Auftragsverarbeitungsvertrag (AVV) einschließlich Vereinbarung nach § 43e BRAO

Vertragsparteien

Verantwortlicher: der Kunde des Gebührenportals, der den Dienst mit einem Nutzerkonto nutzt, insbesondere eine Rechtsanwältin, ein Rechtsanwalt oder eine Kanzlei, mit den im Nutzerkonto hinterlegten Angaben (nachfolgend „Auftraggeber“)

Auftragsverarbeiter: AmNi Software Solutions UG (haftungsbeschränkt), Pestalozzistraße 25, 22305 Hamburg, vertreten durch Amir Heyder, Amtsgericht Hamburg, HRB 190763, E-Mail: kontakt@gebuehren-portal.de (nachfolgend „Auftragnehmer“ oder „Auftragsverarbeiter“)

Präambel

Der Auftraggeber nutzt das Gebührenportal (gebuehren-portal.de und die zugehörige App, nachfolgend „Dienst“) unter anderem für Gebührenberechnungen, Rechnungen, Akten, Kontakte, Fristen, die Zeiterfassung und das Mandantenportal. Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Der Auftraggeber ist in der Regel Berufsgeheimnisträger im Sinne von § 203 Abs. 1 Nr. 3 StGB und nach § 43a Abs. 2 BRAO zur Verschwiegenheit verpflichtet; die Daten, die er im Dienst verarbeitet, können dieser Verschwiegenheitspflicht unterliegen. Dieser Vertrag regelt die Pflichten der Parteien nach Art. 28 DSGVO und enthält zugleich die Vereinbarung über die Inanspruchnahme von Dienstleistungen nach § 43e BRAO. Unterliegt der Auftraggeber einer vergleichbaren beruflichen Verschwiegenheitspflicht nach anderen Vorschriften, gelten die Regelungen zum Schutz von Berufsgeheimnissen entsprechend.

§ 1 Gegenstand, Geltungsbereich und Verhältnis zu anderen Vereinbarungen

1.1 Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die der Auftraggeber und die Nutzer seines Kontos in den Dienst eingeben, dort hochladen oder mit dem Dienst erzeugen, durch den Auftragnehmer im Auftrag des Auftraggebers (nachfolgend „Auftraggeberdaten“). Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen beschreibt Anlage 1.

1.2 Dieser Vertrag gilt nicht für personenbezogene Daten, die der Auftragnehmer als eigener Verantwortlicher verarbeitet. Das sind insbesondere die Daten des Nutzerkontos und seiner Nutzer (z. B. Name, E-Mail-Adresse, Anmeldedaten), die Vertrags-, Abrechnungs- und Zahlungsdaten zum Abonnement des Auftraggebers, Server-Protokolle zum Betrieb und zur Sicherheit des Dienstes sowie Daten zu Newsletter, Kontaktanfragen und Webanalyse. Für diese Daten gilt die Datenschutzerklärung.

1.3 Dieser Vertrag gilt, sobald und soweit der Auftraggeber den Dienst für personenbezogene Daten Dritter nutzt, insbesondere für Daten von Mandanten, Gegnern und anderen Verfahrensbeteiligten. Er ist dann Bestandteil des Vertrags über die Nutzung des Dienstes, der auf Grundlage der AGB geschlossen ist (nachfolgend „Hauptvertrag“). Er umfasst alle Nutzer des Kontos. Bei einem Kanzlei-Team ist Auftraggeber der Inhaber des Premium-Kontos; die eingeladenen Teammitglieder handeln für ihn.

1.4 Bei Widersprüchen gehen die Regelungen dieses Vertrags in Fragen des Datenschutzes und des Schutzes von Berufsgeheimnissen den AGB und sonstigen Vereinbarungen zum Hauptvertrag vor.

§ 2 Laufzeit und Kündigung

2.1 Dieser Vertrag beginnt mit der ersten Verarbeitung von Auftraggeberdaten. Er läuft, solange das Nutzerkonto des Auftraggebers besteht, unabhängig davon, ob der Auftraggeber den Dienst kostenlos oder mit einem kostenpflichtigen Abonnement nutzt, und endet mit der Löschung des Nutzerkontos nach § 13.

2.2 Die Pflichten aus diesem Vertrag gelten über sein Ende hinaus, bis der Auftragnehmer die Auftraggeberdaten vollständig gelöscht oder zurückgegeben hat. Die Pflichten zur Verschwiegenheit nach § 6 gelten zeitlich unbegrenzt.

