Vereinbarung zur Auftragsverarbeitung

1. Präambel und Geltungsbereich

Diese Vereinbarung zur Auftragsverarbeitung (AVV) konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit dem Vertrag über die Nutzung der Software Invoisary (nachfolgend „Hauptvertrag“). Sie gilt für alle Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter im Auftrag und nach Weisung des Verantwortlichen im Rahmen der Bereitstellung von Invoisary durchführt.

Der Verantwortliche entscheidet allein über Zweck und Mittel der Verarbeitung der von ihm in Invoisary eingebrachten Daten und ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen verantwortlich.

Soweit der Auftragsverarbeiter Daten zu eigenen Zwecken verarbeitet – etwa Vertrags- und Abrechnungsdaten des Verantwortlichen oder Daten der Website invoisary.com –, handelt er insoweit als eigener Verantwortlicher; diese Verarbeitungen sind nicht Gegenstand dieser AVV.

2. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung von Invoisary als Software-as-a-Service zur Verwaltung von Eingangs- und Ausgangsrechnungen, Belegen, Angeboten, Zahlungen, Bankumsätzen, Budgets, Kostenstellen und Auswertungen sowie der zugehörigen Web- und Mobilanwendungen.

Die Verarbeitung erfolgt automatisiert und umfasst insbesondere das Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken und Löschen personenbezogener Daten. Konkret umfasst der Leistungsumfang:

• Erfassung und Verwaltung von Rechnungen, Belegen und Belegdokumenten, einschließlich Upload, Stapelverarbeitung und Belegarchiv
• KI-gestützte Erkennung von Belegdaten aus hochgeladenen Dokumenten (OCR und Dokumentenextraktion) sowie Verarbeitung strukturierter E-Rechnungen
• Empfang von Belegen über eine dedizierte E-Mail-Adresse sowie Versand von Rechnungen, Benachrichtigungen und Systemnachrichten per E-Mail
• Anbindung von Bankkonten nach PSD2 sowie Import von Kontoumsätzen und deren Abgleich mit Rechnungen und Zahlungen
• Freigabe-, Frage- und Workflowfunktionen, Notizen und Aktivitätsprotokolle
• Budgetplanung, Kostenstellen- und Kostenträgerrechnung, Auswertungen und Prognosen
• Exporte an die Buchhaltung sowie Bereitstellung einer Integrations-API
• Benutzer-, Rollen- und Berechtigungsverwaltung inklusive Anmeldung und optionaler Multi-Faktor-Authentifizierung
• Betrieb, Wartung, Fehleranalyse und Support der Anwendung

Zweck der Verarbeitung ist ausschließlich die Erfüllung des Hauptvertrags. Der Auftragsverarbeiter verarbeitet die Daten des Verantwortlichen nicht für eigene Zwecke und verwendet sie nicht zum Training eigener oder fremder KI-Modelle.

3. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags. Diese AVV endet automatisch mit dem Hauptvertrag; eine gesonderte Kündigung dieser AVV ist ausgeschlossen. Die Pflichten zur Löschung und Rückgabe nach Punkt 14 sowie die Vertraulichkeitspflichten gelten über das Vertragsende hinaus.

4. Kategorien betroffener Personen

Von der Verarbeitung können folgende Personengruppen betroffen sein:

• Beschäftigte und sonstige Nutzerinnen und Nutzer des Verantwortlichen (z. B. Erfassung, Freigabe, Buchhaltung, Administration)
• Ansprechpersonen von Kundinnen, Kunden, Lieferanten und sonstigen Geschäftspartnern des Verantwortlichen
• Beschäftigte, die private Auslagen einreichen oder Firmenkarten nutzen, sowie deren Vorgesetzte im Freigabeprozess
• Zahlungsempfänger und Zahlungspflichtige aus importierten Bankumsätzen
• Absenderinnen und Absender von E-Mails an die Belegadresse des Verantwortlichen
• Sonstige Personen, deren Daten in hochgeladenen Belegen oder erfassten Dokumenten enthalten sind

