Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

Zwischen

[Firmierung des Kunden], [Straße, PLZ Ort], vertreten durch [Name], nachfolgend „Verantwortlicher“

und

Béla Nicolai Abel, Einzelunternehmen, Nedlitzer Straße 16a, 14469 Potsdam, Deutschland, nachfolgend „Auftragsverarbeiter“

Gemeinsam die „Parteien“. Die Parteien schließen folgenden Vertrag:

§ 1 Gegenstand, Dauer und Rangfolge

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung des Dienstes „Abel Belege“, erreichbar unter belege.abel-automation.de.

(2) Die Einzelheiten der Verarbeitung ergeben sich aus § 2 und aus Anlage 1.

(3) Dieser Vertrag beginnt mit dem Beginn des Nutzungsverhältnisses und endet mit dessen Beendigung. Die Pflichten zur Löschung nach § 9 und zur Vertraulichkeit nach § 4 bestehen darüber hinaus fort.

(4) Hinsichtlich der Auftragsverarbeitung geht dieser Vertrag den Allgemeinen Geschäftsbedingungen für den Dienst vor (dort § 10 Abs. 2). Im Übrigen gelten die Allgemeinen Geschäftsbedingungen unberührt fort.

§ 2 Art, Umfang, Zweck und Datenkategorien

Art und Zweck der Verarbeitung

Der Auftragsverarbeiter liest Belege aus einem vom Verantwortlichen angebundenen E-Mail-Postfach oder aus hochgeladenen Dateien ein, erkennt mit Unterstützung künstlicher Intelligenz die wesentlichen Belegdaten, stellt die Ergebnisse in einer Übersicht bereit, legt die Belegdateien in einer vom Verantwortlichen bereitgestellten Cloud-Ablage ab und ermöglicht den Export der erkannten Daten. Zweck ist die Vorbereitung der Belegerfassung für den Verantwortlichen.

Kategorien betroffener Personen

• Mitarbeitende und Ansprechpersonen des Verantwortlichen, die den Dienst nutzen
• Geschäftspartner des Verantwortlichen, deren Daten in eingehenden Belegen stehen, insbesondere Lieferanten und Dienstleister
• Kunden des Verantwortlichen, soweit deren Daten in Ausgangsrechnungen stehen
• Weitere Personen, deren Daten der Verantwortliche in den Dienst einbringt, bei Kanzleien und vergleichbaren Dienstleistern insbesondere deren Mandanten oder Auftraggeber

Kategorien personenbezogener Daten

• Bestandsdaten: Firmenname, Rechtsform, Umsatzsteuer-Identifikationsnummer, Anschrift, Name und E-Mail-Adresse der nutzenden Person
• Inhalte der eingelesenen Belege: Name und Anschrift des Ausstellers, Belegdatum, Belegnummer, Betrag, Steuerangaben, Zahlungsangaben, Leistungsbeschreibung sowie alle weiteren Angaben, die der Beleg enthält
• Verkehrsdaten der eingelesenen Nachrichten: Absender, Betreff, Nachrichtenkennung, Zeitpunkt, Angaben zu Anhängen
• Zugangsdaten zu den vom Verantwortlichen angebundenen Systemen, verschlüsselt gespeichert
• Nutzungs- und Protokolldaten des Dienstes

Besondere Kategorien: Der Dienst ist nicht auf Daten nach Art. 9 DSGVO ausgelegt. Der Verantwortliche bringt solche Daten nicht gezielt ein. Enthält ein Beleg sie beiläufig, etwa die Rechnung einer Arztpraxis, werden sie wie alle übrigen Belegdaten behandelt.

§ 3 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag samt Anlagen und die Nutzung des Dienstes durch den Verantwortlichen bilden die Weisung im Sinne von Art. 28 Abs. 3 Satz 2 Buchstabe a DSGVO.

