Auftragsverarbeitung

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO. Fassung 1.0, Stand 08.09.2026.

Vertragsparteien

Auftragsverarbeiter
LittVest GmbH
Hallesche Str. 5a
10963 Berlin
Deutschland

Verantwortlicher
Der Kunde nach Maßgabe des Nutzungsvertrags über ReportNow!.

Präambel Gegenstand dieses Vertrags

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO. Der Kunde (nachfolgend „Verantwortlicher“) nutzt die Anwendung ReportNow!; die LittVest GmbH (nachfolgend „Auftragsverarbeiter“) betreibt sie und verarbeitet dabei Daten ausschließlich für ihn.

Er ergänzt den zugrunde liegenden Nutzungsvertrag. Bei Widersprüchen in datenschutzrechtlichen Fragen geht dieser Vertrag vor.

Nicht Gegenstand dieses Vertrags sind Verarbeitungen, die der Auftragsverarbeiter zu eigenen Zwecken vornimmt – etwa die Buchung eines Demo-Termins, der Fragebogen dazu und die Registrierung eines Testzugangs. Dafür ist die LittVest GmbH selbst Verantwortliche; Näheres steht in der Datenschutzerklärung.

§ 1 Gegenstand, Dauer und Beendigung

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche in die Anwendung einbringt oder dort erzeugen lässt, zum Zweck der Bereitstellung des Finanzreportings nach Anlage 1.

Die Laufzeit entspricht der Laufzeit des Nutzungsvertrags. Der Vertrag endet mit diesem, ohne dass es einer gesonderten Kündigung bedarf.

Der Verantwortliche kann diesen Vertrag jederzeit kündigen, wenn der Auftragsverarbeiter gegen datenschutzrechtliche Pflichten verstößt und den Verstoß nicht innerhalb einer angemessenen Frist abstellt.

§ 2 Art und Umfang der Verarbeitung

Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum statt. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und der Voraussetzungen der Art. 44 bis 49 DSGVO.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag und die Nutzung der Anwendung durch den Verantwortlichen sind die Weisung; darüber hinausgehende Weisungen erteilt der Verantwortliche in Textform.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Die Daten des Verantwortlichen werden insbesondere nicht zum Training von Modellen künstlicher Intelligenz verwendet.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Der Auftragsverarbeiter macht die eingesetzten Personen vor Aufnahme der Tätigkeit mit den für sie geltenden Datenschutzvorschriften vertraut.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO. Der Stand bei Vertragsschluss ist in Anlage 2 beschrieben.

Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter nach Art. 28 Abs. 2 Satz 2 DSGVO. Die bei Vertragsschluss eingesetzten sind in Anlage 3 aufgeführt und damit genehmigt.

Beabsichtigte Änderungen – Hinzuziehung oder Austausch – teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, darf er den Nutzungsvertrag zum geplanten Wirksamwerden der Änderung kündigen, wenn sich keine andere Lösung findet.

Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus und legt ihnen vertraglich dieselben Pflichten auf, die ihn nach diesem Vertrag treffen. Er bleibt dem Verantwortlichen gegenüber für deren Verhalten verantwortlich.

Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Bezug zur Verarbeitung personenbezogener Daten des Verantwortlichen, etwa Telekommunikations- oder Reinigungsleistungen.

§ 7 Künstliche Intelligenz

Die Anwendung kann Berichte durch ein Sprachmodell kommentieren lassen. Diese Funktion ist im Auslieferungszustand abgeschaltet und wird erst wirksam, wenn der Verantwortliche sie in den Einstellungen ausdrücklich freigibt.

Vor der Freigabe kann der Verantwortliche den vollständigen Text einsehen, der an das Modell übergeben würde. Er entscheidet dabei über die Tiefe: ohne Belege werden nur Positionsbezeichnungen und Beträge übergeben, mit Belegen zusätzlich Buchungstexte, Belegnummern und Daten.

Wird ein externer Modellanbieter eingesetzt, gilt er als Unterauftragsverarbeiter und wird vor der Freigabe in Anlage 3 benannt. Solange kein Anbieter benannt ist, findet keine Übermittlung an ein Sprachmodell statt.

§ 8 Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen nachzukommen – Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst.

§ 9 Weitere Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation.

Er stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

§ 10 Verletzung des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform.

Die Meldung beschreibt die Art der Verletzung, soweit möglich die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Sind nicht alle Angaben sofort verfügbar, werden sie unverzüglich nachgereicht.

