Auftragsverarbeitungsvertrag (AVV) für die Werkzeuge der Beratungs-Suite

Stand: 9. September 2026

Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

Präambel — Rollenverteilung und Anwendung

Der Kunde (nachfolgend „Verantwortlicher") setzt zur Verwaltung der Versicherungs- und Vorsorgeverträge, der Beratungsthemen und der Beratungsziele, zur Berechnung von Altersvorsorgewegen sowie zur Darstellung des Familienverbunds und des zeitlichen Verlaufs des Haushaltsvermögens für seine Endkunden die vom Anbieter (nachfolgend „Auftragsverarbeiter") bereitgestellten Werkzeuge der Beratungs-Suite ein — zum Stand dieses Vertrages StatusQuo, BeratungsThemen, AVD-Rechner, KonzeptBlatt, GenerationenBerater und/oder MeilenSteine, ebenso die unter derselben Adresse künftig hinzukommenden Werkzeuge (einzeln „Werkzeug", alle gemeinsam „die Software"; vgl. AGB § 1 Abs. 2). Die Aufzählung ist nicht abschließend. Alle Werkzeuge greifen auf dieselbe, dem Verantwortlichen zugeordnete verschlüsselte Datenhaltung zu; dieser Vertrag gilt für jedes vom Verantwortlichen eingesetzte Werkzeug der Software gleichermaßen, einschließlich künftig hinzukommender Werkzeuge. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten der Endkunden des Verantwortlichen weisungsgebunden im Auftrag des Verantwortlichen. Dieser Vertrag regelt die Rechte und Pflichten der Parteien nach Art. 28 DSGVO.

Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage (Art. 6 DSGVO) sowie für die Erfüllung der Informationspflichten gegenüber den betroffenen Personen (Art. 13, 14 DSGVO), allein verantwortlich.

Vertragsparteien:

1. Gegenstand, Art, Zweck und Dauer der Verarbeitung

(1) Gegenstand. Speicherung, Aufbereitung und Bereitstellung der vom Verantwortlichen über die Software eingegebenen personenbezogenen Daten seiner Endkunden zum Zweck der Erstellung und Pflege der mit den eingesetzten Werkzeugen erzeugten Kundenübersichten und Berechnungen — insbesondere der Vertragsübersicht („Status quo"), der Themenübersicht („BeratungsThemen"), der Altersvorsorge-Berechnung („AVD-Rechner"), des Ziel- und Konzeptblatts („KonzeptBlatt" einschließlich „ZielPlan"), der Familien- und Vermögensübersicht nebst Erbfolge- und Erbschaftsteuerberechnung („GenerationenBerater") und der Zeitstrahl-Darstellung des Haushaltsvermögens („MeilenSteine") sowie der Immobilienberechnung und Bestandsübersicht („ImmobilienInventur"). Kommen weitere Werkzeuge hinzu, erstreckt sich der Gegenstand ohne Weiteres auch auf die dort erzeugten Übersichten und Berechnungen; die Aufstellung wird entsprechend ergänzt.

(1a) Rechnen ohne Speicherung. Der AVD-Rechner kann vom Verantwortlichen genutzt werden, ohne dass ein Endkunde angelegt oder eine Berechnung gespeichert wird. In diesem Fall findet eine Auftragsverarbeitung personenbezogener Endkundendaten durch den Auftragsverarbeiter nicht statt; die Eingaben werden ausschließlich zur Durchführung der Berechnung übermittelt und nicht gespeichert. Dieser Vertrag greift für den AVD-Rechner, sobald der Verantwortliche eine Berechnung einem Endkunden zuordnet oder speichert.