(2) Weisungen darüber hinaus erteilt der Verantwortliche in Textform. Mündliche Weisungen bestätigt er unverzüglich in Textform.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, teilt er dies unverzüglich mit. Er ist berechtigt, die Ausführung auszusetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

(4) Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

§ 4 Vertraulichkeit und berufliche Schweigepflicht

(1) Der Auftragsverarbeiter verarbeitet die Daten vertraulich. Er setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 Buchstabe b DSGVO).

(2) Der Auftragsverarbeiter führt sein Unternehmen als Einzelunternehmen. Setzt er weitere Personen ein, verpflichtet er sie vor dem ersten Zugang in Textform zur Vertraulichkeit und belehrt sie über die Folgen einer Verletzung. Die Verpflichtungen hält er nachweisbar vor.

(3) Unterliegt der Verantwortliche einer beruflichen Schweigepflicht, insbesondere als Steuerberater, Rechtsanwalt oder Wirtschaftsprüfer, so teilt er dies vor der ersten Nutzung in Textform mit. Der Auftragsverarbeiter verpflichtet in diesem Fall jede von ihm eingesetzte Person vor deren erstem Zugang in Textform zur Verschwiegenheit und belehrt sie über die Strafbarkeit einer Verletzung nach § 203 des Strafgesetzbuchs; die Erklärungen hält er nachweisbar vor und legt sie auf Verlangen vor. Gegenüber den in Anlage 2 genannten Unterauftragsverarbeitern schließt er die Vereinbarungen über Vertraulichkeit und Datenschutz ab, die diese anbieten, und legt deren Reichweite auf Verlangen offen. Eine darüber hinausgehende, gesonderte Verpflichtung dieser Unternehmen nach § 203 des Strafgesetzbuchs mit Belehrung über die Strafbarkeit sagt der Auftragsverarbeiter nicht zu; sie ist für ein Einzelunternehmen von diesen Anbietern derzeit nicht zu erlangen. Der Verantwortliche entscheidet in Kenntnis dieses Umstands, ob er den Dienst für Daten einsetzt, die der Schweigepflicht unterliegen. Der Verantwortliche stellt seinerseits sicher, dass er zur Offenbarung der Daten an den Auftragsverarbeiter als mitwirkende Person befugt ist.

(4) Die Vertraulichkeitspflicht besteht nach Beendigung dieses Vertrags fort.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Der bei Vertragsschluss umgesetzte Stand ist in Anlage 1 beschrieben.

(2) Die Maßnahmen unterliegen der technischen Weiterentwicklung. Der Auftragsverarbeiter darf sie ändern, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt er in Textform mit.

(3) Der Verantwortliche hat sich vor Beginn der Verarbeitung von der Angemessenheit der Maßnahmen überzeugt und überzeugt sich davon während der Vertragslaufzeit regelmäßig (§ 10).

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit die allgemeine schriftliche Genehmigung zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen. Er bleibt dem Verantwortlichen gegenüber für deren Verhalten verantwortlich.

(3) Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzuziehen oder auszutauschen, teilt er dies dem Verantwortlichen mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von vier Wochen ab Zugang aus einem wichtigen, datenschutzbezogenen Grund widersprechen. Widerspricht er, so kann der Auftragsverarbeiter den Vertrag mit einer Frist von einem Monat kündigen, wenn ihm die Leistungserbringung ohne den beabsichtigten Wechsel nicht zumutbar ist. Bereits gezahlte Entgelte für den nicht genutzten Zeitraum erstattet er anteilig.

(4) Leistungen, die der Auftragsverarbeiter als reine Nebenleistung bezieht und bei denen ein Zugriff auf personenbezogene Daten des Verantwortlichen nicht der Zweck, sondern allenfalls nicht auszuschließen ist, gelten nicht als Unterauftragsverarbeitung. Der Auftragsverarbeiter trifft auch dort angemessene Vorkehrungen.

