Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

Version R2.4 – ausführliche Pre-Live-Fassung – Stand: 13. August 2026

R2.4-Langfassung: Aktualisiert auf den aktuellen Fact Canon einschließlich Multi-Device-Recovery, 30+90-Tage-Lifecycle, Legal Hold, 90-Tage-Backup-Rotation, Restore-Reconciliation, Anbieterwechsel-Export und aktueller Providergrenzen.

1. Gegenstand

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien bei der Nutzung von OPERIO, soweit der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet.

Sie ergänzt den jeweiligen Hauptvertrag über die Nutzung von OPERIO und wird Bestandteil des Hauptvertrags, wenn sie in der Bestellung, im angenommenen Angebot oder im elektronischen Bestellprozess ausdrücklich einbezogen wird. Die Einbeziehung kann elektronisch erfolgen. Dem Auftraggeber wird die einbezogene Fassung vor Vertragsschluss beziehungsweise vor Beginn der Auftragsverarbeitung so bereitgestellt, dass er sie speichern und reproduzieren kann.

KAN KAI WORKS dokumentiert für den jeweiligen Vertrag mindestens die einbezogene AVV-Version und den Zeitpunkt der Einbeziehung. Die technische Vertragsdokumentation kann zusätzlich einen unveränderlichen Snapshot- oder Hash-Nachweis der einbezogenen Fassung enthalten.

Im Fall eines Widerspruchs gehen die datenschutzrechtlichen Regelungen dieser Vereinbarung für die Auftragsverarbeitung vor.

2. Dauer

Die Auftragsverarbeitung beginnt mit der Bereitstellung von OPERIO beziehungsweise mit dem Beginn der Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers.

Sie endet grundsätzlich mit dem Ende des Hauptvertrags und der vertragsgemäßen Rückgabe beziehungsweise Löschung der im Auftrag verarbeiteten personenbezogenen Daten.

Gesetzliche Aufbewahrungspflichten bleiben unberührt.

3. Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich insoweit, wie dies für die Bereitstellung und den Betrieb der vom Auftraggeber gebuchten OPERIO-Funktionen erforderlich ist.

Je nach gebuchten Modulen können insbesondere folgende Verarbeitungsvorgänge erfolgen:

Erfassen,
Strukturieren,
Speichern,
Abrufen,
Anzeigen,
Ändern,
Übermitteln,
Zuordnen,
Protokollieren,
Sichern,
Wiederherstellen,
Archivieren im vertraglich vorgesehenen Umfang und
Löschen.

Die Zwecke ergeben sich aus den vom Auftraggeber genutzten OPERIO-Funktionen und können insbesondere umfassen:

Auftrags- und Vorgangsverwaltung,
Angebotsverwaltung,
Intervall- und Terminverwaltung,
Rechnungs- und Abrechnungsprozesse,
Arbeitszeiterfassung,
elektronische Rechnungsprozesse,
Wartungs- und Prüfprozesse,
Dokumentation,
Benutzer- und Berechtigungsverwaltung,
technische Sicherheit,
Support sowie
auf Wunsch des Auftraggebers unterstützende Verarbeitung durch ASSISTO.

4. Kategorien personenbezogener Daten

Je nach Nutzung können insbesondere folgende Datenkategorien verarbeitet werden:

Stammdaten

Namen,
Firmenzugehörigkeit,
Kundennummern,
interne Identifikatoren.

Kontaktdaten

Anschriften,
E-Mail-Adressen,
Telefonnummern und
sonstige geschäftliche Kommunikationsdaten.

Benutzer- und Berechtigungsdaten

Benutzerkennung,
Rollen,
Berechtigungen,
Gerätebindung,
Authentifizierungs- und Sicherheitsmetadaten.

Auftrags- und Vorgangsdaten

Auftragsinformationen,
Angebote,
Leistungsinformationen,
Termine,
Statusangaben,
Dokumentationen und
Notizen.

