Auftragsverarbeitungsvertrag (AVV)

zwischen dem Kunden, der über BuchhaltGenie Rechnungen an seine eigenen Kunden erstellt und versendet (nachfolgend „Verantwortlicher"),

und

Bernhard Götzendorfer, Einzelunternehmer (nicht im Firmenbuch eingetragen), Rittingergasse 15/11, 1210 Wien, Österreich, E-Mail: office@buchhaltgenie.at (nachfolgend „BuchhaltGenie" oder „Auftragsverarbeiter"),

gemeinsam die „Parteien".

1. Vertragsparteien und Rollenverteilung

Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die Pflichten der Parteien gemäß Art. 28 DSGVO im Zusammenhang mit der Verarbeitung personenbezogener Daten, die im Rahmen der Nutzung von BuchhaltGenie anfallen.

Für die Erstellung, den Versand und die Verwaltung von Rechnungen des Verantwortlichen an dessen eigene Kunden (Rechnungsempfänger) sowie für die Erfassung und Auswertung der Eingangsbelege des Verantwortlichen ist der Verantwortliche datenschutzrechtlich Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO. BuchhaltGenie verarbeitet die dabei anfallenden Daten der Rechnungsempfänger und der Belegaussteller ausschließlich weisungsgebunden als Auftragsverarbeiter im Sinne des Art. 4 Z 8 DSGVO.

Für die Verarbeitung der eigenen Konto-, Abo- und Zugangsdaten des Verantwortlichen bei BuchhaltGenie (Registrierung, Login, Support, Zahlungsabwicklung des Nutzungsvertrags) ist BuchhaltGenie selbst Verantwortlicher; diese Verarbeitung ist nicht Gegenstand dieses AVV und in der Datenschutzerklärung von BuchhaltGenie geregelt.

2. Gegenstand, Art, Zweck und Dauer der Verarbeitung

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten der Rechnungsempfänger, der Lieferanten und Aussteller von Eingangsbelegen sowie der Zahler der über verbundene Stripe-Konten des Verantwortlichen abgewickelten Zahlungen durch BuchhaltGenie im Rahmen der Bereitstellung der Buchhaltungssoftware BuchhaltGenie (Rechnungserstellung, Rechnungsversand per E-Mail, Zustellstatus-Erfassung, Erfassung und automatisierte Auswertung von Belegdokumenten (Belegfotos/-scans), — sofern vom Verantwortlichen verbunden — Abruf und automatisierte Verbuchung von Transaktionsdaten aus eigenen Stripe-Konten des Verantwortlichen (Stripe-Import) sowie — sofern vom Verantwortlichen aktiviert — Öffnungs- und Klickerfassung).

Art der Verarbeitung: Erheben, Speichern, Übermitteln (Versand), Auslesen, Auswerten und Löschen der in § 4 genannten Datenkategorien mittels automatisierter Verfahren.

Zweck der Verarbeitung: Erstellung UStG §11-konformer Rechnungen, Versand dieser Rechnungen per E-Mail an die Rechnungsempfänger, Nachweis der Zustellung (u. a. für ein rechtssicheres Mahnwesen), automatisiertes Auslesen von Belegdaten (insbesondere Betrag, Belegdatum, Lieferant und Umsatzsteuer) aus vom Verantwortlichen hochgeladenen Belegdokumenten als Vorschlag für die Erfassung, automatisierter Abruf von Transaktionsdaten aus den vom Verantwortlichen verbundenen Stripe-Konten und deren Verbuchung als Einnahmen bzw. Ausgaben — einschließlich einer regelbasierten und, sofern aktiviert, KI-gestützten Prüfung, ob ein Buchungsvorschlag automatisch übernommen werden darf oder dem Verantwortlichen zur manuellen Prüfung vorgelegt wird — sowie — nur bei aktiviertem Schalter — Erfassung von Öffnungs- und Klickzeitpunkten sowie — sofern aktiviert — Abruf und Übernahme von Kundenstammdaten aus verbundenen Stripe-Konten (Kunden-Sync).

Dauer: Dieser Vertrag gilt für die Laufzeit des Nutzungsvertrags (AGB) zwischen den Parteien und darüber hinaus für den gesetzlichen Nachlauf gemäß § 12 (insbesondere die Aufbewahrungspflicht nach § 132 BAO).

