Präambel
Dieser Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ergänzt die Allgemeinen Geschäftsbedingungen (AGB) zwischen dem Nutzer (im Folgenden „Verantwortlicher") und Belegschmied (im Folgenden „Auftragsverarbeiter"). Er regelt die Verarbeitung personenbezogener Daten Dritter durch den Auftragsverarbeiter im Rahmen der Bereitstellung der SaaS-Plattform Belegschmied.
Mit Annahme der AGB nimmt der Verantwortliche diesen AVV in der zum Zeitpunkt seiner Registrierung gültigen Fassung verbindlich an. Spätere Änderungen folgen dem in § 10 dieses AVV bzw. § 10 der AGB geregelten Verfahren.
§ 1 Gegenstand und Dauer der Verarbeitung
Gegenstand der Verarbeitung ist die Konvertierung von Rechnungen in das Format E-Rechnung (ZUGFeRD / Factur-X / XRechnung nach EN 16931), deren Versand an Empfänger des Verantwortlichen, der Empfang eingehender Rechnungen sowie die revisionssichere Archivierung gemäß §147 AO.
Die Verarbeitung erfolgt für die Dauer des Hauptvertrages (AGB) sowie für die Dauer der gesetzlichen Aufbewahrungsfristen (10 Jahre nach §147 AO, soweit anwendbar).
§ 2 Art und Zweck der Verarbeitung
Art der Verarbeitung: Erhebung, Speicherung, Anpassung, Auslesen, Abfragen, Verwenden, Übermittlung, Anonymisierung und Löschung im Rahmen der Bereitstellung der Belegschmied-Plattform.
Zweck der Verarbeitung: Erfüllung der E-Rechnungspflicht des Verantwortlichen, Lesbarmachung empfangener Rechnungen, technischer Versand ausgehender Rechnungen sowie die GoBD-konforme Aufbewahrung.
Die konkrete Beschreibung der Verarbeitung ergibt sich aus Anlage 1.
§ 3 Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten insbesondere die Nutzung der App, die Konfiguration der Workspace-Einstellungen sowie ausdrückliche Anweisungen per E-Mail an die im Impressum genannten Kontaktadressen. Eine Übermittlung in ein Drittland erfolgt nur, soweit dies in Anlage 3 dieses AVV oder in den Workspace-Einstellungen vorgesehen ist.
Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit und stellt sicher, dass diese Personen die Bestimmungen dieses AVV einhalten.
Der Auftragsverarbeiter ergreift alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die im Zeitpunkt des Vertragsschlusses umgesetzten Maßnahmen sind in Anlage 2 beschrieben und werden regelmäßig dem Stand der Technik angepasst.
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) sowie bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden. Konkret: Nachweise per Telefon-/Video-Konferenz oder über bereitgestellte Auditberichte; Vor-Ort-Audits nur nach vorheriger Abstimmung und nur in einem für laufende Bereitstellung verhältnismäßigen Umfang.
§ 4 Sub-Auftragsverarbeiter
Der Verantwortliche genehmigt die in Anlage 3 dieses AVV namentlich genannten Sub-Auftragsverarbeiter (allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO).
Beabsichtigt der Auftragsverarbeiter, einen weiteren Sub-Auftragsverarbeiter hinzuzuziehen oder einen bestehenden auszutauschen, informiert er den Verantwortlichen mindestens 30 Tage vor dem geplanten Inkrafttreten der Änderung. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem Grund widersprechen; in diesem Fall hat jede Partei das Recht zur außerordentlichen Kündigung zum Wirksamkeitszeitpunkt der Änderung.
Der Auftragsverarbeiter schließt mit jedem Sub-Auftragsverarbeiter einen Vertrag, der diesen zu denselben Datenschutzpflichten verpflichtet, denen der Auftragsverarbeiter nach diesem AVV unterliegt. Er bleibt dem Verantwortlichen für die Einhaltung dieser Pflichten gegenüber gemäß Art. 28 Abs. 4 DSGVO voll verantwortlich.