Abrechnungs- und Rechnungsdaten

Rechnungsanschriften,
Rechnungspositionen,
Beträge,
Zahlungsstatus,
steuerlich erforderliche Angaben.

Arbeits- und Organisationsdaten

Soweit entsprechende Module genutzt werden:

Arbeitszeiten,
Einsatzzeiten,
Zuordnungen,
betriebliche Rollen und
organisatorische Informationen.

Technische Daten

IP-Adressen,
Zeitstempel,
Logdaten,
HTTP- und Request-Metadaten,
Geräte- und Sitzungsinformationen,
Sicherheitsereignisse.

Vom Auftraggeber eingegebene weitere Daten

Der Auftraggeber kann innerhalb zulässiger Freitext-, Dokumentations- oder Dateifunktionen weitere personenbezogene Informationen verarbeiten.

Der Auftraggeber entscheidet über deren Inhalt und Rechtmäßigkeit.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand einer standardmäßig vorgesehenen Verarbeitung, sofern sie nicht aufgrund einer vom Auftraggeber verantworteten Nutzung in Freitexten oder Dokumenten eingebracht werden. Der Auftraggeber soll solche Daten nur verarbeiten, wenn dies für seinen zulässigen Anwendungsfall erforderlich und rechtmäßig ist. Eine gezielte Übermittlung besonderer Kategorien an externe KI-Dienste ist im Standardbetrieb nicht vorgesehen.

5. Kategorien betroffener Personen

Je nach Nutzung können insbesondere betroffen sein:

Beschäftigte des Auftraggebers,
Geschäftsführer und Unternehmensinhaber,
Kunden des Auftraggebers,
Interessenten,
Ansprechpartner,
Lieferanten,
Subunternehmer,
Dienstleister,
Projekt- und Geschäftspartner sowie
sonstige Personen, deren Daten rechtmäßig in den durch OPERIO unterstützten Geschäftsprozessen verarbeitet werden.

6. Verantwortlichkeit und Weisungen

Der Auftraggeber ist Verantwortlicher im Sinne der DSGVO.

Er ist insbesondere verantwortlich für:

die Rechtmäßigkeit der Verarbeitung,
das Vorliegen erforderlicher Rechtsgrundlagen,
die Information betroffener Personen,
die Rechtmäßigkeit erteilter Weisungen sowie
die Einhaltung besonderer gesetzlicher Aufbewahrungs- und Dokumentationspflichten.

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich hinsichtlich einer Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, soweit nicht Unionsrecht oder das Recht eines Mitgliedstaats den Auftragnehmer zu einer hiervon abweichenden Verarbeitung verpflichtet.

Ist der Auftragnehmer aufgrund einer solchen gesetzlichen Verpflichtung zu einer Verarbeitung außerhalb der dokumentierten Weisung verpflichtet, informiert er den Auftraggeber vor der betreffenden Verarbeitung über diese rechtliche Verpflichtung, soweit das anwendbare Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Die im Hauptvertrag und durch die bestimmungsgemäße Nutzung von OPERIO dokumentierten Einstellungen und Funktionen gelten als Weisungen.

Zusätzliche Weisungen können in Textform erteilt werden.

Hält der Auftragnehmer eine Weisung nach seiner Beurteilung für einen Verstoß gegen die DSGVO oder andere einschlägige datenschutzrechtliche Bestimmungen des Unionsrechts oder des Rechts der Mitgliedstaaten, informiert er den Auftraggeber unverzüglich. Der Auftragnehmer kann die Ausführung der betroffenen Weisung bis zur Klärung aussetzen, soweit dies zur Vermeidung eines Datenschutzverstoßes erforderlich ist.

7. Vertraulichkeit

Der Auftragnehmer stellt sicher, dass Personen, die Zugang zu personenbezogenen Daten erhalten, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Zugriffsrechte werden nach dem Erforderlichkeitsprinzip vergeben.

