Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

Stand: Oktober 2026 · Als PDF herunterladen

zwischen der Kanzlei, die die Software-as-a-Service-Lösung „Advosoft“ nutzt (nachfolgend „Verantwortlicher“), und der Advosoft GmbH, Südwestkorso 1, 12161 Berlin (nachfolgend „Auftragsverarbeiter“).

Diese Vereinbarung ist gemäß § 13 der Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters wesentlicher Bestandteil des Nutzungsvertrages über die Software „Advosoft“ und gilt bereits für die kostenlose Testphase. Sie wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO): mit der Registrierung bzw. dem Abschluss des Nutzungsvertrages nimmt der Verantwortliche diese Vereinbarung an.

1. Gegenstand und Dauer der Vereinbarung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Zusammenhang mit der Bereitstellung und dem Betrieb der Software-as-a-Service-Lösung „Advosoft“.

Die Dauer dieser Vereinbarung entspricht der Laufzeit des Nutzungsvertrages einschließlich einer vorangehenden kostenlosen Testphase.

Der Auftragsverarbeiter erbringt ausschließlich technische Dienstleistungen (Hosting, Speicherung, Bereitstellung der Software), jedoch keine inhaltliche Prüfung, Änderung oder Bewertung der durch den Verantwortlichen verarbeiteten Daten.

2. Art und Zweck der Datenverarbeitung

Die Verarbeitung umfasst das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Verbreiten oder eine andere Form der Bereitstellung, Abgleichen oder Verknüpfen, Einschränken, Löschen oder Vernichten von Daten.

Die Verarbeitung erfolgt ausschließlich zum Zwecke des technischen Betriebs der Software „Advosoft“ und zur Erfüllung der vertraglich vereinbarten SaaS-Leistungen.

3. Art der personenbezogenen Daten und Kategorien betroffener Personen

Art der personenbezogenen Daten:

• Namen, Anschriften, Kontaktdaten
• Geburtsdaten
• Mandatsbezogene Daten (z. B. Aktenzeichen, Verfahrensstände)
• Finanzielle Informationen (z. B. Honorare, Streitwerte)

Kategorien betroffener Personen:

• Mandanten
• Gegner und deren Vertreter
• Zeugen
• Sachverständige
• Mitarbeiter des Verantwortlichen

Der Auftragsverarbeiter hat keinen Einfluss auf die vom Verantwortlichen eingestellten Daten.

4. Pflichten und Rechte des Verantwortlichen

Der Verantwortliche ist für die Einhaltung der datenschutzrechtlichen Bestimmungen verantwortlich.

Der Verantwortliche hat das Recht, Weisungen bezüglich der Art, des Umfangs und der Verfahren der Datenverarbeitung zu erteilen. Weisungen sind ausschließlich in Textform zu erteilen. Unklare oder rechtswidrige Weisungen darf der Auftragsverarbeiter zurückweisen. Der Verantwortliche trägt die Verantwortung für die Rechtmäßigkeit der Dateninhalte.

Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Verantwortlichen.

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 1a beschrieben.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte gemäß Art. 12–23 DSGVO sowie bei der Einhaltung der in den Art. 32–36 DSGVO genannten Pflichten. Unterstützungsleistungen nach Art. 12–23, 32–36 DSGVO werden vom Auftragsverarbeiter nach Aufwand vergütet.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

6. Unterauftragsverarbeiter

Der Auftragsverarbeiter ist berechtigt, Unterauftragsverarbeiter einzusetzen; die in Anlage 1b aufgeführten Unterauftragsverarbeiter sind genehmigt. Er informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter.

Der Auftragsverarbeiter schließt mit Unterauftragsverarbeitern vertragliche Vereinbarungen, die den Datenschutzpflichten dieser Vereinbarung entsprechen.

7. Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Auftragsverarbeiter zu kontrollieren.

Der Auftragsverarbeiter gewährt dem Verantwortlichen Zugang zu den Datenverarbeitungseinrichtungen und stellt alle erforderlichen Informationen zur Verfügung.

8. Meldepflichten des Auftragsverarbeiters

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde.

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich über alle Verletzungen des Schutzes personenbezogener Daten.

9. Weisungsbefugnis des Verantwortlichen

Der Verantwortliche hat das Recht, jederzeit ergänzende Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Alle erteilten Weisungen sind zu dokumentieren.

10. Löschung und Rückgabe von personenbezogenen Daten

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt diese nach Wahl des Verantwortlichen zurück, sofern nicht eine gesetzliche Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Die Einzelheiten (Selbst-Export, Lesezugriff nach Vertragsende, Aufbewahrungsfristen) richten sich nach den AGB.

11. Haftung

Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haften Verantwortlicher und Auftragsverarbeiter als Gesamtschuldner.

Der Auftragsverarbeiter haftet ausschließlich für Schäden, die auf einer von ihm vorgenommenen vertragswidrigen und/oder gesetzeswidrigen Verarbeitung beruhen.

12. Schlussbestimmungen

Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform.

