Auftragsverarbeitungsvertrag betterFLOW

01Vertragsparteien, Gegenstand

1. Dieser Vertrag wird geschlossen zwischen dem Kunden, der betterFLOW nutzt (nachfolgend „Verantwortlicher“), und der bettERProjects GmbH, Brüsseler Ring 14, 76344 Eggenstein-Leopoldshafen, vertreten durch den Geschäftsführer Jürgen Hauck, eingetragen im Handelsregister des Amtsgerichts Mannheim unter HRB 701774 (nachfolgend „Auftragsverarbeiter“).
2. Er konkretisiert die Pflichten der Parteien aus Art. 28 DSGVO für alle personenbezogenen Daten, die der Auftragsverarbeiter im Rahmen der Bereitstellung, des Betriebs, der Wartung und des Supports von betterFLOW im Auftrag des Verantwortlichen verarbeitet.
3. Er gilt für sämtliche gebuchten Module von betterFLOW sowie für Einführungs-, Migrations-, Wartungs- und Supportleistungen, die im Zusammenhang mit diesen Modulen erbracht werden.
4. Er ergänzt den zugrunde liegenden Hauptvertrag (Softwareüberlassungs-, Abonnement- oder Dienstleistungsvertrag) einschließlich der Allgemeinen Geschäftsbedingungen. Bei Widersprüchen in datenschutzrechtlichen Fragen geht dieser Vertrag vor.
5. Er gilt ausschließlich gegenüber Unternehmern im Sinne des § 14 BGB, juristischen Personen des öffentlichen Rechts und öffentlich-rechtlichen Sondervermögen.

02Konkretisierung des Auftrags

1. Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Dauer der Verarbeitung ergeben sich abschließend aus Anlage 1.
2. Der Verantwortliche entscheidet allein über Zweck und Mittel der Verarbeitung. Er ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich (Art. 24 DSGVO).
3. Welche Daten der Verantwortliche in betterFLOW erfasst, importiert oder über Schnittstellen einspielt, bestimmt er selbst. Der Auftragsverarbeiter nimmt darauf keinen Einfluss und wertet die Inhalte nicht für eigene Zwecke aus.
4. Eine Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht Gegenstand dieses Vertrags, es sei denn, die Parteien vereinbaren dies gesondert in Textform und treffen die dafür erforderlichen zusätzlichen Maßnahmen.

03Weisungsrecht

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Das gilt auch für die Übermittlung in Drittländer.
2. Dieser Vertrag einschließlich seiner Anlagen sowie die im Hauptvertrag beschriebene Leistung stellen die Erstweisung dar. Die Nutzung der Funktionen von betterFLOW durch den Verantwortlichen und seine Beschäftigten gilt als Einzelweisung im Rahmen dieser Erstweisung.
3. Weitergehende Weisungen erteilt der Verantwortliche in Textform an datenschutz@betterprojects.de. Mündlich erteilte Weisungen bestätigt der Verantwortliche unverzüglich in Textform.
4. Weisungsberechtigt sind die im Unterschriftenteil benannten Personen. Änderungen teilt der Verantwortliche in Textform mit.
5. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit. Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.
6. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen und einen erheblichen Mehraufwand verursachen, kann der Auftragsverarbeiter nach vorheriger Ankündigung gesondert nach Aufwand abrechnen.
7. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Insbesondere werden Kundendaten nicht zum Training von KI-Modellen des Auftragsverarbeiters oder Dritter verwendet.

04Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und der Weisungen des Verantwortlichen.
2. Er richtet die interne Organisation so ein, dass sie den Anforderungen des Datenschutzrechts genügt, und trifft die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen.
3. Er führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt dem Verantwortlichen die ihn betreffenden Angaben auf Anforderung zur Verfügung.
4. Er unterstützt den Verantwortlichen bei der Erfüllung von dessen Pflichten nach den Art. 32 bis 36 DSGVO im erforderlichen Umfang.
5. Er benennt als Ansprechpartner für den Datenschutz: Jürgen Hauck, datenschutz@betterprojects.de. Die Bestellung eines Datenschutzbeauftragten nach Art. 37 DSGVO ist derzeit nicht erforderlich; der Auftragsverarbeiter teilt eine spätere Bestellung unverzüglich mit.
6. Er informiert den Verantwortlichen unverzüglich, wenn eine Aufsichtsbehörde beim Auftragsverarbeiter Maßnahmen ergreift, die Verarbeitungen im Auftrag des Verantwortlichen betreffen könnten.
7. Er erteilt Auskünfte an Dritte oder betroffene Personen nur nach vorheriger Zustimmung des Verantwortlichen und leitet entsprechende Anfragen unverzüglich weiter.
8. Er stellt sicher, dass die Verarbeitung von den übrigen Datenbeständen und von Daten anderer Kunden logisch getrennt erfolgt (Mandantentrennung).

05Vertraulichkeit

1. Der Auftragsverarbeiter setzt für die Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Bestimmungen des Datenschutzrechts vertraut gemacht wurden. Die Verpflichtung wird dokumentiert und besteht über das Ende des jeweiligen Beschäftigungs- oder Beauftragungsverhältnisses hinaus fort.
2. Er weist die Verpflichtung auf Anforderung des Verantwortlichen in geeigneter Weise nach.
3. Der Zugriff auf Daten des Verantwortlichen ist auf die Personen beschränkt, die ihn zur Erfüllung des Auftrags benötigen. Zugriffe im Rahmen von Support und Wartung werden protokolliert.

06Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die zur Sicherstellung eines dem Risiko angemessenen Schutzniveaus erforderlichen Maßnahmen nach Art. 32 DSGVO. Der Stand der Maßnahmen bei Vertragsschluss ergibt sich aus Anlage 3.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen auf Anforderung mit.
3. Der Verantwortliche hat sich vor Beginn der Verarbeitung von der Angemessenheit der Maßnahmen überzeugt. Er ist für die Konfiguration seines Mandanten verantwortlich, insbesondere für die Vergabe von Rollen und Berechtigungen, die Verwaltung der Benutzerkonten und den Umgang mit Zugangsdaten in seinem Verantwortungsbereich.

07Unterauftragsverarbeiter

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 Satz 2 DSGVO, weitere Auftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und genehmigt.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen nach Zugang aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen.
3. Widerspricht der Verantwortliche, suchen die Parteien zunächst eine einvernehmliche Lösung. Ist die Leistung ohne den beabsichtigten Unterauftragsverarbeiter nicht zu wirtschaftlich vertretbaren Bedingungen zu erbringen, kann jede Partei den betroffenen Leistungsteil mit einer Frist von einem Monat kündigen.
4. Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus und prüft vor der Beauftragung insbesondere deren technische und organisatorische Maßnahmen.
5. Er verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten aus diesem Vertrag entsprechen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter dem Verantwortlichen gegenüber wie für eigenes Verhalten.
6. Tritt an die Stelle eines in Anlage 2 genannten Anbieters dessen Rechtsnachfolger, gilt dies nicht als Wechsel des Unterauftragsverarbeiters im Sinne von Ziffer 7.2; der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich.
7. Keine Unterauftragsverarbeitung im Sinne dieser Ziffer sind Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, ohne dass diese bestimmungsgemäß auf personenbezogene Daten des Verantwortlichen zugreifen, etwa Telekommunikationsleistungen, Reinigung oder die Entsorgung von Datenträgern. Auch dort stellt der Auftragsverarbeiter den Schutz der Daten sicher.

