Fassung vom 21.10.2026
nach Art. 28 Abs. 3 Verordnung (EU) 2016/679 (DSGVO)
Zwischen
dem Kunden, wie im Kundenkonto bzw. im Hauptvertrag bezeichnet,
nachfolgend „Verantwortlicher" oder „Kunde",
und
Vanturis UG (haftungsbeschränkt)
Hintergasse 12, 55237 Flonheim
Amtsgericht Mainz, HRB 54485
Geschäftsführer: Tim Plate, Tjorven Hüther
E-Mail: info@vanturis.de, Datenschutzkontakt: [PLATZHALTER datenschutz@vanturis.de]
nachfolgend „Auftragsverarbeiter" oder „Vanturis".
Hinweis zur Einordnung: Dieser AVV gilt ausschließlich für die SaaS-Buchhaltungssoftware Cento. Für Managed Services, E-Mail-Hosting und Wartefuchs gilt weiterhin der AVV unter https://vanturis.de/avv (Stand August 2026).
(1) Begriffe wie „personenbezogene Daten", „Verarbeitung", „Verletzung des Schutzes personenbezogener Daten" und „Unterauftragsverarbeiter" haben die Bedeutung nach Art. 4 DSGVO bzw. Art. 28 DSGVO.
(2) Bestandteile dieses AVV sind:
(3) „Hauptvertrag" sind die Nutzungsbedingungen bzw. der Abonnementvertrag über Cento. Bei Widersprüchen geht dieser AVV dem Hauptvertrag in allen Fragen des Datenschutzes vor. Zwischen AVV und Anlagen gilt: AVV vor Anlage 1 vor Anlage 3 vor Anlage 2.
(4) Die Anlagen sind inhaltlich an Anhang I bis III der Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/915 ausgerichtet. Verlangt der Kunde den Abschluss dieser Standardvertragsklauseln anstelle dieses AVV, stellt Vanturis sie mit den Anlagen 1 bis 4 als Anhängen zur Verfügung. Die Standardvertragsklauseln gehen dann diesem AVV vor (Klausel 2 lit. b, Klausel 4 der SCC).
(1) Gegenstand ist die Bereitstellung und der Betrieb der webbasierten Buchhaltungssoftware Cento als Software-as-a-Service durch Vanturis. Dazu gehören Speicherung, Anzeige, Auswertung, Export und Löschung der Daten, die der Kunde und seine Nutzer in Cento erfassen, hochladen oder über Schnittstellen abrufen lassen, sowie Support, Wartung, Datensicherung und Wiederherstellung.
(2) Einzelheiten zu Art und Zweck, Datenarten und Betroffenen ergeben sich aus Anlage 1.
(3) Dauer: Der AVV beginnt mit Annahme durch den Kunden (Registrierung, Buchung oder Bestätigung in Textform) und läuft so lange, wie Vanturis personenbezogene Daten für den Kunden verarbeitet. Das schließt die Exportfrist und die Abwicklung nach § 13 ein. Eine gesonderte Kündigung des AVV ist nicht vorgesehen. Pflichten zur Vertraulichkeit, Löschung und Nachweisführung gelten über das Ende hinaus fort.
(1) Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er allein beurteilt, ob die Verarbeitung zulässig ist, insbesondere für Daten Dritter in Belegen, für Bankdaten und für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (siehe Anlage 1 Ziff. 4).
(2) Vanturis verarbeitet die Daten nur als Auftragsverarbeiter. Nicht von diesem AVV erfasst sind Verarbeitungen, für die Vanturis selbst Verantwortlicher ist, insbesondere:
a) Vertrags-, Abrechnungs- und Zahlungsdaten des Kunden als Vertragspartner von Vanturis (Abonnement, Rechnungen an den Kunden, Zahlungsabwicklung über Stripe),
b) Registrierung, Missbrauchs- und Bot-Schutz sowie Sicherheitsprotokolle, soweit sie dem Schutz der Plattform insgesamt dienen,
c) Erfüllung eigener gesetzlicher Pflichten von Vanturis (z. B. §§ 147 AO, 257 HGB für eigene Geschäftsunterlagen).
Diese Verarbeitungen beschreibt die Datenschutzerklärung von Vanturis.
(3) Stellen, die der Kunde selbst einbindet und die gegenüber dem Kunden oder seinen Kontoinhabern eigenverantwortlich handeln, sind keine Unterauftragsverarbeiter von Vanturis. Dazu gehören kontoführende Banken und Zahlungsinstitute (z. B. Qonto), lizenzierte Kontoinformationsdienste (z. B. Enable Banking, soweit unter eigener Lizenz tätig) und Finanzbehörden (z. B. ELSTER-Übermittlung). Die Datenübermittlung an diese oder von diesen Stellen erfolgt auf Weisung des Kunden. Einzelheiten in Anlage 3 Teil B.
(1) Vanturis verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, Vanturis ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet. In diesem Fall teilt Vanturis dem Kunden die rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
(2) Die Weisungen sind zum Zeitpunkt des Vertragsschlusses abschließend festgelegt durch:
a) diesen AVV mit Anlagen,
b) den Hauptvertrag und die Leistungsbeschreibung,
c) die Konfiguration, die der Kunde oder seine berechtigten Nutzer in Cento vornehmen (z. B. Anlegen von Nutzern und Rollen, Verbinden eines Bankkontos, Aktivieren oder Deaktivieren der KI-Funktionen, Auslösen von Exporten und Löschungen).
