Diese Vereinbarung ist Anlage 1 zu den Allgemeinen Geschäftsbedingungen und zu den Geschäftsbedingungen für Uniqscreen der Uniqor UG (haftungsbeschränkt) und wird mit dem Hauptvertrag Bestandteil des Vertragsverhältnisses. Sie erfüllt die Anforderungen des Art. 28 Abs. 3 DSGVO.

Auftraggeber (Verantwortlicher) ist der Kunde. Auftragnehmerin (Auftragsverarbeiterin) ist die Uniqor UG (haftungsbeschränkt), Alter Weg 5, 31199 Diekholzen, vertreten durch den Geschäftsführer Sascha Schöning, E-Mail info@uniqor.de.

1. Gegenstand, Dauer und Rollenverteilung

(1) Uniqor verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit der Kunde sie im Rahmen der Nutzung von Uniqinvoice oder Uniqscreen oder im Rahmen von IT-Dienstleistungen (z. B. Support mit Zugriff auf Systeme des Kunden, Hosting, Datensicherung) in die Systeme von Uniqor einbringt oder Uniqor Zugriff darauf gewährt.

(2) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich. Er allein entscheidet über Zwecke und Mittel der Verarbeitung.

(3) Die Vereinbarung gilt für die Dauer des Hauptvertrags und endet mit ihm; die Pflichten zur Löschung und zur Vertraulichkeit gelten darüber hinaus fort.

(4) Für Daten, die Uniqor als eigener Verantwortlicher verarbeitet – etwa Ihre Vertrags- und Rechnungsdaten als unser Kunde oder die Zugangsdaten Ihrer Benutzerkonten –, gilt nicht diese Vereinbarung, sondern unsere Datenschutzerklärung.

2. Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Zweck: Bereitstellung und Betrieb der beauftragten Software und Dienstleistungen einschließlich Speicherung, Auswertung, Anzeige, Versand und Sicherung der vom Kunden eingebrachten Daten.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln (z. B. E-Mail-Versand im Auftrag), Einschränken, Löschen und Vernichten.

Datenarten (je nach genutztem Produkt):

Uniqinvoice: Stammdaten der Kunden und Lieferanten des Auftraggebers (Name, Anschrift, Kontaktdaten, Steuernummern), Beleg- und Vertragsdaten, Zahlungs- und Bankdaten, Artikel- und Lagerdaten, Mitarbeiter- und Termindaten, Protokolldaten sowie – bei Nutzung der digitalen Unterschrift – Name, Unterschriftsbild, Zeitpunkte, IP-Adresse und Browserkennung der unterzeichnenden Person.
Uniqscreen: Benutzer- und Gerätedaten, vom Auftraggeber hochgeladene Medien und Inhalte, Wiedergabe- und Nachweisdaten, Standortbezeichnungen.
IT-Dienstleistungen: die Daten, die sich auf den betreuten Systemen befinden, soweit ein Zugriff im Rahmen der Leistung erforderlich ist.

Kategorien betroffener Personen: Kunden, Interessenten und Lieferanten des Auftraggebers, dessen Beschäftigte, Ansprechpartner und Vertretungsberechtigte sowie – bei Uniqscreen – Personen, die auf bereitgestellten Inhalten abgebildet sind.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung; der Auftraggeber verpflichtet sich, solche Daten nicht ohne vorherige gesonderte Vereinbarung einzubringen.

3. Weisungen

(1) Uniqor verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, eine Verarbeitung ist nach Unionsrecht oder dem Recht eines Mitgliedstaats vorgeschrieben; in diesem Fall teilt Uniqor dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Der Hauptvertrag und die Einstellungen, die der Auftraggeber in der Software vornimmt, gelten als Erstweisung. Weitere Weisungen sind in Textform an info@uniqor.de zu richten.

(3) Hält Uniqor eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen.

4. Vertraulichkeit

Uniqor setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und stellt deren Unterweisung im Datenschutz sicher.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Uniqor trifft insbesondere folgende Maßnahmen und hält sie dem Stand der Technik entsprechend aktuell:

Zutritt: Betrieb in einem Rechenzentrum in Deutschland mit Zutrittskontrolle; kein eigener Serverraum beim Auftragnehmer.
Zugang: persönliche Benutzerkonten, Passwörter ausschließlich als Hash gespeichert (bcrypt), Sperrung nach wiederholten Fehlversuchen, administrativer Zugriff auf den Server nur über SSH und nur für einen kleinen Kreis; Datenbanken sind von außen nicht erreichbar.
Zugriff: Rollen- und Rechtekonzept (Benutzer, Administrator, Superadministrator), strikte Trennung der Mandanten auf Datenbankebene, jede Abfrage ist an die Organisation gebunden.
Weitergabe: Transportverschlüsselung mit TLS auf allen Verbindungen, HSTS, keine unverschlüsselten Zugänge; besonders schutzwürdige Zugangsdaten (z. B. Bankschlüssel) zusätzlich mit AES-256-GCM verschlüsselt abgelegt.
Eingabe: Protokollierung ändernder Zugriffe mit Benutzer, Zeitpunkt und Vorgang; unveränderbare Belegprotokolle nach den Grundsätzen ordnungsmäßiger Buchführung.
Verfügbarkeit: tägliche automatische Sicherungen mit begrenzter Vorhaltezeit und einer Auslagerungskopie außerhalb des Servers, dokumentierte Wiederherstellung, laufende Aktualisierung der eingesetzten Software und des Betriebssystems.
Trennung: getrennte Systeme und Datenbanken je Produkt; innerhalb eines Produkts logische Trennung je Auftraggeber.
Belastbarkeit und Überprüfung: Begrenzung der Anfragen je Herkunft, automatische Neustarts im Störungsfall, regelmäßige Überprüfung der Maßnahmen.

Eine ausführliche Beschreibung stellt Uniqor auf Anfrage in Textform bereit.

6. Unterauftragnehmer

(1) Der Auftraggeber stimmt dem Einsatz der nachfolgend genannten Unterauftragnehmer zu. Uniqor schließt mit jedem von ihnen einen Vertrag nach Art. 28 DSGVO und weist dies auf Anfrage nach.

Unterauftragnehmer	Leistung	Ort der Verarbeitung
netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe	Betrieb der Server: ein Server für Website, Uniqinvoice und gehostete Kundensysteme, ein eigener Server für Uniqscreen	Rechenzentrum in Deutschland
Neue Medien Münnich (ALL-INKL.COM), Hauptstraße 68, 02742 Friedersdorf	E-Mail-Postfächer von Uniqor und Versand von System-E-Mails	Deutschland
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (ggf. Google LLC, USA)	Auslagerung einer Kopie der nächtlichen Sicherungen von Anwendungen und Kunden-Cloud-Speichern (Google Drive), damit ein Ausfall des Servers nicht zum Datenverlust führt. Die Übertragung erfolgt verschlüsselt (TLS).	EU, ggf. USA – auf Grundlage der Standardvertragsklauseln und der Zertifizierung unter dem EU-US Data Privacy Framework
Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland (ggf. Apple Inc., USA)	Nur Uniqscreen: Zustellung von Mitteilungen an die App für iPhone und iPad (Push-Token und Text der Mitteilung)	EU, ggf. USA – Standardvertragsklauseln, EU-US Data Privacy Framework
Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland	Abwicklung von Zahlungen, soweit vom Auftraggeber genutzt	EU, ggf. USA – Standardvertragsklauseln, EU-US Data Privacy Framework

(2) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die Uniqor bei Dritten bezieht, ohne dass diese bestimmungsgemäß auf die Daten des Auftraggebers zugreifen (z. B. Telekommunikation).

(3) Den E-Mail-Versand aus Uniqinvoice führt der Auftraggeber über den von ihm selbst hinterlegten Zugang durch; der betreffende Anbieter ist nicht Unterauftragnehmer von Uniqor.

(4) Uniqor kann weitere Unterauftragnehmer einsetzen oder bestehende austauschen. Sie teilt dies mindestens vier Wochen vorher in Textform mit. Der Auftraggeber kann innerhalb von vier Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen; in diesem Fall darf jede Partei den betroffenen Vertrag mit einer Frist von einem Monat kündigen.

7. Unterstützung des Auftraggebers

(1) Uniqor unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person unmittelbar an Uniqor, leitet Uniqor die Anfrage unverzüglich an den Auftraggeber weiter.

(2) Uniqor unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen, soweit dies mit den bei Uniqor vorhandenen Informationen möglich ist.

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

Uniqor meldet dem Auftraggeber jede ihr bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, in Textform an die zuletzt mitgeteilte Kontaktadresse. Die Meldung beschreibt Art und Umfang, betroffene Datenkategorien, wahrscheinliche Folgen und getroffene oder vorgeschlagene Maßnahmen. Die Meldepflichten des Auftraggebers gegenüber Aufsichtsbehörde und betroffenen Personen (Art. 33, 34 DSGVO) bleiben seine Aufgabe.

9. Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags stehen die Daten noch 30 Tage zum Abruf bereit. Danach löscht Uniqor sie, sofern der Auftraggeber nichts anderes in Textform verlangt und keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Auf Wunsch stellt Uniqor die Daten vorher in einem gängigen, maschinenlesbaren Format bereit.

(3) Sicherungen werden turnusmäßig überschrieben. Gelöschte Daten können bis dahin in Sicherungen fortbestehen: bei Uniqinvoice bis zu 30 Tage, bei Uniqscreen bis zu 14 Tage.

10. Nachweise und Kontrollen

(1) Uniqor weist die Einhaltung der Pflichten aus dieser Vereinbarung auf Anfrage in geeigneter Weise nach, insbesondere durch Auskunft in Textform und Vorlage der Beschreibung der technischen und organisatorischen Maßnahmen.

(2) Der Auftraggeber kann sich nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs von der Einhaltung überzeugen oder dies durch einen zur Verschwiegenheit verpflichteten Prüfer tun lassen. Uniqor kann für einen über die Auskunft hinausgehenden Aufwand eine angemessene Vergütung verlangen.

11. Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit dies nach Art. 82 DSGVO zulässig ist.

(2) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in datenschutzrechtlichen Fragen vor.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die Vereinbarung im Übrigen wirksam; an die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.

Stand: September 2026

Vereinbarung zur Auftragsverarbeitung