Vertrag zur Auftragsverarbeitung

zwischen dem Kunden, der DokuFetch nutzt (Verantwortlicher, im Folgenden „Kunde“ oder „Sie“),

und der

Bavariaphone24 Vertrieb & Service GmbH
Starnberger Str. 30
82343 Pöcking
Deutschland
(Auftragsverarbeiter, im Folgenden „wir“ oder „uns“).

1. Gegenstand, Abschluss und Vorrang

Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch uns im Auftrag des Kunden bei der Bereitstellung der Software DokuFetch als Software-as-a-Service sowie bei Einrichtungs-, Support- und Serviceleistungen (Hauptvertrag, bestehend aus den Allgemeinen Geschäftsbedingungen Teil A und Teil B, der Bestellung und der Preisliste).

Die Vereinbarung wird bei der Registrierung abgeschlossen und gilt bereits für die kostenlose Testphase. Kunden, die sich vor Einführung dieser Fassung registriert haben, bestätigen sie bei ihrer nächsten Anmeldung.

Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in allen Fragen des Datenschutzes vor.

2. Dauer

Die Vereinbarung gilt ab der Registrierung für die Dauer der Testphase und des Hauptvertrags. Sie endet, wenn wir alle personenbezogenen Daten des Kunden nach Ziffer 13 gelöscht haben.

3. Art und Zweck der Verarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich, um DokuFetch für den Kunden bereitzustellen und die beauftragten Leistungen zu erbringen. Die Verarbeitung umfasst je nach gebuchtem Umfang und den Einstellungen des Kunden:

• den Empfang von Belegen und Dokumenten über Eingangsadressen, Upload, Handy-App, Programmierschnittstelle, Lieferantenportale, verbundene Postfächer, Belegquellen, externe Ablagen und Netzlaufwerke sowie den Abruf aus dem Lexware Office des Kunden
• die Speicherung, Texterkennung und das Auslesen von Belegdaten, auf Weisung des Kunden auch mit Hilfe eines KI-Dienstes
• die Prüfung, Zuordnung, Freigabe, Kontierung und Ablage von Belegen und Dokumenten sowie die Erstellung von Zusatzblättern, etwa Bewirtungsbelegen mit Unterschrift
• die Verwaltung von Verträgen, Tickets, Korrespondenz, Ausgangsrechnungen sowie Kunden- und Lieferantenstammdaten
• den Abruf von Bankumsätzen und den Abgleich von Zahlungen
• die Übermittlung an vom Kunden bestimmte Empfänger, etwa DATEV, das Lexware Office des Kunden, seine Steuerberatung, externe Ablagen und Webhooks
• den Versand von E-Mails aus der Anwendung, etwa Benachrichtigungen, Belegversand an DATEV-Upload-Adressen und Antworten aus Postfächern und Korrespondenz, soweit sie über DokuFetch versandt werden
• Support, Einrichtung und Service-Aufträge nach Freigabe durch den Kunden
• die Datensicherung, den Datenexport und die Löschung

4. Art der personenbezogenen Daten

• Inhalte von Belegen und Dokumenten, einschließlich der darin genannten Namen, Anschriften, Kontaktdaten, Bankverbindungen, Beträge und sonstigen Angaben
• E-Mails und Tickets aus verbundenen Postfächern mit Absender, Empfängern, Betreff, Text und Anhängen
• Bankkonten und Bankumsätze mit Gegenpartei, IBAN und Verwendungszweck
• Vertragsdaten, etwa Vertragsparteien, Kundennummern, Rufnummern, Verbräuche und Preise
• Kunden- und Lieferantenstammdaten des Kunden und deren Ansprechpartner
• Ausgangsrechnungen
• Zugangsdaten zu Lieferantenportalen, Postfächern, externen Ablagen und Schnittstellen (verschlüsselt gespeichert)
• Unterschriften auf Bewirtungs-Zusatzblättern
• Benutzer- und Protokolldaten zur Nutzung des Kundenkontos, insbesondere das Audit-Protokoll