08Rechte betroffener Personen

1. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.
2. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch nachzukommen.
3. Soweit betterFLOW dafür Funktionen bereitstellt — Export, Berichtigung, Löschung und Sperrung von Datensätzen —, nimmt der Verantwortliche diese selbst wahr. Ein darüber hinausgehender Aufwand des Auftragsverarbeiters wird nach Aufwand vergütet, sofern er nicht auf einem Umstand beruht, den der Auftragsverarbeiter zu vertreten hat.
4. Berichtigung, Löschung und Einschränkung von Daten nimmt der Auftragsverarbeiter nur auf Weisung des Verantwortlichen vor. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

09Datenschutzvorfälle, Unterstützung

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, in Textform an die vom Verantwortlichen benannte Adresse.
2. Die Meldung enthält, soweit bekannt: eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie einen Ansprechpartner. Fehlende Angaben reicht der Auftragsverarbeiter unverzüglich nach.
3. Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung nachteiliger Folgen und stimmt sie mit dem Verantwortlichen ab.
4. Er unterstützt den Verantwortlichen bei Meldungen an die Aufsichtsbehörde (Art. 33 DSGVO) und bei der Benachrichtigung betroffener Personen (Art. 34 DSGVO).
5. Er unterstützt den Verantwortlichen bei einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und bei einer vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO), soweit die dafür erforderlichen Informationen ausschließlich beim Auftragsverarbeiter vorliegen.

10Kontrollrechte und Nachweise

1. Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anforderung nach, insbesondere durch die Vorlage der aktuellen Fassung von Anlage 3, durch Selbstauskunft oder durch aussagekräftige Zertifikate und Prüfberichte — auch solche seiner Unterauftragsverarbeiter.
2. Der Verantwortliche kann sich darüber hinaus von der Einhaltung überzeugen, insbesondere durch Einholung von Auskünften und durch Überprüfungen vor Ort.
3. Überprüfungen vor Ort kündigt der Verantwortliche mit angemessener Frist, in der Regel zwei Wochen, an. Sie finden während der üblichen Geschäftszeiten statt, dürfen den Betriebsablauf nicht unangemessen beeinträchtigen und sind auf eine Prüfung pro Kalenderjahr begrenzt, sofern kein besonderer Anlass vorliegt.
4. Der Verantwortliche kann die Prüfung durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen. Ist der Dritte ein Wettbewerber des Auftragsverarbeiters, kann dieser ihn ablehnen.
5. Für den Aufwand einer Vor-Ort-Prüfung kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, sofern die Prüfung nicht durch einen von ihm zu vertretenden Umstand veranlasst ist.
6. Prüfungen bei Unterauftragsverarbeitern erfolgen über die von diesen bereitgestellten Nachweise und Zertifizierungen. Der Auftragsverarbeiter stellt sie dem Verantwortlichen auf Anforderung zur Verfügung.

11Löschung und Rückgabe

1. Der Auftragsverarbeiter verarbeitet die Daten nach Beendigung des Auftrags nicht weiter. Er löscht sie oder gibt sie zurück — die Wahl trifft der Verantwortliche.
2. Der Verantwortliche kann bis zu 30 Tage nach Vertragsende die Herausgabe seiner Daten in einem gängigen, maschinenlesbaren Format verlangen. Der Auftragsverarbeiter stellt den Export innerhalb von 30 Tagen nach Zugang der Anforderung bereit.
3. Nach Ablauf dieser Frist und spätestens 90 Tage nach Vertragsende löscht der Auftragsverarbeiter die Produktivdaten des Verantwortlichen datenschutzgerecht. Datensicherungen werden im Rahmen der regulären Löschzyklen, spätestens sechs Monate nach Vertragsende, überschrieben.
4. Daten, für die den Auftragsverarbeiter eine gesetzliche Aufbewahrungspflicht trifft, werden bis zum Ablauf der Frist aufbewahrt, für jede weitere Verarbeitung gesperrt und anschließend gelöscht.
5. Die Löschung dokumentiert der Auftragsverarbeiter und weist sie auf Anforderung in Textform nach.
6. Ein Zurückbehaltungsrecht an den Daten des Verantwortlichen besteht nicht.

12Verarbeitungsort, Drittländer

1. Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum statt. Speicher- und Verarbeitungsort der Anwendung und der Datenbank ist die Azure-Region Westeuropa (Niederlande).
2. Eine Verlegung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und ist nur zulässig, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln nebst ergänzenden Maßnahmen.
3. Greift ein Unterauftragsverarbeiter im Rahmen von Support oder Wartung ausnahmsweise aus einem Drittland auf Daten zu, gilt Ziffer 12.2 entsprechend. Der Auftragsverarbeiter dokumentiert solche Zugriffe.

