Für Betriebe

Auftragsverarbeitungsvertrag

nach Art. 28 der Datenschutz-Grundverordnung (DSGVO) · Fassung 1.0 · Stand: 12. Oktober 2026

Dieser Vertrag gilt für alle Unternehmer:innen, die Belegerl nutzen. Er ist Teil des Nutzungsvertrags (AGB, Punkt 10) und gilt ohne Unterschrift. Wer eine unterschriebene Fassung braucht, zum Beispiel für die eigenen Unterlagen oder die Steuerberatung, speichert diese Seite als PDF und schickt sie ausgefüllt an [email protected]; wir senden sie gegengezeichnet zurück.

Als PDF speichern oder druckenSicherheit im Überblick

1. Gegenstand und Dauer

1. Der Auftragsverarbeiter stellt dem Kunden die Web-App Belegerl bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag des Kunden. Einzelheiten stehen in Anlage 1.
2. Dieser Vertrag gilt, solange der Kunde Belegerl nutzt, und endet mit dem Nutzungsvertrag. Pflichten zur Löschung und Vertraulichkeit gelten darüber hinaus.
3. Für Daten, die der Auftragsverarbeiter für eigene Zwecke verarbeitet (Konto, Abrechnung, Sicherheit des Dienstes), ist er selbst Verantwortlicher; dafür gilt die Datenschutzerklärung.

2. Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Als Weisung gelten dieser Vertrag, der Nutzungsvertrag und die Einstellungen und Eingaben des Kunden in der App.
2. Einzelne Belege sieht der Auftragsverarbeiter nur ein, wenn der Kunde ihn darum bittet, etwa zur Fehlersuche, oder wenn ein Gesetz ihn dazu verpflichtet. In diesem Fall informiert er den Kunden vorab, sofern das Gesetz es nicht verbietet.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Kunden unverzüglich mit.
4. Die Daten werden nicht für eigene Zwecke des Auftragsverarbeiters ausgewertet, nicht verkauft und nicht zum Training von KI-Modellen verwendet.

3. Vertraulichkeit

Alle Personen, die beim Auftragsverarbeiter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Die Verpflichtung besteht nach dem Ende der Tätigkeit fort.

4. Sicherheit der Verarbeitung

1. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.
2. Er darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

5. Unterauftragsverarbeiter

1. Der Kunde stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu.
2. Will der Auftragsverarbeiter einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informiert er den Kunden mindestens 30 Tage vorher per E-Mail oder in der App. Der Kunde kann aus wichtigem Grund widersprechen. Lässt sich keine Lösung finden, kann der Kunde den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen; im Voraus bezahlte Entgelte für die Zeit danach werden erstattet.
3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht, und haftet für dessen Verhalten wie für eigenes.

6. Übermittlung in Drittländer

Die Daten werden in Deutschland gespeichert. Soweit Unterauftragsverarbeiter Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten (siehe Anlage 3), geschieht das auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder der Standardvertragsklauseln nach Art. 46 DSGVO.

7. Rechte der betroffenen Personen

Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Kunden weiter. Er unterstützt den Kunden mit den Funktionen der App (Suche, Export, Berichtigung, Löschung) und darüber hinaus im zumutbaren Rahmen dabei, Anfragen zu beantworten.

8. Unterstützung und Meldepflichten

1. Der Auftragsverarbeiter unterstützt den Kunden bei dessen Pflichten nach Art. 32 bis 36 DSGVO, soweit das seine Verarbeitung betrifft.
2. Erfährt der Auftragsverarbeiter von einer Verletzung des Schutzes der Daten des Kunden, meldet er sie unverzüglich, möglichst binnen 48 Stunden, an die E-Mail-Adresse der Inhaber:in des Kontos. Die Meldung nennt Art und Umfang der Verletzung, die wahrscheinlichen Folgen und die getroffenen Maßnahmen, soweit bekannt.

9. Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Kunden auf Anfrage die Informationen bereit, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen.
2. Der Kunde darf die Einhaltung selbst oder durch eine zur Verschwiegenheit verpflichtete Prüferin bzw. einen Prüfer kontrollieren, nach Anmeldung mit mindestens 14 Tagen Vorlauf, zu üblichen Geschäftszeiten und höchstens einmal im Jahr, außer es gibt einen konkreten Anlass. Kontrollen beim Hosting-Anbieter richten sich nach dessen Bedingungen; dessen Zertifikate und Prüfberichte gelten dafür als Nachweis.

10. Löschung und Rückgabe

1. Der Kunde kann seine Daten jederzeit exportieren und löschen. Löscht er das Konto, werden Firma, Belege und Dateien vom Server entfernt.
2. Der Nutzungsvertrag endet in der Regel damit, dass der Kunde sein Konto löscht. Endet er auf andere Weise, hat der Kunde 30 Tage Zeit für den Export; danach löscht der Auftragsverarbeiter die Daten, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht.
3. In Sicherungen sind gelöschte Daten noch bis zu acht Wochen enthalten. Sie werden dort nicht mehr verwendet und danach automatisch überschrieben.
4. Für die steuerliche Aufbewahrung seiner Belege bleibt der Kunde selbst verantwortlich.

11. Haftung und Schluss

1. Für die Haftung gelten Art. 82 DSGVO und die Regelungen des Nutzungsvertrags.
2. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag vor, soweit es um den Schutz personenbezogener Daten geht.
3. Es gilt österreichisches Recht. Gerichtsstand ist Wien.

Anlage 1: Beschreibung der Verarbeitung

Anlage 2: Technische und organisatorische Maßnahmen

Anlage 3: Unterauftragsverarbeiter

Die jeweils aktuelle Liste steht unter belegerl.ai/sicherheit.