Entwurf, noch nicht anwaltlich geprüft. Der Text folgt dem Katalog des Art. 28 Abs. 3 DSGVO Buchstabe für Buchstabe. Vor dem ersten Einsatz gegenüber einem zahlenden Kunden gehört er zusammen mit Impressum, AGB und Widerrufsbelehrung in eine anwaltliche Durchsicht.
Dieser Vertrag ergänzt die Allgemeinen Geschäftsbedingungen und regelt die Verarbeitung personenbezogener Daten, die BelegHero im Auftrag des Kunden durchführt. Er wird mit der Nutzung des Dienstes Bestandteil des Vertragsverhältnisses; einer gesonderten Unterschrift bedarf es nach Art. 28 Abs. 9 DSGVO nicht, da die elektronische Form genügt.
Stand: 11. August 2026
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde. Er entscheidet über Zwecke und Mittel der Verarbeitung: welche Belege gesucht werden, welches Postfach verbunden wird, was mit dem Ergebnis geschieht.
Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist Henry Thedieck, Alto Media Management, Hüffertstraße 76, 48149 Münster (nachfolgend „BelegHero").
(1) Gegenstand der Verarbeitung ist das Auffinden, Auslesen und Zuordnen von Belegen zu Kontobewegungen sowie deren strukturierte Ablage und Übergabe, wie in § 2 der AGB beschrieben.
(2) Art, Umfang, Zweck, Datenkategorien, Kreis der betroffenen Personen und Dauer der Verarbeitung ergeben sich abschließend aus Anlage 1.
(3) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union statt, soweit nicht § 10 etwas anderes bestimmt.
(1) BelegHero verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als dokumentierte Weisung gelten dieser Vertrag, die AGB sowie die Handlungen, die der Verantwortliche in der Anwendung selbst auslöst — insbesondere das Verbinden eines Postfachs, das Starten einer Suche und das Freigeben einer Zuordnung.
(2) Ist BelegHero der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, wird der Verantwortliche unverzüglich darauf hingewiesen. BelegHero ist berechtigt, die Ausführung einer solchen Weisung bis zu ihrer Bestätigung oder Änderung auszusetzen.
(3) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Insbesondere werden Inhaltsdaten nicht zum Training von KI-Modellen verwendet und nicht zu diesem Zweck an Dritte weitergegeben.
(1) BelegHero gewährleistet, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus fort.
(2) Zugriff auf Inhaltsdaten erhalten ausschließlich Personen, die ihn zur Erfüllung des Vertrags benötigen.
(1) BelegHero trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen.
(2) Die Maßnahmen unterliegen dem technischen Fortschritt. BelegHero darf sie ändern, solange das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert.
(1) Der Verantwortliche erteilt die allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 DSGVO, die in Anlage 3 genannten weiteren Auftragsverarbeiter einzusetzen.
(2) BelegHero informiert den Verantwortlichen mindestens 30 Kalendertage vor Wirksamwerden über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Die Information erfolgt in Textform an die im Konto hinterlegte E-Mail-Adresse.
(3) Der Verantwortliche kann der Änderung innerhalb von 30 Kalendertagen nach Zugang aus berechtigten Gründen widersprechen. Berechtigte Gründe liegen insbesondere vor bei einer Verarbeitung in einem Drittland ohne ausreichende Schutzmaßnahmen, bei unzureichenden technischen und organisatorischen Maßnahmen oder bei einem Unterauftragsverarbeiter, der ein unmittelbarer Wettbewerber des Verantwortlichen ist.
(4) Kann ein berechtigter Widerspruch nicht durch zumutbare Maßnahmen ausgeräumt werden, ist der Verantwortliche zur außerordentlichen Kündigung des Hauptvertrags und dieses Vertrags berechtigt.
(5) BelegHero schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt wie sie hier für BelegHero gelten. BelegHero haftet gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten unverändert weiter (Art. 28 Abs. 4 Satz 2 DSGVO).
Nicht Unterauftragsverarbeiter, und warum: Der Zahlungsdienstleister verarbeitet die Zahlung zwischen BelegHero und dem Kunden — nicht die Belegdaten des Kunden — und ist dafür eigenständig Verantwortlicher. Der Zugriff auf Postfach und Cloud- Speicher erfolgt mit der Berechtigung des Verantwortlichen gegenüber seinem eigenen Konto; dorthin wird nicht ausgelagert, dort wird gelesen. Beides ist in Anlage 3 trotzdem benannt, damit die Kette vollständig beschrieben ist.