13KI-Funktionen

1. Belegerkennung. Für die automatische Erkennung von Belegen und Dokumenten setzt der Auftragsverarbeiter die in Anlage 2 genannten Dienste ein. Die Verarbeitung erfolgt in der Europäischen Union. Die übermittelten Inhalte werden nicht zum Training der Modelle des Anbieters verwendet und nach der Verarbeitung gelöscht.
2. Die Belegerkennung ist nur aktiv, soweit der Verantwortliche die entsprechende Funktion bucht oder in seinem Mandanten aktiviert. Ohne Aktivierung findet keine Übermittlung an diese Dienste statt.
3. Eigene KI-Anbindung. betterFLOW erlaubt es dem Verantwortlichen, einen KI-Assistenten seiner Wahl über einen eigenen Zugang anzubinden. In diesem Fall besteht die Vertragsbeziehung zum Anbieter des Assistenten unmittelbar zwischen dem Verantwortlichen und diesem Anbieter.
4. Der Anbieter eines vom Verantwortlichen selbst angebundenen Assistenten ist kein Unterauftragsverarbeiter des Auftragsverarbeiters. Der Verantwortliche ist für die datenschutzrechtliche Zulässigkeit dieser Anbindung, für den Abschluss der erforderlichen Verträge mit dem Anbieter und für die Auswahl der übermittelten Daten selbst verantwortlich.
5. Der Auftragsverarbeiter weist im System auf diese Verantwortungsteilung hin und stellt die Anbindung so bereit, dass eine Übermittlung nur nach ausdrücklicher Aktivierung durch den Verantwortlichen erfolgt.

14Haftung

1. Für die Haftung der Parteien gilt Art. 82 DSGVO.
2. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags und der Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters, soweit sie zwingenden datenschutzrechtlichen Vorgaben nicht entgegenstehen.
3. Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Dritter frei, die darauf beruhen, dass die Verarbeitung ohne eine wirksame Rechtsgrundlage des Verantwortlichen erfolgte oder dass der Auftragsverarbeiter eine Weisung des Verantwortlichen ausgeführt hat, deren Rechtswidrigkeit für ihn nicht erkennbar war.

15Laufzeit und Kündigung

1. Dieser Vertrag beginnt mit seiner Unterzeichnung durch beide Parteien, spätestens mit dem Beginn der Verarbeitung, und läuft für die Dauer des Hauptvertrags.
2. Er endet automatisch mit dem Hauptvertrag; einer gesonderten Kündigung bedarf es nicht. Eine isolierte ordentliche Kündigung ist ausgeschlossen.
3. Der Verantwortliche kann den Vertrag jederzeit aus wichtigem Grund fristlos kündigen, insbesondere bei einem schwerwiegenden Verstoß des Auftragsverarbeiters gegen Vorschriften zum Schutz personenbezogener Daten oder gegen Bestimmungen dieses Vertrags, sowie bei der Weigerung, eine berechtigte Weisung auszuführen oder eine Kontrolle zu ermöglichen.
4. Die Pflichten aus den Ziffern 5 und 11 bestehen über das Ende dieses Vertrags hinaus fort.

16Schlussbestimmungen

1. Änderungen und Ergänzungen dieses Vertrags und seiner Anlagen bedürfen der Textform. Das gilt auch für die Aufhebung dieser Klausel.
2. Ändert sich die Rechtslage und werden Anpassungen dieses Vertrags erforderlich, wirken die Parteien an einer entsprechenden Änderung mit.
3. Der Auftragsverarbeiter kann Anlage 2 und Anlage 3 nach Maßgabe der Ziffern 6.2 und 7.2 fortschreiben. Die jeweils geltende Fassung ist auf dieser Seite veröffentlicht.
4. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.
5. Gerichtsstand für alle Streitigkeiten aus diesem Vertragsverhältnis ist der Sitz des Auftragsverarbeiters.
6. Sollte eine Bestimmung unwirksam sein oder werden oder eine Lücke offenbar werden, bleibt die Gültigkeit im Übrigen unberührt. Die Parteien verpflichten sich, eine Regelung zu treffen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

