Zurück zur Startseite

Auftragsverarbeitungsvertrag (AVV)

Zwischen dem Verantwortlichen (Kunde) und dem Auftragsverarbeiter (Pit Lehmann, Bismarckstr. 135 A, 26382 Wilhelmshaven, nachfolgend „Anbieter") wird im Zusammenhang mit der Nutzung von Zettelpilot der folgende Vertrag zur Auftragsverarbeitung geschlossen. Er ist Bestandteil des Hauptvertrags (AGB).

§ 1 Gegenstand, Dauer und Weisungsrecht

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden zur Erbringung des Dienstes Zettelpilot. Die Dauer entspricht der Laufzeit des Hauptvertrags.

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden und nicht für eigene Zwecke, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten dazu verpflichtet; in diesem Fall teilt er dem Kunden die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Die Nutzung des Dienstes gemäß Hauptvertrag gilt als Weisung. Weitergehende Einzelweisungen bedürfen der Textform und sind an die in Anlage 3 genannte Stelle zu richten.

Hinweispflicht: Ist der Anbieter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Kunden unverzüglich. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 2 Art, Umfang und Zweck der Verarbeitung

Erfassung, automatisierte Auslesung, Plausibilitätsprüfung, Aufbereitung, unveränderbare Archivierung sowie – auf Weisung des Kunden – Versand von Belegdaten an den vom Kunden benannten Steuerberater. Zweck ist allein die Erbringung des Dienstes.

Ort der Verarbeitung ist die Europäische Union. Eine Verarbeitung in einem Drittland findet ausschließlich im Rahmen der in § 7 genannten Unterauftragsverarbeiter statt.

§ 3 Kategorien betroffener Personen und Daten

Betroffene Personen: Ansprechpartner und Beschäftigte des Kunden sowie Personen, die auf eingereichten Belegen genannt sind (z. B. Mitarbeitende von Lieferanten).

Datenarten: Beleg- und Rechnungsdaten (Händler, Datum, Beträge, Steuersätze, Positionen), Kontaktdaten, Zugangs- und Protokolldaten, ggf. auf Belegen enthaltene weitere Angaben. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags; der Kunde sagt zu, solche Daten nicht einzureichen.

§ 4 Pflichten des Kunden

Der Kunde ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung und für die Zulässigkeit der Übermittlung der Daten an den Anbieter verantwortlich. Er erteilt Weisungen ausschließlich im Rahmen der DSGVO und informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Auftragsverarbeitung feststellt.

§ 5 Vertraulichkeit

Der Anbieter verpflichtet alle mit der Verarbeitung befassten Personen schriftlich zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

§ 6 Technische und organisatorische Maßnahmen (Anlage 1)

Der Anbieter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen, insbesondere:

• Vertraulichkeit: verschlüsselte Übertragung (TLS/HTTPS), individuelle Zugänge mit gehashten Passwörtern (PBKDF2), getrennte Rollen für Kunde und Betreiber, Sperre nach wiederholten Fehlanmeldungen, Mandantentrennung auf Datenbankebene.
• Integrität: unveränderbare Archivierung der Originalbelege (Object-Lock, 10 Jahre), fortlaufendes, nur anfügbares Protokoll (Audit-Log), Erkennung doppelter Belege über Prüfsummen.
• Verfügbarkeit und Belastbarkeit: tägliche Sicherungen, zusätzlich verschlüsselte Sicherung außerhalb des Systems, automatische Überwachung mit Alarmierung.
• Serverstandort EU, Firewall, gehärteter Fernzugang ausschließlich per Schlüsselverfahren, Schutz gegen automatisierte Anmeldeversuche.
• Datenminimierung: Zugriff des Anbieters auf Belege nur im Support-Fall; jeder solche Zugriff wird protokolliert.

Der Anbieter darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter (Anlage 2)

Der Kunde erteilt seine allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter:

Unterauftragsverarbeiter	Leistung	Ort / Grundlage
Hostinger	Server-Hosting, E-Mail-Postfach, Domain/DNS	EU
Anthropic	Maschinelle Texterkennung auf Belegbildern	USA; EU-Standardvertragsklauseln nach Art. 46 DSGVO
Cloudflare (R2)	Verschlüsselte Sicherung außerhalb des Servers	EU-Jurisdiktion
Stripe	Zahlungsabwicklung des Abos	EU/USA; EU-Standardvertragsklauseln

Der Anbieter erlegt jedem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auf, die ihn nach diesem Vertrag treffen, und haftet dem Kunden gegenüber für deren Einhaltung wie für eigenes Handeln. Über beabsichtigte Änderungen informiert der Anbieter mindestens vier Wochen vorab in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb von zwei Wochen widersprechen; kann der Widerspruch nicht ausgeräumt werden, steht dem Kunden ein Sonderkündigungsrecht zu.

§ 8 Unterstützung des Verantwortlichen

Der Anbieter unterstützt den Kunden im Rahmen des Zumutbaren:

• bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). An den Anbieter gerichtete Anträge leitet er unverzüglich an den Kunden weiter und beantwortet sie nicht selbst;
• bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, einschließlich einer Datenschutz-Folgenabschätzung und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde.

Meldung von Verletzungen: Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, mit den ihm verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO.

Unterstützungsleistungen, die über den üblichen Umfang hinausgehen und nicht auf einem Verschulden des Anbieters beruhen, kann der Anbieter nach vorheriger Ankündigung nach Aufwand berechnen.

§ 9 Löschung und Rückgabe

Nach Beendigung des Hauptvertrags stellt der Anbieter die Daten für 30 Tage zum Export bereit und löscht sie anschließend einschließlich vorhandener Kopien. Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht (insbesondere § 147 AO, GoBD); diese werden gesperrt und nach Ablauf der Frist gelöscht. Die Löschung wird auf Wunsch in Textform bestätigt.

§ 10 Nachweise und Kontrollen

Der Anbieter stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung erforderlichen Informationen bereit. Der Kunde ist berechtigt, sich von der Einhaltung zu überzeugen – vorrangig durch Selbstauskunft, Dokumentation oder anerkannte Zertifikate.

Vor-Ort-Kontrollen erfolgen höchstens einmal jährlich (bei konkretem Anlass auch häufiger), nach Ankündigung mit einer Frist von vier Wochen, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Geheimhaltung sowie der Rechte anderer Kunden. Die Kosten seiner Kontrolle trägt der Kunde.

§ 11 Haftung

Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrags (§ 8 AGB). Die Haftung gegenüber betroffenen Personen und gegenüber Aufsichtsbehörden nach Art. 82 und Art. 83 DSGVO bleibt hiervon unberührt.

§ 12 Schlussbestimmungen

Änderungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Datenschutzfragen die Regelungen dieses Vertrags vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 3 – Weisungsberechtigte und Ansprechpartner

Beim Anbieter: Pit Lehmann, zettelpilot@gmail.com. Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des Art. 37 DSGVO bzw. § 38 BDSG liegen nicht vor.

Beim Kunden: die im Kundenkonto hinterlegte Ansprechperson, sofern der Kunde nicht in Textform eine andere Stelle benennt.

Abschluss

Diese Fassung ist der Stand, den der Anbieter mit jedem Kunden vereinbart. Der Vertrag wird beim Onboarding in Textform geschlossen – schreib an zettelpilot@gmail.com, dann schicken wir dir das unterschriftsfertige Dokument zu.