AVV · BWA-Lotse

Was ist der AVV und für wen gilt er

AVV steht für Auftragsverarbeitungsvertrag. Er regelt, unter welchen Bedingungen wir als Dienstleisterin personenbezogene Daten verarbeiten dürfen, wenn du diese Daten nicht als deine eigenen, sondern im Auftrag eines Dritten (z. B. eines Mandanten oder Kunden) in BWA-Lotse hochlädst. Das Gesetz (Art. 28 DSGVO) verlangt einen solchen Vertrag immer dann, wenn ein Dienstleister personenbezogene Daten weisungsgebunden für einen anderen verarbeitet.

Dieser AVV gilt für dich, wenn du BWA-Lotse als Berater oder Dienstleister einsetzt und dabei BWA hochlädst, die personenbezogene Daten fremder Personen enthalten, etwa als Steuerberaterin oder Steuerberater, Buchhaltungsservice, Bank- oder Firmenkundenberaterin, Existenzgründungs- oder Unternehmensberater für die von dir betreuten Mandanten oder Kunden. Lädst du ausschließlich BWA deines eigenen Unternehmens hoch, brauchst du diesen AVV nicht; er ist für dich dann unschädlich, aber ohne praktische Bedeutung.

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Dieser AVV konkretisiert die Pflichten der Vertragsparteien nach Art. 28 DSGVO für die Verarbeitung, die wir für dich (Verantwortlicher im Sinne der DSGVO) im Rahmen der Nutzung von BWA-Lotse durchführen. Er gilt für die Dauer deines kostenpflichtigen oder kostenlosen Nutzungsvertrags mit BWA-Lotse und endet automatisch mit dessen Beendigung.

Art und Zweck der Verarbeitung: Wir verarbeiten die in den von dir hochgeladenen BWA-PDFs enthaltenen Daten ausschließlich dazu, die betriebswirtschaftlichen Kennzahlen auszulesen und mithilfe eines KI-Sprachmodells verständlich einzuordnen (Ampel, Klartext-Deutung, Auffälligkeiten). Details zum technischen Ablauf stehen in der Datenschutzerklärung, Abschnitt 9 und 10.

2. Betroffene Personen und Datenkategorien

Betroffene Personen sind die Personen, deren wirtschaftliche Kennzahlen in der von dir hochgeladenen BWA erscheinen, insbesondere deine Mandantinnen, Mandanten oder Kunden. Verarbeitete Datenkategorien: Firmenbezeichnung und -kontext (Branche, Rechtsform), betriebswirtschaftliche Kennzahlen (Beträge, Perioden, Positionen der BWA). Klardaten wie Namen einzelner natürlicher Personen sind für die Auswertung nicht erforderlich und werden nicht gezielt verarbeitet.

3. Weisungsgebundenheit

Wir verarbeiten personenbezogene Daten ausschließlich auf deine dokumentierte Weisung, die durch die bestimmungsgemäße Nutzung von BWA-Lotse (Hochladen und Auswerten einer BWA) erteilt wird, es sei denn, wir sind durch das Recht der Europäischen Union oder eines Mitgliedstaats zu einer anderweitigen Verarbeitung verpflichtet. In einem solchen Fall teilen wir dir diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Hältst du eine unserer Weisungen für einen Verstoß gegen die DSGVO oder andere Datenschutzvorschriften, weisen wir dich darauf unverzüglich hin.

4. Vertraulichkeit

Wir verpflichten alle Personen, die Zugang zu den im Rahmen dieses AVV verarbeiteten Daten haben, zur Vertraulichkeit oder unterwerfen sie einer entsprechenden gesetzlichen Verschwiegenheitspflicht.

5. Technische und organisatorische Maßnahmen (TOM)

Wir setzen die in Anlage 1 (unten auf dieser Seite) beschriebenen technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten ein (Art. 32 DSGVO).

6. Unterauftragsverarbeiter (Subprozessoren)

Wir setzen für die Erbringung unserer Leistung folgende Subprozessoren ein:

• Hetzner Online GmbH (Hosting der Anwendung, Deutschland (EU)).
• SOLOX GmbH (Bereitstellung und Betrieb der Server-Infrastruktur (stellt den Hetzner-Server über das eigene Konto mit administrativem Zugriff bereit), Deutschland (EU)).
• AWS Bedrock (KI-gestützte Auswertung der übermittelten Kennzahlen, EU-Regionen, primär Frankfurt (eu-central-1)).
• Anthropic Ireland, Limited (KI-gestützte Auswertung (Sprachmodell), bereitgestellt über AWS Bedrock, EU (Irland), Verarbeitung über AWS Bedrock in EU-Regionen).
• AWS SES (Versand transaktionaler E-Mails (Verifikation, Passwort-Reset), Frankfurt, eu-central-1 (EU)).
• ALL-INKL.COM - Neue Medien Münnich GmbH (E-Mail-Versand des Kontaktformulars (SMTP-Relay der Kontakt-Bestätigung und internen Benachrichtigung), Deutschland (EU)).
• Stripe (Zahlungsabwicklung für kostenpflichtige Tarife, EU-Niederlassung, Konzernverarbeitung auch in den USA), Drittlandübermittlung: USA, abgesichert über EU-Standardvertragsklauseln und/oder das EU-US Data Privacy Framework.

Die Beauftragung dieser Subprozessoren gilt mit Abschluss dieses AVV als von dir genehmigt. Über den Austausch oder die Hinzunahme weiterer Subprozessoren informieren wir dich vorab in Textform; du kannst der Änderung aus wichtigem, datenschutzrechtlich begründetem Grund innerhalb von zwei Wochen nach der Information widersprechen. Widersprichst du nicht fristgerecht, gilt die Änderung als genehmigt.

