Auftragsverarbeitungsvertrag (AVV)

zwischen

dem Auftraggeber — nachfolgend „Verantwortlicher" —
der im Hauptvertrag bezeichneten Kundenorganisation

und

dem Auftragnehmer — nachfolgend „Auftragsverarbeiter" —
Christoph Sebastian Langer, Averkampstraße 9-11, 48151 Münster, Deutschland
E-Mail: hello@zemio.co

§ 1 Gegenstand und Rollenverteilung

(1) Dieser Vertrag konkretisiert die Pflichten aus Art. 28 DSGVO für die Verarbeitung
personenbezogener Daten, die der Auftragsverarbeiter im Rahmen der Bereitstellung der
Software „Zemio" im Auftrag des Verantwortlichen vornimmt. Er ergänzt den Hauptvertrag
(AGB); bei Widersprüchen zu Fragen des Datenschutzes geht dieser Vertrag vor.

(2) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung
der Rechte betroffener Personen verantwortlich. Er entscheidet über Zwecke und Mittel der
Verarbeitung der in Anlage 1 genannten Daten.

(3) Verarbeitungen, die der Auftragsverarbeiter in eigener Verantwortung vornimmt —
insbesondere Abrechnung, Vertragsverwaltung, Sicherheit der Plattform und
Kommunikation mit dem Verantwortlichen — sind nicht Gegenstand dieses Vertrages.
Insoweit ist der Auftragsverarbeiter selbst Verantwortlicher.

§ 2 Dauer

Die Verarbeitung beginnt mit Wirksamwerden des Hauptvertrages und endet mit dessen
Beendigung, zuzüglich der in § 12 geregelten Zeiträume für Export, Löschung und
Sicherungszyklen.

§ 3 Art, Umfang und Zweck der Verarbeitung

Art, Umfang, Zweck der Verarbeitung, die Kategorien betroffener Personen und die Arten der
verarbeiteten Daten ergeben sich aus Anlage 1.

§ 4 Weisungen des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf
dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem
Recht eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet. In diesem Fall
teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit,
sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses
verbietet.

(2) Als dokumentierte Weisung gelten:
a) der Hauptvertrag einschließlich der vereinbarten Konfiguration der Software,
b) dieser Vertrag samt Anlagen,
c) die Nutzung der Software durch berechtigte Nutzer im Rahmen ihrer bestimmungsgemäßen
Funktionen sowie
d) einzelne Weisungen der beim Verantwortlichen benannten Ansprechpersonen in Textform.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen
datenschutzrechtliche Vorschriften verstößt, teilt er dies dem Verantwortlichen
unverzüglich mit. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu ihrer
Bestätigung oder Änderung auszusetzen.

(4) Zugriff zu Support- und Fehlerbehebungszwecken. Der Auftragsverarbeiter greift zur
Behebung von Störungen und zur Bearbeitung von Supportanfragen unmittelbar auf die
Datenbank zu, in der die Daten des Verantwortlichen gespeichert sind. Dieser Zugriff
erfolgt ausschließlich zweckgebunden, im erforderlichen Umfang und nur durch die in § 5
genannten Personen. Er gilt als vom Verantwortlichen erteilte Weisung.

§ 5 Vertraulichkeit und Kreis der Zugriffsberechtigten

(1) Der Auftragsverarbeiter setzt zur Verarbeitung ausschließlich Personen ein, die zur
Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen
Verschwiegenheitspflicht unterworfen sind.

(2) Zugriff auf Daten des Verantwortlichen hat derzeit ausschließlich der Inhaber des
Auftragsverarbeiters. Werden weitere Personen einbezogen, verpflichtet der
Auftragsverarbeiter diese zuvor schriftlich zur Vertraulichkeit.

