Auftragsverarbeitungsvertrag (AVV)

Dieser AVV erfasst Verarbeitungsvorgänge, bei denen der Anbieter personenbezogene Daten im Auftrag des Kunden innerhalb von BuchhaltIQ verarbeitet. Nicht erfasst sind Verarbeitungen des Anbieters in eigener Verantwortlichkeit, insbesondere für Vertragsverwaltung, Abrechnung, Support, Sicherheit und Missbrauchsprävention sowie die Bildung und Nutzung pseudonymisierter Qualitätsdaten nach Abschnitt 5 Nr. 4.

1. Vertragsparteien

1.1 Verantwortlicher

Der Kunde als Nutzer von BuchhaltIQ.

1.2 Auftragsverarbeiter

Born - Theoretical Software
Inhaber: Ardit Thaqi
Robert-Bosch-Straße 4
88427 Bad Schussenried
Deutschland
E-Mail: info@buchhaltiq.de
USt-IdNr.: DE456907344

2. Gegenstand und Dauer

1. Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung von BuchhaltIQ.

2. Die Dauer dieses AVV richtet sich nach der Laufzeit des zugrunde liegenden SaaS-Vertrags. Er beginnt mit Zustandekommen des SaaS-Vertrags. Soweit nach Beendigung des SaaS-Vertrags Daten im Auftrag des Verantwortlichen in einem Export-, Sperr- oder Archivstatus vorgehalten werden, gilt dieser AVV für diese Verarbeitung bis zur vollständigen Löschung oder Rückgabe fort.

3. Art und Zweck der Verarbeitung

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur technischen Erbringung der vertraglich geschuldeten Leistungen innerhalb von BuchhaltIQ.

2. Die Verarbeitung kann insbesondere folgende Tätigkeiten umfassen:

• Hosting und Speicherung von Kundendaten,
• Benutzer- und Rechteverwaltung,
• Erfassung, Speicherung, Verarbeitung und Auswertung von Belegen, Buchungen und Transaktionen,
• Erstellung von Exporten, Berichten und technischen Auswertungen,
• optional KI-gestützte Analyse- und Kategorisierungsvorgänge (Zuordnung von Banktransaktionen zu Buchungskategorien als Vorschlag, Erkennung von Beleg- und Rechnungsangaben); die Vorschläge werden dem Verantwortlichen in BuchhaltIQ als KI-Vorschlag mit Konfidenzwert angezeigt und können von ihm jederzeit geändert werden,
• optional Anbindung externer Systeme und Schnittstellen auf Weisung des Verantwortlichen.

4. Kategorien personenbezogener Daten und betroffener Personen

1. Kategorien personenbezogener Daten können insbesondere sein:

• Stammdaten,
• Kontakt- und Kommunikationsdaten,
• Buchungs-, Beleg- und Transaktionsdaten,
• Nutzungs-, Log- und Metadaten,
• Daten aus optionalen Integrationen.

Je nach Nutzung können auch besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO betroffen sein, etwa Gesundheitsdaten oder Angaben zur Religionszugehörigkeit, soweit der Verantwortliche solche Daten in BuchhaltIQ verarbeitet, insbesondere im Zusammenhang mit Lohn-, Personal- oder Abwesenheitsdaten.

2. Betroffene Personen können insbesondere sein:

• Mitarbeiter des Verantwortlichen,
• Ansprechpartner, Kunden und Lieferanten des Verantwortlichen,
• sonstige Personen, deren Daten der Verantwortliche in BuchhaltIQ verarbeitet.

5. Weisungen des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen – auch in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation –, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

2. Der SaaS-Vertrag, die produktbezogene Nutzung durch den Verantwortlichen sowie die innerhalb von BuchhaltIQ ausgelösten Funktionen gelten als dokumentierte Weisungen im Sinne dieses AVV.

3. Einzelweisungen außerhalb des vertraglich vereinbarten Leistungsumfangs kann der Auftragsverarbeiter als Zusatzleistung abrechnen.