Administrative Zugänge werden auf das für Betrieb, Sicherheit und Support erforderliche Maß beschränkt.

8. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft technische und organisatorische Maßnahmen, die unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung und der Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen ein dem Risiko angemessenes Schutzniveau gewährleisten.

Die Maßnahmen orientieren sich insbesondere an den Schutzzielen und Anforderungen des Art. 32 DSGVO. Hierzu gehören – soweit für die konkrete Verarbeitung angemessen – Maßnahmen zur Pseudonymisierung und Verschlüsselung, zur dauerhaften Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, zur zeitnahen Wiederherstellung der Verfügbarkeit und des Zugangs nach physischen oder technischen Zwischenfällen sowie ein Prozess zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen.

Zu den für OPERIO vorgesehenen Maßnahmen gehören insbesondere:

Zutritts- und Infrastrukturkontrolle

Betrieb produktiver Kernsysteme in kontrollierter Betriebsinfrastruktur,
Beschränkung physischer Zugänge zu eigener Infrastruktur,
Verwendung professioneller Rechenzentrumsinfrastruktur für externe Gateway-Dienste.

Zugangskontrolle

persönliche administrative Konten,
starke Authentisierung,
passkey-/WebAuthn-basierte reguläre Benutzerzugänge,
zusätzliche OPERIO-Gerätebindung für neue Endgeräte,
kontenbezogene E-Mail-only-Recovery für den autoritativen Hauptnutzer ohne nutzerseitige Mandantenkennung; 20-Minuten-Single-Use-Nachweis; 30-Minuten-Recovery-Grant; einmaliger Widerruf alter Sessions/Geräte/WebAuthn-Credentials; mehrere neue Geräte möglich, jeweils mit eigener neuer WebAuthn-Bindung,
kein Passwort- oder SMS-Fallback als regulärer täglicher Produktzugang,
SSH-Zugriff über Public-Key-Verfahren,
deaktivierter direkter Root-SSH-Zugang,
Beschränkung administrativer Dienste.

Zugriffskontrolle

rollen- und berechtigungsbasierte Zugriffssteuerung,
Mandantentrennung,
Trennung administrativer und gewöhnlicher Benutzerrechte,
Entzug nicht mehr erforderlicher Berechtigungen.

Übertragungskontrolle

verschlüsselte HTTPS/TLS-Verbindungen für öffentliche Zugriffe,
verschlüsselte Verbindung zwischen öffentlichem Gateway und Produktivsystem über WireGuard, soweit dieser Architekturstand produktiv eingesetzt wird,
Beschränkung öffentlich erreichbarer Dienste,
kontrollierte Reverse-Proxy-Struktur.

Eingabe- und Nachvollziehbarkeitskontrolle

technische Protokollierung sicherheits- und betriebsrelevanter Ereignisse,
Schutz von Protokollen gegen unberechtigten Zugriff,
Versionskontrolle für Softwareänderungen,
nachvollziehbare Release- und Deploymentprozesse.

Verfügbarkeits- und Wiederherstellungskontrolle

Datensicherungen,
eigene lokale beziehungsweise NAS-basierte Sicherungsinfrastruktur, soweit produktiv eingesetzt,
eine reguläre maximale Backup-Rotation von 90 Tagen für nicht selektiv löschbare Sicherungen,
Sicherungen vor wesentlichen Migrationen,
dokumentierte Wiederherstellungs- und Betriebsverfahren,
Wiederanwendung bereits fälliger Löschungen nach einer Wiederherstellung älterer Sicherungsstände,
regelmäßige Sicherheits- und Systemupdates,
dokumentierte Tests der Wiederherstellungsfähigkeit in angemessenen, risikobasierten Abständen.

Trennungsgebot

logische Mandantentrennung,
Trennung von Entwicklungs-, Prüf- und Produktivprozessen,
getrennte Release- und Deploymentartefakte,
Zugriff auf Kundendaten nur entsprechend Mandant und Berechtigung.

