Fassung 2026-11 · gültig ab 25.10.2026 · als PDF · Prüfsumme (SHA-256) ff8d55eef8b7dcd1…

Nach Art. 28 DSGVO. Diese Vereinbarung (AVV) ist Anlage zu den Allgemeinen Geschäftsbedingungen der Uniqor UG (haftungsbeschränkt) und wird mit dem Hauptvertrag Bestandteil des Vertragsverhältnisses, soweit Uniqor personenbezogene Daten im Auftrag des Kunden verarbeitet.

Auftraggeber (Verantwortlicher) ist der Kunde. Auftragnehmerin (Auftragsverarbeiterin) ist die Uniqor UG (haftungsbeschränkt), Alter Weg 5, 31199 Diekholzen, Amtsgericht Hildesheim HRB 210232, vertreten durch den Geschäftsführer Sascha Schöning, E-Mail info@uniqor.de, nachfolgend „Uniqor“.

1. Gegenstand, Dauer und Rollen

(1) Uniqor verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit der Kunde sie im Rahmen der Nutzung von Uniqinvoice oder Uniqscreen in die Systeme von Uniqor einbringt oder Uniqor im Rahmen von IT-Dienstleistungen Zugriff darauf erhält, insbesondere bei Support und Fernwartung, Betreuung, Hosting und Cloud, Datensicherung, Kameras und Digital Signage.

(2) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte betroffener Personen verantwortlich. Er entscheidet über Zwecke und Mittel der Verarbeitung.

(3) Die AVV gilt für die Dauer des Hauptvertrags. Pflichten zur Löschung, Rückgabe und Vertraulichkeit gelten darüber hinaus fort.

(4) Für Daten, die Uniqor als eigener Verantwortlicher verarbeitet, etwa die Vertrags- und Rechnungsdaten des Kunden oder die Zugangsdaten seiner Benutzerkonten, gilt die Datenschutzerklärung von Uniqor.

2. Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Zweck: Bereitstellung, Betrieb, Betreuung und Sicherung der beauftragten Software und Dienstleistungen einschließlich Speicherung, Auswertung, Anzeige, Versand im Auftrag und Sicherung der Daten des Kunden.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Abgleichen, Einschränken, Löschen und Vernichten.

Datenarten je nach Leistung:

Uniqinvoice: Stammdaten von Kunden und Lieferanten des Auftraggebers (Name, Anschrift, Kontaktdaten, Steuernummern), Beleg- und Vertragsdaten, Zahlungs- und Bankdaten, Artikel- und Lagerdaten, Mitarbeiter-, Projekt- und Termindaten, Protokolldaten sowie bei digitaler Unterschrift Name, Unterschriftsbild, Zeitpunkte, IP-Adresse und Browserkennung der unterzeichnenden Person.
Uniqscreen und Digital Signage: Benutzer- und Gerätedaten, vom Auftraggeber bereitgestellte Medien und Inhalte, Wiedergabe- und Nachweisdaten, Standortbezeichnungen.
IT-Dienstleistungen: die Daten, die sich auf den betreuten Systemen befinden, soweit ein Zugriff für die Leistung erforderlich ist, einschließlich Aufnahmen von Kameras, die Uniqor einrichtet oder betreut.
Content: vom Auftraggeber bereitgestellte Texte, Bilder und Videos, auf denen Personen erkennbar sein können.

Betroffene Personen: Kunden, Interessenten und Lieferanten des Auftraggebers, dessen Beschäftigte, Ansprechpartner und Vertretungsberechtigte, Patienten, Mandanten oder Klienten des Auftraggebers, soweit dessen Tätigkeit dies mit sich bringt, sowie Personen, die auf Inhalten oder Aufnahmen abgebildet sind.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), etwa Gesundheitsdaten, können betroffen sein, wenn der Auftraggeber sie in seinen Systemen verarbeitet. Der Auftraggeber teilt Uniqor vor Beginn der Leistung mit, wenn dies der Fall ist. Uniqor verarbeitet solche Daten nur im unbedingt erforderlichen Umfang, unter den Maßnahmen nach Nr. 6 und nie in KI-Diensten oder bei Unterauftragnehmern, die dafür nicht ausdrücklich vorgesehen sind. In Uniqscreen werden solche Daten nicht verarbeitet (§ 38 der AGB).

3. Weisungen

(1) Uniqor verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, Uniqor ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt Uniqor dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Der Hauptvertrag und die Einstellungen, die der Auftraggeber in der Software vornimmt, sind die Erstweisung. Weitere Weisungen erteilt der Auftraggeber in Textform an info@uniqor.de. Weisungsberechtigt sind auf Seiten des Auftraggebers seine gesetzlichen Vertreter und die von ihm benannten Ansprechpartner; weisungsempfangsberechtigt ist bei Uniqor der Geschäftsführer Sascha Schöning.

(3) Hält Uniqor eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

4. Vertraulichkeit

Uniqor setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und unterweist sie im Datenschutz.

