Belegkurier

Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO (AVV)

Stand: [DATUM]

zwischen dem Kunden des Dienstes „Belegkurier“, wie im Kundenkonto angegeben („Verantwortlicher“ oder „Kunde“), und der

NovaVoca Technologies GmbH
[STRASSE UND HAUSNUMMER]
[PLZ] [ORT]
Deutschland
vertreten durch den Geschäftsführer [VORNAME NACHNAME GESCHÄFTSFÜHRER]
(„Auftragsverarbeiter“ oder „Anbieter“)

– gemeinsam „Parteien“ –

Präambel

Der Anbieter stellt dem Kunden den Online-Dienst Belegkurier auf Grundlage der Allgemeinen Geschäftsbedingungen („Hauptvertrag“) zur Verfügung. Bei der Erbringung des Dienstes verarbeitet der Anbieter personenbezogene Daten, für die der Kunde Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist. Dieser Vertrag konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO. Er wird durch Anklicken des Kontrollkästchens „Ich akzeptiere den Auftragsverarbeitungsvertrag“ bei der Registrierung in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO); der Anbieter dokumentiert Zeitpunkt und Fassung des Abschlusses und stellt dem Kunden den Vertragstext im Kundenkonto zur Verfügung.

§ 1 Gegenstand und Dauer der Verarbeitung

  1. Gegenstand der Verarbeitung ist die Erbringung des Dienstes Belegkurier gemäß Hauptvertrag: Entgegennahme von E-Mails mit Rechnungs-PDFs an eine dem Kunden zugeordnete Import-Adresse, vorübergehende Speicherung, automatisierte Prüfung und Merkmalsextraktion mittels eines KI-Modells, Duplikaterkennung, Weiterleitung der Belege an die vom Kunden bestimmten DATEV-Upload-Mail-Adressen, Bereitstellung eines Prüfkorbs und Führung eines Protokolls. Die Einzelheiten ergeben sich aus Anlage 1.
  2. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Dieser Vertrag endet mit der vollständigen Löschung bzw. Rückgabe der Daten nach § 10.

§ 2 Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen

Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen sind in Anlage 1 beschrieben. Der Anbieter verarbeitet die Daten ausschließlich zu den dort genannten Zwecken und nicht zu eigenen Zwecken. Eine Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht Gegenstand des Vertrags; der Kunde übermittelt solche Daten nicht gezielt.

§ 3 Verantwortlichkeit und Weisungsrecht des Kunden

  1. Der Kunde ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung, insbesondere für die Rechtsgrundlage, die Erfüllung der Informationspflichten gegenüber Betroffenen und die Wahrung der Betroffenenrechte, verantwortlich. Er stellt sicher, dass er berechtigt ist, die Belege und die darin enthaltenen Daten an den Anbieter und über diesen an die DATEV eG bzw. seinen Steuerberater zu übermitteln.
  2. Der Anbieter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Kunden. Der Hauptvertrag, dieser Vertrag mit seinen Anlagen und die Konfiguration des Kundenkontos (insbesondere freigegebene Absenderadressen, DATEV-Zieladressen, Entscheidungen im Prüfkorb, Löschaufträge) gelten als dokumentierte Weisungen. Weitere Weisungen erteilt der Kunde in Textform an [SUPPORT-E-MAIL]; mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
  3. Der Anbieter informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zur Bestätigung oder Änderung durch den Kunden auszusetzen.
  4. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, kann der Anbieter als Änderungsverlangen behandeln; hierdurch entstehender Mehraufwand ist gesondert zu vergüten, sofern die Parteien nichts anderes vereinbaren.
  5. Der Anbieter verarbeitet Daten in einem Drittland nur, wenn die Voraussetzungen des Kapitels V DSGVO erfüllt sind (§ 7), oder wenn er durch das Recht der Union oder eines Mitgliedstaats hierzu verpflichtet ist; in diesem Fall teilt er dem Kunden die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