A1Anlage 1 — Gegenstand, Art und Zweck der Verarbeitung

Gegenstand

Bereitstellung, Betrieb, Wartung und Support der Unternehmenssoftware betterFLOW als mandantenfähige Webanwendung sowie damit verbundene Einführungs-, Migrations- und Supportleistungen.

Art der Verarbeitung

• Erheben, Erfassen, Organisieren und Ordnen von Daten, die der Verantwortliche eingibt oder importiert
• Speicherung in der Anwendungsdatenbank einschließlich Datensicherung
• Auslesen, Abfragen, Verwenden und Auswerten im Rahmen der Programmfunktionen
• Übermittlung an vom Verantwortlichen bestimmte Empfänger, insbesondere Belegversand und DATEV-Export
• Löschen, Sperren und Vernichten auf Weisung des Verantwortlichen
• Zugriff im Rahmen von Fehleranalyse, Wartung und Support

Zweck

Der Verantwortliche nutzt betterFLOW zur Abwicklung seiner eigenen Geschäftsprozesse. Je nach gebuchtem Modul sind das insbesondere:

• betterFiBu Finanzbuchhaltung, offene Posten, Mahnwesen, USt-Voranmeldung
• betterSALES Angebot, Auftrag, Lieferschein, Rechnung, Gutschrift
• betterXRM Kontakte, Chancen, Wiedervorlagen, Kampagnen, Service
• betterPM Projekte, Aufgaben, Zeiterfassung, Abrechnung
• betterGET Einkauf, Bestellung, Wareneingang, Lieferantendaten
• betterCRAFT Aufmaß, Nachtrag, Plantafel, Bautagebuch, Abnahme
• betterMOBILE mobile Erfassung von Zeit, Material und Belegen
• betterSMAPP kundeneigene Formular- und Prozess-Apps
• betterFRAME Benutzer-, Rollen- und Rechteverwaltung, Reporting

Kategorien betroffener Personen

• Beschäftigte des Verantwortlichen als Benutzer des Systems
• Ansprechpartner von Kunden und Interessenten des Verantwortlichen
• Ansprechpartner von Lieferanten und Dienstleistern des Verantwortlichen
• Beschäftigte des Verantwortlichen, soweit Zeiten, Aufgaben oder Projektbeteiligungen erfasst werden
• Ansprechpartner sonstiger Geschäftspartner, etwa Steuerberater und Banken
• Weitere Personen, deren Daten der Verantwortliche in Freitextfeldern, Dokumenten oder Belegen ablegt

Arten personenbezogener Daten

• Stammdaten: Name, Anrede, Funktion, Firmenzugehörigkeit, Kunden- und Lieferantennummer
• Kontaktdaten: Anschrift, Telefon, Mobilfunk, E-Mail-Adresse
• Vertrags- und Belegdaten: Angebote, Aufträge, Lieferscheine, Rechnungen, Gutschriften, Mahnungen, Zahlungsziele, offene Posten
• Zahlungsdaten: Bankverbindung, Kontoauszugspositionen, Zahlungseingänge und -ausgänge
• Buchhaltungsdaten: Buchungssätze, Kontenzuordnungen, Umsatzsteuerdaten
• Projekt- und Leistungsdaten: Aufgaben, Zuständigkeiten, erfasste Zeiten, Leistungsnachweise
• Benutzer- und Protokolldaten: Benutzerkonto, Rolle, Berechtigungen, Anmeldezeitpunkte, Änderungsprotokolle
• Kommunikations- und Dokumentdaten: Notizen, Wiedervorlagen, hochgeladene Belege, Fotos, Sprachnotizen und Unterschriften, soweit vom Verantwortlichen erfasst

Dauer

Die Verarbeitung dauert für die Laufzeit des Hauptvertrags. Die Löschung nach Vertragsende richtet sich nach Ziffer 11. Innerhalb der Laufzeit bestimmt der Verantwortliche die Aufbewahrungs- und Löschfristen für seine Daten selbst.