Anlage 1a — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft zum Schutz der im Auftrag verarbeiteten personenbezogenen Daten die nachfolgenden technischen und organisatorischen Maßnahmen (Stand: Oktober 2026). Die Maßnahmen werden fortlaufend an den Stand der Technik angepasst; ein Absenken des vereinbarten Schutzniveaus ist ausgeschlossen.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

• Betrieb der Software ausschließlich in Rechenzentren in Deutschland (Timme Hosting GmbH & Co. KG, Lüneburg; STRATO GmbH, Berlin) mit Zutrittskontrollen, Videoüberwachung rund um die Uhr, Brandfrüherkennung und Löschanlagen sowie unterbrechungsfreier Strom- und Notstromversorgung.
• Mitarbeiter des Auftragsverarbeiters benötigen keinen physischen Zutritt zu den Rechenzentren; der Zugriff auf die Server erfolgt ausschließlich aus der Ferne über verschlüsselte, authentifizierte Verbindungen.
• Keine dauerhafte Speicherung von Kanzleidaten auf lokalen Endgeräten des Auftragsverarbeiters.

Zugangskontrolle

• Persönliche, passwortgeschützte Benutzerkonten für alle Benutzer; Passwortrichtlinie; automatische Kontosperre nach mehrfachen Fehlversuchen.
• Zwei-Faktor-Authentifizierung (Authenticator-App oder SMS-Code, Backup-Codes) für alle Benutzer verfügbar; für Administratoren empfohlen.
• Speicherung von Passwörtern ausschließlich als gesalzener Hash; verschlüsselte Übertragung aller Zugangsdaten.
• Administrativer Serverzugriff nur durch benannte Administratoren des Auftragsverarbeiters über verschlüsselte Verbindungen mit Schlüsselauthentifizierung; Protokollierung administrativer Zugriffe.

Zugriffskontrolle

• Rollen- und Berechtigungskonzept in der Software (Benutzertypen Administrator, Mitarbeiter, Partner, Partner-Mitarbeiter, Mandant; granulare Rechte je Funktion, Akte und Dokument).
• Zugriff von Mitarbeitern des Auftragsverarbeiters auf Inhaltsdaten des Verantwortlichen nur nach vorheriger Anforderung oder ausdrücklicher, zeitlich befristeter Freigabe durch den Verantwortlichen (in der Software unter Einstellungen → Support-Zugriffe); jeder Zugriff wird protokolliert.
• Verpflichtung aller Beschäftigten auf Vertraulichkeit und Datengeheimnis sowie Belehrung über die Strafbarkeit einer Verletzung fremder Geheimnisse nach § 203 Abs. 4 StGB.

Trennungskontrolle

• Getrennter Datenbestand je Kanzlei (mandantenbezogene Trennung auf Datenbank- und Speicherebene, keine gemeinsamen Tabellen); Trennung von Entwicklungs-, Test- und Produktivsystemen.

Pseudonymisierung und Anonymisierung

• Anonymisierungsschicht für KI-Funktionen: personenbezogene Angaben (Namen, Anschriften, Kennzeichen u. a.) werden erkannt und durch Platzhalter ersetzt, bevor Inhalte an ein KI-Modell übergeben werden; die Rückübersetzung erfolgt ausschließlich innerhalb der Software.
• Nutzungsstatistiken werden ausschließlich anonymisiert erhoben.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

• Sämtliche Verbindungen zwischen Endgeräten, Software und Schnittstellen sind TLS-verschlüsselt (HTTPS); Speicherung der Daten in verschlüsselter Form.
• beA-Nachrichten werden Ende-zu-Ende verschlüsselt übertragen; das Software-Zertifikat verbleibt beim Auftragsverarbeiter und wird ausschließlich verschlüsselt gespeichert.
• Datenübernahme bei einer Migration nur über verschlüsselte Übertragungswege oder verschlüsselte Datenträger.
• Backups werden verschlüsselt und ausschließlich in Rechenzentren in Deutschland gespeichert.