(3) Einzelweisungen erteilt der Kunde in Textform (E-Mail, Support-Ticket, Funktion im Kundenkonto). Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform. Weisungsberechtigt sind die in Anlage 4 benannten Personen, mindestens aber Nutzer mit der Rolle „Inhaber" bzw. „Administrator".
(4) Ist Vanturis der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert Vanturis den Kunden unverzüglich. Vanturis darf die Ausführung bis zur Bestätigung oder Änderung durch den Kunden aussetzen. Eine Rechtsberatung schuldet Vanturis damit nicht.
(5) Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandelt Vanturis als Änderungswunsch. Vanturis kann den Mehraufwand nach Hauptvertrag gesondert vergüten lassen oder die Ausführung ablehnen, wenn sie technisch oder wirtschaftlich unzumutbar ist. Das Recht des Kunden, Weisungen zur Löschung, Einschränkung, Berichtigung und Herausgabe zu erteilen, bleibt unberührt.
(1) Vanturis verarbeitet die Daten ausschließlich zur Erbringung der Leistungen für den Kunden. Eine Nutzung für eigene Zwecke findet nicht statt. Das gilt ausdrücklich auch für:
a) das Training, Feintuning oder die Verbesserung von KI-Modellen mit Inhalten des Kunden,
b) Werbung, Profilbildung oder den Verkauf von Daten,
c) die Bildung von Branchen- oder Vergleichsstatistiken aus Inhalten des Kunden.
(2) Zulässig bleibt die Auswertung von Nutzungs- und Betriebsdaten (Anlage 1 Ziff. 2 lit. k), soweit sie für Betrieb, Sicherheit, Fehlerbehebung und Kapazitätsplanung von Cento erforderlich ist. Statistiken zur Produktnutzung erstellt Vanturis nur in anonymisierter oder aggregierter Form. Inhalte aus Belegen, Buchungen, Bankumsätzen oder Steuerdaten fließen nicht ein.
(3) Vanturis benennt einen Ansprechpartner für Datenschutz in Anlage 4. Ist Vanturis nach Art. 37 DSGVO oder § 38 BDSG zur Benennung eines Datenschutzbeauftragten verpflichtet, teilt Vanturis dessen Kontaktdaten mit.
(4) Vanturis führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
(5) Zuständige Aufsichtsbehörde für Vanturis ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz.
(1) Vanturis setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO), und die mit den einschlägigen Datenschutzvorschriften vertraut gemacht wurden. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.
(2) Personal von Vanturis greift auf Inhalte des Kunden (Belege, Buchungen, Bankumsätze, Steuerdaten) nur zu, wenn dies im Einzelfall erforderlich ist für:
a) die Bearbeitung einer Support-Anfrage, bei der ein dazu berechtigter Nutzer des Kunden (standardmäßig der Inhaber des Mandanten) den Zugriff für den betroffenen Mandanten freigegeben hat (zeitlich befristete Support-Freigabe in Cento),
b) die Behebung einer Störung oder eines Sicherheitsvorfalls,
c) eine vom Kunden beauftragte Wiederherstellung,
d) die Erfüllung einer gesetzlichen Pflicht,
e) einen Notfallzugriff (Break-Glass) zur Abwehr einer akuten, anders nicht rechtzeitig abwendbaren Gefahr für die Verfügbarkeit, Integrität oder Sicherheit von Cento oder der Kundendaten, wenn eine Freigabe nach lit. a nicht rechtzeitig eingeholt werden kann. Ein Notfallzugriff erfordert die Freigabe durch eine zweite berechtigte Person (Vier-Augen-Prinzip), ist auf das zur Gefahrenabwehr Erforderliche und auf höchstens [24 Stunden] beschränkt und wird vollständig protokolliert.
Support-Zugriffe erfolgen ausschließlich über eine gesonderte Backoffice-Sitzung mit eigener Kennung, nicht durch Anmeldung als Nutzer des Kunden. Jeder Zugriff wird protokolliert; Zugriffe nach lit. a bis c sind im Audit-Log des Mandanten für den Kunden einsehbar. Über Zugriffe ohne Freigabe (lit. b bis e) informiert Vanturis den Kunden unverzüglich, spätestens innerhalb von [72 Stunden], unter Angabe von Anlass, Umfang und Dauer. Verbietet Unionsrecht oder das Recht eines Mitgliedstaats die Mitteilung (z. B. § 95a Abs. 6 StPO), unterbleibt sie für die Dauer des Verbots und wird nachgeholt, sobald es entfällt. § 4 Abs. 1 Satz 2 und § 9 Abs. 5 bleiben unberührt.
(3) Automatisierte Verarbeitungen ohne menschliche Kenntnisnahme (Virenprüfung hochgeladener Dateien, Texterkennung, Backups, Integritätsprüfungen) sind keine Zugriffe im Sinne von Abs. 2.
(4) Besondere Kategorien und Steuerdaten (Anlage 1 Ziff. 4) sind in Cento gesondert verschlüsselt. Für Support-Zugriffe auf diese Felder ist eine ausdrückliche, gesonderte Freigabe des Kunden erforderlich.