(5) Weisungen des Verantwortlichen, die eine Leistung eines Unterauftragsverarbeiters betreffen, gibt der Auftragsverarbeiter in Textform und ohne inhaltliche Änderung an diesen weiter, soweit die Weisung von diesem ausgeführt werden muss. Er unterrichtet den Verantwortlichen auf Verlangen darüber, ob und wie eine Weisung weitergegeben wurde. Kann ein Unterauftragsverarbeiter eine Weisung nicht ausführen, teilt der Auftragsverarbeiter dies unverzüglich mit. Eine unmittelbare Weisungsbefugnis des Verantwortlichen gegenüber den Unterauftragsverarbeitern begründet dieser Vertrag nicht.

§ 7 Unterstützung bei Rechten betroffener Personen

(1) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, so leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen (Art. 28 Abs. 3 Satz 2 Buchstabe e DSGVO). Soweit die Oberfläche des Dienstes dem Verantwortlichen die entsprechenden Funktionen bereitstellt, erfüllt der Auftragsverarbeiter seine Unterstützungspflicht bereits dadurch.

(3) Für Unterstützung, die über die im Dienst bereitgestellten Funktionen hinausgeht und die nicht auf einem Umstand beruht, den der Auftragsverarbeiter zu vertreten hat, kann er eine angemessene Vergütung verlangen. Er weist darauf vorher hin.

§ 8 Unterstützung bei Sicherheit, Meldepflichten und Folgenabschätzung

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens innerhalb von 24 Stunden, in Textform. Die Meldung enthält die ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO. Weitere Angaben reicht er nach, sobald sie vorliegen.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde, bei der Benachrichtigung betroffener Personen und bei einer Datenschutz-Folgenabschätzung, jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Art. 28 Abs. 3 Satz 2 Buchstabe f DSGVO).

(3) Die Pflicht zur Meldung an die Aufsichtsbehörde und an betroffene Personen trifft den Verantwortlichen. Der Auftragsverarbeiter nimmt sie nicht für ihn wahr.

§ 9 Löschung und Rückgabe

(1) Nach Beendigung der Verarbeitung löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen oder gibt sie zurück, nach Wahl des Verantwortlichen (Art. 28 Abs. 3 Satz 2 Buchstabe g DSGVO). Trifft der Verantwortliche binnen 30 Tagen nach Vertragsende keine Wahl, wird gelöscht.

(2) Der Verantwortliche kann die Löschung jederzeit selbst auslösen. Der Dienst stellt dafür eine Funktion bereit, die alle mandantenbezogenen Daten entfernt.

(3) Die Belegdateien selbst liegen dauerhaft in der Cloud-Ablage des Verantwortlichen und nicht beim Auftragsverarbeiter. Beim Auftragsverarbeiter liegt eine Belegdatei nur vorübergehend bis zur Ablage; Belege, die zur Prüfung durch den Verantwortlichen anstehen, längstens 14 Tage. Eine Löschung nach Absatz 1 erstreckt sich nicht auf die Cloud-Ablage des Verantwortlichen, über die dieser selbst verfügt.

(4) Importierte Kontobewegungen (etwa aus einem Kontoauszug im Format CAMT.053) werden abweichend von Absatz 1 automatisch 24 Monate nach ihrer Wertstellung gelöscht. Sie sind kein Buchungsbeleg, sondern Abgleichsmaterial zwischen einem Beleg und einer Kontobewegung; das Original bleibt beim Kreditinstitut des Verantwortlichen über die gesetzliche Aufbewahrungsfrist hinweg abrufbar. Ein Beleg, der einer gelöschten Kontobewegung zugeordnet war, bleibt von dieser Löschung unberührt; es entfällt nur die Zuordnung.

(5) Sicherungskopien werden mit dem üblichen Sicherungslauf überschrieben. Die Vorhaltezeit ist in Anlage 1 genannt. Bis dahin bleiben die Daten in den Sicherungen gesperrt und werden nicht mehr verarbeitet.

