Auftragsverarbeitung – Arbeitsentwurf
Entwurf für den Testbetrieb, Stand 15.10.2026. Betreiberangaben und gekennzeichnete Punkte sind noch offen. Vor Nutzung mit echten Kundendaten sind die Dokumente zu vervollständigen und rechtlich zu prüfen.
Anbieter und Kontakt
[Name / Firma ergänzen] [Geschäftsanschrift ergänzen] support@equibill.app
Parteien und Gegenstand
Verantwortlicher: [Beta-Kunde mit Anschrift]. Auftragsverarbeiter: unten genannter Anbieter. Gegenstand ist die weisungsgebundene Speicherung und Verarbeitung betrieblicher Daten in EquiBill für die vereinbarte Vertragsdauer.
Daten und betroffene Personen
Kunden, Ansprechpartner und Mitarbeiter des Betriebs; Kontakt- und Stammdaten, Tierzuordnungen, Termine, Leistungen, Rechnungs- und Zahlungsdaten sowie bereitgestellte Dateien. Besondere Kategorien personenbezogener Daten sind im Beta-Test nicht vorgesehen.
Weisungen und Vertraulichkeit
Verarbeitung nur auf dokumentierte Weisung, außer bei gesetzlicher Verpflichtung; in diesem Fall vorherige Information soweit zulässig. Der Anbieter weist auf aus seiner Sicht rechtswidrige Weisungen hin und verpflichtet berechtigte Personen zur Vertraulichkeit.
Sicherheit und Unterstützung
Der Anbieter trifft angemessene Maßnahmen nach Art. 32 DSGVO und unterstützt bei Betroffenenrechten, Sicherheitsvorfällen, Datenschutz-Folgenabschätzungen und behördlichen Anfragen im gesetzlichen Umfang. Maßnahmen, Kontaktwege, Fristen und Zuständigkeiten sind im Anhang verbindlich zu konkretisieren.
Unterauftragsverarbeiter
Microsoft Azure: Hosting, Datenbank und Dateispeicher. Vertragsgesellschaft, Regionen und Transfergrundlagen ergänzen. E-Mail-Dienst ergänzen. Genehmigungsverfahren, Vorankündigungsfrist und Widerspruchsverfahren für Änderungen sind vor Unterzeichnung zu vereinbaren. Gleichwertige Datenschutzpflichten sind weiterzugeben.
Vorfälle, Nachweise und Kontrollen
Datenschutzverletzungen sind dem Verantwortlichen unverzüglich nach Bekanntwerden mit verfügbaren Informationen zu melden. Der Anbieter stellt erforderliche Nachweise bereit und ermöglicht gesetzlich vorgesehene Kontrollen. Meldekontakt und praktischer Ablauf sind im Anhang einzutragen.
Rückgabe und Löschung
Nach Ende der Verarbeitung werden Daten nach Wahl und dokumentierter Weisung des Kunden zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrung erforderlich ist. Exportformat, Durchführungsfrist und Umgang mit 14-Tage-Backups sind zu vereinbaren.
Anhang: Maßnahmen und Freigabe
Dokumentierte Grundlagen: Passwort-Hashes mit Argon2, datenbankgestützte Sitzungen, organisationsbezogene Zugriffskontrollen, privater Blob Storage und 14-Tage-Datenbankbackups mit Wiederherstellungstest. Vor Unterzeichnung sind tatsächliche Einstellungen, Berechtigungspflege, Löschtest, Monitoring, Personalzugriffe, Patchverfahren und Notfallablauf zu prüfen und zu beschreiben. Datum und Unterschriften beider Parteien ergänzen.