Auftragsverarbeitungsvertrag

Fassung: 2026-08-11

Vertrag nach Art 28 Abs 3 DSGVO zwischen

Verantwortlicher – Sie, das Unternehmen, dessen Stammdaten in dieser Anwendung hinterlegt sind (im Folgenden „Auftraggeber")

und

Auftragsverarbeiter –
Florian Untermoser
Gartenweg 16, 9061 Klagenfurt am Wörthersee, Österreich
E-Mail: [email protected]
(im Folgenden „Auftragnehmer")

Der Vertrag kommt mit Ihrer Zustimmung in der Anwendung zustande. Zeitpunkt, Fassung und der Prüfwert des genau angezeigten Textes werden festgehalten; das erfüllt die elektronische Form nach Art 28 Abs 9 DSGVO.

1 Worum es geht

Sie führen mit dieser Anwendung Ihre Buchhaltung. Dabei geben Sie Daten über Ihre Kunden, Lieferanten und Geschäftspartner ein. Für diese Daten sind Sie der Verantwortliche. Der Auftragnehmer speichert und verarbeitet sie nur, weil er die Anwendung betreibt – er entscheidet nicht über sie.

Dieser Vertrag regelt, was der Auftragnehmer damit tun darf und was nicht.

Er gilt nicht für Ihre eigenen Konto- und Firmendaten. Dafür ist der Auftragnehmer selbst verantwortlich; das steht in der Datenschutzerklärung.

2 Gegenstand, Dauer, Art und Zweck (Art 28 Abs 3 Satz 1)

Gegenstand: Betrieb einer Buchhaltungsanwendung für österreichische Einzelunternehmen – Rechnungslegung, Belegverwaltung, Anlagenverzeichnis, Bankabgleich und die daraus erzeugten steuerlichen Auswertungen.

Dauer: für die Laufzeit des Nutzungsvertrags, danach bis zum Ablauf der gesetzlichen Aufbewahrungsfrist nach § 132 BAO (siehe Abschnitt 10).

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Berechnen, Ausgeben (PDF, XML, CSV), Sichern und Löschen.

Zweck: ausschließlich die Erbringung der vertraglich vereinbarten Leistung.

3 Kategorien betroffener Personen und Daten

Betroffene Personen: Kunden und Lieferanten des Auftraggebers samt Ansprechpersonen; bei Einzelunternehmen und Privatkunden die Personen selbst.

Datenkategorien:

• Stammdaten: Name, Anschrift, Land, Ansprechperson
• Kontaktdaten: E-Mail, Telefon, Website
• Steuerliche Kennungen: UID-Nummer, Steuernummer
• Zahlungsdaten: IBAN, Zahlungsziel, Zahlungseingänge
• Geschäftsdaten: Rechnungen, Positionen, Beträge, Leistungszeiträume, Notizen
• Belegdateien: hochgeladene Rechnungen, Belege und die daraus erkannten Texte
• Bankumsätze: Buchungsdatum, Betrag, Verwendungszweck, Gegenkonto

Besondere Kategorien nach Art 9 DSGVO werden nicht verarbeitet. Werden solche Daten dennoch eingegeben – etwa in einem Freitextfeld –, geschieht das außerhalb des vereinbarten Zwecks und in alleiniger Verantwortung des Auftraggebers.

4 Weisungsbindung (Art 28 Abs 3 lit a)

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Anwendung selbst gilt als Weisung: was der Auftraggeber eingibt, ändert, exportiert oder löscht, ist die Anweisung dazu. Weisungen darüber hinaus sind in Textform an [email protected] zu richten.

Der Auftragnehmer teilt dem Auftraggeber unverzüglich mit, wenn er eine Weisung für rechtswidrig hält, und darf sie bis zur Klärung aussetzen.

Verarbeitet der Auftragnehmer Daten aufgrund einer Rechtsvorschrift der Union oder Österreichs, teilt er dem Auftraggeber diese Anforderung vorab mit, sofern das Recht dies nicht verbietet.

5 Vertraulichkeit (Art 28 Abs 3 lit b)

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Die Verpflichtung besteht über das Ende ihrer Tätigkeit hinaus fort.

Zugriff auf Kundendaten haben nur Personen, die ihn für Betrieb, Wartung oder Fehlersuche brauchen. Jeder solche Zugriff wird protokolliert.