§ 4 Pflichten des Auftragsverarbeiters

  1. Vertraulichkeit: Der Anbieter gewährleistet, dass sich alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, vor Aufnahme der Tätigkeit mit den für sie relevanten Datenschutzvorschriften vertraut gemacht wurden und nur auf Weisung verarbeiten. Die Vertraulichkeitspflicht besteht nach Beendigung der Tätigkeit fort.
  2. Sicherheit der Verarbeitung: Der Anbieter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Die Maßnahmen unterliegen dem technischen Fortschritt; der Anbieter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert der Anbieter und stellt sie dem Kunden auf Anfrage zur Verfügung.
  3. Unterstützung bei Betroffenenrechten: Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet er das Ersuchen unverzüglich an den Kunden weiter und beantwortet es nicht selbst, es sei denn, der Kunde weist ihn dazu an. Der Anbieter stellt dem Kunden über das Kundenkonto Funktionen zur Auskunft (Protokollexport) und Löschung (Löschen einzelner Vorgänge) zur Verfügung.
  4. Unterstützung bei Art. 32 bis 36 DSGVO: Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten zur Sicherheit der Verarbeitung, zur Meldung von Verletzungen des Schutzes personenbezogener Daten, zur Datenschutz-Folgenabschätzung und zur vorherigen Konsultation der Aufsichtsbehörde.
  5. Meldung von Datenschutzverletzungen: Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich nach Bekanntwerden, spätestens innerhalb von 48 Stunden, an die im Kundenkonto hinterlegte E-Mail-Adresse. Die Meldung enthält, soweit bekannt, die in Art. 33 Abs. 3 DSGVO genannten Informationen; Informationen, die zum Zeitpunkt der Meldung noch nicht vorliegen, werden ohne unangemessene Verzögerung nachgereicht. Der Anbieter ergreift unverzüglich Maßnahmen zur Sicherung der Daten und zur Minderung nachteiliger Folgen und stimmt sich hierzu mit dem Kunden ab. Die Meldung an Aufsichtsbehörden und Betroffene obliegt dem Kunden.
  6. Datenschutzbeauftragter und Ansprechpartner: Ansprechpartner des Anbieters für Datenschutzfragen ist [NAME/FUNKTION], erreichbar unter [DATENSCHUTZ-E-MAIL]. [SOFERN BENANNT: Der Datenschutzbeauftragte des Anbieters ist [NAME DES DATENSCHUTZBEAUFTRAGTEN], [DSB-E-MAIL].]
  7. Verzeichnis und Nachweise: Der Anbieter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind (§ 8).
  8. Zweckbindung, Trennung: Der Anbieter verwendet die Daten nicht für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen, zur Werbung oder zur Weitergabe an Dritte außerhalb der Weisungen. Die Daten des Kunden werden logisch von den Daten anderer Kunden getrennt.
  9. Kontrolle der Sicherheitsmaßnahmen: Der Anbieter überprüft die Wirksamkeit der technischen und organisatorischen Maßnahmen regelmäßig, mindestens jährlich, und dokumentiert das Ergebnis.

§ 5 Pflichten des Kunden

  1. Der Kunde informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
  2. Der Kunde benennt im Kundenkonto die Personen, die berechtigt sind, Weisungen zu erteilen (Anlage 4). Solange keine Benennung erfolgt, gelten der Kontoinhaber und die im Kundenkonto hinterlegten Nutzer als weisungsberechtigt.
  3. Der Kunde hält die Import-Adresse vertraulich, gibt nur Absenderadressen unter seiner Kontrolle frei und hinterlegt ausschließlich DATEV-Upload-Mail-Adressen, deren Nutzung ihm gestattet ist.
  4. Der Kunde ist für die Aufbewahrung der Originalbelege verantwortlich. Er ist darauf hingewiesen, dass PDF-Inhalte nach Übermittlung gelöscht werden und Belege im Prüfkorb nach 30 Tagen automatisch gelöscht werden.

