Gilt für alle Kunden, die im Tool personenbezogene Daten Dritter verarbeiten.
Auftraggeber (Verantwortlicher): der jeweilige Kunde, der ein Konto im Tool „EDI Global Business Solutions" (ediglobalsolutions.digital) anlegt. Das Angebot richtet sich ausschließlich an Unternehmer im Sinne von § 14 BGB.
Auftragnehmer (Auftragsverarbeiter): Hermann Franklin Edi, EDI Global Business Solutions, c/o COCENTER, Koppoldstr. 1, 86551 Aichach, Deutschland, E-Mail: info@ediglobalsolutions.com.
Hauptvertrag („Vertrag"): die Nutzungsbedingungen des Tools.
Dieser Vertrag wird mit Zustimmung zu den Nutzungsbedingungen bei der Registrierung in Textform geschlossen und ist Bestandteil des Nutzungsvertrags.
Diese Vereinbarung konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus der im Vertrag beschriebenen Auftragsverarbeitung gemäß der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 – DS-GVO) und des Bundesdatenschutzgesetzes (BDSG) ergeben. Sie findet Anwendung auf alle Tätigkeiten, die zur Erfüllung des Vertrags im Auftrag des Auftraggebers dienen und bei denen personenbezogene Daten („Daten") des Auftraggebers durch den Auftragnehmer oder durch von ihm Beauftragte verarbeitet werden.
Gegenstand des Auftrags, Art und Zweck der Verarbeitung sowie die Kategorien betroffener Daten und Personen ergeben sich aus dem Vertrag und aus Anlage 1 dieser Vereinbarung.
Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des Vertrags, sofern sich aus dieser Vereinbarung keine darüber hinausgehenden Verpflichtungen ergeben.
(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag und nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor Beginn der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Der Auftraggeber und der Auftragnehmer sind jeweils selbst für die Einhaltung des geltenden Datenschutzrechts verantwortlich. Der Auftraggeber bleibt für die Beurteilung der Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie der Datenverarbeitung allein verantwortlich („Verantwortlicher" im Sinne des Art. 4 Nr. 7 DS-GVO).
(2) Die Weisungen werden durch den Vertrag und die Nutzung der Funktionen des Tools durch den Auftraggeber festgelegt. Sie können vom Auftraggeber danach in Textform (z. B. per E-Mail an info@ediglobalsolutions.com) durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Weisungen, die im Vertrag nicht vorgesehen sind, werden als Antrag auf Leistungsänderung behandelt. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
(1) Der Auftragnehmer darf personenbezogene Daten, die Gegenstand des Auftrags sind, nur im Rahmen des Auftrages und der Weisungen des Auftraggebers verarbeiten, außer es liegt ein Ausnahmefall im Sinne des Art. 28 Abs. 3 lit. a DS-GVO vor.
(2) Der Auftragnehmer informiert den Auftraggeber, wenn nach seiner Auffassung eine Weisung gegen die DS-GVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Er darf die Umsetzung der Weisung aussetzen, bis sie vom Auftraggeber bestätigt oder abgeändert wurde. Der Auftragnehmer ist nicht verpflichtet, eine umfassende rechtliche Prüfung durchzuführen. Mehrkosten durch eine zusätzliche oder abweichende Weisung trägt der Auftraggeber, es sei denn, die Weisung ist erforderlich, um gesetzliche Anforderungen zu erfüllen.
(3) Der Auftragnehmer trifft technische und organisatorische Maßnahmen (TOM) zum angemessenen Schutz der Daten des Auftraggebers, die den Anforderungen des Art. 32 DS-GVO genügen und die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer gewährleisten. Die Vertragsparteien vereinbaren die in Anlage 2 beschriebenen TOM. Dem Auftragnehmer ist es gestattet, alternative adäquate Maßnahmen umzusetzen; das Sicherheitsniveau der in Anlage 2 genannten Maßnahmen darf dabei nicht unterschritten werden. Änderungen werden dokumentiert und dem Auftraggeber auf Anfrage mitgeteilt.