3. Kategorien betroffener Personen

Von der Verarbeitung betroffen sind die Kunden des Verantwortlichen, d. h. die Empfänger der über BuchhaltGenie ausgestellten Rechnungen, sowie deren Ansprechpartner (z. B. eine im Rechnungsfeld „Ansprechpartner" hinterlegte natürliche Person bei einem Firmenkunden).

Betroffen sind ferner die Lieferanten und Aussteller der vom Verantwortlichen in BuchhaltGenie erfassten Eingangsbelege sowie deren Ansprechpartner, soweit auf dem Belegdokument personenbezogene Daten sichtbar sind.

Betroffen sind schließlich die Zahler, deren Zahlungen über die vom Verantwortlichen verbundenen Stripe-Konten abgewickelt wurden, soweit die abgerufenen Transaktionsdaten personenbezogene Daten enthalten (z. B. Name oder E-Mail-Adresse des Zahlers), sowie — sofern aktiviert — Abruf und Übernahme von Kundenstammdaten aus verbundenen Stripe-Konten (Kunden-Sync), d. h. die Kunden des Verantwortlichen, deren Stammdaten auf diesem Weg übernommen werden.

4. Kategorien personenbezogener Daten

Gegenstand der Verarbeitung sind folgende Datenkategorien:

• Stammdaten der Rechnungsempfänger (Name, Anschrift, UID-Nummer, sofern vorhanden)
• Rechnungsdaten (Rechnungsinhalte, Positionen, Beträge, Zahlungsziel)
• Bankdaten, soweit für den Zahlungsverkehr auf der Rechnung hinterlegt (z. B. IBAN des Verantwortlichen als Zahlungsempfänger)
• Zustellstatus der Rechnungs- und Mahn-E-Mails: sent, delivered, delivery_delayed, bounced, failed, suppressed, complained
• Belegdokumente (Bilddateien/Scans) einschließlich der darauf sichtbaren personenbezogenen Daten sowie die daraus ausgelesenen Belegdaten (insbesondere Lieferant, Belegdatum, Beträge, Umsatzsteuer)
• Transaktionsdaten aus vom Verantwortlichen verbundenen Stripe-Konten (insbesondere Beträge, Gebühren, Währung, Zeitpunkte und Transaktions-Referenzen sowie ggf. in Beschreibung oder Metadaten enthaltene Angaben zum Zahler wie Name oder E-Mail-Adresse)
• Stammdaten der Zahler/Kunden aus vom Verantwortlichen verbundenen Stripe-Konten (Name bzw. Firma, Anschrift, E-Mail-Adresse, USt-IdNr.), sofern der Verantwortliche den Kunden-Sync aktiviert; Herkunft: Stripe Payments Europe Ltd. als Datenquelle des Imports, nicht als Auftragsverarbeiter
• UID-Nummer und Land des Zahlers, zum Zeitpunkt der Verbuchung der Zahlung aus dem damaligen Kundenstammdatensatz übernommen und danach unveränderlich (Buchungsjournal, § 132 BAO), zur Erfüllung der Zusammenfassenden Meldung (Art. 21 Abs. 3 UStG)
• Optional, ausschließlich bei durch den Verantwortlichen aktiviertem Schalter: Öffnungs- und Klickzeitpunkte versendeter E-Mails

5. Weisungsbindung

BuchhaltGenie verarbeitet personenbezogene Daten der Rechnungsempfänger ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, BuchhaltGenie ist nach dem Recht der Europäischen Union oder eines Mitgliedstaats, dem BuchhaltGenie unterliegt, zur Verarbeitung verpflichtet.

In-App-Bestätigungen und Feature-Schalter des Verantwortlichen — insbesondere die Annahme dieses AVV, das Hochladen eines Belegdokuments zur automatisierten Auswertung, das Verbinden eines Stripe-Kontos zum automatisierten Abruf von Transaktionsdaten, das Aktivieren des Kunden-Syncs zur Übernahme von Kundenstammdaten aus verbundenen Stripe-Konten sowie die Aktivierung optionaler Funktionen wie der Öffnungs-/Klickerfassung — gelten als dokumentierte Weisung im Sinne dieser Bestimmung. BuchhaltGenie informiert den Verantwortlichen unverzüglich, falls eine Weisung nach Auffassung von BuchhaltGenie gegen die DSGVO oder sonstige Datenschutzbestimmungen verstößt.