2.3 Der Auftraggeber kann den Hauptvertrag und diesen Vertrag außerordentlich und fristlos kündigen, wenn der Auftragnehmer schwerwiegend gegen diesen Vertrag oder gegen datenschutzrechtliche Vorschriften verstößt, wenn er eine rechtmäßige Weisung nicht ausführt oder wenn die Einhaltung der Vorgaben nach § 43e Abs. 3 BRAO nicht mehr gewährleistet ist (§ 43e Abs. 2 Satz 2 BRAO). Das Sonderkündigungsrecht nach § 8.4 bleibt unberührt. Im Voraus gezahlte Entgelte für die Zeit nach dem Wirksamwerden einer solchen Kündigung erstattet der Auftragnehmer anteilig.

2.4 Kündigt der Auftraggeber nach § 2.3 oder § 8.4, gilt die Kündigung zugleich als Antrag auf Löschung des Nutzerkontos. Der Auftragnehmer stellt ihm die Auftraggeberdaten auf Wunsch zuvor nach § 13.1 bereit und löscht sie anschließend nach § 13.3 und § 13.4.

§ 3 Art und Zweck der Verarbeitung

3.1 Der Auftragnehmer verarbeitet Auftraggeberdaten ausschließlich, um dem Auftraggeber die von ihm genutzten Funktionen des Dienstes bereitzustellen. Dazu gehören das Speichern, Anzeigen, Berechnen und Auswerten der Daten, das Erzeugen von Dokumenten und Exporten, der Versand von E-Mails im Auftrag des Auftraggebers, die Bereitstellung des Mandantenportals, die Datensicherung sowie Fehleranalyse und Unterstützung im Einzelfall.

3.2 Einzelheiten zu den Funktionen, den Arten der Daten und den Kategorien betroffener Personen enthält Anlage 1.

§ 4 Weisungen und Verantwortung des Auftraggebers

4.1 Der Auftragnehmer verarbeitet Auftraggeberdaten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation. Das gilt nicht, soweit der Auftragnehmer nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

4.2 Dokumentierte Weisungen sind dieser Vertrag, der Hauptvertrag sowie die Eingaben, Einstellungen und Aktionen des Auftraggebers und der Nutzer seines Kontos im Dienst, etwa das Anlegen, Ändern, Löschen oder Exportieren von Daten, der Versand einer Rechnung per E-Mail, das Erstellen eines Links zum Mandantenportal oder das Verbinden eines eigenen Stripe-Kontos. Weitere Weisungen erteilt der Auftraggeber in Textform, etwa per E-Mail an kontakt@gebuehren-portal.de.

4.3 Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin (Art. 28 Abs. 3 Unterabs. 2 DSGVO). Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

4.4 Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung der Auftraggeberdaten und für die Wahrung der Rechte der betroffenen Personen verantwortlich, insbesondere für ihre Information nach Art. 13 und 14 DSGVO. Stellt er Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er den Auftragnehmer unverzüglich.

§ 5 Pflichten des Auftragnehmers

5.1 Der Auftragnehmer verarbeitet Auftraggeberdaten nur für die Zwecke dieses Vertrags. Er nutzt sie nicht für eigene Zwecke, insbesondere nicht für Werbung, nicht für die Bildung von Profilen und nicht zum Training von KI-Modellen, und gibt sie nicht an Dritte weiter, soweit dieser Vertrag oder eine Weisung des Auftraggebers dies nicht vorsieht.

5.2 Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der Auftraggeberdaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO) und Auftraggeberdaten nur auf Weisung verarbeiten (Art. 29 DSGVO).

5.3 Inhaltlich greift der Auftragnehmer auf Auftraggeberdaten nur zu, soweit dies im Einzelfall für Betrieb, Wartung, Fehlerbehebung, Datensicherung oder die Sicherheit des Dienstes erforderlich ist oder der Auftraggeber um Unterstützung bittet.

5.4 Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

5.5 Ansprechpartner des Auftragnehmers für Fragen zum Datenschutz und zu diesem Vertrag ist Amir Heyder, erreichbar unter kontakt@gebuehren-portal.de.

5.6 Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf Auftraggeberdaten beziehen. § 6.6 bleibt unberührt.

