Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO
Präambel
Dieser Auftragsverarbeitungsvertrag (nachfolgend AVV) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung der Anwendung Tilgan. Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Costas Beniamin (Tilgan) ist Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO. Bei Widersprüchen zwischen Hauptvertrag und diesem AVV gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor.
1. Gegenstand und Dauer
1.1 Gegenstand der Verarbeitung ist die Erbringung der im Hauptvertrag (AGB und Leistungsbeschreibung) beschriebenen Leistungen. 1.2 Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit dessen Beendigung.
2. Art, Umfang und Zweck der Verarbeitung
Zweck der Verarbeitung ist die automatisierte Belegerfassung (OCR), die Abbildung eines Freigabe-Workflows, die Erstellung von SEPA-Zahlungsdateien (pain.001) sowie der Export von Buchungsdaten an den Steuerberater (BMD-Export). Verarbeitet werden die vom Kunden hochgeladenen Eingangsrechnungen samt Inhalten sowie die zugehörigen Stamm- und Zahlungsdaten. 2.1 Klarstellung zur automatisierten Verarbeitung. Die Belegextraktion erfolgt automatisiert durch einen KI-gestuetzten Unterauftragsverarbeiter und kann fehlerbehaftet oder unvollstaendig sein. Tilgan gewaehrleistet weder die Richtigkeit oder Vollstaendigkeit der extrahierten Daten noch die Richtigkeit eines daraus abgeleiteten steuerlichen oder buchhalterischen Ergebnisses. Die inhaltliche Pruefung, Freigabe und Verantwortung fuer die verarbeiteten Daten obliegt dem Kunden. Die Leistung ersetzt keine steuerliche oder rechtliche Beratung und nicht die Taetigkeit des Steuerberaters.
3. Arten personenbezogener Daten
Gegenstand der Verarbeitung sind insbesondere: Lieferanten-Stammdaten (Firmenname, Anschrift, UID), Namen und Kontaktdaten von Ansprechpartnern der Lieferanten, Lieferanten-IBANs und Bankverbindungen sowie sämtliche in den Rechnungen enthaltenen Inhaltsdaten (Rechnungsnummer, Betrag, Leistungsbeschreibung, Steuerangaben).
4. Kategorien betroffener Personen
Betroffen sind die Lieferanten des Kunden sowie deren Ansprechpartner und sonstige in den Belegen genannte natürliche Personen.
5. Pflichten des Auftragsverarbeiters
5.1 Weisungsbindung: Tilgan verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich in Bezug auf Drittlandtransfers, es sei denn, eine Rechtsvorschrift verpflichtet zu einer anderen Verarbeitung. Die Nutzung der Anwendung gemäß ihrer Konfiguration gilt als dokumentierte Weisung. 5.1a Ist Tilgan der Auffassung, dass eine Weisung des Kunden gegen die DSGVO oder gegen sonstige Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoesst, informiert Tilgan den Kunden unverzueglich. Tilgan ist berechtigt, die Durchfuehrung der betreffenden Weisung bis zu deren Bestaetigung oder Aenderung durch den Kunden auszusetzen, und kann die Durchfuehrung offensichtlich rechtswidriger Weisungen verweigern. Weisungen, die ueber den im Hauptvertrag vereinbarten Leistungsumfang hinausgehen, setzt Tilgan nur nach gesonderter Vereinbarung und gegen Ersatz des dadurch entstehenden Aufwands um. 5.2 Vertraulichkeit: Tilgan verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. 5.3 Technisch-organisatorische Massnahmen. Tilgan trifft geeignete technische und organisatorische Massnahmen nach dem Stand der Technik gemaess Art. 32 DSGVO, die unter Beruecksichtigung der Implementierungskosten, der Art, des Umfangs, der Umstaende und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos ein dem Risiko angemessenes Schutzniveau gewaehrleisten. Die in der Anlage TOM beschriebenen Massnahmen sind beispielhaft und stellen den Stand zum Zeitpunkt des Vertragsschlusses dar. Tilgan ist berechtigt, die Massnahmen technisch fortzuentwickeln, zu ersetzen oder anzupassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Ein bestimmter Sicherheitserfolg oder die absolute Sicherheit der Verarbeitung wird nicht geschuldet. 