§ 5 Drittlandtransfers
Soweit Sub-Auftragsverarbeiter ihren Sitz oder ihre Verarbeitungseinrichtungen außerhalb der Europäischen Union haben (siehe Anlage 3), erfolgt der Transfer auf Grundlage eines Angemessenheitsbeschlusses (insbesondere EU-US Data Privacy Framework) und/oder der EU-Standardvertragsklauseln (SCC) gemäß Durchführungsbeschluss (EU) 2021/914.
Für US-Anbieter werden SCC und EU-US DPF kumulativ genutzt, damit bei einem Wegfall eines Mechanismus der andere weiter trägt. Zusätzliche Schutzmaßnahmen (Verschlüsselung in Transit und at-rest, Zero-Data-Retention bei LLM-Anbietern siehe Anlage 1-A) wurden im Rahmen einer Transfer Impact Assessment (TIA) als geeignet bewertet.
§ 6 Meldung von Datenpannen
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, spätestens innerhalb von 48 Stunden. Die Meldung erfolgt per E-Mail an die im Workspace hinterlegte Kontakt-Adresse des Verantwortlichen sowie ergänzend per In-App-Banner.
Die Meldung enthält, soweit dem Auftragsverarbeiter zum Zeitpunkt der Meldung bekannt, die Angaben gemäß Art. 33 Abs. 3 DSGVO (Art der Verletzung, betroffene Kategorien und Anzahl, voraussichtliche Folgen, getroffene oder geplante Maßnahmen). Nachträglich bekannt werdende Angaben werden ergänzt.
§ 7 Löschung und Rückgabe
Nach Abschluss der Erbringung der Verarbeitungstätigkeiten löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie ihm zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht. Insbesondere darf der Auftragsverarbeiter Daten zur Erfüllung der Aufbewahrungspflicht nach §147 AO (10 Jahre) weiter aufbewahren, soweit der Verantwortliche selbst dieser Pflicht unterliegt.
Die Löschung aus den aktiven produktiven Systemen erfolgt unverzüglich. Die Löschung aus Backup-Systemen erfolgt im Rahmen des regulären Backup-Zyklus von maximal 7 Tagen (Point-in-Time-Recovery-Fenster); innerhalb dieses Zeitraums sind die Daten in den Backups nur durch eine Wiederherstellung im Rahmen eines Desaster-Recovery-Falls zugänglich und werden anschließend ebenfalls überschrieben.
§ 8 Haftung
Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten ergänzend die Haftungsregelungen der AGB des Hauptvertrages, soweit nicht zwingendes Datenschutzrecht entgegensteht.
§ 9 Laufzeit und Kündigung
Dieser AVV beginnt mit Annahme durch den Verantwortlichen und endet mit Beendigung des Hauptvertrages. Eine isolierte Kündigung dieses AVV ist nicht möglich; das Sonderkündigungsrecht aus § 4 Abs. 2 sowie § 10 dieses AVV bleibt unberührt.
§ 10 Änderungen dieses AVV
Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor Inkrafttreten über wesentliche Änderungen dieses AVV, insbesondere über die Hinzuziehung neuer Sub-Auftragsverarbeiter (§ 4) oder Änderungen der technisch-organisatorischen Maßnahmen (Anlage 2). Widerspricht der Verantwortliche nicht binnen 30 Tagen nach Zugang der Änderungsmitteilung, gilt die neue Fassung als angenommen.
Bei Widerspruch hat jede Partei ein Sonderkündigungsrecht zum Wirksamkeitszeitpunkt der Änderung. Auf das Widerspruchsrecht und die Folgen einer unterlassenen Reaktion wird in der Änderungsmitteilung gesondert hingewiesen.
§ 11 Schlussbestimmungen
Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV vor, soweit sie datenschutzrechtliche Verarbeitungen betreffen. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, sofern der Verantwortliche Kaufmann oder juristische Person des öffentlichen Rechts ist, der Sitz des Auftragsverarbeiters.
