Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO · Stand: August 2026

Dieser Vertrag konkretisiert die Pflichten bei der Verarbeitung personenbezogener Daten, die die Adfire Consulting GmbH („Auftragsverarbeiterin") im Auftrag des Kunden („Verantwortlicher") im Rahmen der Nutzung von Adfire Flow durchführt. Er ist Bestandteil des Nutzungsvertrags.

Hinweis: Dieser Text ist eine Vorlage. Für den Abschluss im Einzelfall wird er von beiden Parteien mit den konkreten Angaben ausgefüllt und unterzeichnet [unterschriftsreife Fassung erstellen].

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch die Auftragsverarbeiterin zum Zweck der Bereitstellung und Erbringung der Software-Leistungen (Belegprüfung). Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art und Zweck der Verarbeitung

Auslesen, Speichern, Strukturieren, Zuordnen, Prüfen und Bereitstellen von Eingangsbelegen und den daraus gewonnenen Daten für die Buchhaltung des Verantwortlichen sowie die Erzeugung von Export- und Nachweisdateien. Die Verarbeitung erfolgt ausschließlich zur Erfüllung dieses Zwecks und nach Weisung des Verantwortlichen.

§ 3 Art der Daten und Kategorien betroffener Personen

Datenarten (soweit in Belegen enthalten):

• Kontakt- und Stammdaten von Ansprechpartnern der Lieferanten (Name, Anschrift, E-Mail, Telefon),
• Vertrags- und Bewegungsdaten aus Belegen (Beträge, Leistungen, Bank-/IBAN-Angaben, Belegnummern),
• Zugangs- und Protokolldaten der Nutzer des Verantwortlichen.

Kategorien betroffener Personen:

• Ansprechpartner und Beschäftigte der Lieferanten und Geschäftspartner,
• Mitarbeitende des Verantwortlichen als Nutzer der Anwendung.

§ 4 Pflichten der Auftragsverarbeiterin

1. Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch bezüglich der Übermittlung in Drittländer, es sei denn, eine rechtliche Verpflichtung besteht.
2. Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit bzw. deren Unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.
3. Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe Anlage 1).
4. Einsatz von Unterauftragsverarbeitern nur nach Maßgabe des § 6.
5. Unterstützung des Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) durch geeignete technische und organisatorische Maßnahmen.
6. Unterstützung des Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
7. Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden an den Verantwortlichen.
8. Nach Wahl des Verantwortlichen Löschung oder Rückgabe aller personenbezogenen Daten nach Abschluss der Leistungen, soweit keine gesetzliche Aufbewahrungspflicht (u. a. GoBD, §§ 147 AO, 257 HGB) entgegensteht; in diesem Fall werden die Daten gesperrt.
9. Nachweis der Einhaltung der Pflichten und Ermöglichung von Überprüfungen (Audits) durch den Verantwortlichen oder von ihm beauftragte Prüfer in zumutbarem Umfang.

§ 5 Weisungsrecht

Weisungen erfolgen grundsätzlich in Textform. Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, teilt sie dies dem Verantwortlichen mit und darf die Ausführung bis zur Bestätigung aussetzen.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der nachstehenden Unterauftragsverarbeiter zu. Über den Wechsel oder die Hinzunahme weiterer Unterauftragsverarbeiter wird der Verantwortliche rechtzeitig informiert und kann aus wichtigem Grund widersprechen.

§ 7 Drittlandübermittlung

Übermittlungen in Drittländer erfolgen nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage der EU-Standardvertragsklauseln bzw. eines Angemessenheitsbeschlusses. Die konkreten Grundlagen je Dienstleister sind vor Abschluss zu bestätigen [rechtliche Prüfung].

§ 8 Rechte des Verantwortlichen, Kontrolle

Der Verantwortliche bleibt Verantwortlicher im Sinne der DSGVO. Er ist berechtigt, sich von der Einhaltung dieses Vertrags zu überzeugen, insbesondere durch Einholung von Auskünften und geeignete Nachweise (z. B. Berichte, Zertifikate der Unterauftragsverarbeiter).

§ 9 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Ergänzend gelten die Regelungen des Nutzungsvertrags und der AGB. Es gilt deutsches Recht.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Auftragsverarbeiterin setzt insbesondere folgende Maßnahmen um:

Vertraulichkeit

• Zugang nur per Einladung (kein öffentliches Registrieren), rollen- und rechtebasierte Zugriffssteuerung je Nutzer und Gesellschaft.
• Mandantentrennung auf Datenbankebene: jede Tabelle mit Gesellschaftskennung, durchgesetzt über Row-Level-Security als zweite Sicherungslinie.
• Verschlüsselte Übertragung (TLS/SSL) zu allen Datenbank- und Dienst-Verbindungen; Datei-Speicher mit gesellschaftsgetrennten Pfaden.

Integrität

• Lückenloses, unveränderliches Änderungsprotokoll (Audit-Log) aller fachlichen Aktionen inkl. KI-Entscheidungen.
• Belegoriginale unveränderlich (GoBD); Stempel/Markierungen nur auf Arbeitskopien; feste Beleg-Kennungen für den DATEV-Export.

Verfügbarkeit und Belastbarkeit

• Betrieb der Datenhaltung in der EU über einen etablierten Anbieter mit Sicherung/Backups.
• Getrennte, ausfallresistente Verarbeitungs-Pipeline mit Wiederaufnahme fehlgeschlagener Vorgänge.

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Prüfmechanismen (u. a. Rechte-, Mandantentrennungs- und Konsistenzprüfungen) im Entwicklungs- und Auslieferungsprozess.
• Trennung von Test- und Produktivdaten; keine Nutzung echter Kundendaten in Testwerkzeugen.

Die vorstehenden Maßnahmen werden fortlaufend an den Stand der Technik angepasst.