Auftragsverarbeitung
Stand: 22. Oktober 2026
Auftragsverarbeitungsvereinbarung (AVV)
Gemäß Art. 28 Abs. 3 DSGVO
Stand: 22. Oktober 2026
1. Vertragsparteien
Auftragsverarbeiter
Sebastian Bulak
LUTSIO
Velberter Straße 74
45239 Essen
Deutschland
E-Mail: info@lutsio.com
Verantwortlicher
Der jeweilige Unternehmenskunde, dessen Identität und Vertragsdaten sich aus dem bei Vertragsschluss zugeordneten Kundenkonto und den Vertragsunterlagen ergeben.
Diese Vereinbarung wird Bestandteil des Vertragsverhältnisses, soweit LUTSIO personenbezogene Daten im Auftrag des Unternehmenskunden verarbeitet.
2. Gegenstand und Dauer
Gegenstand der Auftragsverarbeitung ist die Bereitstellung der browserbasierten LUTSIO-Warenwirtschaft einschließlich der im jeweiligen Softwarepaket enthaltenen Funktionen.
Die Verarbeitung beginnt mit der entsprechenden Nutzung, einschließlich einer gegebenenfalls vorausgehenden siebentägigen Testphase, und dauert grundsätzlich bis zur Beendigung der vereinbarten Leistung und dem Abschluss der vertraglich geregelten Rückgabe- und Löschverfahren. Bei neuen entgeltlichen Jahresbuchungen ist die reguläre Nutzungsdauer auf den in der Vertragsbestätigung bezeichneten zwölfmonatigen Zeitraum begrenzt. Eine ausdrücklich veranlasste und bezahlte Folgebuchung kann die Verarbeitung derselben noch rechtmäßig vorhandenen Mandantendaten für einen weiteren vereinbarten Zeitraum fortsetzen. Es gibt keine automatische Vertragsverlängerung.
3. Art und Zweck der Verarbeitung
Die Verarbeitung umfasst insbesondere:
Erfassen und Speichern
Strukturieren und Ordnen
Anzeigen und Abrufen
Ändern und Aktualisieren
Berechnen und Auswerten
Erstellen von Geschäftsbelegen
Exportieren und Übermitteln nach Weisung
Sichern und Wiederherstellen
Sperren und Löschen
Zweck ist die technische Bereitstellung der vom Verantwortlichen genutzten betrieblichen Verwaltungsfunktionen.
Eine eigenständige Verwendung der auftragsverarbeiteten Geschäftsdaten für fremde Werbe- oder Vermarktungszwecke ist nicht vorgesehen.
4. Kategorien betroffener Personen
Je nach Nutzung können insbesondere betroffen sein:
Kunden des Auftraggebers
Lieferanten
Geschäftspartner
Ansprechpartner
Beschäftigte und sonstige berechtigte Nutzer
Weitere Personen, deren Daten der Auftraggeber rechtmäßig innerhalb der Software verarbeitet
5. Datenkategorien
Die Verarbeitung kann insbesondere folgende Daten betreffen:
Namen und Kontaktdaten
Unternehmens- und Adressdaten
Kunden- und Lieferantendaten
Artikel- und Leistungsinformationen
Bestell-, Auftrags- und Rechnungsdaten
Liefer- und Versandinformationen
Benutzerkennungen und Berechtigungen
Mitarbeiter-, Aufgaben- und Einsatzdaten
Arbeitszeit- und Organisationsdaten
Weitere paketabhängige betriebliche Informationen
Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO sind nicht als regulärer Verarbeitungszweck vorgesehen. Ihre Verarbeitung bedarf einer gesonderten rechtlichen und technischen Prüfung.
6. Weisungen des Verantwortlichen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten grundsätzlich nur auf dokumentierte Weisung des Verantwortlichen, soweit nicht eine gesetzliche Verpflichtung zu einer anderen Verarbeitung besteht.
Die vertragsgemäße Nutzung der bereitgestellten Softwarefunktionen stellt im jeweiligen Umfang eine dokumentierte Weisung dar.
Weitergehende Weisungen können in Textform an info@lutsio.com gerichtet werden.
Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen entsprechend den gesetzlichen Anforderungen.
7. Vertraulichkeit
Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Zugriffe werden auf das zur Erfüllung der jeweiligen Aufgaben erforderliche Maß beschränkt.
8. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter setzt geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein.
Die Maßnahmen werden in der gesonderten Anlage „Technische und organisatorische Maßnahmen (TOM)“ beschrieben.
Sie umfassen nach der dokumentierten Architektur insbesondere:
Mandantenbezogene SQLite-Datenhaltung
Serverseitige Zugriffskontrollen
Geschützte Authentifizierung
AES-256-GCM-Verschlüsselung gespeicherter Datenbanksnapshots
HTTPS-/TLS-gesicherte Übertragung
Schutz privater Dateien
Datensicherungs- und Wiederherstellungsverfahren
Protokollierungs- und Löschmaßnahmen
Die Maßnahmen dürfen entsprechend dem technischen Fortschritt weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unzulässig unterschritten wird.
