Vertrag zur Auftragsverarbeitung.

Gegenstand ist die Verarbeitung personenbezogener Daten durch Weesh (Auftragsverarbeiter) für den Kunden (Verantwortlicher) im Rahmen der Bereitstellung der Plattform zur Erstellung, Validierung, Übermittlung, Prüfung, Freigabe und Archivierung elektronischer Rechnungen und angrenzender Geschäftsdokumente.

Die Laufzeit entspricht der Laufzeit des Nutzungsvertrags.

Weesh verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Weisungen erfolgen durch Nutzung der Plattformfunktionen sowie in Textform an datenschutz@weesh.org.

Ist Weesh der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, wird Weesh den Kunden unverzüglich informieren und darf die Ausführung bis zur Bestätigung aussetzen.

Weesh setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den relevanten Datenschutzbestimmungen vertraut gemacht wurden. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Weesh trifft insbesondere folgende Maßnahmen nach Art. 32 DSGVO:

• Zutritts- und Zugangskontrolle: Rechenzentren mit Zutrittskontrolle, individuelle Benutzerkonten, Mehr-Faktor-Authentifizierung für administrative Zugänge
• Zugriffskontrolle: rollenbasierte Berechtigungen, Mandantentrennung auf Datenbankebene, Least-Privilege-Prinzip
• Weitergabekontrolle: Transportverschlüsselung (TLS 1.2+), Verschlüsselung im Ruhezustand, getrennte Ablage von Integrationszugangsdaten
• Eingabekontrolle: revisionssichere Protokollierung aller relevanten Änderungen und Zustellvorgänge
• Verfügbarkeitskontrolle: regelmäßige Sicherungen, Wiederherstellungstests, Redundanz der Infrastruktur
• Trennungskontrolle: strikte logische Trennung der Daten je Organisation
• Überprüfung: regelmäßige Reviews von Berechtigungen, Abhängigkeiten und Sicherheitsereignissen

Der Kunde stimmt dem Einsatz von Unterauftragsverarbeitern allgemein zu. Weesh verpflichtet diese vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

• Hosting- und Datenbankinfrastruktur (EU)
• E-Mail-Zustelldienst für Transaktionsnachrichten
• Zahlungsdienstleister für kostenpflichtige Tarife
• Zugangspunkte des E-Rechnungsnetzwerks

Änderungen werden mindestens 30 Tage vorab mitgeteilt. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen.

Weesh unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten sowie bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde. Anfragen betroffener Personen, die bei Weesh eingehen, werden unverzüglich an den Kunden weitergeleitet.

Weesh informiert den Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten und stellt die zur Meldung nach Art. 33, 34 DSGVO erforderlichen Informationen bereit.

Weesh weist die Einhaltung der Pflichten auf Anfrage durch geeignete Dokumentation nach. Vor-Ort-Prüfungen sind nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich; sie können durch unabhängige Prüfberichte ersetzt werden.

Nach Beendigung des Vertrages stellt Weesh die Daten für 30 Tage zum Export bereit und löscht sie anschließend einschließlich vorhandener Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Über bestehende Aufbewahrungspflichten informiert Weesh den Kunden.

Eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt nur bei Vorliegen eines Angemessenheitsbeschlusses oder auf Grundlage der EU-Standardvertragsklauseln nebst ergänzender Schutzmaßnahmen.

Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrages in Bezug auf die Verarbeitung personenbezogener Daten vor. Ergänzend gilt die Datenschutzerklärung.