Auftragsverarbeitungsvertrag

Stand und Version: 25. Juli 2026

1. Vertragsparteien

1.1 Auftragnehmer

Thomas Nossol, handelnd unter TNSystem Springbornstr.156 12487 Berlin Deutschland

E-Mail: info@tnsystem-online.de Telefon: +49 30 12053054

1.2 Auftraggeber

Auftraggeber ist das im Kundenkonto von TNSystem Faktura registrierte Unternehmen beziehungsweise die dort registrierte selbstständige oder juristische Person. Maßgeblich sind die im Kundenkonto und Hauptvertrag hinterlegten Angaben, insbesondere Firma oder Name, Rechtsform, Anschrift, vertretungsberechtigte Person, geschäftliche E-Mail-Adresse, Kundennummer sowie Zeitpunkt des Vertragsschlusses.

Der Auftraggeber hält diese Angaben richtig, vollständig und aktuell. Auftraggeber und Auftragnehmer werden gemeinsam als „Parteien“ bezeichnet.

2. Gegenstand, Zweck, Art und Dauer der Verarbeitung

  1. Der Auftragnehmer stellt dem Auftraggeber TNSystem Faktura als browserbasierte Faktura-Plattform bereit und verarbeitet personenbezogene Daten ausschließlich, soweit dies für die vereinbarten Funktionen erforderlich ist.
  2. Gegenstand und Zweck sind insbesondere Kunden- und Artikeldatenverwaltung, Erstellung und Versand von Angeboten und Rechnungen, Serienrechnungen, Zahlungszuordnung, Mahnwesen, Dokumentvorlagen, Exporte, Benutzer- und Rechteverwaltung sowie Support.
  3. Die Verarbeitung umfasst insbesondere Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln im Auftrag, Bereitstellen, Abgleichen, Einschränken und Löschen.
  4. Die Verarbeitung beginnt mit der produktiven Nutzung nach wirksamer Annahme dieser Vereinbarung und dauert für die Laufzeit des Hauptvertrags. Gesetzliche Aufbewahrungspflichten und die vereinbarte Rückgabe- und Löschregelung bleiben unberührt.

3. Elektronischer Abschluss und Vertragsnachweis

  1. Diese Vereinbarung wird elektronisch abgeschlossen. Der Abschluss erfolgt, indem eine für den Auftraggeber handelnde Person die Vereinbarung im Registrierungs-, Bestell- oder Kundenkontoprozess aufrufen und speichern kann, ihre Einbeziehung ausdrücklich bestätigt und den Vorgang abschließt.
  2. Der Auftragnehmer dokumentiert mindestens Kundennummer, gespeicherte Identität des Auftraggebers, geschäftliche E-Mail-Adresse des bestätigenden Benutzers, Datum und Uhrzeit, AVV-Version sowie die zugrunde liegenden Fassungen der Anlagen.
  3. Der Auftraggeber erhält die Möglichkeit, die abgeschlossene Vereinbarung einschließlich ihrer Anlagen dauerhaft abzurufen oder zu speichern.
  4. Die Bestätigung durch einen administrativen Benutzer gilt als Erklärung des Auftraggebers, sofern dieser Benutzer vom Auftraggeber eingerichtet oder zur Registrierung eingesetzt und nach dessen Organisationsregeln zum Abschluss berechtigt wurde.
  5. Der Auftraggeber ist dafür verantwortlich, dass nur berechtigte Personen die Vereinbarung bestätigen. Die produktive Verarbeitung personenbezogener Daten darf erst nach wirksamem Abschluss beginnen.