(3) Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

§ 6 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und
organisatorischen Maßnahmen. Der jeweils aktuelle Stand ist in Anlage 2 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf
sie anpassen, darf dabei aber das vereinbarte Schutzniveau nicht unterschreiten.
Wesentliche Änderungen dokumentiert er und teilt sie auf Anfrage mit.

(3) Der Verantwortliche hat sich vor Beginn der Verarbeitung von der Angemessenheit der
Maßnahmen überzeugt.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung,
Unterauftragsverarbeiter einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten
Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und werden zusätzlich unter
https://zemio.co/subprozessoren veröffentlicht.

(2) Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter
hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Verantwortlichen
mindestens 30 Tage vor Wirksamwerden in Textform mit.

Beruht die Änderung darauf, dass ein bereits eingesetzter Unterauftragsverarbeiter seinerseits
einen Wechsel vornimmt, und erlangt der Auftragsverarbeiter hiervon nachweislich erst
später Kenntnis, so unterrichtet er den Verantwortlichen unverzüglich nach
Kenntniserlangung. Die Widerspruchsfrist nach Absatz 3 beginnt in diesem Fall mit Zugang
der Mitteilung; die Rechte des Verantwortlichen aus Absatz 3 bleiben in vollem Umfang
bestehen.

(3) Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Zugang der
Mitteilung aus einem sachlichen, datenschutzbezogenen Grund in Textform widersprechen.
Können die Parteien keine Einigung erzielen, steht dem Verantwortlichen ein
Sonderkündigungsrecht des Hauptvertrages zum Zeitpunkt des Wirksamwerdens der Änderung zu.

(4) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf
Datenschutzpflichten, die denen dieses Vertrages entsprechen, soweit sie für dessen
Tätigkeit einschlägig sind. Er bleibt dem Verantwortlichen gegenüber für die Einhaltung
verantwortlich.

(5) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der
Auftragsverarbeiter bei Dritten in Anspruch nimmt, ohne dass diese bestimmungsgemäß
Zugriff auf personenbezogene Daten des Verantwortlichen erhalten — etwa Telekommunikation
oder Wartung ohne Datenzugriff.

§ 8 Unterstützung bei Betroffenenrechten

(1) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet
dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht
selbst, sofern er nicht dazu angewiesen wurde.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen
und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung,
Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen — insbesondere durch die
in der Software vorgesehenen Verwaltungs-, Export- und Löschfunktionen.

§ 9 Weitere Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art
der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der
Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von
Verletzungen des Schutzes personenbezogener Daten sowie bei einer etwaigen
Datenschutz-Folgenabschätzung.

§ 10 Verletzungen des Schutzes personenbezogener Daten

(1) Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten des
Verantwortlichen bekannt, meldet er dies dem Verantwortlichen unverzüglich, spätestens
innerhalb von 48 Stunden nach Kenntniserlangung, in Textform.

(2) Die Meldung enthält, soweit verfügbar: eine Beschreibung der Art der Verletzung, die
betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze,
wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Gegenmaßnahmen.

(3) Sind zum Zeitpunkt der Meldung nicht alle Angaben verfügbar, meldet der
Auftragsverarbeiter zunächst den bekannten Sachverhalt und ergänzt ihn unverzüglich. Die
Meldepflicht nach Art. 33 DSGVO gegenüber der Aufsichtsbehörde obliegt dem
Verantwortlichen.

(4) Der Auftragsverarbeiter dokumentiert alle Vorfälle einschließlich der ergriffenen
Maßnahmen.

§ 11 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung,
die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Nachweis kann erbracht werden durch die Vorlage der Anlage 2, durch die
Beantwortung eines Fragebogens, durch Bescheinigungen unabhängiger Stellen oder durch
Testate von Unterauftragsverarbeitern.

(3) Reichen diese Nachweise im Einzelfall nicht aus, ermöglicht der Auftragsverarbeiter
Überprüfungen einschließlich Inspektionen. Diese erfolgen nach angemessener
Vorankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten, ohne
Störung des Betriebsablaufs, unter Wahrung der Vertraulichkeit und der Rechte Dritter und
höchstens einmal jährlich, sofern kein besonderer Anlass besteht.