(1b) Berechnen ohne Speicherung im GenerationenBerater. Die Angaben, die der Verantwortliche für eine Was-wäre-wenn-Rechnung macht — Güterstand, Inhalt eines Testaments, eine erst geplante Schenkung —, werden ausschließlich zur Durchführung der Berechnung im geöffneten Fenster verarbeitet und nicht gespeichert. Dasselbe gilt für die daraus erzeugten Erbquoten-, Pflichtteils- und Erbschaftsteuerergebnisse. Gespeichert werden allein die in Ziffer 2 Abs. 2 genannten Familien-, Vermögens- und Nachfolgedaten.

(2) Art der Verarbeitung. Erheben (Entgegennahme der vom Verantwortlichen übermittelten, bereits im Browser verschlüsselten Daten), Speichern, Ordnen, Aufbewahren, Auslesen (durch den Verantwortlichen), Übermitteln (Bereitstellung an den Verantwortlichen), Löschen. Die Verarbeitung erfolgt automatisiert.

(3) Zweck. Ausschließlich die Erbringung der in den AGB § 3 beschriebenen Leistung (Datenverwaltungs- und Aufbereitungswerkzeug für den Verantwortlichen). Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

(4) Dauer. Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrages (AGB § 7). Sie endet mit Beendigung des Hauptvertrages; anschließend gelten die Regelungen zu Rückgabe und Löschung (Ziffer 11).

2. Kategorien betroffener Personen und Datenarten

(1) Kategorien betroffener Personen:

• Endkunden des Verantwortlichen (natürliche Personen, deren Versicherungs-/Vorsorgeverträge erfasst werden), ggf. mitversicherte Personen,
• Angehörige und weitere Bezugspersonen des Endkunden, soweit der Verantwortliche sie im GenerationenBerater oder in MeilenSteine erfasst — insbesondere Ehegatten und frühere Partner, Kinder auch aus früheren Verbindungen, Eltern, Geschwister, Enkel sowie Personen ohne Verwandtschaftsverhältnis (etwa Patentante oder Pflegekraft) und Personen, von denen ein Zufluss stammt (etwa der Erblasser). Diese Personen leben nicht notwendig im Haushalt des Endkunden und sind regelmäßig nicht selbst Kunden des Verantwortlichen; ihre Daten erhebt der Verantwortliche nicht bei ihnen selbst. Die Informationspflicht nach Art. 14 DSGVO trifft insoweit ihn,
• verstorbene Personen, soweit der Verantwortliche im GenerationenBerater ein Sterbedatum erfasst oder in MeilenSteine einen Erbfall einträgt.

(2) Kategorien personenbezogener Daten (soweit vom Verantwortlichen eingegeben):

