Rechtliches

Auftragsverarbeitung · Entwurf

Prüfentwurf – kein abgeschlossener Auftragsverarbeitungsvertrag. Die offenen Anlagen müssen vervollständigt, die Abläufe umgesetzt und die Vereinbarung vor Verarbeitung von Kundenbuchhaltungsdaten abgeschlossen werden.

Parteien, Gegenstand und Dauer

Vorgesehener Auftragsverarbeiter: Rabenaber GmbH, Am Steinig 11, 74939 Zuzenhausen. Verantwortlicher: das jeweils vertragsschließende Kundenunternehmen; Firma, Anschrift und weisungsberechtigte Ansprechpartner sind im Einzelvertrag einzutragen. Gegenstand ist der Betrieb von buchhaltung.top für Rechnungsverwaltung, Buchhaltung und Abschlussvorbereitung während des Nutzungsvertrags einschließlich vereinbarter Rückgabe- und Löschphase.

Art, Zweck und Daten

Vorgesehen sind Entgegennahme, Speicherung, strukturierte Erfassung, Zuordnung, Berechnung, Anzeige, Export, Sicherung und weisungsgebundene Löschung von Belegen und Buchhaltungsdaten. Betroffene sind insbesondere Nutzer, Beschäftigte, Kunden, Lieferanten und Ansprechpartner des Auftraggebers. Daten umfassen Kontakt- und Rechnungsdaten, Kontoverbindungen, Zahlungsinformationen, Beleginhalte und zugehörige Nutzungsprotokolle. Belege können besondere Kategorien personenbezogener Daten enthalten; deren Zulässigkeit und Schutzbedarf sind gesondert zu beurteilen.

Vorgesehene Vertragsregelungen nach Artikel 28 DSGVO

Verarbeitung nur auf dokumentierte Weisung, auch bei Drittlandübermittlungen; Information über gesetzliche Verarbeitungspflichten, soweit zulässig, und Hinweis auf rechtswidrig erscheinende Weisungen.
Vertraulichkeitsverpflichtung der zugriffsberechtigten Personen und Beschränkung auf erforderliche Zugriffe.
Verbindliche technische und organisatorische Maßnahmen nach Artikel 32 mit dokumentierten Prüf- und Wiederherstellungsverfahren.
Unterauftragnehmer nur auf Grundlage der vereinbarten Genehmigung; gleichwertige Datenschutzpflichten, Information über Änderungen und geregelte Einwendungen.
Unterstützung bei Betroffenenrechten, Sicherheitsmaßnahmen, Datenschutzverletzungen, Folgenabschätzungen und erforderlichen Konsultationen. Datenschutzverletzungen dem Auftraggeber unverzüglich melden.
Nach Vertragsende Rückgabe oder Löschung nach Wahl des Auftraggebers einschließlich Kopien, soweit keine gesetzliche Speicherung vorgeschrieben ist; Backupfristen und Nachweise verbindlich festlegen.
Nachweise der Einhaltung und Ermöglichung angemessener Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder beauftragte Prüfer.

Anlage: Anbieter und Datenflüsse – noch zu bestätigen

Dienst	Daten	Offene Angaben
Hosting und Backups	Datenbank, Belege und Betriebsprotokolle	Vertragspartei, Standorte, Zugriffe, Sicherung und Löschfristen, AVV
E-Mail	Empfänger, Nachrichten und gegebenenfalls Rechnungsanhänge	Versand-/Postfachanbieter, Standorte, Speicherfristen, AVV
Optionale KI-Erkennung über OpenAI	PDF-/Bildinhalte und Erkennungsergebnisse	Vertragspartei, Orte, Vertragsnachweise, Unterauftragnehmer, gegebenenfalls Drittlandgarantien

Anlage: Sicherheits- und Betriebsnachweise

Technisch vorhanden sind rollenbasierte Mandantentrennung, Zwei-Faktor-Anmeldung sowie Schutz festgeschriebener Buchungen. Vor Vertragsschluss sind insbesondere Administrationszugriffe, Verschlüsselung, Backupumfang, Wiederherstellungstests, Protokollaufbewahrung, Löschabläufe, Vorfallkontakte und Kontrollnachweise anhand der tatsächlichen Betriebsumgebung zu ergänzen. Dieser Entwurf bestätigt weder bereits abgeschlossene Lieferantenverträge noch eine erfolgte Datenschutzprüfung.