Auftragsverarbeitungsvertrag (AVV)

Wenn du ehrlicheElster als Unternehmen nutzt und personenbezogene Daten deiner Kunden, Lieferanten oder Mitarbeiter verarbeitest, bist du nach Art. 28 DSGVO verpflichtet, mit uns als Auftragsverarbeiter eine Vereinbarung zu schließen. Den AVV schließt du bei der Registrierung durch Akzeptanz dieser Bedingungen ab — eine gesonderte Unterschrift ist nicht erforderlich.

1. Vertragspartner

Verantwortlicher: Der ehrlicheElster-Kunde (du)
Auftragsverarbeiter: Mentora Technologies UG (haftungsbeschränkt), c/o Jamie Lee Faber, Schildhornstraße 73, 12163 Berlin

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Nutzung der ehrlicheElster-Buchhaltungssoftware. Die AVV gilt für die Dauer deiner Nutzung des Dienstes und kann mit dem Vertragsverhältnis gekündigt werden.

3. Art und Zweck der Verarbeitung

• Speicherung und Verwaltung von Buchhaltungsbelegen (Einnahmen, Ausgaben, Rechnungen)
• Automatisierte Kategorisierung und Erfassung mittels KI
• Versand von Rechnungen und buchhaltungsbezogenen E-Mails
• Bereitstellung von Auswertungen, UStVA, EÜR und Steuerexports
• Optional: Anbindung an Bankkonten zur Transaktionserfassung

4. Art der Daten und Kategorien betroffener Personen

Datenkategorien:

• Kontakt- und Stammdaten (Name, Anschrift, Steuernummer, E-Mail)
• Vertrags- und Rechnungsdaten (Beträge, Leistungsbeschreibungen, Zahlungsmodalitäten)
• Bankverbindungsdaten (IBAN, BIC, Kontostände — sofern Bankintegration aktiv)
• Belege und Anhänge (PDFs, Bilder)

Kategorien betroffener Personen:

• Kunden, Lieferanten und Geschäftspartner des Verantwortlichen
• Mitarbeiter des Verantwortlichen (sofern relevant)

5. Sub-Auftragsverarbeiter

Wir setzen folgende Sub-Auftragsverarbeiter ein. Mit Akzeptanz dieses AVV erteilst du eine allgemeine Genehmigung im Sinne von Art. 28 Abs. 2 DSGVO:

Wir informieren dich über Änderungen an dieser Liste vor Einsatz neuer Sub-Auftragsverarbeiter. Du hast das Recht, der Hinzuziehung zu widersprechen.

Vom Kunden aktivierte Schnittstellen (MCP, REST-API, Webhooks)

Verbindest du selbst einen externen Dienst mit deinem Konto — insbesondere einen KI-Assistenten über das Model Context Protocol (MCP), etwa Claude (Anthropic), ChatGPT (OpenAI) oder Cursor —, so ist dieser Anbieter kein Sub-Auftragsverarbeiter von uns, sondern dein eigener Auftragsverarbeiter. Du wählst den Anbieter, erteilst auf unserer Freigabeseite die Rechte (Scopes), und der Anbieter ruft die Daten auf deine Veranlassung ab. Für den Abschluss eines Auftragsverarbeitungsvertrags mit diesem Anbieter, die Prüfung eines etwaigen Drittlandtransfers und die Einstellungen zur Nutzung deiner Daten für das Modelltraining bist du verantwortlich. Wir empfehlen Business-Tarife mit Auftragsverarbeitungsvertrag (z. B. Claude Team/Enterprise oder API-Zugang). Unsere Leistung beschränkt sich auf die Bereitstellung der Schnittstelle, die Prüfung der Freigabe, die Protokollierung der Zugriffe im Audit-Log und die Möglichkeit, die Verbindung jederzeit zu trennen.

