Auftragsverarbeitungsvertrag

Präambel und Parteien

Dieser Auftragsverarbeitungsvertrag („AVV“) konkretisiert die datenschutzrechtlichen Pflichten aus der Nutzung von INVONIVO zwischen dem im Hauptvertrag bezeichneten Kunden als Verantwortlichem und der BAI Sol UG (haftungsbeschränkt), Hans-Holbein-Straße 42, 69190 Walldorf, Deutschland, als Auftragsverarbeiter. Er gilt, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

1. Gegenstand, Dauer und Zweck

Gegenstand der Verarbeitung ist die Bereitstellung der vertraglich gebuchten INVONIVO-Funktionen. Dazu zählen je nach Tarif insbesondere Empfang, Upload, Erkennung, Validierung, Erstellung, Verwaltung, Versand und Export von Rechnungen und Belegen sowie die dazugehörige Konten- und Nutzerverwaltung.

Die Verarbeitung beginnt mit der Bereitstellung des Dienstes und dauert grundsätzlich bis zur Beendigung des Hauptvertrags sowie dem Abschluss der vereinbarten Rückgabe- und Löschprozesse.

2. Art der Daten und betroffene Personen

Verarbeitet werden können insbesondere Stamm-, Kontakt-, Adress-, Identifikations-, Steuer-, Vertrags-, Leistungs-, Bank-, Zahlungs-, Rechnungs-, Beleg-, Kommunikations-, Nutzungs- und Protokolldaten.

Betroffen sein können Beschäftigte und Nutzer des Verantwortlichen, Kunden, Lieferanten, Dienstleister, Ansprechpartner, Rechnungsempfänger und -aussteller sowie weitere Personen, deren Daten in übermittelten Dokumenten enthalten sind.

3. Weisungen und Verantwortlichkeit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zu einer anderen Verarbeitung besteht. Konfigurationen und die vertragsgemäße Nutzung der Software gelten als Weisungen. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, die Erfüllung der Informationspflichten und die Wahrung der Rechte betroffener Personen verantwortlich.

4. Vertraulichkeit und Personal

Der Auftragsverarbeiter setzt nur Personen ein, die auf Vertraulichkeit verpflichtet und hinsichtlich der relevanten Datenschutz- und Sicherheitsanforderungen unterwiesen wurden. Zugriffsrechte werden auf das erforderliche Maß beschränkt.

5. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft Maßnahmen nach Art. 32 DSGVO, die dem Risiko angemessen sind, und entwickelt sie entsprechend dem Stand der Technik weiter. Dazu gehören insbesondere:

• Zugangs-, Zugriffs- und Berechtigungskontrollen einschließlich rollenbasierter Vergabe,
• Mandantentrennung und aufgabenbezogene Beschränkung administrativer Zugriffe,
• verschlüsselte Übertragung und geschützte Verwaltung von Zugangsdaten und Geheimnissen,
• Protokollierungs-, Überwachungs- und Verfahren zur Behandlung von Sicherheitsereignissen,
• Sicherungs-, Wiederherstellungs- und Verfügbarkeitsverfahren nach dem jeweils gültigen Betriebskonzept,
• Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen.

Eine detaillierte TOM-Anlage mit den produktiv nachweisbaren Maßnahmen ist vor Vertragsfreigabe beizufügen.

6. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung angemessen bei Anfragen betroffener Personen, Datenschutz-Folgenabschätzungen, Konsultationen von Aufsichtsbehörden sowie bei der Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO. Anfragen betroffener Personen werden ohne eigene inhaltliche Entscheidung an den Verantwortlichen weitergeleitet.

7. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Er stellt die verfügbaren Informationen bereit, die der Verantwortliche zur Bewertung und Erfüllung seiner gesetzlichen Melde- und Benachrichtigungspflichten benötigt, und unterstützt bei Abhilfe- und Dokumentationsmaßnahmen.

8. Unterauftragnehmer

Der Verantwortliche erteilt die allgemeine Genehmigung, die nachfolgend benannten Unterauftragnehmer einzusetzen.

Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen unverzüglich, nachdem er selbst davon Kenntnis erlangt hat. Das gilt auch für Änderungen bei den weiteren Unterauftragnehmern der hier genannten Unternehmen. Der Verantwortliche kann binnen sieben Tagen nach Zugang der Mitteilung aus wichtigem datenschutzrechtlichem Grund widersprechen.

Stripe Payments Europe, Limited rechnet ausschließlich die Tarife und Zusatzleistungen des Verantwortlichen gegenüber dem Auftragsverarbeiter ab. Stripe ist kein Unterauftragnehmer dieses AVV.

Vom Verantwortlichen angebundene E-Mail-Postfächer (etwa Gmail, Microsoft), Buchhaltungs- oder Steuerberater-Systeme sind keine Unterauftragnehmer. Über das angebundene Postfach versendet der Auftragsverarbeiter auf Weisung des Verantwortlichen auch Mahnungen mit Rechnungs-PDF. Der Einsatz dieser Systeme liegt in der Verantwortung des Verantwortlichen.

9. Drittlandübermittlungen

Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums findet in folgenden Fällen statt oder ist möglich:

1. bei der Anmeldung (Firebase Authentication, USA),
2. bei Auslieferung und Schutz der Web-App (Firebase Hosting, App Check, reCAPTCHA; weltweit),
3. bei der KI-gestützten Belegerkennung durch Mistral AI SAS.

Für den eingesetzten Dienst sagt Mistral keinen Verarbeitungsort zu. Nach der Unterauftragnehmerliste von Mistral liegt die Rechenleistung im EWR. Weitere Unterauftragnehmer von Mistral können Daten auch in Drittländern verarbeiten.

Für Übermittlungen an Google LLC gilt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, ergänzend sind Standardvertragsklauseln vereinbart. Mistral übermittelt nur in Länder mit Angemessenheitsbeschluss oder auf Grundlage von Standardvertragsklauseln. Weitere Drittlandübermittlungen erfolgen nur auf dokumentierte Weisung oder unter den Voraussetzungen der Art. 44 ff. DSGVO. Kopien der Garantien stellt der Auftragsverarbeiter auf Anfrage bereit.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung. Kontrollen werden mit angemessener Vorankündigung, unter Wahrung von Betriebs- und Geschäftsgeheimnissen und ohne unverhältnismäßige Beeinträchtigung des Dienstes durchgeführt. Vor-Ort-Prüfungen kommen in Betracht, wenn geeignete Nachweise oder Remote-Prüfungen nicht ausreichen.

11. Rückgabe und Löschung

Nach Ende der Leistung löscht oder gibt der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Daten in Sicherungen werden im Rahmen des dokumentierten Sicherungs- und Löschzyklus gelöscht und bis dahin nicht für andere Zwecke verarbeitet.

Bei den Unterauftragnehmern gilt: Google entfernt Anmeldedaten innerhalb von 180 Tagen nach Löschung eines Kontos auch aus den Sicherungen. Mistral speichert Belege nach der Verarbeitung nicht.

Exportformate, Abruffristen und Sicherungszyklen: [mit Produkt- und Löschkonzept verbindlich festlegen]

12. Rangfolge und Schlussbestimmungen

Bei Widersprüchen gehen die datenschutzrechtlichen Bestimmungen dieses AVV den Regelungen des Hauptvertrags vor. Änderungen dieses AVV bedürfen mindestens der Textform, soweit nicht eine strengere Form gesetzlich vorgeschrieben ist.

Für den Abschluss ist eine dokumentierte Zuordnung zum jeweiligen Kundenvertrag beziehungsweise eine Signaturmöglichkeit vorzusehen.

13. Berufsgeheimnisträger

Übermittelt ein Berufsgeheimnisträger im Sinne von § 203 StGB Daten an INVONIVO, etwa über eine Anbindung wie KAI, gilt ergänzend die Anlage „Vereinbarung zur Verschwiegenheit“.

