Teil B — AVV: Auftragsverarbeitung nach Art. 28 DSGVO
§1 Geltungsbereich
(1) Diese Allgemeinen Geschäftsbedingungen (AGB) gelten für alle Verträge zwischen Enes Sancak, ENIMAKE — Softwarelösungen, Neckarstraße 27, 73728 Esslingen am Neckar (nachfolgend „Anbieter") und dem Kunden über die Nutzung der als Software-as-a-Service (SaaS) bereitgestellten Anwendung „Enimake" (nachfolgend „Software").
(2) Das Angebot richtet sich an Unternehmer im Sinne des § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Entgegenstehende oder abweichende Bedingungen des Kunden werden nicht Vertragsbestandteil, es sei denn, der Anbieter stimmt ihrer Geltung ausdrücklich schriftlich zu.
§2 Vertragsgegenstand
(1) Der Anbieter stellt dem Kunden die Software über das Internet zur Nutzung bereit. Die Software umfasst je nach gebuchtem Paket Funktionen u. a. für Schlüssel-, Inventar- und Liegenschaftsverwaltung, Leihwesen und Übergabe, Kontakte/CRM, Aufträge und Projekte, Faktura und E-Rechnung sowie weitere Module.
(2) Maßgeblich für den Funktionsumfang ist die zum Zeitpunkt des Vertragsschlusses gültige Leistungsbeschreibung des jeweils gebuchten Pakets. Der Anbieter entwickelt die Software laufend weiter; Funktionsänderungen und ‑erweiterungen sind zulässig, soweit der vertraglich geschuldete Leistungsumfang nicht wesentlich eingeschränkt wird.
(3) Die Software wird dem Kunden für die Vertragslaufzeit zur Nutzung überlassen; ein Erwerb von Eigentum an der Software oder deren Quellcode ist nicht Vertragsgegenstand.
§3 Vertragsschluss und Registrierung
(1) Die Darstellung der Pakete auf der Website stellt kein bindendes Angebot dar. Der Kunde gibt mit Absenden der Registrierung bzw. Buchung ein Angebot ab; der Vertrag kommt mit der Bestätigung durch den Anbieter oder mit der Freischaltung des Zugangs zustande.
(2) Der Kunde ist verpflichtet, bei der Registrierung wahrheitsgemäße und vollständige Angaben zu machen und diese aktuell zu halten. Zugangsdaten sind vertraulich zu behandeln und vor dem Zugriff Dritter zu schützen.
§4 Testphase
(1) Der Anbieter kann eine unverbindliche, kostenlose Testphase anbieten. Die Dauer der Testphase wird bei der Registrierung angegeben.
(2) Die Testphase endet automatisch nach Ablauf des angegebenen Zeitraums und geht nicht automatisch in ein kostenpflichtiges Abonnement über, sofern nicht ausdrücklich etwas anderes vereinbart wurde. Ein Anspruch auf Verfügbarkeit bestimmter Funktionen während der Testphase besteht nicht.
§5 Preise und Zahlungsbedingungen
(1) Es gelten die zum Zeitpunkt der Buchung ausgewiesenen Preise des jeweiligen Pakets. Alle Preise verstehen sich, sofern nicht anders angegeben, als Nettopreise zuzüglich der gesetzlichen Umsatzsteuer.
(2) Die Vergütung ist je nach gewähltem Abrechnungszeitraum (z. B. jährlich) im Voraus fällig. Die Zahlungsabwicklung erfolgt über den Zahlungsdienstleister Stripe; ergänzend gelten dessen Bedingungen für den Bezahlvorgang.
(3) Gerät der Kunde mit der Zahlung in Verzug, ist der Anbieter berechtigt, nach erfolgloser Mahnung den Zugang zur Software vorübergehend zu sperren. Weitergehende gesetzliche Rechte bleiben unberührt.
§6 Vertragslaufzeit und Kündigung
(1) Die Vertragslaufzeit richtet sich nach dem gewählten Abrechnungszeitraum und verlängert sich jeweils um denselben Zeitraum, sofern der Vertrag nicht mit der vereinbarten Frist gekündigt wird.
(2) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt für beide Parteien unberührt. Kündigungen bedürfen der Textform (z. B. E-Mail).
(3) Nach Vertragsende stellt der Anbieter dem Kunden für einen angemessenen Zeitraum die Möglichkeit zum Export seiner Daten bereit. Anschließend werden die Kundendaten nach Maßgabe der Datenschutzerklärung und des AVV gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
§7 Pflichten und Nutzungsrechte des Kunden
(1) Der Anbieter räumt dem Kunden für die Vertragslaufzeit ein einfaches, nicht übertragbares Recht zur vertragsgemäßen Nutzung der Software ein, begrenzt auf die gebuchte Anzahl von Nutzern bzw. Zugängen.
(2) Der Kunde verpflichtet sich, die Software nicht missbräuchlich zu nutzen, keine rechtswidrigen Inhalte zu speichern oder zu versenden und geltendes Recht — insbesondere im Hinblick auf werbliche Kommunikation (Einwilligung, Double-Opt-in, Abmeldemöglichkeit) sowie den Datenschutz der von ihm verarbeiteten Daten — einzuhalten.
(3) Für die von ihm eingestellten Inhalte und Daten sowie für die Rechtmäßigkeit ihrer Verarbeitung ist der Kunde selbst verantwortlich.