(5) Berufsgeheimnisträger (optional, bei Nutzung durch Steuerberater, Rechtsanwälte, Wirtschaftsprüfer oder Ärzte): Vanturis verpflichtet die mitwirkenden Personen in Textform zur Verschwiegenheit und belehrt sie über die strafrechtlichen Folgen nach § 203 StGB. Vanturis beachtet die Anforderungen an Dienstleister nach § 62a StBerG, § 43e BRAO bzw. vergleichbaren Berufsrechten. Unterauftragsverarbeiter werden entsprechend verpflichtet, soweit sie Kenntnis von geschützten Inhalten erlangen können.
(1) Vanturis trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Sie berücksichtigen den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung und das Risiko für die Rechte und Freiheiten der Betroffenen. Wegen der Bank- und Steuerdaten und möglicher Daten nach Art. 9 DSGVO legt Vanturis ein hohes Schutzniveau zugrunde.
(2) Kernzusagen, die Vanturis ohne Zustimmung des Kunden nicht unterschreitet:
a) Verschlüsselung aller Übertragungen mit TLS 1.2 oder höher (Empfehlungen BSI TR-02102-2),
b) Verschlüsselung ruhender Daten (Datenträger, Datenbank-Backups, Objektspeicher) mit AES-256 (GCM oder XTS),
c) zusätzliche anwendungsseitige Verschlüsselung (Envelope-Encryption, mandantenbezogene Schlüssel) für Bank-Zugangsdaten, Tokens, besondere Kategorien und Belegdateien,
d) mandantenscharfe Trennung durch Row-Level Security in PostgreSQL,
e) Pflicht zur Zwei-Faktor-Authentifizierung für alle Nutzer (ein Passkey mit Nutzerverifikation genügt allein; kein SMS-Faktor) und für alle administrativen Zugänge von Vanturis,
f) rollenbasiertes Berechtigungskonzept (RBAC) nach dem Minimalprinzip,
g) manipulationsgeschütztes Audit-Log mit Hash-Verkettung,
h) tägliche verschlüsselte Backups mit Object Lock und dokumentierten Wiederherstellungstests,
i) Datenverarbeitung und Speicherung ausschließlich in Rechenzentren in Deutschland bzw. der EU; KI-Verarbeitung nur in EU-Regionen,
j) jährlicher Penetrationstest durch eine unabhängige Stelle.
(3) Vanturis darf die Maßnahmen an die technische Entwicklung anpassen. Das Schutzniveau nach Abs. 2 und Anlage 2 darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert Vanturis und teilt sie dem Kunden auf Anfrage oder über die Änderungshistorie der Anlage 2 mit.
(4) Vanturis überprüft die Wirksamkeit der Maßnahmen regelmäßig, mindestens jährlich, sowie anlassbezogen nach Sicherheitsvorfällen und wesentlichen Architekturänderungen (Art. 32 Abs. 1 lit. d DSGVO).
(1) Der Kunde erteilt Vanturis eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern (Art. 28 Abs. 2 Satz 1 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter in Anlage 3 Teil A gelten als genehmigt.
(2) Optionale Unterauftragsverarbeiter (in Anlage 3 als „optional" gekennzeichnet, z. B. AWS Bedrock für KI-Funktionen) werden für den Kunden erst tätig, wenn der Kunde die zugehörige Funktion aktiviert. Die KI-Funktionen sind standardmäßig ausgeschaltet; der Inhaber der Organisation aktiviert sie für die Organisation, zusätzlich lassen sie sich je Mandant abschalten. Die Aktivierung gilt als Weisung und Genehmigung. Mit Deaktivierung endet die Übermittlung an diesen Unterauftragsverarbeiter für die Zukunft.
(3) Änderungen: Vanturis informiert den Kunden mindestens 30 Tage vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters in Textform (E-Mail an die Kontoadresse und Hinweis im Kundenkonto). Die Mitteilung nennt Name, Sitz, Tätigkeit, Datenstandort und gegebenenfalls die Garantie für Drittlandübermittlungen.
(4) Widerspruch: Der Kunde kann innerhalb von 14 Tagen nach Zugang der Mitteilung in Textform widersprechen. Der Widerspruch ist zu begründen; als Grund genügt jeder sachliche datenschutzrechtliche Einwand. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Vanturis weist in der Mitteilung auf diese Folge hin.
(5) Bei Widerspruch bemühen sich die Parteien innerhalb von 30 Tagen um eine Lösung, etwa durch Verzicht auf den Unterauftragsverarbeiter für diesen Kunden oder durch Deaktivierung der betroffenen Funktion. Gelingt dies nicht, kann der Kunde den Hauptvertrag mit Wirkung zum Zeitpunkt des Wechsels außerordentlich kündigen. Vanturis erstattet im Voraus gezahlte Entgelte für die Zeit nach Wirksamwerden der Kündigung anteilig. Die Exportfrist nach § 13 gilt entsprechend.
(6) Notfallwechsel: Muss ein Unterauftragsverarbeiter wegen Insolvenz, Sicherheitsvorfall, Wegfall einer Übermittlungsgarantie oder behördlicher Anordnung kurzfristig ersetzt werden, darf Vanturis die Frist nach Abs. 3 verkürzen. Vanturis informiert den Kunden dann unverzüglich, Abs. 4 und 5 gelten entsprechend. Der Ersatz muss ein mindestens gleichwertiges Schutzniveau bieten.
