Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Fassung vom 2026-09-29. Der Vertrag wird beim Anlegen eines Unternehmens in Arbeon abgeschlossen; Nachweis unter Einstellungen › Verträge & Daten.

1. Gegenstand und Dauer

Arbeon (Auftragsverarbeiter) verarbeitet personenbezogene Daten im Auftrag des Kunden (Verantwortlicher), um Arbeon bereitzustellen: Erstellen, Versenden, Empfangen, Prüfen, Freigeben und Archivieren von Rechnungen sowie Export an Dritte nach Weisung des Kunden. Der Vertrag gilt für die Dauer der Nutzung von Arbeon.

2. Art der Daten und betroffene Personen

Kontakt- und Stammdaten von Kunden, Lieferanten und deren Ansprechpartnern (Name, Anschrift, E-Mail, Telefon, Steuer-Identifikatoren, Bankverbindung), Rechnungs- und Zahlungsdaten, Freigabeentscheidungen sowie Nutzerdaten der Beschäftigten des Kunden. Besondere Kategorien personenbezogener Daten sind nicht vorgesehen.

3. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden; Weisungen ergeben sich aus diesem Vertrag und der Nutzung der Funktionen von Arbeon. Halten wir eine Weisung für rechtswidrig, weisen wir den Kunden unverzüglich darauf hin.

4. Vertraulichkeit

Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

• Hosting in Rechenzentren in Deutschland; Verschlüsselung aller Verbindungen (TLS).
• Mandantentrennung auf Datenbankebene (Row-Level Security) und rollenbasierte Berechtigungen.
• Passwörter nur als Argon2-Hash; optionale Zwei-Faktor-Anmeldung; App-Anmeldungen gerätegebunden und einzeln widerrufbar.
• Unveränderbares Rechnungsarchiv mit SHA-256-Prüfsummen und Prüfprotokoll.
• Virenprüfung hochgeladener Dateien; keine IP-Adressen in Anwendungsprotokollen.
• Tägliche Datensicherung mit wöchentlichem Wiederherstellungstest; Aufbewahrung der Sicherungen 14 Tage.
• Überwachung von Verfügbarkeit und Zertifikaten; Sicherheitsupdates zeitnah.

6. Unterauftragsverarbeiter

• IONOS SE, Elgendorfer Str. 57, 56410 Montabaur – Server und Speicher in Deutschland.
• Resend, Inc., San Francisco, USA – Versand und Empfang von E-Mails; Übermittlung auf Grundlage der EU-Standardvertragsklauseln.

Über neue Unterauftragsverarbeiter informieren wir mindestens vier Wochen vorher. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag in diesem Fall kündigen.

7. Unterstützung des Kunden

Wir unterstützen den Kunden bei Anfragen betroffener Personen, bei der Datenschutz-Folgenabschätzung und bei Meldungen an Aufsichtsbehörden. Verletzungen des Schutzes personenbezogener Daten melden wir unverzüglich, möglichst binnen 24 Stunden nach Kenntnis.

8. Löschung und Rückgabe

Der Kunde kann jederzeit alle Daten exportieren. Nach Vertragsende oder Löschung des Unternehmens in Arbeon löschen wir die Daten nach einer Frist von 30 Tagen; Datensicherungen werden nach spätestens 14 weiteren Tagen überschrieben. Gesetzliche Aufbewahrungspflichten des Kunden erfüllt dieser mit dem Export selbst.

9. Nachweise und Kontrollen

Wir stellen die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglichen Überprüfungen nach angemessener Vorankündigung, in der Regel durch Auskünfte und Unterlagen.

10. Kontakt

Datenschutzanfragen: datenschutz@arbeon.de