Rechtliches
Auftragsverarbeitungsvertrag (AVV)
Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO. Der folgende Entwurf bildet die Struktur ab; die verbindliche Fassung samt Anlagen (Verarbeitungsbeschreibung, TOM, Subunternehmer) liefert der Betreiber vor dem Live-Gang.
Platzhalter — echte Rechtsdaten vom Betreiber erforderlich
Dieser Inhalt ist ein nicht verbindlicher Entwurf. Vor dem Live-Gang müssen die tatsächlichen Angaben ergänzt und der Text anwaltlich geprüft werden.
1. Vertragsparteien
Dieser Auftragsverarbeitungsvertrag (AVV) wird geschlossen zwischen dem Verantwortlichen (Kunde) und dem Auftragsverarbeiter Anbieter. Er ergänzt den Hauptvertrag über die Nutzung von buchungswerk.ai.
2. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Belegvorprüfung. Die Dauer entspricht der Laufzeit des Hauptvertrags. Art, Umfang und Zweck: Anlage 1 — Verarbeitungsbeschreibung.
3. Art der Daten und Kategorien betroffener Personen
Verarbeitet werden insbesondere Beleg- und Stammdaten der Mandanten des Kunden. Konkrete Datenkategorien und Betroffenengruppen: Anlage 1.
4. Weisungsgebundenheit
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern keine gesetzliche Verpflichtung besteht.
5. Technische und organisatorische Maßnahmen (TOM)
Es werden geeignete TOM nach Art. 32 DSGVO umgesetzt, u. a. Mandantentrennung über Row-Level-Security, Verschlüsselung, Zugriffskontrolle und Protokollierung. Vollständige Auflistung: Anlage 2 — TOM.
6. Unterauftragsverarbeiter
Der Einsatz weiterer Auftragsverarbeiter erfolgt nach Maßgabe von Art. 28 Abs. 2/4 DSGVO. Aktuelle Liste (z. B. Hosting in der EU, KI-Verarbeitung in Schweden): Anlage 3 — Subunternehmerliste.
7. Drittlandtransfer
Ein Transfer in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO (z. B. Standardvertragsklauseln). Details: Anlage 3.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Betroffenenrechten (Art. 12–23) sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten (Art. 33/34).
9. Löschung und Rückgabe
Nach Beendigung der Verarbeitung werden die Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
10. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt die zur Einhaltung von Art. 28 DSGVO erforderlichen Nachweise bereit und ermöglicht Kontrollen. Verfahren: Audit-Regelung.
Fragen zu diesen Angaben? Schreiben Sie an info@buchungswerk.ai.
Entwurf, Stand 05/2026