Zum Inhalt springen
BWA-Lotse

AVV · BWA-Lotse

Vertragsparteien

Dieser Vertrag besteht zwischen dir als Inhaberin oder Inhaber des BWA-Lotse-Kontos (Verantwortlicher im Sinne der DSGVO) und uns als Auftragsverarbeiterin:

MeFi Solutions UG (haftungsbeschränkt)

Hettstadter Weg 22

97295 Waldbrunn

vertreten durch die Geschäftsführer Patrick Fischer und Sabine Mehler

E-Mail: datenschutz@bwa-lotse.de

Was ist der AVV und für wen gilt er

AVV steht für Auftragsverarbeitungsvertrag. Er regelt, unter welchen Bedingungen wir als Dienstleisterin personenbezogene Daten verarbeiten dürfen, wenn du diese Daten nicht als deine eigenen, sondern im Auftrag eines Dritten (z. B. eines Mandanten oder Kunden) in BWA-Lotse hochlädst. Das Gesetz (Art. 28 DSGVO) verlangt einen solchen Vertrag immer dann, wenn ein Dienstleister personenbezogene Daten weisungsgebunden für einen anderen verarbeitet.

Dieser AVV gilt für dich, sobald du BWA hochlädst, die personenbezogene Daten anderer Personen enthalten, und du dabei entscheidest, wozu diese Daten verarbeitet werden. Das ist der Regelfall, wenn du BWA-Lotse als Beraterin oder Dienstleister für deine Mandanten oder Kunden einsetzt, etwa als Steuerberatung, Buchhaltungsservice, Bank- oder Firmenkundenberatung oder Existenzgründungs- und Unternehmensberatung. Er kann dich aber auch dann betreffen, wenn du ausschließlich BWA deines eigenen Unternehmens hochlädst und darin Daten anderer Personen erkennbar werden. Der Vertrag steht dir deshalb in jedem Fall zur Verfügung; er verpflichtet dich zu nichts und kostet nichts.

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Dieser AVV konkretisiert die Pflichten der Vertragsparteien nach Art. 28 DSGVO für die Verarbeitung, die wir für dich (Verantwortlicher im Sinne der DSGVO) im Rahmen der Nutzung von BWA-Lotse durchführen. Er gilt, solange dein Konto bei BWA-Lotse besteht, und endet automatisch mit dessen Löschung. Die Pflichten aus den Abschnitten 9 und 10 gelten über das Ende dieses Vertrags hinaus, bis sie erfüllt sind.

Art und Zweck der Verarbeitung: Wir verarbeiten die in den von dir hochgeladenen BWA-PDFs enthaltenen Daten dazu, die betriebswirtschaftlichen Kennzahlen auszulesen und mithilfe eines KI-Sprachmodells verständlich einzuordnen (Ampel, Klartext-Deutung, Auffälligkeiten). Daneben bilden wir aus den ausgelesenen Kennzahlen Vergleichswerte ohne Bezug zu dir oder deinem Konto; die Einzelheiten stehen in der Datenschutzerklärung, Abschnitt 12. Details zum technischen Ablauf stehen in der Datenschutzerklärung, Abschnitt 10 und 11.

2. Betroffene Personen und Datenkategorien

Betroffene Personen sind die Personen, deren wirtschaftliche Kennzahlen in der von dir hochgeladenen BWA erscheinen, insbesondere deine Mandantinnen, Mandanten oder Kunden. Verarbeitete Datenkategorien: Firmenbezeichnung und -kontext (Branche, Rechtsform), betriebswirtschaftliche Kennzahlen (Beträge, Perioden, Positionen der BWA). Klardaten wie Namen einzelner natürlicher Personen sind für die Auswertung nicht erforderlich und werden nicht gezielt verarbeitet.

3. Weisungsgebundenheit

Wir verarbeiten personenbezogene Daten ausschließlich auf deine dokumentierte Weisung, die durch die bestimmungsgemäße Nutzung von BWA-Lotse (Hochladen und Auswerten einer BWA) erteilt wird, es sei denn, wir sind durch das Recht der Europäischen Union oder eines Mitgliedstaats zu einer anderweitigen Verarbeitung verpflichtet. In einem solchen Fall teilen wir dir diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Sind wir der Auffassung, dass eine deiner Weisungen gegen die DSGVO oder andere Datenschutzvorschriften verstößt, teilen wir dir das unverzüglich mit.

