Auftragsverarbeitungsvertrag
Stand: 02.10.2026 · Fassung 0.1 (Entwurf)
Entwurf. Dieser Text beschreibt die tatsächliche Verarbeitung und das geplante Angebot von Rechniqo, ist aber noch nicht juristisch geprüft und noch nicht verbindlich. Die verbindliche Fassung wird vor dem Start des Angebots veröffentlicht.
zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und dem Anbieter von Rechniqo (siehe Impressum) als Auftragsverarbeiter („Auftragnehmer“).
1. Gegenstand und Dauer
- Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer bei der Bereitstellung von Rechniqo nach den Allgemeinen Geschäftsbedingungen (Hauptvertrag).
- Die Dauer entspricht der Laufzeit des Hauptvertrags einschließlich einer Testphase. Die Pflichten zur Löschung und Rückgabe (Ziffer 10) gelten darüber hinaus.
2. Art und Zweck der Verarbeitung
Speichern, Auslesen (auch per Texterkennung und KI), Auswerten, Abgleichen und Anzeigen der vom Auftraggeber hochgeladenen Eingangsrechnungen und zugehörigen Dokumente; Führen von Lieferanten-, Artikel- und Preisdaten; Erstellen von Befunden, Benachrichtigungen und Reklamationsentwürfen innerhalb der Anwendung. Zweck ist ausschließlich die Prüfung der Eingangsrechnungen des Auftraggebers.
3. Art der Daten und Kategorien betroffener Personen
| Betroffene Personen | Datenarten |
|---|---|
| Ansprechpartner und Beschäftigte von Lieferanten; Einzelunternehmer als Lieferanten | Namen, Kontaktdaten, Anschriften, Steuer- und Umsatzsteuer-Identifikationsnummern, Bankverbindungen und sonstige Angaben, soweit sie auf den Belegen stehen |
| Beschäftigte des Auftraggebers, die auf Belegen genannt sind (z. B. Besteller, Empfänger) | Namen und Angaben, soweit sie auf den Belegen stehen |
| Nutzer des Auftraggebers in Rechniqo | Name und E-Mail-Adresse im Zusammenhang mit Entscheidungen über Befunde (wer hat wann entschieden) |
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Auftraggeber lädt Belege mit solchen Daten nicht hoch, soweit dies vermeidbar ist.
4. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, sofern er nicht gesetzlich zu einer Verarbeitung verpflichtet ist. Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und der Nutzung der Anwendung durch den Auftraggeber; weitere Weisungen erteilt der Auftraggeber in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.
5. Vertraulichkeit
Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
6. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in den technischen und organisatorischen Maßnahmen beschrieben sind, und entwickelt sie entsprechend dem Stand der Technik weiter. Das Schutzniveau darf dabei nicht unterschritten werden.
7. Unterauftragsverarbeiter
- Der Auftraggeber genehmigt die in der Liste der Unterauftragsverarbeiter genannten Dienstleister.
- Der Auftragnehmer informiert den Auftraggeber vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 30 Tagen widersprechen. Im Fall eines Widerspruchs kann jede Partei den Hauptvertrag kündigen.
- Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich die Pflichten dieses Vertrags auf. Für Übermittlungen in Drittländer stellt er die Voraussetzungen der Art. 44 ff. DSGVO sicher.
8. Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit ihm dies unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen möglich ist.
9. Meldung von Verletzungen
Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
10. Löschung und Rückgabe
Nach Ende der Leistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück, sofern keine gesetzliche Pflicht zur Speicherung besteht. Für die Rückgabe stehen der Export der Rechnungsliste als CSV-Datei und der Abruf der Originalbelege zur Verfügung; einen Export aller Originalbelege stellt der Auftragnehmer auf Anfrage bereit. Kopien in Datensicherungen werden mit Ablauf der jeweiligen Sicherung gelöscht. Die Löschung wird dem Auftraggeber auf Anfrage bestätigt.
11. Nachweise und Überprüfungen
Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach angemessener Vorankündigung.
12. Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des Hauptvertrags. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor.
Abschluss
Ein elektronischer Abschluss in der Anwendung ist noch nicht eingerichtet. Bis dahin schließen die Parteien diesen Vertrag in Textform; nutzen Sie dafür die Druck- bzw. PDF-Funktion dieser Seite.