Verwerkersovereenkomst

Deze vertaling is uitsluitend ter informatie. Alleen de Duitse versie is juridisch bindend.

Overeenkomst inzake de verwerking van persoonsgegevens in opdracht

⬇ Verwerkersovereenkomst als pdf downloaden (v4.2)

Opmerking: Deze versie geldt vanaf 01.12.2026. Tot en met 30.11.2026 geldt de vorige versie: Verwerkersovereenkomst versie 4.1 (pdf).

Contractpartijen

Opdracht volgens art. 28 AVG (versie 4.2, geldig vanaf 01.12.2026)

Overeenkomst tussen

Verwerker faktoora GmbH, Amselweg 1, 89231 Neu-Ulm – verwerker –

en

Opdrachtgever (verwerkingsverantwoordelijke) (De opdrachtgever volgt uit de betreffende contractuele relatie.) – opdrachtgever –

01 · Algemeen

(1) De verwerker verwerkt persoonsgegevens in opdracht van de opdrachtgever (verwerkingsverantwoordelijke) in de zin van art. 4 punt 8 en art. 28 van Verordening (EU) 2016/679 – Algemene verordening gegevensbescherming (AVG). Deze overeenkomst regelt de rechten en plichten van de partijen in verband met de verwerking van persoonsgegevens.

(2) Voor zover in deze overeenkomst het begrip „gegevensverwerking“ of „verwerking“ (van gegevens) wordt gebruikt, wordt de definitie van „verwerking“ in de zin van art. 4 punt 2 AVG gehanteerd.

02 · Onderwerp en duur van de opdracht

Onderwerp en duur van de opdracht worden volledig bepaald door de gegevens die in de betreffende contractuele relatie zijn vastgelegd. De verwerker verwerkt daarbij persoonsgegevens voor de opdrachtgever in de zin van art. 4 punt 2 AVG (verwerking) en art. 28 AVG op basis van deze opdracht.

03 · Omvang, aard en doel van de verwerking van gegevens

De omvang, de aard en het doel van de verwerking van persoonsgegevens, de soort gegevens en de kring van betrokkenen zijn beschreven in bijlage 1, voor zover dit niet volgt uit de inhoud van de in punt 2 beschreven contractuele relaties.

De verwerking vindt in beginsel plaats in de EU/EER. Voor zover bij de dienstverlening subverwerkers met vestigingsplaats buiten de EU/EER worden ingezet of toegang vanuit derde landen technisch niet volledig kan worden uitgesloten, gebeurt dit uitsluitend met inachtneming van de eisen van art. 44 e.v. AVG en onder de in deze overeenkomst voorziene passende waarborgen.

04 · Technische en organisatorische maatregelen volgens art. 32 AVG

(art. 28, lid 3, punt c), AVG)

(1) De verwerker treft passende technische en organisatorische maatregelen volgens art. 32 AVG om een op het risico afgestemd beveiligingsniveau te waarborgen. De maatregelen die gelden op het moment van sluiten van de overeenkomst zijn beschreven in bijlage 2 en gelden als overeengekomen.

(2) De verwerker is gerechtigd de technische en organisatorische maatregelen aan te passen en verder te ontwikkelen met inachtneming van de stand van de techniek en de verdere ontwikkeling van de IT-beveiliging, mits het overeengekomen beschermingsniveau daardoor niet wordt onderschreden. Wezenlijke wijzigingen van de maatregelen worden gedocumenteerd.

(3) De verwerker stelt de opdrachtgever op verzoek de actuele versie van de technische en organisatorische maatregelen ter beschikking.

05 · Rectificatie, beperking van de verwerking en wissing van gegevens

(1) De verwerker mag de gegevens die in opdracht worden verwerkt niet eigenmachtig wissen of de verwerking ervan beperken. Voor zover een betrokkene zich in dit verband rechtstreeks tot de verwerker wendt, zal de verwerker dit verzoek zonder onredelijke vertraging aan de opdrachtgever doorsturen.

(2) De verwerker ondersteunt de opdrachtgever waar mogelijk met passende technische en organisatorische maatregelen bij het vervullen van de rechten van betrokkenen volgens hoofdstuk III AVG (art. 28, lid 3, punt e), AVG). Wissing, rectificatie, gegevensoverdraagbaarheid en inzage voert hij uit volgens gedocumenteerde instructie van de opdrachtgever.