§ 6 Schutz von Berufsgeheimnissen (§ 43e BRAO, § 203 StGB)

6.1 Der Auftragnehmer verpflichtet sich, über alle fremden Geheimnisse, die ihm bei der Durchführung dieses Vertrags oder bei Gelegenheit dazu bekannt werden, Verschwiegenheit zu wahren. Das gilt insbesondere für alle Tatsachen, die der Verschwiegenheitspflicht des Auftraggebers nach § 43a Abs. 2 BRAO unterliegen (§ 43e Abs. 3 Nr. 1 BRAO).

6.2 Der Auftragnehmer wird wie folgt belehrt:

Belehrung gemäß § 43e Abs. 3 Nr. 1 BRAO. Der Auftragsverarbeiter wirkt an der beruflichen Tätigkeit des Auftraggebers mit (§ 203 Abs. 3 S. 2 StGB). Er wird darüber belehrt, dass gemäß § 203 Abs. 4 S. 1 StGB „mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft [wird], wer unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person … bekannt geworden ist“.

Ebenso wird nach § 203 Abs. 4 S. 2 Nr. 2 StGB bestraft, wer sich als mitwirkende Person „einer weiteren mitwirkenden Person, die unbefugt ein fremdes … Geheimnis offenbart, bedient und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde“.

Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, beträgt die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe (§ 203 Abs. 6 StGB). Die unbefugte Verwertung fremder Geheimnisse ist nach § 204 StGB mit Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe bedroht. Die Pflichten gelten auch nach dem Tod der betroffenen Person (§ 203 Abs. 5 StGB) und zeitlich unbegrenzt über das Vertragsende hinaus.

6.3 Der Auftragnehmer verschafft sich Kenntnis von fremden Geheimnissen nur, soweit dies zur Erfüllung dieses Vertrags erforderlich ist (§ 43e Abs. 3 Nr. 2 BRAO).

6.4 Der Auftragnehmer ist befugt, weitere Personen zur Erfüllung dieses Vertrags heranzuziehen, nämlich eigene Beschäftigte und die nach § 8 genehmigten Unterauftragsverarbeiter (§ 43e Abs. 3 Nr. 3 BRAO). Er verpflichtet diese Personen vor ihrer Mitwirkung in Textform zur Verschwiegenheit und belehrt sie über die strafrechtlichen Folgen einer Pflichtverletzung. Auf Anfrage weist er dem Auftraggeber die Verpflichtung nach.

6.5 Ersucht ein Gericht oder eine Behörde den Auftragnehmer um Auskunft über Auftraggeberdaten oder um ihre Herausgabe, informiert er den Auftraggeber unverzüglich, soweit dies rechtlich zulässig ist. Als mitwirkende Person beruft er sich auf das Zeugnisverweigerungsrecht nach § 53a StPO, über dessen Ausübung der Auftraggeber entscheidet, und widerspricht einer Beschlagnahme unter Hinweis auf § 97 Abs. 3 StPO. Auskünfte erteilt er und Daten gibt er nur heraus, soweit der Auftraggeber zugestimmt hat oder eine vollziehbare gerichtliche oder behördliche Anordnung dies verlangt.

6.6 Gegenüber der Datenschutzaufsichtsbehörde beruft sich der Auftragnehmer auf § 29 Abs. 3 BDSG, soweit die Wahrnehmung von Untersuchungsbefugnissen zu einem Verstoß gegen die Geheimhaltungspflichten des Auftraggebers führen würde, und stimmt sein Vorgehen mit dem Auftraggeber ab.

6.7 Die Pflichten nach diesem § 6 gelten zeitlich unbegrenzt, auch nach dem Ende dieses Vertrags.

6.8 Seine eigenen Beschäftigten, auch die als Teammitglieder eingeladenen, verpflichtet der Auftraggeber selbst in Textform zur Verschwiegenheit (§ 43a Abs. 2 Satz 4 BRAO).

§ 7 Technische und organisatorische Maßnahmen

7.1 Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Dabei berücksichtigt er, dass Auftraggeberdaten Berufsgeheimnisse und besondere Kategorien personenbezogener Daten enthalten können.

7.2 Der Auftragnehmer darf die Maßnahmen an die technische Entwicklung anpassen, sofern das Schutzniveau der in Anlage 2 beschriebenen Maßnahmen nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und aktualisiert Anlage 2.