(4) Der Auftragnehmer unterstützt den Auftraggeber angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten TOM bei der Erfüllung der Anfragen und Ansprüche betroffener Personen nach Kapitel III der DS-GVO (siehe § 5). Im Falle einer Inanspruchnahme des Auftraggebers durch eine betroffene Person wegen Schadensersatzansprüchen nach Art. 82 DS-GVO unterstützt der Auftragnehmer den Auftraggeber bei der Abwehr im Rahmen seiner Möglichkeiten.
(5) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32 bis 36 DS-GVO genannten Pflichten. Er stellt sicher, dass es den mit der Verarbeitung befassten Personen untersagt ist, die Daten außerhalb der Weisung zu verarbeiten, und dass diese Personen zur Vertraulichkeit verpflichtet sind, auch über das Ende des Auftrags hinaus.
(6) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, wenn ihm Verletzungen des Schutzes personenbezogener Daten des Auftraggebers bekannt werden, so dass der Auftraggeber seinen Pflichten insbesondere nach Art. 33 und 34 DS-GVO nachkommen kann. Die Meldung enthält mindestens:
Soweit Informationen nicht zur gleichen Zeit bereitgestellt werden können, werden sie ohne unangemessene weitere Verzögerung schrittweise zur Verfügung gestellt. Der Auftragnehmer orientiert sich dabei am Bitkom-Meldebogen „Datenschutzvorfall – Vorlage für Auftragsverarbeiter".
(7) Verantwortlicher Kontakt des Auftragnehmers für Datenschutzfragen: Hermann Franklin Edi, info@ediglobalsolutions.com.
(8) Nach Beendigung des Auftrags gibt der Auftragnehmer sämtliche Daten des Auftraggebers auf dessen Verlangen heraus – der Auftraggeber kann seine Daten hierfür insbesondere selbst über die Exportfunktionen des Tools abrufen – oder löscht sie, sofern keine gesetzliche Aufbewahrungspflicht besteht. Nach dem Ende eines gekündigten Abonnements bleiben die Daten mindestens 30 Tage für einen Export verfügbar und werden danach gelöscht; der Auftraggeber wird vorher per E-Mail informiert. Bestehen gesetzliche Aufbewahrungsfristen, werden die Daten bis zu deren Ablauf gesperrt und anschließend gelöscht. Der Auftragnehmer bestätigt die Löschung auf Anfrage.
(1) Im Falle einer Inanspruchnahme des Auftragnehmers durch eine betroffene Person hinsichtlich etwaiger Schadensersatzansprüche nach Art. 82 DS-GVO gilt § 3 Abs. 4 Satz 2 entsprechend.
(2) Kontakt des Auftraggebers für Datenschutzfragen ist die E-Mail-Adresse des Nutzerkontos, sofern der Auftraggeber keinen anderen Kontakt in Textform benennt. Der Auftraggeber trägt Sorge für die Aktualität dieser Angabe.
(3) Der Auftraggeber gibt im Tool keine besonderen Kategorien personenbezogener Daten nach Art. 9 DS-GVO ein (siehe Anlage 1).
Wendet sich eine betroffene Person mit Anträgen auf Wahrnehmung der in Kapitel III DS-GVO genannten Rechte an den Auftragnehmer, verweist der Auftragnehmer die betroffene Person unverzüglich an den Auftraggeber und leitet den Antrag an ihn weiter. Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten TOM bei der Beantwortung dieser Anträge auf Weisung.
Auskünfte an Dritte erteilt der Auftragnehmer nicht, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Anforderung vorher mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(1) Der Auftragnehmer weist dem Auftraggeber die Einhaltung der in dieser Vereinbarung niedergelegten Pflichten mit geeigneten Mitteln nach und stellt ihm auf Anforderung alle erforderlichen Informationen zur Verfügung, insbesondere zur Umsetzung der TOM nach Art. 32 DS-GVO.