6 Sicherheit der Verarbeitung (Art 28 Abs 3 lit c, Art 32)

Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen. Er darf sie ändern, solange das Schutzniveau nicht sinkt; wesentliche Änderungen werden dem Auftraggeber mitgeteilt.

7 Weitere Auftragsverarbeiter (Art 28 Abs 2 und 4)

Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter. Die derzeit eingesetzten stehen in Anlage 3.

Der Auftragnehmer informiert mindestens 30 Tage vor Aufnahme oder Wechsel eines weiteren Auftragsverarbeiters. Der Auftraggeber kann innerhalb dieser Frist widersprechen. Bei Widerspruch darf der Auftragnehmer den Vertrag zum Zeitpunkt der geplanten Änderung kündigen; die Aufbewahrungsregelung nach Abschnitt 10 bleibt davon unberührt.

Jeder weitere Auftragsverarbeiter wird vertraglich auf dieselben Pflichten verpflichtet, die dieser Vertrag begründet.

8 Unterstützung des Auftraggebers (Art 28 Abs 3 lit e und f)

Betroffenenrechte. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst. Für Auskunft, Berichtigung, Löschung und Datenübertragbarkeit stellt die Anwendung dem Auftraggeber die nötigen Funktionen zur Verfügung, insbesondere den Vollexport.

Datenschutzverletzungen. Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit allen Angaben, die der Auftraggeber für seine eigene Meldung nach Art 33 DSGVO braucht.

Datenschutz-Folgenabschätzung. Der Auftragnehmer unterstützt den Auftraggeber bei einer Folgenabschätzung nach Art 35 DSGVO und bei einer Konsultation nach Art 36 DSGVO, soweit die Informationen nur ihm vorliegen.

9 Nachweise und Überprüfung (Art 28 Abs 3 lit h)

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind.

Der Auftraggeber darf Überprüfungen durchführen oder durch einen Prüfer durchführen lassen, der nicht Wettbewerber des Auftragnehmers ist. Prüfungen sind mit angemessener Frist anzukündigen, dürfen den Betrieb nicht unangemessen beeinträchtigen und finden höchstens einmal jährlich statt – außer nach einer Datenschutzverletzung oder auf Anordnung einer Aufsichtsbehörde.

10 Rückgabe und Löschung nach Vertragsende (Art 28 Abs 3 lit g)

Hier weicht dieser Vertrag bewusst vom Üblichen ab, und zwar zwingend:

Es wird nicht sofort gelöscht. § 132 BAO verpflichtet den Auftraggeber, Bücher, Aufzeichnungen und Belege sieben Jahre ab dem Ende des jeweiligen Kalenderjahres aufzubewahren. Diese Pflicht trifft den Auftraggeber, die Daten liegen aber beim Auftragnehmer. Eine sofortige Löschung nach Vertragsende würde dem Auftraggeber Unterlagen nehmen, die er der Abgabenbehörde schuldet. Art 17 Abs 3 lit b DSGVO trägt dem ausdrücklich Rechnung.

Daher gilt:

1. Ab Kündigung wird der Zugang auf Lesen umgestellt. Der Auftraggeber kann alle Daten weiterhin einsehen und jederzeit vollständig exportieren.
2. Der Vollexport enthält sämtliche Buchungen, Rechnungen, Belege und Stammdaten in einem Format, das ohne diese Anwendung lesbar ist, samt Prüfsummen. Er erfüllt zugleich Art 20 DSGVO. Es wird dringend empfohlen, ihn vor der Kündigung herunterzuladen.
3. Nach Ablauf der Aufbewahrungsfrist – sieben Jahre nach dem Ende des letzten Jahres, in dem gebucht wurde – werden alle Daten samt Belegdateien endgültig und unwiederbringlich gelöscht.
4. Früher gelöscht wird nur auf ausdrückliche, schriftliche Weisung des Auftraggebers. Der Auftragnehmer weist in diesem Fall auf die Folgen hin; die Verantwortung dafür trägt allein der Auftraggeber.
5. Zurück bleibt ein Eintrag mit der Kennung des Mandanten und dem Löschdatum, ohne Personenbezug. Er dient dem Nachweis nach Art 5 Abs 2 DSGVO, dass fristgerecht gelöscht wurde.