§ 6 Unterauftragsverarbeiter

  1. Der Kunde erteilt dem Anbieter die allgemeine Genehmigung (Art. 28 Abs. 2 Satz 1 Alt. 2 DSGVO), die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen. Als Unterauftragsverarbeitung gelten nur Leistungen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nebenleistungen wie Telekommunikation, Wartung und Benutzerservice, Reinigung oder Prüfer, bei denen der Zugriff auf personenbezogene Daten nicht Kern der Leistung ist, sind keine Unterauftragsverarbeitung; der Anbieter stellt auch insoweit angemessene Vertraulichkeits- und Kontrollvereinbarungen sicher.
  2. Der Anbieter informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 14 Tage vor deren Wirksamwerden in Textform an die im Kundenkonto hinterlegte E-Mail-Adresse und aktualisiert Anlage 3 unter [URL AVV]. Der Kunde kann der Änderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Kommt keine einvernehmliche Lösung zustande, kann jede Partei den Hauptvertrag mit Wirkung zum Zeitpunkt des geplanten Einsatzes des Unterauftragsverarbeiters kündigen. Widerspricht der Kunde nicht fristgerecht, gilt die Änderung als genehmigt.
  3. Der Anbieter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt, die dem Anbieter nach diesem Vertrag obliegen (Art. 28 Abs. 4 DSGVO), und vergewissert sich vor dem Einsatz von den Garantien des Unterauftragsverarbeiters. Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Anbieter gegenüber dem Kunden für die Einhaltung der Pflichten des Unterauftragsverarbeiters.
  4. Der Kunde ist darauf hingewiesen, dass die Unterauftragsverarbeiter ihrerseits weitere Unterauftragsverarbeiter (z. B. Cloud-Infrastrukturanbieter) einsetzen, die in den in Anlage 3 verlinkten Listen der Unterauftragsverarbeiter aufgeführt sind.

§ 7 Verarbeitung in Drittländern

  1. Die Verarbeitung findet grundsätzlich in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums statt (Hosting und Datenbank: Amsterdam, Niederlande; E-Mail-Verkehr: EU-Region von Resend; KI-Verarbeitung: [EU-Datenresidenz von OpenAI / Verarbeitung durch OpenAI in den USA mit Zero Data Retention]).
  2. Soweit Unterauftragsverarbeiter mit Sitz in den USA Zugriff auf personenbezogene Daten haben können (Support, Betrieb, Sicherheitsmaßnahmen) oder eine Verarbeitung in den USA erfolgt, stützt der Anbieter die Übermittlung auf (a) den Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework (Beschluss (EU) 2023/1795), soweit der Unterauftragsverarbeiter zertifiziert ist, und (b) die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 3: Auftragsverarbeiter an Unterauftragsverarbeiter), die Bestandteil der jeweiligen Verträge mit den Unterauftragsverarbeitern sind, ergänzt um die in Anlage 2 genannten Maßnahmen.
  3. Der Anbieter beobachtet die Rechtsentwicklung zum EU-U.S. Data Privacy Framework (anhängiges Rechtsmittel C-703/25 P) und wird bei Wegfall des Angemessenheitsbeschlusses ausschließlich auf die Standardvertragsklauseln und ergänzende Maßnahmen abstellen; er informiert den Kunden über wesentliche Änderungen.
  4. Der Kunde ermächtigt den Anbieter, die Standardvertragsklauseln mit den Unterauftragsverarbeitern in seinem Namen und im eigenen Namen abzuschließen, soweit dies für die Wirksamkeit der Übermittlung erforderlich ist. Auf Anfrage stellt der Anbieter dem Kunden Kopien der maßgeblichen Vertragsteile zur Verfügung; Geschäftsgeheimnisse dürfen geschwärzt werden.