7.3 Der Auftragnehmer überprüft die Wirksamkeit der Maßnahmen regelmäßig und bei wesentlichen Änderungen des Dienstes.

§ 8 Unterauftragsverarbeiter

8.1 Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) in Anspruch zu nehmen. Die bei Abschluss dieses Vertrags eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

8.2 Will der Auftragnehmer einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, informiert er den Auftraggeber mindestens vier Wochen vorher per E-Mail an die im Nutzerkonto hinterlegte E-Mail-Adresse. Die Mitteilung nennt Name und Anschrift des Unterauftragsverarbeiters, die übernommene Leistung und den Ort der Verarbeitung. Anlage 3 wird entsprechend aktualisiert.

8.3 Der Auftraggeber kann gegen die Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung in Textform Einspruch erheben, etwa per E-Mail an kontakt@gebuehren-portal.de. Erhebt er nicht fristgerecht Einspruch, gilt die Änderung als genehmigt.

8.4 Erhebt der Auftraggeber Einspruch, setzt der Auftragnehmer den neuen Unterauftragsverarbeiter für die Daten des Auftraggebers nicht ein, soweit ihm das möglich und zumutbar ist. Andernfalls kann der Auftraggeber den Hauptvertrag und diesen Vertrag außerordentlich zu dem Zeitpunkt kündigen, zu dem der neue Unterauftragsverarbeiter eingesetzt werden soll (Sonderkündigungsrecht). Im Voraus gezahlte Entgelte für die Zeit danach erstattet der Auftragnehmer anteilig.

8.5 Der Auftragnehmer wählt Unterauftragsverarbeiter sorgfältig aus. Er gestaltet die Verträge mit ihnen so, dass ihnen dieselben Datenschutzpflichten auferlegt werden, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), und verpflichtet sie nach § 6.4 in Textform zur Verschwiegenheit (§ 43e Abs. 3 Nr. 3 BRAO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer dem Auftraggeber für die Einhaltung dieser Pflichten.

8.6 Keine Unterauftragsverarbeitung im Sinne dieses Vertrags ist die Übermittlung von Auftraggeberdaten an Dienste, mit denen der Auftraggeber selbst einen Vertrag geschlossen hat und die er mit dem Dienst verbindet. Das gilt insbesondere für die Zahlungsabwicklung im Mandantenportal über das eigene Stripe-Konto des Auftraggebers (siehe Hinweis in Anlage 3). Solche Übermittlungen erfolgen auf Weisung des Auftraggebers.

§ 9 Ort der Verarbeitung und Drittländer

9.1 Der Auftragnehmer verarbeitet Auftraggeberdaten in Deutschland. Kopien aus der Zeit vor der Umstellung des Dienstes auf die Server in Deutschland liegen bis zu ihrer Löschung nach Abschluss der Umstellung bei der Google Ireland Limited in der Europäischen Union (Anlage 3).

9.2 Eine Übermittlung von Auftraggeberdaten in ein Drittland außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums erfolgt nur auf dokumentierte Weisung des Auftraggebers oder wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Bei Dienstleistungen, die im Ausland erbracht werden, wahrt der Auftragnehmer zudem die Vorgaben des § 43e Abs. 4 BRAO.

9.3 Bei den Kopien bei Google ist ein Zugriff durch die Google LLC in den USA nicht ausgeschlossen. Google stützt solche Übermittlungen auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und auf seine Zertifizierung nach dem EU-US Data Privacy Framework.

§ 10 Unterstützung bei Rechten betroffener Personen

10.1 Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Kapitel III DSGVO, etwa auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung oder Datenübertragbarkeit (Art. 28 Abs. 3 Satz 2 lit. e DSGVO). Viele dieser Anträge kann der Auftraggeber mit den Funktionen des Dienstes selbst bearbeiten, etwa durch Ändern oder Exportieren von Daten.

10.2 Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, etwa ein Mandant über das Mandantenportal, leitet der Auftragnehmer das Anliegen unverzüglich an den Auftraggeber weiter. Er beantwortet es nicht selbst, es sei denn, der Auftraggeber weist ihn dazu an.

§ 11 Verletzungen des Schutzes personenbezogener Daten und weitere Unterstützung

11.1 Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten, die Auftraggeberdaten betrifft, unverzüglich, möglichst innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist. Die Meldung geht per E-Mail an die im Nutzerkonto hinterlegte E-Mail-Adresse. Sie enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht der Auftragnehmer nach, sobald sie vorliegen.

11.2 Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen für die betroffenen Personen zu mindern, und stimmt sich dazu mit dem Auftraggeber ab.