(2) Der Nachweis kann insbesondere erfolgen durch Selbstaudits des Auftragnehmers sowie durch Zertifizierungen und Prüfberichte der eingesetzten Unterauftragsverarbeiter.
(3) Kontrollrechte des Auftraggebers: Auf Verlangen des Auftraggebers gestattet der Auftragnehmer die Prüfung der unter diese Vereinbarung fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei. Der Auftraggeber kann die Prüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen. Eine Prüfung kann insbesondere durch die Einholung von Auskünften, die Anforderung von Nachweisen und – mit angemessener Vorankündigung während der üblichen Geschäftszeiten – durch Inspektionen vor Ort erfolgen. Prüfungen sind ohne Störung des Betriebsablaufs und unter Wahrung der Sicherheits- und Vertraulichkeitsinteressen des Auftragnehmers durchzuführen; die Vereinbarung einer Geheimhaltungsverpflichtung kann verlangt werden, soweit sie den Nachweis gegenüber Aufsichtsbehörden nicht beeinträchtigt. Reguläre Vor-Ort-Inspektionen sind auf eine pro Kalenderjahr beschränkt; anlassbezogene Kontrollen bleiben unberührt. Jede Partei trägt ihre eigenen Kosten.
(1) Die in der Liste der Unterauftragsverarbeiter aufgeführten Unternehmen gelten als genehmigt. Der Auftragnehmer trifft mit ihnen die erforderlichen Vereinbarungen, um angemessene Datenschutz- und Informationssicherheitsmaßnahmen zu gewährleisten.
(2) Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung zum Einsatz weiterer Unterauftragsverarbeiter. Der Auftragnehmer kündigt die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage vorher per E-Mail an. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; im Falle eines Widerspruchs ist er berechtigt, den Vertrag zum Zeitpunkt der Änderung zu kündigen. Erfolgt kein Widerspruch, gilt die Zustimmung als erteilt. In Notfallsituationen (z. B. dringendes Sicherheitsrisiko, unvorhergesehener Ausfall eines Dienstleisters) darf der Auftragnehmer auch ohne Einhaltung der Frist handeln und informiert den Auftraggeber unverzüglich.
(3) Die aktuelle Liste aller Unterauftragsverarbeiter mit Name, Anschrift, Teilleistung und Ort der Verarbeitung ist unten auf dieser Seite dauerhaft abrufbar.
(4) Beauftragt der Auftragnehmer Unterauftragsverarbeiter, überträgt er ihnen gemäß Art. 28 Abs. 4 DS-GVO dieselben Datenschutzpflichten aus dieser Vereinbarung. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragsverarbeiters.
(1) Eine Übermittlung in Drittstaaten außerhalb der EU und des EWR findet nur statt, sofern die Voraussetzungen der Art. 44 ff. DS-GVO eingehalten werden.
(2) Das angemessene Schutzniveau wird, soweit einschlägig, gewährleistet durch einen Angemessenheitsbeschluss der EU-Kommission (Art. 45 DS-GVO), insbesondere das EU-US Data Privacy Framework, oder durch Standarddatenschutzklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DS-GVO) in ihrer jeweils aktuellen Fassung sowie, soweit erforderlich, zusätzliche Maßnahmen. Werden Standarddatenschutzklauseln ohne Angemessenheitsbeschluss eingesetzt, führt der Auftragnehmer ein Transfer Impact Assessment durch und stellt es dem Auftraggeber auf Anfrage zur Verfügung. Die je Unterauftragsverarbeiter maßgebliche Grundlage ist in der Liste angegeben.
(3) Mit der Genehmigung der Unterauftragsverarbeiter nach § 7 gilt auch deren Verarbeitung in den dort genannten Drittstaaten als genehmigt.
Die im Vertrag (Nutzungsbedingungen) vereinbarte Haftungsregelung gilt auch für diese Vereinbarung. Die Haftung gegenüber betroffenen Personen nach Art. 82 DS-GVO bleibt unberührt.
(1) Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, informiert der Auftragnehmer den Auftraggeber unverzüglich. Er weist alle in diesem Zusammenhang Verantwortlichen darauf hin, dass die Hoheit an den Daten ausschließlich beim Auftraggeber als „Verantwortlichem" im Sinne der DS-GVO liegt.
(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform und des ausdrücklichen Hinweises, dass es sich um eine Änderung bzw. Ergänzung dieser Vereinbarung handelt. Änderungen teilt der Auftragnehmer entsprechend den Regelungen der Nutzungsbedingungen zu deren Änderung mit.
(3) Bei Widersprüchen gehen die Regelungen dieser Vereinbarung den Regelungen des Vertrags vor. Sollten einzelne Teile dieser Vereinbarung unwirksam sein, berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. Die Vertragsparteien gestatten einander, Informationen aus dieser Vereinbarung zur Abwehr von Ansprüchen Dritter und zum Nachweis der eigenen Pflichterfüllung zu nutzen.
(4) Es gilt deutsches Recht.
Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO: der Auftraggeber.
Bereitstellung der Software-as-a-Service-Plattform „EDI Global Business Solutions" (Cloud-Leistung, SaaS) mit den vom Auftraggeber gewählten Modulen: Kundenverwaltung (CRM) und Verkaufschancen, Angebote, Aufträge und Lieferscheine, Einkauf und Sourcing, Buchhaltung, Rechnungen, Mahnwesen und Gutschriften, Kassenbuch, Lagerbestand, Cashflow, E-Mail-Postfach-Anbindung mit Rechnungserkennung sowie KI-Assistent. Die Verarbeitung umfasst insbesondere das Speichern, Anzeigen, Auswerten, Exportieren und Löschen der vom Auftraggeber eingegebenen oder importierten Daten.
Entspricht der Laufzeit des Abonnements (siehe § 1 und § 3 Abs. 8).
Eine Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DS-GVO ist nicht vorgesehen. Der Auftraggeber wird gebeten, solche Daten nicht in das Tool einzugeben.
| Name und Anschrift | Leistung | Ort der Verarbeitung | Transfergrundlage |
|---|---|---|---|
| Supabase, Inc. Anschrift gemäß Auftragsverarbeitungsvertrag des Anbieters | Datenbank, Authentifizierung | Rechenzentrum in Irland, EU (AWS eu-west-1, Dublin) | Speicherung in der EU; Standarddatenschutzklauseln für etwaige Zugriffe aus den USA |
| Netlify, Inc. Anschrift gemäß Auftragsverarbeitungsvertrag des Anbieters | Hosting, Server-Funktionen | USA / weltweites Auslieferungsnetz | EU-US Data Privacy Framework, Standarddatenschutzklauseln |
| Resend, Inc. Anschrift gemäß Auftragsverarbeitungsvertrag des Anbieters | Versand von System-E-Mails | USA | Standarddatenschutzklauseln |
| Anthropic, PBC Anschrift gemäß Auftragsverarbeitungsvertrag des Anbieters | KI-Analyse (Beleg- und E-Mail-Erkennung, KI-Assistent) | USA | EU-US Data Privacy Framework, Standarddatenschutzklauseln |
Die Zahlungsabwicklung erfolgt über Paddle.com Market Ltd. als Händler (Merchant of Record). Paddle ist für die Zahlungsdaten eigener Verantwortlicher und kein Unterauftragsverarbeiter im Sinne dieser Vereinbarung.
Die folgenden Maßnahmen sind umgesetzt. Sie sind nach den Schutzzielen des Art. 32 DS-GVO gegliedert.
Stand: 30. September 2026 · Grundlage: Bitkom-Mustervertragsanlage zur Auftragsverarbeitung (Version 1.3, 2025), angepasst.