← Zurück zur Startseite

Auftragsverarbeitungsvertrag (AVV)

Stand: 25.07.2026

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO zwischen

dem Kunden (nachfolgend „Verantwortlicher“) — die Angaben ergeben sich aus den im Nutzerkonto hinterlegten Stammdaten —

und

Daniel Driediger, Einzelunternehmen, Annastr. 14, 51149 Köln, E-Mail: driedigerdaniel@gmail.com (nachfolgend „Auftragsverarbeiter“).

1. Gegenstand und Dauer des Auftrags

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung und des Betriebs der Buchhaltungs-Software valuta finance sowie — sofern gesondert beauftragt — der Dienstleistung „Rundum-Sorglos“ (vorbereitende Buchhaltung). Die Einzelheiten der Hauptleistung ergeben sich aus den AGB.

Die Dauer entspricht der Laufzeit des Hauptvertrags. Der Auftrag endet mit dessen Beendigung, wobei die in Ziffer 10 geregelten Aufbewahrungspflichten unberührt bleiben.

2. Art und Zweck der Verarbeitung

Zweck ist ausschließlich die Erbringung der vertraglich vereinbarten Leistung: Speicherung, Strukturierung, Auswertung und Bereitstellung von Buchhaltungsdaten des Verantwortlichen sowie die Erzeugung daraus abgeleiteter Dokumente (Rechnungen, Angebote, EÜR- und UStVA-Auswertungen, DATEV-Exporte).

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich weisungsgebunden. Eine Nutzung zu eigenen Zwecken — insbesondere zu Werbezwecken, zum Training von KI-Modellen oder zur Weitergabe an Dritte — findet nicht statt.

3. Art der personenbezogenen Daten

• Stammdaten der Kunden und Lieferanten des Verantwortlichen (Name, Anschrift, E-Mail-Adresse)
• Vertrags- und Abrechnungsdaten (Rechnungen, Angebote, Positionen, Zahlungen, Zahlungsziele)
• Bankbewegungsdaten (Buchungsdatum, Betrag, Verwendungszweck, Gegenseite, IBAN)
• Belegdokumente (hochgeladene Rechnungen, Quittungen, E-Rechnungen als PDF/XML/Bilddatei)
• Anmelde- und Protokolldaten der Nutzer des Verantwortlichen (E-Mail-Adresse, Zeitstempel)

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Verantwortliche stellt sicher, dass er solche Daten nicht in die Software einstellt.

4. Kategorien betroffener Personen

• Kunden und Auftraggeber des Verantwortlichen
• Lieferanten und Dienstleister des Verantwortlichen
• Beschäftigte und sonstige Nutzer des Verantwortlichen, die Zugriff auf die Software haben

5. Pflichten des Auftragsverarbeiters

1. Weisungsgebundenheit (Art. 28 Abs. 3 lit. a DSGVO): Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gilt auch die Nutzung der Funktionen der Software durch den Verantwortlichen selbst. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Verantwortlichen darauf hin und darf die Ausführung aussetzen.
2. Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO): Der Auftragsverarbeiter arbeitet derzeit ohne Beschäftigte. Werden künftig Personen zur Verarbeitung herangezogen, werden diese zuvor schriftlich zur Vertraulichkeit verpflichtet und in die einschlägigen Datenschutzvorschriften eingewiesen.
3. Datensicherheit (Art. 32 DSGVO): Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen und hält sie während der Vertragslaufzeit auf einem dem Risiko angemessenen Stand.
4. Unterstützung des Verantwortlichen (Art. 28 Abs. 3 lit. e, f DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten. Für Auskunft und Datenübertragbarkeit steht in der Software eine Exportfunktion bereit, die sämtliche zum Mandanten gespeicherten Daten in einem strukturierten, maschinenlesbaren Format ausgibt.
5. Meldung von Datenschutzverletzungen (Art. 33 Abs. 2 DSGVO): Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme, unter Angabe der bekannten Umstände. Die Meldung an die Aufsichtsbehörde obliegt dem Verantwortlichen.
6. Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO): Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen. Kontrollen erfolgen nach Ankündigung mit angemessener Frist, während üblicher Geschäftszeiten und ohne Störung des Betriebsablaufs. Vorrangig kann der Nachweis durch Selbstauskünfte oder Zertifikate der eingesetzten Unterauftragsverarbeiter geführt werden.
7. Ort der Verarbeitung: Die Verarbeitung findet innerhalb der Europäischen Union statt. Ausnahmen und deren Absicherung sind in Ziffer 6 geregelt.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz der nachfolgend genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO). Der Auftragsverarbeiter informiert über beabsichtigte Änderungen mit einer Frist von 30 Tagen vorab in Textform; der Verantwortliche kann innerhalb dieser Frist widersprechen und den Vertrag bei fortbestehendem Dissens außerordentlich kündigen.

Bei Supabase Inc. und GitHub, Inc. handelt es sich um Unternehmen mit Sitz außerhalb der EU. Die Datensicherungen bei GitHub werden ausschließlich mit AES-256 verschlüsselt abgelegt; der Schlüssel verbleibt beim Auftragsverarbeiter, sodass der Dienstleister keinen Zugriff auf die Klartextdaten hat. Die Übermittlung wird zusätzlich über die Standardvertragsklauseln der EU-Kommission bzw. eine Zertifizierung nach dem EU-U.S. Data Privacy Framework abgesichert.

7. Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen allein verantwortlich (Art. 24 DSGVO).
2. Er erteilt Weisungen grundsätzlich in Textform. Mündliche Weisungen bestätigt er unverzüglich in Textform.
3. Er benennt einen Ansprechpartner für Datenschutzfragen und informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
4. Er stellt sicher, dass Zugangsdaten zur Software vertraulich behandelt und nicht an unberechtigte Dritte weitergegeben werden.