5. Berufsgeheimnisträger (§ 203 StGB)

(1) Ist der Auftraggeber Berufsgeheimnisträger, etwa Arzt, Psychotherapeut, Rechtsanwalt, Steuerberater oder Wirtschaftsprüfer, und erhält Uniqor bei der Leistung Kenntnis von fremden Geheimnissen, wirkt Uniqor als sonstige mitwirkende Person im Sinne von § 203 Abs. 3 Satz 2 StGB mit.

(2) Uniqor wurde darüber belehrt, dass eine unbefugte Offenbarung fremder Geheimnisse nach § 203 Abs. 4 StGB strafbar ist, und verpflichtet sich zur Geheimhaltung. Uniqor verschafft sich nur insoweit Kenntnis von fremden Geheimnissen, als dies zur Erfüllung des Auftrags erforderlich ist.

(3) Uniqor verpflichtet alle bei der Leistung eingesetzten Personen und Unterauftragnehmer, die Kenntnis von fremden Geheimnissen erlangen können, in Textform zur Geheimhaltung und belehrt sie über die Strafbarkeit; Unterauftragnehmer verpflichten ihre Mitwirkenden entsprechend. Kopien der Verpflichtungen legt Uniqor auf Anfrage vor.

(4) Uniqor bindet Unterauftragnehmer für solche Daten nur ein, soweit dies erforderlich ist. Bei einem Verstoß gegen diese Pflichten kann der Auftraggeber den Vertrag fristlos kündigen. Berufsrechtliche Sonderregeln des Auftraggebers, etwa § 43e BRAO oder § 62a StBerG, teilt er Uniqor mit; Uniqor erfüllt sie, soweit sie über diese Nummer hinausgehen, nach gesonderter Vereinbarung.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Uniqor trifft insbesondere folgende Maßnahmen und hält sie nach dem Stand der Technik aktuell:

Zutritt: Betrieb der Server in Rechenzentren in Deutschland mit Zutrittskontrolle des Betreibers; kein eigener Serverraum.
Zugang: persönliche Benutzerkonten, Passwörter nur als Hash (bcrypt), Sperrung nach wiederholten Fehlversuchen, Zwei-Faktor-Anmeldung oder Passkey für administrative Konten, administrativer Serverzugriff nur über SSH mit Schlüssel für einen kleinen Personenkreis; Datenbanken sind von außen nicht erreichbar.
Fernwartung: nur mit Freigabe oder über abgesicherte, dauerhafte Zugänge mit Zwei-Faktor-Schutz, verschlüsselt und protokolliert.
Zugriff: Rollen- und Rechtekonzept, strikte Trennung der Mandanten, jede Abfrage ist an die Organisation des Auftraggebers gebunden.
Weitergabe: Transportverschlüsselung mit TLS auf allen Verbindungen und HSTS; besonders schutzwürdige Zugangsdaten wie Bankschlüssel zusätzlich mit AES-256-GCM verschlüsselt; Sicherungen werden vor der Auslagerung clientseitig verschlüsselt (rclone crypt), so dass der Speicheranbieter keinen Klartext erhält.
Eingabe: Protokollierung ändernder Zugriffe mit Benutzer, Zeitpunkt und Vorgang; unveränderbare Belegprotokolle nach den Grundsätzen ordnungsmäßiger Buchführung.
Verfügbarkeit: tägliche automatische Sicherungen mit begrenzter Vorhaltezeit und einer verschlüsselten Kopie außerhalb des Servers, dokumentiertes Wiederherstellungsverfahren, laufende Sicherheitsaktualisierungen, Schutz vor Angriffen durch Begrenzung von Anfragen und automatische Sperrung auffälliger Quellen.
Trennung: getrennte Datenbanken je Produkt, innerhalb eines Produkts logische Trennung je Auftraggeber.
Überprüfung: regelmäßige Prüfung und Bewertung der Maßnahmen, Dokumentation von Sicherheitsvorfällen.

Eine ausführliche Beschreibung stellt Uniqor auf Anfrage in Textform bereit.

7. Unterauftragnehmer

(1) Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragnehmer zu. Uniqor hat mit jedem von ihnen einen Vertrag nach Art. 28 Abs. 4 DSGVO geschlossen und weist dies auf Anfrage nach.

netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe: Betrieb der Server für Website, Uniqinvoice, gehostete Kundensysteme und Uniqscreen. Ort: Rechenzentrum in Deutschland.
Neue Medien Münnich (ALL-INKL.COM), Hauptstraße 68, 02742 Friedersdorf: E-Mail-Postfächer von Uniqor und Versand von System-E-Mails. Ort: Deutschland.
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Google Workspace mit Cloud Data Processing Addendum): Speicherung einer verschlüsselten Kopie der nächtlichen Sicherungen; Google erhält keinen Klartext. Ort: EU, ggf. USA (Google LLC) auf Grundlage der Standardvertragsklauseln und der Zertifizierung unter dem EU-US Data Privacy Framework.
AnyDesk Software GmbH, Stuttgart: Vermittlung verschlüsselter Fernwartungsverbindungen zu Systemen des Auftraggebers. Sitz in Deutschland; die Verbindungen werden Ende-zu-Ende verschlüsselt, der Anbieter erhält keinen Zugriff auf Bildschirminhalte.
Anthropic (Claude, geschäftliche Nutzung über API bzw. Business-Tarif, ohne Training auf Kundendaten): Unterstützung bei Auswertung, Texterstellung und Programmierung, soweit Daten des Auftraggebers dafür erforderlich sind. Ort: USA (Anthropic PBC) auf Grundlage der Standardvertragsklauseln (Module 2 und 3).
OpenAI Ireland Ltd., Dublin, Irland (ChatGPT bzw. API, geschäftliche Nutzung ohne Training auf Kundendaten): wie bei Anthropic. Ort: EU, ggf. USA (OpenAI OpCo, LLC) auf Grundlage der Standardvertragsklauseln bzw. eines Angemessenheitsbeschlusses.
Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland: nur Uniqscreen, Zustellung von Mitteilungen an die App für iPhone und iPad (Push-Token und Text der Mitteilung). Ort: EU, ggf. USA (Apple Inc.) auf Grundlage der Standardvertragsklauseln und des EU-US Data Privacy Framework.

(2) KI-Dienste für Bild- und Videoerzeugung ohne eigene Auftragsverarbeitungsvereinbarung, etwa Higgsfield, setzt Uniqor nur für Inhalte ein, die keine personenbezogenen oder vertraulichen Daten des Auftraggebers enthalten. Sie sind keine Unterauftragnehmer im Sinne dieser AVV.

(3) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, bei denen Dritte nicht bestimmungsgemäß auf Daten des Auftraggebers zugreifen, etwa Telekommunikation. Den E-Mail-Versand aus Uniqinvoice führt der Auftraggeber über seinen eigenen Zugang durch; Zahlungen über Stripe wickelt der Auftraggeber über sein eigenes Stripe-Konto ab. Diese Anbieter sind keine Unterauftragnehmer von Uniqor.

(4) Uniqor kann weitere Unterauftragnehmer einsetzen oder bestehende austauschen. Sie teilt dies mindestens vier Wochen vorher in Textform mit. Der Auftraggeber kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen; dann darf jede Partei den betroffenen Vertrag mit einer Frist von einem Monat kündigen.

(5) Übermittlungen in Drittländer erfolgen nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln.

8. Unterstützung des Auftraggebers

(1) Uniqor unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Wendet sich eine betroffene Person unmittelbar an Uniqor, leitet Uniqor die Anfrage unverzüglich weiter.

(2) Uniqor unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen, soweit dies mit den bei Uniqor vorhandenen Informationen möglich ist.

9. Meldung von Datenschutzverletzungen

Uniqor meldet dem Auftraggeber jede ihr bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, in Textform an die zuletzt mitgeteilte Kontaktadresse. Die Meldung beschreibt, soweit bekannt, Art und Umfang, betroffene Kategorien und ungefähre Zahl der Personen und Datensätze, wahrscheinliche Folgen und getroffene oder vorgeschlagene Maßnahmen. Die Meldepflichten des Auftraggebers gegenüber Aufsichtsbehörde und betroffenen Personen (Art. 33, 34 DSGVO) bleiben seine Aufgabe; Uniqor unterstützt ihn dabei.

10. Löschung und Rückgabe

(1) Nach Beendigung der Leistung löscht Uniqor die Daten oder gibt sie nach Wahl des Auftraggebers zurück, soweit keine gesetzliche Pflicht zur Speicherung besteht. Bei Software als Dienst stehen die Daten nach Vertragsende noch 30 Tage zum Abruf bereit; die Regeln der AGB zum Anbieterwechsel (Data Act) bleiben unberührt.

(2) Auf Wunsch stellt Uniqor die Daten vorher in einem gängigen, maschinenlesbaren Format bereit.

(3) Sicherungen werden turnusmäßig überschrieben. Gelöschte Daten können bis dahin in Sicherungen fortbestehen, bei Uniqinvoice bis zu 30 Tage, bei Uniqscreen bis zu 14 Tage. Datenträger aus betreuten Systemen, die Uniqor zurücknimmt, löscht Uniqor nach dem Stand der Technik oder vernichtet sie und bestätigt dies auf Wunsch.

11. Nachweise und Kontrollen

(1) Uniqor stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung, insbesondere durch Auskunft in Textform und die Beschreibung der technischen und organisatorischen Maßnahmen.

(2) Der Auftraggeber kann sich nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs von der Einhaltung überzeugen oder dies durch einen zur Verschwiegenheit verpflichteten Prüfer tun lassen, der kein Wettbewerber von Uniqor ist. Uniqor kann für einen Aufwand, der über die Auskunft nach Absatz 1 hinausgeht, eine angemessene Vergütung verlangen.

12. Haftung und Schlussbestimmungen

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO dem nicht entgegensteht.

(2) Bei Widersprüchen zwischen dieser AVV und dem Hauptvertrag geht die AVV in datenschutzrechtlichen Fragen vor.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die AVV im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.

Frühere Fassung: September 2026

Vereinbarung zur Auftragsverarbeitung