A2Anlage 2 — Genehmigte Unterauftragsverarbeiter

Stand: 7. September 2026. Sämtliche Verarbeitung findet in der Europäischen Union statt.

Betrieb der Anwendung und der Datenbank

• Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland Microsoft Azure · Region Westeuropa (Niederlande)

Leistung: Hosting der Anwendung, der Datenbank und der Datensicherung. Grundlage: Microsoft Products and Services Data Protection Addendum einschließlich Standardvertragsklauseln. Zertifizierungen des Anbieters: ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 1/2/3.

Belegerkennung (nur bei aktivierter Funktion)

• Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich Texterkennung und Extraktion aus Belegen · EU
• Klippa App B.V., Groningen, Niederlande Belegerkennung und Datenextraktion · EU

Leistung: automatische Erkennung und Extraktion von Beleginhalten. Die Übermittlung erfolgt nur, soweit der Verantwortliche die Funktion gebucht oder aktiviert hat. Die Inhalte werden nicht zum Training der Modelle verwendet. Tritt ein Rechtsnachfolger an die Stelle eines dieser Anbieter, gilt Ziffer 7.6.

Website und Kontaktformulare

• STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland Hosting betterprojects.de · Deutschland

Leistung: Hosting der Website des Auftragsverarbeiters einschließlich der Kontakt- und Anfrageformulare. Betrifft nicht die in betterFLOW gespeicherten Daten des Verantwortlichen.

Keine Unterauftragsverarbeiter

Vom Verantwortlichen selbst angebundene KI-Assistenten sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; es gilt Ziffer 13.4.

A3Anlage 3 — Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO, Stand 7. September 2026. Der Betrieb erfolgt in zertifizierten Rechenzentren von Microsoft Azure; die dort umgesetzten physischen und infrastrukturellen Maßnahmen sind Bestandteil dieser Anlage und werden über die Zertifizierungen des Anbieters nachgewiesen.

1 — Vertraulichkeit

Zutrittskontrolle. Die Rechenzentren des Hosting-Anbieters sind rund um die Uhr bewacht, mehrstufig zutrittsgesichert (Vereinzelungsanlagen, biometrische Verfahren, Videoüberwachung) und nach ISO/IEC 27001 zertifiziert. Die Geschäftsräume des Auftragsverarbeiters sind außerhalb der Arbeitszeiten verschlossen; Besucher werden empfangen und begleitet.

Zugangskontrolle. Zugang zu Systemen ausschließlich über persönliche Benutzerkonten mit Kennwortrichtlinie. Für administrative Zugänge und für den Zugang zur Verwaltungsebene der Cloud-Plattform ist Mehr-Faktor-Authentifizierung eingerichtet. Automatische Sperrung nach Inaktivität, Sperrung nach wiederholten Fehlversuchen. Kein direkter Zugriff auf Produktivsysteme aus offenen Netzen; administrative Zugriffe nur über gesicherte Verbindungen.

Zugriffskontrolle. Rollen- und rechtebasiertes Berechtigungskonzept in betterFLOW (Administration, Vertriebsleitung, Vertrieb, Projektleitung, Buchhaltung). Der Verantwortliche vergibt die Rollen in seinem Mandanten selbst. Auf Seiten des Auftragsverarbeiters gilt das Need-to-know-Prinzip; administrative Berechtigungen sind auf wenige benannte Personen beschränkt und werden regelmäßig überprüft. Zugriffe im Rahmen von Support und Wartung werden protokolliert.

Trennungskontrolle. Mandantenfähige Architektur mit logischer Trennung der Datenbestände je Mandant; jede Abfrage ist mandantengebunden. Trennung von Entwicklungs-, Test- und Produktivumgebung. In Test- und Entwicklungsumgebungen werden keine Produktivdaten des Verantwortlichen verwendet.