5.4 Unterstuetzung. Tilgan unterstuetzt den Kunden unter Beruecksichtigung der Art der Verarbeitung und der Tilgan zur Verfuegung stehenden Informationen durch geeignete technische und organisatorische Massnahmen, soweit moeglich, bei der Erfuellung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33 und 34 DSGVO). Soweit der Kunde Betroffenenrechte ueber die Standardfunktionen der Anwendung erfuellen kann, erfolgt dies eigenverantwortlich. Fuer darueber hinausgehende Unterstuetzungsleistungen, die nicht auf einem Tilgan zurechenbaren Verstoss beruhen, kann Tilgan einen angemessenen Aufwandsersatz verlangen. 5.5 Loeschung und Rueckgabe. Nach Beendigung des Vertrags gibt Tilgan die personenbezogenen Daten nach Wahl des Kunden zurueck oder loescht sie. Die Rueckgabe (Datenexport) erfolgt nach Massgabe der Wechsel- und Exportbestimmungen der AGB (Ziffer 7a); die Loeschung erfolgt nach Ablauf des dortigen Abrufzeitraums von 30 Tagen. Weist der Kunde als Verantwortlicher an, personenbezogene Daten zu loeschen, so kommt Tilgan dieser Weisung nach, es sei denn, eine Aufbewahrung ist Tilgan nach Unionsrecht oder dem Recht eines Mitgliedstaats vorgeschrieben (Art. 28 Abs. 3 lit. g DSGVO) oder der Kunde bestaetigt, dass ihn fuer die betreffenden Daten selbst eine gesetzliche Aufbewahrungspflicht trifft. Soweit den Kunden eine steuerliche Aufbewahrungspflicht trifft (insbesondere § 132 BAO, sieben Jahre), haelt Tilgan die betreffenden steuerrelevanten Belege und Buchungsdaten in dessen Auftrag zugriffsbeschraenkt und ausschliesslich zum Zweck der Erfuellung dieser Pflicht vor und loescht sie nach Ablauf der Frist; im Uebrigen werden bestehende Kopien geloescht. Tilgan bestaetigt die Loeschung auf schriftliches Verlangen des Kunden. 5.6 Nachweis und Audit. Tilgan stellt dem Kunden die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfuegung, vorrangig durch Bereitstellung geeigneter Dokumentation, der Anlage TOM sowie aktueller Bestaetigungen, Zertifikate oder Pruefberichte unabhaengiger Stellen. Soweit dies zum Nachweis nicht ausreicht, ermoeglicht Tilgan Ueberpruefungen einschliesslich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten und mit Tilgan nicht im Wettbewerb stehenden Pruefer nach folgenden Massgaben: mit einer Vorankuendigung von mindestens 30 Tagen, zu den ueblichen Geschaeftszeiten, ohne unverhaeltnismaessige Stoerung des Betriebsablaufs, hoechstens einmal je Kalenderjahr sowie anlassbezogen bei einem konkret begruendeten Verdacht oder auf Verlangen einer Aufsichtsbehoerde. Die Pruefung darf die Vertraulichkeit der Daten anderer Mandanten nicht beeintraechtigen. Den mit der Unterstuetzung von Vor-Ort-Pruefungen verbundenen angemessenen Aufwand traegt der Kunde, soweit er ueber die Bereitstellung der Standarddokumentation hinausgeht und die Pruefung keinen wesentlichen Verstoss von Tilgan zutage foerdert. 5.7 Meldung von Datenschutzverletzungen. Tilgan informiert den Kunden unverzueglich, nachdem Tilgan eine Verletzung des Schutzes der fuer den Kunden verarbeiteten personenbezogenen Daten bekannt geworden ist. Die Meldung enthaelt die Tilgan zum Zeitpunkt der Meldung verfuegbaren Informationen; weitere Informationen werden nachgereicht, sobald sie vorliegen. Die Pflicht zur Meldung an die Aufsichtsbehoerde und an betroffene Personen gemaess Art. 33 und 34 DSGVO obliegt dem Kunden als Verantwortlichem.