5. Kategorien betroffener Personen

• Beschäftigte und Benutzer des Kunden
• Lieferanten, Kunden und sonstige Geschäftspartner des Kunden und deren Ansprechpartner
• sonstige Personen, die in Belegen, Dokumenten, E-Mails oder Bankumsätzen genannt sind

6. Besondere Kategorien personenbezogener Daten

In Dokumenten des Kunden können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO vorkommen, etwa in Arzt- und Krankenkassenschreiben oder in Lohn- und Personalunterlagen. Der Kunde ist dafür verantwortlich, dass ihre Verarbeitung zulässig ist. Dokumente, die DokuFetch als Kontoauszug oder als Lohn-, Gehalts-, Personal- oder Gesundheitsunterlage erkannt hat, übermittelt DokuFetch nicht an den KI-Dienst; zu noch nicht eingeordneten Dokumenten und den übrigen KI-Funktionen siehe Anlage 2. Weitere Sonderbehandlungen solcher Daten sind nicht vereinbart; die technischen und organisatorischen Maßnahmen nach Anlage 1 gelten für alle Daten.

7. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind diese Vereinbarung, der Hauptvertrag und die Einstellungen, die der Kunde in der Anwendung vornimmt, etwa zu Eingangswegen, KI-Funktionen, Schnittstellen, Weitergaben und Löschungen. Einzelweisungen erteilen Inhaber oder Administratoren des Kunden in Textform an hallo@dokufetch.de.

Eine Verarbeitung ohne Weisung nehmen wir nur vor, wenn wir nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet sind; in diesem Fall teilen wir dem Kunden diese Pflicht vorher mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Auch Übermittlungen in ein Drittland erfolgen nur auf Weisung des Kunden und unter den Voraussetzungen der Art. 44 ff. DSGVO; dies betrifft die in Anlage 2 genannten Fälle.

Sind wir der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informieren wir den Kunden unverzüglich. Wir können die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, führen wir als Service-Einzelauftrag nach Teil B aus.

8. Vertraulichkeit

Wir setzen für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den für sie maßgeblichen Datenschutzbestimmungen vertraut gemacht wurden (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Diese Personen verarbeiten die Daten nur auf Weisung des Kunden.

9. Sicherheit der Verarbeitung

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind (Art. 28 Abs. 3 Satz 2 lit. c DSGVO). Wir dürfen die Maßnahmen an den technischen Fortschritt anpassen, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentieren wir in Anlage 1.

10. Unterauftragsverarbeiter

Der Kunde erteilt uns die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Zum Zeitpunkt des Abschlusses setzen wir die in Anlage 2 genannten Unterauftragsverarbeiter ein; der Kunde genehmigt deren Einsatz.

Beabsichtigen wir, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informieren wir den Kunden mindestens vier Wochen vorher per E-Mail an die Inhaber und Administratoren. Der Kunde kann der Änderung innerhalb dieser Frist aus datenschutzrechtlichen Gründen in Textform widersprechen. Ist der Widerspruch berechtigt und können wir die Bedenken nicht durch zumutbare Maßnahmen ausräumen, kann der Kunde den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich kündigen.

Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haften wir gegenüber dem Kunden für dessen Pflichterfüllung.

Keine Unterauftragsverarbeiter sind die vom Kunden bestimmten Empfänger und Quellen, insbesondere DATEV, das Lexware Office des Kunden, seine Steuerberatung, Postfach-Anbieter wie Microsoft oder Google, die der Kunde selbst per Anmeldung verbindet, Lieferantenportale, externe Ablagen über SFTP, WebDAV oder Netzwerkspeicher und Webhooks an Systeme des Kunden. Daten an diese Stellen übermitteln oder von dort abrufen wir auf Weisung des Kunden; für die Rechtmäßigkeit ist der Kunde verantwortlich. Ebenfalls keine Unterauftragsverarbeitung sind reine Nebenleistungen wie Telekommunikations- und Internetzugangsleistungen.

11. Unterstützung bei Betroffenenrechten

Wir unterstützen den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 Satz 2 lit. e DSGVO). Dafür stehen in der Anwendung insbesondere Suche, Anzeige, Berichtigung, Datenexport, Löschung und Sperre gegen Löschung (Legal Hold) zur Verfügung.