Anlage 1 — Beschreibung der Verarbeitung
Gegenstand
Konvertierung von Rechnungen des Verantwortlichen und seiner Lieferanten in das Format E-Rechnung (ZUGFeRD im PDF/A-3 mit eingebettetem CII-XML nach EN 16931; Empfang auch XRechnung im reinen XML), Weiterleitung an benannte Empfänger, revisionssichere Archivierung gemäß §147 AO.
Art und Zweck
Erfüllung der E-Rechnungspflicht des Verantwortlichen. Empfang, Lesbarmachung mittels OCR und KI-gestützter Feldextraktion (Details siehe Anlage 1-A), Versand und Aufbewahrung von Rechnungen.
Art der Daten
- Stammdaten von Kunden, Lieferanten und Geschäftspartnern des Verantwortlichen (Name, Anschrift, Kontaktdaten).
- Bankdaten (IBAN, BIC) soweit auf den Rechnungen enthalten.
- Rechnungs- und Transaktionsdaten (Rechnungsnummer, Datum, Beträge, Steuersätze, Positionen, Leistungsbeschreibungen).
- Mail-Metadaten der ein- und ausgehenden Rechnungs-Kommunikation (Absender, Empfänger, Betreff, Zeitstempel, Provider-Message-IDs).
- Audit-Log-Daten zur Manipulationssicherheit (SHA-256-Hash-Chain).
Kategorien betroffener Personen
- Kunden des Verantwortlichen.
- Lieferanten des Verantwortlichen.
- Geschäftspartner und deren Ansprechpartner.
- Vom Verantwortlichen autorisierte Mitarbeiter mit Zugriff auf den Workspace.
Dauer
Für die Dauer des Hauptvertrages sowie für die Dauer der gesetzlichen Aufbewahrungsfrist von 10 Jahren nach §147 AO, soweit der Verantwortliche dieser Aufbewahrungspflicht unterliegt.
Anlage 1-A — LLM-gestützte Extraktion
Eigener Abschnitt aufgrund der besonderen Sensibilität dieses Verarbeitungspfades.
Übersicht
Zur Feldextraktion aus eingehenden Rechnungs-PDFs nutzt Belegschmied einen US-amerikanischen Large-Language-Model-Anbieter (Anthropic PBC oder OpenAI L.L.C., konfigurierbar). Die Auswahl des aktiven Anbieters ergibt sich aus der jeweils aktuellen Server-Konfiguration; beide werden in Anlage 3 als Sub-Auftragsverarbeiter geführt.
Aufgrund der besonderen Sensibilität dieses Verarbeitungspfades wird er hier gesondert beschrieben.
Welche Daten gehen an den LLM-Anbieter
Übermittelt wird der vollständige Inhalt des Rechnungs-PDFs als binärer Anhang (Base64-kodiert) sowie ein deterministischer Prompt-Rahmen. Das PDF enthält in der Regel die in Anlage 1 genannten Stammdaten, Bankdaten und Rechnungsinhalte.
Datenminimierung: Pflichtangaben nach §14 UStG sind über das gesamte Dokument verteilt (Briefkopf, Empfänger-Block, Positions-Tabelle, Fußzeile). Eine wirksame Reduktion auf einzelne Felder vor dem LLM-Call ist mit dem aktuellen Stand der Technik nicht ohne Qualitätsverlust möglich. Eine separate OCR-/Vorverarbeitungsstufe wird laufend evaluiert.
Vertragliche Schutzmaßnahmen
- Mit beiden Anbietern besteht ein kommerzielles Data Processing Addendum (DPA).
- Es findet kein Modell-Training auf den übermittelten Daten statt (Anthropic Commercial Terms; OpenAI: API-Daten werden per Default nicht für Training genutzt).
- Pro Request wird gegenüber OpenAI das Flag store: false gesetzt — damit speichert OpenAI weder Eingabe noch Ausgabe für eigene Modelloptimierungs- oder Evaluierungszwecke.
