Steuermann

Version 1.0 · gültig ab 21. August 2026

Auftragsverarbeitungsvereinbarung (AVV)

Diese Vereinbarung nach Art. 28 DSGVO ist Bestandteil des Vertrags über die Nutzung von Steuermann. Verantwortlicher ist die bei Registrierung bezeichnete Kanzlei („Kunde“). Auftragsverarbeiter ist die Appwood UG (haftungsbeschränkt), Breite Str. 98, 38640 Goslar, vertreten durch den Geschäftsführer Steve Attwood, E-Mail: kontakt@appwood.de, Handelsregister Amtsgericht Braunschweig HRB 213033 („Appwood“).

1. Gegenstand und Dauer

Appwood stellt dem Kunden die mandantenfähige SaaS-Anwendung Steuermann bereit und verarbeitet dabei personenbezogene Daten nach Weisung des Kunden. Die Verarbeitung umfasst Speicherung, Strukturierung, Berechnung, Anzeige, Änderung, Export, PDF-Erzeugung, kontrollierte Bereitstellung, Sicherung, Wiederherstellung, Support und Löschung. Sie beginnt mit Einrichtung der Kanzlei und endet mit der vertragsgemäßen Löschung, soweit keine gesetzliche Pflicht zur weiteren Aufbewahrung besteht.

Verarbeitungen, bei denen Appwood eigene Zwecke und Mittel bestimmt – insbesondere Vertragsverwaltung, eigene Rechnungslegung, Zahlungsabwicklung, Missbrauchsabwehr und Erfüllung gesetzlicher Pflichten –, erfolgen nicht im Auftrag. Hierfür ist Appwood eigener Verantwortlicher; Näheres regelt die Datenschutzerklärung.

2. Art, Zweck und Umfang

Zweck ist, dem Kunden die Erstellung und Verwaltung kalkulierter Angebote nach der StBVV einschließlich Kanzlei-, Benutzer-, Mandanten-, Leistungs-, Dokument- und Freigabefunktionen zu ermöglichen. Appwood verarbeitet Daten nur im Umfang des Nutzungsvertrags, dieser AVV, der vom Kunden vorgenommenen Konfiguration und weiterer dokumentierter Weisungen.

3. Datenarten und betroffene Personen

Abhängig von der Nutzung können insbesondere folgende Daten verarbeitet werden:

Betroffene Personen sind insbesondere Mandanten und Interessenten des Kunden, deren Ansprechpartner und Beschäftigte, Benutzer der Kanzlei sowie Empfänger von Angeboten. Die planmäßige Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht vorgesehen. Der Kunde vermeidet solche Daten in Freitexten, soweit sie für die Angebotserstellung nicht erforderlich sind.

4. Weisungen

Die erstmalige Weisung ergibt sich aus Nutzungsvertrag, Produktfunktionen und dieser AVV. Bedienhandlungen und Einstellungen berechtigter Benutzer gelten als dokumentierte Weisungen. Weitere Weisungen erteilt der Kunde in Textform an die Kontaktadresse von Appwood. Appwood informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt, und darf ihre Ausführung bis zur Klärung aussetzen.

Ist Appwood durch Unions- oder Mitgliedstaatenrecht zu einer Verarbeitung verpflichtet, teilt Appwood dem Kunden diese Anforderung vorab mit, soweit das Recht dies nicht aus wichtigem öffentlichem Interesse verbietet.

5. Pflichten des Kunden

Der Kunde bleibt für Rechtmäßigkeit, Transparenz, Datenminimierung, Richtigkeit, Löschfristen und die Wahrung der Betroffenenrechte verantwortlich. Er stellt sicher, dass Weisungen zulässig sind, Benutzer nur erforderliche Berechtigungen erhalten und Freigabelinks über geeignete Kanäle an die richtigen Empfänger gelangen. Er informiert Appwood unverzüglich über festgestellte Fehler oder Unregelmäßigkeiten.

6. Pflichten von Appwood

Appwood verpflichtet sich,

  1. personenbezogene Daten ausschließlich auf dokumentierte Weisung zu verarbeiten;
  2. nur Personen einzusetzen, die zur Vertraulichkeit verpflichtet und über die für ihre Tätigkeit maßgeblichen Datenschutz- und Sicherheitsanforderungen unterrichtet sind;
  3. die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen zu unterhalten und risikogerecht weiterzuentwickeln;
  4. die Voraussetzungen für weitere Auftragsverarbeiter nach Ziffer 8 einzuhalten;
  5. den Kunden unter Berücksichtigung der Art der Verarbeitung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, vorheriger Konsultation, Sicherheit sowie Meldung von Verletzungen zu unterstützen;
  6. dem Kunden die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereitzustellen und zulässige Überprüfungen zu ermöglichen;
  7. nach Abschluss der Leistungen die Daten nach Ziffer 12 zu löschen oder zurückzugeben.

7. Berufsgeheimnisse und § 62a StBerG

Appwood ist bekannt, dass die Daten des Kunden fremde Geheimnisse und dem Berufsgeheimnis unterliegende Tatsachen enthalten können. Appwood verpflichtet sich, hierüber Verschwiegenheit zu wahren, sich davon nur Kenntnis zu verschaffen, soweit dies für die Vertragserfüllung erforderlich ist, und sie weder unbefugt zu offenbaren noch zu verwerten. Appwood wurde darauf hingewiesen, dass eine Pflichtverletzung insbesondere nach § 203 Abs. 4 StGB strafbar sein kann.