4. Vertraulichkeit

Wir verpflichten alle Personen, die Zugang zu den im Rahmen dieses AVV verarbeiteten Daten haben, zur Vertraulichkeit oder unterwerfen sie einer entsprechenden gesetzlichen Verschwiegenheitspflicht.

5. Technische und organisatorische Maßnahmen (TOM)

Wir setzen die in Anlage 1 (unten auf dieser Seite) beschriebenen technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten ein (Art. 32 DSGVO).

6. Unterauftragsverarbeiter (Subprozessoren)

Wir setzen für die Erbringung unserer Leistung folgende Subprozessoren ein:

  • Hetzner Online GmbH (Hosting der Anwendung, Deutschland (EU)).
  • SOLOX GmbH (Bereitstellung und Betrieb der Server-Infrastruktur (stellt den Hetzner-Server über das eigene Konto mit administrativem Zugriff bereit) einschließlich der technischen Betriebsüberwachung, Deutschland (EU)).
  • AWS Bedrock (KI-gestützte Auswertung der übermittelten Kennzahlen, EU-Regionen, primär Frankfurt (eu-central-1)).
  • Anthropic Ireland, Limited (KI-gestützte Auswertung (Sprachmodell), bereitgestellt über AWS Bedrock, EU (Irland), Verarbeitung über AWS Bedrock in EU-Regionen).
  • ALL-INKL.COM - Neue Medien Münnich GmbH (E-Mail-Versand des Kontaktformulars (SMTP-Relay der Kontakt-Bestätigung und internen Benachrichtigung) sowie Off-site-Speicherung der täglichen, clientseitig verschlüsselten Datensicherung (Aufbewahrung: 7 tägliche, 4 wöchentliche, 6 monatliche Stände), Deutschland (EU)).

Die Beauftragung dieser Subprozessoren gilt mit Abschluss dieses AVV als von dir genehmigt. Über den Austausch oder die Hinzunahme weiterer Subprozessoren informieren wir dich vorab in Textform; du kannst der Änderung aus wichtigem, datenschutzrechtlich begründetem Grund innerhalb von zwei Wochen nach der Information widersprechen. Widersprichst du nicht fristgerecht, gilt die Änderung als genehmigt.

7. Unterstützung bei Betroffenenrechten

Soweit dich eine betroffene Person zu einer Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder einem Widerspruch kontaktiert und dies Daten betrifft, die wir für dich im Rahmen von BWA-Lotse verarbeiten, unterstützen wir dich im Rahmen unserer Möglichkeiten mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung dieser Anfrage.

8. Unterstützung bei der Sicherheit der Verarbeitung und Datenpannen

Wir unterstützen dich bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung, vorherige Konsultation der Aufsichtsbehörde), soweit dies die von uns für dich durchgeführte Verarbeitung betrifft. Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die im Rahmen dieses AVV verarbeitete Daten betrifft, informieren wir dich unverzüglich, damit du deinen eigenen Meldepflichten (insbesondere Art. 33 DSGVO gegenüber der Aufsichtsbehörde) nachkommen kannst.

9. Löschung und Rückgabe

Nach Beendigung der Erbringung von Verarbeitungstätigkeiten löschen wir alle personenbezogenen Daten, die im Rahmen dieses AVV verarbeitet wurden, oder geben sie dir zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht. Das hochgeladene BWA-PDF selbst wird ohnehin nur zur Laufzeit im Arbeitsspeicher verarbeitet und danach verworfen (Datenschutzerklärung Abschnitt 10); gespeicherte Auswertungsergebnisse werden mit der Löschung deines Kontos oder der betroffenen Firma entfernt.

In unseren verschlüsselten Sicherungen können diese Daten noch bis zu sechs Monate enthalten sein, bis der jeweilige Stand überschrieben ist. Müssen wir eine Sicherung einspielen, löschen wir die zwischenzeitlich gelöschten Daten danach erneut. Erhalten bleiben außerdem die aus den ausgelesenen Kennzahlen gebildeten Vergleichswerte und unsere technischen Protokolle; beide tragen nach der Löschung keinen Bezug mehr zu dir, deinem Konto oder einer betroffenen Person (Datenschutzerklärung Abschnitt 12, 16 und 17).

