Auftragsverarbeitungsvertrag (AVV) — „StatusQuo" und „BeratungsThemen"

Stand: 29. Juli 2026

Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

Präambel — Rollenverteilung und Anwendung

Der Kunde (nachfolgend „Verantwortlicher") setzt zur Verwaltung der Versicherungs- und Vorsorgeverträge sowie der Beratungsthemen seiner Endkunden die vom Anbieter (nachfolgend „Auftragsverarbeiter") bereitgestellten Anwendungen StatusQuo und/oder BeratungsThemen ein (einzeln „Werkzeug", diese sowie weitere künftig unter derselben Adresse bereitgestellte Anwendungen gemeinsam „die Software"; vgl. AGB § 1 Abs. 2). Alle Werkzeuge greifen auf dieselbe, dem Verantwortlichen zugeordnete verschlüsselte Datenhaltung zu; dieser Vertrag gilt für jedes vom Verantwortlichen eingesetzte Werkzeug der Software gleichermaßen, einschließlich künftig hinzukommender Werkzeuge. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten der Endkunden des Verantwortlichen weisungsgebunden im Auftrag des Verantwortlichen. Dieser Vertrag regelt die Rechte und Pflichten der Parteien nach Art. 28 DSGVO.

Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage (Art. 6 DSGVO) sowie für die Erfüllung der Informationspflichten gegenüber den betroffenen Personen (Art. 13, 14 DSGVO), allein verantwortlich.

Vertragsparteien:

1. Gegenstand, Art, Zweck und Dauer der Verarbeitung

(1) Gegenstand. Speicherung, Aufbereitung und Bereitstellung der vom Verantwortlichen über die Software eingegebenen personenbezogenen Daten seiner Endkunden zum Zweck der Erstellung und Pflege der mit den eingesetzten Werkzeugen erzeugten Kundenübersichten — insbesondere der Vertragsübersicht („Status quo") und der Themenübersicht („BeratungsThemen").

(2) Art der Verarbeitung. Erheben (Entgegennahme der vom Verantwortlichen übermittelten, bereits im Browser verschlüsselten Daten), Speichern, Ordnen, Aufbewahren, Auslesen (durch den Verantwortlichen), Übermitteln (Bereitstellung an den Verantwortlichen), Löschen. Die Verarbeitung erfolgt automatisiert.

(3) Zweck. Ausschließlich die Erbringung der in den AGB § 3 beschriebenen Leistung (Datenverwaltungs- und Aufbereitungswerkzeug für den Verantwortlichen). Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

(4) Dauer. Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrages (AGB § 7). Sie endet mit Beendigung des Hauptvertrages; anschließend gelten die Regelungen zu Rückgabe und Löschung (Ziffer 11).

2. Kategorien betroffener Personen und Datenarten

(1) Kategorien betroffener Personen:

• Endkunden des Verantwortlichen (natürliche Personen, deren Versicherungs-/Vorsorgeverträge erfasst werden), ggf. mitversicherte Personen.

(2) Kategorien personenbezogener Daten (soweit vom Verantwortlichen eingegeben):

• Stammdaten des Endkunden (z. B. Name, ggf. Geburtsdatum, Kontaktdaten, soweit erfasst),
• Vertragsdaten (Sparte, Anbieter/Gesellschaft, Beitrag, Leistung/Versicherungssumme, Ist-Zustand, Empfehlung des Verantwortlichen, Ampel-Bewertung),
• Themendaten (Zuordnung von Beratungsthemen zum Endkunden, Ampel-Bewertung, Hervorhebung für das nächste Gespräch, Notizen des Verantwortlichen),
• alle weiteren Angaben, die der Verantwortliche in die freien Eingabefelder einträgt. Deren Inhalt bestimmt allein er; er ist dem Auftragsverarbeiter nicht bekannt und für ihn — wegen der Verschlüsselung — auch nicht einsehbar.

(3) Besondere Kategorien (Art. 9 DSGVO): Die Software ist nicht gezielt auf die Verarbeitung besonderer Kategorien personenbezogener Daten ausgelegt. Da der Verantwortliche jedoch Verträge aus dem Bereich der Kranken-, Berufsunfähigkeits- und Pflegeversicherung erfassen kann, ist die Verarbeitung von Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO regelmäßig nicht ausgeschlossen. Der Verantwortliche hat sicherzustellen, dass hierfür eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vorliegt — insbesondere die ausdrückliche Einwilligung der betroffenen Person nach Art. 9 Abs. 2 lit. a DSGVO — und eigenverantwortlich zu prüfen, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen ist. Die technischen Schutzmaßnahmen nach Ziffer 5 (Zero-Knowledge-Verschlüsselung; der Auftragsverarbeiter hat zu keinem Zeitpunkt Klartext-Zugriff) tragen dem erhöhten Schutzbedarf Rechnung.