Sicherungskopien werden nach ihrem regulären Zyklus überschrieben, spätestens 35 Tage nach der Löschung.

11 Haftung

Es gilt Art 82 DSGVO. Im Verhältnis der Parteien untereinander haftet jede Partei für die Verstöße, die sie zu vertreten hat.

12 Schlussbestimmungen

Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen. Widerspricht dieser Vertrag den Nutzungsbedingungen, geht dieser Vertrag vor. Wird eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.

Anlage 1 – Verarbeitungstätigkeiten im Einzelnen

Anlage 2 – Technische und organisatorische Maßnahmen (Art 32 DSGVO)

Zutrittskontrolle

Die Server stehen in Rechenzentren in Nürnberg, Deutschland mit Zutrittsschutz rund um die Uhr, Videoüberwachung und protokolliertem Zutritt. Der Auftragnehmer betreibt keine eigene Hardware an allgemein zugänglichen Orten.

Zugangskontrolle

• Anmeldung nur mit E-Mail und Passwort; Passwörter werden mit scrypt gehasht gespeichert, nie im Klartext
• Zugriffstokens mit kurzer Gültigkeit (15 Minuten), Erneuerung über ein gegen Skriptzugriff geschütztes Cookie, das bei jeder Erneuerung wechselt
• Anmeldeversuche sind zahlenmäßig begrenzt
• Verwaltungszugänge des Auftragnehmers nur über Schlüsselpaare und Zwei-Faktor-Authentifizierung

Zugriffskontrolle

• Rollenmodell: Inhaber, Buchhaltung, Lesezugriff
• Jede Datenbankabfrage ist auf einen Mandanten eingeschränkt; das ist im Quelltext als verbindliche Regel festgelegt und wird bei jeder Änderung geprüft
• Belegdateien liegen nach Mandant getrennt und sind nur über eine geprüfte Anfrage erreichbar
• Mitarbeitende des Auftragnehmers greifen nur bei Bedarf zu; jeder Zugriff wird protokolliert

Weitergabekontrolle

• Übertragung ausschließlich über TLS
• HTTP Strict Transport Security, strenge Content-Security-Policy, keine Einbettung durch Dritte
• Die verschlüsselte Verbindung zur Anwendung endet auf dem Server des Auftragnehmers. Der Anwendung ist kein Reverse Proxy vorgeschaltet: Cloudflare löst für app.easyrechnung.at nur den Namen auf und sieht die Verbindung selbst nicht. Auf der Website easyrechnung.at ist Cloudflare vorgeschaltet; dort fallen keine Daten des Auftraggebers an.
• In ein Drittland übermittelt wird nur, was in Anlage 3 ausgewiesen ist: die KI-Belegerkennung, wenn und solange der Auftraggeber sie eingeschaltet hat, die Anfragen an die Namensauflösung sowie der E-Mail-Verkehr über das Postfach des Auftragnehmers, soweit dort ein Zugriff aus den Vereinigten Staaten nicht ausgeschlossen ist. Buchungen, Auswertungen, Kontakte und Bankdaten werden in keinem Fall in ein Drittland übermittelt.
• Auf der Website easyrechnung.at eingesetzte Dienste (Reichweitenmessung) haben keinen Zugang zu dieser Anwendung und keinen Zugriff auf Daten des Auftraggebers.

Eingabekontrolle

Jede Änderung an gebuchten Daten wird mit Benutzer, Zeitpunkt, IP-Adresse sowie Vorher- und Nachher-Stand protokolliert (§ 131 BAO). Das Protokoll wird von der Anwendung nur ergänzt, nie geändert oder gelöscht. Festgeschriebene Rechnungen sind unveränderlich; Korrekturen laufen über Storno und Neuausstellung.

Verfügbarkeitskontrolle

• Tägliche verschlüsselte Sicherungen, 35 Tage vorgehalten
• Wiederherstellung mindestens vierteljährlich erprobt
• Überwachung von Erreichbarkeit und Datenbankzustand

Trennungskontrolle

Daten verschiedener Auftraggeber sind über die Mandantenkennung logisch getrennt. Test- und Entwicklungsumgebungen enthalten keine echten Kundendaten.