§ 8 Kontrollrechte des Kunden

  1. Der Kunde hat das Recht, die Einhaltung dieses Vertrags und der technischen und organisatorischen Maßnahmen zu überprüfen. Der Anbieter stellt hierzu zunächst geeignete Nachweise zur Verfügung, insbesondere die aktuelle Beschreibung der Maßnahmen (Anlage 2), Ergebnisse von Selbstprüfungen, Berichte oder Zertifizierungen der Unterauftragsverarbeiter (z. B. SOC 2, ISO 27001) und Antworten auf einen Fragenkatalog des Kunden.
  2. Genügen die Nachweise nach Absatz 1 im Einzelfall nicht, kann der Kunde nach Abstimmung mit dem Anbieter mit einer Ankündigungsfrist von mindestens 30 Tagen während der üblichen Geschäftszeiten eine Überprüfung selbst oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb mit dem Anbieter stehenden Prüfer durchführen, höchstens einmal je Kalenderjahr, es sei denn, es liegt ein konkreter Anlass (z. B. eine Datenschutzverletzung oder eine behördliche Anordnung) vor. Die Überprüfung beschränkt sich auf die den Kunden betreffende Verarbeitung; Geschäftsgeheimnisse und Daten anderer Kunden bleiben geschützt. Da die Infrastruktur bei Unterauftragsverarbeitern betrieben wird, beschränken sich Vor-Ort-Kontrollen auf die Räumlichkeiten und Systeme des Anbieters; hinsichtlich der Unterauftragsverarbeiter stellt der Anbieter deren Prüfberichte zur Verfügung.
  3. Der Anbieter kann für die Unterstützung anlassloser Überprüfungen, die über die Nachweise nach Absatz 1 hinausgehen, eine angemessene Vergütung nach Aufwand verlangen.
  4. Der Anbieter unterstützt den Kunden bei Kontrollen durch Aufsichtsbehörden, soweit sie die Verarbeitung nach diesem Vertrag betreffen, und informiert den Kunden über Kontrollhandlungen einer Aufsichtsbehörde beim Anbieter, soweit sie die Daten des Kunden betreffen.

§ 9 Verletzungen des Schutzes personenbezogener Daten, Mitwirkung

Ergänzend zu § 4 Abs. 5 gilt: Der Anbieter dokumentiert alle Verletzungen des Schutzes personenbezogener Daten einschließlich der Fakten, Auswirkungen und Abhilfemaßnahmen und stellt die Dokumentation dem Kunden auf Anfrage zur Verfügung. Der Anbieter darf gegenüber Betroffenen und Aufsichtsbehörden keine Erklärungen zu Datenschutzverletzungen des Kunden abgeben, sofern er nicht gesetzlich dazu verpflichtet oder vom Kunden angewiesen ist.

§ 10 Löschung und Rückgabe der Daten

  1. Während der Vertragslaufzeit löscht der Anbieter die Daten nach den in Anlage 1 beschriebenen Fristen automatisch (PDF-Inhalte unmittelbar nach erfolgreicher Übermittlung, spätestens [ANZAHL, z. B. 24] Stunden nach Zustellbestätigung; Belege im Prüfkorb spätestens 30 Tage nach Eingang). Der Kunde kann einzelne Vorgänge oder das gesamte Protokoll im Kundenkonto jederzeit löschen.
  2. Nach Beendigung des Hauptvertrags kann der Kunde das Protokoll bis zum Wirksamwerden der Beendigung im Kundenkonto exportieren (CSV/JSON). Der Anbieter löscht sämtliche personenbezogenen Daten des Kunden, einschließlich Kopien bei Unterauftragsverarbeitern, spätestens [ANZAHL, z. B. 90] Tage nach Beendigung, es sei denn, eine Aufbewahrung ist nach dem Recht der Union oder eines Mitgliedstaats vorgeschrieben (z. B. Rechnungsdaten des Anbieters nach § 147 AO, § 257 HGB); insoweit beschränkt sich die Verarbeitung auf die Aufbewahrung. Sicherungskopien werden nach Ablauf der regulären Sicherungszyklen (höchstens [ANZAHL, z. B. 30] Tage) überschrieben.
  3. Auf Wunsch des Kunden bestätigt der Anbieter die Löschung in Textform.