4. Der Verantwortliche gestattet dem Auftragsverarbeiter, zur Qualitätssicherung und Verbesserung der KI-gestützten Kategorisierung aus den Ergebnissen der Kategorisierung und aus Korrekturen des Verantwortlichen pseudonymisierte (Art. 4 Nr. 5 DSGVO) und aggregierte Qualitätsdaten zu bilden und für diesen Zweck zu nutzen. Bildung und Nutzung dieser Qualitätsdaten erfolgen nicht auf Weisung des Verantwortlichen und sind nicht Gegenstand der Auftragsverarbeitung nach diesem AVV; der Auftragsverarbeiter handelt insoweit als eigenständiger Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO (Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; Einzelheiten in Abschnitt 7 der Datenschutzhinweise). Die nachfolgenden Festlegungen gelten als eigenständige vertragliche Zusagen des Auftragsverarbeiters gegenüber dem Verantwortlichen. Diese Qualitätsdaten enthalten ausschließlich einen kryptografischen Hashwert des Händlernamens ohne Klartext, Schlagworte aus einer festen betriebswirtschaftlichen Wortliste, eine Betragsklasse, die Anzahl der Umsätze, den Geschäftstyp des Betriebs, den Kalendermonat sowie die vorgeschlagene und die vom Verantwortlichen gewählte Kategorie mit Konfidenzwert und steuerlicher Einordnung. Sie enthalten keine Nutzer-, Konto- oder Transaktionskennungen, keine Verwendungszwecke im Wortlaut und keine Belegbilder. Die Klarnamen der Händler, über die sich ein Hashwert zuordnen ließe, werden getrennt von den Qualitätsdaten verwahrt; eine Rückführung auf einzelne betroffene Personen ist nicht vorgesehen, und der Auftragsverarbeiter trifft Maßnahmen, die eine solche Rückführung verhindern. Die Qualitätsdaten werden nicht zum Training von Sprachmodellen Dritter verwendet und nicht an Dritte weitergegeben. Der Verantwortliche kann diese Gestattung jederzeit in Textform widerrufen; die Bildung neuer Qualitätsdaten aus seinen Daten wird dann eingestellt.

6. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

1. personenbezogene Daten vertraulich zu behandeln und nur befugten Personen zugänglich zu machen, 2. sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind, 3. geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu treffen, 4. den Verantwortlichen bei Betroffenenanfragen, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen angemessen zu unterstützen, 5. den Verantwortlichen unverzüglich zu informieren, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt, 6. jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten aufzuerlegen, die in diesem AVV festgelegt sind, wobei der Unterauftragsverarbeiter insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten muss, und gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten durch den Unterauftragsverarbeiter einzustehen (Art. 28 Abs. 4 DSGVO), 7. ein Verzeichnis der eingesetzten Unterauftragsverarbeiter zu führen und die Angaben in Abschnitt 8 aktuell zu halten.

7. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen. Hierzu gehören insbesondere:

• Zugriffsschutz durch Authentifizierung und Rollen-/Berechtigungskonzepte,
• verschlüsselte Datenübertragung,
• Schutz vor unbefugtem Zugriff auf Systeme und Daten,
• Protokollierung sicherheitsrelevanter Ereignisse,
• Backup- und Wiederherstellungsprozesse,
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit von Sicherheitsmaßnahmen.

Die Maßnahmen dürfen weiterentwickelt und angepasst werden, solange das insgesamt geschuldete Schutzniveau nicht unterschritten wird.

8. Unterauftragsverarbeiter

1. Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern.

2. Der Verantwortliche genehmigt allgemein den Einsatz der folgenden Unterauftragsverarbeiter. Die Liste ist abschließend; sie wird bei Änderungen nach Nr. 4 aktualisiert. Ob ein Dienst im Einzelfall zum Einsatz kommt, hängt von den vom Verantwortlichen genutzten Funktionen ab:

2a. Verarbeitungsorte, Übermittlungen und Garantien:

• Google Cloud Platform (Google Cloud EMEA Limited): Anwendungsserver (Cloud Run), Datenbank (Firestore; Sicherungskopien: tägliche Sicherung mit 14 Tagen Aufbewahrung, Wiederherstellungspunkte 7 Tage), Dateispeicher (Cloud Storage), deren Sicherungskopien und die Betriebsprotokolle der Anwendung (Cloud Logging, 30 Tage) werden ausschließlich in der EU in der Region Frankfurt (europe-west3) verarbeitet. Firebase Authentication (Anmeldedaten: E-Mail-Adresse, Nutzerkennung, Anmeldezeitpunkte, Geräte-Token) betreibt Google nach eigener Angabe in Rechenzentren in den USA (Google LLC). Bis zur Umstellung am 20./21.09.2026 lagen Datenbank und Dateispeicher in Rechenzentren von Google in den USA und die Betriebsprotokolle in einem Protokollspeicher von Google ohne regionale Festlegung; die dortigen Kopien und Protokolleinträge werden nur noch lesend vorgehalten und nach einer Übergangsfrist von 30 Tagen gelöscht. Grundlage für diese Verarbeitungen in den USA — für Firebase Authentication ebenso wie für die Übergangsdaten — sind die EU-Standardvertragsklauseln im Cloud Data Processing Addendum von Google sowie die Zertifizierung von Google LLC unter dem EU-US Data Privacy Framework.
• Firebase Crashlytics und Firebase Cloud Messaging (Google Ireland Limited): Crashlytics (Absturz- und Fehlerberichte: Gerätemodell, Betriebssystem- und App-Version, Zeitpunkt, Fehlermeldung samt Aufrufpfad sowie die Nutzerkennung des angemeldeten Nutzers; eine Fehlermeldung kann im Einzelfall Angaben aus dem Vorgang enthalten, bei dem der Fehler aufgetreten ist, etwa den Namen eines Zahlungspartners oder einer hochgeladenen Datei; Aufbewahrung bei Google 90 Tage) und Cloud Messaging (Push-Zustelltoken zur Zustellung von Benachrichtigungen) verarbeitet Google an Standorten weltweit, insbesondere in den USA (Google LLC), auf Grundlage der EU-Standardvertragsklauseln in den Firebase Data Processing and Security Terms sowie der Zertifizierung von Google LLC unter dem EU-US Data Privacy Framework.
• Google Cloud Vertex AI: Verarbeitung in der Region europe-west1 (Belgien). Die eingesetzten Sprachmodelle des Herstellers Anthropic werden ausschließlich auf Google-Infrastruktur betrieben; Anthropic erhält keinen Zugriff auf Daten und ist kein Unterauftragsverarbeiter. Eingaben und Ausgaben werden bei Google nicht gespeichert und nicht zum Training von Modellen verwendet; Google hat den Auftragsverarbeiter am 19.09.2026 von der Protokollierung von Eingaben zur Missbrauchskontrolle befreit (Zero Data Retention). Bei der automatischen Kategorisierung von Transaktionen im Hintergrund (Sammelverarbeitung je Zahlungspartner) übermittelt der Auftragsverarbeiter an das Sprachmodell nur den Namen des Zahlungspartners, bis zu drei Verwendungszwecke, Beträge und die Anzahl der Umsätze; in den Verwendungszwecken entfernt oder maskiert er zuvor Kontonummern, IBAN, E-Mail-Adressen, Telefonnummern, Datumsangaben und längere Ziffernfolgen; Nutzerkennungen werden nicht übermittelt. Zahlungen an Finanzbehörden, Sozialversicherungsträger und Beschäftigte werden ohne Sprachmodell regelbasiert zugeordnet. Löst der Verantwortliche eine KI-Funktion selbst aus — die Kategorie-Hilfe zu einer einzelnen Transaktion, die Erkennung wiederkehrender Verträge oder die Belegerkennung für ein einzelnes Dokument oder für einen Prüflauf über die Belege eines Zeitraums —, werden die dafür erforderlichen Angaben unverändert übermittelt, bei der Belegerkennung das Belegbild oder die Rechnungsdatei mit allen darin enthaltenen Angaben.
• Twilio SendGrid: Verarbeitung in der EU und in den USA. Grundlage für die Übermittlung in die USA: EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag mit Twilio.
• Eine Kopie der jeweiligen Garantien stellt der Auftragsverarbeiter auf Anfrage in Textform bereit; das Cloud Data Processing Addendum von Google ist unter cloud.google.com/terms/data-processing-addendum abrufbar, die Firebase Data Processing and Security Terms unter firebase.google.com/terms/data-processing-terms und die Liste der unter dem EU-US Data Privacy Framework zertifizierten Unternehmen unter dataprivacyframework.gov.

3. Dienstleister für Website-Bereitstellung, Domainverwaltung, Kontaktformulare, Zahlungsabwicklung, Banken, DATEV oder andere vom Kunden angebundene Empfänger können je nach Verarbeitungsvorgang eigenständig Verantwortliche, gemeinsame Verantwortliche oder Auftragsverarbeiter sein. Ihre jeweilige Rolle ergibt sich aus dem konkreten Dienst, den Datenschutzhinweisen und den Bedingungen des jeweiligen Drittanbieters.