9. Mandantentrennung
Die Geschäftsdaten verschiedener Unternehmenskunden werden nach der dokumentierten technischen Architektur in getrennten SQLite- Mandantendatenbanken verarbeitet.
Die Zuordnung erfolgt über das authentifizierte Benutzerkonto.
Serverseitige Berechtigungs- und Objektprüfungen dienen der Beschränkung des Zugriffs auf die jeweiligen Mandantendaten.
Berechtigte technische Zugriffe durch den Auftragsverarbeiter zur Erfüllung gesetzlicher oder vertraglicher Pflichten bleiben im erforderlichen Umfang möglich.
10. Unterauftragsverarbeiter
Für das Hosting wird IONOS eingesetzt.
Nach Betreiberangabe erfolgt der Betrieb über IONOS Webhosting Plus auf Servern in Deutschland. Ein Auftragsverarbeitungsvertrag mit IONOS besteht.
Die von IONOS gegebenenfalls eingesetzten weiteren Unterauftragnehmer richten sich nach den hierfür geltenden vertraglichen Vereinbarungen.
Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der für die vereinbarte Leistung erforderlichen Unterauftragsverarbeiter, soweit diese in der bei Vertragsschluss bereitgestellten Unterauftragnehmerinformation bezeichnet sind.
Beabsichtigte Änderungen werden nach Art. 28 Abs. 2 DSGVO mitgeteilt, sodass der Verantwortliche Gelegenheit zum Einspruch erhält.
Für Unterauftragsverarbeiter sind die gesetzlich erforderlichen vertraglichen Verpflichtungen sicherzustellen.
PayPal wird nicht allein aufgrund seiner Tätigkeit als Zahlungsdienst automatisch als Unterauftragsverarbeiter für die Geschäftsdaten des Kunden eingeordnet.
11. Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Erfüllung von Betroffenenrechten gemäß Kapitel III DSGVO.
Hierzu gehören insbesondere Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit, soweit diese Rechte im konkreten Fall bestehen.
12. Datenschutzverletzungen
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten im Auftragsverarbeitungsbereich.
Die Mitteilung enthält die zu diesem Zeitpunkt verfügbaren Informationen, die der Verantwortliche zur Wahrnehmung seiner gesetzlichen Pflichten benötigt.
Weitere Informationen werden nachgereicht, soweit sie erst später verfügbar werden.
13. Weitere Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei den Pflichten gemäß Art. 32 bis 36 DSGVO, soweit dies gesetzlich erforderlich ist.
14. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen die zur Erfüllung der gesetzlichen Nachweispflichten erforderlichen Informationen zur Verfügung.
Er ermöglicht und unterstützt gesetzlich vorgesehene Überprüfungen einschließlich Inspektionen im erforderlichen und angemessenen Umfang.
Berechtigte Geheimhaltungs- und Sicherheitsinteressen anderer Mandanten sind dabei zu berücksichtigen.
15. Rückgabe und Löschung
Mit dem dokumentierten Ende der vereinbarten Nutzungsdauer wird der reguläre Anwendungszugang gesperrt. Für den Verantwortlichen besteht anschließend 30 Tage ein gesonderter, authentifizierter Zugang zum vorgesehenen Datenexport.
Nach Ablauf der Exportfrist wird auch der Exportzugang gesperrt und ein kontrollierter Löschprozess durchgeführt. Eine rechtzeitig ausdrücklich veranlasste und bezahlte Folgebuchung kann die Nutzung des bestehenden Kontos mit noch rechtmäßig vorhandenen Daten wieder ermöglichen. Bereits gelöschte Daten werden dadurch nicht wiederhergestellt. Gesetzliche Rückgabe- und Datenübertragbarkeitsrechte dürfen durch technische Fristen nicht unzulässig verkürzt werden.
Vorhandene serverseitige Backups unterliegen nach der dokumentierten Betriebsregelung einer Aufbewahrungsdauer von 28 Tagen.
Der Auftragsverarbeiter löscht personenbezogene Daten nach Abschluss der Verarbeitung oder gibt sie entsprechend der Vereinbarung zurück, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht.
16. Dokumentation des Vertragsschlusses
Die Vereinbarung kann elektronisch abgeschlossen werden.
Die elektronische Dokumentation soll die Identität des jeweiligen Verantwortlichen, den Zeitpunkt der Zustimmung und die maßgeblichen Fassungen der AVV und TOM nachvollziehbar festhalten.
17. Verhältnis zum Hauptvertrag
Diese AVV ergänzt die für LUTSIO geltenden Vertragsbedingungen.
Bei Widersprüchen zu zwingenden Anforderungen des Art. 28 DSGVO gehen die gesetzlichen Anforderungen und die entsprechenden Regelungen dieser AVV vor.
Die Vereinbarung begründet keine pauschale Freistellung des Auftragsverarbeiters von seinen gesetzlichen Datenschutzpflichten.