11.3 Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen nach Art. 33 und 34 DSGVO obliegen dem Auftraggeber. Der Auftragnehmer unterstützt ihn dabei sowie bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

§ 12 Nachweise und Kontrollen

12.1 Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und diesem Vertrag erforderlich sind. Dazu gehören insbesondere die aktuelle Beschreibung der technischen und organisatorischen Maßnahmen, die Liste der Unterauftragsverarbeiter und verfügbare Nachweise der Unterauftragsverarbeiter, etwa zur Zertifizierung der Rechenzentren der Hetzner Online GmbH nach ISO/IEC 27001.

12.2 Der Auftragnehmer ermöglicht Überprüfungen einschließlich Inspektionen, die der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer durchführt, und trägt dazu bei. Vor-Ort-Prüfungen sind mit angemessener Frist, in der Regel mindestens zwei Wochen, anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Die Vertraulichkeit der Daten anderer Kunden bleibt gewahrt. Die Server des Dienstes stehen in Rechenzentren der Hetzner Online GmbH; für diese kann der Auftragnehmer auf Nachweise von Hetzner verweisen. Einen Prüfer, der mit dem Auftragnehmer im Wettbewerb steht, kann der Auftragnehmer ablehnen. Jede Partei trägt ihre Kosten selbst.

§ 13 Rückgabe, Export und Löschung

13.1 Der Auftraggeber kann seine Daten während der Laufzeit über die Exportfunktionen des Dienstes sichern, je nach Abonnement-Stufe insbesondere:

• Rechnungen als PDF, als Word-Datei und als E-Rechnung (XRechnung, ZUGFeRD) sowie Rechnungsdaten im DATEV-Format
• Aktenübersichten als CSV oder PDF
• Fristen als CSV, Excel, Word oder PDF
• Zeiteinträge als PDF oder Word-Datei

Daten, die der Auftraggeber nicht selbst exportieren kann, etwa Kontakte oder Daten nach dem Ende eines kostenpflichtigen Abonnements, stellt der Auftragnehmer auf Anfrage per E-Mail an kontakt@gebuehren-portal.de in einem gängigen maschinenlesbaren Format bereit, etwa als CSV- oder JSON-Datei. Auf diesem Weg erfolgt die Rückgabe der Daten.

13.2 Endet ein kostenpflichtiges Abonnement, bleibt das Nutzerkonto als kostenloses Konto bestehen. Die Auftraggeberdaten werden dann nicht automatisch gelöscht; mit einem erneuten Abschluss der entsprechenden Abonnement-Stufe sind sie wieder zugänglich. Bereits versandte Links zum Mandantenportal bleiben nutzbar; ihre Sperrung kann der Auftraggeber auch per E-Mail an kontakt@gebuehren-portal.de verlangen.

13.3 Die Löschung der Auftraggeberdaten veranlasst der Auftraggeber, indem er die Löschung seines Nutzerkontos beantragt: in der Android-App „Gebührenportal“ unter „Einstellungen“ → „Konto löschen“ oder per E-Mail von der E-Mail-Adresse des Kontos an kontakt@gebuehren-portal.de (Hinweise unter gebuehren-portal.de/konto-loeschen). Ein laufendes Abonnement ist vorher zu kündigen; ein Kanzlei-Team kann erst gelöscht werden, wenn alle Teammitglieder entfernt sind. Mit dem Antrag wird das Konto gesperrt. Der Auftragnehmer löscht die im Dienst gespeicherten Auftraggeberdaten innerhalb von 30 Tagen nach Eingang des Antrags. Weisungen zur Löschung einzelner Daten kann der Auftraggeber ebenfalls per E-Mail an kontakt@gebuehren-portal.de erteilen; der Auftragnehmer setzt sie innerhalb von 30 Tagen um.

13.4 Daten in den regelmäßigen Sicherungen in Deutschland werden im regulären Sicherungszyklus überschrieben. Die Kopien aus der Zeit vor der Umstellung bei der Google Ireland Limited (Anlage 3) löscht der Auftragnehmer nach Abschluss der Umstellung.

13.5 Daten, die der Auftraggeber selbst aufbewahren muss, etwa Rechnungen (§ 147 AO, § 257 HGB) oder Handakten (§ 50 BRAO), sichert er vor der Löschung selbst. Belege, die der Auftragnehmer als eigener Verantwortlicher gesetzlich aufbewahren muss, etwa die Rechnungen zum Abonnement des Auftraggebers, sind nicht Gegenstand dieses Vertrags.

