Auftragsverarbeitungsvertrag

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) · Fassung 2026-10-28

zwischen dem Kunden, der Sabeo nutzt („Verantwortlicher“), und der Sabeo GmbH, Röntgenstraße 13, 97230 Estenfeld, eingetragen im Handelsregister des Amtsgerichts Würzburg unter HRB 18818, vertreten durch den Geschäftsführer Raphael Juchler („Auftragsverarbeiter“). Der Vertrag wird bei der Registrierung abgeschlossen und ergänzt den Nutzungsvertrag (AGB).

1. Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software Sabeo als Online-Dienst bereit. Dabei verarbeitet er personenbezogene Daten, die der Verantwortliche in Sabeo speichert oder über Sabeo verarbeiten lässt, ausschließlich in dessen Auftrag.

(2) Der Vertrag gilt für die Dauer des Nutzungsvertrags, einschließlich Testphase, und bis zur vollständigen Löschung der Daten nach Abschnitt 10.

2. Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

Art der Verarbeitung: Speichern, Ordnen, Auslesen, Abfragen, Übermitteln (zum Beispiel Versand von Belegen und Nachrichten im Auftrag des Verantwortlichen), Sichern und Löschen.

Zweck: Betrieb der Unternehmenssoftware für den Verantwortlichen, insbesondere Kunden- und Lieferantenverwaltung, Angebote, Aufträge, Rechnungen und Buchhaltung, Einkauf und Lager, Personal- und Zeitwirtschaft, Disposition, Kommunikation, Dokumentenablage sowie die Unterstützung durch KI-Funktionen, jeweils soweit der Verantwortliche sie nutzt; außerdem Support und Fehlerbehebung.

Art der Daten: Stamm- und Kontaktdaten (Name, Anschrift, Telefon, E-Mail), Vertrags-, Auftrags- und Abrechnungsdaten, Bankverbindungen, Kommunikationsinhalte (E-Mails, Chat- und Messenger-Nachrichten), Dokumente und Bilder, Standort- und Adressdaten von Einsatzorten, Beschäftigtendaten (zum Beispiel Arbeitszeiten, Abwesenheiten, Qualifikationen), Nutzungs- und Protokolldaten der Anwendung. Besondere Kategorien nach Art. 9 DSGVO verarbeitet der Auftragsverarbeiter nur, soweit der Verantwortliche sie selbst in Sabeo erfasst (zum Beispiel Krankheitstage in der Abwesenheitsverwaltung).

Betroffene Personen: Kunden und Interessenten des Verantwortlichen sowie deren Ansprechpartner, Lieferanten und Geschäftspartner, Beschäftigte und Nutzer des Verantwortlichen.

3. Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der EU oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag, dem Nutzungsvertrag und der Bedienung der Anwendung durch den Verantwortlichen und seine Nutzer. Weitere Weisungen erteilt der Verantwortliche in Textform.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin.

4. Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Daten im Mandanten des Verantwortlichen nehmen Mitarbeiter des Auftragsverarbeiters nur, soweit es für Betrieb, Support oder Fehlerbehebung erforderlich ist; der Fernzugriff durch den Support erfolgt nur nach Freigabe durch den Verantwortlichen in der Anwendung.

5. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft Maßnahmen nach Art. 32 DSGVO, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Dazu gehören insbesondere:

Vertraulichkeit: Betrieb in Rechenzentren in Deutschland mit Zutrittskontrolle des Rechenzentrumsbetreibers; Zugang zur Anwendung nur mit persönlichem Benutzerkonto und Passwort; Rollen- und Rechtekonzept innerhalb des Mandanten; logische Trennung der Mandanten; Administrationszugänge auf Server nur über Schlüssel-Authentifizierung für einen eng begrenzten Personenkreis.

Integrität: Übertragung ausschließlich verschlüsselt (HTTPS/TLS); Protokollierung wesentlicher Änderungen in der Anwendung.

Verfügbarkeit und Belastbarkeit: regelmäßige Datensicherungen; Überwachung des Betriebs; Wiederherstellbarkeit aus Sicherungen.

Überprüfung: regelmäßige Überprüfung und Anpassung der Maßnahmen an den Stand der Technik. Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Der Auftragsverarbeiter verpflichtet sie vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

(2) Bei Abschluss dieses Vertrags sind folgende Unterauftragsverarbeiter eingesetzt:

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Rechenzentrum und Server (Hosting, Speicherung, Datensicherung), Standort Deutschland.
Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg – Versand von E-Mails aus der Anwendung (Amazon SES).
Anthropic, PBC, 548 Market Street, San Francisco, CA 94104, USA – KI-Funktionen (zum Beispiel Auslesen von Belegen, Textvorschläge), nur bei Nutzung dieser Funktionen.
OpenAI, L.L.C., 1455 3rd Street, San Francisco, CA 94158, USA – KI-Funktionen, Texterkennung und Spracherkennung, nur bei Nutzung dieser Funktionen.
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland – Adressauflösung und Entfernungsberechnung (Google Maps Platform), nur bei Nutzung der Karten- und Routenfunktionen.

Folgende Dienste setzt der Auftragsverarbeiter nur ein, wenn der Verantwortliche die zugehörige Funktion in Sabeo aktiviert: Twilio Ireland Limited (Dublin, Irland – SMS und WhatsApp), Meta Platforms Ireland Limited (Dublin, Irland – WhatsApp Business), LetterXpress (Deutschland – Briefversand).

(3) Soweit Unterauftragsverarbeiter Daten in einem Drittland verarbeiten, erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework), soweit der Empfänger zertifiziert ist, im Übrigen auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

(4) Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen mindestens vier Wochen vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

(5) Dienste, die der Verantwortliche selbst mit Sabeo verbindet (zum Beispiel sein eigenes E-Mail-Postfach, seine Bank oder eigene Zugänge zu KI-Anbietern), sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; für sie schließt der Verantwortliche bei Bedarf selbst einen Vertrag mit dem jeweiligen Anbieter.

7. Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Sabeo enthält dafür Funktionen zur Auskunft, zum Export und zur Löschung. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage an den Verantwortlichen weiter.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der ihm vorliegenden Informationen.

8. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, und stellt die Informationen bereit, die der Verantwortliche für seine Meldung nach Art. 33 DSGVO benötigt.

9. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach vorheriger Abstimmung zu den üblichen Geschäftszeiten und ohne Störung des Betriebs; vorrangig genügt die Vorlage aktueller Nachweise und Auskünfte.

10. Löschung und Rückgabe nach Vertragsende

Nach Ende des Nutzungsvertrags kann der Verantwortliche seine Daten noch 30 Tage über die Exportfunktionen abrufen. Danach löscht der Auftragsverarbeiter den Mandanten mit allen personenbezogenen Daten; Datensicherungen werden innerhalb von höchstens sieben weiteren Tagen überschrieben. Endet eine Testphase ohne Buchung, gilt die in der Anwendung angegebene Frist. Eine Pflicht zur weiteren Speicherung besteht nur, soweit das Recht der EU oder eines Mitgliedstaats sie für den Auftragsverarbeiter vorschreibt.

11. Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Fassung 2026-10-28 · Stand: 28.10.2026