Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand des Auftrags

Neithra Technologies – Fabian Lorenz (der Auftragsverarbeiter) verarbeitet personenbezogene Daten im Auftrag des Kunden (des Verantwortlichen), soweit dies zur Erbringung des Dienstes TrueDue nach Maßgabe des zugrunde liegenden Hauptvertrages erforderlich ist.

Der Auftragsverarbeiter erbringt ausschließlich Softwareleistungen. Er zieht keine Forderungen ein, nimmt keine Zahlungen entgegen, leitet keine weiter und erbringt für den Verantwortlichen keine Finanz-, Zahlungs-, Inkasso- oder Rechtsdienstleistungen; der Verantwortliche zieht ausschließlich eigene Forderungen ein (Allgemeine Geschäftsbedingungen (AGB), Ziffer 2).

2. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrages. Rückgabe und Löschung nach dessen Beendigung regelt Ziffer 10.

3. Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen

Die Verarbeitung umfasst den Import und den Abgleich der Forderungsdaten des Kunden, den Versand von Zahlungserinnerungen aus dem angebundenen Postfach für den Forderungseinzug, das Auslesen und Klassifizieren eingehender Antworten sowie die Vorlage der Ausnahmefälle an die Finanzbuchhaltung des Kunden. Zum Auslesen eingehender Antworten gehört der Text von PDF-Anhängen: Die Software liest ihn aus (höchstens 3 PDF-Dateien je Nachricht, je Datei die ersten 10 Seiten), wertet ihn ausschließlich anhand fester Regeln aus — etwa um ein Zahlungsavis zu einer offenen Rechnung zu erkennen — und speichert davon einen gekürzten Auszug von höchstens 6.000 Zeichen je Datei zusammen mit der Nachricht. Die Datei selbst wird nicht gespeichert, und der Auszug wird nicht an ein KI-Modell übermittelt.

Kategorien betroffener Personen sind die Ansprechpartner bei den gewerblichen Schuldnern des Kunden, Privatpersonen, die Schuldner des Kunden sind, sowie die Nutzerinnen und Nutzer des Kunden auf der Plattform. Arten personenbezogener Daten sind Namen und Kontaktdaten, die vom Kunden angegebene Kundenart (Unternehmen oder Privatperson) und das Land, Rechnungsmetadaten und -beträge sowie E-Mail-Korrespondenz einschließlich der Angaben zu ihren Anhängen (Dateiname, Dateityp, Dateigröße) und des gekürzten Textauszugs aus PDF-Anhängen. Antworten von Privatpersonen können von sich aus Angaben zu besonderen Lebensumständen enthalten, etwa zur Gesundheit oder zur wirtschaftlichen Lage. Solche Angaben werden nicht gezielt erhoben. Die Software erkennt entsprechende Hinweise anhand fester Regeln ausschließlich, um den automatischen Ablauf für diese Person anzuhalten und die Nachricht dem Verantwortlichen vorzulegen; eine automatische Antwort erfolgt darauf nicht. Antworten von Privatpersonen und von Schuldnern, deren Kundenart noch nicht bestätigt ist, werden nicht an ein KI-Modell übermittelt.

4. Weisungsgebundenheit

Die Leistungsvereinbarung, dieser AVV und die vom berechtigten Administrator gewählten Einstellungen bilden die dokumentierten Weisungen. Weitere Weisungen, insbesondere zu Rückgabe, Berichtigung oder Löschung, erteilt der Verantwortliche in Textform an den im Impressum genannten Kontakt. Wir dokumentieren Eingang und Bearbeitung und prüfen erforderlichenfalls die Vertretungsberechtigung. Eine Verarbeitung außerhalb der Weisungen erfolgt nur, soweit Unionsrecht oder das Recht eines Mitgliedstaats sie verlangt; darüber informieren wir den Verantwortlichen vorab, soweit dies rechtlich zulässig ist. Erscheint eine Weisung datenschutzwidrig, informieren wir unverzüglich und setzen den betroffenen Verarbeitungsschritt bis zur rechtmäßigen Klärung aus (Art. 28 Abs. 3 lit. a und h DSGVO).

5. Vertraulichkeit

Die zur Verarbeitung der personenbezogenen Daten befugten Personen werden zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO).