§8 Verfügbarkeit, Wartung und Support
(1) Der Anbieter bemüht sich um eine hohe Verfügbarkeit der Software. Von der Verfügbarkeit ausgenommen sind Zeiten, in denen die Software aufgrund von Wartungsarbeiten, erforderlichen Updates oder aus Gründen, die nicht im Einflussbereich des Anbieters liegen (z. B. höhere Gewalt, Störungen von Drittanbietern), nicht erreichbar ist.
(2) Geplante Wartungsarbeiten werden nach Möglichkeit rechtzeitig angekündigt und in nutzungsarme Zeiten gelegt.
(3) Support wird im Rahmen des gebuchten Pakets in deutscher Sprache bereitgestellt.
§9 Daten des Kunden und Datenschutz
(1) Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit der Kunde über die Software personenbezogene Daten Dritter verarbeitet. Insoweit gilt der als Teil B beigefügte Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.
(2) Im Übrigen gilt die Datenschutzerklärung des Anbieters.
§10 Gewährleistung
(1) Der Anbieter gewährleistet eine im Wesentlichen der Leistungsbeschreibung entsprechende Funktionsfähigkeit der Software. Eine bestimmte Eignung für Zwecke des Kunden wird nur geschuldet, soweit sie ausdrücklich vereinbart wurde.
(2) Mängel sind dem Anbieter nachvollziehbar zu melden. Der Anbieter beseitigt Mängel innerhalb angemessener Frist durch Nachbesserung (z. B. durch Update, Patch oder Umgehungslösung).
§11 Haftung
(1) Der Anbieter haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit sowie bei der Verletzung von Leben, Körper oder Gesundheit.
(2) Bei einfacher Fahrlässigkeit haftet der Anbieter nur bei Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht), deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. In diesem Fall ist die Haftung auf den vertragstypischen, vorhersehbaren Schaden begrenzt.
(3) Im Übrigen ist die Haftung ausgeschlossen. Die Haftung nach dem Produkthaftungsgesetz bleibt unberührt.
(4) Der Kunde ist für die regelmäßige Sicherung seiner Daten im Rahmen der bereitgestellten Exportfunktionen mitverantwortlich.
§12 Vertraulichkeit
Die Parteien verpflichten sich, vertrauliche Informationen der jeweils anderen Partei, die ihnen im Rahmen der Vertragsdurchführung bekannt werden, vertraulich zu behandeln und nur für Zwecke der Vertragsdurchführung zu verwenden.
§13 Änderungen dieser AGB
Der Anbieter kann diese AGB mit Wirkung für die Zukunft ändern, soweit dies zur Anpassung an geänderte rechtliche oder technische Rahmenbedingungen erforderlich ist und den Kunden nicht unangemessen benachteiligt. Änderungen werden dem Kunden in Textform mitgeteilt. Widerspricht der Kunde nicht innerhalb einer angemessenen Frist, gelten die Änderungen als angenommen; auf die Bedeutung des Schweigens wird in der Mitteilung hingewiesen.
§14 Schlussbestimmungen
(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.
(2) Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand der Sitz des Anbieters.
(3) Sollten einzelne Bestimmungen dieser AGB unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Teil B — Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO
Soweit der Anbieter für den Kunden personenbezogene Daten verarbeitet, gelten ergänzend zu den AGB die nachfolgenden Regelungen. Bei Widersprüchen gehen die Regelungen dieses AVV für den Bereich der Auftragsverarbeitung vor.
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Anbieter (Auftragsverarbeiter) im Auftrag des Kunden (Verantwortlicher) zur Bereitstellung der Software. Die Dauer entspricht der Laufzeit des Hauptvertrags.
2. Art, Zweck und Umfang der Verarbeitung
Art und Zweck: Speicherung, Organisation, Anzeige, Auswertung und Übermittlung der vom Kunden eingestellten Daten zur Erbringung der vertraglich vereinbarten Funktionen. Art der Daten: u. a. Kontakt- und Stammdaten, Schlüssel-, Inventar- und Liegenschaftsdaten, Vorgangs-, Auftrags- und Rechnungsdaten, Kommunikationsinhalte. Kategorien betroffener Personen: u. a. Mitarbeiter, Kunden, Lieferanten, Mieter und sonstige Kontakte des Verantwortlichen.
3. Weisungsgebundenheit
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der vertraglichen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen.
4. Vertraulichkeit
Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
5. Technisch-organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere: SSL/TLS-Verschlüsselung der Übertragung; Passwort-Hashing (bcrypt); Verschlüsselung sensibler Daten (AES-256); rollen- und rechtebasierte Zugriffskontrolle; Protokollierung von Zugriffen; getrennte Mandantenfähigkeit; Hosting in ISO-27001-zertifizierten Rechenzentren in Deutschland. Die TOM sind vor Vertragsbeginn zu konkretisieren und bei Bedarf fortzuschreiben.
6. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
- Stripe Payments Europe Ltd., Dublin, Irland — Zahlungsabwicklung
- Sendinblue GmbH (Brevo), Berlin, Deutschland — transaktionaler E-Mail-Versand
- LINK Mobility Austria GmbH (WebSMS), Wien, Österreich — SMS-Versand
- united-domains AG, Starnberg, Deutschland — Hosting
Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf Unterauftragsverarbeiter und räumt die Möglichkeit zum Widerspruch ein. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.
7. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Beantwortung von Anträgen betroffener Personen (Art. 15–22 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung).
8. Löschung und Rückgabe
Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter die Daten oder gibt sie nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche kann seine Daten vor Vertragsende über die bereitgestellten Exportfunktionen selbst exportieren.
9. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen in angemessenem Rahmen.