6. Vertraulichkeit

BuchhaltGenie stellt sicher, dass sich zur Verarbeitung der personenbezogenen Daten befugte Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

7. Technische und organisatorische Maßnahmen (TOMs)

BuchhaltGenie ergreift alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Art. 28 Abs. 3 lit. c DSGVO). Die aktuellen Maßnahmen sind in Anlage 2 beschrieben.

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt BuchhaltGenie eine allgemeine Genehmigung zur Beauftragung der in Anlage 1 gelisteten Unterauftragsverarbeiter (Art. 28 Abs. 3 lit. d i. V. m. Abs. 2 DSGVO).

Beabsichtigt BuchhaltGenie, einen neuen Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden auszutauschen, informiert BuchhaltGenie den Verantwortlichen mindestens 30 Tage vor der geplanten Änderung. Der Verantwortliche kann dieser Änderung innerhalb dieser Frist aus sachlichem Grund widersprechen; im Fall eines berechtigten Widerspruchs werden die Parteien eine einvernehmliche Lösung suchen.

9. Unterstützung bei der Wahrnehmung von Betroffenenrechten

BuchhaltGenie unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person (Art. 28 Abs. 3 lit. e DSGVO).

Erreicht BuchhaltGenie eine Anfrage eines Rechnungsempfängers direkt (z. B. ein Auskunfts- oder Löschbegehren), leitet BuchhaltGenie diese unverzüglich an den Verantwortlichen weiter und informiert die anfragende Person darüber, dass sie sich an den Verantwortlichen zu wenden hat.

10. Unterstützung bei Datensicherheit und Meldepflichten

BuchhaltGenie unterstützt den Verantwortlichen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (Art. 28 Abs. 3 lit. f DSGVO), insbesondere durch Berücksichtigung der Art der Verarbeitung und der BuchhaltGenie zur Verfügung stehenden Informationen.

Wird BuchhaltGenie eine Verletzung des Schutzes personenbezogener Daten der Rechnungsempfänger bekannt, meldet BuchhaltGenie diese dem Verantwortlichen unverzüglich, damit dieser seinen Meldepflichten nach Art. 33 und Art. 34 DSGVO nachkommen kann.

11. Nachweise und Überprüfungen

BuchhaltGenie stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen von ihm beauftragten Prüfer und trägt zu diesen Überprüfungen bei (Art. 28 Abs. 3 lit. h DSGVO).

Angesichts der Größe und des Geschäftsmodells von BuchhaltGenie (Einzelunternehmen) erfolgt der Nachweis in der Regel durch schriftliche Auskunft und Bereitstellung geeigneter Unterlagen; ein Vor-Ort-Audit kann nach vorheriger Ankündigung mit angemessener Frist verlangt werden.

12. Löschung und Rückgabe nach Vertragsende

12.1 Nach Beendigung des Nutzungsvertrags werden die personenbezogenen Daten der Rechnungsempfänger nach Wahl des Verantwortlichen gelöscht oder zurückgegeben. Der Verantwortliche kann seine Daten innerhalb von 30 Tagen nach Vertragsende selbst exportieren (Art. 20 DSGVO, siehe AGB).

12.2 Ausgenommen von der Löschpflicht sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g letzter Halbsatz DSGVO), insbesondere die Aufbewahrungspflicht nach § 132 Bundesabgabenordnung (BAO) — sieben Jahre ab Schluss des Kalenderjahres, auf das sich die Aufzeichnungen beziehen. Rechtsgrundlage für diese Aufbewahrung ist Art. 6 Abs. 1 lit. c i. V. m. Art. 17 Abs. 3 lit. b DSGVO.

12.3 Von dieser Aufbewahrungspflicht umfasst sind insbesondere: ausgestellte Rechnungen, Ausgaben und Belege, UVA-Perioden, Rechnungsnummernkreise, Bankimporte und -buchungen sowie das zugehörige Änderungsprotokoll. Daten der Rechnungsempfänger verbleiben insoweit im Umfang der aufbewahrten Grundaufzeichnungen gespeichert; alle übrigen Daten werden gelöscht, nicht löschbare Stammdaten werden anonymisiert.