§ 11 Haftung

  1. Die Haftung der Parteien gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO.
  2. Im Innenverhältnis haften die Parteien einander nach den Haftungsregelungen des Hauptvertrags, soweit nicht zwingendes Recht entgegensteht. Bußgelder nach Art. 83 DSGVO trägt die Partei, gegen die sie verhängt wurden; ein Regress ist ausgeschlossen, soweit das Bußgeld auf einem Verschulden der anderen Partei beruht, das diese zu vertreten hat.

§ 12 Laufzeit, Kündigung

  1. Dieser Vertrag tritt mit Abschluss in Kraft und gilt für die Dauer des Hauptvertrags. Eine isolierte Kündigung dieses Vertrags ist ausgeschlossen; die Kündigung des Hauptvertrags umfasst diesen Vertrag.
  2. Das Recht zur außerordentlichen Kündigung des Hauptvertrags aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt insbesondere vor, wenn eine Partei schwerwiegend oder wiederholt gegen diesen Vertrag verstößt und den Verstoß nicht innerhalb einer angemessenen Frist nach Abmahnung abstellt.

§ 13 Schlussbestimmungen

  1. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrags vor. Bei Widersprüchen zwischen diesem Vertrag und den mit Unterauftragsverarbeitern vereinbarten Standardvertragsklauseln gehen diese vor.
  2. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Der Anbieter darf diesen Vertrag und seine Anlagen ändern, soweit dies aufgrund von Änderungen der Rechtslage, der Rechtsprechung, behördlicher Vorgaben oder des Dienstes erforderlich ist; § 14 der AGB gilt entsprechend. Änderungen der Anlage 3 richten sich nach § 6.
  3. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist [ORT DES SITZES DES ANBIETERS], soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
  4. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; anstelle der unwirksamen Bestimmung gelten die gesetzlichen Vorschriften, insbesondere Art. 28 DSGVO.

Anlage 1 – Gegenstand, Art und Zweck der Verarbeitung, Datenarten, Betroffene, Löschfristen

1. Gegenstand und Zweck

Automatisierte Weiterleitung von Rechnungsbelegen des Kunden an die Buchhaltung (DATEV Unternehmen online) über den Dienst Belegkurier gemäß Hauptvertrag. Zwecke: Empfang und Zwischenspeicherung weitergeleiteter E-Mails und PDF-Anhänge; Klassifikation und Merkmalsextraktion mittels KI; Duplikaterkennung; Versand an DATEV-Upload-Mail-Adressen; Bereitstellung eines Prüfkorbs; Protokollierung; Kontoverwaltung und Support.

2. Art der Verarbeitung

Erheben (Empfang per E-Mail), Speichern, Auslesen, Übermitteln an Unterauftragsverarbeiter (KI-Prüfung), Abgleichen (Hash, Rechnungsnummer), Übermitteln an vom Kunden bestimmte Empfänger (DATEV-Upload-Mail), Anzeigen im Kundenkonto, Löschen.

3. Art der personenbezogenen Daten

4. Kategorien betroffener Personen

5. Löschfristen

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen berücksichtigen, dass der Anbieter keine eigenen Rechenzentren betreibt, sondern Infrastruktur der in Anlage 3 genannten Unterauftragsverarbeiter nutzt. Physische Sicherheitsmaßnahmen werden durch diese gewährleistet und sind in deren Prüfberichten (SOC 2 Typ II bzw. ISO 27001) dokumentiert.

1. Vertraulichkeit

2. Integrität

3. Verfügbarkeit und Belastbarkeit

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Anlage 3 – Unterauftragsverarbeiter und sonstige Empfänger

1. Genehmigte Unterauftragsverarbeiter

2. Empfänger auf Weisung des Kunden (keine Unterauftragsverarbeiter des Anbieters)

3. Eigenständig Verantwortliche im Umfeld des Dienstes (keine Auftragsverarbeitung)

Anlage 4 – Weisungsberechtigte Personen und Kontaktstellen