Entwicklungs- und Änderungssicherheit

Versionskontrolle,
automatisierte Tests,
reproduzierbare Builds, soweit für den jeweiligen Releaseprozess vorgesehen,
Sicherheits- und Secret-Prüfungen,
kontrollierte Deploymentprozesse,
technische Release-Gates.

Wirksamkeitsprüfung

Der Auftragnehmer unterhält einen dokumentierten Prozess, mit dem die Wirksamkeit der TOM mindestens jährlich sowie nach wesentlichen Sicherheits- oder Architekturänderungen risikobasiert überprüft, bewertet und – soweit erforderlich – verbessert wird. Festgestellte wesentliche Abweichungen werden bewertet und innerhalb einer risikoadäquaten Frist behandelt.

Die Maßnahmen werden entsprechend technischer Entwicklung und Risikolage überprüft und weiterentwickelt. Änderungen dürfen das vereinbarte Schutzniveau nicht unangemessen absenken.

Für die veröffentlichte TOM-Anlage gilt das Reality-Prinzip: Nur als aktiv verifizierte Maßnahmen werden als bestehende TOM ausgewiesen. Geplante oder ungeprüfte Kontrollen werden nicht als aktiv dargestellt.

9. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber im angemessenen Umfang bei der Erfüllung seiner Pflichten hinsichtlich:

Betroffenenrechten,
Sicherheit der Verarbeitung,
Meldung von Datenschutzverletzungen,
Datenschutz-Folgenabschätzungen und
Konsultationen mit Aufsichtsbehörden,

soweit die hierfür erforderlichen Informationen beim Auftragnehmer vorhanden sind und die Unterstützung die Auftragsverarbeitung betrifft.

10. Betroffenenrechte

Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer und betrifft die Anfrage Daten, die im Auftrag eines Kunden verarbeitet werden, wird der Auftragnehmer die Anfrage grundsätzlich an den betreffenden Auftraggeber verweisen beziehungsweise weiterleiten.

Der Auftragnehmer beantwortet solche Anfragen nicht eigenständig in der Rolle des Verantwortlichen, soweit keine eigene gesetzliche Verpflichtung besteht.

11. Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit die Verletzung Daten betrifft, die im Auftrag des Auftraggebers verarbeitet werden.

Die Mitteilung enthält, soweit verfügbar:

Art des Vorfalls,
betroffene Datenkategorien,
betroffene Systeme,
bekannte oder wahrscheinliche Auswirkungen sowie
ergriffene oder geplante Gegenmaßnahmen.

12. Unterauftragnehmer

KAN KAI WORKS darf weitere Auftragsverarbeiter einsetzen, soweit die Voraussetzungen des Art. 28 DSGVO eingehalten werden. Die aktuelle Unterauftragnehmerliste ist Bestandteil beziehungsweise Anlage dieses AVV und wird vor einem neuen produktiven Einsatz aktualisiert.

Der Auftraggeber erteilt eine allgemeine Genehmigung für die in der jeweils einbezogenen Liste benannten Unterauftragnehmer. Über beabsichtigte Änderungen wird der Auftraggeber vor deren Wirksamwerden informiert; ein Widerspruch aus wichtigem datenschutzrechtlichem Grund bleibt möglich.

Aktuell eingesetzte Unterauftragnehmer

Hetzner Online GmbH

Leistung: Hosting der produktiven OPERIO-Anwendung, Datenbank-/Laufzeit- und Speicherkomponenten.
Daten: vom Auftraggeber in OPERIO verarbeitete Auftragsdaten sowie technische Betriebs-/Sicherheitsmetadaten, soweit für Hosting und Betrieb erforderlich.
Rolle: Auftragsverarbeiter.
Verarbeitungsgebiet: aktueller OPERIO-Produktivaufbau Deutschland/EWR; kein produktiver Drittlandstandort für den OPERIO-Kern konfiguriert.

goneo Internet GmbH

Leistung: Domain-/DNS- und E-Mail-Dienste sowie Website-Hosting; für das AVV relevant, soweit Auftragsdaten oder vom Auftraggeber ausgelöste Nachrichten über diese Dienste verarbeitet werden.
Daten: insbesondere E-Mail-Adressen, Kommunikationsinhalte/-metadaten und technische Verbindungsdaten.
Rolle: Auftragsverarbeiter im jeweils einschlägigen Umfang.
Verarbeitungsgebiet: Deutschland.

