← Zurück zur Startseite

Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Stand: August 2026

Dieser Vertrag ist Anlage zum Nutzungsvertrag über belegassist (siehe AGB, Ziffer 9) zwischen dem Kunden als Verantwortlichem („Auftraggeber") und Robert Mittl, mittl medien, Schulstraße 18/1, 73061 Ebersbach an der Fils, USt-IdNr. DE 284 324 059, als Auftragsverarbeiter. Er wird mit Abschluss des Abonnements in Textform vereinbart; einer gesonderten Unterschrift bedarf es nicht. Auf Wunsch stellen wir eine gegengezeichnete Fassung aus: hallo@belegassist.de.

§ 1 Vertragsinhalt und Laufzeit

(1) Gegenstand ist jede Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter für den Auftraggeber im Rahmen des Hauptvertrags (Betrieb von belegassist) ausführt, gem. Art. 28 DSGVO.

(2) Zweck der Verarbeitung ist die Erfüllung des Hauptvertrags und der Pflichten beider Parteien aus der DSGVO.

(3) Die Laufzeit folgt dem Hauptvertrag. Der Vertrag endet erst mit dessen Vollbeendigung und der Löschung oder Rückgabe der Daten nach Maßgabe dieses Vertrags.

§ 2 Art der Daten, Betroffene, Verarbeitungsort

(1) Dieser Vertrag gilt für alle Arten von Verarbeitungen gem. Art. 4 Nr. 2 DSGVO.

(2) Die Arten der verarbeiteten Daten und die Kategorien betroffener Personen sind in Anlage 1 aufgeführt.

(3) Die Verarbeitung findet ausschließlich in Rechenzentren in Deutschland statt. Eine Verarbeitung außerhalb der Europäischen Union findet nicht statt und wäre nur in den gesetzlich erlaubten Fällen und nach vorheriger Information des Auftraggebers möglich.

§ 3 Verantwortung und Weisungen

(1) Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO bleibt allein der Auftraggeber; er ist für die Rechtmäßigkeit der Verarbeitung und der Weitergabe der Daten an den Auftragsverarbeiter verantwortlich.

(2) Weisungen sind im Hauptvertrag festgelegt und werden im Übrigen über die Funktionen der Anwendung erteilt (z. B. Verbinden und Trennen von Quellen, Auslösen von Uploads, Export und Löschung). Darüber hinausgehende Weisungen bedürfen der Textform.

(3) Erteilt der Auftraggeber eine rechtswidrige Weisung, informiert der Auftragsverarbeiter ihn unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen des Auftrags und der Weisungen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet ist.

(2) Er unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO); die Anwendung stellt dafür Export- und Löschfunktionen bereit. Ansprechpartner für den Datenschutz ist Robert Mittl (hallo@belegassist.de).

(3) Er hält in seinem Bereich die Pflichten aus Art. 32–36 DSGVO ein und trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen; er überprüft sie regelmäßig und entwickelt sie fort, ohne das Schutzniveau abzusenken.

(4) Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet; die Verpflichtung besteht nach Vertragsende fort.

(5) Verletzungen des Schutzes personenbezogener Daten des Auftraggebers meldet der Auftragsverarbeiter dem Auftraggeber unverzüglich und unterstützt ihn bei seinen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

(6) Nach Vertragsende löscht der Auftragsverarbeiter nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Erteilt der Auftraggeber keine Weisung, gilt die Löschung als vereinbart (spätestens 90 Tage nach Vertragsende, s. AGB Ziffer 11).

§ 5 Pflichten des Auftraggebers

(1) Der Auftraggeber erteilt nur rechtmäßige Weisungen und stellt sicher, dass er zur Verarbeitung der eingebrachten Daten (insbesondere aus E-Mail-Postfach, Bankkonto und Lexware Office) berechtigt ist.

(2) Er prüft vor Vertragsschluss und bei Bedarf, ob die Maßnahmen der Anlage 2 dem Risiko der zu verarbeitenden Daten angemessen sind.

(3) Anfragen betroffener Personen bearbeitet der Auftraggeber; der Auftragsverarbeiter verweist Betroffene, die sich an ihn wenden, an den Auftraggeber, soweit möglich.

§ 6 Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage nach (z. B. durch Beschreibung der Maßnahmen, Auszüge aus Verzeichnissen oder vorhandene Testate der Rechenzentrumsbetreiber) und ermöglicht in zumutbarem Rahmen Überprüfungen durch den Auftraggeber oder einen von diesem benannten, nicht im Wettbewerb stehenden Prüfer – nach Terminabstimmung und unter Wahrung der Vertraulichkeit der Daten anderer Auftraggeber. Für Prüfungen durch Aufsichtsbehörden gilt dies entsprechend.

§ 7 Subunternehmer

(1) Der Auftraggeber willigt in den Einsatz der in Anlage 3 genannten weiteren Auftragsverarbeiter ein.

(2) Über beabsichtigte Änderungen informiert der Auftragsverarbeiter in Textform; der Auftraggeber kann aus wichtigem Grund widersprechen. Ist dem Auftragsverarbeiter die Leistungserbringung ohne den neuen Subunternehmer nicht zumutbar, können beide Parteien den Hauptvertrag mit angemessener Frist kündigen.

(3) Der Auftragsverarbeiter überträgt seine Pflichten aus diesem Vertrag auf eingesetzte Subunternehmer. Nebenleistungen (z. B. Telekommunikation, Wartung ohne Datenzugriff) sind keine Unterauftragsverarbeitung.

