Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Präambel

Dieser Auftragsverarbeitungsvertrag ("AVV") ergänzt den Hauptvertrag zwischen dem Kunden als Verantwortlichem ("Verantwortlicher") und der Sine Aspera Ad Astra GmbH, Sternstr. 11, 80538 München, Deutschland, vertreten durch Felix Graeber. Handelsregister: Amtsgericht München, HRB 313338. Die Gesellschaft handelt als Auftragsverarbeiter ("Auftragsverarbeiter").

Dieser AVV gilt, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen im Zusammenhang mit Rechnungskonvertierung, Validierung, Review, External API-Nutzung, Support, Diagnosen und verbundenen Leistungen verarbeitet.

1. Gegenstand, Dauer und Weisungen

Gegenstand ist die automatisierte und unterstützte Konvertierung von Rechnungen und rechnungsähnlichen Dokumenten in strukturierte elektronische Rechnungsformate, einschließlich Extraktion, Validierung, Standardisierung, Artefakterzeugung, strikter API-Ausstellung, Support und Fehleranalyse.

Die Laufzeit dieses AVV folgt der Laufzeit des Hauptvertrags. Dokumentierte Weisungen des Verantwortlichen sind der Hauptvertrag, diese AGB, der AVV, Order Forms, API-Dokumentation und vom Auftragsverarbeiter akzeptierte schriftliche Weisungen. Der Auftragsverarbeiter informiert den Verantwortlichen, wenn er der Ansicht ist, dass eine Weisung gegen Datenschutzrecht verstößt.

2. Einzelheiten der Verarbeitung

Zweck: Bereitstellung von Rechnungskonvertierung, Validierung, Download, External API, Qualitätssicherung der Konvertierungsergebnisse, Abrechnungssupport, Sicherheit, Fehleranalyse, Incident-Bearbeitung und Kundensupport.

Datenkategorien: Rechnungsinhalte, Lieferanten- und Käuferstammdaten, Kontaktdaten, Steuerkennzeichen, USt-IDs, Bankdaten, Rechnungsnummern, Positionen, Beträge, Leistungsbeschreibungen, Account-Nutzerdaten, Mandanten-IDs, API-Key-IDs und Präfixe, Idempotency Keys, Request Hashes, Korrelations-IDs, Nutzungs- und Audit- Ereignisse, Credit-Ledger-Daten, Validierungsnachweise, Artefakt-Hashes, Dateinamen, Supportdiagnosen und technische Metadaten.

Betroffene Personen: Nutzer, Beschäftigte oder Auftragnehmer des Verantwortlichen, Rechnungsaussteller, Rechnungsempfänger, Lieferanten, Kunden, Ansprechpartner und andere in Rechnungsinhalten genannte Personen.

Beschränkte Daten: Der Verantwortliche darf keine besonderen Kategorien personenbezogener Daten, Daten über Straftaten, Zahlungskartendaten, Ausweisdokumente, Passwörter, Geheimnisse, HR-Unterlagen, Gesundheitsakten oder sachfremde sensible Datensätze hochladen, sofern dies nicht zwingend erforderlich und ausdrücklich schriftlich vereinbart ist.

3. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung, verpflichtet Personal zur Vertraulichkeit, setzt angemessene technische und organisatorische Maßnahmen um, unterstützt den Verantwortlichen bei Betroffenenanfragen soweit zumutbar und löscht oder gibt personenbezogene Daten wie unten beschrieben zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.

Kunden-Rechnungsinhalte werden nicht für Modelltraining, wiederverwendbare Datensätze, Benchmarking oder Produktanalyse genutzt, sofern der Verantwortliche nicht ausdrücklich schriftlich zustimmt.

Qualitätssicherung: Um Konvertierungsfehler zu erkennen, zu analysieren und zu beheben, bewahrt der Auftragsverarbeiter Nachweise aus Konvertierungsvorgängen auf, einschließlich hochgeladener Quelldateien, erkannter Texte, extrahierter und vom Nutzer geprüfter Rechnungsdaten, erzeugter XML-/PDF-Artefakte, Validierungsergebnisse und Diagnosen. Die Nachweise werden in zugriffsbeschränktem Speicher abgelegt und in automatisierten Audits, die die in Anhang 1 genannten KI-Unterauftragsverarbeiter nutzen können, sowie durch berechtigtes Personal geprüft. Audit-Ergebnisse werden nur genutzt, um Fehler im Dienst zu erkennen und zu beheben. Diese Qualitätssicherung ist Teil der Bereitstellung und Fehleranalyse des Dienstes und ist kein Modelltraining, kein wiederverwendbarer Datensatz, kein Benchmarking und keine Produktanalyse. Die Aufbewahrungsfristen regelt Abschnitt 9.