(4) Für den Aufwand einer Überprüfung, die über die Bereitstellung von Dokumentation
hinausgeht und bei der kein wesentlicher Verstoß festgestellt wird, kann der
Auftragsverarbeiter eine angemessene Vergütung verlangen.

§ 12 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrages stellt der Auftragsverarbeiter dem Verantwortlichen
seine Daten für 30 Tage in einem gängigen, maschinenlesbaren Format zum Export bereit.

(2) Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die personenbezogenen Daten
des Verantwortlichen, sofern nicht nach Unionsrecht oder mitgliedstaatlichem Recht eine
Pflicht zur Speicherung besteht.

(3) Kopien in laufenden Datensicherungen können für die Dauer des jeweiligen
Sicherungszyklus, längstens 30 Tage, fortbestehen. Sie unterliegen bis zur Löschung
unverändert den Maßnahmen nach § 6, werden nicht für andere Zwecke verarbeitet und nicht
wiederhergestellt. Damit sind die Daten des Verantwortlichen spätestens 60 Tage nach
Beendigung des Hauptvertrages vollständig gelöscht.

(4) Die Löschung wird auf Anforderung in Textform bestätigt.

§ 13 Ort der Verarbeitung und Drittlandtransfer

(1) Speicherung und Verarbeitung der Nutzer-, Berichts- und Belegdaten erfolgen
ausschließlich auf Systemen in der Bundesrepublik Deutschland. Der Serverstandort ist
Nürnberg.

(2) Eine Verarbeitung in anderen Mitgliedstaaten der Europäischen Union findet nur in dem
in Anlage 3 gekennzeichneten Umfang statt.

(3) Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen
Wirtschaftsraums findet nur in dem in Anlage 3 gekennzeichneten Umfang statt und nur auf
Grundlage eines zulässigen Transferinstruments nach Kapitel V DSGVO, insbesondere eines
Angemessenheitsbeschlusses oder der Standardvertragsklauseln der Europäischen Kommission.
Ein Drittlandbezug besteht ausschließlich beim Versand systemausgelöster
Benachrichtigungs-E-Mails; die dabei übermittelten Daten beschränken sich auf
Empfängeradresse und Inhalt der Benachrichtigung.

§ 14 Haftung

Die Haftung richtet sich nach den Regelungen des Hauptvertrages. Art. 82 DSGVO und
zwingende datenschutzrechtliche Vorschriften bleiben unberührt.

§ 15 Schlussbestimmungen

(1) Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Aufhebung
dieser Klausel.

(2) Es gilt deutsches Recht.

(3) Ist eine Bestimmung dieses Vertrages unwirksam, bleibt die Wirksamkeit der übrigen
Bestimmungen unberührt.

Anlage 1 — Gegenstand der Verarbeitung

Zweck

Bereitstellung einer webbasierten Anwendung zur Erfassung, Prüfung und Abwicklung von
Spesen- und Auslagenerstattungen innerhalb der Organisation des Verantwortlichen.

Art der Verarbeitung

Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden,
Offenlegen durch Übermittlung innerhalb der Organisation, Einschränken, Löschen und
Vernichten — jeweils im Rahmen der Funktionen der Software.

Im Einzelnen: Bereitstellung von Nutzerkonten und Rollen, Speicherung und Anzeige von
Spesenberichten und Belegen, Speicherung verschlüsselter Bankverbindungen, Versand
systemausgelöster Benachrichtigungen, Führung eines Aktivitätsprotokolls, Erstellung von
Auswertungen sowie Export und Löschung auf Anforderung.