7. Unterstützung bei Betroffenenrechten

Soweit dich eine betroffene Person zu einer Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder einem Widerspruch kontaktiert und dies Daten betrifft, die wir für dich im Rahmen von BWA-Lotse verarbeiten, unterstützen wir dich im Rahmen unserer Möglichkeiten mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung dieser Anfrage.

8. Unterstützung bei der Sicherheit der Verarbeitung und Datenpannen

Wir unterstützen dich bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung, vorherige Konsultation der Aufsichtsbehörde), soweit dies die von uns für dich durchgeführte Verarbeitung betrifft. Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die im Rahmen dieses AVV verarbeitete Daten betrifft, informieren wir dich unverzüglich, damit du deinen eigenen Meldepflichten (insbesondere Art. 33 DSGVO gegenüber der Aufsichtsbehörde) nachkommen kannst.

9. Löschung und Rückgabe

Nach Beendigung der Erbringung von Verarbeitungstätigkeiten löschen wir alle personenbezogenen Daten, die im Rahmen dieses AVV verarbeitet wurden, oder geben sie dir zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht. Das hochgeladene BWA-PDF selbst wird ohnehin nicht dauerhaft gespeichert (Datenschutzerklärung Abschnitt 9); gespeicherte Auswertungsergebnisse werden mit der Löschung deines Kontos oder der betroffenen Firma entfernt.

10. Nachweis- und Kontrollrechte

Wir stellen dir alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglichen dir Prüfungen, einschließlich Inspektionen, im angemessenen Rahmen. Prüfungen kündigst du uns mit angemessenem zeitlichem Vorlauf an; sie finden zu üblichen Geschäftszeiten und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden statt.

11. Bereitstellung und Form

Dieser AVV steht dir bei der Anlage deines Kontos automatisch zur Verfügung: als eigene, jederzeit einsehbare Seite (diese Seite, im Footer verlinkt) sowie zusätzlich abrufbar im Konto-Bereich. Für Geschäftskunden im Sinne von Abschnitt „Was ist der AVV und für wen gilt er" wird er durch die Nutzung von BWA-Lotse in Textform (elektronische Form, Art. 28 Abs. 9 DSGVO) wirksam geschlossen; ein gesondertes Unterschreiben ist nicht erforderlich.

12. Aktualität und Änderung dieses Vertrags

Dieser AVV hat den Stand 13. Juli 2026. Wir passen ihn an, wenn sich die Verarbeitung, die eingesetzten Subprozessoren oder die rechtlichen Vorgaben ändern.

Anlage 1: Technische und organisatorische Maßnahmen (TOM)

Diese Anlage konkretisiert die in Abschnitt 5 genannten Maßnahmen nach Art. 32 DSGVO, angelehnt an die tatsächlich eingesetzte Härtung unserer Infrastruktur:

• Verschlüsselung der Übertragung: Alle Verbindungen zu BWA-Lotse laufen ausschließlich verschlüsselt über TLS.
• Verschlüsselung ruhender Daten: Besonders sensible Felder (z. B. Steuernummer, Zwei-Faktor-Geheimnisse) werden zusätzlich feldverschlüsselt (AES-256-GCM). Das Hosting erfolgt in einem Rechenzentrum in Deutschland (Hetzner) mit Zugriffs- und Zugangskontrollen; hochgeladene PDFs werden nur im Arbeitsspeicher verarbeitet und nicht gespeichert.
• Zugriffskontrolle: Zugriff auf Produktivsysteme und Datenbank ist auf einen engen Kreis berechtigter Personen beschränkt und erfolgt ausschließlich über abgesicherte, personenbezogene Zugänge.
• Zutrittskontrolle: Die physische Infrastruktur läuft in Rechenzentren unseres Hosting-Subprozessors (Hetzner, Deutschland), der eigene bauliche und organisatorische Zutrittskontrollen für seine Rechenzentren betreibt.
• Zugangskontrolle: Anmeldung an unseren Systemen erfordert individuelle, durch Passwort-Hashing und optionale Zwei-Faktor-Verfahren abgesicherte Zugangsdaten.
• Pseudonymisierung, wo möglich: An das KI-Modell werden nur die ausgelesenen Kennzahlen und ein knapper technischer Kontext (Rechtsform, Abrechnungsart, BWA-Format) übermittelt, nicht der volle PDF-Rohtext (siehe Datenschutzerklärung Abschnitt 9).
• Datenminimierung bei der BWA selbst: Das hochgeladene BWA-PDF wird nur zur Laufzeit im Arbeitsspeicher verarbeitet und danach verworfen, ohne dauerhafte Ablage.
• Verfügbarkeit und Backup: Regelmäßige Backups der Datenbank; Offsite-Backups an einem vom Produktivsystem getrennten Ort werden clientseitig verschlüsselt gespeichert.
• Belastbarkeit und Wiederherstellbarkeit: Ein dokumentiertes Rollback- und Restore-Verfahren ermöglicht die Wiederherstellung von Systemen und Daten nach einem Zwischenfall.
• Regelmäßige Überprüfung: Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird von uns in regelmäßigen Abständen überprüft und bei Bedarf angepasst.
• Auftragskontrolle: Subprozessoren werden von uns sorgfältig ausgewählt und vertraglich auf ein dem hier beschriebenen Schutzniveau entsprechendes Maß an technischen und organisatorischen Maßnahmen verpflichtet.