06 · Kwaliteitsborging en overige plichten van de verwerker

De verwerker heeft naast de naleving van de bepalingen van deze opdracht wettelijke plichten volgens art. 28 tot en met 33 AVG; in dat opzicht waarborgt hij in het bijzonder de naleving van de volgende vereisten:

• Als functionaris voor gegevensbescherming is bij de verwerker PROLIANCE GmbH aangewezen: Leopoldstr. 21, 80802 München, datenschutzbeauftragter@datenschutzexperte.de

• De actuele contactgegevens van de functionaris voor gegevensbescherming zijn op de website van de verwerker eenvoudig toegankelijk vermeld; een wisseling wordt daar gepubliceerd.

• Het waarborgen van de vertrouwelijkheid volgens art. 28, lid 3, punt b), art. 29 en art. 32, lid 4, AVG. De verwerker zet bij de uitvoering van de werkzaamheden uitsluitend medewerkers in die tot vertrouwelijkheid zijn verplicht en die vooraf vertrouwd zijn gemaakt met de voor hen relevante bepalingen inzake gegevensbescherming. De verwerker en iedere aan de verwerker ondergeschikte persoon die toegang heeft tot persoonsgegevens, mogen deze gegevens uitsluitend verwerken overeenkomstig de instructie van de opdrachtgever, met inbegrip van de in deze overeenkomst verleende bevoegdheden, tenzij zij wettelijk tot verwerking verplicht zijn.

• De uitvoering en naleving van alle voor deze opdracht noodzakelijke technische en organisatorische maatregelen volgens art. 28, lid 3, punt c), en art. 32 AVG en bijlage 2.

• De opdrachtgever en de verwerker werken op verzoek samen met de toezichthoudende autoriteit bij de vervulling van haar taken.

• Het zonder onredelijke vertraging informeren van de opdrachtgever over controlehandelingen en maatregelen van de toezichthoudende autoriteit, voor zover deze betrekking hebben op deze opdracht. Dit geldt ook voor zover een bevoegde autoriteit in het kader van een procedure wegens een bestuurlijke overtreding of een strafprocedure met betrekking tot de verwerking van persoonsgegevens bij de verwerking in opdracht onderzoek doet bij de verwerker.

• Voor zover de opdrachtgever zelf wordt onderworpen aan een controle door de toezichthoudende autoriteit, een procedure wegens een bestuurlijke overtreding of een strafprocedure, een aansprakelijkheidsvordering van een betrokkene of een derde of een andere vordering in verband met de verwerking in opdracht bij de verwerker, moet de verwerker hem in redelijke mate ondersteunen; punt 14.1 is van toepassing.

• De verwerker controleert regelmatig de interne processen en de technische en organisatorische maatregelen om te waarborgen dat de verwerking binnen zijn verantwoordelijkheidsgebied in overeenstemming met de eisen van het toepasselijke gegevensbeschermingsrecht plaatsvindt en de bescherming van de rechten van de betrokkene is gewaarborgd.

07 · Subverwerking

Subverwerkers zijn derden die in opdracht van de verwerker persoonsgegevens verwerken in verband met de dienstverlening. Hiertoe kunnen ook ondersteunende diensten behoren zoals hosting, onderhoud, support of monitoring, voor zover daarbij persoonsgegevens worden verwerkt.

(1) De opdrachtgever verleent de verwerker een algemene toestemming voor het inschakelen van verdere subverwerkers in de zin van art. 28, lid 2, AVG. De verwerker informeert de opdrachtgever ten minste drie weken vóór een voorgenomen wijziging met betrekking tot het inschakelen van nieuwe of het vervangen van bestaande subverwerkers in tekstvorm. De opdrachtgever heeft het recht om binnen drie weken na ontvangst van de mededeling bezwaar te maken, voor zover daarvoor gegronde redenen op het gebied van gegevensbescherming bestaan. Maakt de opdrachtgever gegrond bezwaar en wordt geen oplossing in onderling overleg gevonden, dan kan elke partij de hoofdovereenkomst en deze overeenkomst buitengewoon opzeggen met ingang van het tijdstip waarop de wijziging van kracht wordt. Zegt geen van de partijen op vóór het tijdstip waarop de wijziging van kracht wordt, dan kan de verwerker de wijziging doorvoeren. In dringende gevallen, in het bijzonder om veiligheidsredenen of bij het wegvallen van een subverwerker, volstaat een mededeling achteraf zonder onredelijke vertraging; het recht van bezwaar is van overeenkomstige toepassing. De zinnen 2 tot en met 6 zijn van overeenkomstige toepassing indien een bestaande subverwerker de verwerking naar een derde land verplaatst.

