Vertrag zur Auftragsverarbeitung (AVV)

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) · Fassung 2026-10 · Stand: 7. Oktober 2026

Vertragsparteien

Verantwortlicher (Auftraggeber):
der Kunde, der credoox nach den AGB nutzt, mit den im Kundenkonto hinterlegten Angaben

Auftragsverarbeiter (Auftragnehmer):
Quecco – Werbeagentur, Inhaber Eduard Peters
Bienenweg 11, 32791 Lage, Deutschland
Telefon +49 (0) 5232 979 34 81 · info@credoox.one

1. Gegenstand, Dauer und Verhältnis zu den AGB

1. Der Auftragsverarbeiter stellt dem Verantwortlichen die Software credoox als Online-Dienst bereit (Hauptvertrag nach den Allgemeinen Geschäftsbedingungen unter credoox.one/agb). Dabei verarbeitet er personenbezogene Daten, für die der Verantwortliche verantwortlich ist, in dessen Auftrag. Dieser Vertrag regelt die datenschutzrechtlichen Pflichten der Parteien dafür.
2. Der Vertrag gilt, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet, also für die Dauer des Hauptvertrags und darüber hinaus bis zur vollständigen Löschung nach Ziffer 11.
3. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor.
4. Für personenbezogene Daten, die der Auftragsverarbeiter für eigene Zwecke verarbeitet (insbesondere Daten des Kundenkontos, der Abrechnung und der Kommunikation mit dem Verantwortlichen), ist er selbst Verantwortlicher. Dafür gelten die Datenschutzhinweise unter credoox.one/datenschutz.

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter betreibt die Software und speichert, ordnet, verarbeitet, übermittelt (auf Veranlassung des Verantwortlichen) und löscht die Daten, die der Verantwortliche und seine Nutzer in die Software eingeben, hochladen, importieren oder über Anbindungen abrufen. Zweck ist ausschließlich die Bereitstellung der Funktionen der Software, insbesondere Warenwirtschaft, Verkauf und Einkauf, Belegerstellung und -versand, Kundenverwaltung (CRM), Lager, Finanzen und Buchhaltung, Dokumentenverwaltung, Anbindungen an Shops und andere Dienste, KI-Funktionen sowie der Support, die Fehlerbehebung und die Datensicherung.

3. Art der Daten und Kategorien betroffener Personen

Art der Daten – je nach Nutzung durch den Verantwortlichen:

• Stamm- und Kontaktdaten (Name, Firma, Anschrift, E-Mail, Telefon, Ansprechpartner, Kundennummer, USt-IdNr.)
• Vertrags-, Auftrags- und Belegdaten (Angebote, Aufträge, Lieferscheine, Rechnungen, Bestellungen, Retouren, Verträge, Akten)
• Zahlungs- und Bankdaten (IBAN, Zahlungsstatus, Kontoumsätze, Lastschriftmandate)
• Kommunikationsdaten (E-Mails, Notizen, Kommentare, Telefonie-Daten wie Rufnummer und Zeitpunkt)
• Daten der Nutzer des Verantwortlichen (Name, E-Mail, Rolle, Rechte, Anmelde- und Protokolldaten, Spesen- und Reisekostendaten, Arbeits- und Einsatzzeiten)
• Dokumente und Dateien, die der Verantwortliche hochlädt oder empfängt (z. B. Eingangsrechnungen, Belegfotos)
• Versand- und Lieferdaten (Lieferanschrift, Sendungsnummern)

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen. Bringt der Verantwortliche solche Daten ein, ist er für deren Rechtmäßigkeit verantwortlich.

Kategorien betroffener Personen: Kunden, Interessenten, Lieferanten, Dienstleister und sonstige Geschäftspartner des Verantwortlichen sowie deren Ansprechpartner; Beschäftigte und sonstige Nutzer des Verantwortlichen; Vertriebspartner des Verantwortlichen.

4. Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist durch das Recht der Union oder Deutschlands dazu verpflichtet; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Die Weisungen sind durch den Hauptvertrag, diesen Vertrag und die Nutzung der Funktionen und Einstellungen der Software durch den Verantwortlichen und seine Nutzer abschließend festgelegt. Weitere Weisungen erteilt der Verantwortliche in Textform an info@credoox.one. Weisungen, die über die vertraglich vereinbarte Leistung hinausgehen, kann der Auftragsverarbeiter gegen Erstattung des Aufwands ausführen oder ablehnen.
3. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin. Er darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

5. Vertraulichkeit und Zugriff

1. Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
2. Der Auftragsverarbeiter greift auf Inhalte des Kontos des Verantwortlichen nur zu, soweit es für Betrieb, Sicherheit, Fehlerbehebung und Datensicherung technisch erforderlich ist. Ein Support-Zugriff auf das Konto erfolgt nur, wenn der Verantwortliche ihn in der Software freigegeben hat, im freigegebenen Umfang (nur lesen oder lesen und bearbeiten, Exporte stets gesperrt), mit Zwei-Faktor-Anmeldung, für höchstens zwei Stunden je Sitzung; der Beginn jeder Sitzung wird den Inhabern per E-Mail mitgeteilt und jeder Zugriff für den Verantwortlichen sichtbar protokolliert.

6. Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anlage 1 beschrieben.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und aktualisiert Anlage 1.
3. Der Verantwortliche ist für die Maßnahmen in seinem Einflussbereich selbst verantwortlich, insbesondere für die sichere Verwahrung von Zugangsdaten, die Vergabe von Rollen und Rechten an seine Nutzer, die Nutzung der Zwei-Faktor-Anmeldung und die Auswahl und vertragliche Absicherung von Diensten, die er selbst anbindet (Ziffer 7 Abs. 5).

7. Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragnehmer) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragnehmer sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der Hinzuziehung oder Ersetzung eines Unterauftragnehmers in Textform (E-Mail an die Inhaber des Kontos und Hinweis in der Software). Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung kündigen; bereits gezahlte Entgelte für die Zeit danach werden anteilig erstattet.
3. Der Auftragsverarbeiter erlegt jedem Unterauftragnehmer vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Er haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten durch den Unterauftragnehmer.
4. Keine Unterauftragsverhältnisse im Sinne dieser Ziffer sind Nebenleistungen ohne Zugriff auf personenbezogene Daten des Verantwortlichen, etwa reine Telekommunikations- und Transportleistungen, sowie Abrufe öffentlicher Daten ohne Personenbezug (z. B. Wechselkurse).
5. Dienste, die der Verantwortliche in der Software selbst mit eigenen Zugangsdaten oder auf eigenen Wunsch anbindet (z. B. Onlineshops und Marktplätze, Banken und Zahlungsdienste, Versanddienstleister, DATEV und andere Buchhaltungsdienste, Cloud-Speicher, Druck-, Telefonie-, Newsletter- und TSE-Dienste, eigener E-Mail-Server), sind keine Unterauftragnehmer des Auftragsverarbeiters. Die Übermittlung an diese Dienste erfolgt auf Weisung des Verantwortlichen; das Vertragsverhältnis, gegebenenfalls einschließlich eines eigenen Vertrags zur Auftragsverarbeitung, besteht unmittelbar zwischen dem Verantwortlichen und dem jeweiligen Anbieter.

8. Verarbeitung außerhalb der EU

Die Software und ihre Daten werden in einem Rechenzentrum in Deutschland betrieben. Eine Verarbeitung in einem Drittland findet nur statt, soweit sie in Anlage 2 angegeben ist (KI-Funktionen) oder vom Verantwortlichen selbst veranlasst wird (Ziffer 7 Abs. 5), und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch Standardvertragsklauseln der EU-Kommission oder einen Angemessenheitsbeschluss. Der Verantwortliche kann die KI-Funktionen in den Einstellungen der Software abschalten; dann werden keine Daten an den KI-Anbieter übermittelt.

9. Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte der betroffenen Personen (Art. 12–22 DSGVO). Die Software bietet dafür insbesondere Funktionen zur Auskunft, Berichtigung, Löschung, Sperrung und zum Export. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter.
2. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
3. Unterstützungsleistungen, die über die Funktionen der Software und gesetzliche Pflichten hinausgehen oder nicht durch einen Verstoß des Auftragsverarbeiters veranlasst sind, kann der Auftragsverarbeiter nach vorheriger Ankündigung zu einem angemessenen Stundensatz berechnen.

10. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die Inhaber des Kontos. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; noch fehlende Angaben werden nachgereicht. Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen zu mindern.