6. Technische und organisatorische Maßnahmen (TOMs)

Wir treffen folgende Maßnahmen gemäß Art. 32 DSGVO:

• Zugangskontrolle: Authentifizierung mit verschlüsselten Passwörtern (bcrypt), Session-Management, optionale Zwei-Faktor-Authentifizierung (TOTP) mit verschlüsseltem Geheimnis (AES-256-GCM) und Wiederherstellungscodes
• Zugriffskontrolle: Rollenbasiertes Berechtigungssystem (RBAC: owner/admin/member/viewer/steuerberater)
• Datentrennung: Strikte Mandantentrennung pro Organisation (organizationId auf jedem Datensatz)
• Übertragungssicherheit: TLS 1.3 Verschlüsselung, HSTS aktiv
• Verschlüsselung at-rest: Datenbank- und Backup-Verschlüsselung
• Eingabekontrolle: Audit-Log für alle Erstell-, Änderungs- und Löschvorgänge
• Verfügbarkeit: Tägliche Backups, automatische Service-Restarts via PM2
• EU-Datenresidenz: KI-Verarbeitung ausschließlich in der EU über AWS Bedrock (Frankfurt, eu-central-1)
• Patch-Management: Regelmäßige Sicherheitsupdates aller Komponenten

7. Pflichten des Auftragsverarbeiters

• Verarbeitung der Daten ausschließlich nach deinen dokumentierten Weisungen
• Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen
• Unterstützung bei der Erfüllung deiner Pflichten gegenüber Betroffenen (Art. 12–22 DSGVO)
• Mitteilung von Datenschutzverletzungen unverzüglich, spätestens 72 Stunden nach Kenntnis (Art. 33 DSGVO)
• Rückgabe oder Löschung aller Daten nach Vertragsende (nach deiner Wahl)
• Nachweisführung der Einhaltung dieser Pflichten

8. Deine Kontrollrechte

Du hast das Recht, die Einhaltung dieser Vereinbarung zu kontrollieren. Auf Anfrage stellen wir Nachweise (Zertifikate, TOM-Dokumentation, Datenschutz-Audits) zur Verfügung. Vor-Ort-Kontrollen sind mit angemessener Vorankündigung möglich.

9. Datenübermittlung in Drittländer

Die KI-Verarbeitung deiner Inhalte erfolgt ausschließlich in der EU über Amazon Bedrock (Hauptregion Frankfurt, eu-central-1, über ein EU-Inferenzprofil, das innerhalb der EU verteilen, sie aber nicht verlassen kann). Auftragsverarbeiter ist AWS; das Sprachmodell wird von Anthropic bereitgestellt, von AWS in der EU betrieben — Anthropic erhält deine Inhalte dabei nicht.

Grundlage ist der AWS-Kundenvertrag; die AWS Service Terms enthalten den AWS GDPR Data Processing Addendum (Auftragsverarbeitungsvertrag i. S. d. Art. 28 DSGVO) sowie die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), die automatisch gelten. AWS sichert für Amazon Bedrock verbindlich zu: „Amazon Bedrock doesn’t store or log your prompts and completions. Amazon Bedrock doesn’t use your prompts and completions to train any AWS models and doesn’t distribute them to third parties.“Der Auftragsverarbeitungsvertrag verpflichtet AWS u. a. zu vertraulicher Behandlung, keiner Offenlegung gegenüber Dritten, ausschließlicher Datenverarbeitung in der EU, keiner Nutzung der Daten zum Modelltraining und keiner Verwendung zur Verbesserung anderer AWS-Services.

Von dir aktivierte KI-Schnittstellen (MCP): Verbindest du einen externen Assistenten mit deinem Konto, kann dessen Anbieter die von dir freigegebenen Daten je nach Anbieter und Tarif auch außerhalb der EU verarbeiten. Diese Übermittlung erfolgt nicht durch uns, sondern auf deine Veranlassung an deinen eigenen Auftragsverarbeiter (siehe Abschnitt 5). Die Absicherung dieses Transfers (Angemessenheitsbeschluss, Standardvertragsklauseln, Auftragsverarbeitungsvertrag) obliegt dir im Verhältnis zu diesem Anbieter.