Auftragsverarbeitungsvertrag

Soweit Konstantin Botschmanowski im Rahmen der Bereitstellung von invoiceload personenbezogene Daten im Auftrag des Kunden verarbeitet, gilt dieser Vertrag zur Auftragsverarbeitung. Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 DSGVO.

Dieser AVV steht als abrufbares Dokument zur Verfügung und kann im Kundenkonto abgeschlossen werden. Er ist Bestandteil des Nutzungsvertrags. Im Verhältnis zur Datenschutzerklärung regelt er die Verarbeitung im Auftrag.

Gegenstand der Verarbeitung ist die Erbringung der vertraglich vereinbarten Leistungen von invoiceload, insbesondere das Sammeln, Auslesen, Verarbeiten, Abgleichen, Archivieren und Exportieren von Belegen und buchhaltungsrelevanten Daten. Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Nutzungsvertrags.

Art und Zweck: automatisierte Verarbeitung personenbezogener Daten zur Bereitstellung der Belegerfassung, des KI-gestützten Bankabgleichs und des Datenexports.

Kategorien personenbezogener Daten: Stamm- und Kontaktdaten, Account- und Nutzungsdaten, Inhalts- und Belegdaten (z. B. Rechnungsangaben, Beträge, Lieferanten-/Kundendaten), Banktransaktionsdaten (ausschließlich lesend) sowie sonstige in den verarbeiteten Belegen enthaltene Daten.

Kategorien betroffener Personen: Mitarbeitende und Nutzer des Kunden, Geschäftspartner, Lieferanten und Kunden des Kunden sowie sonstige in den Belegen genannte Personen.

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich.

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierzu zählen insbesondere Hosting ausschließlich in Deutschland (Hetzner Online GmbH), Verschlüsselung sensibler Daten mit AES-256, verschlüsselte Datenübertragung über TLS, Zugriffs- und Berechtigungskonzepte sowie Protokollierung. Die TOM werden gesondert dokumentiert und auf Anfrage bereitgestellt.

Der Verantwortliche erteilt seine allgemeine Genehmigung zur Einschaltung der nachfolgenden Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen und stellt sicher, dass die datenschutzrechtlichen Pflichten auch den Unterauftragsverarbeitern auferlegt werden.

• Hosting/Infrastruktur: Hetzner Online GmbH, Serverstandort Frankfurt am Main / Nürnberg, Deutschland.
• Texterkennung (OCR): Mistral AI, Serverstandort Paris (EU).
• E-Mail-Versand: Dienstleister für transaktionale E-Mails und optionales E-Mail-Scanning.

Eine Verarbeitung in Drittländern außerhalb der EU/des EWR findet ohne geeignete Garantien im Sinne der Art. 44 ff. DSGVO nicht statt.

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung von Anfragen betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO (Datensicherheit, Datenschutz-Folgenabschätzung, Meldung von Datenschutzverletzungen).

Nach Abschluss der Verarbeitungstätigkeiten löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht eine gesetzliche Verpflichtung zur Speicherung besteht (z. B. handels- und steuerrechtliche Aufbewahrungspflichten / GoBD). Der Verantwortliche kann seine Daten über die Exportfunktionen der Anwendung jederzeit selbst sichern.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem beauftragten Prüfer durchgeführt werden. Soweit möglich, erfolgt der Nachweis durch geeignete Dokumentation oder Zertifizierungen.

Diesen Auftragsverarbeitungsvertrag kannst du als angemeldeter Kunde in deinem Account abschließen und als Dokument abrufen. Bei Fragen wende dich an datenschutz@invoiceload.de.