(7) Vanturis schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser AVV, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Bei Standardverträgen großer Anbieter (AWS, Stripe, Hetzner) prüft Vanturis die Gleichwertigkeit und dokumentiert Abweichungen. Vanturis haftet gegenüber dem Kunden für die Einhaltung der Pflichten durch den Unterauftragsverarbeiter (Art. 28 Abs. 4 Satz 2 DSGVO).
(8) Keine Unterauftragsverhältnisse sind Nebenleistungen ohne Zugriff auf Kundendaten (z. B. Telekommunikations- und Transportdienste, Reinigung, Hardware-Entsorgung durch das Rechenzentrum im Rahmen dessen eigener Pflichten) sowie die in Anlage 3 Teil B genannten eigenverantwortlichen Stellen. Vanturis betreibt außerdem verschiedene Dienste selbst auf eigener Infrastruktur (Anlage 3 Teil C); diese sind keine Unterauftragsverarbeiter.
(9) Vanturis stellt dem Kunden auf Anfrage eine Kopie der Datenschutzvereinbarung mit einem Unterauftragsverarbeiter zur Verfügung. Geschäftsgeheimnisse dürfen geschwärzt werden.
(1) Vanturis speichert und verarbeitet Kundendaten im Regelbetrieb ausschließlich im Europäischen Wirtschaftsraum, vorrangig in Deutschland. Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nur auf dokumentierte Weisung des Kunden und nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.
(2) Als Weisung gilt die Genehmigung eines Unterauftragsverarbeiters nach § 8, für den Anlage 3 eine Drittlandübermittlung oder einen Fernzugriff aus einem Drittland ausweist.
(3) Stützt sich eine Übermittlung auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795), sorgt Vanturis dafür, dass zusätzlich die Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 (Modul 3, Auftragsverarbeiter an Unterauftragsverarbeiter) vereinbart sind oder vereinbart werden können. Diese greifen, falls der Angemessenheitsbeschluss aufgehoben, ausgesetzt oder für ungültig erklärt wird.
(4) Auch bei Unterauftragsverarbeitern mit Sitz im EWR, deren Konzernmutter in einem Drittland sitzt, prüft Vanturis das Risiko eines Zugriffs durch Drittlandbehörden und dokumentiert diese Prüfung (Transfer Impact Assessment bzw. Risikobewertung). Zusätzliche Maßnahmen beschreibt Anlage 2 Ziff. 12.
(5) Erhält Vanturis ein behördliches Ersuchen auf Herausgabe von Kundendaten, prüft Vanturis dessen Rechtmäßigkeit, informiert den Kunden unverzüglich, soweit dies rechtlich zulässig ist, und gibt nur das Minimum heraus, zu dem Vanturis verpflichtet ist. Ersuchen von Behörden eines Drittlands, die nicht auf eine internationale Übereinkunft gestützt sind, beantwortet Vanturis nicht ohne vorherige Prüfung nach Art. 48 DSGVO.
(1) Betroffenenrechte (Art. 12 bis 22 DSGVO): Cento stellt Funktionen bereit, mit denen der Kunde Daten selbst suchen, exportieren (maschinenlesbar), berichtigen, einschränken und löschen kann. Wo diese nicht ausreichen, unterstützt Vanturis den Kunden mit geeigneten Maßnahmen. Gesetzliche Aufbewahrungspflichten des Kunden (insbesondere § 147 AO, § 257 HGB) sind vom Kunden selbst zu beurteilen; Cento kann Löschungen innerhalb laufender Aufbewahrungsfristen technisch sperren, wenn der Kunde dies konfiguriert.
(2) Anfragen von Betroffenen, die bei Vanturis eingehen und erkennbar den Kunden betreffen, leitet Vanturis unverzüglich, spätestens innerhalb von 3 Werktagen, an den Kunden weiter. Vanturis beantwortet sie nicht selbst, es sei denn, der Kunde weist dies an.
(3) Sicherheit, Meldungen, DSFA: Vanturis unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO. Für eine Datenschutz-Folgenabschätzung stellt Vanturis eine Beschreibung der Verarbeitung, der Risiken aus Sicht des Anbieters und der Schutzmaßnahmen bereit (Muster-DSFA-Bausteine).
(4) Vergütung: Unterstützungsleistungen, die über die Selbstbedienungsfunktionen und einen angemessenen Umfang hinausgehen, kann Vanturis nach den Sätzen des Hauptvertrags abrechnen. Keine Vergütung fällt an, wenn die Unterstützung auf einem Verstoß von Vanturis gegen diesen AVV oder gegen die DSGVO beruht.
(1) Vanturis meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, unverzüglich, spätestens innerhalb von 24 Stunden, nachdem Vanturis von ihr Kenntnis erlangt hat (Art. 33 Abs. 2 DSGVO). Kenntnis liegt vor, sobald Vanturis mit hinreichender Sicherheit festgestellt hat, dass ein Sicherheitsvorfall zu einer Verletzung des Schutzes personenbezogener Daten geführt hat. Ein begründeter Verdacht genügt für eine vorläufige Meldung; Vanturis wartet nicht ab, bis alle Einzelheiten geklärt sind.
(2) Die Meldung erfolgt an die in Anlage 4 benannte Stelle per E-Mail und zusätzlich über einen Hinweis im Kundenkonto. Sie enthält, soweit bekannt:
a) Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze,
b) Name und Kontaktdaten eines Ansprechpartners bei Vanturis,
c) wahrscheinliche Folgen der Verletzung,
d) ergriffene oder vorgeschlagene Maßnahmen zur Behebung und zur Abmilderung nachteiliger Auswirkungen,
e) Zeitpunkt bzw. Zeitraum der Verletzung und Zeitpunkt der Kenntnisnahme.