4. Kategorien betroffener Personen

Die Verarbeitung kann insbesondere Daten folgender Personenkategorien betreffen:

  1. gegenwärtige und zukünftige Kunden des Auftraggebers,
  2. Rechnungs- und Angebotsempfänger,
  3. Ansprechpartner bei Geschäftskunden,
  4. Beschäftigte, Vertreter und Beauftragte von Rechnungsempfängern,
  5. Zahlungspflichtige und Schuldner,
  6. Benutzer und Beschäftigte des Auftraggebers,
  7. Steuerberater und andere berechtigte externe Benutzer,
  8. weitere Personen, deren Daten der Auftraggeber im Rahmen der vereinbarten Faktura- und Mahnprozesse rechtmäßig verarbeitet.

Die konkrete Zuordnung erfolgt durch Eingabe, Import, Dokumenterstellung, Versand oder eine sonstige Weisung des Auftraggebers. Der Auftraggeber entscheidet eigenverantwortlich, welche Personen und Daten innerhalb dieser Kategorien verarbeitet werden.

5. Arten personenbezogener Daten

Die Verarbeitung kann insbesondere umfassen:

  1. Namen und Unternehmensbezeichnungen,
  2. Geschäfts-, Kontakt- und Lieferanschriften,
  3. geschäftliche oder private E-Mail-Adressen,
  4. Telefonnummern und Ansprechpartnerdaten,
  5. Kunden-, Angebots- und Rechnungsnummern,
  6. Vertrags- und Leistungsinformationen,
  7. Rechnungspositionen, Preise und Steuerangaben,
  8. Zahlungsbedingungen und Fälligkeiten,
  9. Forderungs-, Zahlungs- und Mahnstatus,
  10. Inhalte von Zahlungserinnerungen und Mahnungen,
  11. Bank- und Zahlungsinformationen,
  12. Benutzer-, Rollen- und Berechtigungsdaten,
  13. Versand-, Zugriffs-, Sicherheits- und Bestätigungsprotokolle,
  14. Support- und Kommunikationsdaten.

TNSystem Faktura ist nicht für die planmäßige Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO vorgesehen. Der Auftraggeber darf nur Daten einstellen, die für seine rechtmäßigen Faktura- und Mahnprozesse erforderlich sind.

6. Weisungen und Datenschutzkontakte

  1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich einer Übermittlung in ein Drittland, sofern keine gesetzliche Verpflichtung besteht. In diesem Fall informiert der Auftragnehmer den Auftraggeber vor der Verarbeitung, soweit das Gesetz dies zulässt.
  2. Als erste weisungsberechtigte Kontaktperson gilt der im Kundenkonto eingetragene administrative Hauptbenutzer. Weitere weisungsberechtigte Personen und Datenschutzkontakte können im Kundenkonto hinterlegt werden.
  3. Weisungen können über die Funktionen des Kundenkontos, das Ticketsystem oder eine Nachricht von einer verifizierten geschäftlichen E-Mail-Adresse erteilt werden. Der Auftragnehmer darf einen geeigneten Nachweis der Identität und Weisungsberechtigung verlangen.
  4. Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.
  5. Datenschutz- und Weisungskontakt des Auftragnehmers ist Thomas Nossol, info@tnsystem-online.de, Telefon +49 30 12053054.

7. Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich insbesondere:

  1. Personen, die personenbezogene Daten verarbeiten dürfen, auf Vertraulichkeit zu verpflichten oder einer angemessenen gesetzlichen Verschwiegenheitspflicht zu unterwerfen;
  2. geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu treffen und fortlaufend risikoorientiert zu überprüfen;
  3. dem Auftraggeber unter Berücksichtigung der Art der Verarbeitung durch geeignete Maßnahmen bei der Erfüllung von Betroffenenrechten zu helfen;
  4. den Auftraggeber bei Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen, insbesondere bei Sicherheit, Meldung von Datenschutzverletzungen, Benachrichtigung Betroffener, Datenschutz-Folgenabschätzungen und vorheriger Konsultation;
  5. Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden zu melden und die verfügbaren Informationen zu Art, Umfang, Folgen und Abhilfemaßnahmen bereitzustellen;
  6. dem Auftraggeber die zum Nachweis der Einhaltung von Art. 28 DSGVO notwendigen Informationen bereitzustellen und Kontrollen nach Abschnitt 12 zu ermöglichen;
  7. personenbezogene Daten nicht für eigene Zwecke, Werbung, Profilbildung oder Datenhandel zu verwenden.