(6) Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt. Daten, die er danach aufbewahren muss, sperrt er für jede andere Verarbeitung.

(7) Die Löschung weist der Auftragsverarbeiter auf Verlangen in Textform nach.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind (Art. 28 Abs. 3 Satz 2 Buchstabe h DSGVO).

(2) Der Nachweis erfolgt in erster Linie durch eine Selbstauskunft zu den Maßnahmen aus Anlage 1 und durch Vorlage der Verträge mit den Unterauftragsverarbeitern in dem für den Datenschutz erheblichen Umfang. Liegen Zertifizierungen oder Prüfberichte vor, genügen auch diese.

(3) Genügen diese Nachweise im Einzelfall nicht, kann der Verantwortliche eine Prüfung vor Ort verlangen. Sie wird mit einer Frist von vier Wochen angekündigt, findet während der üblichen Geschäftszeiten statt und darf den Betrieb nicht unangemessen beeinträchtigen. Häufigkeit: einmal je Kalenderjahr, darüber hinaus nur bei einem konkreten Anlass. Prüfer, die Wettbewerber des Auftragsverarbeiters sind, kann er ablehnen.

(4) Prüfungen, die über Absatz 2 hinausgehen und nicht auf einem Umstand beruhen, den der Auftragsverarbeiter zu vertreten hat, vergütet der Verantwortliche nach Aufwand.

§ 11 Haftung

(1) Für die Haftung der Parteien untereinander gilt Art. 82 DSGVO.

(2) Im Übrigen gelten die Haftungsregelungen der Allgemeinen Geschäftsbedingungen für den Dienst. Sie beschränken die Haftung nach Absatz 1 nicht.

§ 12 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

(2) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

(3) Es gilt deutsches Recht. Gerichtsstand ist Potsdam, soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Ort, Datum, Unterschrift Verantwortlicher

Ort, Datum, Unterschrift Auftragsverarbeiter

Anlage 1: Technische und organisatorische Maßnahmen

Stand: 31. August 2026. Beschrieben ist der tatsächlich umgesetzte Zustand.

1. Vertraulichkeit

• Zutritt: Die Verarbeitung findet in einem Rechenzentrum der Hetzner Online GmbH in Falkenstein statt. Für den Zutrittsschutz gelten die Maßnahmen des Betreibers; ein eigener Serverraum besteht nicht.
• Zugang: Der Zugang zum Dienst setzt Benutzername und Passwort voraus. Passwörter werden ausschließlich als bcrypt-Hash gespeichert, nie im Klartext. Ein zweiter Faktor über eine Authenticator-App steht zur Verfügung und wird empfohlen. Nach einer Passwortänderung werden alle bestehenden Sitzungen ungültig.
• Zugriff: Die Trennung der Mandanten ist in der Datenbank erzwungen (Row-Level-Security mit FORCE, die Anwendungsrolle hat keine Superuser-Rechte). Eine Abfrage ohne gesetzten Mandantenbezug liefert keine Zeilen, statt versehentlich alle zu liefern.
• Trennung: Jeder Mandant erhält eine eigene Kennung; sämtliche Belegdaten sind daran gebunden. Entwicklungs- und Produktivsystem sind getrennt.
• Verschlüsselung: Die Verbindung zum Dienst ist durchgängig mit TLS verschlüsselt, HTTP-Aufrufe werden umgeleitet (HSTS). Zugangsdaten zu angebundenen Systemen, also Postfach-Passwörter und Cloud-Token, sind feldweise mit AES-256-GCM verschlüsselt gespeichert. Die Datenbank als Ganzes ist im Ruhezustand nicht verschlüsselt.