3. Weisungsbindung

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die im Rahmen der normalen Nutzung der Software erfolgende Verarbeitung (Speichern, Bereitstellen, Löschen der vom Verantwortlichen eingegebenen Daten) gilt als vom Verantwortlichen erteilte Weisung. Einzelweisungen erfolgen in Textform an hallo@finanzberater.software.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

4. Vertraulichkeit

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung wirkt über die Beendigung der Tätigkeit hinaus.

(2) Da der Auftragsverarbeiter derzeit als Einzelunternehmer ohne weitere zugriffsberechtigte Beschäftigte tätig ist, betrifft die Vertraulichkeitsverpflichtung ihn selbst; bei Einsatz weiterer Personen werden diese vor Aufnahme der Tätigkeit schriftlich verpflichtet.

5. Technische und organisatorische Maßnahmen (TOMs, Art. 32 DSGVO)

Der Auftragsverarbeiter gewährleistet die folgenden technischen und organisatorischen Maßnahmen. Diese sind Bestandteil dieses Vertrages (Anlage TOM).

5.1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zero-Knowledge-Verschlüsselung (Ende-zu-Ende in Bezug auf den Betreiber): Sämtliche Endkundendaten werden bereits im Browser des Verantwortlichen verschlüsselt, bevor sie den Server erreichen. Schlüsselableitung aus dem Passwort des Verantwortlichen mittels Argon2id; symmetrische Verschlüsselung mittels XSalsa20-Poly1305 (Bibliothek libsodium). Der Schlüssel wird nicht an den Server übertragen. Der Auftragsverarbeiter speichert und verarbeitet die Endkundendaten ausschließlich als Chiffretext und hat keinen Klartext-Zugriff.
• Mandantentrennung: Für jeden Verantwortlichen wird eine getrennte, verschlüsselte Datenbank geführt (CouchDB per-user-Datenbank). Ein mandantenübergreifender Zugriff findet nicht statt; er ist ohne eine ausdrückliche Freigabe des betroffenen Verantwortlichen technisch ausgeschlossen, weil der Entschlüsselungsschlüssel ausschließlich bei diesem liegt.
• Zugriffskontrolle: Zugang zur Software nur nach Authentifizierung (Passwort). Administrativer Zugriff auf den Server nur für den Auftragsverarbeiter über gesicherte Zugänge (SSH-Key-basiert, kein Passwort-Login).
• Transportverschlüsselung: TLS/HTTPS für alle Verbindungen zwischen Browser und Server (Let's Encrypt bzw. gleichwertig).

5.2 Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Authentizität/Integrität der Daten: Die eingesetzte Verschlüsselung (XSalsa20-Poly1305) bietet authentifizierte Verschlüsselung und schützt so gegen unbemerkte Manipulation des Chiffretextes.
• Serverhärtung: Gehärtete Serverkonfiguration, Beschränkung offener Dienste, regelmäßige Aktualisierung von Betriebssystem und Komponenten.

5.3 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, lit. c DSGVO)

• Hosting in Deutschland: Betrieb auf einem Server im Rechenzentrum der Hetzner Online GmbH, Standort Falkenstein, Deutschland (suite.finanzberater.software).
• Verschlüsseltes Offsite-Backup: Tägliche Sicherung (03:00 Uhr) auf ein zweites, räumlich getrenntes Rechenzentrum innerhalb der Bundesrepublik Deutschland. Aufbewahrungsdauer: 7 Tage am Produktivstandort, 14 Tage am Offsite-Standort; ältere Sicherungen werden automatisiert gelöscht. Die Endkundendaten sind auch in den Sicherungen ausschließlich als Chiffretext enthalten.
• Wiederherstellbarkeit: Fähigkeit, die Verfügbarkeit und den Zugang zu den (verschlüsselten) Daten nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Die Wiederherstellung des Klartexts setzt den Schlüssel des Verantwortlichen bzw. den optionalen Notfall-Zweitschlüssel voraus (siehe Ziffer 5.5).

5.4 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Regelmäßige Überprüfung der Serverkonfiguration und der eingesetzten kryptographischen Verfahren.
• Aktualisierung der TOMs bei Änderung der technischen Gegebenheiten.

