Vertrag zur Auftragsverarbeitung

zwischen

dem Betrieb, der die Anwendung nutzt – Verantwortlicher, im Folgenden „Kunde“ –

und

LLG 369 LLC, 5830 E 2nd St, Ste 7000 #39474, Casper, WY 82609, USA – Auftragsverarbeiter, im Folgenden „Anbieter“ –

1. Gegenstand und Dauer

1. Der Anbieter stellt dem Kunden die Web-Anwendung „Handschlag“ (angebots-software.de/app/) bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag des Kunden.
2. Dieser Vertrag gilt, solange der Kunde die Anwendung nutzt oder der Anbieter Daten des Kunden gespeichert hat.

2. Art und Zweck der Verarbeitung

Speichern, Anzeigen, Ändern, Exportieren und Löschen von Daten, damit der Kunde Angebote, Auftragsbestätigungen, Rechnungen, Mahnungen und E-Rechnungen erstellen, versenden und nachweisen kann.

3. Art der Daten und Kreis der Betroffenen

Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen. Der Kunde gibt solche Daten nicht ein.

4. Weisungen

1. Der Anbieter verarbeitet die Daten nur nach dokumentierter Weisung des Kunden. Als Weisung gelten dieser Vertrag und die Bedienung der Anwendung durch den Kunden.
2. Hält der Anbieter eine Weisung für rechtswidrig, teilt er das dem Kunden unverzüglich mit.

5. Pflichten des Anbieters

1. Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
2. Der Anbieter trifft die technischen und organisatorischen Maßnahmen aus Anlage 1.
3. Er unterstützt den Kunden bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Übertragbarkeit). Die Anwendung stellt dafür Suche, Bearbeitung, Löschung und einen Komplett-Export bereit.
4. Er meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an die im Konto hinterlegte E-Mail-Adresse.
5. Er unterstützt den Kunden im angemessenen Umfang bei Datenschutz-Folgenabschätzungen und bei Anfragen von Aufsichtsbehörden.

6. Unterauftragsverarbeiter

1. Der Kunde stimmt den Unterauftragsverarbeitern aus Anlage 2 zu.
2. Über neue oder ausgetauschte Unterauftragsverarbeiter informiert der Anbieter mindestens 30 Tage vorher in Textform. Der Kunde kann aus wichtigem Grund widersprechen. Lässt sich keine Lösung finden, kann der Kunde den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

7. Übermittlung in Drittländer

Der Anbieter hat seinen Sitz in den USA. Soweit personenbezogene Daten in ein Land außerhalb der EU und des EWR übermittelt werden oder von dort darauf zugegriffen wird, geschieht das nur auf einer Grundlage nach Art. 44 ff. DSGVO, insbesondere auf Grundlage der Standardvertragsklauseln der EU-Kommission. Diese stellt der Anbieter dem Kunden auf Anfrage als Anlage bereit.

8. KI-Assistent

Richtet der Kunde das Zusatzpaket KI-Assistent ein, sendet die Anwendung die vom Kunden eingegebenen Texte, Betreff und Positionstitel des Belegs sowie den Leistungskatalog an den vom Kunden gewählten KI-Anbieter. Das geschieht unter dem eigenen Schlüssel und dem eigenen Vertrag des Kunden mit diesem Anbieter. Der KI-Anbieter ist insoweit kein Unterauftragsverarbeiter des Anbieters. Der Kunde gibt in das Eingabefeld keine personenbezogenen Daten seiner Kunden ein.

9. Kontrollrechte

Der Kunde kann die Einhaltung dieses Vertrags prüfen. Der Anbieter weist sie durch Auskünfte und geeignete Unterlagen nach. Prüfungen vor Ort finden nach Ankündigung mit angemessener Frist, zu den üblichen Geschäftszeiten und höchstens einmal im Jahr statt, außer es gibt einen konkreten Anlass.

10. Löschung und Rückgabe

1. Der Kunde kann seine Daten jederzeit vollständig exportieren, auch nach Ende des Tarifs (Lesemodus).
2. Nach Ende der Nutzung löscht der Anbieter die Daten des Kunden auf dessen Verlangen, spätestens 12 Monate nach Ende des letzten Tarifs, soweit keine gesetzliche Pflicht zur Speicherung beim Anbieter besteht.
3. Die Aufbewahrung seiner Rechnungen nach Handels- und Steuerrecht ist Sache des Kunden. Er sichert dafür rechtzeitig seinen Export.

11. Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

12. Schlussbestimmungen

1. Änderungen bedürfen der Textform.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.
3. Dieser Vertrag kommt in Textform zustande, sobald der Kunde einen Tarif bucht. Eine unterschriebene Fassung erhält der Kunde auf Anfrage.

---

Anlage 1: Technische und organisatorische Maßnahmen

Nur Maßnahmen, die in der Anwendung umgesetzt sind (Stand 13.11.2026):

• Zugang: Anmeldung über das Konto bei Answer the Web mit Einmal-Code; die Anwendung speichert kein Passwort. Sitzungs-Cookie nur über HTTPS, nicht per Skript lesbar. Schutz gegen fremde Formular-Aufrufe (CSRF) und Begrenzung von Anmelde- und Portal-Aufrufen.
• Trennung: Jeder Betrieb ist ein eigener Mandant. Module greifen nur über eine Datenschicht zu, die die Mandanten-Kennung erzwingt. Die Trennung wird vor jeder Veröffentlichung automatisch getestet.
• Rollen: Inhaber, Büro, Monteur mit abgestuften Rechten.
• Übertragung: ausschließlich HTTPS.
• Integrität: Festschreibung von Rechnungen, fortlaufende Nummern, Prüfsummen-Kette, Protokoll von Festschreibung, Zahlung, Mahnung, Storno und Export mit Zeit und Nutzer.
• Kunden-Link: signierte, nicht erratbare Adresse; vom Betrieb jederzeit sperrbar.
• Geheimnisse: API-Schlüssel des KI-Zusatzpakets verschlüsselt gespeichert, nie im Export, nie an den Browser.
• Ablage: Programmcode, Konfiguration und hochgeladene Dateien liegen außerhalb des öffentlich erreichbaren Webordners.
• Kein Tracking in der Anwendung.

Anlage 2: Unterauftragsverarbeiter

Den Standort des Rechenzentrums nennt der Anbieter auf Anfrage und in der unterschriebenen Fassung.