Vertrag zur Auftragsverarbeitung

Dieser Vertrag nach Art. 28 Abs. 3 DSGVO gilt zwischen dem Nutzer als Verantwortlichem (nachfolgend „Auftraggeber“) und

Niklas Wolter
Weidenweg 4
58239 Schwerte
E-Mail: kontakt@belegis.app

als Auftragsverarbeiter (nachfolgend „Auftragnehmer“). Er wird Vertragsbestandteil, sobald der Auftraggeber Belegis für personenbezogene Daten Dritter nutzt (§ 4 Abs. 2 der AGB), und geht den AGB für die weisungsgebundene Verarbeitung vor. Ergänzend gilt die Datenschutzerklärung.

Wer diesen Vertrag braucht: Wer ausschließlich eigene Belege ohne personenbezogene Daten Dritter verarbeitet, benötigt ihn nicht. Er greift, sobald Belege Angaben zu Beschäftigten, Kunden, Lieferanten oder sonstigen Dritten enthalten.

1. Gegenstand, Dauer und Weisungsbindung

(1) Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftraggeber im Rahmen der Nutzung von Belegis hochlädt oder erfassen lässt. Die Verarbeitung erfolgt ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum, soweit in Ziffer 6 nichts anderes bestimmt ist.

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Der Vertrag endet automatisch mit dessen Beendigung.

(3) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten die Einstellungen und Funktionen, die der Auftraggeber im Dienst nutzt, sowie dieser Vertrag. Weitergehende Weisungen sind in Textform an die oben genannte Adresse zu richten. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf deren Ausführung aussetzen. Ist er nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet, unterrichtet er den Auftraggeber vorab, sofern das Recht dies nicht verbietet.

2. Art, Zweck, Datenarten und betroffene Personen

Art und Zweck: Speicherung von Belegdateien, automatisierte Auslesung der Belegangaben, Strukturierung, Prüfung und Korrektur durch den Auftraggeber sowie Erzeugung von Exporten (DATEV, CSV, PDF).

Datenarten:

• Inhalte hochgeladener Belege: Name und Anschrift von Rechnungsstellern und Rechnungsempfängern, Beträge, Steuerangaben, Leistungsdaten, Belegnummern, Zahlungsangaben, freie Notizen
• daraus automatisiert ausgelesene und vom Auftraggeber korrigierte Angaben
• Datei-Metadaten: Dateiname, Dateityp, Dateigröße, kryptografische Prüfsumme
• Protokolldaten zu Änderungen an Belegen einschließlich IP-Adresse und Browserkennung des auslösenden Zugriffs; diese beiden technischen Zugriffsspuren werden nach 30 Tagen automatisch entfernt

Kategorien betroffener Personen: Kunden, Lieferanten und Dienstleister des Auftraggebers, deren Beschäftigte und Ansprechpartner, Beschäftigte des Auftraggebers sowie sonstige auf Belegen genannte Personen.

Besondere Kategorien: Die Verarbeitung von Daten nach Art. 9 DSGVO ist nicht Gegenstand dieses Vertrags. Lädt der Auftraggeber solche Daten dennoch hoch, geschieht dies auf seine Verantwortung; die erforderlichen zusätzlichen Schutzmaßnahmen sind vorab abzustimmen.

3. Vertraulichkeit und Personal

Der Auftragnehmer wird derzeit ausschließlich von einer natürlichen Person betrieben. Diese ist gesetzlich zur Vertraulichkeit verpflichtet. Werden künftig weitere Personen eingesetzt, werden sie vor Aufnahme der Tätigkeit auf die Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorgaben vertraut gemacht. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

4. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer trifft die folgenden Maßnahmen. Sie beschreiben den tatsächlichen Stand und dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

• Vertraulichkeit und Zugriffskontrolle: Belegdateien liegen in einem nicht öffentlichen Speicher. Der Datenbankzugriff ist zeilenbasiert auf das jeweilige Konto beschränkt, sodass ein Konto technisch keine Daten eines anderen lesen kann. Der Abruf einzelner Dateien erfolgt über signierte Links mit einer Gültigkeit von maximal zehn Minuten.
• Zugangskontrolle: Anmeldung mit E-Mail und Passwort, Passwörter ausschließlich als kryptografischer Hash, Mindestanforder­ ungen an die Passwortstärke, optionale Zwei-Faktor-Authentifizierung, automatischer Ablauf angemeldeter Sitzungen nach 30 Minuten Inaktivität.
• Übertragungskontrolle: Transportverschlüsselung auf allen Verbindungen, HTTP Strict Transport Security, restriktive Content-Security-Policy, Verschlüsselung der Daten im Ruhezustand durch die eingesetzten Infrastruktur-Anbieter.
• Eingabe- und Integritätskontrolle: Änderungen an Belegen werden mit Zeitpunkt, Aktion, Nutzerkennung, IP-Adresse und Browserkennung protokolliert. Als Maßnahme der Datenminimierung werden IP-Adresse und Browserkennung nach 30 Tagen automatisch entfernt, während der fachliche Änderungsverlauf erhalten bleibt. Für jede Originaldatei wird beim Upload eine SHA-256-Prüfsumme gebildet und beim Export erneut überprüft. Originaldateien können nach dem Upload technisch nicht überschrieben werden.
• Verfügbarkeit: Betrieb auf verwalteter Infrastruktur mit Sicherungen und Wiederherstellungsverfahren der jeweiligen Anbieter. Der Auftraggeber kann seine Daten jederzeit selbst exportieren.
• Trennungskontrolle: Mandantentrennung auf Datenbank- und Speicherebene über die kontobezogenen Zugriffsregeln; getrennte Umgebungen für Entwicklung und Produktion.
• Belastbarkeit und Missbrauchsabwehr: Begrenzung der Verarbeitungsmengen pro Konto und Zeitraum, serverseitige Prüfung hochgeladener Dateien auf zulässige Dateitypen, Schutz gegen automatisierte Massenanfragen.

5. Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt seine allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter:

• Vercel Inc., USA – Hosting und Auslieferung der Anwendung. Serverseitige Ausführung auf die Region Frankfurt am Main festgelegt.
• Supabase, Inc., USA – Datenbank, Authentifizierung und Dateispeicher. Produktionsprojekt in der Region Frankfurt (eu-central-1).
• Microsoft (Azure AI Document Intelligence) – automatisierte Auslesung der Belege. Endpunkt in der Region Germany West Central. Die Daten werden nicht zum Training der Modelle verwendet; die Löschung des Analyseergebnisses wird unmittelbar nach der Auswertung angefordert.
• Resend, Inc., USA – Versand und Empfang von Transaktions- und Benachrichtigungs-E-Mails.
• Stripe Payments Europe, Limited, Irland – Zahlungsabwicklung. Wird nur eingesetzt, sobald kostenpflichtige Tarife gebucht werden.

(2) Der Auftragnehmer informiert den Auftraggeber vor der Beauftragung eines weiteren oder dem Wechsel eines bestehenden Unterauftragsverarbeiters in Textform oder durch Aktualisierung dieser Seite. Der Auftraggeber kann der Änderung innerhalb von vier Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, kann jede Partei den Nutzungsvertrag kündigen, wenn die Verarbeitung ohne den betroffenen Unterauftragsverarbeiter nicht zumutbar fortgeführt werden kann.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das den Anforderungen dieses Vertrags entspricht, und haftet für deren Verhalten wie für eigenes.

6. Drittlandübermittlung

Die Verarbeitung findet in der Europäischen Union statt. Zugriffe aus Drittländern durch Support oder technische Unterauftragnehmer der genannten Anbieter lassen sich nicht vollständig ausschließen. Solche Übermittlungen erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, einer Zertifizierung nach dem EU-US Data Privacy Framework oder der EU-Standardvertragsklauseln nebst erforderlicher ergänzender Maßnahmen. Kopien der Garantien können über die oben genannte Adresse angefragt werden, soweit keine Geschäftsgeheimnisse oder Rechte Dritter entgegenstehen.

7. Unterstützung des Auftraggebers

(1) Wendet sich eine betroffene Person mit einem Antrag auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch unmittelbar an den Auftragnehmer, leitet er diesen unverzüglich an den Auftraggeber weiter und beantwortet ihn nicht selbst.

(2) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung der Betroffenenrechte nach den Art. 12 bis 23 DSGVO sowie der Pflichten aus den Art. 32 bis 36 DSGVO. Die Funktionen des Dienstes, insbesondere Export und Löschung einzelner Belege sowie des gesamten Kontos, ermöglichen dem Auftraggeber die eigenständige Erfüllung dieser Pflichten.

(3) Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, unterrichtet er den Auftraggeber unverzüglich und stellt die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit, soweit sie ihm vorliegen.

8. Löschung und Rückgabe

Der Auftraggeber kann seine Daten jederzeit selbst exportieren und löschen. IP-Adresse und Browserkennung in Änderungsprotokollen werden unabhängig davon nach 30 Tagen automatisch entfernt; der fachliche Änderungsverlauf bleibt bis zur Löschung des zugehörigen Belegs oder Kontos erhalten. Nach Beendigung des Nutzungsvertrags werden die verarbeiteten Daten gelöscht; systembedingte Sicherungskopien der Infrastruktur-Anbieter entfallen im regulären Überschreibungszyklus. Eine gesetzliche Pflicht zur weiteren Aufbewahrung bleibt unberührt; die betroffenen Daten werden in diesem Fall in ihrer Verarbeitung eingeschränkt.

9. Nachweise und Kontrollen

(1) Der Auftragnehmer weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, vorrangig durch Auskunft in Textform sowie durch Vorlage vorhandener Nachweise der eingesetzten Unterauftragsverarbeiter.

(2) Genügen diese Nachweise nicht, kann der Auftraggeber nach rechtzeitiger Ankündigung und während der üblichen Geschäftszeiten eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht mit dem Auftragnehmer im Wettbewerb stehenden Prüfer durchführen lassen. Die Überprüfung darf den Betrieb nicht unangemessen beeinträchtigen; Kosten trägt der Auftraggeber, sofern die Prüfung keinen erheblichen Verstoß aufdeckt.

10. Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen der AGB.

(2) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag für die weisungsgebundene Verarbeitung personenbezogener Daten vor.

(3) Änderungen dieses Vertrags werden dem Auftraggeber rechtzeitig in Textform oder durch Aktualisierung dieser Seite mitgeteilt. Es gilt das Recht der Bundesrepublik Deutschland.