(2) De verwerker verzekert dat hij alle subverwerkers zorgvuldig selecteert en daarbij waarborgt dat deze door passende technische en organisatorische maatregelen (bijv. branchespecifieke certificeringen zoals ISO 27001) voldoen aan de eisen van art. 32 AVG. De relevante controledocumenten worden de opdrachtgever op verzoek binnen een redelijke termijn ter beschikking gesteld, voor zover de subverwerker de verstrekking ervan toestaat.

(3) De verwerker controleert regelmatig of zijn subverwerkers de verplichtingen inzake gegevensbescherming nakomen en documenteert de resultaten. Bewijzen daarvan stelt hij de opdrachtgever op verzoek ter beschikking, voor zover geheimhoudingsverplichtingen jegens de subverwerker zich daar niet tegen verzetten. Controles bij subverwerkers vinden bij voorrang plaats aan de hand van hun certificeringen en auditrapporten; de controlerechten van de opdrachtgever volgens punt 8 en art. 28, lid 3, punt h), AVG blijven onverlet.

(4) De verwerker legt iedere subverwerker contractueel dezelfde verplichtingen inzake gegevensbescherming op als die in deze overeenkomst zijn vastgelegd, in het bijzonder afdoende garanties dat passende technische en organisatorische maatregelen zodanig worden uitgevoerd dat de verwerking voldoet aan de eisen van de AVG (art. 28, lid 4, AVG).

(5) De verwerker is jegens de opdrachtgever aansprakelijk ervoor dat de subverwerker de verplichtingen inzake gegevensbescherming nakomt die hem door de verwerker in overeenstemming met dit deel van de overeenkomst contractueel zijn opgelegd.

(6) Momenteel zijn de in bijlage 3 vermelde subverwerkers betrokken bij de verwerking van persoonsgegevens in de daar genoemde omvang. De opdrachtgever stemt in met het inschakelen van deze subverwerkers.

08 · Controlerechten van de opdrachtgever

(1) Controles vinden bij voorrang plaats door middel van inlichtingen, documentatie, beveiligingsbewijzen, certificaten, auditrapporten en andere geschikte bewijsstukken. Voor zover deze bewijsstukken in een individueel geval niet volstaan om de naleving van de verplichtingen volgens art. 28 AVG adequaat te controleren, maakt de verwerker na voorafgaand overleg ook verdergaande controles mogelijk, met inbegrip van inspecties in redelijke omvang. Daarbij moeten de vertrouwelijkheid, de bedrijfs- en beveiligingsbelangen van de verwerker en de rechten van derden worden gerespecteerd. Controles ter plaatse vinden alleen plaats na redelijke voorafgaande aankondiging, tijdens gebruikelijke kantooruren en voor zover zij in het concrete geval noodzakelijk en evenredig zijn. De opdrachtgever kan controles zelf uitvoeren of laten uitvoeren door een door hem aangewezen, tot geheimhouding verplichte auditor die geen concurrent van de verwerker is. Inspecties vinden in de regel ten hoogste eenmaal per kalenderjaar plaats, tenzij een concrete aanleiding of een toezichthoudende autoriteit een verdere controle vereist.

(2) De verwerker zorgt ervoor dat de opdrachtgever zich ervan kan vergewissen dat de verwerker zijn verplichtingen volgens art. 28 AVG nakomt. De verwerker verplicht zich de opdrachtgever op verzoek de benodigde inlichtingen te verstrekken, voor zover deze niet blijken uit de bestaande en toegankelijke documenten.

(3) Het bewijs van zulke maatregelen die niet uitsluitend de concrete opdracht betreffen, kan naar keuze worden geleverd door de naleving van goedgekeurde gedragscodes volgens art. 40 AVG, de certificering volgens een goedgekeurd certificeringsmechanisme volgens art. 42 AVG, actuele verklaringen, rapporten of uittreksels van rapporten van onafhankelijke instanties (bijv. accountants, interne audit, functionaris voor gegevensbescherming, IT-beveiligingsafdeling, privacyauditors, kwaliteitsauditors) en/of een passende certificering door middel van een IT-beveiligings- of privacyaudit (bijv. volgens BSI-Grundschutz, de basisbeveiligingsmethodiek van het Duitse Bundesamt für Sicherheit in der Informationstechnik).

(4) Het ter beschikking stellen van bestaande bewijsstukken en het verstrekken van inlichtingen volgens de leden 1 tot en met 3 gebeuren kosteloos. Voor inspecties en voor individuele audits en vragenlijsten kan de verwerker een redelijke vergoeding volgens zijn op dat moment geldende uurtarieven verlangen, voor zover de controle niet noodzakelijk is geworden door een aantoonbare schending door de verwerker van deze overeenkomst of van verplichtingen op grond van het gegevensbeschermingsrecht.