Kategorien betroffener Personen

• Beschäftigte, Mitglieder und Beauftragte des Verantwortlichen, die Berichte einreichen
• Prüfende und administrierende Personen des Verantwortlichen
• eingeladene, noch nicht registrierte Personen
• Personen, die in hochgeladenen Belegen genannt sind

Nicht erfasst sind Ansprech- und Rechnungskontakte des Verantwortlichen: Deren Daten
verarbeitet der Auftragsverarbeiter zur Vertragsdurchführung in eigener Verantwortung
(§ 1 Abs. 3) und nicht im Auftrag.

Kategorien personenbezogener Daten

• Name, E-Mail-Adresse, Rolle und Organisationszugehörigkeit
• bei Anmeldung über Microsoft: Kennung des Microsoft-Mandanten und Identitätsmerkmale
• bei Anmeldung mit E-Mail und Passwort: Passwort-Hash
• Anmelde- und Sitzungsdaten einschließlich IP-Adresse und Browserkennung
• Einladungsdaten
• Berichts- und Ausgabendaten: Beträge, Zwecke, Daten, Kostenstellen, Kommentare
• Belegdateien und deren Metadaten
• Bankverbindungen (IBAN, Kontoinhaber), verschlüsselt gespeichert
• Benachrichtigungseinstellungen und Protokolldaten des Aktivitätsverlaufs

Besondere Kategorien nach Art. 9 DSGVO

Für die Nutzung der Software nicht erforderlich und nicht vorgesehen. Der
Verantwortliche stellt sicher, dass solche Daten nicht ohne tragfähige Rechtsgrundlage
eingestellt werden. Dem Verantwortlichen ist bekannt, dass hochgeladene Belege
unbeabsichtigt Angaben enthalten können, aus denen sich Gesundheitsdaten oder andere
besondere Kategorien ergeben.

Anlage 2 — Technische und organisatorische Maßnahmen

Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sind in einem eigenen
Dokument beschrieben, das Bestandteil dieses Vertrages ist:

„Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO", Stand
<TBD — Datum der Freigabe> → ../../compliance/tom.md

Die Maßnahmen umfassen insbesondere: Verschlüsselung der Bankverbindungen mit AES-256-GCM,
Transportverschlüsselung sämtlicher Verbindungen, Zutrittsschutz über ein nach
ISO/IEC 27001 zertifiziertes Rechenzentrum, Serverzugang ausschließlich über
kryptografische Schlüssel, Beschränkung des Zugriffs auf eine einzige Person, logische
Mandantentrennung, zeitlich auf fünf Minuten begrenzte signierte URLs für Belegdateien,
Trennung von Produktiv- und Testumgebung ohne Übernahme von Produktivdaten, tägliche
verschlüsselte Sicherung mit externer Ablage, vierteljährlicher Wiederherstellungstest,
revisionssicherer Aktivitätsverlauf sowie jährliche Überprüfung der Maßnahmen.

Anlage 3 — Unterauftragsverarbeiter

Stand: <TBD — Datum der ersten Fassung> · jeweils aktuelle Fassung unter
https://zemio.co/legal/subprocessors

Nicht als Unterauftragsverarbeiter aufgeführt und ohne Zugriff auf Daten des
Verantwortlichen sind insbesondere:

• der Identitätsanbieter des Verantwortlichen (Microsoft Entra ID) — dieser wird vom
  Verantwortlichen selbst beauftragt und arbeitet in dessen eigenem Mandanten;
• der Zahlungsdienstleister, der ausschließlich Vertrags- und Rechnungsdaten des
  Verantwortlichen verarbeitet, nicht die Daten betroffener Personen aus der Anwendung;
• Hosting und Reichweitenmessung der Marketing-Website, die von der Anwendung getrennt
  betrieben werden;
• Werkzeuge des Auftragsverarbeiters für Aufgaben-, Quellcode- und Passwortverwaltung, in
  die personenbezogene Daten des Verantwortlichen vertraglich nicht eingestellt werden.

Stand: 23.08.2026, 13:39 Uhr