Wenden sich betroffene Personen direkt an uns, leiten wir die Anfrage unverzüglich an den Kunden weiter und beantworten sie nicht selbst, es sei denn, der Kunde weist uns dazu an. Unterstützung, die über die Funktionen der Anwendung hinausgeht, erbringen wir auf Anforderung; den Aufwand können wir als Service-Einzelauftrag berechnen, sofern er nicht auf einem Verstoß von uns beruht.

12. Unterstützung bei Sicherheit, Meldepflichten und Datenschutz-Folgenabschätzung

Wir unterstützen den Kunden unter Berücksichtigung der Art der Verarbeitung und der uns verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 Satz 2 lit. f DSGVO).

Eine Verletzung des Schutzes personenbezogener Daten melden wir dem Kunden unverzüglich, spätestens 48 Stunden nachdem wir davon Kenntnis erlangt haben, per E-Mail an die Inhaber und Administratoren. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO, insbesondere die Art der Verletzung, die betroffenen Kategorien und ungefähre Zahl der Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen, die noch nicht vorliegen, reichen wir unverzüglich nach. Wir ergreifen unverzüglich Maßnahmen, um die Verletzung einzudämmen und mögliche nachteilige Folgen zu mindern.

Bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde stellen wir dem Kunden die uns verfügbaren Informationen zur Verfügung.

13. Löschung und Rückgabe

Während der Vertragslaufzeit gilt:

• Dokumente, die der Kunde in den Papierkorb verschiebt, löschen wir nach 30 Tagen endgültig, es sei denn, für das Dokument ist eine Sperre gegen Löschung (Legal Hold) gesetzt. Inhaber und Administratoren können Dokumente auch vorher endgültig löschen.
• Freigegebene oder an Buchhaltungssysteme übergebene Rechnungen, an DATEV übermittelte Dokumente und Ausgangsrechnungen kann der Kunde in der Anwendung nicht löschen, damit sie unverändert erhalten bleiben. Möchte der Kunde solche Rechnungen nach Ablauf seiner Aufbewahrungsfrist löschen, kann er uns dazu in Textform anweisen.
• Eine automatische Löschung nach Ablauf gesetzlicher Aufbewahrungsfristen findet nicht statt; über die Löschung entscheidet der Kunde. DokuFetch zeigt an, bis wann ein Dokument aufzubewahren ist.
• Protokolle löschen wir nach folgenden Fristen: Mail-Protokolle nach 180 Tagen, Systemprotokolle nach 90 Tagen, Inhalte von als Spam oder privat eingestuften Tickets nach 30 Tagen. Das Audit-Protokoll bewahren wir für die Dauer des Vertrags auf.

Nach dem Ende des Hauptvertrags oder einer Testphase ohne Bestellung kann der Kunde mindestens 30 Tage lesend auf seine Daten zugreifen und sie über den Datenexport vollständig herunterladen (alle Originaldateien mit Versionen, E-Mails und alle Datensätze des Kunden als Tabellen; Kennwörter und Zugangsdaten ausgenommen); der Datenexport ist zugleich die Rückgabe der Daten (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Das gilt auch, wenn wir den Zugang des Kunden schließen. 120 Tage nach dem Ende löschen wir alle personenbezogenen Daten des Kunden; weist der Kunde uns in Textform an, löschen wir sie bereits früher. Unsere Datensicherungen werden rollierend überschrieben und sind höchstens 30 Tage alt; die Daten sind daher spätestens 30 Tage nach der Löschung auch dort nicht mehr vorhanden. Eine längere Speicherung erfolgt nur, soweit wir nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet sind. Auf Anforderung bestätigen wir die Löschung in Textform.

14. Nachweise und Kontrollen

Wir stellen dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglichen Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer und tragen dazu bei (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).

Nachweise erbringen wir vorrangig durch die Beschreibung der technischen und organisatorischen Maßnahmen, durch Auskünfte auf Fragen des Kunden, durch das Audit-Protokoll, das der Kunde in der Anwendung einsehen und exportieren kann, und durch Nachweise unserer Unterauftragsverarbeiter, soweit diese verfügbar sind.