09 · Ondersteuning volgens art. 32 tot en met 36 AVG en melding van inbreuken in verband met persoonsgegevens

(1) De verwerker ondersteunt de opdrachtgever bij de naleving van de in de artikelen 32 tot en met 36 AVG genoemde verplichtingen met betrekking tot de beveiliging van persoonsgegevens, meldplichten bij inbreuken in verband met persoonsgegevens, gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen. Hiertoe behoren onder meer:

a) het waarborgen van een passend beschermingsniveau door technische en organisatorische maatregelen die rekening houden met de omstandigheden en doeleinden van de verwerking en met de voorspelde waarschijnlijkheid en ernst van een mogelijke inbreuk door beveiligingslekken, en die een tijdige vaststelling van relevante inbreuken mogelijk maken

b) de verplichting om inbreuken in verband met persoonsgegevens zonder onredelijke vertraging aan de opdrachtgever te melden; de melding bevat, voor zover bekend, de gegevens volgens art. 33, lid 3, AVG, en nog niet beschikbare informatie wordt stapsgewijs nagezonden (art. 33, lid 4, AVG)

c) de verplichting om de opdrachtgever te ondersteunen in het kader van diens informatieplicht jegens de betrokkene en hem in dat verband de bij hem aanwezige relevante informatie zonder onredelijke vertraging ter beschikking te stellen

d) de ondersteuning van de opdrachtgever bij diens gegevensbeschermingseffectbeoordeling

e) de ondersteuning van de opdrachtgever in het kader van voorafgaande raadplegingen van de toezichthoudende autoriteit

(2) Voor ondersteunende diensten die niet in de dienstbeschrijving zijn opgenomen en niet te wijten zijn aan een tekortkoming van de verwerker, kan de verwerker een vergoeding vorderen.

10 · Instructiebevoegdheid van de opdrachtgever

(1) De verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de opdrachtgever. De instructies zijn vastgelegd in deze overeenkomst en in de hoofdovereenkomst en worden gegeven door het gebruik van de functies van het platform. Dit geldt ook voor de doorgifte van persoonsgegevens aan een derde land of een internationale organisatie, tenzij de verwerker daartoe verplicht is op grond van het Unierecht of het recht van een lidstaat dat op hem van toepassing is. In dat geval stelt de verwerker de opdrachtgever vóór de verwerking in kennis van dat wettelijk voorschrift, tenzij het betreffende recht een dergelijke kennisgeving om gewichtige redenen van algemeen belang verbiedt.

(2) Mondelinge instructies bevestigt de opdrachtgever zonder onredelijke vertraging in tekstvorm.

(3) De verwerker moet de opdrachtgever zonder onredelijke vertraging informeren indien hij van mening is dat een instructie in strijd is met voorschriften inzake gegevensbescherming. De verwerker is gerechtigd de uitvoering van de betreffende instructie op te schorten totdat deze door de opdrachtgever wordt bevestigd of gewijzigd.

11 · Toegang voor support en foutanalyse (accountgebonden toegang / impersonatie)

(1) De opdrachtgever geeft de verwerker de instructie en machtigt hem om ten behoeve van foutanalyse, storingsoplossing, technische ondersteuning en de afhandeling van supportverzoeken in de benodigde omvang toegang te krijgen tot de in opdracht verwerkte persoonsgegevens, met inbegrip van toegang via de gebruikersinterface in de weergave van een gebruikersaccount (impersonatie). Deze instructie geldt als gedocumenteerde algemene instructie in de zin van art. 28, lid 3, AVG; een afzonderlijke instructie of goedkeuring per geval is niet vereist.

(2) De toegang is doelgebonden, volgt het beginsel van minimale gegevensverwerking en vindt uitsluitend plaats door bevoegd, tot vertrouwelijkheid verplicht (art. 28, lid 3, punt b), art. 29 en art. 32, lid 4, AVG) personeel van de verwerker.

(3) Toegangen via de gebruikersinterface (impersonatie) worden gelogd met tijdstip, persoon die toegang verkrijgt en betrokken account; administratieve toegangen tot productiesystemen worden op persoonsniveau gelogd. De logbestanden worden de opdrachtgever op verzoek ter beschikking gesteld in het kader van zijn controlerechten (punt 8).

(4) Ook in het kader van deze toegang verwerkt de verwerker de gegevens uitsluitend binnen het kader van deze overeenkomst en niet voor eigen doeleinden.