(1) BelegHero unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III der DSGVO zu erfüllen.
(2) Wendet sich eine betroffene Person unmittelbar an BelegHero, wird die Anfrage unverzüglich an den Verantwortlichen weitergeleitet und nicht selbst beantwortet.
(1) BelegHero unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Sicherheit der Verarbeitung, Meldung von Verletzungen und Datenschutz-Folgenabschätzung.
(2) Eine Verletzung des Schutzes personenbezogener Daten meldet BelegHero dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme. Die Frist ist bewusst kürzer als die des Art. 33 Abs. 1 DSGVO, weil dessen 72 Stunden dem Verantwortlichen gegenüber der Aufsichtsbehörde gelten — er braucht Vorlauf, um sie einhalten zu können.
(1) Nach Beendigung der Verarbeitungsleistungen löscht BelegHero alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
(2) Die Löschung erfolgt innerhalb von 30 Tagen nach Beendigung. Bestehende Sicherungskopien werden im Rahmen ihres regulären Aufbewahrungs- zyklus überschrieben.
(3) Von der Löschung ausgenommen sind Daten, die BelegHero als eigener Verantwortlicher für die Buchhaltung benötigt (§ 257 HGB, § 147 AO).
(1) BelegHero stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung.
(2) Der Verantwortliche ist berechtigt, die Einhaltung zu überprüfen oder durch einen beauftragten Prüfer überprüfen zu lassen. Überprüfungen sind mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen.
(3) BelegHero kann den Nachweis vorrangig durch Vorlage geeigneter Zertifikate, Prüfberichte oder Berichte unabhängiger Stellen führen.
(1) Soweit Unterauftragsverarbeiter Daten außerhalb der Europäischen Union verarbeiten, geschieht dies nur auf Grundlage eines Angemessenheitsbeschlusses nach Art. 45 DSGVO oder geeigneter Garantien nach Art. 46 DSGVO. Die jeweilige Grundlage ist in Anlage 3 je Anbieter benannt.
(2) Eine Kopie der Standardvertragsklauseln stellt BelegHero auf Anfrage zur Verfügung.
(1) Für die Haftung gilt Art. 82 DSGVO. Die Haftungsregelungen der AGB bleiben im Übrigen unberührt.
(2) Dieser Vertrag beginnt mit der Nutzung des Dienstes und endet mit dem Hauptvertrag. Die Pflichten aus §§ 3 und 8 bestehen darüber hinaus fort.
(3) Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist.
(4) Es gilt das Recht der Bundesrepublik Deutschland.
| Angabe | Inhalt |
|---|---|
| Art der Verarbeitung | Erheben, Auslesen, Auswerten, Zuordnen, Speichern, Übermitteln an die vom Verantwortlichen benannte Stelle, Löschen |
| Zweck | Auffinden und Zuordnen von Belegen zu Kontobewegungen zur Vorbereitung der Buchhaltung |
| Datenkategorien | Belegdaten (Händler, Betrag, Datum, Rechnungsnummer, Positionen), Kontobewegungen aus hochgeladenen Kontoauszügen und optional über den Kontoinformationsdienst abgerufene Kontostammdaten und gebuchte Umsätze, E-Mail-Inhalte und Anhänge aus verbundenen Postfächern, Dateien aus dem lokalen Scan, Freitext-Notizen |
| Betroffene Personen | Der Verantwortliche selbst sowie Beschäftigte, Kunden, Lieferanten und sonstige Geschäftspartner, soweit ihre Daten in Belegen oder Kontobewegungen erscheinen |
| Besondere Kategorien | Nicht Gegenstand des Auftrags. Sollten Daten nach Art. 9 DSGVO in Belegen enthalten sein (etwa Gesundheitsdaten in einer Apothekenrechnung), werden sie nicht gesondert ausgewertet. |
| Dauer | Für die Dauer des Hauptvertrags, danach Löschung nach § 8 |
Nach Art. 32 DSGVO. Aufgeführt ist, was tatsächlich umgesetzt ist — nicht, was üblicherweise in solchen Listen steht.