Eingabekontrolle

• Lückenloser Audit-Trail: jede speichernde Aktion wird mit Benutzer, Zeitpunkt und Inhalt protokolliert (System-Log, Log-Ansicht je Akte); die Protokolle sind für den Verantwortlichen einsehbar.
• Protokollierung administrativer Zugriffe und Support-Zugriffe des Auftragsverarbeiters.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Tägliche Backups aller Kanzleidaten mit Aufbewahrung von 30 Tagen; Disaster-Recovery-Plan mit Wiederherstellung innerhalb von 24 Stunden; regelmäßige Wiederherstellungs- und Business-Continuity-Tests.
• Zusätzliche tägliche Sicherungskopie sämtlicher Dokumente und Datenbanksicherungen bei einem zweiten, vom Hosting unabhängigen Anbieter in Deutschland (IONOS SE, Rechenzentrum Berlin). Die Daten werden vor der Übertragung mit AES-256 verschlüsselt, einschließlich der Dateinamen; der Schlüssel verbleibt ausschließlich beim Auftragsverarbeiter. Die Kopien sind gegen Löschen und Verändern gesperrt (Object Lock im Compliance-Modus, 30 Tage, fortlaufend verlängert); im Produktivsystem gelöschte Daten werden nach Ablauf dieser Sperre automatisch auch aus der Kopie entfernt.
• Redundante Netzanbindung, unterbrechungsfreie Stromversorgung und Notstromaggregate, Brandschutz sowie DDoS-Schutz in den Rechenzentren.
• Laufendes Monitoring der Systeme; Anzeige des Systemstatus in der Software (Verbindungsampel).
• Geplante Wartungsarbeiten ausschließlich in angekündigten Wartungsfenstern; Sicherheitsupdates werden zeitnah eingespielt.
• Jederzeitiger vollständiger Datenexport durch den Verantwortlichen über die Exportfunktionen der Software.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Datenschutz-Management: Verpflichtung und regelmäßige Sensibilisierung der Beschäftigten; benannter Ansprechpartner für Datenschutz und Informationssicherheit beim Auftragsverarbeiter.
• Incident-Response: dokumentierter Prozess zur Erkennung, Bewertung und Meldung von Sicherheitsvorfällen und Verletzungen des Schutzes personenbezogener Daten an den Verantwortlichen (Ziff. 8 dieser Vereinbarung).
• Auftragskontrolle: Einsatz von Unterauftragsverarbeitern nur auf Grundlage von Verträgen nach Art. 28 Abs. 4 DSGVO und Textform-Verpflichtung zur Verschwiegenheit nach § 43e Abs. 3 BRAO; Verzeichnis in Anlage 1b.
• Änderungs- und Freigabemanagement für Softwareänderungen; regelmäßige Überprüfung der Sicherheitsmaßnahmen und Berechtigungen.
• Löschkonzept: Löschung der Daten nach Vertragsende einschließlich der Sicherungskopien gemäß den AGB und Ziff. 10 dieser Vereinbarung.

Anlage 1b — Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt die nachfolgend aufgeführten Unterauftragsverarbeiter ein (Stand: Oktober 2026). Sämtliche Unterauftragsverarbeiter sind vertraglich nach Art. 28 Abs. 4 DSGVO gebunden und in Textform zur Verschwiegenheit verpflichtet. Änderungen teilt der Auftragsverarbeiter dem Verantwortlichen nach Ziff. 6 dieser Vereinbarung mit. Videokonferenzen werden auf eigenen Servern des Auftragsverarbeiters ohne Einschaltung Dritter betrieben; der E-Mail-Versand erfolgt über eigene Mailserver des Auftragsverarbeiters bei dem unter Nr. 1 genannten Rechenzentrumsbetreiber.

Teil A — Verarbeitung in Deutschland bzw. in der Europäischen Union

Teil B — Verarbeitung außerhalb der Europäischen Union

Zustimmung zu Teil B: Mit Einbeziehung dieser Vereinbarung stimmt der Verantwortliche dem Einsatz der in Teil B genannten Dienstleister für die Zustellung der Push-Benachrichtigungen des Team-Chats der App Advo.Hub unter den dort genannten Schutzmaßnahmen zu. Push-Benachrichtigungen werden ausschließlich für den Team-Chat verwendet und enthalten neben dem Geräte-Token nur den von einem Benutzer verfassten Nachrichtentext; systemseitig werden keine personenbezogenen Daten, insbesondere keine Akten- oder Mandantendaten, beigefügt. Ob und welche personenbezogenen Daten oder Mandatsgeheimnisse der Nachrichtentext enthält, bestimmen die Benutzer des Verantwortlichen selbst; der Verantwortliche wird seine Benutzer entsprechend anweisen. Jeder Benutzer kann Push-Benachrichtigungen und die Anzeige von Nachrichtenvorschauen jederzeit in der App oder am Endgerät abschalten. Der Verantwortliche kann die Zustimmung jederzeit mit Wirkung für die Zukunft in Textform widerrufen; Push-Benachrichtigungen werden dann für die Kanzlei nicht mehr versandt, die App bleibt im Übrigen nutzbar.

Teil C — Weitere Dienstleister ohne Zugriff auf Kanzleidaten (nachrichtlich)

Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg: Rechnungsstellung und Buchhaltung des Anbieters. Verarbeitet werden ausschließlich Vertrags- und Abrechnungsdaten des Verantwortlichen (Name, Anschrift, Bankverbindung, Rechnungsdaten) in eigener datenschutzrechtlicher Verantwortung des Anbieters; ein Zugriff auf Akten- oder Mandantendaten besteht nicht.

Apple Inc. (App Store) und Google Ireland Limited (Google Play) stellen die App Advo.Hub zum Download bereit. Der Vertrieb über die App Stores umfasst keine Verarbeitung von Kanzleidaten im Auftrag des Anbieters; die App kommuniziert ausschließlich mit den Servern des Anbieters (Teil A Nr. 1 und 2). Für die Zustellung der Push-Benachrichtigungen des Team-Chats gilt Teil B.