12 · Wissing en teruggave van persoonsgegevens

(1) Kopieën of duplicaten van de gegevens worden niet zonder medeweten van de opdrachtgever gemaakt. Hiervan uitgezonderd zijn back-ups, voor zover deze noodzakelijk zijn om een correcte gegevensverwerking te waarborgen, alsmede kopieën die de verwerker nodig heeft om aan eigen wettelijke verplichtingen te voldoen.

(2) Na beëindiging van de dienstverleningsovereenkomst stelt de verwerker de opdrachtgever alle in opdracht verwerkte gegevens gedurende een opvraagperiode van 30 dagen ter beschikking voor export (punt 5.2 van de algemene voorwaarden). Na afloop van de opvraagperiode of eerder op instructie van de opdrachtgever wist de verwerker deze gegevens op een met de gegevensbescherming verenigbare wijze, met inbegrip van de inhoud van API-verzoeken en -antwoorden; de bewaring volgens handels- en fiscaalrechtelijke voorschriften berust bij de opdrachtgever. Loggegevens over aanmeldingen, toegang en wijzigingen (audittrail) maken deel uit van de in opdracht verwerkte gegevens en worden samen met deze gegevens gewist. Back-ups worden in de reguliere back-upcyclus van maximaal 12 maanden overschreven; tot dan zijn zij versleuteld, is de toegang ertoe beperkt en worden zij alleen voor herstel gebruikt. Worden gegevens uit een back-up hersteld, dan past de verwerker de eerder uitgevoerde wissingen opnieuw toe. De verwerker verstrekt de opdrachtgever op verzoek informatie over de aard en het tijdstip van de wissing.

(3) Documentatie die dient als bewijs van een opdrachtconforme en correcte gegevensverwerking, moet door de verwerker overeenkomstig de toepasselijke bewaartermijnen ook na het einde van de overeenkomst worden bewaard. Hij kan deze ter ontlasting bij het einde van de overeenkomst aan de opdrachtgever overdragen.

13 · Mobiel werken (Remote-first)

(1) De verwerker werkt plaatsonafhankelijk ("remote-first") en heeft geen eigen kantoor- of serverruimtes. Het platform wordt geëxploiteerd in datacenters in Duitsland (Bijlage 2); voor subverwerkers geldt Bijlage 3.

(2) Medewerkers en andere personen die voor de verwerker werken, mogen hun werkzaamheden vanuit privéwoningen en andere mobiele werkplekken verrichten. Daarbij geldt in het bijzonder:

• Toegang tot de systemen van de verwerker verloopt uitsluitend versleuteld en met persoonlijke authenticatie.
• Werkapparaten zijn volledig versleuteld, vergrendelen automatisch bij inactiviteit en worden met actuele beveiligingsupdates gebruikt.
• Gegevens van de opdrachtgever worden alleen op werkapparaten opgeslagen voor zover dat in afzonderlijke gevallen nodig is voor foutanalyse en het nabootsen van gemelde fouten, en worden na afronding van de analyse gewist. Op verwisselbare gegevensdragers of in privé-cloudopslag worden zij niet opgeslagen.
• Er wordt zo gewerkt dat derden geen inzage in persoonsgegevens kunnen krijgen; via openbare netwerken wordt alleen via een beveiligde verbinding toegang tot productiesystemen verkregen.

(3) Toegang tot persoonsgegevens van de opdrachtgever vanaf een werkplek buiten de EU/EER is alleen toegestaan onder de voorwaarden van art. 44 e.v. AVG (punt 3).

(4) De verwerker waarborgt de maatregelen volgens art. 32 AVG (Bijlage 2) ook bij mobiel werken, controleert deze regelmatig, documenteert dit en stelt de documentatie op verzoek aan de opdrachtgever ter beschikking. Controles volgens punt 8 vinden in dit opzicht plaats op basis van deze documentatie en andere bewijsstukken; toegang tot privéwoningen is uitgesloten.

14 · Overige afspraken

14.1 Vergoedingen

Voor deze opdracht wordt geen vergoeding gevraagd. Voor zover de opdrachtgever ondersteuning volgens punt 5 nodig heeft voor de beantwoording van verzoeken van betrokkenen, moet hij de daardoor ontstane kosten vergoeden. Voor controles geldt punt 8 lid 4. Gegevensexport en overstap naar een andere aanbieder volgens punt 5.2 van de algemene voorwaarden zijn kosteloos. Geeft de opdrachtgever de verwerker instructies volgens punt 10 die verder gaan dan de overeengekomen omvang van de dienstverlening of extra inspanningen veroorzaken, dan moet hij de daardoor ontstane redelijke kosten vergoeden.