12.4 Die aufbewahrten Daten werden ausschließlich zum Zweck der Erfüllung der gesetzlichen Aufbewahrungspflicht vorgehalten und nach Ablauf der Aufbewahrungsfrist endgültig gelöscht.

12.5 Ein Nachweis über den Abschluss, die jeweils angenommene Fassung und den Zeitpunkt der Annahme dieses Vertrags wird über das Vertragsende hinaus aufbewahrt (Art. 5 Abs. 2, Art. 17 Abs. 3 lit. e DSGVO).

13. Haftung, Änderungen, Schlussbestimmungen

13.1 Haftung. Für die Haftung der Parteien gelten die gesetzlichen Bestimmungen sowie ergänzend die Haftungsregelungen der AGB von BuchhaltGenie.

13.2 Änderungen. BuchhaltGenie kann diesen AVV bei sachlicher Notwendigkeit (z. B. Gesetzesänderungen, neue Verarbeitungstätigkeiten, geänderte Unterauftragsverarbeiter) neu fassen. Eine Neufassung wird dem Verantwortlichen zur erneuten Annahme vorgelegt (Re-Annahme mit neuer Versionsbezeichnung); bis zur Annahme der neuen Fassung gilt die zuletzt angenommene Fassung fort. Frühere Fassungen bleiben unter buchhaltgenie.at/avv/<Fassungsbezeichnung> im Wortlaut abrufbar.

13.3 Schlussbestimmungen. Es gilt österreichisches Recht. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV im Umfang der Auftragsverarbeitung vor.

Anlage 1 — Unterauftragsverarbeiter

Anlage 2 — Technische und organisatorische Maßnahmen (TOMs)

• Zugangskontrolle: Authentifizierung über Supabase-Auth; jede Server-Aktion prüft die Sitzung serverseitig, bevor auf Daten zugegriffen wird (requireAuth()).
• Mandantentrennung: Row Level Security (RLS) auf allen Datenbanktabellen sowie SECURITY-DEFINER-Datenbankfunktionen mit Owner-only-Berechtigungsprüfung für sensible Schreibvorgänge — jeder Kunde sieht ausschließlich seine eigenen Daten.
• Übertragungskontrolle: Verschlüsselte Übertragung (TLS) sowie eine nonce-basierte Content-Security-Policy zum Schutz vor unautorisierter Skriptausführung.
• Eingabekontrolle: Ein unveränderliches (append-only) Protokoll (Audit-Log) zeichnet sicherheitsrelevante Vorgänge nachvollziehbar auf.
• Datenresidenz: Speicherung der Geschäftsdaten in der EU-Region eu-central-1 (Frankfurt).
• Datenminimierung bei der Belegauswertung: Belegdokumente werden ausschließlich für den Auswertungsvorgang an den KI-Unterauftragsverarbeiter übermittelt; die Speicherung des Belegs selbst verbleibt in der EU-Region.
• Schlüsselverwahrung (Stripe-Import): Zugangsschlüssel zu verbundenen Stripe-Konten werden ausschließlich verschlüsselt (AES-256-GCM) gespeichert und nur serverseitig entschlüsselt; beim Trennen eines Kontos wird der verschlüsselte Schlüssel endgültig gelöscht.
• Missbrauchsschutz: Rate-Limiting zum Schutz vor automatisierten Massenanfragen.
• Verschlüsselung: Verschlüsselung ruhender Daten (at rest) durch den jeweiligen Hosting-Anbieter.
• Löschkonzept: 30-tägige Karenzfrist nach einem Löschantrag, automatisierte Durchführung der Löschung, sowie eine gesetzliche Aufbewahrung nach § 132 BAO (sieben Jahre ab Schluss des Kalenderjahres, auf das sich die Aufzeichnungen beziehen; Fristende jeweils 31. Dezember).
• Anonymisierung: Wo eine gesetzliche Aufbewahrungspflicht besteht, werden nicht löschbare Stammdaten anonymisiert statt gelöscht.
• Verfügbarkeit und Sicherung: Eine Sicherung der Daten erfolgt durch den jeweiligen Hosting-Anbieter.