6. Technische und organisatorische Maßnahmen (TOM)

Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO werden in einer Anlage zu diesem Vertrag festgelegt: Anlage: technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Zugangskontrolle — die Anmeldung erfolgt über die Microsoft-Entra-ID-Konten des Verantwortlichen oder über einen einmaligen, 15 Minuten gültigen Link an die geschäftliche E-Mail-Adresse, der nur als Hashwert gespeichert wird; ein eigenes Passwort gibt es nicht. Mitgliedschaft und Rolle werden bei jeder Anfrage aus der Datenbank gelesen, ein Entzug oder eine Rollenänderung wirkt also sofort, und ein Abmelden entwertet alle für diese Person ausgestellten Sitzungen.
• Trennung der Verantwortlichen — jede Abfrage wird nach der Organisation aus der geprüften Sitzung gefiltert, nie nach Angaben des Browsers. Die Mandantentrennung wird durch automatisierte Prüfungen von Ansichten, Suche und Hintergrundabläufen getestet.
• Transportsicherheit — ausschließlich HTTPS, HTTP Strict Transport Security mit Preload, eine Content-Security-Policy, die außer der eigenen Herkunft nur unseren eigenen Messserver statistik.neithra.dev und – ausschließlich auf der Bestellseite – das Zahlungsformular von Stripe zulässt, sowie vollständig untersagtes Einbetten in Frames.
• Vertraulichkeit des Postausgangs — Nachrichten werden über die ausgewählten eigenen Mahnpostfächer des Verantwortlichen versendet und Antworten über diese Verbindungen gelesen, die der Verantwortliche wählt und jederzeit widerrufen kann. Heute verfügbar ist IMAP/SMTP; die Direktanbindungen für Microsoft 365 und Google Workspace werden auf Anfrage eingerichtet. Im Einzelnen: Microsoft 365 mit den Microsoft-Graph-Berechtigungen Mail.Send und Mail.ReadWrite, die dessen Administration über eine Exchange-Anwendungszugriffsrichtlinie auf die ausgewählten Postfächer beschränken kann; Google Workspace über eine domainweite Delegierung, begrenzt auf die zwei Bereiche gmail.send und gmail.modify, wobei Google keine Beschränkung auf einzelne Postfächer vorsieht und die Software je Vorgang das zugehörige hinterlegte Google-Postfach auswählt; mehrere Adressen sind je nach Tarif möglich, während die Anbieterberechtigung domainweit bleibt; oder IMAP/SMTP ausschließlich über TLS-Verbindungen, wobei das Postfach-Passwort (vorzugsweise ein App-Passwort) von der Software mit AES-256-GCM verschlüsselt gespeichert, nach dem Speichern nicht mehr angezeigt wird und Serveradressen in privaten oder internen Netzen abgelehnt werden.
• Integrität der Zahlen — Beträge, Fälligkeiten und Zahlungsstatus werden ausschließlich durch den Importabgleich oder eine ausdrückliche menschliche Korrektur geschrieben. Das Sprachmodell kann weder eine Zahl in eine Nachricht schreiben noch einen Datensatz ändern; Zahlen in Nachrichten werden aus den gespeicherten Daten erzeugt.
• Protokollierung — ein fortschreibendes Protokoll je Organisation über jede wesentliche Handlung: Anmeldung, Freigabe, Versand, Import, Korrektur, Eskalation.
• Datenminimierung — die KI-Verarbeitung durch Dritte kann je Organisation von deren Administration abgeschaltet werden; Antworten werden dann nach eingebauten Regeln eingeordnet, und nichts davon verlässt die Installation. Antworten von Privatpersonen und von Schuldnern mit unbestätigter Kundenart werden unabhängig von dieser Einstellung nie an ein KI-Modell übermittelt.
• Rückgabe und Löschung — Administratoren können strukturierte Geschäftsdaten exportieren. Die Selbstlöschung steht für noch nicht abgerechnete Organisationen nach erneuter Authentifizierung zur Verfügung. Bei bereits abgerechneten Konten werden Datenrückgabe, Kündigung und Löschung über einen berechtigungsgeprüften Auftrag koordiniert; notwendige Abrechnungsnachweise werden gesondert aufbewahrt.
• Missbrauchsbegrenzung — Ratenbegrenzungen für Anmeldung, Kontaktformular und Checkout.
• Geschützte Zugangsdaten — IMAP-/SMTP-Postfachpasswörter werden mit AES-256-GCM verschlüsselt gespeichert. Der Zugriff auf Anwendungsdaten wird durch serverseitige Rollen- und Organisationsprüfungen begrenzt; TLS schützt die übertragenen Inhalte.

Wir überprüfen die beschriebenen Schutzmaßnahmen im Rahmen von Änderungen am Dienst und stellen dem Verantwortlichen auf Anfrage die für seine Prüfung erforderlichen Nachweise bereit. Technische Weiterentwicklungen dürfen das vereinbarte Schutzniveau nicht absenken.