4. Über die Beauftragung neuer oder den Austausch bestehender Unterauftragsverarbeiter informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage vor Wirksamwerden in Textform an die im SaaS-Vertrag hinterlegte E-Mail-Adresse; die Mitteilung nennt Name und Sitz des Unterauftragsverarbeiters, Zweck, Verarbeitungsort und gegebenenfalls die Übermittlungsgrundlage. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Widerspricht der Verantwortliche, setzt der Auftragsverarbeiter den betreffenden Unterauftragsverarbeiter für dessen Daten nicht ein. Kann der Auftragsverarbeiter die Leistung ohne diesen Unterauftragsverarbeiter nicht zumutbar erbringen, teilt er dies dem Verantwortlichen unverzüglich in Textform mit. Kommt keine einvernehmliche Lösung zustande, kann jede Partei den SaaS-Vertrag innerhalb von 30 Tagen nach Zugang dieser Mitteilung ungeachtet einer Mindestlaufzeit in Textform außerordentlich kündigen, mit Wirkung zum Wirksamwerden der Änderung oder, wenn die Kündigung erst danach zugeht, mit Wirkung zum Zugang. Im Voraus gezahlte Entgelte für die Zeit nach dem Vertragsende werden anteilig erstattet; Abschnitt 12 bleibt unberührt.

5. Ein Wechsel des eingesetzten Sprachmodells oder ein Wechsel der Verarbeitungsregion innerhalb der EU beim selben Unterauftragsverarbeiter gilt nicht als Austausch des Unterauftragsverarbeiters, sofern die Verarbeitung weiterhin ausschließlich in der EU stattfindet, Eingaben und Ausgaben weiterhin nicht gespeichert werden und kein weiterer Dienstleister Zugriff auf Daten erhält. Der Auftragsverarbeiter dokumentiert solche Wechsel und aktualisiert die Angaben in Nr. 2 und 2a.

9. Drittstaatentransfers

1. Eine Verarbeitung in Drittstaaten erfolgt nur, soweit die gesetzlichen Voraussetzungen hierfür vorliegen.

2. Sofern Dienstleister außerhalb der EU oder des EWR eingesetzt werden oder ein Zugriff von dort nicht ausgeschlossen werden kann, erfolgt dies nur auf Grundlage eines Angemessenheitsbeschlusses, geeigneter Garantien oder einer sonstigen gesetzlichen Grundlage. Die derzeit bestehenden Übermittlungen in die USA und ihre Garantien sind in Abschnitt 8 Nr. 2a benannt; sie gelten mit Abschluss dieses AVV als vom Verantwortlichen dokumentiert angewiesen.

10. Unterstützung bei Betroffenenrechten und Datenschutzverletzungen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenrechten.

2. Erhält der Auftragsverarbeiter Anfragen betroffener Personen unmittelbar, wird er diese unverzüglich an den Verantwortlichen weiterleiten, sofern eine Zuordnung zum Verantwortlichen möglich ist.

3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten, die den Gegenstand dieses AVV betreffen.

11. Kontrollrechte

1. Der Verantwortliche ist berechtigt, die Einhaltung dieses AVV in angemessenem Umfang zu überprüfen.

2. Der Verantwortliche kündigt Vor-Ort-Prüfungen mit angemessener Frist, in der Regel mindestens 14 Kalendertage, an. Die Durchführung hat während üblicher Geschäftszeiten und unter Wahrung von Betriebs- und Geschäftsgeheimnissen sowie der Sicherheit anderer Kunden zu erfolgen.

3. Der Auftragsverarbeiter kann den Nachweis der Einhaltung datenschutzrechtlicher Anforderungen auch durch geeignete Unterlagen, Zertifikate, Auditberichte oder Selbstauskünfte führen.

12. Rückgabe, Löschung und Archivierung nach Vertragsende

1. Nach Beendigung des SaaS-Vertrags gibt der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen zurück oder löscht sie, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht und keine fortwirkende dokumentierte Weisung zur Archivierung vorliegt.

2. Soweit keine abweichende Weisung vorliegt, gilt als vereinbart, dass der Verantwortliche seine Daten innerhalb von 30 Tagen nach Vertragsende exportieren kann. Nach Ablauf dieses Exportzeitraums wird der produktive Zugriff beendet.