8. Pflichten des Auftraggebers

  1. Der Auftraggeber bleibt Verantwortlicher im Sinne der DSGVO und ist insbesondere für Rechtmäßigkeit, Transparenz, Datenrichtigkeit, Rechtsgrundlagen, Informationspflichten und die Wahrung der Betroffenenrechte verantwortlich.
  2. Er richtet Rollen und Zugänge nach dem Erforderlichkeitsprinzip ein, schützt Zugangsdaten und informiert den Auftragnehmer unverzüglich über erkennbare Sicherheitsvorfälle oder rechtswidrige Nutzungen.
  3. Er erteilt keine Weisung, die gegen Datenschutzrecht verstößt, und stellt keine nicht erforderlichen oder für den Dienst nicht vorgesehenen Daten ein.

9. Technische und organisatorische Maßnahmen

Der Auftragnehmer setzt insbesondere folgende Maßnahmen ein und entwickelt sie dem Risiko entsprechend fort:

  1. verschlüsselte Übertragung der Webanwendung über HTTPS/TLS,
  2. passwortgeschützte Benutzerkonten, sichere Passwort-Hashverfahren und optional wählbare zusätzliche Anmeldebestätigung,
  3. rollen- und mandantenbezogene Zugriffskontrollen sowie Trennung administrativer und kundenspezifischer Bereiche,
  4. Schutz gegen sitzungsbezogene Angriffe, CSRF, unzulässige Eingaben und wiederholte Anmeldeversuche,
  5. nachvollziehbare Sicherheits-, Versand-, Änderungs- und Administrationsprotokolle,
  6. restriktive Datei- und Datenbankberechtigungen sowie Firewall- und Netzwerksegmentierung,
  7. regelmäßige Datensicherungen, Wiederherstellungsverfahren und gegen Stromausfall geschützte Kernsysteme,
  8. Verfahren für Aktualisierung, Schwachstellenbehebung, Fehlerprotokollierung und kontrollierte Änderungen,
  9. Datenminimierung, getrennte Kundenbereiche und begrenzte Supportzugriffe,
  10. Lösch-, Sperr- und Exportverfahren nach Vertragsende oder dokumentierter Weisung.

Der Auftragnehmer darf gleichwertige oder bessere Maßnahmen einsetzen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

10. Unterauftragnehmer

  1. Der Auftraggeber erteilt eine allgemeine Genehmigung für Unterauftragnehmer, die zur Bereitstellung einzelner technischer Leistungen erforderlich sind.
  2. Aktuell wird IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland, für Domain-, DNS- und E-Mail-Dienste eingesetzt. Beim Versand können Empfängeradresse, Betreff, Nachrichteninhalt und technische Versanddaten verarbeitet werden.
  3. Das Produktivsystem selbst wird von TNSystem auf eigener Infrastruktur in Deutschland betrieben. Eine planmäßige Übermittlung von Kundendaten in Drittländer ist nicht vorgesehen.
  4. Neue oder ersetzte Unterauftragnehmer werden dem Auftraggeber vorab über das Portal oder per E-Mail angekündigt. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Die Parteien bemühen sich um eine zumutbare Lösung; ist diese nicht möglich, kann der betroffene Dienst nach Maßgabe des Hauptvertrags beendet werden.
  5. Der Auftragnehmer verpflichtet Unterauftragnehmer vertraglich zu mindestens gleichwertigen Datenschutzpflichten und bleibt gegenüber dem Auftraggeber für deren Pflichterfüllung verantwortlich.