Inspektionen vor Ort sind nach Ankündigung mit einer Frist von mindestens vier Wochen während unserer Geschäftszeiten an Werktagen möglich. Sie sind so durchzuführen, dass der Betrieb nicht unverhältnismäßig gestört wird und die Vertraulichkeit der Daten anderer Kunden gewahrt bleibt. Ein beauftragter Prüfer muss zur Verschwiegenheit verpflichtet sein und darf nicht in einem Wettbewerbsverhältnis zu uns stehen. Inspektionen im Rechenzentrum unseres Hosting-Dienstleisters ersetzen wir durch dessen Nachweise. Jede Partei trägt ihre eigenen Kosten. Verursacht eine Kontrolle bei uns einen unverhältnismäßigen Aufwand, insbesondere bei mehr als einer Inspektion im Kalenderjahr ohne konkreten Anlass, können wir diesen Aufwand nach den Preisen für Service-Einzelaufträge laut Preisliste berechnen, es sei denn, die Kontrolle ergibt einen Verstoß von uns.

Wir unterstützen den Kunden bei Kontrollen durch die zuständige Aufsichtsbehörde.

15. Ort der Verarbeitung

Die Server, auf denen DokuFetch betrieben wird, stehen in einem Rechenzentrum der IONOS SE in Deutschland. Die tägliche Datensicherung erfolgt auf ein Speichersystem in unseren Geschäftsräumen in Deutschland. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur in den in Anlage 2 genannten Fällen und nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt.

16. Verzeichnis von Verarbeitungstätigkeiten

Wir führen ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Tätigkeiten der Verarbeitung nach Art. 30 Abs. 2 DSGVO und stellen es auf Anforderung der Aufsichtsbehörde zur Verfügung.

17. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er schaltet KI-Funktionen, Bankanbindung und Weitergaben an Dritte nur ein, wenn dies zulässig ist, und informiert uns unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

18. Plattformweite Nutzung von Daten und Wechsel-Check

Zur Verbesserung von DokuFetch für alle Kunden nutzen wir die im Hauptvertrag genannten Angaben ohne Angaben zu Privatpersonen plattformweit: Name, Umsatzsteuer-Identifikationsnummer und Absender-Domain von Lieferanten, die juristische Personen oder Handelsgesellschaften mit Umsatzsteuer-Identifikationsnummer sind und auf freigegebenen Rechnungen von mindestens drei Kunden erscheinen, nie aber Bankdaten oder Beträge; technische Anleitungen zum Abruf aus Lieferantenportalen ohne Zugangsdaten; Logos von Lieferanten aus deren öffentlichen Websites. Personenbezogene Daten aus den Inhalten des Kunden nutzen wir nicht für eigene Zwecke. Ausgenommen ist der Wechsel-Check: Erteilt ein Inhaber oder Administrator des Kunden dafür in der Anwendung die Einwilligung, übermittelt DokuFetch auf Weisung des Kunden einmalig Name und Ort des Kunden, Benutzerkennung und Rolle der einwilligenden Person sowie je Strom-, Gas- und Telekommunikationsvertrag Sparte, Anbieter, Vertragsart, Tarif, Kosten, Laufzeitende, Kündigungsfrist, Verbrauch und Arbeitspreis an uns; für die weitere Verarbeitung sind wir Verantwortlicher (Datenschutzerklärung, Abschnitt 18).

19. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen dem Kunden und uns gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

20. Schlussbestimmungen

Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Änderungen, die wegen geänderter Rechtslage erforderlich sind oder das Schutzniveau nicht verringern, teilen wir mindestens sechs Wochen vor ihrem Wirksamwerden in Textform mit; der Kunde kann bis zum Wirksamwerden widersprechen, andernfalls gelten sie als genehmigt; auf diese Folge weisen wir in der Mitteilung hin. Für Änderungen der Unterauftragsverarbeiter gilt Ziffer 10. Sind einzelne Bestimmungen unwirksam, bleibt die Vereinbarung im Übrigen wirksam. Es gilt das Recht der Bundesrepublik Deutschland; der Gerichtsstand richtet sich nach dem Hauptvertrag.