Er bestaat geen verplichting tot vergoeding voor zover de betreffende ondersteuning, controle of maatregel noodzakelijk is geworden door een aantoonbare schending door de verwerker van deze overeenkomst of van verplichtingen op grond van het gegevensbeschermingsrecht.

14.2 Looptijd van de overeenkomst

Deze overeenkomst is afhankelijk van het bestaan van een hoofdovereenkomst volgens punt 2. De opzegging of andersoortige beëindiging van de hoofdovereenkomst volgens punt 2 beëindigt deze overeenkomst, onder voorbehoud van de hierna volgende regeling inzake voortgezette gelding. Het recht op afzonderlijke, buitengewone opzegging van deze overeenkomst en de uitoefening van wettelijke ontbindingsrechten specifiek voor deze overeenkomst blijven hierdoor onverlet.

Voor zover na beëindiging van de hoofdovereenkomst nog persoonsgegevens worden verwerkt in verband met teruggave, export, wissing, bewaring van back-ups of bewijsvoering, blijven de bepalingen van deze overeenkomst van kracht tot de volledige afronding van deze verwerkingen.

14.3 Rechtskeuze

Het recht van de Bondsrepubliek Duitsland is van toepassing.

14.4 Bevoegde rechter

Voor de bevoegde rechter geldt punt 12.1 van de algemene voorwaarden.

14.5 Aansprakelijkheid

Voor de aansprakelijkheid geldt punt 9 van de algemene voorwaarden; art. 82 AVG blijft onverlet.

Handtekeningen

Bijlage 1 · Persoonsgegevens en doel van de verwerking

Bijlage 1 bij de opdracht volgens art. 28 AVG – Overzicht van de persoonsgegevens en het doel van de verwerking ervan

I. Soort gegevens

De volgende soorten gegevens zijn regelmatig onderwerp van de verwerking:

• Bedrijfsnaam met namen van de contactpersonen en adres van het bedrijf
• Contactgegevens
• Uitgaande en inkomende facturen inclusief bijlagen
• Banktransacties (bij koppeling van een bankrekening)
• Communicatie- en verzendgegevens (verzenden en ontvangen van e-mail, Peppol, verzendingen aan belastingautoriteiten)
• API-logs (verzoeken aan en antwoorden van de programmeerinterface)
• Gebruikers- en toegangs-/authenticatiegegevens (bijv. gebruikers-ID, rollen/rechten, toegangslogs)
• Gebruiks- en loggegevens (bijv. IP-adres, tijdstempel, technische metadata)
• Betalingsgegevens
• Klantgegevens van het bedrijf voor de facturering
• Product- en dienstbenamingen van het bedrijf

II. Kring van betrokkenen

Kring van personen op wie de gegevensverwerking betrekking heeft:

• Medewerkers en klanten van de opdrachtgever
• Partners en dienstverleners van de opdrachtgever
• Leveranciers van de opdrachtgever
• Factuurontvangers en factuurafzenders van de opdrachtgever

III. Aard en doel van de verwerking

Beschikbaarstelling van een webapplicatie en programmeerinterface voor het opstellen, ontvangen, controleren, bezorgen en tijdens de looptijd van de overeenkomst opslaan van facturen, creditnota's en andere zakelijke documenten volgens EN 16931 en andere formaten; betalingsafstemming; verzending aan e-factuurnetwerken en belastingautoriteiten; optionele automatische gegevensextractie uit inkomende facturen; support.

Bijlage 2 · Technische en organisatorische maatregelen

Bijlage 2 bij de opdracht volgens art. 28 AVG – Technische en organisatorische maatregelen volgens art. 32 AVG.

Opmerking: Specifieke maatregelen voor het thuiswerken zijn gebaseerd op de aanbevolen maatregelen van het BSI (Bundesamt für Sicherheit in der Informationstechnik, de Duitse federale dienst voor informatiebeveiliging) (Aanbevelingen voor thuiswerken).

1. Vertrouwelijkheid (art. 32, lid 1, punt b), AVG)

a. Fysieke toegangscontrole

Datacenter – Onze servers bevinden zich in ISO 27001-gecertificeerde Duitse datacenters van Hetzner Online GmbH.