5.5 Notfall-Zweitschlüssel (Escrow) — technische Ausgestaltung

• Der optionale Notfall-Zweitschlüssel (AGB § 5) wird ausschließlich als mit dem öffentlichen Schlüssel des Auftragsverarbeiters versiegelte Kopie des Datenschlüssels hinterlegt. Der zur Entsiegelung erforderliche private Schlüssel des Auftragsverarbeiters wird ausschließlich offline verwahrt und liegt zu keinem Zeitpunkt auf dem Server.
• Eine Entsiegelung erfolgt ausschließlich auf ausdrückliche, verifizierte Weisung des Verantwortlichen zum Zweck der Wiederherstellung. Ohne Aktivierung des Notfall-Zweitschlüssels besteht keine technische Möglichkeit der Wiederherstellung.
• Der Auftragsverarbeiter protokolliert jede Entsiegelung.

6. Unterauftragsverarbeiter (Art. 28 Abs. 2, Abs. 4 DSGVO)

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung/Austausch) und räumt ihm ein Widerspruchsrecht ein (Ziffer 6.4).

(2) Zum Zeitpunkt des Vertragsschlusses werden folgende Unterauftragsverarbeiter eingesetzt:

(3) Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen die gleichen Datenschutzpflichten auferlegt, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).

(4) Der Verantwortliche kann einer beabsichtigten Änderung aus wichtigem, datenschutzbezogenem Grund innerhalb von 14 Tagen nach Information widersprechen. Kann eine einvernehmliche Lösung nicht gefunden werden, steht dem Verantwortlichen ein Sonderkündigungsrecht hinsichtlich des Hauptvertrages zu.

(5) Aufgrund der Zero-Knowledge-Verschlüsselung erhält kein Unterauftragsverarbeiter Zugriff auf die Klartext-Endkundendaten; die Endkundendaten sind bei Hetzner und IONOS — auch in den Sicherungskopien — ausschließlich als Chiffretext gespeichert (vgl. AGB § 4 Abs. 4). Hiervon nicht erfasst sind die zum Betrieb der Zugänge erforderlichen Konto- und Abrechnungsdaten des Verantwortlichen (insbesondere E-Mail-Adresse, Passwort-Hash und der versiegelte Notfall-Zweitschlüssel); diese liegen unverschlüsselt in der Konto-Datenbank und deren Sicherungen. Für sie ist der Auftragsverarbeiter nach AGB § 11 Abs. 1 selbst Verantwortlicher.

7. Unterstützung des Verantwortlichen; Betroffenenrechte

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO), insbesondere Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit (Art. 28 Abs. 3 lit. e DSGVO).

(2) Da der Auftragsverarbeiter aufgrund der Zero-Knowledge-Verschlüsselung keinen Klartext-Zugriff hat, erfolgt die inhaltliche Bearbeitung von Betroffenenanfragen (Auskunft, Berichtigung, Löschung einzelner Endkundendatensätze) durch den Verantwortlichen selbst über die Funktionen der Software. Der Auftragsverarbeiter stellt die hierfür erforderlichen technischen Funktionen (Anzeige, Bearbeitung, Löschung, Export) bereit.

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), Art. 28 Abs. 3 lit. f DSGVO.

8. Würdigung der Zero-Knowledge-Verschlüsselung für die Auftragsverarbeiter-Rolle

(1) Die Zero-Knowledge-Verschlüsselung bewirkt, dass der Auftragsverarbeiter zu keinem Zeitpunkt Klartext-Zugriff auf die Endkundendaten hat. Für die Bewertung nach der DSGVO gilt:

(2) Die AVV-Pflicht entfällt dadurch nicht. Der Auftragsverarbeiter verarbeitet die Daten im Sinne des Art. 4 Nr. 2 DSGVO (Speichern, Aufbewahren, Bereitstellen, Löschen), auch wenn die Verarbeitung ausschließlich am Chiffretext erfolgt. Verschlüsselte personenbezogene Daten bleiben für den Verantwortlichen — der über den Schlüssel verfügt — personenbezogen; die Verarbeitung durch einen Dritten im Auftrag ist damit Auftragsverarbeitung nach Art. 28 DSGVO. Ein Abschluss dieses Vertrages ist deshalb zwingend.

(3) Die Verschlüsselung ist jedoch eine TOM ersten Ranges (Art. 32 Abs. 1 lit. a DSGVO nennt Verschlüsselung ausdrücklich). Sie senkt das Risiko einer unbefugten Kenntnisnahme durch den Auftragsverarbeiter, seine Unterauftragsverarbeiter oder Dritte auf ein sehr niedriges Niveau und ist bei der Risikobewertung (Art. 32 Abs. 1, 2 DSGVO) sowie bei der Bewertung von Datenpannen (Ziffer 9) maßgeblich zu berücksichtigen.

