Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO · Stand: 01.11.2026
Betreiber:TexteFreigegeben=true freigeben.
zwischen dem Kunden (Inhaber des Workspaces, „Verantwortlicher“) und [Name bzw. Firma – in Betreiber:… eintragen], [Straße – in Betreiber:… eintragen], [PLZ und Ort – in Betreiber:… eintragen] („Auftragsverarbeiter“). Der Vertrag kommt mit der Registrierung zustande und gilt, solange der Workspace besteht.
1. Gegenstand, Art und Zweck
Der Auftragsverarbeiter ruft im Auftrag des Verantwortlichen dessen E-Mail-Postfächer lesend ab, nimmt hochgeladene Belege und Fotos entgegen, erkennt eingehende Rechnungen (auch per Texterkennung auf dem eigenen Server), speichert Dokumente und erkannte Daten, stellt sie zur Prüfung und zum Export bereit und versendet die vom Verantwortlichen eingestellten Berichte, Hinweise und Belegsendungen an die von ihm genannten Empfänger.
2. Art der Daten und betroffene Personen
| Betroffene | Daten |
|---|---|
| Absender von E-Mails (Lieferanten, Shops) | Name, E-Mail-Adresse, Betreff, Zeitpunkt; Anhänge mit Rechnungen |
| Personen in Rechnungen | Name, Anschrift, Ansprechpartner, USt-IdNr., Bankverbindung (IBAN), Beträge, Positionen |
| Benutzer des Workspaces | Name, E-Mail-Adresse, Rechte, Aktionen im Protokoll |
| Weitere Personen, soweit eingetragen | Empfänger des Belegversands (z. B. Steuerberater), Angaben in Notizen, Freigaben und Verträgen; Kontoauszüge beim Zahlungsabgleich nur im Arbeitsspeicher |
| Postfach-Zugänge | Server, Benutzername, Passwort bzw. Zugriffstoken von Microsoft/Google (verschlüsselt gespeichert) |
3. Weisungen und Pflichten
- Der Auftragsverarbeiter verarbeitet die Daten nur nach dokumentierter Weisung des Verantwortlichen; die Einstellungen in der App gelten als Weisung.
- Er verpflichtet alle Personen mit Zugriff zur Vertraulichkeit.
- Er informiert den Verantwortlichen unverzüglich, wenn er eine Weisung für rechtswidrig hält.
- Er unterstützt den Verantwortlichen bei Anfragen Betroffener, bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen.
- Er meldet Verletzungen des Schutzes der Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.
- Er greift auf Inhalte des Workspaces nur zu, soweit das für Betrieb, Fehlerbehebung oder Support nötig ist; die Verwaltungsoberfläche zeigt keine Rechnungen. Einzelne Angaben können sichtbar werden, wenn der Kunde sie einer Support-Meldung anhängt oder sie in einer technischen Fehlermeldung stehen (z. B. Betreff oder Dateiname).
4. Technische und organisatorische Maßnahmen
- Verschlüsselung: Übertragung ausschließlich per HTTPS/TLS; Postfach-Passwörter und Zugriffstoken verschlüsselt gespeichert; Sicherungen verschlüsselt, der Schlüssel zum Entschlüsseln liegt nicht auf dem Server.
- Trennung: Jeder Workspace ist logisch von allen anderen getrennt (Mandantenfilter bei jeder Datenbankabfrage).
- Zugang: Anmeldung mit Passwort (Mindestanforderungen), freiwillige Zwei-Faktor-Anmeldung, Sperre nach Fehlversuchen, Begrenzung der Anmeldeversuche je Verbindung, ein Gerät je Konto gleichzeitig, Rechte je Benutzer.
- Server: Anmeldung nur per SSH-Schlüssel, Firewall, automatische Sicherheitsupdates; Datenbank ohne Zugang von außen.
- Verfügbarkeit: tägliche Sicherung von Datenbank und Dokumenten, Aufbewahrung 14 Tage, Kopie auf einen zweiten Speicher in Deutschland.
- Nachvollziehbarkeit: Protokoll der Aktionen im Workspace (90 Tage) und der Zugriffe des Betreibers (24 Monate).
- Datensparsamkeit: Mails ohne möglichen Rechnungsanhang und ohne Rechnung im Text werden nicht gespeichert; von geprüften Mails ohne Rechnung bleiben nur Absender, Betreff, Zeitpunkt und Ergebnis. Das Postfach wird nicht verändert.
5. Unterauftragsverarbeiter
Der Verantwortliche ist mit folgenden Unterauftragsverarbeitern einverstanden; über Änderungen informiert der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Unterauftragsverarbeitern werden dieselben Datenschutzpflichten auferlegt.
| Unternehmen | Leistung | Ort |
|---|---|---|
| [Hosting-Anbieter – in Betreiber:… eintragen] | Server (Hosting, Datenbank, Dokumente) | [Standort des Servers – in Betreiber:… eintragen] |
| [Speicher für Sicherungen – in Betreiber:… eintragen] | Sicherungskopien | Deutschland |
| [Mail-Dienst – in Betreiber:… eintragen] | Versand von E-Mails | EU |
6. Ort der Verarbeitung
Die Daten werden ausschließlich in Deutschland bzw. der EU verarbeitet. Die Zahlungsabwicklung über Stripe betrifft nur die Abrechnung des Inhabers, nicht die Inhalte des Workspaces, und ist nicht Teil dieses Vertrags.
7. Löschung und Rückgabe
Der Verantwortliche kann jederzeit alle Rechnungen samt Originalbelegen exportieren. Nach Löschung des Workspaces werden alle Daten nach 30 Tagen (auf Wunsch sofort) gelöscht; aus den Sicherungen verschwinden sie spätestens 14 Tage später, aus den Server-Protokollen (z. B. Eckdaten von Rechnungen) spätestens 30 Tage nach dem Eintrag. Das Protokoll der Betreiber-Zugriffe (Workspace-Name, Adressen, keine Rechnungsinhalte) bleibt zum Nachweis 24 Monate erhalten.
8. Kontrollen
Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage nach, insbesondere durch Auskünfte und Unterlagen zu den Maßnahmen nach Nr. 4. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung zu den üblichen Geschäftszeiten möglich.