Auftragsverarbeitungsvertrag (AVV)
⚠️ PLATZHALTER — noch kein gültiger Rechtstext.
Dieses Dokument ist für kipass das kritischste. Sobald ein Kunde
(Steuerberater) Belege seiner Mandanten hochlädt, verarbeiten Sie personenbezogene Daten
in dessen Auftrag — inklusive Daten, die dem Berufsgeheimnis (§ 203 StGB)
unterliegen. Ohne wirksamen AVV ist die Nutzung rechtswidrig. Der AVV muss
vor dem ersten Upload geschlossen sein — auch im kostenlosen Testzeitraum.
Checkliste für die Kanzlei — Pflichtinhalte nach Art. 28 Abs. 3 DSGVO
- Parteien — Kunde = Verantwortlicher, KI PASS GmbH = Auftragsverarbeiter.
- Gegenstand, Art und Zweck der Verarbeitung (Belegerfassung/OCR,
Buchungsvorbereitung, DATEV-Export …).
- Dauer — Laufzeit des Hauptvertrags.
- Art der Daten & Kategorien betroffener Personen — Belegdaten,
Rechnungsdaten, ggf. Namen/Adressen von Mandanten und deren Geschäftspartnern.
- Weisungsbindung — Verarbeitung ausschließlich auf dokumentierte Weisung.
- Vertraulichkeit — Verpflichtung der Mitarbeiter;
ausdrücklicher Bezug auf § 203 StGB (Berufsgeheimnisträger).
- Technische und organisatorische Maßnahmen (TOM) — als Anlage:
Verschlüsselung (TLS), Zugriffskontrolle, Protokollierung, Backup,
Hosting-Region (Azure West Europe), Mandantentrennung.
- Unterauftragsverarbeiter — namentlich mit Zweck und Standort:
Microsoft Azure (Hosting), Stripe (Zahlung),
Keygen (Lizenzverwaltung), Mistral (OCR, falls eingesetzt);
Genehmigungsverfahren und Widerspruchsrecht bei neuen Unterauftragnehmern.
- Unterstützungspflichten — bei Betroffenenrechten (Art. 15–22),
Meldung von Datenpannen (Art. 33), Datenschutz-Folgenabschätzung (Art. 35).
- Kontrollrechte — Audit-/Nachweisrechte des Kunden.
- Löschung/Rückgabe nach Vertragsende — Export durch den Kunden,
anschließende Löschfrist; Abstimmung mit dessen Aufbewahrungspflichten
(§ 132 BAO / § 147 AO) und GoBD.
- Drittlandtransfer — falls Unterauftragnehmer außerhalb der EU:
SCC / Data Privacy Framework.
- Haftung und Regelung zur Kostentragung bei Unterstützungsleistungen.
1. Gegenstand und Dauer
[Hier den Text der Kanzlei einsetzen.]
2. Weisungsrecht des Verantwortlichen
[Hier den Text der Kanzlei einsetzen.]
3. Vertraulichkeit und Berufsgeheimnis
[Hier den Text der Kanzlei einsetzen.]
4. Technische und organisatorische Maßnahmen
[Hier den Text der Kanzlei einsetzen — ggf. als Anlage.]
5. Unterauftragsverarbeiter
[Hier den Text der Kanzlei einsetzen.]
6. Löschung und Rückgabe der Daten
[Hier den Text der Kanzlei einsetzen.]
Fassung 0.9-ENTWURF · Stand 2026-07-29