• Stammdaten des Endkunden (z. B. Name, ggf. Geburtsdatum, Kontaktdaten, soweit erfasst),
• Vertragsdaten (Sparte, Anbieter/Gesellschaft, Beitrag, Leistung/Versicherungssumme, Ist-Zustand, Empfehlung des Verantwortlichen, Ampel-Bewertung),
• Themendaten (Zuordnung von Beratungsthemen zum Endkunden, Ampel-Bewertung, Hervorhebung für das nächste Gespräch, Notizen des Verantwortlichen),
• Vorsorge- und Berechnungsdaten (Geburtsjahr, geplantes Rentenalter, Beitragshöhe, vorhandenes Guthaben, Anzahl und Alter kindergeldberechtigter Kinder einschließlich der Dauer des Kindergeldbezugs, persönliche Steuersätze, Angaben zu bestehenden Verträgen wie Riester-Vertrag oder Fondspolice sowie die daraus erzeugten Berechnungsergebnisse),
• Ziel- und Konzeptdaten (Beratungsziele mit ihrer Gewichtung, wörtliche Aussagen des Endkunden zu einem Ziel und der von ihm genannte Zeitpunkt, die vom Verantwortlichen formulierten Texte zu Investition und Ergebnis, monatliche und einmalige Beträge, Beginn und Folgetermin sowie vom Verantwortlichen hochgeladene Bilder),
• Familien-, Vermögens- und Nachfolgedaten (Name, Geburtsdatum, Sterbedatum, Geschlecht, E-Mail-Adresse, Angabe zur Selbständigkeit und zur Haushaltszugehörigkeit je erfasster Person; die Verbindungen der Personen untereinander einschließlich Ehe, Partnerschaft ohne Trauschein, Trennung und Scheidung nebst Jahresangabe; die Bewertung je Vorsorgethema — Testament, Patientenverfügung, Vorsorgevollmacht, Betreuungsverfügung, Sorgerechtsverfügung, Erbe, Pflegeabsicherung, Hinterbliebenenversorgung, Notfallordner, bei Selbständigen zusätzlich Unternehmervollmacht — nebst Notizen und Aufgaben je Thema; Vermögenspositionen mit Eigentumsanteil, Wert und Herkunft der Wertangabe, bei Lebens- und Rentenversicherungen einschließlich der Rollen Versicherungsnehmer, versicherte Person, Beitragszahler und Bezugsberechtigter, bei Renten einschließlich Art und Laufzeit; bereits erfolgte Schenkungen mit Schenker, Beschenktem, Betrag und Datum),
• Zeit- und Verlaufsdaten des Haushaltsvermögens (je Meilenstein Datum und Bezeichnung, die beteiligten Personen mit ihrer Quote, Einmalbeträge, laufende Raten mit Rhythmus und Dynamik, Kredite mit Summe, Rate und Zins, Bindungsfristen, laufende Erträge und Entnahmen, die Herkunft der Wertangabe, der Tag der Erfassung, eine freie Notiz, Lebensereignisse wie Geburt, Trennung, Todesfall oder Renteneintritt sowie die Person, von der ein Zufluss von außerhalb des Haushalts stammt),
• Immobiliendaten (Lage mit Anschrift, Objektart und Nutzung, Baujahr und Fertigstellung, Fläche, Zeitpunkt des Erwerbs und des Kaufvertrages, Kaufpreis nebst Aufteilung und Nebenkosten, Miete, Leerstandszeiten und Bewirtschaftungskosten, Darlehen mit Restschuld, Zins, Rate, Zinsbindung und Sondertilgung, Instandhaltungsrücklage, Gebäude- und Haftpflichtversicherung nebst Träger und Versicherungssumme, Wertangabe einschließlich ihrer Herkunft, Bodenrichtwert und Grundstücksfläche sowie vom Verantwortlichen hochgeladene Bilder des Objekts),
• steuerliche Merkmale des Endkunden, soweit für die Berechnung erforderlich (zu versteuerndes Einkommen, weitere Einkünfte, Veranlagungsart, Bundesland und die Angabe, ob Kirchensteuer anfällt),
• alle weiteren Angaben, die der Verantwortliche in die freien Eingabefelder einträgt. Deren Inhalt bestimmt allein er; er ist dem Auftragsverarbeiter nicht bekannt und für ihn — wegen der Verschlüsselung — auch nicht einsehbar.

Die Angaben zu einem Gebäude und einer Einheit des Objektstamms der ImmobilienInventur (Lage, Objektart, Fläche, Miete, Kosten) trägt der Verantwortliche ohne Bezug zu einem Endkunden ein; er kann sie innerhalb seines Teams freigeben. Ein personenbezogener Datensatz entsteht erst mit der Berechnung, die er einem Endkunden zuordnet. Angaben zu einer Immobilie, die dem Endkunden bereits gehört, sind stets kundenbezogen und nicht freigebbar.