Anlage 1: Technische und organisatorische Maßnahmen

Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sind unter Technische und organisatorische Maßnahmen beschrieben. Diese Beschreibung ist in ihrer jeweils aktuellen Fassung Bestandteil dieser Vereinbarung.

Anlage 2: Unterauftragsverarbeiter

IONOS SE

IONOS SE
Elgendorfer Str. 57
56410 Montabaur
Deutschland

Leistung: Hosting der Server für Anwendung, Datenbank und Dateien.
Ort der Verarbeitung: Deutschland.
Einsatz: immer.

Microsoft Ireland Operations Limited

Microsoft Ireland Operations Limited
One Microsoft Place
South County Business Park
Leopardstown
Dublin 18
Irland

Leistung: Versand von E-Mails der Anwendung, etwa Benachrichtigungen, Belegversand an DATEV-Upload-Adressen und Antworten aus Postfächern und Korrespondenz, soweit sie über DokuFetch versandt werden, sowie Empfang von Rückmeldungen der DATEV im Postfach belege@dokufetch.de.
Ort der Verarbeitung: Europäische Union; eine Übermittlung an die Microsoft Corporation in den USA ist möglich.
Garantien: Die Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss nach Art. 45 DSGVO); zusätzlich sind EU-Standardvertragsklauseln vereinbart (Art. 46 Abs. 2 lit. c DSGVO).
Einsatz: immer.

Anthropic Ireland, Limited mit Anthropic, PBC

Anthropic Ireland, Limited, Irland (Vertragspartner)
Anthropic, PBC, USA (Verarbeitung)

Leistung: Auslesen und Auswerten von Texten mit KI für die KI-Funktionen von DokuFetch.
Ort der Verarbeitung: USA.
Garantien: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Anthropic ist nicht nach dem EU-US Data Privacy Framework zertifiziert.
Einsatz: nur, wenn ein Inhaber oder Administrator des Kunden die KI-Funktionen mit Einwilligung einschaltet; einzelne Funktionen lassen sich abschalten.
Umfang: Übermittelt wird nur Text, keine Dateien. Vor jeder Übermittlung schwärzt DokuFetch automatisch IBAN, BIC, Konto- und Kartennummern, E-Mail-Adressen, Telefonnummern, Zugangsdaten, Steuer-Identifikationsnummern, Ausweis- und Sozialversicherungsnummern und Geburtsdaten. Namen und Anschriften können enthalten sein. Dokumente, die DokuFetch als Kontoauszug oder als Lohn-, Gehalts-, Personal- oder Gesundheitsunterlage erkannt hat, werden nicht übermittelt. Ist die Dokumentart noch nicht erkannt, kann der geschwärzte Text zur Einordnung übermittelt werden. Bei der Trennung gescannter Stapel werden die geschwärzten Seitenanfänge, bei Antwortentwürfen für E-Mail-Tickets und Korrespondenz die geschwärzten Nachrichtentexte und beim Zahlungsabgleich Verwendungszweck, Betrag und Datum einzelner Kontoumsätze übermittelt. Sucht DokuFetch mit Hilfe der KI nach Angaben zu einem Lieferanten im Internet, wird dafür nur der Name des Lieferanten verwendet. Anthropic verwendet die Daten nach seinen kommerziellen Bedingungen nicht zum Training von KI-Modellen und löscht sie spätestens nach 30 Tagen, soweit Anthropic sie nicht ausnahmsweise wegen gesetzlicher Pflichten oder zur Aufklärung eines Verstoßes gegen seine Nutzungsrichtlinien länger aufbewahren muss.

finAPI GmbH

finAPI GmbH
Adams-Lehmann-Str. 44
80797 München
Deutschland

Leistung: Abruf von Kontoangaben und Umsätzen für die Bankanbindung als bei der Bundesanstalt für Finanzdienstleistungsaufsicht registrierter Kontoinformationsdienst. Anmeldung und Freigabe bei der Bank erfolgen direkt bei finAPI; Umsätze werden bis zu 90 Tage rückwirkend abgerufen.
Ort der Verarbeitung: Deutschland.
Einsatz: nur, wenn der Kunde ein Bankkonto mit DokuFetch verbindet.

Stand: 13. Oktober 2026