11. Betroffenenrechte und Behördenanfragen

  1. Anfragen betroffener Personen, die erkennbar den Verantwortungsbereich des Auftraggebers betreffen, leitet der Auftragnehmer unverzüglich an den Auftraggeber weiter und beantwortet sie ohne dessen Weisung nicht, soweit keine gesetzliche Pflicht besteht.
  2. Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.
  3. Verbindliche Anfragen einer Aufsichts- oder Ermittlungsbehörde teilt der Auftragnehmer dem Auftraggeber unverzüglich mit, soweit dies rechtlich zulässig ist.

12. Nachweise und Kontrollen

  1. Der Auftragnehmer stellt auf Anfrage geeignete Nachweise zur Verfügung, insbesondere Beschreibungen der technischen und organisatorischen Maßnahmen, relevante Prüfprotokolle und Auskünfte zu Unterauftragnehmern.
  2. Der Auftraggeber darf nach angemessener Vorankündigung höchstens einmal jährlich sowie zusätzlich bei einem konkreten Datenschutzvorfall eine Kontrolle selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen.
  3. Kontrollen müssen den Geschäftsbetrieb, Sicherheitsinteressen und Rechte anderer Kunden berücksichtigen. Vor-Ort-Prüfungen sind auf erforderliche Fälle und übliche Geschäftszeiten beschränkt. Angemessener Zusatzaufwand kann nach vorheriger Abstimmung berechnet werden, soweit die Kontrolle keinen vom Auftragnehmer zu vertretenden Verstoß ergibt.

13. Rückgabe und Löschung

  1. Während der Vertragslaufzeit kann der Auftraggeber die im Portal vorgesehenen Export- und Löschfunktionen nutzen.
  2. Nach Ende des Hauptvertrags löscht oder gibt der Auftragnehmer nach Wahl des Auftraggebers alle im Auftrag verarbeiteten personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
  3. Für eine geordnete Wiederherstellung können Daten nach Vertragsende für höchstens 90 Tage gesperrt in Sicherungen oder einem Wiederherstellungsbestand verbleiben. Sie werden in dieser Zeit nicht produktiv genutzt und nach Ablauf des Zeitraums gelöscht beziehungsweise im Rahmen des Sicherungszyklus überschrieben.
  4. Gesetzlich aufzubewahrende Nachweise, insbesondere Vertrags-, Sicherheits- und Annahmeprotokolle, werden gesperrt und nur für den gesetzlichen Zweck verarbeitet.

14. Vorrang der kundenbezogenen Vertragsdaten

  1. Die im Kundenkonto und Hauptvertrag dokumentierten Angaben des Auftraggebers sind Bestandteil dieser Vereinbarung.
  2. Änderungen von Firma, Rechtsform, Anschrift, Ansprechpartnern oder sonstigen Stammdaten sind unverzüglich im Kundenkonto zu aktualisieren und erfordern grundsätzlich keinen Neuabschluss.
  3. Bei einem Wechsel des Rechtsträgers muss der Hauptvertrag einschließlich dieser Vereinbarung wirksam übertragen oder neu abgeschlossen werden.

15. Haftung, Schlussbestimmungen und Abschlussvermerk

  1. Die Haftung richtet sich nach Art. 82 DSGVO, den gesetzlichen Bestimmungen und ergänzend dem Hauptvertrag.
  2. Im Konfliktfall gehen zwingende datenschutzrechtliche Vorschriften und diese Vereinbarung hinsichtlich der Auftragsverarbeitung dem Hauptvertrag vor.
  3. Änderungen und Ergänzungen bedürfen der dokumentierten Textform; die elektronische Bestätigung im Portal genügt.
  4. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Regelungen unberührt.
  5. Der individuelle Vertragsnachweis besteht aus Auftraggeber laut Kundenkonto, Kundennummer, bestätigendem administrativem Benutzer, Datum und Uhrzeit, AVV-Version sowie den zum Abschlusszeitpunkt geltenden Anlagen und Unterauftragnehmerangaben. Ein gesondertes Unterschriftenfeld ist bei diesem elektronischen Abschluss nicht erforderlich.

Zur Registrierung