Auftragsverarbeitung

Verantwortlich bist du: es sind deine Geschäftsvorfälle, und du entscheidest, was mit ihnen geschieht. Auftragsverarbeiter sind wir — German Vater, Fritzlar —, weil wir sie auf unseren Servern für dich verarbeiten.

Die Vereinbarung gilt, solange dein Vertrag läuft, und endet mit ihm. Sie umfasst alles, was in deiner Instanz liegt.

Art und Zweck: Belege und Kontoumsätze entgegennehmen, auslesen, Konten zuordnen, für die Übergabe an deine Buchhaltung aufbereiten — und danach löschen. Verbindest du einen Zahlungsdienstleister (Stripe, PayPal), holt die Instanz die Umsätze dort auf deine Weisung ab; sie sendet nichts dorthin zurück. Der Dienst ist eine Durchgangsstation, kein Archiv.

Datenarten: Rechnungs- und Belegdaten (Datum, Betrag, Steuer, Gegenpartei, Verwendungszweck), Kontoumsätze, Belegbilder und -dateien, sowie die Zugangsdaten deiner Nutzer (E-Mail-Adresse, Passkeys, Geräteangaben). Verbindest du einen Zahlungsdienstleister, kommen dessen Umsatzdaten hinzu — bei PayPal gehören dazu regelmäßig Name und E-Mail-Adresse der Gegenseite — sowie der von dir hinterlegte Zugangsschlüssel zu diesem Dienst. Er liegt verschlüsselt in deiner Instanz, wird nie wieder angezeigt und lässt sich jederzeit entfernen.

Betroffene Personen: du und deine Mitarbeitenden als Nutzer, sowie alle Personen, die auf deinen Belegen erscheinen — Lieferanten, Dienstleister, Kunden.

Belege enthalten regelmäßig keine besonderen Kategorien nach Art. 9 DSGVO. Wenn du solche verarbeitest — etwa Rechnungen von Ärzten oder Gesundheitsdiensten —, gilt diese Vereinbarung auch dafür; sag uns aber bitte Bescheid, denn dann sind zusätzliche Maßnahmen zu prüfen.

Wir verarbeiten deine Daten ausschließlich auf deine dokumentierte Weisung. Deine Einstellungen in der Instanz sind solche Weisungen — die Löschfristen, der Kontenrahmen, die Kategorien. Über die Nutzung hinaus kannst du uns in Textform weisen.

Hält eine Weisung dem Datenschutzrecht nicht stand, sagen wir es dir und führen sie nicht aus, bis du sie bestätigst oder änderst (Art. 28 Abs. 3 Satz 3 DSGVO).

Müssen wir aufgrund einer Rechtsvorschrift verarbeiten, teilen wir dir das vorher mit — es sei denn, dieselbe Vorschrift verbietet die Mitteilung.

Zugriff auf deine Daten hat nur, wer ihn zur Erbringung der Leistung braucht. Alle zur Vertraulichkeit verpflichteten Personen sind namentlich benannt; derzeit ist das ausschließlich der Betreiber selbst. Kommt jemand hinzu, wird er vorher verpflichtet.

Wir lesen deine Belege nicht zur Kenntnisnahme. Ein Zugriff findet statt, wenn du uns um Hilfe bittest oder wenn eine Störung ihn erzwingt — und die Instanzen sind dagegen zusätzlich versiegelt (siehe unten).

Wir setzen die Unternehmen ein, die auf der Seite Unterauftragnehmer stehen. Mit deiner Annahme dieser Vereinbarung stimmst du ihnen allgemein zu (Art. 28 Abs. 2 DSGVO).

Ändert sich die Liste, unterrichten wir dich vorher in Textform. Du kannst binnen vier Wochen widersprechen; dann kannst du den Vertrag zum Wirksamwerden der Änderung kündigen. Wir erlegen jedem Unterauftragnehmer dieselben Pflichten auf, die uns hier treffen.

Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs- oder Löschbegehren an uns, beantworten wir es nicht selbst — wir leiten es an dich weiter. Du bist der richtige Adressat, weil es deine Daten sind.

Wir unterstützen dich dabei mit dem, was der Dienst hergibt: Buchungen und Belege lassen sich in der Instanz suchen, ändern, exportieren und löschen, ohne dass wir dafür etwas tun müssen.

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, melden wir sie dir unverzüglich — mit dem, was wir wissen: was passiert ist, welche Daten betroffen sind, was wir dagegen tun. Die Meldung an die Aufsichtsbehörde binnen 72 Stunden ist deine Pflicht (Art. 33 DSGVO); unsere ist es, dich rechtzeitig in die Lage dazu zu versetzen.

Ebenso unterstützen wir dich bei einer Datenschutz-Folgenabschätzung und einer etwaigen vorherigen Konsultation (Art. 35, 36 DSGVO), soweit die Angaben nur uns vorliegen.

Endet der Vertrag, löschen wir den gesamten Container samt Datenbank und allen verbliebenen Belegen. Eine Rückgabe findet nicht statt — was du behalten willst, exportierst du vorher; der Export steht dir jederzeit zur Verfügung.

Eine Wiederherstellung ist danach nicht möglich, auch nicht durch uns. Das ist gewollt: ein Dienst, der Gelöschtes zurückholen kann, hat es nicht gelöscht.

Schon während des Vertrags wird laufend gelöscht, nach den Fristen, die du selbst einstellst. Über jede planmäßige Löschung entsteht ein Protokolleintrag mit Prüfsumme, aber ohne Inhalt: damit lässt sich belegen, dass gelöscht wurde, ohne aufzubewahren, was.

Wir stellen dir alle Angaben zur Verfügung, die du zum Nachweis der Einhaltung brauchst, und ermöglichen Überprüfungen — durch dich oder einen von dir beauftragten Prüfer (Art. 28 Abs. 3 lit. h DSGVO). Sie erfolgen nach Absprache als Auskunft und Vorlage von Unterlagen. Für das Rechenzentrum legen wir das Prüfzeugnis und die Maßnahmenbeschreibung unseres Betreibers vor; das ist der übliche Weg, weil dort auch andere Kunden stehen.

Die folgenden Maßnahmen beschreiben den tatsächlichen Betrieb, nicht eine Absicht. Sie gelten für jede Instanz gleichermaßen.

Mandantentrennung und Netzarchitektur

Jeder Kunde erhält einen eigenen Container mit eigener Datenbank und eigenen Zugängen. Es gibt keine gemeinsame Tabelle, in der Kunden über eine Kennung auseinandergehalten würden — ein Programmierfehler kann deshalb keine fremden Buchungen zeigen, weil es sie in dieser Datenbank nicht gibt.

Die Komponenten laufen in einer containerisierten Infrastruktur an einem geschützten internen Netz. Über dieses Netz werden zentrale Plattformdienste bereitgestellt und gemeinsam genutzt — die Belegerkennung und die Sprachmodelle, die auf eigener Hardware laufen. Das ist der Grund, warum im laufenden Betrieb kein Beleg an einen KI-Anbieter geht: die Auswertung findet im eigenen Netz statt.

Die Trennung der Mandanten erfolgt auf Ebene der Anwendung, der Authentifizierung und der Datenhaltung: getrennte Datenbanken, je Instanz eigene Zugangsschlüssel, und eine Anmeldung, die an das Gerät gebunden ist. Nicht über getrennte physische Umgebungen je Kunde.

Zugang: Passkeys statt Passwörter

Anmeldung ausschließlich mit Passkey (WebAuthn), gebunden an das Gerät. Es gibt kein Passwort, das erraten, wiederverwendet oder abgephisht werden könnte. Der erste Zugang läuft über einen Einladungscode mit Frist, der genau einmal funktioniert.