11. Löschung und Rückgabe nach Vertragsende

1. Der Verantwortliche kann seine Daten jederzeit über den Komplettexport der Software und die weiteren Exporte abrufen. Das gilt auch nach Ende eines kostenpflichtigen Pakets, solange das Konto im kostenlosen Paket fortgeführt wird.
2. Stellt der Verantwortliche einen Löschantrag, wird automatisch ein Komplettexport erstellt und 30 Tage zum Abruf bereitgestellt. Der Antrag kann innerhalb von 14 Tagen zurückgezogen werden; danach wird das Konto gesperrt und spätestens 30 Tage später werden alle personenbezogenen Daten des Verantwortlichen einschließlich Dateien gelöscht. Datensicherungen werden im Rahmen des Sicherungszyklus spätestens 14 Tage danach überschrieben.
3. Endet der Hauptvertrag auf andere Weise und wird das Konto nicht fortgeführt, gilt Absatz 2 entsprechend ab dem Vertragsende.
4. Eine längere Speicherung erfolgt nur, soweit der Auftragsverarbeiter nach dem Recht der Union oder Deutschlands dazu verpflichtet ist. Gesetzliche Aufbewahrungspflichten des Verantwortlichen (z. B. nach HGB und AO) erfüllt der Verantwortliche selbst durch rechtzeitigen Export.

12. Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere diesen Vertrag mit Anlagen, aktuelle Beschreibungen der Maßnahmen und, soweit vorhanden, Nachweise und Zertifikate der Unterauftragnehmer.
2. Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist, kann Überprüfungen einschließlich Inspektionen nach rechtzeitiger Anmeldung (in der Regel mindestens vier Wochen) zu den üblichen Geschäftszeiten und ohne Störung des Betriebs durchführen, soweit die Nachweise nach Absatz 1 nicht ausreichen. Die Rechte der Aufsichtsbehörden bleiben unberührt. Den Aufwand für Vor-Ort-Prüfungen kann der Auftragsverarbeiter angemessen berechnen, es sei denn, die Prüfung deckt einen erheblichen Verstoß auf.

13. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen der AGB, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

14. Schlussbestimmungen

1. Änderungen dieses Vertrags teilt der Auftragsverarbeiter mindestens sechs Wochen vor dem Wirksamwerden in Textform und in der Software mit; die geänderte Fassung gilt, wenn der Verantwortliche sie in der Software bestätigt. Änderungen der Unterauftragnehmer richten sich nach Ziffer 7.
2. Der Vertrag wird elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO). Der Verantwortliche kann ihn jederzeit in der Software unter Einstellungen → Vertrag & Datenschutz als PDF abrufen.
3. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters in Lage.
4. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Abschluss: Der Vertrag wird bei der Registrierung bzw. durch Bestätigung in der Software elektronisch abgeschlossen. Die Fassung mit den Angaben des Kunden und dem Zeitpunkt des Abschlusses steht in der Software unter Einstellungen → Vertrag & Datenschutz als PDF bereit.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Die Server stehen in einem Rechenzentrum der Hetzner Online GmbH in Falkenstein/Vogtland (Deutschland), betrieben über den Hosting-Anbieter Timme Hosting. Das Rechenzentrum ist nach ISO/IEC 27001 zertifiziert und verfügt über elektronische Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal. Der Auftragsverarbeiter selbst unterhält keine eigenen Serverräume.
• Zugangskontrolle: Anmeldung nur mit persönlichem Konto; Passwörter mit mindestens 10 Zeichen aus Buchstaben und Ziffern, gespeichert nur als Hash; Prüfung gegen bekannte kompromittierte Passwörter (anonymisiertes k-Anonymitäts-Verfahren); Zwei-Faktor-Anmeldung (TOTP) und Passkeys, für die Plattformverwaltung verpflichtend, für Kunden zuschaltbar und vom Inhaber für alle Nutzer verpflichtend einstellbar; Begrenzung von Anmeldeversuchen; automatische Abmeldung nach 120 Minuten Inaktivität und spätestens nach 12 Stunden; Abmelden anderer Geräte; Administration des Servers nur über verschlüsselte Verbindungen (SSH) durch den Inhaber.
• Zugriffskontrolle: Rollen- und Rechtekonzept je Kunde mit fein einstellbaren Rechten (z. B. Preise, Einkaufspreise, vertrauliche Akten, Export); Trennung der Plattformrollen (Abrechnung und Entwicklung sehen keine Kundendaten); Support-Zugriff nur mit Freigabe des Kunden (siehe Ziffer 5); Zugangsdaten für Anbindungen, Bankverbindungen und Webhook-Geheimnisse werden in der Datenbank verschlüsselt gespeichert; Dateien liegen außerhalb des öffentlich erreichbaren Verzeichnisses und werden nur nach Rechteprüfung ausgeliefert.
• Trennungskontrolle: Mandantentrennung in der Anwendung: Jeder Datensatz ist einem Kunden zugeordnet, alle Abfragen werden automatisch auf den angemeldeten Kunden beschränkt; Dateien liegen getrennt je Kunde; Test- und Entwicklungssysteme nutzen keine Echtdaten.
• Pseudonymisierung: IP-Adressen in Protokollen werden nach 90 Tagen entfernt; bei der Zustimmung zu AGB und AVV wird die IP-Adresse nur gekürzt gespeichert.