(3) Besondere Kategorien (Art. 9 DSGVO): Die Software ist nicht gezielt auf die Verarbeitung besonderer Kategorien personenbezogener Daten ausgelegt. Da der Verantwortliche jedoch Verträge aus dem Bereich der Kranken-, Berufsunfähigkeits- und Pflegeversicherung erfassen kann, ist die Verarbeitung von Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO regelmäßig nicht ausgeschlossen. Im GenerationenBerater gilt dies zusätzlich für Angaben, die einen Rückschluss auf den Gesundheitszustand einer Person zulassen — insbesondere die Bewertung des Themas Pflegeabsicherung, die Bezeichnung einer Person als Pflegekraft sowie Notizen und Aufgaben zu den Themen Patientenverfügung, Betreuungsverfügung und Pflegeabsicherung; im KonzeptBlatt für die wörtlich festgehaltenen Aussagen des Endkunden zu Zielen der Einkommens- und Gesundheitsabsicherung. Die Angabe, ob Kirchensteuer anfällt — im AVD-Rechner und in der ImmobilienInventur für die Berechnung der Steuerwirkung erforderlich —, lässt einen Rückschluss auf die Zugehörigkeit zu einer Religionsgemeinschaft und damit auf die religiöse Überzeugung im Sinne des Art. 9 Abs. 1 DSGVO zu. Der GenerationenBerater erfasst darüber hinaus Sterbedaten und damit Angaben zu bereits verstorbenen Personen sowie Angaben zur Hinterbliebenenversorgung; sie werden mit denselben Maßnahmen geschützt wie alle übrigen Endkundendaten. Der Verantwortliche hat sicherzustellen, dass hierfür eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vorliegt — insbesondere die ausdrückliche Einwilligung der betroffenen Person nach Art. 9 Abs. 2 lit. a DSGVO — und eigenverantwortlich zu prüfen, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen ist. Die technischen Schutzmaßnahmen nach Ziffer 5 (Zero-Knowledge-Verschlüsselung; der Auftragsverarbeiter hat zu keinem Zeitpunkt Klartext-Zugriff) tragen dem erhöhten Schutzbedarf Rechnung.

3. Weisungsbindung

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die im Rahmen der normalen Nutzung der Software erfolgende Verarbeitung (Speichern, Bereitstellen, Löschen der vom Verantwortlichen eingegebenen Daten) gilt als vom Verantwortlichen erteilte Weisung. Einzelweisungen erfolgen in Textform an hallo@finanzberater.software.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

4. Vertraulichkeit

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung wirkt über die Beendigung der Tätigkeit hinaus.

(2) Da der Auftragsverarbeiter derzeit als Einzelunternehmer ohne weitere zugriffsberechtigte Beschäftigte tätig ist, betrifft die Vertraulichkeitsverpflichtung ihn selbst; bei Einsatz weiterer Personen werden diese vor Aufnahme der Tätigkeit schriftlich verpflichtet.

5. Technische und organisatorische Maßnahmen (TOMs, Art. 32 DSGVO)

Der Auftragsverarbeiter gewährleistet die folgenden technischen und organisatorischen Maßnahmen. Diese sind Bestandteil dieses Vertrages (Anlage TOM).

5.1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zero-Knowledge-Verschlüsselung (Ende-zu-Ende in Bezug auf den Betreiber): Sämtliche Endkundendaten werden bereits im Browser des Verantwortlichen verschlüsselt, bevor sie den Server erreichen. Schlüsselableitung aus dem Passwort des Verantwortlichen mittels Argon2id; symmetrische Verschlüsselung mittels XSalsa20-Poly1305 (Bibliothek libsodium). Der Schlüssel wird nicht an den Server übertragen. Der Auftragsverarbeiter speichert und verarbeitet die Endkundendaten ausschließlich als Chiffretext und hat keinen Klartext-Zugriff.
• Mandantentrennung: Für jeden Verantwortlichen wird eine getrennte, verschlüsselte Datenbank geführt (CouchDB per-user-Datenbank). Ein mandantenübergreifender Zugriff findet nicht statt; er ist ohne eine ausdrückliche Freigabe des betroffenen Verantwortlichen technisch ausgeschlossen, weil der Entschlüsselungsschlüssel ausschließlich bei diesem liegt.
• Zugriffskontrolle: Zugang zur Software nur nach Authentifizierung (Passwort). Administrativer Zugriff auf den Server nur für den Auftragsverarbeiter über gesicherte Zugänge (SSH-Key-basiert, kein Passwort-Login).
• Transportverschlüsselung: TLS/HTTPS für alle Verbindungen zwischen Browser und Server (Let's Encrypt bzw. gleichwertig).