- Retention beim Anbieter: OpenAI hält Anfragen unabhängig von store: false bis zu 30 Tage zur Missbrauchs- und Sicherheitsprüfung vor und löscht sie anschließend. Anthropic-Anfragen werden analog mit einer Retention von bis zu 30 Tagen zur Missbrauchsprüfung vorgehalten und anschließend gelöscht. Eine darüber hinausgehende Zero-Data-Retention (ZDR) ist eine separate vertragliche Vereinbarung und wird, soweit für unseren Tarif aktiviert, in dieser Anlage gesondert benannt.
- Übermittlungs-Schutz: Übertragung ausschließlich über TLS 1.2+; zusätzliche Verschlüsselung beim Anbieter at-rest.
- Drittlandtransfer: SCC nach Beschluss (EU) 2021/914 plus EU-US Data Privacy Framework, kumulativ.
Verarbeitung auf dem kostenlosen Tool-Pfad
Die kostenlosen Tools unter belegschmied.de/tools (ohne Account) nutzen denselben LLM-Anbieter mit identischer Schutz-Konfiguration (kein Training, store: false). Die Tools speichern weder Eingabe noch Ausgabe; sie sind ausdrücklich nicht für eine rechtssichere Archivierung geeignet. Anonyme Nutzer bleiben datenschutzrechtlich für die ihnen anvertrauten Daten Dritter selbst verantwortlich.
Anlage 2 — Technisch-organisatorische Maßnahmen
Vertraulichkeit
- Zugang zur Plattform nur über authentifizierte Benutzerkonten (E-Mail + Passwort, Magic-Link oder Google-OAuth).
- Verpflichtende Multi-Faktor-Authentifizierung für Owner- und Admin-Rollen.
- Row-Level-Security (RLS) auf Datenbankebene: jede Anfrage wird gegen die Mitgliedschaft im Ziel-Workspace geprüft.
- Verschlüsselung at-rest aller Storage- und Datenbank-Inhalte beim Hosting-Anbieter Supabase.
- Verschlüsselung in transit per TLS 1.2 oder höher für alle externen Verbindungen.
- Trennkontrolle: jeder Workspace hat einen eigenen Inbox-Slug und separate Storage-Pfade; Cross-Workspace-Zugriffe sind durch RLS-Policies ausgeschlossen.
Integrität
- Audit-Log mit fortlaufender SHA-256-Hash-Chain: jeder Eintrag enthält einen Hash über den vorhergehenden, nachträgliche Manipulationen werden durch Inkonsistenz erkannt.
- Belege selbst sind im UI nicht löschbar; Korrekturen erzeugen eine neue Version, der vorherige Stand bleibt revisionsfähig erhalten.
- Eingangs-/Versand-Pipelines protokollieren jede Statusänderung im Audit-Log.
- Validierung jeder ausgehenden E-Rechnung gegen die Norm EN 16931 vor Versand.
Verfügbarkeit und Belastbarkeit
- Tägliche automatische Backups der Datenbank durch den Hosting-Anbieter Supabase.
- Point-in-Time-Recovery (PITR) der letzten 7 Tage.
- Datei-Storage auf AWS S3 mit Durability 99,999999999% (elf Neunen).
- Hosting in einer EU-Region (Frankfurt am Main).
Auftragskontrolle
- Sub-Auftragsverarbeiter sind in Anlage 3 abschließend aufgeführt.
- Zu jedem Sub-Auftragsverarbeiter besteht ein eigenständiges Data Processing Addendum (DPA).
- Änderungen an der Sub-Auftragsverarbeiter-Liste werden gemäß § 4 Abs. 2 dieses AVV angekündigt.
Überprüfung
- Regelmäßige Überprüfung der eingesetzten Maßnahmen mindestens jährlich sowie anlassbezogen.
- Dokumentation der Verarbeitungstätigkeiten gemäß Art. 30 DSGVO.
- Nachweise und Kontrollen gemäß § 3 Abs. 6 dieses AVV.
Anlage 3 — Genehmigte Sub-Auftragsverarbeiter
Mit jedem der folgenden Sub-Auftragsverarbeiter besteht ein eigenständiges Data Processing Addendum.