Anlage zum AVV: Vereinbarung zur Verschwiegenheit nach § 203 StGB, § 62a StBerG, § 43e BRAO und § 50a WPO

1. Geltungsbereich.

• Diese Vereinbarung gilt, soweit ein Berufsgeheimnisträger der BAI Sol UG (haftungsbeschränkt) („Dienstleister“) Zugang zu fremden Geheimnissen eröffnet, die ihm in seiner beruflichen Eigenschaft anvertraut oder sonst bekannt geworden sind. Berufsgeheimnisträger sind insbesondere Steuerberater, Rechtsanwälte und Wirtschaftsprüfer („Berufsgeheimnisträger“).
• Erfasst sind auch Einladungen, Dateien, Vorgänge und Verbindungen, die über eine Anbindung wie KAI übermittelt werden.
• Der Dienstleister wirkt dabei an der beruflichen Tätigkeit des Berufsgeheimnisträgers mit (§ 203 Abs. 3 Satz 2 StGB).

2. Pflicht zur Verschwiegenheit.

• Der Dienstleister ist verpflichtet, über alle fremden Geheimnisse Verschwiegenheit zu wahren, die ihm bei der Leistung bekannt werden.
• Er verpflichtet alle Personen, die er bei der Leistung einsetzt, in Textform zur Verschwiegenheit.
• Die Pflicht gilt über das Ende des Vertrags hinaus.

3. Belehrung über die strafrechtlichen Folgen.

Der Berufsgeheimnisträger belehrt den Dienstleister hiermit:

• Wer als mitwirkende Person ein fremdes Geheimnis unbefugt offenbart, wird nach § 203 Abs. 4 Satz 1 StGB mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.
• Ebenso wird bestraft, wer sich einer weiteren mitwirkenden Person bedient, die das Geheimnis unbefugt offenbart, und nicht dafür gesorgt hat, dass diese zur Geheimhaltung verpflichtet wurde (§ 203 Abs. 4 Satz 2 Nr. 2 StGB).
• Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, beträgt die Strafe bis zu zwei Jahre (§ 203 Abs. 6 StGB).
• Wer ein fremdes Geheimnis unbefugt verwertet, wird nach § 204 StGB mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.
• Der Dienstleister bestätigt, dass er diese Belehrung erhalten hat.

4. Kenntnisnahme nur, soweit erforderlich.

• Der Dienstleister verschafft sich Kenntnis von fremden Geheimnissen nur, soweit es zur Erfüllung des Vertrags erforderlich ist.
• Ein Zugriff auf Inhalte findet nur auf Weisung des Berufsgeheimnisträgers, zur Behebung von Störungen und Sicherheitsvorfällen oder aufgrund gesetzlicher Pflicht statt. Er wird protokolliert.

5. Unterauftragnehmer.

• Der Dienstleister setzt für Daten des Berufsgeheimnisträgers nur Unterauftragnehmer nach Ziffer 6 ein.
• Er sorgt dafür, dass sie zur Geheimhaltung verpflichtet sind (§ 203 Abs. 4 Satz 2 Nr. 2 StGB, § 62a Abs. 3 StBerG).
• Für Unterauftragnehmer mit Standardbedingungen (Google, OVH) ergibt sich die Geheimhaltungspflicht aus deren Vertraulichkeits- und Datenschutzbedingungen. Eine eigene Belehrung nach Ziffer 3 enthalten diese Bedingungen nicht. Darauf weist der Dienstleister hiermit hin.

6. Nur in der EU (§ 62a Abs. 4 StBerG, § 43e Abs. 4 BRAO).

• Fremde Geheimnisse, die der Berufsgeheimnisträger übermittelt, verarbeitet der Dienstleister nur in der Europäischen Union: in der Google-Cloud-Region europe-west1 (Belgien) und beim Mailversand über OVH SAS (Frankreich).
• Solche Daten werden weder in Firebase Authentication (USA) gespeichert noch an Mistral AI SAS übermittelt.
• Für einen Mandanten legt der Dienstleister kein Konto an. Der Mandant registriert sich selbst.

7. Anfragen von Behörden.

• Verlangt eine Behörde oder ein Gericht Zugang zu fremden Geheimnissen, unterrichtet der Dienstleister den Berufsgeheimnisträger unverzüglich, soweit das rechtlich zulässig ist.
• Er macht von seinen Rechten als mitwirkende Person Gebrauch (§ 53a StPO) und gibt Daten nur heraus, wenn er rechtlich dazu verpflichtet ist.

8. Form.

Diese Vereinbarung wird in Textform (§ 126b BGB) zusammen mit dem AVV geschlossen.