2. Integrität

• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt per HTTPS (TLS) mit HSTS; strenge Sicherheits-Header und Content-Security-Policy; keine Einbindung von Analyse-, Werbe- oder Tracking-Diensten; ausgehende Verbindungen in interne Netze gesperrt; Exporte nur mit gesondertem Recht und protokolliert.
• Eingabekontrolle: Änderungsprotokoll (Audit-Log) für wesentliche Vorgänge mit Nutzer und Zeitpunkt, für den Kunden einsehbar; festgeschriebene Belege und Buchungen sind gegen Änderung gesperrt (GoBD); Protokolle der Anbindungen und Synchronisationen.

3. Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung von Datenbank und Dateien, Aufbewahrung 14 Tage (mindestens die letzten drei Sicherungen), authentifiziert verschlüsselt (XChaCha20-Poly1305, Schlüssel per Argon2id aus einer Passphrase); die Lesbarkeit jeder Sicherung wird nach dem Erstellen geprüft; Überwachung mit täglicher Betriebsmeldung.
• Rechenzentrum mit redundanter Strom- und Netzanbindung, unterbrechungsfreier Stromversorgung, Klimatisierung und Brandmeldeanlage; Managed Server mit Wartung und Sicherheitsupdates durch den Hosting-Anbieter.
• Begrenzung der Anfragen je Zeit (Rate Limits) für Anmeldung, API und öffentliche Endpunkte zum Schutz vor Überlastung.

4. Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests der Anwendung bei jeder Änderung, einschließlich Tests der Mandantentrennung und der Rechte; regelmäßige Sicherheitsprüfungen des Codes; zeitnahe Aktualisierung von Software-Abhängigkeiten.
• Datenschutzfreundliche Voreinstellungen: Support-Zugriff ist standardmäßig ausgeschaltet; nicht benötigte Daten (z. B. Importdateien, abgelaufene Exporte, Synchronisationsprotokolle) werden nach festen Fristen automatisch gelöscht.
• Prozess für Datenschutzverletzungen nach Ziffer 10; Überprüfung und Aktualisierung dieser Anlage mindestens jährlich.

Anlage 2 – Unterauftragnehmer

Unterauftragnehmer	Leistung	Ort der Verarbeitung	Garantien
Timme Hosting GmbH & Co. KG Marie-Curie-Straße 5, 21337 Lüneburg, Deutschland	Hosting der Software auf einem Managed Server: Speicherung und Verarbeitung aller Daten, Datensicherung, Versand der System-E-Mails über den Server	Deutschland – Rechenzentrum der Hetzner Online GmbH, Falkenstein/Vogtland (von Timme Hosting eingesetzter weiterer Unterauftragnehmer)	Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; Rechenzentrum nach ISO/IEC 27001 zertifiziert
Anthropic Ireland, Limited Dublin, Irland (Konzernmutter: Anthropic, PBC, San Francisco, USA)	Nur wenn der Kunde die KI-Funktionen nutzt (abschaltbar): Verarbeitung der Texte, Belege und Daten, die eine KI-Funktion für die jeweilige Anfrage übermittelt (z. B. Belegauslesung, Textvorschläge, Assistent)	EU und USA	Data Processing Addendum von Anthropic mit EU-Standardvertragsklauseln (Modul 2/3); keine Nutzung der Inhalte zum Training von KI-Modellen

Nicht als Unterauftragnehmer gelten die vom Verantwortlichen selbst angebundenen Dienste (Ziffer 7 Abs. 5). Abfragen ohne Personenbezug wie Wechselkurse (EZB-Kurse über frankfurter.app) oder die Prüfung von Postleitzahl und Ort vor dem Versand (openplzapi.org, nur Postleitzahl und Ort ohne Name) erfolgen ohne Übermittlung weiterer personenbezogener Daten.