10. Nachweis- und Kontrollrechte

Wir stellen dir alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglichen dir Prüfungen, einschließlich Inspektionen, im angemessenen Rahmen. Prüfungen kündigst du uns mit angemessenem zeitlichem Vorlauf an; sie finden zu üblichen Geschäftszeiten und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden statt.

11. Bereitstellung und Form

Dieser AVV steht dir bei der Anlage deines Kontos automatisch zur Verfügung: als eigene, jederzeit einsehbare Seite (diese Seite, im Footer verlinkt) sowie zusätzlich abrufbar im Konto-Bereich. Für Geschäftskunden im Sinne von Abschnitt „Was ist der AVV und für wen gilt er" wird er durch die Nutzung von BWA-Lotse in Textform (elektronische Form, Art. 28 Abs. 9 DSGVO) wirksam geschlossen; ein gesondertes Unterschreiben ist nicht erforderlich.

12. Aktualität und Änderung dieses Vertrags

Dieser AVV hat den Stand 30. August 2026. Wir passen ihn an, wenn sich die Verarbeitung, die eingesetzten Subprozessoren oder die rechtlichen Vorgaben ändern.

Anlage 1: Technische und organisatorische Maßnahmen (TOM)

Diese Anlage konkretisiert die in Abschnitt 5 genannten Maßnahmen nach Art. 32 DSGVO, angelehnt an die tatsächlich eingesetzte Härtung unserer Infrastruktur:

  • Verschlüsselung der Übertragung: Alle Verbindungen zu BWA-Lotse laufen ausschließlich verschlüsselt über TLS.
  • Verschlüsselung ruhender Daten: Besonders sensible Felder (z. B. Steuernummer, Zwei-Faktor-Geheimnisse) werden zusätzlich feldverschlüsselt (AES-256-GCM). Das Hosting erfolgt in einem Rechenzentrum in Deutschland (Hetzner) mit Zugriffs- und Zugangskontrollen; hochgeladene PDFs werden nur zur Laufzeit im Arbeitsspeicher verarbeitet und danach verworfen.
  • Zugriffskontrolle: Zugriff auf Produktivsysteme und Datenbank ist auf einen engen Kreis berechtigter Personen beschränkt und erfolgt ausschließlich über abgesicherte, personenbezogene Zugänge.
  • Zutrittskontrolle: Die physische Infrastruktur läuft in Rechenzentren unseres Hosting-Subprozessors (Hetzner, Deutschland), der eigene bauliche und organisatorische Zutrittskontrollen für seine Rechenzentren betreibt.
  • Zugangskontrolle: Anmeldung an unseren Systemen erfordert individuelle, durch Passwort-Hashing und optionale Zwei-Faktor-Verfahren abgesicherte Zugangsdaten.
  • Pseudonymisierung, wo möglich: An das KI-Modell werden die ausgelesenen Kennzahlen, ein knapper technischer Kontext (Rechtsform, Abrechnungsart, BWA-Format) und die Texte, die der Nutzer selbst zur Einordnung schreibt, übermittelt, nicht der volle PDF-Rohtext (siehe Datenschutzerklärung Abschnitt 10).
  • Datenminimierung bei der BWA selbst: Das hochgeladene BWA-PDF wird nur zur Laufzeit im Arbeitsspeicher verarbeitet und danach verworfen, ohne dauerhafte Ablage.
  • Verfügbarkeit und Backup: Regelmäßige Backups der Datenbank; Offsite-Backups an einem vom Produktivsystem getrennten Ort werden clientseitig verschlüsselt gespeichert.
  • Belastbarkeit und Wiederherstellbarkeit: Ein dokumentiertes Rollback- und Restore-Verfahren ermöglicht die Wiederherstellung von Systemen und Daten nach einem Zwischenfall.
  • Regelmäßige Überprüfung: Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird von uns in regelmäßigen Abständen überprüft und bei Bedarf angepasst.
  • Auftragskontrolle: Subprozessoren werden von uns sorgfältig ausgewählt und vertraglich auf ein dem hier beschriebenen Schutzniveau entsprechendes Maß an technischen und organisatorischen Maßnahmen verpflichtet.

Zurück zur Startseite