Auftragsverarbeitungsvertrag (AVV)

Dieser AVV regelt die Verarbeitung personen­bezogener Daten durch den Anbieter No Basic Shick (im Folgenden „Auftrags­verarbeiter") im Auftrag des Kunden (im Folgenden „Verantwortlicher") gemäß Art. 28 DSGVO. Er ist Bestandteil des Hauptvertrags (AGB) zwischen den Parteien.

§ 1 Gegenstand und Dauer

Gegenstand der Verarbeitung sind die im Rahmen der Nutzung von InvoiceFlow verarbeiteten Daten (insb. Beleg­inhalte, Lieferanten- Stammdaten, Konto­umsätze, Audit-Logs, Benutzer­konten). Die Verarbeitung erfolgt für die Dauer des Hauptvertrags zuzüglich gesetzlicher Aufbewahrungs­pflichten.

§ 2 Art und Zweck der Verarbeitung

Empfang, Klassifikation, Extraktion und Archivierung von Eingangs­rechnungen sowie Bereitstellung von Workflows zur Freigabe und zum Export an Buchhaltungs- und Zahlungs­systeme. Zusätzlich Erfassung, Extraktion und Archivierung von Ausgangs­rechnungen und Gutschriften an Kunden des Verantwortlichen (Kunden­rechnungen) zur Vorbereitung der Umsatzsteuer-Voranmeldung und zur Umsatz-Auswertung. Auf Weisung des Verantwortlichen außerdem das Einlesen von Konto­auszügen zum Abgleich von Zahlungen mit Belegen (Offene Posten, Einnahmen-Überschuss-Rechnung). Die Auszugs­datei wird nicht gespeichert; bei PDF-Auszügen wird sie zur Auslesung an den eingestellten KI-Anbieter übermittelt (Anhang 2 bzw. 3).

§ 3 Art der Daten und Kategorien betroffener Personen

• Stammdaten von Mitarbeitern des Verantwortlichen (Name, dienstliche E-Mail)
• Stammdaten von Lieferanten / Geschäftspartnern des Verantwortlichen
• Stammdaten von Kunden (Debitoren) des Verantwortlichen, bei Privatkunden auch natürliche Personen (Name, Anschrift, Kundennummer, USt-IdNr., Vertragsnummern)
• Inhalte von Kunden­rechnungen und Gutschriften (Rechnungs­positionen, Beträge, Zahlungs­bedingungen)
• Beleg-Inhalte (Beträge, Verwendungszwecke, IBAN, ggf. Vor- und Nachnamen)
• Kontoumsätze aus vom Verantwortlichen importierten Kontoauszügen (Buchungstag, Betrag, Name und IBAN der Gegenpartei, Verwendungszweck); betroffen sind Geschäftspartner und, bei gemischt genutzten Konten, weitere natürliche Personen.
• Audit- und Protokoll­daten (User-IDs, Aktion, Zeitpunkt)
• Einsichtsprotokoll der Beleg-Historie (User-ID, Name und E-Mail des Nutzers, Beleg, Zeitpunkt); nur für Administratoren des Verantwortlichen einsehbar, Aufbewahrung 12 Monate

§ 4 Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich nach dokumentierter Weisung des Verantwortlichen.
• Wahrung der Vertraulichkeit (Art. 28(3)(b) DSGVO) — alle Mitarbeiter sind auf Vertraulichkeit verpflichtet.
• Umsetzung der technisch-organisatorischen Maßnahmen (Anhang 1).
• Unterstützung des Verantwortlichen bei Betroffenen­rechten (Art. 12–22 DSGVO).
• Unverzügliche Meldung von Datenpannen gem. Art. 33(2) DSGVO an den Verantwortlichen.
• Löschung oder Rückgabe der Daten nach Beendigung des Hauptvertrags, soweit nicht gesetzliche Aufbewahrungs­pflichten entgegenstehen.
• Nachweis der Einhaltung dieser Pflichten auf Anfrage des Verantwortlichen, einmal jährlich kostenfrei.

§ 5 Unterauftrags­verarbeiter

Der Verantwortliche stimmt dem Einsatz der in Anhang 2 genannten Unterauftrags­verarbeiter zu. Der Auftrags­verarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über jede beabsichtigte Änderung in Bezug auf Hinzufügen oder Ersetzen anderer Unterauftrags­verarbeiter; der Verantwortliche kann gegen solche Änderungen Einspruch erheben.

§ 6 Drittlandübermittlung

Soweit eine Übermittlung in Drittländer erfolgt, geschieht dies ausschließlich auf Basis der EU-Standardvertrags­klauseln (SCC, Art. 46 DSGVO) und – soweit anwendbar – auf Basis des EU-US Data Privacy Framework. Aktueller Stand und Liste der betroffenen Unterauftrags­verarbeiter siehe Anhang 2.

§ 7 Haftung

Es gelten die Regelungen der Art. 82 DSGVO sowie die Haftungs­regelung des Hauptvertrags.

Anhang 1 — Technisch-organisatorische Maßnahmen (TOM)

• Vertraulichkeit: Zutritts­kontrolle in Rechenzentren der Hosting-Anbieter (Supabase, Netlify); rollen­basierter Zugriff (RBAC) im Anwendungs-Backend; Mandanten­trennung über Row-Level-Security in der Datenbank.
• Integrität: TLS 1.2+ für sämtliche Datenübertragungen; getrennte Storage-Buckets pro Tenant; Audit-Log aller schreibenden Operationen mit User-, Tenant- und Zeitstempel.
• Verfügbarkeit und Belastbarkeit: Tägliche automatische Backups durch den Datenbank-Anbieter, Wiederher­stellungs­tests mindestens jährlich.
• Wiederherstellbarkeit: RTO ≤ 24h, RPO ≤ 24h.
• Regelmäßige Überprüfung: Mindestens jährliche Schwachstellen-Reviews und Dependency-Audits; sicherheits­kritische Updates werden zeitnah eingespielt.
• Pseudonymisierung / Verschlüsselung: API-Schlüssel und Zahlungs­daten werden ausschließlich serverseitig verarbeitet und nicht im Client-Code gespeichert. KI-Schlüssel des Verantwortlichen werden zusätzlich verschlüsselt gespeichert (AES-256-GCM, Schlüssel getrennt von der Datenbank).

Anhang 2 — Unterauftrags­verarbeiter

Anhang 3: Vom Verantwortlichen selbst beauftragte KI-Anbieter

Hinterlegt der Verantwortliche in den Einstellungen einen eigenen KI-Anbieter mit eigenem API-Schlüssel (z. B. OpenAI, Mistral AI, Google Gemini API oder Vertex AI, europäische Hoster offener Modelle wie IONOS, STACKIT, OVHcloud oder Scaleway, oder einen eigenen Server), ist dieser Anbieter kein Unterauftrags­verarbeiter des Auftrags­verarbeiters. Der Verantwortliche schließt den Vertrag einschließlich Auftragsverarbeitung direkt mit dem Anbieter und bestimmt damit auch Datenstandort und etwaige Drittland­übermittlung. Der Auftrags­verarbeiter übermittelt die Belegdaten nur auf diese dokumentierte Weisung und nur zur Auslesung; ein Wechsel zu einem anderen Anbieter erfolgt nie automatisch.

Wählt der Verantwortliche ein lokales Modell auf seinem eigenen Rechner (nur in der Desktop-App), werden die Belege auf diesem Rechner ausgelesen; der Auftrags­verarbeiter erhält nur das Ergebnis.