13.6 Auf Wunsch bestätigt der Auftragnehmer die Löschung in Textform.

§ 14 Haftung und Vergütung

14.1 Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen den Parteien gelten die Haftungsregelungen der AGB (Ziffer 9), soweit Art. 82 DSGVO nicht entgegensteht.

14.2 Für die Leistungen nach diesem Vertrag erhebt der Auftragnehmer kein gesondertes Entgelt.

§ 15 Schlussbestimmungen

15.1 Dieser Vertrag bedarf der Textform (§ 43e Abs. 3 Satz 1 BRAO; Art. 28 Abs. 9 DSGVO). Der Auftragnehmer stellt ihn dem Auftraggeber in Textform zur Verfügung: Auf Anfrage per E-Mail an kontakt@gebuehren-portal.de erhält der Auftraggeber diesen Vertrag als PDF-Datei per E-Mail. Zusätzlich kann er diese Seite jederzeit drucken oder als PDF speichern.

15.2 Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Für Änderungen der Anlage 3 gilt § 8, für Änderungen der Anlage 2 gilt § 7.2. Im Übrigen gilt für Änderungen Ziffer 14.4 der AGB entsprechend.

15.3 Es gilt das Recht der Bundesrepublik Deutschland. Für den Gerichtsstand gilt Ziffer 14.3 der AGB.

15.4 Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

15.5 Die jeweils aktuelle Fassung ist unter gebuehren-portal.de/avv abrufbar. Diese Fassung: Version avv-2026-10-17, Stand 17. Oktober 2026.

Anlage 1: Gegenstand, Art und Zweck der Verarbeitung, Arten der Daten, Kategorien betroffener Personen

Welche Daten im Einzelnen verarbeitet werden, hängt davon ab, welche Funktionen der Auftraggeber nutzt und was er eingibt.

A. Funktionen und Arten der Daten

• Akten: Aktenbezeichnung und Aktenzeichen, Gegenstand, Mandant und Gegner, Gericht, Richterin oder Richter, Gegenstands- bzw. Streitwert, Status, Notizen, Aktenverlauf (Aktion, Bearbeiter, Zeitpunkt) sowie Angaben zu Dokumenten der Akte.
• Kontakte: Name, Anschrift, E-Mail-Adresse, Telefonnummer, USt-IdNr., Ansprechpartner und deren Funktion sowie Angaben für E-Rechnungen (z. B. Leitweg-ID, elektronische Adresse).
• Gebührenberechnungen: Gegenstandswerte, Gebühren- und Auslagenpositionen, Angaben zum Verfahren sowie die Zuordnung zu Akte und Mandant.
• Rechnungen und E-Rechnung: Rechnungsempfänger und Anschrift, Rechnungsnummer und -datum, Leistungszeitraum, Positionen und Beträge, Steuerangaben, Zahlungsziel, Bankverbindung des Auftraggebers, Zahlungsstatus und Zahlungseingänge; beim Versand per E-Mail die E-Mail-Adresse des Empfängers und die Rechnung als PDF-Anhang.
• Zeiterfassung und Zeithonorar: Datum, Dauer und Beschreibung der Tätigkeiten, Bearbeiter, Stundensätze und Auslagen sowie die Zuordnung zu Akte und Mandant.
• Fristenmanager: Fristen, Vorfristen und Termine mit Bezeichnung, Art, Datum, Aktenzeichen, Angaben zum Gericht, Sachbearbeiter und Bemerkungen; Erinnerungen per E-Mail an Nutzer des Auftraggebers.
• Mandantenportal: Zugangslinks zu Rechnungen (gespeichert wird ein Hashwert), optionaler Passwortschutz (gespeichert als Hashwert) oder Bestätigung per Code an die E-Mail-Adresse des Mandanten, Gültigkeit der Links, Anzahl und Zeitpunkt der Zugriffe sowie Zahl der Fehlversuche; ein Sicherheitsprotokoll zu Passworteingaben, Bestätigungen per Code und PDF-Abrufen mit IP-Adresse und Browserangaben, das nach 90 Tagen gelöscht wird; Anmeldung von Mandanten per E-Mail-Link; Zahlungsstatus und Zahlungsvorgänge (Betrag, Gebühren, Status, Kennung der Zahlung bei Stripe); Rückfragen von Mandanten zu Rechnungen (Name, E-Mail-Adresse, Text der Rückfrage); Ratenanfragen (gewünschte Raten und Beträge, Begründung, Antwort des Auftraggebers).
• Briefköpfe, Logos und Rechnungsvorlagen: Kanzleiangaben, Logo- und Briefkopfdateien sowie Gestaltungsangaben; die Dateien liegen im Object Storage (Anlage 3).
• Paragraphen-Profi: hochgeladene PDF-Dokumente, z. B. Schriftsätze oder Bescheide, daraus gewonnener Text und Seitenbilder sowie das Ergebnis der Auswertung. Die Auswertung läuft auf den Servern des Auftragnehmers; Inhalte der Dokumente werden nicht an Dritte übermittelt. Dokument und Ergebnisse werden mit dem Ende der Sitzung, nach zwei Stunden ohne Nutzung und spätestens 48 Stunden nach dem Hochladen automatisch gelöscht, ausgewertete Dokumente spätestens 24 Stunden nach dem Hochladen.
• Teammitglieder: Name, E-Mail-Adresse und Rolle eingeladener Teammitglieder sowie ihre Zuordnung zu Inhalten (z. B. als Ersteller, Bearbeiter oder Sachbearbeiter), soweit diese Angaben in den Inhalten des Auftraggebers verarbeitet werden.
• E-Mail-Versand im Auftrag: Rechnungs-E-Mails mit PDF-Anhang an Mandanten, Links und Bestätigungscodes zum Mandantenportal sowie Benachrichtigungen zu Zahlungen, Rückfragen und Ratenanfragen.