• Toegangscontrole, bewaking en begeleiding van bezoekers volgens de ISO 27001-certificering van de datacenterexploitant

Administratie/thuiswerken

• Werkapparaten zijn volledig versleuteld; medewerkers zijn geïnstrueerd ze niet onbeheerd achter te laten
• Werkapparaten vergrendelen automatisch na korte inactiviteit en worden vergrendeld bij het verlaten van de werkplek
• Afdrukken met persoonsgegevens worden na gebruik vernietigd
• Uitsluitend personeel dat tot vertrouwelijkheid en gegevensbescherming is verplicht, heeft voor supportdoeleinden toegang tot persoonsgegevens
• Medewerkers zijn geïnstrueerd persoonsgegevens niet in aanwezigheid van derden te verwerken

b. Toegangscontrole tot systemen

Datacenter – Administratieve toegangsgegevens en toegangsmiddelen voor server- en infrastructuursystemen zijn uitsluitend toegankelijk voor de daartoe bevoegde medewerkers van de verwerker en worden uitsluitend gebruikt voor de administratie, het onderhoud en de controle van de infrastructuur.

Thuiswerken

• Medewerkers zijn geïnstrueerd wachtwoorden voor de toegang tot accounts of systemen in een versleutelde wachtwoordmanager op te slaan.
• Administratieve toegangen tot server-, cloud- en ontwikkelsystemen zijn beveiligd met meervoudige authenticatie.

c. Toegangscontrole tot gegevens

Infrastructuur

• De infrastructuurprovider exploiteert zijn infrastructuur volgens een gedocumenteerd beveiligingsconcept; de verwerker houdt bij de selectie onder meer rekening met erkende beveiligingsbewijzen/certificeringen.
• De infrastructuurprovider past fysieke en logische toegangscontroles toe volgens erkende normen; bewijzen hiervan volgen uit de desbetreffende certificeringen/auditrapporten van de provider.

Applicaties / interne beheersystemen

• door regelmatige beveiligingsupdates (volgens de actuele stand van de techniek) wordt gewaarborgd dat onbevoegde toegang wordt voorkomen.
• zijn uitsluitend bereikbaar via met een wachtwoord beveiligde, gepersonaliseerde toegangen
• Databases en interne gegevensopslag zijn niet bereikbaar vanaf het internet; directe toegang is alleen mogelijk via administratieve toegangen met meervoudige authenticatie
• Administratieve applicaties vereisen aanmelding via de identity provider met rolgebaseerde rechten
• Regelmatige controle en aanpassing van de toegangsrechten

d. Controle op gegevensdragers

Datacenter

• Harde schijven worden door de infrastructuuraanbieder volgens een gedefinieerde procedure meermaals overschreven (gewist). Na controle worden de harde schijven opnieuw ingezet.
• Defecte harde schijven die niet veilig kunnen worden gewist, worden direct in het datacenter van de infrastructuurprovider vernietigd (versnipperd).

Algemeen / thuiswerken

• Niet meer benodigde of defecte gegevensdragers van medewerkers worden meermaals overschreven (gewist) en vernietigd.
• Werkapparaten en gegevensdragers zijn volledig versleuteld; gegevens van de opdrachtgever worden lokaal alleen volgens punt 13 opgeslagen.

e. Scheidingscontrole

• Klantgegevens worden fysiek of logisch gescheiden van andere gegevens opgeslagen.
• De back-up van de klantgegevens vindt eveneens plaats op logisch en/of fysiek gescheiden systemen.

2. Integriteit (art. 32, lid 1, punt b), AVG)

a. Controle op doorgifte

Algemeen

• Alle medewerkers zijn in de zin van art. 32, lid 4, AVG geïnstrueerd en verplicht om de met de gegevensbescherming verenigbare omgang met persoonsgegevens te waarborgen.
• Externe overdrachten zijn versleuteld (TLS 1.2 of hoger)
• Productiesystemen en back-ups zijn versleuteld (art. 32, lid 1, punt a), AVG)

Thuiswerken

• De medewerkers worden geïnstrueerd om vertrouwelijke documenten/afdrukken alleen in uitzonderingsgevallen te maken en direct na gebruik te vernietigen.
• De medewerkers worden geïnstrueerd om niet meer benodigde gegevensdragers op passende wijze te laten vernietigen.

b. Logging / monitoring / foutanalyse

Om stabiliteit, beschikbaarheid en foutoplossing te waarborgen, worden technische gebeurtenis- en diagnosegegevens verwerkt. De verwerking volgt het beginsel van minimale gegevensverwerking; identificerende inhoud wordt waar mogelijk beperkt of door filtering/scrubbing verwijderd. Toegang tot diagnose- en monitoringsystemen is rolgebaseerd beperkt en wordt gelogd. Bewaartermijnen voor diagnose-/foutgegevens zijn doelgebonden beperkt. Accountgebonden supporttoegang (impersonatie) tot gebruikersaccounts vindt uitsluitend rolgebaseerd plaats door bevoegd personeel en wordt gelogd (tijdstip, persoon die toegang verkrijgt, betrokken account).