6. Unterauftragsverarbeiter
6.1 Der Kunde erteilt eine allgemeine Genehmigung zur Heranziehung der nachfolgenden Unterauftragsverarbeiter: • Mistral AI (Frankreich/EU): KI-gestützte OCR-Belegextraktion. Verarbeitung in der Europäischen Union. • Hetzner Online GmbH (Deutschland; Rechenzentrum Finnland und Deutschland): Hosting der Anwendung sowie Object Storage für hochgeladene Belege. Verarbeitung in der Europäischen Union. • Stripe Payments Europe, Ltd. (Irland/EU): Abwicklung der Abonnement-Zahlung. Eine Weiterübermittlung (Onward Transfer) an die Stripe, Inc. (USA) erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss gem. Art. 45 DSGVO) sowie ergänzend auf Grundlage der Standardvertragsklauseln (Art. 46 DSGVO). • Europäische Kommission (MIAS/VIES, EU): Bestätigung von UID-Nummern, ausschließlich auf Auslösung durch den Kunden. Übermittelt werden die abgefragte UID-Nummer und die Länderkennung. Verarbeitung in der Europäischen Union. • Google Ireland Limited (Irland/EU), nur bei Nutzung der Anmeldung mit Google: Authentifizierung des Nutzerkontos. Google handelt dabei als eigener Verantwortlicher. • Brevo (Sendinblue SAS, Frankreich/EU): Versand transaktionaler E-Mails über ein SMTP-Relay sowie Empfang und Weiterleitung eingehender Lieferanten-E-Mails samt Anhängen an die Anwendung (Inbound-Parsing über die organisationseigene Weiterleitungsadresse), damit eingehende Rechnungen automatisiert in die Verarbeitung gelangen. Verarbeitung in der Europäischen Union. 6.2 Tilgan informiert den Kunden ueber beabsichtigte Aenderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage vor deren Wirksamwerden in Textform (etwa per E-Mail oder ueber die Anwendung). Der Kunde kann der Aenderung innerhalb von 14 Tagen ab Zugang der Information aus einem wichtigen, nachvollziehbar darzulegenden datenschutzrechtlichen Grund widersprechen. Erfolgt innerhalb dieser Frist kein Widerspruch, gilt die Aenderung als genehmigt. Bei einem fristgerechten und begruendeten Widerspruch sind die Parteien um eine einvernehmliche Loesung bemueht. Kommt eine solche nicht zustande oder ist der Wechsel fuer Tilgan zur Aufrechterhaltung des Betriebs oder zur Erfuellung gesetzlicher oder vertraglicher Pflichten erforderlich, so ist jede Partei berechtigt, den Hauptvertrag und diesen AVV hinsichtlich der betroffenen Leistung mit angemessener Frist zu kuendigen. Fuehrt ein berechtigter Widerspruch zur Beendigung, richten sich der Datenexport nach Ziffer 7a der AGB und die anschliessende Loeschung nach Ziffer 5.5 dieses Vertrags. 6.3 Tilgan verpflichtet Unterauftragsverarbeiter auf ein gleichwertiges Datenschutzniveau.
6.3 Vom Kunden selbst gewaehlte Verarbeitungsdienste. Der Kunde kann in den Einstellungen einen anderen Anbieter fuer die automatisierte Belegextraktion aktivieren und dafuer einen eigenen Zugangsschluessel hinterlegen. Eine solche Verarbeitung erfolgt auf ausdrueckliche Weisung des Kunden und ist von der allgemeinen Genehmigung nach Ziffer 6.1 nicht umfasst. Der Kunde ist in diesem Fall dafuer verantwortlich, das erforderliche Vertragsverhaeltnis mit dem gewaehlten Anbieter herzustellen und die Rechtsgrundlage einer allfaelligen Uebermittlung in ein Drittland sicherzustellen. Ohne eine solche Aktivierung erfolgt die Belegextraktion ausschliesslich ueber den in Ziffer 6.1 genannten Unterauftragsverarbeiter innerhalb der Europaeischen Union. 7. Drittlandtransfer Eine Uebermittlung in ein Drittland erfolgt im Zusammenhang mit der Zahlungsabwicklung durch Stripe an die Stripe, Inc. (USA). Grundlage ist der Angemessenheitsbeschluss der Europaeischen Kommission zum EU-US Data Privacy Framework gemaess Art. 45 DSGVO. Entfaellt, wird ausgesetzt oder fuer unwirksam erklaert dieser Angemessenheitsbeschluss, stuetzt sich die Uebermittlung ohne weitere Vereinbarung auf die Standardvertragsklauseln der Europaeischen Kommission gemaess Art. 46 Abs. 2 lit. c DSGVO samt geeigneter ergaenzender Massnahmen. Im Uebrigen findet die Verarbeitung in der Europaeischen Union statt.