Zugriffe über die Programmschnittstelle

Du kannst in deiner Instanz Zugangsschlüssel für die Programmschnittstelle erzeugen und sie Werkzeugen deiner Wahl überlassen — etwa einem KI‑Assistenten, der für dich einrichtet, Belege einliefert oder zuordnet. Was unter einem solchen Schlüssel geschieht, geschieht in deinem Auftrag und in deiner Verantwortung: Wen du damit ausstattest und wie der mit deinen Daten umgeht, liegt bei dir; wir bleiben Auftragsverarbeiter allein für den Betrieb deiner Instanz. Schlüssel lassen sich jederzeit einzeln widerrufen, und jede Handlung über die Schnittstelle unterliegt denselben Prüfungen wie eine Eingabe von Hand.

Versiegelung der Instanzen

Nach der Einrichtung wird der Fernzugang zum Container versiegelt. Auch wir kommen dann nicht mehr per SSH hinein — nicht als Beteuerung, sondern weil der Zugang entfernt ist.

Übertragung

Alles läuft über TLS mit Zertifikaten von Let’s Encrypt. Die Instanzen sind für Suchmaschinen gesperrt, und die Zugriffsprotokolle des Umkehrproxys werden spätestens nach sieben Tagen gelöscht.

Nachvollziehbarkeit der Software

Aktualisierungen der Instanzen sind signiert; eine Instanz nimmt nur an, was mit unserem Schlüssel unterschrieben ist. Keine Änderung wird ausgeliefert, ohne dass die automatische Prüfung vorher vollständig durchgelaufen ist — nicht als Absprache, sondern weil der Zusammenführungsschutz sie sonst verweigert.

Löschung als Regelbetrieb

Die Löschfristen laufen automatisch, nicht auf Zuruf: nach dem Export, nach der Bestätigung der Übergabe, und für Zwischenstände der Belegerkennung nach 24 Stunden. Dateien ohne zugehörige Buchung werden ebenfalls entfernt.

Eine benannte Ausnahme sind die gelernten Zuordnungsregeln: Sie halten je Zahlungspartner die zuletzt gewählte Kategorie fest, damit die Kategorisierung nicht nach jeder Periode von vorn beginnt. Der Name des Partners bleibt dafür über die Löschung der Buchungen hinaus gespeichert — weitere Inhalte der Buchungen nicht. Die Regeln verlassen die Instanz nicht, sind dort einsehbar und löschbar und werden spätestens mit der Instanz gelöscht.

Wiederherstellbarkeit

Die Instanzen werden jede Nacht gesichert, damit sie sich nach einem technischen Zwischenfall wiederherstellen lassen (Art. 32 Abs. 1 lit. c DSGVO). Die Sicherung läuft im laufenden Betrieb, ohne dass der Dienst dafür angehalten wird; vorgehalten werden sieben Tagesstände, ältere werden automatisch entfernt.

Die Sicherungen liegen im selben Rechenzentrum wie die Instanzen und unterliegen denselben Zugangsbeschränkungen. Eine Kopie an einem zweiten Ort besteht derzeit nicht.

Sie sind kein Archiv und kein Rückholdienst. Sie dienen dazu, den Betrieb nach einem Ausfall wiederherzustellen — nicht dazu, einzelne gelöschte Belege auf Zuruf zurückzuholen. Das wäre das Gegenteil dessen, wofür dieser Dienst gebaut ist.

Daraus folgt eine Frist, die du kennen sollst: was du löschst, kann bis zu sieben Tage in einer Sicherung fortbestehen und verschwindet mit deren Ablauf. Aus dem laufenden Betrieb ist es sofort weg.

Belegerkennung auf eigener Hardware

Zeichenerkennung und Sprachmodell laufen auf eigenen Servern in Deutschland. Im laufenden Betrieb geht kein Beleg an einen KI-Anbieter.

Widersprechen sich diese Vereinbarung und die AGB, geht in Fragen des Datenschutzes diese Vereinbarung vor. Wird eine Bestimmung unwirksam, bleibt der Rest wirksam.

Fragen dazu an info@inwebdesign.net.