(3) Informationen, die noch nicht vorliegen, reicht Vanturis schrittweise nach, ohne unangemessene weitere Verzögerung, mindestens in Abständen von 24 Stunden, bis der Vorfall abgeschlossen ist. Abschließend erhält der Kunde einen Bericht mit Ursache und Abhilfemaßnahmen.
(4) Vanturis unterstützt den Kunden bei der Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und bei der Benachrichtigung der Betroffenen (Art. 34 DSGVO). Vanturis meldet Verletzungen nicht selbst an Aufsichtsbehörden oder Betroffene im Namen des Kunden, außer auf Weisung oder wenn Vanturis gesetzlich dazu verpflichtet ist.
(5) Betrifft ein Vorfall mehrere Kunden, darf Vanturis die Meldung in einheitlicher Form versenden. Daten anderer Kunden werden dabei nicht offengelegt.
(6) Die Meldung ist kein Anerkenntnis eines Verschuldens oder einer Haftung.
(7) Vanturis dokumentiert alle Sicherheitsvorfälle mit Bezug zu Kundendaten, auch solche ohne Meldepflicht, und stellt die Dokumentation dem Kunden auf Anfrage zur Verfügung.
(1) Vanturis speichert Kundendaten während der Laufzeit, solange der Kunde sie nicht selbst löscht.
(2) Löschung durch den Kunden während der Laufzeit wirkt im Produktivsystem sofort bzw. innerhalb von 24 Stunden (z. B. nach Ablauf einer Papierkorb-Frist, wenn der Kunde diese aktiviert hat).
(3) Backups: Zum Schutz vor Datenverlust und Ransomware sichert Vanturis die Daten täglich in unveränderbare Backups (Object Lock). Ein gesperrtes Backup kann vor Ablauf der Sperrfrist technisch nicht verändert oder gelöscht werden, auch nicht durch Vanturis. Daher gilt für Daten, die im Produktivsystem gelöscht wurden:
a) Die Daten bleiben bis zum Ablauf der Backup-Aufbewahrung in den Backups enthalten. Die maximale Aufbewahrung beträgt 35 Tage ab Erstellung des jeweiligen Backups. Danach werden die Backups automatisch gelöscht.
b) Bis dahin ist die Verarbeitung der Daten in den Backups eingeschränkt (Art. 18 DSGVO entsprechend): Backups werden ausschließlich zur Wiederherstellung nach einem Datenverlust oder Sicherheitsvorfall verwendet, nicht für andere Zwecke.
c) Wird ein Backup eingespielt, wendet Vanturis vor Freigabe des wiederhergestellten Systems ein Löschprotokoll an (Lösch-Tombstones), sodass zuvor gelöschte Daten nicht wieder verfügbar werden.
d) Belegdateien, Bank-Zugangsdaten und besondere Kategorien sind mit mandantenbezogenen Schlüsseln verschlüsselt. Bei Löschung eines Mandanten vernichtet Vanturis diese Schlüssel. Die entsprechenden Daten in Backups sind dann nicht mehr lesbar (kryptografische Löschung).
(4) Nutzungs-, Protokoll- und Betriebsdaten speichert Vanturis höchstens wie folgt, sofern nicht im Einzelfall zur Aufklärung eines Sicherheitsvorfalls länger erforderlich:
| Datenart | Höchstdauer |
|---|---|
| Webserver- und Zugriffsprotokolle (IP-Adresse gekürzt nach 7 Tagen) | 30 Tage |
| Sicherheitsprotokolle (Anmeldungen, fehlgeschlagene Logins, Admin-Aktionen von Vanturis) | 90 Tage |
| Fehlerberichte (GlitchTip), personenbezogene Felder gefiltert | 90 Tage |
| Support-Tickets und Anhänge (Screenshots) | 12 Monate nach Abschluss des Tickets, Anhänge 90 Tage; als Geschäftsbrief gekennzeichnete Tickets 6 Jahre |
| Produktanalyse (nur serverseitig erhoben und aggregiert, ohne Inhalte, ohne Nutzerkennung) | nur zusammengefasste Zahlen ohne Personenbezug |
| Audit-Log des Mandanten | Laufzeit des Mandanten (Bestandteil der Buchführungsdaten des Kunden, siehe Anlage 2 Ziff. 8) |
(1) Exportfrist: Nach Ende des Hauptvertrags kann der Kunde seine Daten noch 60 Tage lang exportieren (Exportfrist, einheitlich mit § 20 der AGB). Cento bleibt in dieser Zeit im Lesemodus zugänglich. Die Exportfrist liegt über der Mindestfrist von 30 Tagen für den Datenabruf nach Art. 25 Abs. 2 lit. g Verordnung (EU) 2023/2854 (Data Act).
(2) Formate: Der Export umfasst mindestens:
a) alle Belege und Dokumente in Originalform (PDF, Bild, XML/E-Rechnung),
b) Buchungs- und Stammdaten in einem offenen, maschinenlesbaren Format (CSV/JSON) sowie im DATEV-Format,
c) einen Export für den Datenzugriff der Finanzverwaltung nach § 147 Abs. 6 AO (GoBD-Datenträgerüberlassung, Beschreibungsstandard),
d) das Audit-Log des Mandanten.