Derzeit nicht aktive Integrationen

OpenAI ist im aktuellen OPERIO-Produktivstand nicht als externer KI-Verarbeiter konfiguriert. Es findet keine kundenbezogene Übertragung an OpenAI statt; OpenAI wird deshalb nicht als aktueller Unterauftragnehmer geführt.

Stripe ist im aktuellen OPERIO-Produktivstand nicht als Zahlungsdienst konfiguriert. Unabhängig davon wäre ein Zahlungsdienst nicht allein deshalb AVV-Unterauftragnehmer, weil er Zahlungen der eigenen Vertragsbeziehung von KAN KAI WORKS abwickelt; die konkrete Rolle wäre bei Aktivierung gesondert zu bestimmen.

Weitere Anbieter werden erst vor ihrem tatsächlichen produktiven Einsatz und nach Rollen-/Datenflussprüfung aufgenommen.

13. Verarbeitungsorte

Die produktive OPERIO-Kernverarbeitung erfolgt im aktuellen Produktivaufbau auf Hetzner-Infrastruktur in Deutschland/EWR. E-Mail-/DNS-/Website-Dienste werden über goneo in Deutschland bereitgestellt.

Für die aktuell eingesetzten Kernanbieter ist kein kundenbezogener Drittland-Verarbeitungsweg vorgesehen. Werden künftig Unterauftragnehmer mit Drittlandbezug eingesetzt, gelten zusätzlich Art. 44 ff. DSGVO und die hierfür erforderlichen Transfermechanismen und Transparenzpflichten.

Eigene interne Systeme von KAN KAI WORKS sind keine Unterauftragnehmer; ihre Nutzung unterliegt dennoch den gleichen Sicherheits-, Zugriffs- und Löschvorgaben dieses AVV.

14. Kontrollen und Nachweise

Der Auftragnehmer stellt dem Auftraggeber die zur Erfüllung der Nachweispflichten nach Art. 28 DSGVO erforderlichen Informationen in angemessenem Umfang zur Verfügung.

Der Auftraggeber kann bei berechtigtem Anlass Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen.

Kontrollen sollen grundsätzlich:

mit angemessener Vorankündigung erfolgen,
den laufenden Geschäftsbetrieb nicht unangemessen beeinträchtigen,
Sicherheits- und Vertraulichkeitsinteressen anderer Kunden wahren und
sich auf die Auftragsverarbeitung des Auftraggebers beziehen.

Vorhandene Prüfberichte, Dokumentationen und geeignete Nachweise können Vor-Ort-Kontrollen ersetzen, soweit sie den Prüfzweck ausreichend erfüllen.

15. Rückgabe und Löschung

Nach Ende der beauftragten Verarbeitung werden personenbezogene Auftragsdaten nach Wahl und dokumentierter Weisung des Auftraggebers zurückgegeben oder gelöscht, soweit keine gesetzliche Pflicht oder ein sonstiger zulässiger Aufbewahrungsgrund entgegensteht.

OPERIO verwendet hierfür einen einheitlichen mandantenbezogenen Löschprozess. Dieser entfernt die hierfür vorgesehenen produktiven Datenbankinhalte und veranlasst die Löschung zugehöriger physischer Speicherobjekte. Abgeschlossene Löschungen werden ohne Kopie des gelöschten Kundeninhalts nachvollziehbar dokumentiert.