Pseudonymisierung und Verschlüsselung. Transportverschlüsselung aller Verbindungen über TLS nach aktuellem Stand. Verschlüsselung der Daten im Ruhezustand auf Ebene von Datenbank und Speicher. Kennwörter werden ausschließlich als Hash mit Salt gespeichert. Datensicherungen werden verschlüsselt abgelegt.

2 — Integrität

Weitergabekontrolle. Elektronische Übermittlung ausschließlich verschlüsselt. Datenexporte erfolgen nur durch berechtigte Benutzer des Verantwortlichen oder auf dessen Weisung. Ein physischer Transport von Datenträgern findet nicht statt. Datenträger werden vor der Entsorgung sicher gelöscht oder vernichtet.

Eingabekontrolle. Änderungen an Datensätzen sind über Protokolle nachvollziehbar; erfasst werden Zeitpunkt, Benutzer und Art der Änderung. Belege sind über Nummernkreise und Belegverweise durchgängig nachvollziehbar. Administrative Eingriffe werden protokolliert; Protokolle sind gegen nachträgliche Veränderung geschützt.

3 — Verfügbarkeit und Belastbarkeit

Verfügbarkeitskontrolle. Betrieb in einem zertifizierten Rechenzentrum mit redundanter Stromversorgung, Netzanbindung, Klimatisierung und Brandschutz. Automatisierte, mehrfach tägliche Datensicherung mit redundanter Ablage innerhalb der EU. Regelmäßige Wiederherstellungstests. Aktuelle Virenschutz- und Firewall-Systeme; zeitnahe Einspielung sicherheitsrelevanter Updates. Überwachung von Verfügbarkeit und Systemlast.

Rasche Wiederherstellbarkeit. Dokumentiertes Vorgehen zur Wiederherstellung nach einem Zwischenfall mit definierten Wiederanlaufzielen. Datensicherungen ermöglichen eine Wiederherstellung auf den Stand des jeweils letzten Sicherungspunkts.

4 — Verfahren zur regelmäßigen Überprüfung

Datenschutzmanagement. Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO. Benannter Ansprechpartner für den Datenschutz. Verpflichtung aller Beschäftigten auf Vertraulichkeit und regelmäßige Sensibilisierung. Regelmäßige Überprüfung der Maßnahmen dieser Anlage, mindestens jährlich und anlassbezogen.

Vorfallmanagement. Definierter Prozess zur Erkennung, Bewertung, Behebung und Dokumentation von Sicherheitsvorfällen einschließlich der Meldewege nach Ziffer 9.

Datenschutz durch Technikgestaltung und Voreinstellungen. Datensparsame Voreinstellungen, restriktive Standardrollen, Trennung der Mandanten ab Entwurf, Prüfung datenschutzrelevanter Auswirkungen bei neuen Funktionen.

Auftragskontrolle. Sorgfältige Auswahl und vertragliche Verpflichtung aller Unterauftragsverarbeiter, Prüfung ihrer Nachweise und Zertifizierungen, laufende Führung der Liste in Anlage 2.

A4So schließen Sie den Vertrag

1. PDF herunterladen. Der Vertragstext oben entspricht wörtlich dem PDF. Laden Sie es über den Button am Seitenanfang.
2. Ausfüllen. Tragen Sie auf dem Unterschriftenblatt Ihre Firmendaten, die weisungsberechtigten Personen und die Meldeadresse für Datenschutzvorfälle ein.
3. Unterzeichnen und senden. Unterzeichnet an datenschutz@betterprojects.de. Eine qualifizierte elektronische Signatur ist möglich, aber nicht erforderlich.
4. Gegenzeichnung. Sie erhalten das beidseitig unterzeichnete Exemplar in der Regel innerhalb von zwei Werktagen zurück.

Fragen zum Vertrag oder zu einzelnen Maßnahmen beantworten wir direkt: datenschutz@betterprojects.de oder 0800 17 11 1974.