5.2 Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Authentizität/Integrität der Daten: Die eingesetzte Verschlüsselung (XSalsa20-Poly1305) bietet authentifizierte Verschlüsselung und schützt so gegen unbemerkte Manipulation des Chiffretextes.
• Serverhärtung: Gehärtete Serverkonfiguration, Beschränkung offener Dienste, regelmäßige Aktualisierung von Betriebssystem und Komponenten.

5.3 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, lit. c DSGVO)

• Hosting in Deutschland: Betrieb auf einem Server im Rechenzentrum der Hetzner Online GmbH, Standort Falkenstein, Deutschland (suite.finanzberater.software).
• Verschlüsseltes Offsite-Backup: Tägliche Sicherung (03:00 Uhr) auf ein zweites, räumlich getrenntes Rechenzentrum innerhalb der Bundesrepublik Deutschland. Aufbewahrungsdauer: 7 Tage am Produktivstandort, 14 Tage am Offsite-Standort; ältere Sicherungen werden automatisiert gelöscht. Die Endkundendaten sind auch in den Sicherungen ausschließlich als Chiffretext enthalten.
• Wiederherstellbarkeit: Fähigkeit, die Verfügbarkeit und den Zugang zu den (verschlüsselten) Daten nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Die Wiederherstellung des Klartexts setzt den Schlüssel des Verantwortlichen bzw. den optionalen Notfall-Zweitschlüssel voraus (siehe Ziffer 5.5).

5.4 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Regelmäßige Überprüfung der Serverkonfiguration und der eingesetzten kryptographischen Verfahren.
• Aktualisierung der TOMs bei Änderung der technischen Gegebenheiten.

5.5 Notfall-Zweitschlüssel (Escrow) — technische Ausgestaltung

• Der optionale Notfall-Zweitschlüssel (AGB § 5) wird ausschließlich als mit dem öffentlichen Schlüssel des Auftragsverarbeiters versiegelte Kopie des Datenschlüssels hinterlegt. Der zur Entsiegelung erforderliche private Schlüssel des Auftragsverarbeiters wird ausschließlich offline verwahrt und liegt zu keinem Zeitpunkt auf dem Server.
• Eine Entsiegelung erfolgt ausschließlich auf ausdrückliche, verifizierte Weisung des Verantwortlichen zum Zweck der Wiederherstellung. Der Verantwortliche erhält davon unabhängig bei der Ersteinrichtung ein Notfall-Set, mit dem er sein Passwort selbst neu setzen kann (AGB § 4 Abs. 5); der Notfall-Zweitschlüssel greift erst, wenn auch dieses verloren ist. Sind Passwort und Notfall-Set verloren und wurde der Notfall-Zweitschlüssel nicht aktiviert, besteht keine technische Möglichkeit der Wiederherstellung.
• Der Auftragsverarbeiter protokolliert jede Entsiegelung.

6. Unterauftragsverarbeiter (Art. 28 Abs. 2, Abs. 4 DSGVO)

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung/Austausch) und räumt ihm ein Widerspruchsrecht ein (Ziffer 6.4).

(2) Zum Zeitpunkt des Vertragsschlusses werden folgende Unterauftragsverarbeiter eingesetzt:

(3) Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen die gleichen Datenschutzpflichten auferlegt, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).

(4) Der Verantwortliche kann einer beabsichtigten Änderung aus wichtigem, datenschutzbezogenem Grund innerhalb von 14 Tagen nach Information widersprechen. Kann eine einvernehmliche Lösung nicht gefunden werden, steht dem Verantwortlichen ein Sonderkündigungsrecht hinsichtlich des Hauptvertrages zu.

