Vertrag zur Auftragsverarbeitung

Verantwortlicher ist der Nutzer von Rechnungslotse (im PDF mit den Stammdaten aus dem Konto ausgefüllt).

Auftragsverarbeiter ist AOS Digital, Fleischerstraße 30, 73054 Eislingen.

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen der Nutzung des Dienstes Rechnungslotse einstellt – insbesondere Stamm- und Kontaktdaten seiner Rechnungsempfänger sowie die Inhalte der erstellten Rechnungen.

Gegenstand sind ferner Rechnungen, die der Verantwortliche von seinen Lieferanten empfängt und über den Posteingang entgegennimmt oder hochlädt, samt der zugehörigen E-Mail, sowie die Daten weiterer Personen, die der Verantwortliche in sein Konto einlädt.

Die Dauer entspricht der Laufzeit des Nutzungsvertrags zuzüglich gesetzlicher Aufbewahrungsfristen.

Art: Erheben, Speichern, Strukturieren, Auslesen, Verwenden, Übermitteln, Löschen. Zweck: Erstellung, Validierung, Versand, Nachverfolgung und Archivierung von Rechnungen, Entgegennahme und Aufbewahrung empfangener Rechnungen, Erfassung erbrachter Leistungen und deren Abrechnung, Zuordnung von Zahlungseingängen sowie Verwaltung der Zugänge zum Konto des Verantwortlichen.

Betroffene: Rechnungsempfänger und deren Ansprechpartner, Lieferanten des Verantwortlichen und deren Ansprechpartner, Beschäftigte des Verantwortlichen, die den Dienst nutzen oder dazu eingeladen sind, sowie Beschäftigte der Steuerkanzlei, die der Verantwortliche zum Lesen einlädt oder die sein Konto in seinem Auftrag führt.

Kategorien: Stammdaten, Kontaktdaten, Vertrags- und Abrechnungsdaten, Steuermerkmale, Zahlungsdaten (IBAN, Verwendungszweck, Betrag und Tag des Geldeingangs), Inhalte empfangener Rechnungen samt Absender, Betreff und Umschlag der zugehörigen E-Mail, Leistungsdaten (Bezeichnung der Leistung, freier Vermerk dazu, Tag der Leistung, Menge und Einheit sowie Preis und Steuersatz als Momentaufnahme der Erfassung), E-Mail-Adresse, Name und Rolle eingeladener Personen sowie deren Anmeldungen mit Zeitpunkt, gekürzter Herkunftsadresse und grober Gerätebeschreibung.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand.

Der Auftragsverarbeiter verarbeitet ausschließlich auf dokumentierte Weisung. Die bestimmungsgemäße Nutzung des Dienstes gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.

Als Weisung gilt auch, was über die Schnittstelle eingestellt oder abgerufen wird – gleich ob mit einem vom Verantwortlichen erteilten Zugangsschlüssel oder über eine von ihm erteilte Verbindung, mit der er eine Anwendung (etwa einen KI-Assistenten) an sein Konto bindet. Für die Erteilung, den Umfang, die Sperrung und die Trennung dieser Schlüssel und Verbindungen und für die Systeme, denen er sie überlässt, ist der Verantwortliche zuständig.

Lädt der Verantwortliche seinen Steuerberater ein, sind dessen Abrufe und Exporte eine Nutzung im Sinne von Absatz 1. Über Erteilung und Beendigung dieses Zugangs entscheidet allein der Verantwortliche; der Auftragsverarbeiter nimmt von sich aus weder das eine noch das andere vor.

Führt eine Steuerkanzlei das Konto, gelten ihre Handlungen darin als Weisung des Verantwortlichen. Sie handelt für ihn und versichert dem Auftragsverarbeiter, dazu bevollmächtigt zu sein; ob diese Vollmacht besteht, prüft der Auftragsverarbeiter nicht. Mit der Übergabe an den Mandanten endet die Kanzleiführung: Von da an entscheidet der Mandant, ob der Zugang der Kanzlei bestehen bleibt, und kann ihn jederzeit beenden.