Abschaltung der Qualitätsnachweise: Enterprise-Kunden können diese Nachweise im Profil abschalten. Spätestens eine Minute nach dem Abschalten speichert der Auftragsverarbeiter aus den Konvertierungen dieses Kontos keine neuen Nachweise zur Qualitätssicherung mehr: keine Kopien von Quelldateien, erkannten Texten, extrahierten oder geprüften Rechnungsdaten, erzeugten Artefakten oder Debug-Bundles. Das Abschalten löscht auch die zuvor gespeicherten Nachweise dieses Kontos: Die Verknüpfung mit dem Konto und die Rechnungsinhalte in den Datensätzen werden sofort entfernt, die Dateien innerhalb eines Tages. Für die Erbringung des Dienstes erforderliche Daten (Verarbeitungsergebnisse, Downloads, Validierungsnachweise, Abrechnungsdaten, Betriebsprotokolle und wertfreie Statistiken) sowie die Verarbeitung durch die KI-Unterauftragsverarbeiter bleiben unberührt. Eine gespeicherte Abschaltung gilt auch nach einem Tarifwechsel weiter. Konvertierungen, die beim Wirksamwerden bereits laufen, können noch mit der vorherigen Einstellung abgeschlossen werden.

4. Pflichten des Verantwortlichen

Der Verantwortliche ist verantwortlich für Rechtmäßigkeit der hochgeladenen Daten, Datenminimierung, Transparenz gegenüber Betroffenen, Richtigkeit der Quelldaten, Prüfung, Übermittlung, Archivierung, Steuer- und Buchhaltungsentscheidungen und dafür, dass der Dienst nicht als alleiniger Prozess für fristkritische Rechnungspflichten genutzt wird.

5. Unterauftragsverarbeitung und Transfers

Der Verantwortliche genehmigt die in Anhang 1 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter kann Unterauftragsverarbeiter ersetzen oder ergänzen, wenn er mindestens 14 Kalendertage vorher per E-Mail, Account-Hinweis, Changelog oder über einen anderen angemessenen Kanal informiert. Der Verantwortliche kann aus wesentlichen Datenschutzgründen widersprechen. Drittlandtransfers werden, soweit erforderlich, durch Standardvertragsklauseln und zusätzliche Schutzmaßnahmen abgesichert.

6. Sicherheitsmaßnahmen

• Transportverschlüsselung über HTTPS/TLS für externe Servicekommunikation.
• Rollenbasierter administrativer Zugriff und Least-Privilege-Zugriffskontrollen.
• Multi-Faktor-Authentifizierung (MFA) für jeden administrativen und Remote-Zugriff.
• Logische Mandantentrennung für Konto-, API-, Task-, Abrechnungs- und Artefaktdaten.
• Gehashte API-Keys; Klartext-Live-API-Keys werden nur bei Erstellung angezeigt.
• Rate Limits, Request-Größenlimits, Missbrauchskontrollen und Sicherheits-Audit-Logging.
• Temporäre Artefaktaufbewahrung statt dauerhafter Archivierung von Rechnungsinhalten.
• Trennung von Produktions- und Nicht-Produktionsumgebungen, soweit betrieblich anwendbar.
• Fehlerfilterung und Telemetrie-Minimierung, soweit technisch möglich.
• Auswahl von Unterauftragsverarbeitern mit vertraglichen Schutzmaßnahmen und Transfermechanismen.
• Incident-Prüfung und Kundenbenachrichtigung, soweit gesetzlich erforderlich.

7. Audits und Nachweise

Der Auftragsverarbeiter stellt angemessene Remote-Nachweise zur Verfügung, zum Beispiel diesen AVV, Unterauftragsverarbeiterliste, TOMs, Aufbewahrungsübersicht, Incident-Prozess und schriftliche Antworten auf Sicherheitsfragebögen. Vor-Ort-Audits, Quellcodezugriff, Infrastrukturzugriff, Secrets, Zugangsdaten, nicht kundenbezogene Logs oder Zugriff auf andere Mandanten sind nicht enthalten, sofern nicht separat schriftlich vereinbart.