(4) Klarstellung: Paddle (Zahlungsabwicklung als Merchant of Record) ist kein Subunternehmer dieser Auftragsverarbeitung, sondern eigenständiger Verantwortlicher für die Zahlungsdaten des Kaufvorgangs.

§ 8 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt der Hauptvertrag; Art. 82 DSGVO bleibt unberührt. Die Parteien unterstützen sich bei der Abwehr von Ansprüchen Betroffener gegenseitig.

(2) Änderungen dieses Vertrags bedürfen der Textform. Für Rechtswahl und Gerichtsstand gilt der Hauptvertrag.

Anlage 1 – Datenarten und betroffene Personen

Verarbeitete Datenarten:

· Nutzerkonten (Name, E-Mail-Adresse, Passwort-Hash bzw. Magic-Link-Daten, Rollen und Organisationszugehörigkeit, Sitzungsdaten) – Anmeldung und Rechteverwaltung.
· Zugangsdaten zu verbundenen Diensten (E-Mail-Postfach/IMAP, Lexware-Office-API-Schlüssel, Bank-Zugriffstoken, Archiv-Zugänge) – verschlüsselt gespeichert, ausschließlich zur Ausführung des Auftrags.
· E-Mail-Daten aus verbundenen Postfächern (Absender, Betreff, Inhalte und Anhänge belegrelevanter Nachrichten) – Suche und Abholung fehlender Belege.
· Bankumsätze (Buchungsdatum, Betrag, Verwendungszweck, Gegenpartei) – Abgleich Umsatz ↔ Beleg.
· Belege und Belegdaten (Rechnungen mit Namen/Anschriften/Steuernummern von Ausstellern und ggf. Dritten, erkannte Beträge und Belegnummern, optional Archiv-Kopien) – Kern des Dienstes.
· Rückfragen und Notizen am Beleg (Texte, optional Sprachnachrichten samt automatisch erstelltem Transkript) – Klärung zwischen Auftraggeber, Assistenz und Mandanten.
· Support-Anfragen (Nachricht, E-Mail-Adresse, optional Screenshots; Löschung der Bilder nach 90 Tagen) – Hilfe bei Problemen.
· Protokoll- und Nutzungsdaten (IP-Adressen, Zeitstempel, technische Logs) – Betrieb, Sicherheit, Missbrauchsabwehr.

Kategorien betroffener Personen: Nutzer des Auftraggebers (Inhaber, Assistenz, Mandanten und deren Beschäftigte), Geschäftspartner des Auftraggebers (Lieferanten, Kunden, Zahlungsempfänger und -absender), Absender und Empfänger von E-Mails in den verbundenen Postfächern sowie in Belegen genannte Dritte.

Anlage 2 – Technische und organisatorische Maßnahmen

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO). Betrieb in ISO-27001-zertifizierten Rechenzentren der Hetzner Online GmbH in Deutschland (Zutrittskontrolle, Videoüberwachung, Sicherheitspersonal). Serverzugang ausschließlich per SSH-Key (kein Passwort-Login), Firewall mit Whitelist-Ansatz, TLS-Verschlüsselung aller Webzugriffe (Let's Encrypt, automatische Erneuerung). Zugangsdaten der Auftraggeber zu Drittdiensten werden anwendungsseitig verschlüsselt gespeichert (authenticated encryption, Schlüssel getrennt von den Daten). Datenbank und interne Dienste sind nicht öffentlich erreichbar (Container-Isolation, Zugriff nur innerhalb des internen Netzes). Serverseitiges Rollen- und Rechtekonzept je Organisation (Inhaber, Assistenz, Mandant) – Zugriffsgrenzen werden im Backend durchgesetzt, nicht nur in der Oberfläche. Mandantentrennung auf Daten- und Anwendungsebene (getrennte Datenräume je Organisation).

Integrität. Verschlüsselte Übertragung aller Daten (TLS; Postfach-Abruf über IMAP/TLS). Schreibvorgänge erfolgen atomar; Änderungen an Belegen und Buchungszuständen sind protokolliert. Rate-Limits und Missbrauchs-Schutz auf allen öffentlichen Endpunkten.

Verfügbarkeit und Belastbarkeit. Tägliche automatisierte Backups (Datenbank und Datenverzeichnis), vor dem Upload mit AES-256 verschlüsselt und in ein vom Serverstandort getrenntes Rechenzentrum übertragen (Aufbewahrung 30 Tage); Wiederherstellung ist erprobt. Container-Healthchecks mit automatischem Neustart, unterbrechungsfreie Stromversorgung und Brandschutz im Rechenzentrum, zeitnahe Sicherheitsupdates.

Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d DSGVO). Verzeichnis von Verarbeitungstätigkeiten, definierte Lösch- und Aufbewahrungsfristen (z. B. Support-Bilder 90 Tage, Protokolle mit PII-Bezug befristet), dokumentierter Prozess für Datenschutzvorfälle (Art. 33/34 DSGVO), Prüfung und Fortschreibung der Maßnahmen bei jeder wesentlichen Änderung des Systems.

Anlage 3 – Subunternehmer

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Bereitstellung der Server-Infrastruktur (Anwendungs- und Datenbankserver, Rechenzentren in Deutschland) sowie des getrennten Backup- und Archivspeichers (Storage Box). Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Fragen zu diesem Vertrag beantworten wir unter hallo@belegassist.de.