2. Integrität

• Eingabekontrolle: Ereignisse zu einem Beleg werden je Mandant protokolliert. Verwaltungshandlungen werden gesondert protokolliert.
• Weitergabekontrolle: Belegdateien werden ausschließlich in die vom Verantwortlichen selbst angebundene Cloud-Ablage geschrieben. Ein Versand an Dritte findet nicht statt.
• Kein selbsttätiges Buchen: Die vom Dienst erzeugten Angaben sind Vorschläge. Sie werden erst wirksam, wenn der Verantwortliche sie prüft und freigibt.

3. Verfügbarkeit und Belastbarkeit

• Sicherung: Die Datenbank wird täglich gesichert. Die Sicherungen werden 14 Tage vorgehalten und danach überschrieben.
• Überwachung: Der Einlesevorgang wird überwacht. Bleibt er aus oder scheitert er, wird eine Störungsmeldung ausgelöst.
• Begrenzung: Die Zahl der Anmeldeversuche, Registrierungen und Kündigungsanfragen je Herkunft ist begrenzt.

4. Datenminimierung

• Der Vorfilter, der entscheidet, ob eine Nachricht überhaupt geprüft wird, liest ausschließlich Absender, Betreff und die Art der Anhänge. Der Nachrichtentext wird dabei nicht gelesen.
• Nachrichten, die als nicht belegrelevant erkannt werden, werden mit Nachrichtenkennung und Grund vermerkt, nicht mit ihrem Inhalt.
• Benachrichtigungen per E-Mail enthalten Zählwerte und Störungshinweise, keine Beleginhalte, keine Beträge und keine Namen von Geschäftspartnern.
• Eine Belegdatei wird nach der Ablage in der Cloud-Ablage des Verantwortlichen beim Auftragsverarbeiter gelöscht. Belege, die zur Prüfung anstehen, werden längstens 14 Tage vorgehalten.

5. Verarbeitung nach Weisung und Wiederherstellbarkeit

• Die Verarbeitung durch künstliche Intelligenz findet ausschließlich innerhalb der Europäischen Union statt. Die Anwendung verweigert den Dienst, wenn eine Region außerhalb der Union eingestellt ist; das ist im Programmablauf erzwungen und nicht nur eingestellt.
• Der Verantwortliche kann sein Konto und alle zugehörigen Daten selbst löschen.
• Änderungen an der Anwendung werden vor der Übernahme in den Betrieb automatisiert geprüft.

Anlage 2: Unterauftragsverarbeiter

Stand: 31. August 2026.

Nicht als Unterauftragsverarbeiter geführt

• Die Cloud-Ablage, in die die Belege gelegt werden, stellt der Verantwortliche selbst bereit und verantwortet sie selbst. Sie ist kein Unterauftragsverarbeiter des Auftragsverarbeiters.
• Die Zahlungsabwicklung läuft über Stripe. Stripe verarbeitet dabei Zahlungs- und Kontaktdaten des Verantwortlichen als eigenständig Verantwortlicher, nicht im Auftrag. Auf die Belegdaten hat Stripe keinen Zugriff.

Berufliche Schweigepflicht: Für Verantwortliche, die einer beruflichen Schweigepflicht unterliegen, ist § 4 Abs. 3 maßgeblich. Von den hier genannten Stellen können Hetzner Online GmbH und Amazon Web Services EMEA SARL technisch auf Belegdaten zugreifen. Die Brevo GmbH kann es nicht; sie erhält ausschließlich E-Mail-Adressen und Zählwerte und wirkt insoweit nicht an der Verarbeitung geschützter Geheimnisse mit.

Drittlandsübermittlung: Eine Übermittlung in ein Drittland findet nicht statt. Alle genannten Stellen verarbeiten innerhalb der Europäischen Union. Amazon Web Services EMEA SARL ist ein Unternehmen mit Sitz in der Union; eingestellt ist die Region Frankfurt am Main. Zur Lastverteilung kann eine einzelne Anfrage auch in einem anderen Rechenzentrum innerhalb der Union bearbeitet werden.