(3) Aufbewahrungspflichten des Kunden: Vanturis übernimmt keine Aufbewahrung im Sinne von § 147 AO oder § 257 HGB für den Kunden, sofern dies nicht gesondert vereinbart wird. Der Kunde ist selbst dafür verantwortlich, seine Daten vor Ablauf der Exportfrist zu sichern. Bucht der Kunde bis zum Ablauf der Exportfrist den Archivmodus (Nur-Lese-Plan, § 20 Abs. 7 AGB), gilt dies als dokumentierte Weisung, die Daten für dessen Dauer weiter zu speichern und nur lesend bereitzustellen. Dieser AVV gilt für diese Zeit unverändert fort. Mit dem Ende des Archivmodus beginnt die Exportfrist nach Abs. 1 erneut; danach gilt Abs. 4. Eine Aufbewahrung im Sinne von § 147 AO oder § 257 HGB für den Kunden übernimmt Vanturis auch im Archivmodus nicht.
(4) Löschung: Nach Ablauf der Exportfrist löscht Vanturis sämtliche Kundendaten im Produktivsystem innerhalb von 14 Tagen. Dabei vernichtet Vanturis zuerst die mandantenbezogenen Schlüssel (kryptografische Löschung, wirkt sofort auch auf Backups) und löscht danach die Daten selbst. Daten in Backups werden nach § 12 Abs. 3 mit Ablauf der Backup-Aufbewahrung gelöscht. Spätestens 109 Tage nach Vertragsende (60 Tage Export, 14 Tage Löschung, 35 Tage Backup-Rotation) sind keine Kundendaten mehr bei Vanturis oder seinen Unterauftragsverarbeitern vorhanden.
(5) Der Kunde kann bis zum Vertragsende in Textform verlangen, dass Vanturis die Daten ohne Exportfrist sofort löscht. Abs. 4 Satz 2 gilt dann entsprechend.
(6) Ausgenommen sind Daten, für die Vanturis selbst Verantwortlicher ist (§ 3 Abs. 2), insbesondere Vertrags- und Rechnungsdaten des Kunden. Verwaltungsmetadaten zum Kundenkonto (z. B. Mandanten-ID) bewahrt Vanturis höchstens 90 Tage nach Abschluss der Löschung auf und anonymisiert oder löscht sie dann. Zum Nachweis der ordnungsgemäßen Löschung (Art. 5 Abs. 2, Art. 28 Abs. 3 lit. g und h DSGVO) und zur Abwehr von Ansprüchen bewahrt Vanturis als eigener Verantwortlicher einen Löschnachweis auf. Er enthält nur Mandanten-ID, Umfang und Zeitpunkte der Löschung, keine Inhalte. Vanturis löscht ihn drei Jahre nach dem Ende des Jahres der Löschung (§§ 195, 199 BGB), bei laufenden Verfahren nach deren Abschluss. Rechnungen an den Kunden bewahrt Vanturis nach den steuer- und handelsrechtlichen Fristen auf.
(7) Muss Vanturis Kundendaten aufgrund einer gesetzlichen Pflicht nach Unionsrecht oder dem Recht eines Mitgliedstaats länger speichern, schränkt Vanturis die Verarbeitung auf diesen Zweck ein und löscht die Daten nach Wegfall der Pflicht.
(8) Vanturis bestätigt die Löschung auf Anfrage in Textform, unter Angabe des Datums der Löschung im Produktivsystem und des Datums, zu dem das letzte Backup abläuft.
(1) Vanturis stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), insbesondere:
a) die aktuelle Fassung der Anlage 2 (TOMs) mit Änderungshistorie,
b) eine Zusammenfassung des letzten Penetrationstests (Management Summary, Behebungsstand),
c) Nachweise der Unterauftragsverarbeiter (z. B. ISO/IEC-27001-Zertifikat, Prüfbericht zu den TOMs von Hetzner, SOC-2/C5-Berichte von AWS), soweit Vanturis zur Weitergabe berechtigt ist,
d) auf Anfrage Antworten auf einen angemessenen Sicherheitsfragebogen, höchstens einmal je Kalenderjahr.
(2) Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber von Vanturis ist, kann die Einhaltung durch Inspektionen überprüfen. Vor-Ort-Inspektionen sind mindestens 14 Tage im Voraus in Textform anzukündigen, finden während der Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Ohne konkreten Anlass sind sie auf eine je Kalenderjahr begrenzt. Nach einer gemeldeten Datenschutzverletzung oder auf Verlangen einer Aufsichtsbehörde gilt diese Beschränkung nicht, die Ankündigungsfrist verkürzt sich dann auf 3 Werktage.
(3) Inspektionen beziehen sich auf die Organisation von Vanturis. Die Rechenzentren der Unterauftragsverarbeiter sind nicht Teil einer Vor-Ort-Prüfung durch den Kunden; insoweit gelten die Nachweise nach Abs. 1 lit. c. Daten anderer Kunden werden nicht offengelegt.
(4) Kosten der Prüfung trägt jede Partei selbst. Übersteigt der Aufwand von Vanturis einen Personentag, kann Vanturis diesen nach Hauptvertrag abrechnen, es sei denn, die Prüfung deckt einen wesentlichen Verstoß von Vanturis auf; die Abrechnung darf die Ausübung des Prüfrechts nicht unverhältnismäßig erschweren.
