AVV

Vertragsparteien

Dieser Vertrag besteht zwischen dir als Inhaberin oder Inhaber des BWA-Lotse-Kontos, bei einer Gesellschaft wie einer GmbH zwischen dieser Gesellschaft, (Verantwortlicher im Sinne der DSGVO) und uns als Auftragsverarbeiterin:

MeFi Solutions UG (haftungsbeschränkt)
Hettstadter Weg 22
97295 Waldbrunn

vertreten durch die Geschäftsführer Patrick Fischer und Sabine Mehler

E-Mail: datenschutz@bwa-lotse.de

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Dieser AVV konkretisiert die Pflichten der Vertragsparteien nach Art. 28 DSGVO für die Verarbeitung, die wir für dich (Verantwortlicher im Sinne der DSGVO) im Rahmen der Nutzung von BWA-Lotse durchführen. Er gilt für jedes Konto bei BWA-Lotse, auch wenn du nur die BWA deines eigenen Unternehmens hochlädst. Er gilt, solange dein Konto bei BWA-Lotse besteht, und endet automatisch mit dessen Löschung. Die Pflichten aus den Abschnitten 10 und 11 gelten über das Ende dieses Vertrags hinaus, bis sie erfüllt sind.

Art und Zweck der Verarbeitung: Wir verarbeiten die in den von dir hochgeladenen BWA und Summen- und Saldenlisten enthaltenen Daten dazu, die betriebswirtschaftlichen Kennzahlen auszulesen und mithilfe eines KI-Sprachmodells verständlich einzuordnen. Mit Abschluss dieses AVV erlaubst du uns, aus den ausgelesenen Kennzahlen und Merkmalen dieser Unterlagen Vergleichswerte ohne Bezug zu deinem Konto zu bilden und für den Vergleich mit anderen Betrieben zu nutzen. Für diese Vergleichswerte sind wir selbst verantwortlich; die Einzelheiten stehen in der Datenschutzerklärung, Abschnitt 10. Details zum technischen Ablauf stehen in der Datenschutzerklärung, Abschnitt 8 und 9.

2. Betroffene Personen und Datenkategorien

Betroffene Personen sind die Personen, deren wirtschaftliche Kennzahlen in der von dir hochgeladenen BWA erscheinen, insbesondere deine Beschäftigten sowie deine Mandantinnen, Mandanten oder Kunden. Verarbeitete Datenkategorien: der Inhalt der von dir hochgeladenen BWA und, falls du sie mitschickst, deiner Summen- und Saldenliste, etwa Beträge, Perioden, Positionen und Konten samt dem, was in ihren Bezeichnungen steht. Namen einzelner Personen können vorkommen, etwa in den Bezeichnungen der Positionen deiner BWA.

3. Deine Pflichten und Rechte als Verantwortlicher

Du entscheidest, ob und welche BWA du hochlädst. Wir verarbeiten die Daten darin nur nach Abschnitt 4. Stehen in deiner BWA Daten anderer Personen, liegt ihre Information nach Art. 13 und 14 DSGVO bei dir.

4. Weisungsgebundenheit

Wir verarbeiten personenbezogene Daten ausschließlich auf deine dokumentierte Weisung, die durch die bestimmungsgemäße Nutzung von BWA-Lotse (Hochladen und Auswerten einer BWA) erteilt wird, es sei denn, wir sind durch das Recht der Europäischen Union oder eines Mitgliedstaats zu einer anderweitigen Verarbeitung verpflichtet. In einem solchen Fall teilen wir dir diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Sind wir der Auffassung, dass eine deiner Weisungen gegen die DSGVO oder andere Datenschutzvorschriften verstößt, teilen wir dir das unverzüglich mit. Die Vergleichswerte nach Abschnitt 1 bilden wir nicht auf deine Weisung, sondern mit deiner Erlaubnis in eigener Verantwortung.

5. Vertraulichkeit

Wir verpflichten alle Personen, die Zugang zu den im Rahmen dieses AVV verarbeiteten Daten haben, zur Vertraulichkeit oder unterwerfen sie einer entsprechenden gesetzlichen Verschwiegenheitspflicht.

6. Technische und organisatorische Maßnahmen (TOM)

Wir setzen die in Anlage 1 (unten auf dieser Seite) beschriebenen technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten ein (Art. 32 DSGVO).