(4) Grenze: Wird der optionale Notfall-Zweitschlüssel (AGB § 5) aktiviert, besteht — nach Entsiegelung mit dem offline verwahrten privaten Schlüssel des Auftragsverarbeiters und ausschließlich auf Weisung des Verantwortlichen — eine potenzielle technische Zugriffsmöglichkeit auf den Datenschlüssel. Insoweit ist die Zero-Knowledge-Eigenschaft eingeschränkt. Diese Zugriffsmöglichkeit wird ausschließlich im Wiederherstellungsfall und auf Weisung genutzt; die Verwahrung des privaten Schlüssels ausschließlich offline begrenzt das Risiko. Der Auftragsverarbeiter behandelt eine Entsiegelung wie eine besonders schützenswerte Verarbeitung (Protokollierung, Weisungsbindung, Ziffer 5.5).

9. Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33, 34 DSGVO)

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, damit der Verantwortlicher seine Meldepflicht nach Art. 33 DSGVO (72 Stunden) erfüllen kann.

(2) Die Meldung enthält, soweit möglich, die in Art. 33 Abs. 3 DSGVO genannten Angaben. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Aufklärung und Dokumentation.

(3) Bei der Bewertung der Meldepflicht ist zu berücksichtigen, dass bei einem Abfluss ausschließlich verschlüsselten Chiffretextes ohne Schlüssel regelmäßig kein hohes Risiko für die betroffenen Personen anzunehmen ist (vgl. Erwägungsgrund 83, Art. 34 Abs. 3 lit. a DSGVO); die abschließende Bewertung trifft der Verantwortliche.

10. Nachweis- und Kontrollrechte (Art. 28 Abs. 3 lit. h DSGVO)

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem beauftragten Prüfer durchgeführt werden.

(2) Der Nachweis erfolgt vorrangig durch Vorlage der aktuellen TOM-Dokumentation und geeigneter Selbstauskünfte. Vor-Ort-Prüfungen sind mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs durchzuführen; der Prüfer ist zur Vertraulichkeit verpflichtet.

11. Löschung und Rückgabe nach Beendigung (Art. 28 Abs. 3 lit. g DSGVO)

(1) Nach Abschluss der Verarbeitung — mit Beendigung des Hauptvertrages — gibt der Auftragsverarbeiter die verarbeiteten (verschlüsselten) Daten nach Wahl des Verantwortlichen zurück oder löscht sie, sofern nicht nach Unionsrecht oder mitgliedstaatlichem Recht eine Pflicht zur Speicherung besteht. Der Verantwortliche übt dieses Wahlrecht innerhalb der Nachlauffrist gemäß AGB § 12 Abs. 2 aus (30 Tage ab Ablauf des letzten bezahlten Vertragsjahres). Verlangt der Verantwortliche innerhalb dieser Frist die sofortige Löschung, löscht der Auftragsverarbeiter unverzüglich. Übt der Verantwortliche das Wahlrecht nicht aus, löscht der Auftragsverarbeiter die Daten nach Ablauf der Nachlauffrist.

(2) Die Rückgabe erfolgt durch die dem Verantwortlichen bereitgestellte Exportfunktion innerhalb der Nachlauffrist gemäß AGB § 12 Abs. 2; die Entschlüsselung setzt das Passwort des Verantwortlichen oder den optionalen Notfall-Zweitschlüssel voraus.

(3) Nach Ablauf der Nachlauffrist werden sämtliche Datenbestände des Verantwortlichen einschließlich der Backups im Rahmen der Backup-Rotation gelöscht. Die Löschung der Sicherungskopien ist aufgrund der Aufbewahrungsdauer nach Ziffer 5.3 (7 Tage am Produktivstandort, 14 Tage am Offsite-Standort) spätestens 14 Tage nach der Löschung im Produktivsystem abgeschlossen. Dies entspricht AGB § 12 Abs. 2.

(4) Der Auftragsverarbeiter bestätigt dem Verantwortlichen auf Verlangen die Löschung in Textform.

12. Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und den AGB gehen die Regelungen dieses AVV hinsichtlich der Verarbeitung von Endkundendaten vor.

(2) Es gilt das Recht der Bundesrepublik Deutschland. Änderungen bedürfen der Textform.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle tritt die gesetzliche Regelung.

Anlage: TOM-Kurzübersicht (Stand 29.07.2026)

AVV — StatusQuo & BeratungsThemen · Stand: 29. Juli 2026 · Quelle: https://suite.finanzberater.software/avv