Auftragsverarbeitungsvertrag

Anlage 1 zu den Allgemeinen Geschäftsbedingungen · Stand September 2026

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV") ist Bestandteil des Nutzungsvertrags über BelegWächter zwischen der Grammfilm GmbH, Rudolfplatz 3, 50674 Köln („Auftragsverarbeiter") und dem Nutzer („Verantwortlicher"), soweit der Nutzer Unternehmer im Sinne des § 14 BGB ist und über den Dienst personenbezogene Daten Dritter verarbeitet — insbesondere Daten von Personen, die auf hochgeladenen Belegen und Kontoauszügen erscheinen. Er konkretisiert die Pflichten der Parteien aus Art. 28 DSGVO und gilt ohne gesonderte Anforderung.

Für Verbraucher im Sinne des § 13 BGB ist dieser AVV gegenstandslos: Sie verarbeiten keine Daten Dritter zu beruflichen Zwecken und sind daher keine Verantwortlichen im Sinne der Verordnung.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten, die in vom Verantwortlichen hochgeladenen Dokumenten (Belege, Kontoauszüge) enthalten sind, zum Zweck der automatisierten Extraktion (Betrag, Datum, Währung, Buchungstexte), des Abgleichs von Belegen mit Kontobewegungen und des Exports der Ergebnisse.

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Der AVV endet mit dessen Beendigung, spätestens mit Löschung des Nutzerkontos.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

(1) Art der Verarbeitung: Speicherung, Auslesen (einschließlich KI-gestützter Texterkennung), Strukturierung, Abgleich, Anzeige, Export, Löschung.

(2) Datenarten: in Geschäftsdokumenten enthaltene Angaben, insbesondere Namen, Firmenbezeichnungen, IBAN/Kontodaten, Zahlungsbeträge, Verwendungszwecke, Buchungsdaten, Händler- und Lieferantenangaben.

(3) Kategorien betroffener Personen: Geschäftspartner, Lieferanten, Kunden, Zahlungsempfänger und -pflichtige des Verantwortlichen sowie sonstige in den Dokumenten genannte Personen.

(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Vertragsgegenstand; der Verantwortliche lädt solche Daten nicht gezielt hoch.

§ 3 Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der Funktionen des Dienstes (Hochladen, Extraktion starten, Abgleichen, Exportieren, Löschen) gilt als Weisung.

(2) Ist der Auftragsverarbeiter durch Unionsrecht oder mitgliedstaatliches Recht zu einer abweichenden Verarbeitung verpflichtet, teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(3) Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 4 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft die in Anlage A beschriebenen Maßnahmen. Sie dürfen an den Stand der Technik angepasst werden, sofern das Schutzniveau nicht unterschritten wird.

(2) Kernmaßnahmen: Transportverschlüsselung (TLS); mandantengetrennte Speicherung mit Row-Level-Security und nutzerisolierten Speicherpfaden; tokenbasierte Authentifizierung; serverseitige Zugriffskontrolle auf privilegierte Schlüssel; Härtung der Dokumentenverarbeitung; Lösch- und Anonymisierungsautomatiken; Protokollierung sicherheitsrelevanter Ereignisse.

§ 6 Weitere Auftragsverarbeiter (Subunternehmer)

(1) Der Verantwortliche erteilt die allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO zum Einsatz der in Anlage B genannten Subunternehmer.

(2) Über beabsichtigte Änderungen informiert der Auftragsverarbeiter in Textform (z. B. E-Mail) mit einer Frist von 14 Tagen. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine zumutbare Alternative möglich, steht beiden Parteien ein Sonderkündigungsrecht zu.

(3) Mit jedem Subunternehmer bestehen Verträge nach Art. 28 Abs. 4 DSGVO; Übermittlungen in Drittländer erfolgen nur auf Grundlage von EU-Standardvertragsklauseln oder eines Angemessenheitsbeschlusses.

§ 7 Unterstützungspflichten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO), insbesondere durch die Selbstbedienungsfunktionen des Dienstes: Einsicht, Berichtigung durch erneutes Hochladen, Löschung einzelner Dateien, aller Arbeitsdaten oder des gesamten Kontos.

(2) Er unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die die Auftragsdaten betrifft, unverzüglich nach Kenntniserlangung (Art. 33 Abs. 2 DSGVO) an die im Konto hinterlegte E-Mail-Adresse und stellt die zur Meldung nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen bereit, soweit verfügbar.

§ 9 Löschung und Rückgabe

(1) Der Verantwortliche kann sämtliche Auftragsdaten jederzeit selbst löschen (einzelne Dateien, „Alle Daten löschen", Konto-Löschung). Ergebnisse können vor der Löschung über die Export-Funktionen (Excel, ZIP) gesichert werden.

(2) Nach Beendigung des Vertrags — spätestens mit der Konto-Löschung — löscht der Auftragsverarbeiter alle Auftragsdaten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Technische Protokolle werden gemäß den in der Datenschutzerklärung genannten Fristen gelöscht bzw. anonymisiert (Fehlerprotokolle höchstens 90 Tage; Nutzungsstatistik: Dateibezug 90 Tage, Personenbezug 12 Monate).

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), insbesondere dieses Dokument, die Übersicht der technischen und organisatorischen Maßnahmen sowie die Compliance-Nachweise der Subunternehmer.

(2) Kontrollen vor Ort sind nach vorheriger Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten möglich, höchstens einmal pro Kalenderjahr, soweit nicht ein konkreter Anlass häufigere Kontrollen erfordert. Der Auftragsverarbeiter kann stattdessen auf aussagekräftige aktuelle Nachweise verweisen, soweit diese ausreichen.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen die Haftungsregelung der AGB.

(2) Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV in Bezug auf die Verarbeitung personenbezogener Daten im Auftrag vor.

(3) Es gilt deutsches Recht; Gerichtsstand gemäß AGB.

Anlage A — Technische und organisatorische Maßnahmen

Zutritts-, Zugangs- und Zugriffskontrolle: tokenbasierte Authentifizierung; Row-Level-Security in der Datenbank; nutzerisolierte Speicherpfade; privilegierte Schlüssel ausschließlich serverseitig; Verwaltungszugänge gesondert abgesichert.
Übertragungskontrolle: Transportverschlüsselung (TLS), Sicherheits-Header und Content-Security-Policy.
Eingabekontrolle: Protokollierung sicherheitsrelevanter Ereignisse und Fehler.
Auftragskontrolle: Verträge nach Art. 28 mit allen Subunternehmern.
Verfügbarkeitskontrolle: verwalteter Cloud-Betrieb, atomare Auftragsverarbeitung, Überwachung.
Trennungskontrolle: mandantengetrennte Datenhaltung, von der Datenbank selbst durchgesetzt.
Löschkonzept: Selbstlöschung durch den Verantwortlichen, vollständige Konto-Löschung, automatische Aufbewahrungsfristen.

Anlage B — Subunternehmer

Stand September 2026. Ort der Verarbeitung und Garantie sind gegen die jeweiligen Verträge geprüft.

Der Zahlungsdienstleister Paddle ist kein Subunternehmer: Er tritt als Merchant of Record im eigenen Namen auf und ist für die Zahlungsabwicklung eigenständig Verantwortlicher.