B. Kategorien betroffener Personen

• Mandanten des Auftraggebers sowie deren Vertreter und Ansprechpartner
• Gegner und deren Vertreter
• weitere Verfahrensbeteiligte und Dritte, die in Akten, Notizen oder Dokumenten genannt werden, z. B. Richterinnen und Richter, Zeugen, Sachverständige und Mitarbeitende von Behörden
• Rechnungsempfänger, Zahlende und Nutzer des Mandantenportals
• Beschäftigte und sonstige Nutzer des Auftraggebers (Teammitglieder), soweit ihre Daten in den Inhalten des Auftraggebers verarbeitet werden

C. Besondere Kategorien personenbezogener Daten und Berufsgeheimnisse

Je nach Mandat können Akten, Notizen, Rückfragen, Begründungen von Ratenanfragen und hochgeladene Dokumente besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheitsdaten) sowie Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO enthalten. Alle Auftraggeberdaten können dem Berufsgeheimnis des Auftraggebers unterliegen. Der Dienst sieht für solche Daten keine gesonderten Felder vor; welche Inhalte erfasst werden, bestimmt der Auftraggeber.

D. Art der Verarbeitung

Erfassen, Speichern, Ordnen, Anzeigen, Auslesen, Berechnen, Auswerten, Erzeugen von Dokumenten und Exporten, Übermitteln (E-Mail-Versand, Mandantenportal, Übermittlung an das Stripe-Konto des Auftraggebers), Sichern und Löschen.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Maßnahmen gelten für die Verarbeitung der Auftraggeberdaten. Der Auftragnehmer passt sie nach § 7.2 an.