Ein Legal Hold kann die Löschung für einen dokumentierten rechtlich zulässigen Grund blockieren. Ein Legal Hold gewährt keinen zusätzlichen Zugriff auf Kundendaten. Er wird durch einen berechtigten Operator gesetzt/aufgehoben und nach dem vorgesehenen Kontrollrhythmus überprüft.

Für nicht kostenpflichtig aktivierte Testmandanten gilt: 30 Tage Volltest plus 90 Tage eingeschränkter Nachlauf; ab Tag 120 ist der Mandant zur automatischen Löschung vorgesehen, soweit kein Sperrgrund besteht.

Bei Anbieterwechsel oder Vertragsende kann vor der endgültigen Löschung eine vertraglich beziehungsweise gesetzlich vorgesehene Abruf-/Herausgabefrist bestehen. Der standardisierte Anbieterwechsel sieht eine Abruffrist von mindestens 30 Kalendertagen vor.

Daten in technisch nicht selektiv löschbaren Sicherungen können bis zum Ablauf der regulären Backup-Rotation fortbestehen. Die maximale reguläre Rotation beträgt 90 Tage. Solche Sicherungen werden nicht zur Umgehung einer Löschpflicht regulär produktiv weiterverwendet.

Bei einer Wiederherstellung wird der wiederhergestellte Zustand mit dem geschützten Lösch-/Reconciliation-Nachweis abgeglichen; bereits wirksam abgeschlossene beziehungsweise fällige Löschungen werden erneut durchgesetzt.

Eine Verschlüsselung von Backup-Artefakten wird in diesem AVV nicht als bestehende Maßnahme zugesagt, solange sie nicht separat als produktiv verifiziert in den TOM ausgewiesen ist.

16. Datenherausgabe

Der Auftraggeber kann die Herausgabe seiner Auftragsdaten im Rahmen der vereinbarten Exportfunktionen verlangen.

OPERIO stellt einen anbieterneutralen mandantenbezogenen Export bereit. Das Standardpaket enthält – soweit vorhanden und exportierbar – strukturierte Daten (insbesondere JSON und unterstützte CSV-Ausleitungen), erforderliche Beziehungen zwischen Datensätzen, Originaldokumente und Dateien, Metadaten, ein Inhalts-/Versionsmanifest sowie SHA-256-Prüfsummen.

Sicherheitsgeheimnisse, Passkey-/WebAuthn-Schlüsselmaterial, Sitzungsgeheimnisse und Daten anderer Mandanten sind vom Export ausgeschlossen.

Für einen Anbieterwechsel gelten ergänzend die OPERIO Datenportabilitäts- und Anbieterwechselbedingungen. Soweit personenbezogene Auftragsdaten betroffen sind, gilt die Anforderung des autorisierten Hauptnutzers als dokumentierte Weisung zur Herausgabe/Portierung im vereinbarten Umfang.

17. Weisungen nach Vertragsende

Nach Beendigung des Hauptvertrags besteht ein Weisungsrecht nur noch insoweit, wie dies zur vertragsgemäßen Rückgabe, Löschung oder Erfüllung zwingender gesetzlicher Pflichten erforderlich ist.

18. Haftung

Für die Haftung der Parteien gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrags, soweit diese mit zwingendem Datenschutzrecht vereinbar sind.

19. Schlussbestimmungen

Änderungen und Ergänzungen dieser Vereinbarung sollen in Textform dokumentiert werden. Zwingende Form- und Nachweisanforderungen bleiben unberührt.

Die bei Vertragsschluss beziehungsweise bei wirksamer späterer Änderung einbezogene AVV-Version wird elektronisch dokumentiert. Eine bloße spätere Veröffentlichung einer neuen AVV-Fassung ersetzt nicht ohne Weiteres die vertraglich einbezogene Fassung.

Sollten einzelne Regelungen unwirksam sein oder werden, bleiben die übrigen Regelungen unberührt.

Zwingendes Datenschutzrecht geht entgegenstehenden vertraglichen Regelungen vor.