(5) Vanturis unterstützt Prüfungen durch die zuständige Aufsichtsbehörde des Kunden.
(1) Für den Ersatz von Schäden, die einer betroffenen Person entstehen, gilt Art. 82 DSGVO. Vanturis haftet danach nur, wenn Vanturis seine speziell den Auftragsverarbeitern auferlegten Pflichten nicht eingehalten oder unter Nichtbeachtung oder gegen die rechtmäßig erteilten Weisungen des Kunden gehandelt hat (Art. 82 Abs. 2 Satz 2 DSGVO).
(2) Im Innenverhältnis tragen die Parteien Schäden nach ihrem jeweiligen Anteil an der Verantwortung (Art. 82 Abs. 5 DSGVO). Hat eine Partei einen Betroffenen voll entschädigt, kann sie bei der anderen Partei Rückgriff nehmen, soweit diese verantwortlich ist.
(3) Für sonstige Ansprüche der Parteien untereinander gelten die Haftungsregeln des Hauptvertrags. Diese Beschränkungen gelten nicht bei Vorsatz, grober Fahrlässigkeit, Verletzung von Leben, Körper oder Gesundheit sowie bei Ansprüchen nach dem Produkthaftungsgesetz.
(4) Bußgelder nach Art. 83 DSGVO trägt die Partei, gegen die sie verhängt werden. Ein vertraglicher Ausgleich von Bußgeldern ist nicht vereinbart.
(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für:
a) eine Rechtsgrundlage für Daten Dritter in Belegen, Kontakten und Bankumsätzen,
b) die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO gegenüber seinen Kunden, Lieferanten und Beschäftigten,
c) eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO, wenn er besondere Kategorien verarbeitet (insbesondere Religionszugehörigkeit von Ehegatten oder Lebenspartnern im Rahmen der Einkommensteuer),
d) die Vergabe von Rollen und Zugängen an seine Nutzer sowie die sichere Verwahrung von Zugangsdaten und zweiten Faktoren,
e) die Entscheidung, ob KI-Funktionen und Bankverbindungen aktiviert werden.
(2) Der Kunde informiert Vanturis unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform und der aktiven Zustimmung des Kunden (z. B. Bestätigung im Kundenkonto). Vanturis teilt Änderungen mindestens 30 Tage vorher in Textform mit, stellt die Änderungen der bisherigen Fassung gegenüber, begründet sie und erinnert vor Ablauf der Frist mindestens einmal. Stimmt der Kunde nicht zu, gilt die bisherige Fassung fort. Ist die Änderung zur Erfüllung zwingender gesetzlicher oder behördlicher Vorgaben erforderlich und stimmt der Kunde nicht innerhalb von [60 Tagen] nach der Mitteilung zu, können beide Parteien den Hauptvertrag mit einer Frist von [einem Monat] kündigen; im Voraus gezahlte Entgelte erstattet Vanturis anteilig, § 13 gilt. Zwingende Vorschriften der DSGVO gelten unabhängig davon. Vanturis protokolliert Zeitpunkt, zustimmende Person und Fassung jeder Zustimmung. Für den Wechsel von Unterauftragsverarbeitern gilt allein § 8.
(2) Der AVV ist in elektronischem Format abgeschlossen (Art. 28 Abs. 9 DSGVO).
(3) Sind einzelne Bestimmungen unwirksam, bleibt der Rest wirksam. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen von Art. 28 DSGVO entspricht.
(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Mainz, soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
(5) Zurückbehaltungsrechte in Bezug auf Kundendaten und Datenträger sind ausgeschlossen.
| Vorgang | Zweck |
|---|---|
| Hosting, Speicherung, Datenbankbetrieb | Bereitstellung von Cento |
| Erfassung, Upload und Texterkennung (OCR) von Belegen | Digitalisierung und Zuordnung von Belegen |
| Abruf von Bankumsätzen über Qonto-API, FinTS oder einen PSD2-Kontoinformationsdienst | Kontenabgleich, Zuordnung von Zahlungen zu Belegen |
| Buchhaltung, Auswertungen, Steuerberechnungen und Erstellung von Steuererklärungen bzw. Voranmeldungen | Erfüllung der Buchführungs- und Steuerpflichten des Kunden |
| Übermittlung an die Finanzverwaltung (ELSTER/ERiC) auf Auslösung durch den Kunden | Abgabe von Steuererklärungen |
| Rechnungserstellung und Versand (E-Mail, E-Rechnung) | Fakturierung des Kunden an seine Kunden |
| KI-gestützte Vorschläge (Belegerkennung, Kontierung) über AWS Bedrock, optional, standardmäßig aus | Automatisierung, nur bei Aktivierung durch den Kunden |
| Push- und E-Mail-Benachrichtigungen ohne inhaltliche Details | Hinweis auf neue Belege, Fristen, Freigaben |
| Support einschließlich freiwillig übermittelter Screenshots | Bearbeitung von Anfragen |
| Datensicherung und Wiederherstellung | Verfügbarkeit, Integrität |
| Protokollierung, Fehlerüberwachung, Virenprüfung | Sicherheit und Betrieb |
| Export und Löschung | Rückgabe und Datenminimierung |
a) Stammdaten des Kunden und seiner Nutzer: Name, Firma, Anschrift, E-Mail, Telefon, Rolle, Steuernummer, USt-IdNr., Wirtschafts-Identifikationsnummer, Spracheinstellungen.