3. Beschikbaarheid en veerkracht (art. 32, lid 1, punt b), AVG)

a. Beschikbaarheidscontrole

Server

• Onze servers bevinden zich in een Hetzner-datacenter in Duitsland dat volgens ISO 27001 is gecertificeerd.
• Alle persistente gegevensbestanden van het productieplatform worden met korte tussenpozen (momenteel ten minste elke 2 uur) versleuteld geback-upt en op een ruimtelijk gescheiden locatie opgeslagen.
• Stroomvoorziening en netwerkbeveiliging volgens de ISO 27001-certificering van de datacenterexploitant.

Thuiswerken

• Klantgegevens worden op werkapparaten alleen volgens punt 13 en slechts tijdelijk opgeslagen; werkapparaten zijn volledig versleuteld.

b. Snelle herstelbaarheid (art. 32, lid 1, punt c), AVG)

Server

• Voor alle systemen is een escalatieketen gedefinieerd die bepaalt wie bij een storing moet worden geïnformeerd om het systeem zo snel mogelijk te herstellen.
• Het herstel vanuit back-ups wordt regelmatig geoefend en gedocumenteerd.

Thuiswerken

• Werkapparaten kunnen zonder verlies van klantgegevens worden vervangen, omdat het maatgevende gegevensbestand uitsluitend in het centraal geback-upte platform staat.

4. Procedure voor het regelmatig testen, beoordelen en evalueren (art. 32, lid 1, punt d), AVG; art. 25, lid 1, AVG)

a. Opdrachtcontrole

Maatregelen die waarborgen dat persoonsgegevens die in opdracht worden verwerkt, uitsluitend overeenkomstig de instructies van de opdrachtgever kunnen worden verwerkt. Deze omvatten:

• Zorgvuldige selectie van subverwerkers, vooral met betrekking tot de gegevensbescherming
• Sluiten van de noodzakelijke overeenkomsten met subverwerkers en de controle daarvan

b. Organisatiecontrole

De interne organisatie moet zodanig worden ingericht dat zij voldoet aan de bijzondere eisen van de gegevensbescherming. Dit omvat de volgende maatregelen:

• Medewerkers worden tot vertrouwelijkheid verplicht en over gegevensbescherming geïnstrueerd
• De technische en organisatorische maatregelen worden regelmatig gecontroleerd en verder ontwikkeld.
• Klantspecifieke documentatie van instructies en activiteiten in het kader van de verwerking in opdracht
• Voor beveiligings- en privacy-incidenten bestaat een gedocumenteerd proces voor detectie, beoordeling, inperking en melding; incidenten worden zonder onredelijke vertraging gedocumenteerd en geëvalueerd.
• Kwetsbaarheden worden door geautomatiseerde controles opgespoord en op basis van risico verholpen.

Bijlage 3 · Subverwerkers

De verwerker maakt voor de verwerking van gegevens in opdracht van de opdrachtgever gebruik van diensten van derden die in zijn opdracht persoonsgegevens verwerken („subverwerkers“). Het gaat om de volgende ondernemingen:

Ontvangers die gegevens ontvangen op grond van een wettelijke verplichting (bijv. belastingautoriteiten bij VeriFactu, KSeF of de Franse e-factuur), vergunninghoudende betaaldienstverleners die rekeninginformatie- en betalingsinitiatiediensten onder eigen verantwoordelijkheid aan de gebruikers verlenen (BANKSapi Technology GmbH, München), alsmede door de opdrachtgever zelf gekoppelde diensten (bijv. boekhoud-, ERP- of CRM-systemen) zijn geen subverwerkers in de zin van deze bijlage. Het actuele overzicht is bovendien beschikbaar op trust.faktoora.com.

---

Deze versie geldt vanaf 01.12.2026. Voor opdrachtgevers van wie de overeenkomst vóór deze datum is gesloten, geldt zij vanaf 01.12.2026, maar op zijn vroegst vier weken na ontvangst van de mededeling van de wijziging, tenzij de opdrachtgever binnen deze termijn bezwaar maakt (wijzigingsregeling van de vorige algemene voorwaarden, voortaan punt 8.10 van de algemene voorwaarden); het recht van bezwaar tegen nieuwe subverwerkers volgens punt 7 lid 1 blijft onverlet. Tot dan geldt de vorige versie.

faktoora GmbH · Verwerkersovereenkomst · v4.2 · geldig vanaf 01.12.2026