1. Vertraulichkeit

• Website, Anwendung, Datenbank (PostgreSQL) und Object Storage laufen auf Servern der Hetzner Online GmbH in Deutschland; die Datenbank betreibt der Auftragnehmer selbst. Für die physische Sicherung der Rechenzentren ist Hetzner verantwortlich; die Rechenzentren sind nach ISO/IEC 27001 zertifiziert.
• Administrativen Zugriff auf Server und Datenbank haben nur vom Auftragnehmer befugte, zur Verschwiegenheit verpflichtete Personen.
• Passwörter von Nutzerkonten und Passwörter für das Mandantenportal werden als bcrypt-Hashwert gespeichert.
• Anmeldung, Registrierung, Zurücksetzen des Passworts, Bestätigung der E-Mail-Adresse und Kontolöschung sind gegen massenhafte Versuche begrenzt (Rate Limiting). Die E-Mail-Adresse wird über einen befristeten Link bestätigt.
• Sitzungen werden in Cookies mit den Attributen HttpOnly, SameSite=Lax und Secure geführt und sind auf höchstens 30 Tage begrenzt. Beim Zurücksetzen des Passworts und beim Antrag auf Kontolöschung werden alle bestehenden Sitzungen beendet.
• Anfragen der Website an das Backend laufen serverseitig mit kurzlebigen, signierten Zugriffstoken.
• Jeder Datensatz ist einem Nutzerkonto bzw. Kanzlei-Team zugeordnet. Der Server prüft bei geschützten Zugriffen Anmeldung, Abonnement-Stufe und Berechtigung, sodass Nutzer nur auf eigene Daten oder auf Daten zugreifen, für die sie im Team berechtigt sind. Im Kanzlei-Team gibt es die Rollen Administrator und Mitarbeiter; nur Administratoren verwalten das Team.
• Verbindungsdaten zum Stripe-Konto des Auftraggebers (OAuth-Tokens) werden verschlüsselt gespeichert.
• Mandantenportal: Zugang nur über zufällig erzeugte, nicht erratbare Links, von denen ein Hashwert gespeichert wird; ältere Einträge, die den Link oder das Passwort noch in anderer Form enthalten, werden beim nächsten Abruf auf dieses Verfahren umgestellt; optional Passwortschutz oder Bestätigung per Code an die E-Mail-Adresse des Mandanten; nach fünf falschen Passworteingaben wird der Link für 15 Minuten gesperrt. Geschützte Rechnungsdaten gibt der Server erst nach erfolgreicher Prüfung über die dabei eröffnete Sitzung heraus. Links können einmalig, befristet oder unbefristet gelten und widerrufen werden. Kartendaten gibt der Mandant direkt bei Stripe ein; der Auftragnehmer speichert sie nicht.
• Zugangstoken, Schlüssel und Links zum Mandantenportal werden in den Protokollen des Backends unkenntlich gemacht.

2. Integrität

• Die Übertragung erfolgt über HTTPS (TLS); per HSTS werden Browser angewiesen, nur verschlüsselte Verbindungen zu nutzen. E-Mails gehen über eine verschlüsselte Verbindung (TLS) an den Mailserver.
• Sicherheits-Header: Content Security Policy mit Nonce, Schutz vor der Einbettung in fremde Seiten (X-Frame-Options, frame-ancestors), X-Content-Type-Options, Referrer-Policy sowie Cross-Origin-Opener- und Cross-Origin-Resource-Policy. Geschützte Bereiche werden nicht zwischengespeichert (Cache-Control: no-store).
• Akten führen einen Verlauf mit Aktion, Bearbeiter und Zeitpunkt; bei Kontakten werden Ersteller und letzte Bearbeitung mit Zeitpunkt gespeichert.

3. Verfügbarkeit und Belastbarkeit

• Regelmäßige Sicherungen in Deutschland zur Wiederherstellung bei Störungen.
• Begrenzung von Anfragen an öffentliche und sicherheitsrelevante Schnittstellen.

4. Datenminimierung und Löschung

• Dokumente im Paragraphen-Profi werden nach den Fristen in Anlage 1 automatisch gelöscht; die Prüfung dafür läuft alle zehn Minuten.
• Für Auftraggeberdaten setzt der Auftragnehmer keine externen KI-Dienste ein.

5. Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests prüfen unter anderem Anmeldung, Zugriffsrechte, Mandantenportal und Sicherheits-Header; sie laufen bei Änderungen am Code und regelmäßig.
• Die Maßnahmen werden bei wesentlichen Änderungen am Dienst oder an der Infrastruktur überprüft.

6. Organisatorische Maßnahmen

• Alle mitwirkenden Personen werden in Textform auf Vertraulichkeit und auf die Verschwiegenheit nach § 203 StGB verpflichtet (§ 6.4).
• Inhaltlicher Zugriff auf Auftraggeberdaten erfolgt nur im Einzelfall (§ 5.3).

Anlage 3: Unterauftragsverarbeiter

Hinweis: Zahlungen im Mandantenportal

Zahlungen im Mandantenportal laufen über das eigene Stripe-Konto des Auftraggebers, das er über Stripe Connect mit dem Dienst verbindet. Stripe ist dabei aufgrund eines eigenen Vertrags Vertragspartner des Auftraggebers und kein Unterauftragsverarbeiter des Auftragnehmers. Auf Weisung des Auftraggebers übermittelt der Auftragnehmer die für die Zahlung erforderlichen Angaben an dieses Konto (Rechnungs-ID, Rechnungsnummer, Betrag und Kennung des Portal-Zugangs). Zahlungsdaten wie Kartendaten gibt der Mandant direkt bei Stripe ein.