• Zugriff auf Rechnungen ausschließlich für das eigentümerbezogene Konto; Prüfung je Datensatz
• Nach außen ausschließlich zufällige UUIDs, keine fortlaufenden Kennungen
• Transportverschlüsselung mit TLS, HSTS erzwungen, strikte Content-Security-Policy
• Verschlüsselte Datenträger auf Serverseite
• SHA-256-Prüfsumme je ausgeliefertem Dokument; keine Änderung gestellter Rechnungen
• Eigene Datenbank mit eigenem Benutzer und minimalen Rechten, eigenes Container-Netz
• Keine Protokollierung personenbezogener Daten oder Rechnungsinhalte; auch nicht von Absender, Betreff oder Dateinamen empfangener Post
• Posteingang: Zuordnung ausschließlich über den zufälligen lokalen Teil der Empfängeradresse, nie über den Absender; Post an unbekannte Adressen wird verworfen, ohne abgelegt zu werden; übernommen werden nur XML- und PDF-Anhänge bis 15 MB
• Kontoauszüge werden allein im Arbeitsspeicher gelesen und nicht gespeichert; dauerhaft abgelegt wird nur die vom Verantwortlichen bestätigte Zuordnung mit Betrag und Zahltag
• Zugänge für Beschäftigte des Verantwortlichen nur über eine Einladung mit befristetem Einmalschlüssel; er gilt sieben Tage und verfällt beim Beitritt. Vergeben wird dabei entweder die Rolle Verwaltung oder die Rolle Tagesgeschäft, die von den Einstellungen des Kontos ausgeschlossen ist
• Zugangsschlüssel für fremde Systeme (Schnittstelle) legt ausschließlich ein Administrator des Kontos an: gebunden an einen Betrieb, beschränkt auf ausgewählte Rechte, jederzeit sperrbar und in der Datenbank allein als Prüfsumme vorhanden. Der Schlüssel wird einmal angezeigt und ist danach nicht wiederherstellbar; über die Schnittstelle ist keine Anmeldung mit einer Sitzung möglich
• Verbindungen zu Anwendungen des Verantwortlichen (OAuth 2.1, etwa ein KI-Assistent) erteilt jede an seinem Konto angemeldete Person nach einer Zustimmungsseite, auf der Herkunft der Anwendung und verlangte Rechte stehen; einem Steuerberater-Lesezugang wird das Recht zum Schreiben dabei entzogen. Eine Verbindung hängt an genau einem Betrieb, kennt nur die Rechte Prüfen, Lesen und Schreiben und erreicht die Stammdaten nicht. Das Zugriffstoken gilt eine Stunde, das Erneuerungstoken 90 Tage und wird bei jeder Erneuerung gegen ein neues getauscht; beide liegen in der Datenbank allein als Prüfsumme. Der Verantwortliche trennt eine Verbindung jederzeit im Konto unter Einstellungen, Bereich Schnittstelle – damit werden alle ihre Token sofort unwirksam
• Steuerberater-Zugang: Der Verantwortliche lädt sein Steuerbüro ein – höchstens zwei Zugänge, dieselbe Einladung mit Einmalschlüssel und Siebentagefrist, jederzeit beendbar. Dieser Zugang darf ausschließlich lesen und exportieren; jede schreibende Aktion wird auf dem Server abgewiesen und nicht nur in der Oberfläche ausgeblendet. Zu einem schreibenden Zugang lässt er sich nicht hochstufen – dafür ist er zu beenden und die Person neu einzuladen
• Kanzleizugang: Eine Steuerkanzlei kann Mandantenkonten anlegen und mit vollem Zugriff führen. Er entsteht nicht im Selbstbedienungsweg, sondern wird nach einer Vereinbarung in Textform eingerichtet; das Konto gehört durchgehend dem Mandanten. Die Kanzlei kann ein von ihr geführtes Konto an den Mandanten übergeben; danach entscheidet allein er über diesen Zugang und kann ihn jederzeit beenden. Beendete Zugänge bleiben als Eintrag erhalten, damit nachvollziehbar bleibt, wer wann Zugriff hatte
• Anmeldungen am Konto werden mit Zeitpunkt, gekürzter Herkunftsadresse und grober Gerätebeschreibung protokolliert, im Konto einsehbar und nach 90 Tagen gelöscht
• Tägliche Sicherung von Datenbank und Belegarchiv, jede Sicherung nach dem Erstellen geprüft und wöchentlich in eine Wegwerf-Datenbank zurückgespielt. Die Kopie, die das Haus verlässt, ist gegen einen öffentlichen Schlüssel verschlüsselt; der private Gegenpart liegt nicht auf dem Server

Allgemein genehmigt sind: IONOS SE (Hosting, SMTP-Versand, das Sammelpostfach, in dem empfangene Rechnungen bis zur Ablage liegen, sowie die Ablage der Sicherung außer Haus, Deutschland), Microsoft Ireland Operations Ltd. (OneDrive: Ablage der Sicherung außer Haus, EU/USA) und Stripe Payments Europe Ltd. (Abonnements, EU/USA).

Außer Haus liegt ausschließlich eine Kopie der nächtlichen Sicherung, die vor dem Verlassen des Servers gegen einen öffentlichen Schlüssel verschlüsselt wird (Verfahren age). Der private Schlüssel liegt weder auf dem Server noch bei diesen Dienstleistern; sie können die Inhalte deshalb nicht lesen. Zweck ist allein die Sicherung außer Haus, die Aufbewahrung dort beträgt 90 Tage.

Die Reichweitenmessung läuft auf eigener Infrastruktur und ist kein Unterauftrag. Wechsel werden mindestens vier Wochen vorher mitgeteilt; der Verantwortliche kann widersprechen.

Eine Steuerkanzlei, die das Konto liest oder führt, ist kein Unterauftragnehmer: Sie handelt für den Verantwortlichen und nicht für den Auftragsverarbeiter. Ihre Beauftragung und deren Beendigung liegen beim Verantwortlichen und bedürfen keiner Genehmigung nach diesem Abschnitt.

Der Auftragsverarbeiter unterstützt bei Betroffenenanfragen und Folgenabschätzungen und meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

Nach Beendigung wird für 30 Tage ein vollständiger Export bereitgestellt; danach werden die Daten gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Die Übergabe eines kanzleigeführten Kontos an den Mandanten ist keine Beendigung im Sinne von Absatz 1: Es wird nichts gelöscht und nichts übertragen, das Konto besteht unverändert fort, und es ändert sich allein, wer es führt und wer über die Zugänge dazu entscheidet. Endet die Kanzleiführung, ohne dass der Mandant das Konto übernimmt, gilt für dieses Konto Absatz 1.

Die Einhaltung wird auf Anfrage in Textform nachgewiesen. Vor-Ort-Kontrollen sind nach Ankündigung mit angemessener Frist möglich.

Dieser Vertrag wird nach Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen. Der Abschluss erfolgt durch Bestätigung im Kundenkonto; festgehalten werden Zeitpunkt, Name der bestätigenden Person, deren Funktion und die Fassung dieses Textes.

Eine unterschriebene Papierfassung ist nicht erforderlich und wird nicht ausgetauscht. Der Verantwortliche kann den Vertrag jederzeit als PDF mit den Abschlussdaten herunterladen.