MeysterBETA
Hilfe
Anmelden
Zurück zur Übersicht

Auftragsverarbeitungsvertrag und Sicherheitsmaßnahmen verstehen

Warum Art. 28 DSGVO einen Vertrag zwischen Ihnen und Meyster verlangt, was ein AVV und ein TOM-Dokument regeln, und was Sie als Inhaberin oder Inhaber tun müssen.

Ein Auftragsverarbeitungsvertrag (AVV) ist ein Vertrag, der festlegt, wie eine Firma mit Daten umgehen darf, die eine andere Firma ihr anvertraut. Sobald Sie Meyster mit echten Kundendaten nutzen, vertrauen Sie uns diese Daten an, deshalb gibt es diesen Vertrag zwischen Ihrer Firma und Meyster.

Warum Sie diesen Vertrag brauchen

Die DSGVO erlaubt es nicht, einfach eine Software mit den Daten von Kundinnen und Kunden zu befüllen. Wo eine Firma, hier Meyster, personenbezogene Daten im Auftrag einer anderen Firma verarbeitet, schreibt Art. 28 DSGVO einen schriftlichen Vertrag vor. Er muss Gegenstand, Dauer, Art und Zweck der Verarbeitung festlegen, und die Firma, die verarbeitet, muss nachweisen können, dass sie angemessene technische und organisatorische Maßnahmen (TOM) getroffen hat. Ohne diesen Vertrag wäre die Nutzung von Meyster mit echten Kundendaten nicht rechtmäßig, unabhängig davon, wie gut die Software sonst ist.

Was im AVV steht

Der AVV legt fest, wie lange der Vertrag läuft (solange Ihr Zugang aktiv ist, plus die Aufbewahrungsfristen aus Warum Rechnungen jahrelang aufbewahrt werden müssen), welche Art von Daten verarbeitet wird (Namen, Adressen, Kontaktdaten, Steuerkennzeichen und die Geschäftsbelege, die Meyster für Sie führt), und welche Firmen Meyster dafür selbst beauftragt. Diese Firmen stehen im Auftragsverarbeiter-Register.

Was im TOM-Dokument steht

Das TOM-Dokument beschreibt konkret, wie Meyster Ihre Daten schützt:

  • Zugriffskontrolle: Jede Anfrage ist angemeldet, und Datenbankregeln (Row Level Security) sorgen dafür, dass ein Mitglied nur die Daten der eigenen Firma lesen und ändern kann.
  • Verschlüsselung: Daten sind auf dem Weg zwischen Browser und Server verschlüsselt (HTTPS), und auf der Datenbank selbst verschlüsselt gespeichert.
  • Sicherung: Die Datenbank wird regelmäßig gesichert.
  • Protokollierung: Jede Änderung an einem Geschäftsbeleg landet unveränderbar im Änderungsprotokoll, und auffällige Zugriffsversuche lösen eine interne Prüfung aus.
  • Datensparsamkeit und Löschung: Persönliche Daten lassen sich auf Wunsch anonymisieren, siehe Datenauskunft, Export und Löschung.

Was Sie selbst tun müssen

Beide Dokumente lesen und annehmen Sie unter AVV und TOM in den Firmeneinstellungen. Nur der Inhaber Ihrer Firma kann den aktuellen AVV und das aktuelle TOM-Dokument akzeptieren, ein Admin kann das nicht, selbst wenn er sonst vieles einstellen darf. Solange niemand akzeptiert hat, fehlt der Vertrag, den Art. 28 DSGVO verlangt. Veröffentlicht Meyster eine neue Version, zählt eine frühere Zustimmung nicht mehr, Sie müssen dann erneut zustimmen.