8. Verletzungen personenbezogener Daten

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Bestätigung einer Verletzung personenbezogener Daten, die personenbezogene Daten des Verantwortlichen betrifft, und stellt verfügbare Informationen für gesetzliche Meldungen des Verantwortlichen bereit, sobald diese verfügbar sind. Es gilt keine harte 12- oder 24-Stunden-Frist, Vertragsstrafe oder Service Credit, sofern nicht ausdrücklich schriftlich vereinbart.

9. Löschung, Rückgabe und Aufbewahrung

Der Auftragsverarbeiter betreibt kein dauerhaftes zentrales Archiv von Kunden-Rechnungsdokumenten. Abgeschlossene Verarbeitungstasks außerhalb der External API sind in der Regel etwa 10 Minuten nach Abschluss oder Fehlschlag verfügbar. External API-Tasks und ihre Ergebnisse werden 24 Stunden nach Erreichen eines Endstatus (abgeschlossen oder fehlgeschlagen) aufbewahrt; ein fehlgeschlagener Task mit ausstehender Freigabe seiner Credit-Reservierung bleibt bis zum Abschluss dieser Freigabe gespeichert. Solange das Kästchen "Per E-Mail erinnern, falls ich den Download vergesse" (vorausgewählt) angekreuzt bleibt, werden die fertige E-Rechnungsdatei und der Erinnerungsvermerk 24 Stunden ab Speicherung der Datei aufbewahrt und danach gelöscht; der Nutzer kann das Häkchen entfernen, um die Erinnerung zu beenden. External API-Idempotenzdaten laufen standardmäßig nach 24 Stunden ab. Debug-Bundles werden standardmäßig bis zu 14 Tage aufbewahrt. Event-Logs folgen der deployten Retention-Einstellung, derzeit voraussichtlich 30 Tage, sofern nicht geändert; aggregierte Logs können standardmäßig bis zu 365 Tage aufbewahrt werden. Abrechnungs- und Buchhaltungsdaten werden aufbewahrt, soweit gesetzlich erforderlich.

Für Nachweise zur Qualitätssicherung nach Abschnitt 3 gilt: Rohdateien laufen 30 Tage nach Erfassung ab und werden danach durch eine periodische Bereinigung gelöscht. Fallmetadaten (zum Beispiel Nutzer-ID, Eingangskanal, Dateiname, Ausgabeformat, Hashes und Anzahl der Korrekturen) und Audit-Ergebnisse, die sich auf betroffene Rechnungsfelder und -werte beziehen können, werden bis zu 365 Tage aufbewahrt. Bei Löschung eines Kontos löscht der Auftragsverarbeiter dessen Nachweise zur Qualitätssicherung: die Verknüpfung mit dem Konto und die Rechnungsinhalte in den Datensätzen sofort, die Dateien innerhalb eines Tages.

Nach Vertragsende löscht oder gibt der Auftragsverarbeiter personenbezogene Daten innerhalb einer angemessenen Frist zurück, sofern keine gesetzlichen Aufbewahrungs-, Sicherheits-, Betrugspräventions-, Streitbeilegungs-, Backup- oder Audit-Integritätsgründe eine längere Aufbewahrung rechtfertigen.

10. Haftung

Zwingende Haftung gegenüber Betroffenen nach Art. 82 DSGVO bleibt unberührt. Im Innenverhältnis zwischen Verantwortlichem und Auftragsverarbeiter unterliegen vertragliche und interne Ersatzansprüche aus oder im Zusammenhang mit diesem AVV den Haftungsbeschränkungen des Hauptvertrags und anwendbarer Order Forms, soweit gesetzlich zulässig. Der Auftragsverarbeiter akzeptiert keine unbeschränkten Freistellungen, Vertragsstrafen oder pauschalierten Schadensersatz, sofern dies nicht in einer separaten unterzeichneten Vereinbarung ausdrücklich geregelt ist.

11. Schlussbestimmungen

Es gilt deutsches Recht. Änderungen dieses AVV müssen in Textform dokumentiert werden, sofern keine strengere Form vorgeschrieben ist. Sollten einzelne Bestimmungen unwirksam sein, bleiben die übrigen Bestimmungen wirksam. Soweit gesetzlich zulässig, sind die Gerichte am Sitz des Auftragsverarbeiters zuständig.