8. Haftung und Innenausgleich
8.1 Im Aussenverhaeltnis gegenueber betroffenen Personen und Aufsichtsbehoerden gilt die Haftung nach Art. 82 DSGVO. Im Innenverhaeltnis tragen die Parteien etwaige Schaeden nach dem Mass ihres jeweiligen Verantwortungsbeitrags gemaess Art. 82 Abs. 5 DSGVO. 8.2 Der Kunde stellt Tilgan von Anspruechen Dritter frei, die darauf beruhen, dass fuer die Verarbeitung keine ausreichende Rechtsgrundlage bestand, dass der Kunde rechtswidrige oder unzulaessige Weisungen erteilt hat oder dass der Kunde seine Pflichten als Verantwortlicher verletzt hat. 8.3 Fuer die Haftung von Tilgan im Innenverhaeltnis gelten ergaenzend die Haftungsbeschraenkungen und Haftungshoechstgrenzen des Hauptvertrags (AGB). Unberuehrt bleiben die zwingende Haftung nach Art. 82 DSGVO sowie die Haftung fuer Vorsatz, grobe Fahrlaessigkeit und Personenschaeden.
9. Verantwortlichkeit des Kunden
9.1 Der Kunde ist als Verantwortlicher allein fuer die Rechtmaessigkeit der Verarbeitung, insbesondere fuer das Vorliegen einer Rechtsgrundlage, fuer die Zulaessigkeit der Uebermittlung der Daten an Tilgan und fuer die Erfuellung der Informations- und Betroffenenrechte verantwortlich. 9.2 Der Kunde stellt sicher, dass die von ihm in die Anwendung eingebrachten Daten und die erteilten Weisungen datenschutzrechtlich zulaessig sind. Tilgan ist nicht verpflichtet, die Rechtmaessigkeit der vom Kunden eingebrachten Daten oder Weisungen zu pruefen.
10. Schlussbestimmungen und Aenderungen
10.1 Dieser AVV bedarf der Textform; dies gilt auch fuer die Aufhebung dieses Textformerfordernisses. 10.2 Tilgan ist berechtigt, diesen AVV anzupassen, soweit dies zur Anpassung an geaenderte gesetzliche Anforderungen, an neue Standardvertragsklauseln, an Vorgaben einer Aufsichtsbehoerde oder an Aenderungen der eingesetzten Unterauftragsverarbeiter erforderlich ist. Tilgan teilt dem Kunden die Aenderung mindestens 30 Tage vor Wirksamkeit in Textform mit. Entstehen dem Kunden durch die Aenderung wesentliche Nachteile, steht ihm ein Recht zur Kuendigung des Hauptvertrags zum Zeitpunkt des Wirksamwerdens der Aenderung zu. 10.3 Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der uebrigen Bestimmungen unberuehrt.
Anlage TOM (technisch-organisatorische Maßnahmen gemäß Art. 32 DSGVO) Die nachfolgenden Massnahmen sind beispielhaft und geben den Stand zum Zeitpunkt des Vertragsschlusses wieder; sie koennen gemaess Ziffer 5.3 fortgeschrieben werden, solange das vereinbarte Schutzniveau nicht unterschritten wird. • Verschlüsselung der Übertragung (TLS in transit). • Verschlüsselung gespeicherter Daten (Encryption at rest) im Object Storage. • Zugriffskontrolle: rollenbasierte Berechtigungen und Authentifizierung. • Pseudonymisierung, soweit für den Verarbeitungszweck technisch möglich. • Regelmäßige Backups zur Sicherstellung der Verfügbarkeit und Wiederherstellbarkeit. • Mandantentrennung: logische Trennung der Kundendaten je Organisation (organization_id), sodass kein mandantenübergreifender Zugriff erfolgt.