Meldungen an die Aufsichtsbehörde oder an betroffene Personen nimmt der Verantwortliche vor. Der Auftragsverarbeiter meldet nicht eigenständig, es sei denn, er ist dazu gesetzlich verpflichtet.

§ 11 Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung der Maßnahmen nach Anlage 2 auf Anfrage nach, in der Regel durch aktuelle Selbstauskünfte, Testate oder Zertifikate – auch solche seiner Unterauftragsverarbeiter.

Reicht das nicht aus, kann der Verantwortliche nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten Überprüfungen vornehmen oder durch einen zur Verschwiegenheit verpflichteten Prüfer vornehmen lassen. Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein.

Der Auftragsverarbeiter kann für den Aufwand einer Vor-Ort-Prüfung eine angemessene Vergütung verlangen, sofern die Prüfung nicht durch einen konkreten Anlass in seiner Sphäre veranlasst ist.

§ 12 Löschung und Rückgabe

Nach Beendigung des Vertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen oder gibt sie nach dessen Wahl zurück. Der Verantwortliche teilt seine Wahl vor Vertragsende mit; ohne Mitteilung wird gelöscht.

Der Verantwortliche kann seine Daten jederzeit selbst exportieren. Ein Export nach Vertragsende wird auf Anfrage innerhalb von 30 Tagen bereitgestellt; danach erfolgt die Löschung.

Die Löschung umfasst auch Sicherungskopien, sobald diese im normalen Zyklus überschrieben werden, längstens jedoch innerhalb von 90 Tagen nach Vertragsende. Gesetzliche Aufbewahrungspflichten bleiben unberührt; für diese Dauer wird die Verarbeitung eingeschränkt.

Die Löschung wird auf Anfrage in Textform bestätigt.

§ 13 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich. Er prüft insbesondere, ob für die von ihm eingebrachten Daten eine Rechtsgrundlage besteht.

Er benennt dem Auftragsverarbeiter eine Ansprechperson für Datenschutzfragen und teilt Änderungen mit.

Er bringt keine personenbezogenen Daten ein, die für den Zweck des Reportings nicht erforderlich sind.

§ 14 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Nutzungsvertrags.

Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Anlage 1 Gegenstand, Art und Zweck der Verarbeitung

Zweck: Bereitstellung eines Finanzreportings aus den Buchhaltungs- und Vorsystemdaten des Verantwortlichen – Auswertung, Planung, Abweichungsanalyse und die daraus erzeugten Berichte.

Art der Verarbeitung: Erheben aus hochgeladenen Dateien, Speichern, Ordnen, Auswerten, Berechnen, Anzeigen, Exportieren und Löschen.

Arten personenbezogener Daten:

• Beschäftigtendaten: Personalnummer, Name, Tätigkeit, Ein- und Austrittsdatum, Kostenstelle, Vorgesetzte, Wochenarbeitszeit, Projektzuordnung
• Entgeltdaten: Bruttobezüge, Arbeitgeberanteile, Umlagen, Einmal- und Sonderzahlungen je Person und Monat
• Abwesenheiten: Urlaub sowie krankheitsbedingte Fehlzeiten – Letztere sind Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO
• Stamm- und Kontaktdaten von Kunden, Lieferanten und sonstigen Geschäftspartnern, soweit es sich um natürliche Personen oder um Ansprechpersonen handelt
• Buchungs- und Belegdaten: Buchungstexte, Belegnummern, Beträge, Verwendungszwecke und Gegenparteien aus Kontoauszügen, Rechnungsdaten aus Ausgangsrechnungen und E-Rechnungen
• Vertragsdaten aus Darlehensverträgen, soweit natürliche Personen beteiligt sind
• Zugangsdaten der Nutzer des Verantwortlichen: Name, E-Mail-Adresse, Rolle sowie das Passwort als kryptographische Prüfsumme

Kategorien betroffener Personen:

• Beschäftigte des Verantwortlichen und seiner Gesellschaften
• Kunden und deren Ansprechpersonen
• Lieferanten, Dienstleister und sonstige Gegenparteien
• Nutzerinnen und Nutzer der Anwendung beim Verantwortlichen

Besondere Kategorien: Krankheitsbedingte Abwesenheiten sind Gesundheitsdaten. Der Verantwortliche entscheidet, ob er sie einbringt; die Anwendung funktioniert auch ohne sie. Werden sie eingebracht, gelten die Maßnahmen der Anlage 2 unverändert; eine gesonderte Zweckbindung besteht nicht, da sie ausschließlich in die Kennzahlen des Personalberichts und in die Stundennachweise eingehen.