b) Zugangs- und Authentifizierungsdaten: Benutzername, Passwort-Hash, Passkey-Public-Keys, TOTP-Secrets (verschlüsselt), Sitzungsdaten.
c) Kontaktdaten Dritter (Kunden, Lieferanten, Geschäftspartner des Kunden): Name, Firma, Ansprechpartner, Anschrift, E-Mail, Telefon, IBAN, BIC, USt-IdNr., Steuernummer, Kundennummer, Zahlungsbedingungen.
d) Belege und Rechnungen: Inhalte von Eingangs- und Ausgangsrechnungen, Quittungen, Verträgen, Kontoauszügen. Sie können beliebige personenbezogene Daten Dritter enthalten, auch besondere Kategorien (siehe Ziff. 4).
e) Bankdaten: Kontoinhaber, IBAN, Kontostände, Umsätze mit Name des Zahlungspartners, Verwendungszweck und Betrag; Zugangs-Tokens bzw. Zugangsdaten für Qonto, FinTS oder den Kontoinformationsdienst (verschlüsselt). Die FinTS-PIN wird nie gespeichert.
f) Buchungsdaten: Buchungssätze, Konten, Kostenstellen, Anlagenverzeichnis, offene Posten, Zahlungsläufe.
g) Steuerdaten des Unternehmens: Umsatzsteuer-Voranmeldungen, Zusammenfassende Meldungen, EÜR, Bilanz, Gewerbesteuer, Steuerbescheide, Kommunikation mit dem Finanzamt.
h) Private Steuerdaten bei Einzelunternehmern (Einkommensteuer): Steuer-Identifikationsnummer, Geburtsdatum, Familienstand, Daten des Ehegatten oder eingetragenen Lebenspartners, Kinder (Name, Geburtsdatum, Steuer-ID, Kindschaftsverhältnis), Religionszugehörigkeit für die Kirchensteuer, Sonderausgaben, außergewöhnliche Belastungen, Vorsorgeaufwendungen, Einkünfte aus anderen Einkunftsarten.
i) Beschäftigtendaten, soweit sie in Belegen oder Buchungen erscheinen (z. B. Lohnbuchungen, Reisekosten). Eine Lohnabrechnung ist nicht Leistungsgegenstand.
j) Support-Daten: Anfrageinhalte, Korrespondenz, optionale Screenshots (können beliebige angezeigte Daten enthalten).
k) Nutzungs- und Protokolldaten: IP-Adresse, Zeitstempel, aufgerufene Funktionen, Geräte- und Browserinformationen, Push-Tokens, Fehlermeldungen, Audit-Log-Einträge.
Folgende besondere Kategorien können verarbeitet werden:
| Quelle | Art. 9-Kategorie |
|---|---|
| Kirchensteuermerkmal (Religionszugehörigkeit des Kunden, Ehegatten, Lebenspartners) | religiöse oder weltanschauliche Überzeugungen |
| Krankheitskosten, Pflege, Behinderung (Pauschbetrag, Grad der Behinderung) als außergewöhnliche Belastung, Arzt- und Apothekenbelege | Gesundheitsdaten |
| Gewerkschaftsbeiträge als Werbungskosten | Gewerkschaftszugehörigkeit |
| Spenden und Beiträge an politische Parteien (§ 10b EStG, § 34g EStG) | politische Meinungen |
| Kirchenbeiträge, Spenden an Religionsgemeinschaften | religiöse Überzeugungen |
| beliebige Belege Dritter | nicht vorhersehbar |
Schutzmaßnahmen hierfür: Anlage 2 Ziff. 13. Diese Daten werden nicht an KI-Unterauftragsverarbeiter übermittelt, auch wenn der Kunde die KI-Funktionen aktiviert hat, sofern sie als solche erkennbar sind (Felder der Einkommensteuer-Erfassung). Bei frei hochgeladenen Belegen ist eine sichere Erkennung nicht möglich; hierauf weist Cento bei Aktivierung der KI-Funktion hin.
Personenbezogene Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) sind nicht Gegenstand der Verarbeitung, können aber in Belegen enthalten sein (z. B. Bußgeldbescheide, Strafverteidigerkosten).
Fortlaufend während der Vertragslaufzeit.
Rechenzentren der Hetzner Online GmbH in Deutschland (Nürnberg, Falkenstein). KI-Verarbeitung, sofern aktiviert, in EU-Regionen von AWS. Einzelheiten Anlage 3.
Siehe Anlage 2: Technische und organisatorische Maßnahmen.
Siehe Anlage 3: Unterauftragsverarbeiter.
Kunde: Inhaber und Administratoren des Mandanten laut Nutzerverwaltung in Cento. Datenschutzkontakt des Kunden: im Kundenkonto unter [PLATZHALTER Einstellungen > Datenschutz] zu hinterlegen. Ist dort niemand hinterlegt, gilt die E-Mail-Adresse des Inhabers.
Vanturis:
| Funktion | Kontakt |
|---|---|
| Weisungsempfänger | Tim Plate, Tjorven Hüther (Geschäftsführung), info@vanturis.de |
| Datenschutzkontakt | [PLATZHALTER datenschutz@vanturis.de] |
| Meldung von Sicherheitsvorfällen | [PLATZHALTER security@vanturis.de], Telefon +49 6734 9155314 |
| Datenschutzbeauftragter | [PLATZHALTER, falls benannt] |