(5) Aufgrund der Zero-Knowledge-Verschlüsselung erhält kein Unterauftragsverarbeiter Zugriff auf die Klartext-Endkundendaten; die Endkundendaten sind bei Hetzner und IONOS — auch in den Sicherungskopien — ausschließlich als Chiffretext gespeichert (vgl. AGB § 4 Abs. 4). Hiervon nicht erfasst sind die zum Betrieb der Zugänge erforderlichen Konto- und Abrechnungsdaten des Verantwortlichen (insbesondere E-Mail-Adresse, Passwort-Hash und der versiegelte Notfall-Zweitschlüssel); diese liegen unverschlüsselt in der Konto-Datenbank und deren Sicherungen. Für sie ist der Auftragsverarbeiter nach AGB § 11 Abs. 1 selbst Verantwortlicher.

7. Unterstützung des Verantwortlichen; Betroffenenrechte

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO), insbesondere Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit (Art. 28 Abs. 3 lit. e DSGVO).

(2) Da der Auftragsverarbeiter aufgrund der Zero-Knowledge-Verschlüsselung keinen Klartext-Zugriff hat, erfolgt die inhaltliche Bearbeitung von Betroffenenanfragen (Auskunft, Berichtigung, Löschung einzelner Endkundendatensätze) durch den Verantwortlichen selbst über die Funktionen der Software. Der Auftragsverarbeiter stellt die hierfür erforderlichen technischen Funktionen (Anzeige, Bearbeitung, Löschung, Export) bereit.

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), Art. 28 Abs. 3 lit. f DSGVO.

8. Würdigung der Zero-Knowledge-Verschlüsselung für die Auftragsverarbeiter-Rolle

(1) Die Zero-Knowledge-Verschlüsselung bewirkt, dass der Auftragsverarbeiter zu keinem Zeitpunkt Klartext-Zugriff auf die Endkundendaten hat. Für die Bewertung nach der DSGVO gilt:

(2) Die AVV-Pflicht entfällt dadurch nicht. Der Auftragsverarbeiter verarbeitet die Daten im Sinne des Art. 4 Nr. 2 DSGVO (Speichern, Aufbewahren, Bereitstellen, Löschen), auch wenn die Verarbeitung ausschließlich am Chiffretext erfolgt. Verschlüsselte personenbezogene Daten bleiben für den Verantwortlichen — der über den Schlüssel verfügt — personenbezogen; die Verarbeitung durch einen Dritten im Auftrag ist damit Auftragsverarbeitung nach Art. 28 DSGVO. Ein Abschluss dieses Vertrages ist deshalb zwingend.

(3) Die Verschlüsselung ist jedoch eine TOM ersten Ranges (Art. 32 Abs. 1 lit. a DSGVO nennt Verschlüsselung ausdrücklich). Sie senkt das Risiko einer unbefugten Kenntnisnahme durch den Auftragsverarbeiter, seine Unterauftragsverarbeiter oder Dritte auf ein sehr niedriges Niveau und ist bei der Risikobewertung (Art. 32 Abs. 1, 2 DSGVO) sowie bei der Bewertung von Datenpannen (Ziffer 9) maßgeblich zu berücksichtigen.

(4) Grenze: Wird der optionale Notfall-Zweitschlüssel (AGB § 5) aktiviert, besteht — nach Entsiegelung mit dem offline verwahrten privaten Schlüssel des Auftragsverarbeiters und ausschließlich auf Weisung des Verantwortlichen — eine potenzielle technische Zugriffsmöglichkeit auf den Datenschlüssel. Insoweit ist die Zero-Knowledge-Eigenschaft eingeschränkt. Diese Zugriffsmöglichkeit wird ausschließlich im Wiederherstellungsfall und auf Weisung genutzt; die Verwahrung des privaten Schlüssels ausschließlich offline begrenzt das Risiko. Der Auftragsverarbeiter behandelt eine Entsiegelung wie eine besonders schützenswerte Verarbeitung (Protokollierung, Weisungsbindung, Ziffer 5.5).

9. Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33, 34 DSGVO)

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, damit der Verantwortlicher seine Meldepflicht nach Art. 33 DSGVO (72 Stunden) erfüllen kann.

(2) Die Meldung enthält, soweit möglich, die in Art. 33 Abs. 3 DSGVO genannten Angaben. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Aufklärung und Dokumentation.

(3) Bei der Bewertung der Meldepflicht ist zu berücksichtigen, dass bei einem Abfluss ausschließlich verschlüsselten Chiffretextes ohne Schlüssel regelmäßig kein hohes Risiko für die betroffenen Personen anzunehmen ist (vgl. Erwägungsgrund 83, Art. 34 Abs. 3 lit. a DSGVO); die abschließende Bewertung trifft der Verantwortliche.

10. Nachweis- und Kontrollrechte (Art. 28 Abs. 3 lit. h DSGVO)

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem beauftragten Prüfer durchgeführt werden.

(2) Der Nachweis erfolgt vorrangig durch Vorlage der aktuellen TOM-Dokumentation und geeigneter Selbstauskünfte. Vor-Ort-Prüfungen sind mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs durchzuführen; der Prüfer ist zur Vertraulichkeit verpflichtet.

11. Löschung und Rückgabe nach Beendigung (Art. 28 Abs. 3 lit. g DSGVO)

(1) Nach Abschluss der Verarbeitung — mit Beendigung des Hauptvertrages — gibt der Auftragsverarbeiter die verarbeiteten (verschlüsselten) Daten nach Wahl des Verantwortlichen zurück oder löscht sie, sofern nicht nach Unionsrecht oder mitgliedstaatlichem Recht eine Pflicht zur Speicherung besteht. Der Verantwortliche übt dieses Wahlrecht innerhalb der Nachlauffrist gemäß AGB § 12 Abs. 2 aus (30 Tage ab Ablauf des letzten bezahlten Vertragsjahres). Verlangt der Verantwortliche innerhalb dieser Frist die sofortige Löschung, löscht der Auftragsverarbeiter unverzüglich. Übt der Verantwortliche das Wahlrecht nicht aus, löscht der Auftragsverarbeiter die Daten nach Ablauf der Nachlauffrist.

(2) Die Rückgabe erfolgt durch die dem Verantwortlichen bereitgestellte Exportfunktion innerhalb der Nachlauffrist gemäß AGB § 12 Abs. 2; die Entschlüsselung setzt das Passwort des Verantwortlichen oder den optionalen Notfall-Zweitschlüssel voraus.

(3) Nach Ablauf der Nachlauffrist werden sämtliche Datenbestände des Verantwortlichen einschließlich der Backups im Rahmen der Backup-Rotation gelöscht. Die Löschung der Sicherungskopien ist aufgrund der Aufbewahrungsdauer nach Ziffer 5.3 (7 Tage am Produktivstandort, 14 Tage am Offsite-Standort) spätestens 14 Tage nach der Löschung im Produktivsystem abgeschlossen. Dies entspricht AGB § 12 Abs. 2.

(4) Der Auftragsverarbeiter bestätigt dem Verantwortlichen auf Verlangen die Löschung in Textform.

12. Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und den AGB gehen die Regelungen dieses AVV hinsichtlich der Verarbeitung von Endkundendaten vor.

(2) Es gilt das Recht der Bundesrepublik Deutschland. Änderungen bedürfen der Textform.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle tritt die gesetzliche Regelung.

Anlage: TOM-Kurzübersicht (Stand 29.07.2026)

AVV — Beratungs-Suite · Stand: 9. September 2026 · Quelle: https://suite.finanzberater.software/avv