HttpOnly), wird nur über verschlüsselte Verbindungen
übertragen (Secure) und ist gegen seitenübergreifende
Anfragen abgesichert (SameSite=Lax).Was hier bewusst NICHT steht: eine Zertifizierung nach ISO 27001 oder ein SOC-2-Bericht. Beides gibt es nicht. Eine Liste, die Maßnahmen nennt, die es nicht gibt, ist schlimmer als eine kurze Liste — sie fällt beim ersten Nachfragen auf.
Genehmigt im Sinne des § 5 Abs. 1 sind:
| Anbieter | Leistung | Ort | Grundlage der Drittlandübermittlung |
|---|---|---|---|
| Anthropic PBC, San Francisco, USA | KI-gestützte Auswertung von Belegen und Kontoauszügen | USA | EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Module 2/3), enthalten im Data Processing Addendum, das Bestandteil der Commercial Terms of Service ist |
| Fly.io, Inc., Chicago, USA | Hosting der Anwendung und der Datenbank | Rechenzentrum Frankfurt am Main; Verwaltungszugriff aus den USA möglich | EU-US Data Privacy Framework (Angemessenheitsbeschluss nach Art. 45 DSGVO), ergänzend Standardvertragsklauseln |
| Enable Banking Oy, Otakaari 5, 02150 Espoo, Finnland (Unternehmens-ID 2988499-7) | Kontoinformationsdienst und technische Anbindung an die vom Nutzer ausgewählte Bank; Durchleitung der ausdrücklich freigegebenen Kontostammdaten und gebuchten Umsätze | Finnland (Europäischer Wirtschaftsraum) | Auftragsverarbeitung nach Art. 28 DSGVO; keine Drittlandübermittlung für diese Leistung |
| WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland (Meta-Unternehmensgruppe) | Übertragung der vom Nutzer freiwillig an BelegHero gesendeten WhatsApp-Nachrichten und Beleg-Dateien sowie Zustellung der funktionsbezogenen Antworten | Irland; eine weitere Verarbeitung in Staaten außerhalb des EWR ist nach den WhatsApp Business Terms möglich | Auftragsverarbeitung nach den WhatsApp Business Data Processing Terms; für Drittlandübermittlungen die dort vereinbarten Garantien, insbesondere EU-Standardvertragsklauseln |
| united-domains GmbH, Gautinger Straße 10, 82319 Starnberg, Deutschland | Versand der vertragsbezogenen E-Mails: Bestätigung von Kündigung und Widerruf (§ 356a Abs. 4, § 312k Abs. 4 BGB), Bestätigung des Postfach-Widerrufs, Zurücksetzen des Passworts, Benachrichtigung über bestellte Zusatzpakete | Rechenzentren in Deutschland (Nürnberg und München); die Verarbeitung ist vertraglich auf die Europäische Union begrenzt | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vom 16.08.2026, dort Anlage 2 Ziffer 4.1: „Die Verarbeitung der im Auftrag verarbeiteten Daten erfolgt ausschließlich in der Europäischen Union.“ Keine Drittlandübermittlung. Verarbeitet werden E-Mail-Adresse, Name und Inhalt der jeweiligen Nachricht — keine Belegdaten und keine Kontoumsätze. Eingesetzte Unterauftragnehmer laut Anlage 1: NorthC Deutschland GmbH (Rechenzentren), Open-Xchange GmbH (E-Mail-Dienste), IONOS SE (Webspace, DNS), Akamai Technologies GmbH (Abwehr von Überlastangriffen) — sämtlich deutsche Gesellschaften |
| Anbieter | Rolle | Warum kein Unterauftrag |
|---|---|---|
| Stripe Payments Europe, Ltd., Dublin | Zahlungsabwicklung zwischen BelegHero und dem Kunden | Verarbeitet die Zahlungsbeziehung, nicht die Belegdaten des Kunden, und ist dafür eigenständig Verantwortlicher |
| Google LLC | Postfach- und Drive-Zugriff | Zugriff erfolgt mit der Berechtigung des Verantwortlichen auf dessen eigenes Konto. BelegHero lagert dorthin nicht aus, sondern liest und legt im Auftrag ab. |
Änderungen dieser Liste werden nach § 5 Abs. 2 mit 30 Tagen Vorlauf angekündigt.
Eine Kopie dieses Vertrags, der Standardvertragsklauseln oder ein gesondert unterzeichnetes Exemplar stellen wir auf Anfrage bereit — eine formlose Nachricht an die im Impressum genannte Adresse genügt.