Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

Stand: 30.09.2026

Anlagen: 1 – Technische und organisatorische Maßnahmen (TOM), 2 – Unterauftragsverarbeiter

1. Vertragsparteien

Zwischen

BHP Solutions UG (haftungsbeschränkt)
Mardorfer Str. 6A
31536 Neustadt am Rübenberge
Deutschland
E-Mail: info@sepapro.de

– nachfolgend „Auftragsverarbeiter“ –

und

dem jeweiligen Kunden der Software SEPApro

– nachfolgend „Verantwortlicher“ –

wird folgender Vertrag über die Verarbeitung personenbezogener Daten im Auftrag geschlossen.

2. Gegenstand und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Nutzung der webbasierten Software SEPApro.

Zweck der Verarbeitung ist die technische Bereitstellung, Speicherung und automatisierte Erstellung von SEPA-Lastschriften sowie die Verwaltung von Mandats- und Zahlungsdaten.

3. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Vertragsverhältnisses zwischen dem Verantwortlichen und der BHP Solutions UG (haftungsbeschränkt).

Nach Beendigung des Vertrags werden die Daten gemäß Abschnitt 8 gelöscht oder zurückgegeben.

4. Art der Daten und Kategorien betroffener Personen

Art der verarbeiteten Daten:

• Kundendaten (Name, Anschrift, E-Mail, Telefonnummer)
• Zahlungsdaten (IBAN, BIC, Kontoinhaber, Mandatsreferenz, Fälligkeitsdaten)
• Rechnungs- und Buchungsdaten

Kategorien betroffener Personen:

• Kunden des Verantwortlichen
• Zahlungspflichtige (z. B. Mitglieder, Patient*innen, Mandanten)

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

• Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten,
• geeignete technische und organisatorische Maßnahmen (TOM) umzusetzen,
• Mitarbeitende auf Vertraulichkeit zu verpflichten,
• den Verantwortlichen bei der Wahrnehmung von Betroffenenrechten zu unterstützen,
• Datenschutzverletzungen unverzüglich zu melden,
• Nachweise über die Einhaltung der Maßnahmen bereitzuhalten.

6. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 in der jeweils aktuellen Fassung beschrieben sind. Änderungen der Maßnahmen sind zulässig, sofern das Schutzniveau nicht unterschritten wird.

Die jeweils aktuelle Fassung der TOM kann vom Verantwortlichen angefordert werden.

7. Unterauftragsverarbeiter

Der Auftragsverarbeiter darf zur Erfüllung seiner Leistungen Unterauftragsverarbeiter einsetzen.

Die aktuell eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

Der Verantwortliche wird über Änderungen der Unterauftragsverarbeiter informiert und kann aus wichtigem Grund innerhalb von 14 Tagen widersprechen.

8. Löschung und Rückgabe der Daten

Nach Vertragsende werden alle personenbezogenen Daten gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.

Backups werden spätestens 30 Tage nach Vertragsende automatisch gelöscht.

Eine Rückgabe der Daten erfolgt auf Wunsch in einem gängigen maschinenlesbaren Format (z. B. CSV oder XML).

9. Unterstützungspflichten und Meldungen

Die BHP Solutions UG (haftungsbeschränkt) unterstützt den Verantwortlichen bei:

• der Erfüllung von Auskunfts-, Löschungs- oder Berichtigungsansprüchen,
• Datenschutz-Folgenabschätzungen (Art. 35 DSGVO),
• Meldungen von Datenschutzverletzungen an die Aufsichtsbehörde (Art. 33 DSGVO).

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

10. Nachweispflichten und Audits

Der Auftragsverarbeiter ermöglicht dem Verantwortlichen, sich von der Einhaltung der vereinbarten technischen und organisatorischen Maßnahmen zu überzeugen.

Der Nachweis kann durch Zertifikate, Auditberichte oder Sicherheitsdokumentationen erfolgen.

Eine Vor-Ort-Kontrolle ist nach vorheriger Abstimmung zulässig.

11. Haftung

Die BHP Solutions UG (haftungsbeschränkt) haftet nach Maßgabe der gesetzlichen Bestimmungen, sofern sie gegen diesen Vertrag oder die DSGVO verstößt.

Eine Haftungsbeschränkung erfolgt gemäß den Allgemeinen Geschäftsbedingungen (AGB).

Die Haftung des Verantwortlichen bleibt unberührt.

12. Datenschutzbeauftragter

BHP Solutions UG (haftungsbeschränkt) ist derzeit nicht verpflichtet, einen Datenschutzbeauftragten zu bestellen (Art. 37 DSGVO).

Verantwortlich für Datenschutzanfragen ist:

Michael Homeister
E-Mail: info@sepapro.de

13. Gerichtsstand und Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland.

Gerichtsstand ist Neustadt am Rübenberge.

Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Änderungen und Ergänzungen bedürfen der Schriftform.