7. Unterauftragsverarbeiter (Subprozessoren)

Wir setzen für die Erbringung unserer Leistung folgende Subprozessoren ein:

• Hetzner Online GmbH (Hosting der Anwendung, Deutschland (EU)).
• SOLOX GmbH (Betrieb der Server, Deutschland (EU)).
• Amazon Web Services EMEA SARL, Dienst AWS Bedrock (KI-gestützte Auswertung der übermittelten Kennzahlen, EU-Regionen).
• ALL-INKL.COM - Neue Medien Münnich, Inhaber René Münnich (Speicherung der Datensicherung, Deutschland (EU)).
• Neue Medien Münnich GmbH, Friedersdorf (Unterauftragsverarbeiterin von ALL-INKL für die im vorigen Punkt genannten Leistungen, Deutschland (EU)).

Wir setzen nur Subprozessoren ein, die vertraglich an Datenschutzpflichten gebunden sind, wie Art. 28 Abs. 4 DSGVO sie verlangt. Die Beauftragung dieser Subprozessoren gilt mit Abschluss dieses AVV als von dir genehmigt. Über den Austausch oder die Hinzunahme weiterer Subprozessoren informieren wir dich vorab in Textform; du kannst der Änderung aus wichtigem, datenschutzrechtlich begründetem Grund innerhalb von zwei Wochen nach der Information widersprechen. Zieht einer unserer Subprozessoren einen weiteren Auftragsverarbeiter heran, ohne uns das vorher mitzuteilen, informieren wir dich in Textform, sobald wir davon erfahren; auch dann kannst du innerhalb von zwei Wochen nach der Information widersprechen. Widersprichst du nicht fristgerecht, gilt die Änderung als genehmigt.

8. Unterstützung bei Betroffenenrechten

Soweit dich eine betroffene Person zu einer Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder einem Widerspruch kontaktiert und dies Daten betrifft, die wir für dich im Rahmen von BWA-Lotse verarbeiten, unterstützen wir dich im Rahmen unserer Möglichkeiten mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung dieser Anfrage. Wendet sich eine betroffene Person mit einem solchen Anliegen direkt an uns und können wir es dir zuordnen, leiten wir es unverzüglich an dich weiter und beantworten es nicht selbst, solange du uns nicht dazu anweist.

9. Unterstützung bei der Sicherheit der Verarbeitung und Datenpannen

Wir unterstützen dich bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung, vorherige Konsultation der Aufsichtsbehörde), soweit dies die von uns für dich durchgeführte Verarbeitung betrifft. Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die im Rahmen dieses AVV verarbeitete Daten betrifft, informieren wir dich unverzüglich, damit du deinen eigenen Meldepflichten (insbesondere Art. 33 DSGVO gegenüber der Aufsichtsbehörde) nachkommen kannst.

Werden die Daten, die wir für dich verarbeiten, durch eine Pfändung, eine Beschlagnahme, ein Insolvenzverfahren oder eine andere Maßnahme Dritter gefährdet, oder prüft eine Aufsichtsbehörde diese Verarbeitung, informieren wir dich unverzüglich, soweit uns das gesetzlich erlaubt ist.

10. Löschung und Rückgabe

Nach deiner Wahl geben wir dir die personenbezogenen Daten, die im Rahmen dieses AVV verarbeitet wurden, zurück oder löschen sie. Zurück erhältst du sie jederzeit über „Daten exportieren“ in deinem Konto, auch unmittelbar vor dessen Löschung. Nach Beendigung der Erbringung von Verarbeitungstätigkeiten löschen wir sie, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht. Gespeicherte Auswertungsergebnisse werden mit der Löschung deines Kontos oder der betroffenen Firma entfernt.

In unseren Sicherungen können diese Daten noch bis zu sechs Monate enthalten sein, bis der jeweilige Stand überschrieben ist. Müssen wir eine Sicherung einspielen, löschen wir die zwischenzeitlich gelöschten Daten danach erneut. Nicht unter die Löschung nach diesem Abschnitt fallen die Vergleichswerte nach Abschnitt 1, die wir in eigener Verantwortung verarbeiten (Datenschutzerklärung Abschnitt 10), und unsere technischen Protokolle, die nach den Fristen der Datenschutzerklärung auslaufen (Abschnitt 14 und 15).

