Auftragsverarbeitungsvertrag (AVV)

Zwischen

Mohaupt KI Solutions – Julian Andreas Mohaupt
Lange Gasse 41, 99331 Geratal
E-Mail: info@mohauptkisolutions.de
(nachfolgend „Auftragsverarbeiter")

und

Firma:  
Ansprechpartner:  
E-Mail:  
(nachfolgend „Verantwortlicher")

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter erbringt für den Verantwortlichen die in der Leistungsbeschreibung des SaaS-Vertrags genannten Dienstleistungen (Belegerfassung, Prüf-Warteschlange, Forderungsverwaltung, Zahlungsabgleich, Mahnwesen, Mahnstatus, Dashboard).
2. Gegenstand der Verarbeitung sind personenbezogene Daten, die der Verantwortliche über den Dienst einbringt:
   • Belegdaten (Rechnungen, Belegnummern, Beträge, Fälligkeiten, ggf. USt-IdNr.)
   • Personenbezogene Daten von Zahlungspflichtigen/Mietern (Name, E-Mail-Adresse, IBAN, Adresse)
   • Forderungs- und Mietdaten (Miete, Hausgeld, Nebenkosten, Umlagen, wiederkehrende Serien)
   • Bankdaten aus Kontoauszügen (Kontoinhaber, IBAN, Beträge, Buchungsdaten, Verwendungszweck – für den Zahlungsabgleich)
   • Kontaktdaten des Verantwortlichen und seiner Mitarbeiter
   • Zugangsdaten von Benutzern (E-Mail-Adresse, Passwort-Hash) für die Benutzerverwaltung
3. Die Dauer entspricht der Laufzeit des SaaS-Vertrags.

§ 2 Weisungen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich.
2. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen können formlos erteilt werden.
3. Eine Verarbeitung zu anderen Zwecken (insb. eigene Werbung, Profiling, Weitergabe an Dritte) ist untersagt.

§ 3 Technisch-organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter gewährleistet insbesondere:

• Verschlüsselung der Datenübertragung (TLS/HTTPS) für alle Zugriffe auf den Dienst
• Benutzer-Zugangsdaten werden ausschließlich als Hash (bcrypt) gespeichert und sind nicht rekonstruierbar; Zugangsschlüssel für Drittdienste (API-Keys) liegen in einer zugriffsbeschränkten Konfigurationsdatei (Dateirechte 600)
• Zugriffskontrolle über Benutzerrollen und Passwort-Hashing
• Regelmäßige Sicherheitsupdates, Backups und Monitoring
• Protokollierung sicherheitsrelevanter Ereignisse
• Wiederherstellbarkeit von Daten (Backups)

§ 4 Sub-Auftragsverarbeiter

1. Folgende Sub-Auftragsverarbeiter werden eingesetzt:

   Sub-Auftragsverarbeiter	Tätigkeit	Standort
   Hetzner Online GmbH	Hosting (Server, DB, Dateispeicher)	DE/EU
   Site (site.de / site.eu) – Domain- & E-Mail-Hosting	E-Mail-Eingang (IMAP-Postfach, Spamfilter)	EU
   Resend (Plus Five Five, Inc.)	E-Mail-Versand	USA (DPF)
   Google LLC (Gemini-API)	KI-Extraktion von Belegdaten (direkt, ohne Zwischenhändler)	USA (DPF)

   Stand der Verträge nach Art. 28 DSGVO: Hetzner – AVV geschlossen; Resend – DPA bei Kontoerstellung geschlossen (deutsche Übersetzung, Original: resend.com/legal/dpa); Google – für die (bezahlte) Gemini-API gelten die Auftragsverarbeitungsbedingungen von Google („Data Processing Addendum for Products Where Google is a Data Processor", business.safety.google/processorterms).

2. Die aktuelle Liste wird dem Verantwortlichen auf Anfrage mitgeteilt.
3. Änderungen werden vorab mitgeteilt; der Verantwortliche kann widersprechen.
4. Mit jedem Sub-Auftragsverarbeiter ist ein Vertrag nach Art. 28 DSGVO (bzw. DPF-Standard) geschlossen.

§ 5 Rechte der betroffenen Personen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).
2. Der Verantwortliche kann Auskunfts- und Löschungsverlangen an den Auftragsverarbeiter richten; dieser setzt sie unverzüglich um.

§ 6 Datenschutzverletzungen

Der Auftragsverarbeiter meldet Datenschutzverletzungen unverzüglich (spätestens innerhalb von 48 Stunden) an den Verantwortlichen, damit dieser seine Meldepflichten (Art. 33 DSGVO, 72 Stunden) erfüllen kann.

§ 7 Löschung und Rückgabe

1. Nach Vertragsende werden Daten auf Weisung des Verantwortlichen gelöscht oder zurückgegeben.
2. Gesetzliche Aufbewahrungspflichten (insb. § 147 AO, 10 Jahre für Buchhaltungsunterlagen) bleiben unberührt; in diesem Fall wird die Verarbeitung auf das erforderliche Maß beschränkt.

§ 8 Kontrolle

1. Der Verantwortliche kann die Einhaltung der TOM angemessen prüfen (z. B. anlassbezogen, unter Wahrung von Geschäftsgeheimnissen).
2. Prüfungen erfolgen nach vorheriger Ankündigung und nur im notwendigen Umfang.

§ 9 Sonstiges

1. Es gilt deutsches Recht.
2. Die Regelungen dieses AVV gehen bei Widersprüchen dem SaaS-Vertrag vor.