Dauer: für die Laufzeit des Nutzungsvertrags, danach nach § 12.

Anlage 2 Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Vertraulichkeit:

• Zutrittskontrolle: Der Betrieb erfolgt in einem Rechenzentrum des Unterauftragsverarbeiters nach Anlage 3. Zutritt haben dort nur berechtigte Personen; der Auftragsverarbeiter selbst unterhält keine eigenen Serverräume.
• Zugangskontrolle: Der Zugang zum Server erfolgt ausschließlich über SSH mit kryptographischem Schlüssel; die Anmeldung mit Passwort ist abgeschaltet. Eine Paketfilterung gibt nur die benötigten Dienste frei.
• Zugriffskontrolle: Die Anwendung verlangt eine persönliche Anmeldung; Rechte werden je Nutzer vergeben. Passwörter werden ausschließlich als scrypt-Prüfsumme gespeichert und sind auch für den Auftragsverarbeiter nicht einsehbar.
• Trennungskontrolle: Die Daten jedes Verantwortlichen liegen in einer eigenen Datenbankdatei. Die Trennung liegt damit im Dateisystem und nicht in einer Spalte; ein Zugriff über die Mandantengrenze hinweg ist technisch ausgeschlossen.

Integrität:

• Übertragung: Der Zugriff erfolgt ausschließlich verschlüsselt über TLS; unverschlüsselte Aufrufe werden umgeleitet, HSTS ist gesetzt. Der Mailversand erfolgt über STARTTLS.
• Eingabekontrolle: Jeder Datenimport wird mit Zeitpunkt, Datei und Zielgesellschaft protokolliert und lässt sich einzeln zurücknehmen. Berichtete Zeiträume werden geschlossen; spätere Nachbuchungen sind als solche erkennbar.
• Nachvollziehbarkeit: Auswertungen weisen ihre Grundlage aus – etwa eliminierte Innenumsätze, ausgenommene Konten und offene Zuordnungen. Stille Korrekturen an Zahlen finden nicht statt.

Verfügbarkeit und Belastbarkeit:

• Datensicherung: Die Datenbestände werden täglich gesichert; die Sicherungen liegen verschlüsselt und getrennt vom Produktivsystem innerhalb der Europäischen Union. Die Wiederherstellung wird regelmäßig erprobt.
• Wiederherstellbarkeit: Schemaänderungen laufen über versionierte Migrationen; ein Bestand mit abweichendem Stand wird abgewiesen, statt still umgebaut zu werden.
• Belastbarkeit: Getrennte Datenbestände je Verantwortlichem begrenzen die Wirkung einer Störung auf einen Mandanten.

Verfahren zur Überprüfung und Bewertung:

• Auftragskontrolle: Unterauftragsverarbeiter werden nach Anlage 3 geführt; Änderungen zeigt der Auftragsverarbeiter vorher an.
• Datenschutzfreundliche Voreinstellungen: Die Auswertung durch ein Sprachmodell ist im Auslieferungszustand abgeschaltet und wird erst durch ausdrückliche Freigabe wirksam.
• Datenminimierung: Die Anwendung erhebt keine Daten selbst; sie verarbeitet, was der Verantwortliche einbringt. Externe Ressourcen, Analyse- oder Werbedienste werden nicht eingebunden.
• Überprüfung: Die Maßnahmen werden mindestens jährlich sowie anlassbezogen überprüft und bei Bedarf angepasst.

Anlage 3 Unterauftragsverarbeiter

Bei Vertragsschluss sind folgende Unterauftragsverarbeiter im Einsatz und vom Verantwortlichen genehmigt:

Kein Unterauftragsverarbeiter dieses Vertrags, aber der Vollständigkeit halber genannt: Für die Terminvereinbarung auf der Produktseite nutzt die LittVest GmbH Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Dabei werden keine Daten des Verantwortlichen aus der Anwendung verarbeitet; die LittVest GmbH ist dafür selbst Verantwortliche. Näheres steht in der Datenschutzerklärung.

Anbieter von Sprachmodellen: derzeit keiner. Solange hier kein Anbieter benannt ist, findet keine Übermittlung an ein Sprachmodell statt – unabhängig davon, ob die Funktion in den Einstellungen freigegeben ist. Ein Anbieter wird nach § 6 vorher angezeigt und in diese Anlage aufgenommen.

Verwandte Seiten

Datenschutzerklärung – wofür die LittVest GmbH selbst Verantwortliche ist. Impressum – Anbieterangaben zu reportnow.de.