11. Nachweis- und Kontrollrechte

Wir stellen dir alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind. Den Nachweis erbringen wir zuerst schriftlich, etwa durch eine Selbstauskunft oder durch Nachweise unserer Subprozessoren. Reicht dir das nicht, ermöglichen wir dir oder einem von dir beauftragten Prüfer Prüfungen, einschließlich Inspektionen, im angemessenen Rahmen. Prüfungen kündigst du uns mit angemessenem zeitlichem Vorlauf an; sie finden zu üblichen Geschäftszeiten und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden statt. Für eine Prüfung vor Ort ohne konkreten Anlass erstattest du uns den dadurch entstehenden angemessenen Aufwand.

12. Bereitstellung und Form

Dieser AVV steht dir mit der Anlage deines Kontos jederzeit zur Verfügung. Er wird durch die Nutzung von BWA-Lotse in elektronischem Format (Art. 28 Abs. 9 DSGVO) geschlossen; eine Unterschrift ist nicht erforderlich.

13. Aktualität und Änderung dieses Vertrags

Dieser AVV hat den Stand 22. Oktober 2026. Wir passen ihn an, wenn sich die Verarbeitung, die eingesetzten Subprozessoren oder die rechtlichen Vorgaben ändern.

Eine Änderung teilen wir dir in Textform mit. Für eine Firma mit laufendem Vertrag gilt der geänderte AVV ab demselben Zeitpunkt wie geänderte Nutzungsbedingungen, also ab der nächsten Verlängerung dieses Vertrags (Nutzungsbedingungen, Abschnitt 17); bis dahin gilt die bisherige Fassung. Für alles, was du ohne laufenden Vertrag nutzt, gilt der geänderte AVV sechs Wochen nach unserer Mitteilung. Für den Austausch oder die Hinzunahme von Subprozessoren gilt abweichend davon allein Abschnitt 7.

Anlage 1: Technische und organisatorische Maßnahmen (TOM)

Diese Anlage konkretisiert die in Abschnitt 6 genannten Maßnahmen nach Art. 32 DSGVO:

• Verschlüsselung der Übertragung: Alle Verbindungen zu BWA-Lotse laufen ausschließlich verschlüsselt über TLS.
• Verschlüsselung ruhender Daten: Besonders sensible Kontofelder, etwa Zwei-Faktor-Geheimnisse, werden zusätzlich feldverschlüsselt (AES-256-GCM). Das Hosting erfolgt in Rechenzentren in Deutschland mit Zugriffs- und Zugangskontrollen.
• Zugriffskontrolle: Zugriff auf Produktivsysteme und Datenbank ist auf einen engen Kreis berechtigter Personen beschränkt und erfolgt ausschließlich über gesicherte persönliche Zugänge.
• Zutrittskontrolle: Die physische Infrastruktur läuft in Rechenzentren unseres Hosting-Subprozessors in Deutschland, der eigene bauliche und organisatorische Zutrittskontrollen für seine Rechenzentren betreibt.
• Zugangskontrolle: Anmeldung an unseren Systemen erfordert individuelle, durch Passwort-Hashing und optionale Zwei-Faktor-Verfahren abgesicherte Zugangsdaten.
• Datenminimierung: An das KI-Modell geht nicht das hochgeladene PDF, sondern nur, was Datenschutzerklärung Abschnitt 8 nennt.
• Datenminimierung bei der BWA selbst: Das hochgeladene BWA-PDF wird auf unserem Server nur zur Laufzeit im Arbeitsspeicher verarbeitet und danach verworfen, ohne dauerhafte Ablage.
• Verfügbarkeit und Backup: Regelmäßige Backups der Datenbank; eine Kopie liegt verschlüsselt an einem vom Produktivsystem getrennten Ort.
• Belastbarkeit und Wiederherstellbarkeit: Ein dokumentiertes Wiederherstellungsverfahren ermöglicht die Wiederherstellung von Systemen und Daten nach einem Zwischenfall.
• Regelmäßige Überprüfung: Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird von uns in regelmäßigen Abständen überprüft und bei Bedarf angepasst.
• Auftragskontrolle: Subprozessoren werden sorgfältig ausgewählt und vertraglich auf ein dem hier beschriebenen Schutzniveau entsprechendes Maß an technischen und organisatorischen Maßnahmen verpflichtet, von uns selbst oder von dem Subprozessor, der sie für uns heranzieht.