5. Arten der verarbeiteten personenbezogenen Daten

• Stammdaten: Name, Firmenname, Anschrift, Steuer- und UID-Nummer, Bezeichnungen von Kostenstellen und Projekten
• Kontaktdaten: E-Mail-Adressen, Telefonnummern, Ansprechpersonen
• Benutzerkontodaten: Anmeldename, E-Mail-Adresse, Passwörter ausschließlich in Form kryptografischer Hashwerte, Rollen und Berechtigungen, Einstellungen zur Multi-Faktor-Authentifizierung, Spracheinstellungen
• Rechnungs- und Belegdaten: Rechnungsnummern, Datumsangaben, Beträge, Steuersätze, Positionen, Zahlungsbedingungen, hochgeladene Belegdokumente (PDF- und Bilddateien) samt der darin enthaltenen Angaben
• Zahlungs- und Bankdaten: IBAN, BIC, Kontobezeichnungen, Kontoumsätze, Verwendungszwecke, Zahlungsstatus und Zuordnungen zu Rechnungen
• Beschäftigtenbezogene Daten: Auslagen und Erstattungen, Zuordnung von Belegen zu Beschäftigten, Freigaben und Ablehnungen samt Begründung
• Kommunikationsdaten: eingehende und ausgehende E-Mails samt Anhängen, Notizen, Rückfragen zu Belegen und deren Beantwortung
• Nutzungs- und Protokolldaten: Zeitstempel, Aktivitäts- und Änderungsprotokolle, Anmeldeereignisse, technische Protokoll- und Fehlerdaten einschließlich IP-Adresse und Geräteinformationen

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Leistung. Der Verantwortliche stellt sicher, dass solche Daten nicht in die Anwendung eingebracht werden, soweit dies nicht ausnahmsweise unvermeidbar aus dem Inhalt eines Belegs folgt.

6. Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Der Hauptvertrag und diese AVV einschließlich der Nutzung der in der Anwendung angebotenen Funktionen stellen die vollständige Erstweisung dar. Ergänzende Weisungen sind in Textform an office@invoisary.com zu richten. Weisungsbefugt sind die im Invoisary-Konto als Administratoren hinterlegten Personen.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Bestimmungen verstößt (Art. 28 Abs. 3 letzter Satz DSGVO). Er ist berechtigt, die Ausführung einer solchen Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

7. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich im Rahmen des Hauptvertrags und der Weisungen des Verantwortlichen
• Verpflichtung aller zur Verarbeitung befugten Personen auf Vertraulichkeit; die Vertraulichkeitspflicht besteht auch nach Beendigung ihrer Tätigkeit fort
• Umsetzung und Aufrechterhaltung der technischen und organisatorischen Maßnahmen nach Punkt 9
• Einsatz weiterer Auftragsverarbeiter nur nach Maßgabe von Punkt 10
• Unterstützung des Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen nach Punkt 11
• Unterstützung des Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen
• Meldung von Verletzungen des Schutzes personenbezogener Daten nach Punkt 12
• Löschung oder Rückgabe der Daten nach Beendigung des Vertrags gemäß Punkt 14
• Bereitstellung aller Informationen, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, sowie Ermöglichung von Überprüfungen nach Punkt 13
• Führung eines Verzeichnisses aller Kategorien von Verarbeitungstätigkeiten im Auftrag des Verantwortlichen nach Art. 30 Abs. 2 DSGVO

8. Ort der Verarbeitung

Die Daten des Verantwortlichen werden ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum gespeichert. Anwendung, Datenbank und Dokumentenspeicher werden in der Region Frankfurt am Main (eu-central-1) betrieben; der Empfang von Belegen per E-Mail erfolgt zusätzlich über die Region Irland (eu-west-1).

Eine Übermittlung personenbezogener Daten in ein Drittland oder ein Zugriff darauf aus einem Drittland erfolgt ausschließlich bei den in Punkt 10 genannten Unterauftragsverarbeitern und nur unter den Voraussetzungen von Kapitel V der DSGVO. Dies betrifft insbesondere die Abwicklung der Abonnementzahlungen über Stripe sowie die Betriebsüberwachung durch Datadog.

9. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung die folgenden Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:

Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter ist berechtigt, sie anzupassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

10. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Hinzuziehung der nachfolgend genannten weiteren Auftragsverarbeiter:

Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus, prüft deren Datenschutz- und Sicherheitsniveau und schließt mit ihnen Verträge ab, die den Anforderungen des Art. 28 Abs. 4 DSGVO entsprechen und ihnen im Wesentlichen dieselben Pflichten auferlegen wie diese AVV.

Über die Hinzuziehung eines neuen oder den Wechsel eines bestehenden Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage im Voraus per E-Mail an die im Konto hinterlegten Administratoren. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Kann der Widerspruch nicht ausgeräumt werden, ist der Verantwortliche berechtigt, den Hauptvertrag außerordentlich zum Zeitpunkt der Umstellung zu kündigen.

Als Unterauftragsverarbeitung gelten nicht Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, ohne dass ein Zugriff auf personenbezogene Daten des Verantwortlichen vorgesehen ist, etwa Telekommunikationsleistungen oder Wartung ohne Datenzugriff.