Belastbarkeit und Wiederherstellbarkeit

Die Anwendung läuft zustandslos und kann jederzeit neu gestartet oder ersetzt werden. Der Datenstand liegt in der Datenbank und im Dateispeicher, beide gesichert.

Verfahren zur Überprüfung

• Automatisierte Tests, unter anderem auf die Vollständigkeit des Exports
• Abhängigkeiten werden regelmäßig auf bekannte Schwachstellen geprüft
• Diese Anlage wird jährlich überprüft

Anlage 3 – Weitere Auftragsverarbeiter

Nicht in dieser Liste stehen Dienstleister, die keine Daten des Auftraggebers verarbeiten:

• Stripe Payments Europe, Limited wickelt das Entgelt ab, das der Auftraggeber dem Auftragnehmer schuldet. Dabei geht es um die Vertragsdaten des Auftraggebers selbst, nicht um seine Buchhaltung; der Auftragnehmer ist dafür Verantwortlicher, nicht Auftragsverarbeiter. Näheres in der Datenschutzerklärung.
• Google Ireland Limited (Tag Manager, Analytics) wird ausschließlich auf der Website easyrechnung.at eingesetzt, und dort nur nach Zustimmung des Besuchers. In der Anwendung app.easyrechnung.at läuft kein Skript von Google und wird keines nachgeladen.

Zu Cloudflare. Für die Anwendung übernimmt Cloudflare nur die Namensauflösung: Der Browser fragt dort nach, unter welcher Adresse app.easyrechnung.at zu erreichen ist, und verbindet sich dann unmittelbar mit dem Server des Auftragnehmers. Die verschlüsselte Verbindung endet dort und nicht bei Cloudflare, und Cloudflare sieht daher weder die Aufrufe des Auftraggebers noch die übertragenen Inhalte. Übermittelt wird nur, wonach gefragt wurde, und die Adresse des fragenden Namensservers.

Auf der Website easyrechnung.at ist Cloudflare weiterhin vorgeschaltet und beendet dort die verschlüsselte Verbindung. Daten des Auftraggebers fallen dabei nicht an: Die Website trägt keine Anmeldung und keine Buchhaltung.

Beides stützt sich auf die Standardvertragsklauseln der Europäischen Kommission (Art 46 Abs 2 lit c DSGVO) sowie auf die Zertifizierung des Unternehmens nach dem EU-US-Datenschutzrahmen; zu dessen Belastbarkeit siehe den Abschnitt „Übermittlung in Drittländer" der Datenschutzerklärung.

Zum E-Mail-Versand. Über Brevo verlassen die Anwendung nur die System-E-Mails: Empfängeradresse, Name, Betreff und der Inhalt der jeweiligen Nachricht. Die Fristerinnerung und die Monatsübersicht lassen sich in den Einstellungen der Anwendung abschalten; Nachrichten, die den Zugang zum Konto sichern (Bestätigung der E-Mail-Adresse, Anmeldecodes, Passwortzurücksetzung), nicht. Buchungen, Belege, Bankdaten und Auswertungen werden nicht an Brevo übermittelt; die Monatsübersicht enthält die Summenwerte des jeweiligen Monats.

Die KI-Belegerkennung ist nur wirksam, wenn der Auftraggeber sie ausdrücklich einschaltet. Sie ist ab Werk ausgeschaltet. Solange sie ausgeschaltet ist, findet keine Übermittlung an Anthropic statt, und dieser weitere Auftragsverarbeiter kommt nicht zum Einsatz.

Übermittelt wird der Text des jeweils hochgeladenen Belegs; enthält die Datei keinen Text (Foto, Scan), die Datei selbst. Nicht übermittelt werden Buchungen, Auswertungen, Kontakte, Bankdaten und Benutzerkonten. Die Verarbeitung ist auf das Auslesen beschränkt; eine Verwendung zu Trainingszwecken findet nicht statt. Zur Übermittlung in die Vereinigten Staaten siehe den Abschnitt „Übermittlung in Drittländer" der Datenschutzerklärung sowie Teil B2 des Verarbeitungsverzeichnisses.

Die jeweils aktuelle Liste ist in der Anwendung unter „Datenschutz" abrufbar. Änderungen werden 30 Tage im Voraus angekündigt.