7. Unterauftragsverarbeiter

Die auf der Seite Unterauftragsverarbeiter genannten Anbieter sind für die dort beschriebenen Aufgaben allgemein genehmigt. Vor der Verarbeitung erhalten sie vertraglich mindestens die hier vereinbarten Datenschutzpflichten; wir bleiben dem Verantwortlichen gegenüber für die Erfüllung ihrer Pflichten verantwortlich. Eine beabsichtigte Ergänzung oder Ersetzung teilen wir mindestens 30 Tage vor ihrem Einsatz in Textform mit, einschließlich Anbieter, Aufgabe und Verarbeitungsort. Der Verantwortliche kann innerhalb dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen. Wir prüfen den Einwand und suchen eine geeignete Alternative; bis zur Klärung erfolgt die beanstandete Verarbeitung für diesen Verantwortlichen nicht. Ist eine datenschutzgerechte Fortführung nicht möglich, kann der betroffene Leistungsteil ohne zusätzliche Kündigungsgebühr zum Änderungszeitpunkt beendet werden. Bereits vorausgezahltes Entgelt für danach entfallende Leistungen wird anteilig erstattet.

8. Drittlandtransfer

Die primäre Anwendungsdatenbank wird in Deutschland betrieben. Übermittlungen durch Netzwerk-, Mail- oder KI-Dienstleister außerhalb der EU/des EWR erfolgen nur unter Beachtung von Kapitel V DSGVO. Vor der Übermittlung wird die anwendbare Grundlage dokumentiert: ein den Empfänger und die konkrete Verarbeitung erfassender Angemessenheitsbeschluss oder wirksame Standardvertragsklauseln mit erforderlicher Prüfung und ergänzenden Schutzmaßnahmen. Die Anbieterliste beschreibt Aufgaben und Drittlandbezug. Der Verantwortliche erhält auf Anfrage Nachweise und eine Kopie der relevanten Garantien. Kann das erforderliche Schutzniveau nicht sichergestellt werden, wird die betreffende Übermittlung ausgesetzt.

9. Unterstützung des Verantwortlichen

Wir unterstützen den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Betroffenenrechten sowie den Pflichten aus Art. 32 bis 36 DSGVO. An uns gerichtete Anträge zu den Auftragsdaten leiten wir unverzüglich an ihn weiter; eine inhaltliche Antwort erfolgt nach seiner Weisung. Eine Verletzung des Schutzes der Auftragsdaten melden wir ohne schuldhaftes Zögern, spätestens innerhalb von 48 Stunden nach Bekanntwerden, an den hinterlegten Ansprechpartner. Die Meldung enthält verfügbare Angaben zu Art und Umfang, betroffenen Daten/Personen, voraussichtlichen Folgen, Kontakt und ergriffenen oder vorgeschlagenen Maßnahmen; fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht. Gesetzliche Fristen und die Verantwortung des Verantwortlichen für erforderliche Behörden- oder Betroffenenmeldungen bleiben unberührt.

10. Rückgabe und Löschung

Nach Vertragsende gibt der Auftragsverarbeiter die personenbezogenen Auftragsdaten nach Wahl des Verantwortlichen zurück oder löscht sie, einschließlich vorhandener Kopien, grundsätzlich innerhalb von 30 Tagen. Die Wahl kann bis zum Abschluss der Leistung in Textform über den im Impressum genannten Kontakt mitgeteilt oder geändert werden. Strukturierte Daten können über die Exportfunktion abgerufen werden; weitere zum Auftrag gehörende Inhalte werden auf berechtigte Anforderung bereitgestellt. Ein Löschauftrag wird nicht als Verzicht auf gesetzliche Rechte behandelt. Soweit Unionsrecht oder nationales Recht weitere Speicherung verlangt, werden nur die erforderlichen Daten gesperrt und auf diesen Zweck beschränkt; der Verantwortliche wird über Umfang und Grund informiert. Geschützte Sicherungen werden nach ihrem dokumentierten Zyklus überschrieben, nicht erneut produktiv genutzt und nach einer Wiederherstellung erneut bereinigt. Die abgeschlossene Löschung wird auf Anfrage bestätigt.

11. Nachweise und Überprüfungen

Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer. Routinemäßige Prüfungen werden mit angemessener Vorankündigung möglichst anhand geeigneter Nachweise und ohne vermeidbare Betriebsstörung durchgeführt; erforderliche Vor-Ort-Prüfungen bleiben möglich. Bei konkreten Sicherheitsvorfällen, begründeten Zweifeln oder behördlichen Anforderungen gelten keine Beschränkungen, die eine rechtzeitige Prüfung verhindern. Daten anderer Kunden und schutzwürdige Sicherheitsinformationen sind zu schützen. Eine angemessene Kostenerstattung für zusätzliche Routineprüfungen wird vorab vereinbart und darf gesetzliche Kontrollrechte nicht vereiteln; Nachweise und Abhilfe für eigene Pflichtverletzungen werden nicht von einer Vorauszahlung abhängig gemacht.

12. Rechte und Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und der von ihm erteilten Weisungen verantwortlich, insbesondere für die Rechtsgrundlage der Ansprache der Ansprechpartner und der Privatpersonen, deren Daten er importiert, sowie für die Information dieser Personen über die Verarbeitung (Art. 13 und 14 DSGVO).