2 Art, Umfang, Zweck und Dauer
- Art/Umfang: Speichern, Aufbewahren, Bereitstellen und Löschen der von der Nutzerin eingegebenen Daten; technische Hilfsfunktionen (Suche und Berechnung laufen im Browser der Nutzerin, nicht beim Anbieter).
- Zweck: Betrieb der Buchhaltungs- und Büro-Software für die Nutzerin.
- Dauer: für die Laufzeit des Nutzungsverhältnisses; danach Löschung/Rückgabe nach § 11.
§ 3 Art der Daten und Kategorien betroffener Personen
- Betroffene: die Nutzerin selbst sowie ihre Kunden/Kontakte.
- Datenarten: Kontaktkennungen, ggf. Klarname/Anschrift/Telefon/ E-Mail von Kunden, Termin- und Zahlungsangaben, Notizen, Belege. Der weit überwiegende Teil liegt ausschließlich verschlüsselt vor (§ 4).
§ 4 Was der Anbieter lesen kann – und was nicht
Kann der Anbieter NICHT lesen (nur als Chiffrat gespeichert, Schlüssel liegt allein bei der Nutzerin):
- Kundendaten: Klarname, Anschrift, Telefon, E-Mail, Notizen der Kundenliste
- Kassenbuch-Inhalte: Beträge, Buchungsdetails, Kategorien, Belege
- Termin-Absprachen, EKS-/Grundsicherungsangaben, Notfall-/Nachlassdaten
- hinterlegte Zugangsdaten (z. B. Telegram-Bot-Token, IMAP-Postfach)
Kann der Anbieter technisch lesen (aus Betriebsgründen im Klartext):
- Konto-E-Mail der Nutzerin (Login, Kontakt, Abrechnung)
- Merkname/Kennung eines Kunden und Absender-Kennung eingehender Nachrichten – dienen der Listendarstellung
- Termin-Datum/Uhrzeit (Kalenderfunktion), Geschäfts-Metadaten (Künstlername, Stadt, Preise)
- Abo-/Zahlungsdaten und technische Protokolle (Server-Logs)
Der Anbieter verpflichtet sich, auch die technisch lesbaren Daten nicht inhaltlich auszuwerten, sondern nur, soweit für Betrieb, Abrechnung und Sicherheit erforderlich.
§ 5 Weisungsgebundenheit
Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung der Nutzerin. Die Nutzung der Software (Eingeben, Bearbeiten, Löschen, Exportieren) gilt als solche Weisung. Weitergehende Weisungen erfolgen in Textform an info@eigenbuch.eu.
§ 6 Technische und organisatorische Maßnahmen (Art. 32)
- Ende-zu-Ende-Verschlüsselung der Inhalte (AES-256-GCM, Schlüsselableitung im Browser)
- Unveränderbarkeit festgeschriebener Buchungen über eine Hashkette über die Chiffrate
- Transportverschlüsselung (TLS) für alle Verbindungen
- EU-Hosting (Datenresidenz EU), Zugriffsschutz, Zwei-Faktor-Anmeldung verfügbar
- verschlüsselte Backups; Löschung als endgültiges Entfernen des Chiffrats
§ 7 Vertraulichkeit
Alle mit der Verarbeitung befassten Personen sind auf Vertraulichkeit verpflichtet.
§ 8 Unterauftragsverarbeiter
Die Nutzerin stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
- MoJo Europa (Hosting, Serverstandort Niederlande)
- Anthropic (PBC, USA) – für den optionalen Hilfe-Chat (KI-Assistent); Datenübermittlung in die USA auf Grundlage von Standardvertragsklauseln. Wird der Hilfe-Chat nicht genutzt, findet keine Übermittlung statt.
Kein eigener Mailprovider: eigenbuch versendet keine E-Mails (Fristen-Hinweise laufen in-app, Rechnungen zum Download). Ein E-Mail-Versand käme erst mit dem Homepage-Baukasten (spätere Ausbaustufe) hinzu und würde dann als Unterauftragsverarbeiter hier ergänzt. Backups liegen verschlüsselt beim Betreiber, kein externer Backup-Dienst. Weitere Unterauftragsverarbeiter werden vorab mitgeteilt; die Nutzerin kann widersprechen.
§ 9 Unterstützung bei Betroffenenrechten
Weil die Inhalte verschlüsselt sind, kann nur die Nutzerin selbst sie einsehen, berichtigen oder exportieren – dafür stellt die Software Export- und Löschfunktionen bereit. Der Anbieter unterstützt bei Anfragen betroffener Personen im Rahmen des technisch Möglichen.
§ 10 Meldung von Datenschutzverletzungen
Der Anbieter informiert die Nutzerin unverzüglich über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten und unterstützt bei den Meldepflichten (Art. 33/34 DSGVO).
§ 11 Löschung und Rückgabe bei Vertragsende
Nach Ende des Nutzungsverhältnisses kann die Nutzerin ihre Daten exportieren; anschließend werden die Daten gelöscht. Unabhängig davon hat die Nutzerin jederzeit das Recht, ihre Daten ohne Angabe von Gründen löschen zu lassen (vgl. AGB / Art. 17 DSGVO). Gesetzliche Aufbewahrungspflichten (z. B. für belegpflichtige Buchungen) bleiben unberührt.
§ 12 Nachweise und Kontrollen
Der Anbieter stellt der Nutzerin die zur Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen.
§ 13 Haftung und Schlussbestimmungen
Es gilt die Haftungsregelung der AGB. Rechtliche Bewertungen können im Einzelfall einer gerichtlichen Entscheidung unterliegen. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam.