Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO · Stand: 08.06.2026

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag“) wird geschlossen zwischen

dem Kunden – der natürlichen oder juristischen Person, die über ein QROVA-Nutzerkonto Verarbeitungsvorgänge auslöst – nachfolgend „Verantwortlicher“ –

und

Miliienko Studio, Inhaber Oleksandr Miliienko, Ober-Erler-Straße 34, 53547 Kasbach-Ohlenberg, Deutschland (Betreiber der Software „QROVA“, erreichbar unter qrova.io) – nachfolgend „Auftragsverarbeiter“ –

– gemeinsam die „Parteien“ –

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der Software QROVA. Er kommt durch Aktivierung der entsprechenden Checkbox im Onboarding-Prozess wirksam zustande und gilt für die Dauer der Nutzung von QROVA durch den Verantwortlichen.

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

(1) Gegenstand des Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen zur Bereitstellung der Funktionen der Software QROVA, insbesondere:

a) Erstellung und Verwaltung dynamischer QR-Codes einschließlich Scan-Tracking und statistischer Auswertung;
b) Selbstbuchführungs- und Belegverwaltungsfunktionen einschließlich KI-gestützter Beleg-OCR und KI-Chatfunktion („LISA“);
c) Verwaltung von Kontakt-, Kunden- und Rechnungsdaten des Verantwortlichen.

(2) Die Art der Verarbeitung umfasst das Erheben, Erfassen, Speichern, Organisieren, Auslesen, Verändern, Abfragen, Übermitteln (an die in § 7 genannten Unterauftragsverarbeiter), Einschränken und Löschen personenbezogener Daten in automatisierter Form.

(3) Zweck der Verarbeitung ist ausschließlich die Erbringung der vertraglich vereinbarten Leistungen gemäß den Nutzungsbedingungen von QROVA. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

(4) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsverhältnisses. Der Vertrag endet automatisch mit Beendigung des Nutzungsverhältnisses, unbeschadet der Pflichten aus § 9.

§ 2 Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Im Rahmen der Nutzung von QROVA werden insbesondere folgende Arten personenbezogener Daten verarbeitet:

• Stammdaten (Name, Anschrift, Firmierung des Kunden des Verantwortlichen);
• Kontaktdaten (E-Mail-Adresse, Telefonnummer);
• Vertrags- und Rechnungsdaten (Belegdaten, Rechnungsbeträge, Zahlungsinformationen);
• bei der Belegverarbeitung in Belegen enthaltene personenbezogene Daten;
• Nutzungs- und Tracking-Daten beim QR-Code-Scan (gekürzte/gehashte IP-Adresse, ungefährer Standort auf Basis lokaler GeoIP-Auswertung, Zeitstempel, Geräte-/Browser-Typ, Referrer).

(2) Kategorien betroffener Personen sind insbesondere:

• Kunden, Interessenten und Geschäftspartner des Verantwortlichen;
• Endnutzer, die einen vom Verantwortlichen erzeugten QR-Code scannen;
• Beschäftigte und sonstige in den Belegen des Verantwortlichen genannte Personen.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags. Der Verantwortliche verpflichtet sich, keine solchen Daten in QROVA zu verarbeiten, soweit dies nicht ausdrücklich und gesondert vereinbart wurde.

§ 3 Verantwortlichkeit und Weisungsrecht

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich (Art. 4 Nr. 7 DSGVO).

(2) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(3) Die Konfiguration und Nutzung der Software durch den Verantwortlichen gilt als dessen Weisung. Einzelweisungen, die über die Funktionen der Software hinausgehen, bedürfen der Textform (E-Mail an info@qrova.io genügt).

(4) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

§ 4 Vertraulichkeit

(1) Der Auftragsverarbeiter verarbeitet die Daten vertraulich. Er stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(2) Da der Auftragsverarbeiter als Einzelunternehmen ohne weitere mit der Verarbeitung befasste Beschäftigte tätig ist, gilt diese Verpflichtung unmittelbar für den Inhaber. Werden künftig Beschäftigte oder Hilfspersonen eingesetzt, werden diese vor Aufnahme der Tätigkeit auf die Vertraulichkeit verpflichtet.

§ 5 Technische und organisatorische Maßnahmen (TOM)

(1) Der Auftragsverarbeiter trifft die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Diese sind in der Anlage 1 (TOM) beschrieben, die wesentlicher Bestandteil dieses Vertrags ist.

(2) Die TOM unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter ist berechtigt, alternative, gleichwertige Maßnahmen umzusetzen, sofern das Sicherheitsniveau der vereinbarten Maßnahmen nicht unterschritten wird.

§ 6 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(3) Soweit der Unterstützungsaufwand über das vertraglich geschuldete Maß hinausgeht und vom Verantwortlichen oder einer ihm zurechenbaren Person veranlasst ist, kann der Auftragsverarbeiter eine angemessene Vergütung nach Aufwand verlangen.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in der Anlage 2 (Subprozessoren-Liste) aufgeführt und vom Verantwortlichen genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann einer Änderung innerhalb von vierzehn (14) Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Falle eines berechtigten Widerspruchs sind die Parteien um eine einvernehmliche Lösung bemüht; gelingt diese nicht, steht dem Verantwortlichen ein Sonderkündigungsrecht zu.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter zu denselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Erfolgt eine Übermittlung in ein Drittland, stellt der Auftragsverarbeiter geeignete Garantien gemäß Kapitel V DSGVO sicher (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, oder Standardvertragsklauseln nebst ergänzenden Maßnahmen).

§ 8 Meldepflichten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 48 Stunden. Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit verfügbar.

(2) Die Erfüllung der Meldepflichten gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) und der Benachrichtigungspflicht gegenüber betroffenen Personen (Art. 34 DSGVO) obliegt dem Verantwortlichen.

§ 9 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Nutzungsverhältnisses löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.

(2) Der Verantwortliche kann seine Daten während der Laufzeit und bis zur endgültigen Löschung jederzeit über die in der Software bereitgestellten Exportfunktionen (PDF, CSV, DATEV) selbst sichern. Es obliegt dem Verantwortlichen, vor Vertragsende einen vollständigen Datenexport vorzunehmen.

(3) Die endgültige Löschung erfolgt innerhalb von dreißig (30) Tagen nach Vertragsende, vorbehaltlich gesetzlicher Aufbewahrungsfristen. Backups werden im Rahmen der regulären Backup-Rotation gelöscht.

§ 10 Nachweis- und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Auftragsverarbeiter ermöglicht und unterstützt Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden. Der Nachweis kann vorrangig durch geeignete Dokumentation, die Vorlage der TOM oder vorhandener Zertifikate/Berichte geführt werden.

(3) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung von mindestens vierzehn (14) Tagen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen. Der mit der Unterstützung verbundene angemessene Aufwand kann dem Verantwortlichen in Rechnung gestellt werden, sofern die Kontrolle nicht durch einen konkreten Verdacht veranlasst ist.

§ 11 Haftung

(1) Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der Allgemeinen Geschäftsbedingungen von QROVA, soweit diese mit zwingendem Datenschutzrecht vereinbar sind.

(2) Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Dritter frei, die auf einer rechtswidrigen Verarbeitung beruhen, welche der Auftragsverarbeiter auf Weisung oder durch zulässige Konfiguration des Verantwortlichen vorgenommen hat, soweit den Auftragsverarbeiter kein eigenes Verschulden trifft.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und sonstigen Vereinbarungen der Parteien gehen die Regelungen dieses Vertrags in datenschutzrechtlicher Hinsicht vor.

(2) Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine wirksame Regelung, die dem wirtschaftlichen Zweck am nächsten kommt.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.

Anlage 1 – Technische und organisatorische Maßnahmen (TOM)

gemäß Art. 32 DSGVO

Der Auftragsverarbeiter (Miliienko Studio) betreibt QROVA auf Shared-Hosting-Infrastruktur eines EU-Anbieters (Hostinger). Eine Zertifizierung nach ISO 27001 oder vergleichbaren Normen wird ausdrücklich nicht behauptet.

1. Pseudonymisierung

• Beim Scan-Tracking dynamischer QR-Codes werden IP-Adressen nicht im Klartext gespeichert, sondern gekürzt bzw. mittels Hash-Verfahren pseudonymisiert verarbeitet.
• Die Standortermittlung erfolgt ausschließlich über eine lokale GeoIP-Datenbank auf Länder-/Regionsebene; eine personenbezogene Standortverfolgung findet nicht statt.

2. Verschlüsselung (Vertraulichkeit)

• Sämtliche Datenübertragung zwischen Endgerät und Server erfolgt ausschließlich transportverschlüsselt über TLS/HTTPS (erzwungene HTTPS-Weiterleitung, HSTS).
• Der E-Mail-Versand erfolgt SSL-/TLS-verschlüsselt.
• Zugangsdaten werden nicht im Klartext, sondern als gesalzene Hashes gespeichert.

3. Zugriffs- und Zugangskontrolle

• Der Administrationsbereich ist über eine nicht-öffentliche, verschleierte Login-URL erreichbar.
• Schutz gegen automatisierte Anmeldeversuche durch Brute-Force-Schutz und Sperrmechanismus nach mehreren Fehlversuchen.
• Rollen- und rechtebasierte Zugriffssteuerung innerhalb der Anwendung; Nutzer haben ausschließlich Zugriff auf die Daten des eigenen Mandanten.
• Vergabe individueller, hinreichend komplexer Passwörter; Sitzungsverwaltung mit automatischem Ablauf.

4. Eingabekontrolle / Nachvollziehbarkeit

• Protokollierung sicherheits- und buchführungsrelevanter Vorgänge über ein revisionssicheres Audit-Log (GoBD-konforme Nachvollziehbarkeit von Erstellung, Änderung und Löschung von Datensätzen).
• Zeitstempelung der relevanten Aktionen.

5. Verfügbarkeitskontrolle

• Regelmäßige automatisierte Backups der Datenbank und der Anwendungsdaten.
• Speicherung der Backups getrennt vom Produktivsystem.
• Schutz der Infrastruktur durch die Sicherheitsmaßnahmen des Hosting-Anbieters (Firewall, DDoS-Basisschutz) sowie anwendungsseitige Schutzmechanismen.

6. Trennungskontrolle (Mandantentrennung)

• Logische Trennung der Daten unterschiedlicher Nutzer/Mandanten über eine eindeutige Mandantenkennung (company_id) auf Datenbankebene.
• Jede Datenbankabfrage ist mandantengebunden; ein mandantenübergreifender Zugriff durch Nutzer ist ausgeschlossen.

7. Auftrags- und Weisungskontrolle

• Verarbeitung ausschließlich im Rahmen der Funktionen der Software und der dokumentierten Weisungen des Verantwortlichen.
• Einsatz von Unterauftragsverarbeitern nur auf Grundlage entsprechender Verträge (Art. 28 Abs. 4 DSGVO).

8. Organisatorische Maßnahmen

• Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit.
• Grundsatz der Datenminimierung und Zweckbindung bei der Erhebung.
• Datenschutzfreundliche Voreinstellungen (Privacy by Default), soweit technisch umsetzbar.
• Regelmäßige Aktualisierung der eingesetzten Softwarekomponenten (Sicherheitsupdates).

Anlage 2 – Liste der Unterauftragsverarbeiter (Subprozessoren)

Stand: 08.06.2026

Hinweis zu Drittlandübermittlungen (USA): Bei der Nutzung von Stripe und OpenAI kann es zu einer Verarbeitung personenbezogener Daten in den USA kommen. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (sofern der jeweilige Anbieter zertifiziert ist) und hilfsweise auf Grundlage der EU-Standardvertragsklauseln (SCC) ergänzt um geeignete zusätzliche Schutzmaßnahmen. Die lokale GeoIP-Auswertung beim QR-Scan erfolgt serverseitig ohne Drittübermittlung.

Anlage 3 – Muster-Datenschutz-Textbaustein für Ihre eigene Datenschutzerklärung

Bereitgestellt durch QROVA zur Verwendung in Ihrer (des Verantwortlichen) Datenschutzerklärung. Sie sind für die korrekte Einbindung und Aktualität selbst verantwortlich.

Bei Fragen zum Datenschutz oder zum Abschluss dieses AVV: info@qrova.io