Soweit personenbezogene Daten in ein Drittland übermittelt werden oder aus einem Drittland darauf zugegriffen wird – insbesondere durch Stripe, LLC und Datadog, Inc. mit Sitz in den Vereinigten Staaten –, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder der Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO samt ergänzender Schutzmaßnahmen. Für Stripe richtet sich der Übermittlungsmechanismus nach dem Data Transfers Addendum zum Stripe-Auftragsverarbeitungsvertrag (EU-US Data Privacy Framework oder Standardvertragsklauseln); für Datadog gelten die in dessen Auftragsverarbeitungsvertrag einbezogenen Standardvertragsklauseln.

Einen Teil der Zahlungsdaten verarbeitet Stripe nicht als Unterauftragsverarbeiter, sondern als eigener Verantwortlicher – insbesondere zur Erkennung und Verhinderung von Betrug, zur Erfüllung geldwäsche- und aufsichtsrechtlicher Pflichten einschließlich der Identifizierung von Kunden sowie zur Weiterentwicklung eigener Dienste. Für diese Verarbeitung bestimmt Stripe Zweck und Mittel selbst; sie unterliegt nicht dieser AVV, sondern der Datenschutzerklärung von Stripe.

11. Rechte betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte betroffener Personen nach Kapitel III der DSGVO nachzukommen. Die Anwendung stellt hierfür Funktionen zur Auskunft, Berichtigung, Einschränkung, Löschung und zum Export der Daten in gängigen Formaten bereit.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern er dazu nicht ausdrücklich angewiesen wurde. Berichtigungen, Löschungen und Einschränkungen von Daten nimmt der Auftragsverarbeiter nur auf Weisung des Verantwortlichen oder aufgrund gesetzlicher Verpflichtung vor.

12. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden nach Bekanntwerden, per E-Mail an die im Konto hinterlegten Administratoren.

Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Meldepflichten nach Art. 33 und 34 DSGVO und dokumentiert alle Vorfälle.

13. Nachweise und Kontrollrechte

Der Auftragsverarbeiter weist die Einhaltung der in dieser AVV festgelegten Pflichten auf Anfrage nach, insbesondere durch diese Dokumentation der technischen und organisatorischen Maßnahmen, durch Auskünfte in Textform sowie durch Vorlage vorhandener Zertifikate, Testate oder Prüfberichte der eingesetzten Unterauftragsverarbeiter.

Der Verantwortliche ist darüber hinaus berechtigt, Überprüfungen durchzuführen oder durch beauftragte Prüfer durchführen zu lassen. Vor-Ort-Prüfungen sind mit angemessener Vorankündigung von mindestens vier Wochen, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und in der Regel höchstens einmal jährlich durchzuführen. Bei einem konkreten Anlass, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten, entfällt die Beschränkung auf eine jährliche Prüfung. Beauftragte Prüfer dürfen nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter stehen und sind zur Verschwiegenheit zu verpflichten. Der eigene Aufwand des Verantwortlichen sowie der Aufwand beauftragter Prüfer werden vom Verantwortlichen getragen.

14. Löschung und Rückgabe der Daten

Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück. Der Verantwortliche kann seine Daten während der Vertragslaufzeit und innerhalb von 30 Tagen nach Vertragsende jederzeit selbst über die Export- und Berichtsfunktionen der Anwendung in gängigen Formaten herunterladen.

Die Löschung der Produktivdaten erfolgt innerhalb von 30 Tagen nach Vertragsende. In Sicherungskopien enthaltene Daten werden im Zuge des regulären Sicherungszyklus gelöscht, spätestens innerhalb von 90 Tagen nach Vertragsende; bis dahin bleiben sie ausschließlich der Wiederherstellung vorbehalten.

Unberührt bleibt die Speicherung von Daten, zu deren Aufbewahrung der Auftragsverarbeiter nach Unionsrecht oder dem Recht eines Mitgliedstaats verpflichtet ist. Diese Daten werden bis zum Ablauf der jeweiligen Aufbewahrungsfrist gesperrt und ausschließlich zum Zweck der Erfüllung der gesetzlichen Pflicht verarbeitet.

15. Haftung

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit sie zwingenden datenschutzrechtlichen Bestimmungen nicht entgegenstehen.

16. Schlussbestimmungen

• Änderungen und Ergänzungen dieser AVV bedürfen der Textform; dies gilt auch für die Abbedingung dieses Formerfordernisses.
• Bei Widersprüchen zwischen dieser AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieser AVV vor.
• Sollte eine Bestimmung dieser AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame Regelung, die dem wirtschaftlichen Zweck am nächsten kommt.
• Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts und des UN-Kaufrechts. Zwingende datenschutzrechtliche Bestimmungen bleiben unberührt.
• Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, das sachlich zuständige Gericht am Sitz des Auftragsverarbeiters.