Appwood darf weitere Personen nur nach Ziffer 8 heranziehen. Eigene Beschäftigte und weitere mitwirkende Personen werden in Textform mindestens in entsprechendem Umfang zur Verschwiegenheit verpflichtet und auf die strafrechtlichen Folgen hingewiesen. Zugriffe zu Support- oder Administrationszwecken erfolgen nur bei Erforderlichkeit und werden organisatorisch begrenzt.

8. Weitere Auftragsverarbeiter

Der Kunde erteilt Appwood die allgemeine schriftliche Genehmigung, die in Anlage 2 bezeichneten weiteren Auftragsverarbeiter einzusetzen. Appwood informiert den Kunden mindestens 14 Tage vor einer beabsichtigten Hinzuziehung oder Ersetzung in Textform. Der Kunde kann aus wichtigem datenschutz- oder berufsrechtlichem Grund widersprechen. Die Parteien suchen dann eine zumutbare Lösung; ist sie nicht möglich, kann jede Partei den betroffenen Dienst außerordentlich beenden. Bei einer dringenden Sicherheitsmaßnahme darf Appwood die Information unverzüglich nachholen.

Appwood legt weiteren Auftragsverarbeitern vertraglich im Wesentlichen dieselben Datenschutz- und Verschwiegenheitspflichten auf. Ein Anbieter, der nicht in Anlage 2 genannt oder nach diesem Verfahren angekündigt wurde, ist für auftragsverarbeitete Kanzleidaten nicht genehmigt.

9. Drittlandübermittlungen

Die reguläre Verarbeitung der Kanzleidaten erfolgt im Europäischen Wirtschaftsraum. Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nur auf dokumentierte Weisung oder wenn die Voraussetzungen der Art. 44 ff. DSGVO und der berufsrechtliche Geheimnisschutz erfüllt sind. Appwood dokumentiert das eingesetzte Übermittlungsinstrument und stellt es dem Kunden auf Anfrage zur Verfügung.

10. Datenschutzverletzungen und Unterstützung

Appwood meldet dem Kunden Verletzungen des Schutzes auftragsverarbeiteter Daten unverzüglich nach Bekanntwerden. Die Meldung enthält, soweit verfügbar, Art und Umfang, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine Kontaktstelle. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht. Appwood trifft Sofortmaßnahmen zur Eindämmung, Sicherung von Beweisen und Wiederherstellung und unterstützt den Kunden bei seinen Pflichten nach Art. 33 und 34 DSGVO.

11. Nachweise und Kontrollen

Appwood stellt zunächst geeignete Dokumentation, Prüfberichte und Auskünfte bereit. Reicht dies aus nachvollziehbarem Grund nicht aus, darf der Kunde oder ein zur Verschwiegenheit verpflichteter Prüfer nach angemessener Vorankündigung und während üblicher Geschäftszeiten eine Kontrolle durchführen. Sie darf Sicherheit, Rechte anderer Kunden und Betriebsgeheimnisse nicht gefährden. Appwood darf angemessene Zusatzkosten berechnen, wenn die Kontrolle nicht durch einen von Appwood zu vertretenden Verstoß veranlasst ist.

12. Rückgabe und Löschung

Während der Vertragslaufzeit stehen die vorgesehenen Export- und PDF-Funktionen zur Verfügung. Nach Ende des Auftrags löscht Appwood auf Weisung des Kunden die operativen Kanzleidaten, Dokumente, Benutzerzuordnungen und zugehörigen Schlüssel oder gibt exportierbare Daten zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Durch Löschung des Kanzlei-Schlüssels in der Produktivdatenbank sind verschlüsselte Dokumentreste im laufenden System nicht mehr lesbar; in Sicherungen werden sie spätestens mit Ablauf des festgelegten Sicherungszyklus dauerhaft unlesbar. Bis dahin bleiben Sicherungskopien gegen produktive Nutzung gesperrt und werden anschließend überschrieben. Appwood dokumentiert die kontrollierte Kanzleilöschung.

13. Rangfolge, Haftung und Schlussbestimmungen

Bei Widersprüchen geht diese AVV hinsichtlich der Auftragsverarbeitung den AGB vor. Im Übrigen gelten AGB und gesetzliche Haftungsregeln. Änderungen dieser AVV bedürfen der Textform; eine neue Online-Fassung ersetzt die angenommene Version nicht ohne wirksame Vereinbarung. Es gilt deutsches Recht. Der Gerichtsstand richtet sich nach den AGB, soweit gesetzlich zulässig.

Anlage 1 — Technische und organisatorische Maßnahmen

Zutritts- und physischer Schutz

Zugangs- und Zugriffskontrolle

Übertragungs-, Speicher- und Eingabekontrolle

Verfügbarkeit, Wiederherstellung und Wirksamkeitskontrolle

Anlage 2 — Genehmigte weitere Auftragsverarbeiter

Anbieter Leistung und Ort Daten
OVHcloudje nach Vertrag OVH GmbH und/oder OVH SAS VPS, Datenbank, privater Objektspeicher und Sicherungen sowie E-Mail-Versand über ein OVHcloud-Postfach (SMTP); ausgewählte Regionen in Deutschland/Frankreich Kanzlei-, Benutzer-, Mandanten-, Angebots-, Dokument- und technische Betriebsdaten; bei E-Mails Empfängeradresse, Betreff und Inhalt

Stripe verarbeitet Vertrags- und Zahlungsdaten für Appwoods eigene Abrechnung und erhält planmäßig keine Mandanten- oder Angebotsinhalte. Stripe ist deshalb nicht als weiterer Auftragsverarbeiter dieser AVV aufgeführt. Ein anderer als der oben genannte E-Mail-Transportdienst darf für Daten im Anwendungsbereich dieser AVV erst eingesetzt werden, nachdem er nach Ziffer 8 angekündigt und in diese Liste aufgenommen wurde.

← Zur Startseite