8. Berichtigung, Einschränkung und Löschung

Der Auftragsverarbeiter berichtigt, löscht oder schränkt die Verarbeitung von Daten nur nach Weisung des Verantwortlichen ein. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.

Ein Löschverlangen führt zunächst zur Einschränkung der Verarbeitung (Art. 18 DSGVO): Der Zugang wird gesperrt, der Datenexport bleibt dem Verantwortlichen weiterhin möglich. Eine tatsächliche Anonymisierung erfolgt erst nach Ablauf der gesetzlichen Aufbewahrungsfristen (Ziffer 10).

9. Haftung

Es gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags (AGB Abschnitt C.5).

10. Löschung und Rückgabe nach Beendigung

Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter dem Verantwortlichen auf Verlangen einen vollständigen Export sämtlicher Daten zur Verfügung.

Eine sofortige Löschung erfolgt ausdrücklich nicht, soweit gesetzliche Aufbewahrungspflichten entgegenstehen: Buchhaltungsunterlagen unterliegen der Aufbewahrungspflicht nach § 147 AO und § 257 HGB (regelmäßig 10 Jahre, gerechnet ab dem Schluss des Kalenderjahres der letzten Buchung). Die Daten werden für diesen Zeitraum in eingeschränkter Verarbeitung vorgehalten und anschließend anonymisiert bzw. gelöscht.

Übernimmt der Verantwortliche die Aufbewahrung nachweislich selbst — etwa nach vollständiger Datenübergabe bei Einstellung des Dienstes durch den Auftragsverarbeiter —, kann die Anonymisierung vorzeitig erfolgen. Die Übergabe wird dokumentiert.

11. Schlussbestimmungen

Änderungen und Ergänzungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Datenschutzfragen vor. Es gilt deutsches Recht.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Die Verarbeitung findet ausschließlich in Rechenzentren der eingesetzten Dienstleister statt (AWS Frankfurt, Hostinger). Deren Zutrittssicherung (Zaun, Videoüberwachung, Vereinzelungsanlagen, 24/7-Bewachung) wird über die jeweiligen Zertifizierungen nachgewiesen. Eigene Server werden nicht betrieben.
• Zugangskontrolle: Zugang zur Software ausschließlich über persönliches Konto mit E-Mail-Adresse und Passwort. Passwörter werden ausschließlich als Hash gespeichert. Bei der Vergabe wird eine Mindestkomplexität erzwungen. Administrative Zugänge zur Datenbank und zur Hosting-Umgebung sind auf den Auftragsverarbeiter beschränkt und mit Zwei-Faktor-Authentifizierung gesichert. Inaktive Sitzungen werden automatisch beendet.
• Zugriffskontrolle: Die Mandantentrennung wird nicht in der Anwendung, sondern direkt in der Datenbank durchgesetzt (Row-Level-Security auf sämtlichen datenführenden Tabellen). Jede Abfrage wird serverseitig gegen die Mitgliedschaft des angemeldeten Nutzers geprüft; ein Zugriff auf Daten anderer Mandanten ist technisch ausgeschlossen — auch bei manipulierten Anfragen. Belegdateien liegen in einem nicht öffentlichen Speicher mit mandantenbezogenen Pfadberechtigungen. Funktionen mit erweiterten Rechten sind für nicht angemeldete Aufrufer gesperrt.
• Trennungskontrolle: Sämtliche Datensätze tragen eine Mandantenkennung; die Trennung wird über die genannten Datenbankrichtlinien erzwungen. Entwicklungs- und Produktivumgebung sind getrennt.
• Pseudonymisierung/Verschlüsselung: Übertragung ausschließlich TLS-verschlüsselt (HTTPS). Daten ruhend verschlüsselt auf Ebene des Speichersystems. Datensicherungen zusätzlich AES-256-verschlüsselt.

Integrität

• Eingabekontrolle: Buchungsrelevante Datensätze werden nach Ablauf einer konfigurierbaren Frist unveränderbar festgeschrieben (GoBD). Die Unveränderbarkeit wird per Datenbank-Trigger erzwungen, nicht nur in der Anwendung. Rechnungsnummern werden lückenlos und ausschließlich serverseitig vergeben. Stornierungen erfolgen als nachvollziehbare Gegenbuchung, nicht durch Löschen.
• Weitergabekontrolle: Datenexporte erfolgen ausschließlich auf Anforderung des berechtigten Nutzers über die Anwendung. Eine automatisierte Weitergabe an Dritte findet nicht statt.

Verfügbarkeit und Belastbarkeit

• Tägliche automatisierte Datensicherung von Datenbank und Belegdateien, verschlüsselt abgelegt, Aufbewahrung 90 Tage.
• Die Wiederherstellbarkeit wird bei jeder Sicherung automatisiert überprüft, indem die Sicherung testweise in eine separate Datenbank zurückgespielt und auf Vollständigkeit geprüft wird.
• Löschschutz auf Datenbankebene: Mandanten mit vorhandenen Buchungsdaten können nicht versehentlich gelöscht werden.

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Sicherheitsprüfung der Datenbankkonfiguration (u. a. auf fehlende Zugriffsrichtlinien und zu weit gefasste Ausführungsrechte) nach jeder Schemaänderung.
• Auftragskontrolle: Einsatz von Unterauftragsverarbeitern nur auf Grundlage eines AVV.
• Datenschutz durch Technikgestaltung (Art. 25 DSGVO): Es werden nur die für die Buchhaltung erforderlichen Datenfelder erhoben; auf Analyse- und Tracking-Dienste wird verzichtet.