3. Buchungs-, Beleg-, Rechnungs-, Transaktions-, Lohn- und vergleichbare steuerlich oder handelsrechtlich relevante Daten können nach Ende des produktiven Zugriffs in einen gesperrten Archivstatus überführt werden, soweit dies zur Erfüllung gesetzlicher Aufbewahrungs-, Nachweis-, Prüfungs- oder Rechtsverteidigungspflichten erforderlich ist oder der Verantwortliche eine entsprechende Archivierung innerhalb von BuchhaltIQ nutzt. Eine Verarbeitung archivierter Daten erfolgt nur noch zu diesen Archiv-, Nachweis-, Prüfungs-, Sicherheits- oder Rechtsverteidigungszwecken.

4. Archivierte Daten werden spätestens nach Ablauf der jeweils einschlägigen Aufbewahrungsfrist gelöscht, soweit keine weitere gesetzliche Pflicht, behördliche Anordnung, laufende Prüfung oder Rechtsverteidigung eine längere Speicherung erfordert. Je nach Unterlagenart können gesetzliche Aufbewahrungsfristen von bis zu 10 Jahren gelten; für bestimmte Buchungsbelege gelten nach aktueller Rechtslage kürzere Fristen.

5. Sicherungskopien werden im Rahmen üblicher Backup-Zyklen überschrieben und spätestens innerhalb von 90 Tagen entfernt, sofern keine gesetzliche Pflicht oder ein Sicherheitsgrund eine längere Vorhaltung erfordert.

6. Von diesem AVV unberührt bleiben Daten, die der Auftragsverarbeiter in eigener Verantwortlichkeit verarbeitet, insbesondere Vertrags-, Rechnungs-, Zahlungs-, Support- und Sicherheitsdaten sowie Qualitätsdaten nach Abschnitt 5 Nr. 4.

13. Haftung

1. Für die Haftung gelten die gesetzlichen datenschutzrechtlichen Bestimmungen sowie die Haftungsregelungen des SaaS-Vertrags, soweit gesetzlich zulässig.

2. Zwingende Ansprüche aus der DSGVO bleiben unberührt.

14. Schlussbestimmungen

1. Bei Widersprüchen zwischen diesem AVV und dem SaaS-Vertrag gehen die Regelungen dieses AVV vor, soweit es um Auftragsverarbeitung geht.

2. Änderungen und Ergänzungen dieses AVV bedürfen der Textform, sofern keine strengere gesetzliche Form erforderlich ist.

3. Im Übrigen gelten die Bestimmungen des SaaS-Vertrags.

4. Änderungsvermerk: Fassung vom 21.09.2026. Gegenüber der Fassung vom 30.05.2026 wurden die Verarbeitungsorte nach dem Umzug von Datenbank, Dateispeicher und Betriebsprotokollen in die Region Frankfurt (20./21.09.2026) aktualisiert; die Firebase-Dienste Authentication (USA) sowie Crashlytics und Cloud Messaging (weltweit, insbesondere USA) mit Rechtsträger, verarbeiteten Angaben und Übermittlungsgrundlage benannt; die Angaben zu den Unterauftragsverarbeitern um Rechtsträger, Anschrift und Übermittlungsgrundlagen ergänzt; die KI-gestützten Funktionen und die dabei an das Sprachmodell übermittelten Angaben beschrieben (Abschnitt 3 Nr. 2, Abschnitt 8 Nr. 2a); geregelt, dass ein Wechsel des Sprachmodells oder der EU-Region beim selben Unterauftragsverarbeiter kein Austausch nach Abschnitt 8 Nr. 4 ist (Abschnitt 8 Nr. 5); die Bildung pseudonymisierter Qualitätsdaten in eigener Verantwortlichkeit des Auftragsverarbeiters mit jederzeitigem Widerrufsrecht des Verantwortlichen aufgenommen (Abschnitt 5 Nr. 4, Abschnitt 12 Nr. 6); sowie die Abschnitte 5, 6 und 8 an Art. 28 Abs. 3 und 4 DSGVO angepasst. Ein neuer Unterauftragsverarbeiter wird durch diese Fassung nicht beauftragt; die Mitteilung nach Abschnitt 8 Nr. 4 ist daher nicht ausgelöst.