BelegHero
Funktionen Preise Sicherheit Für Kanzleien
Anmelden Kostenlos starten
FunktionenPreise SicherheitFür Kanzleien Anmelden Kostenlos starten

Auftragsverarbeitungsvertrag

Entwurf, noch nicht anwaltlich geprüft. Der Text folgt dem Katalog des Art. 28 Abs. 3 DSGVO Buchstabe für Buchstabe. Vor dem ersten Einsatz gegenüber einem zahlenden Kunden gehört er zusammen mit Impressum, AGB und Widerrufsbelehrung in eine anwaltliche Durchsicht.

Dieser Vertrag ergänzt die Allgemeinen Geschäftsbedingungen und regelt die Verarbeitung personenbezogener Daten, die BelegHero im Auftrag des Kunden durchführt. Er wird mit der Nutzung des Dienstes Bestandteil des Vertragsverhältnisses; einer gesonderten Unterschrift bedarf es nach Art. 28 Abs. 9 DSGVO nicht, da die elektronische Form genügt.

Stand: 11. August 2026

Wer hier wer ist

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde. Er entscheidet über Zwecke und Mittel der Verarbeitung: welche Belege gesucht werden, welches Postfach verbunden wird, was mit dem Ergebnis geschieht.

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist Henry Thedieck, Alto Media Management, Hüffertstraße 76, 48149 Münster (nachfolgend „BelegHero").

§ 1 Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand der Verarbeitung ist das Auffinden, Auslesen und Zuordnen von Belegen zu Kontobewegungen sowie deren strukturierte Ablage und Übergabe, wie in § 2 der AGB beschrieben.

(2) Art, Umfang, Zweck, Datenkategorien, Kreis der betroffenen Personen und Dauer der Verarbeitung ergeben sich abschließend aus Anlage 1.

(3) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union statt, soweit nicht § 10 etwas anderes bestimmt.

§ 2 Weisungsbindung (Art. 28 Abs. 3 lit. a)

(1) BelegHero verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als dokumentierte Weisung gelten dieser Vertrag, die AGB sowie die Handlungen, die der Verantwortliche in der Anwendung selbst auslöst — insbesondere das Verbinden eines Postfachs, das Starten einer Suche und das Freigeben einer Zuordnung.

(2) Ist BelegHero der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, wird der Verantwortliche unverzüglich darauf hingewiesen. BelegHero ist berechtigt, die Ausführung einer solchen Weisung bis zu ihrer Bestätigung oder Änderung auszusetzen.

(3) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Insbesondere werden Inhaltsdaten nicht zum Training von KI-Modellen verwendet und nicht zu diesem Zweck an Dritte weitergegeben.

§ 3 Vertraulichkeit (Art. 28 Abs. 3 lit. b)

(1) BelegHero gewährleistet, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus fort.

(2) Zugriff auf Inhaltsdaten erhalten ausschließlich Personen, die ihn zur Erfüllung des Vertrags benötigen.

§ 4 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c), Art. 32

(1) BelegHero trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. BelegHero darf sie ändern, solange das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert.

§ 5 Unterauftragsverarbeiter (Art. 28 Abs. 3 lit. d), Abs. 2 und Abs. 4

(1) Der Verantwortliche erteilt die allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 DSGVO, die in Anlage 3 genannten weiteren Auftragsverarbeiter einzusetzen.

(2) BelegHero informiert den Verantwortlichen mindestens 30 Kalendertage vor Wirksamwerden über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Die Information erfolgt in Textform an die im Konto hinterlegte E-Mail-Adresse.

(3) Der Verantwortliche kann der Änderung innerhalb von 30 Kalendertagen nach Zugang aus berechtigten Gründen widersprechen. Berechtigte Gründe liegen insbesondere vor bei einer Verarbeitung in einem Drittland ohne ausreichende Schutzmaßnahmen, bei unzureichenden technischen und organisatorischen Maßnahmen oder bei einem Unterauftragsverarbeiter, der ein unmittelbarer Wettbewerber des Verantwortlichen ist.

(4) Kann ein berechtigter Widerspruch nicht durch zumutbare Maßnahmen ausgeräumt werden, ist der Verantwortliche zur außerordentlichen Kündigung des Hauptvertrags und dieses Vertrags berechtigt.

(5) BelegHero schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt wie sie hier für BelegHero gelten. BelegHero haftet gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten unverändert weiter (Art. 28 Abs. 4 Satz 2 DSGVO).

Nicht Unterauftragsverarbeiter, und warum: Der Zahlungsdienstleister verarbeitet die Zahlung zwischen BelegHero und dem Kunden — nicht die Belegdaten des Kunden — und ist dafür eigenständig Verantwortlicher. Der Zugriff auf Postfach und Cloud- Speicher erfolgt mit der Berechtigung des Verantwortlichen gegenüber seinem eigenen Konto; dorthin wird nicht ausgelagert, dort wird gelesen. Beides ist in Anlage 3 trotzdem benannt, damit die Kette vollständig beschrieben ist.

§ 6 Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e)

(1) BelegHero unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III der DSGVO zu erfüllen.

(2) Wendet sich eine betroffene Person unmittelbar an BelegHero, wird die Anfrage unverzüglich an den Verantwortlichen weitergeleitet und nicht selbst beantwortet.

§ 7 Unterstützung bei Sicherheit und Meldepflichten (Art. 28 Abs. 3 lit. f)

(1) BelegHero unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Sicherheit der Verarbeitung, Meldung von Verletzungen und Datenschutz-Folgenabschätzung.

(2) Eine Verletzung des Schutzes personenbezogener Daten meldet BelegHero dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme. Die Frist ist bewusst kürzer als die des Art. 33 Abs. 1 DSGVO, weil dessen 72 Stunden dem Verantwortlichen gegenüber der Aufsichtsbehörde gelten — er braucht Vorlauf, um sie einhalten zu können.

§ 8 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)

(1) Nach Beendigung der Verarbeitungsleistungen löscht BelegHero alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Die Löschung erfolgt innerhalb von 30 Tagen nach Beendigung. Bestehende Sicherungskopien werden im Rahmen ihres regulären Aufbewahrungs- zyklus überschrieben.

(3) Von der Löschung ausgenommen sind Daten, die BelegHero als eigener Verantwortlicher für die Buchhaltung benötigt (§ 257 HGB, § 147 AO).

§ 9 Nachweise und Überprüfungen (Art. 28 Abs. 3 lit. h)

(1) BelegHero stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung.

(2) Der Verantwortliche ist berechtigt, die Einhaltung zu überprüfen oder durch einen beauftragten Prüfer überprüfen zu lassen. Überprüfungen sind mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen.

(3) BelegHero kann den Nachweis vorrangig durch Vorlage geeigneter Zertifikate, Prüfberichte oder Berichte unabhängiger Stellen führen.

§ 10 Drittlandübermittlung

(1) Soweit Unterauftragsverarbeiter Daten außerhalb der Europäischen Union verarbeiten, geschieht dies nur auf Grundlage eines Angemessenheitsbeschlusses nach Art. 45 DSGVO oder geeigneter Garantien nach Art. 46 DSGVO. Die jeweilige Grundlage ist in Anlage 3 je Anbieter benannt.

(2) Eine Kopie der Standardvertragsklauseln stellt BelegHero auf Anfrage zur Verfügung.

§ 11 Haftung, Laufzeit, Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Die Haftungsregelungen der AGB bleiben im Übrigen unberührt.

(2) Dieser Vertrag beginnt mit der Nutzung des Dienstes und endet mit dem Hauptvertrag. Die Pflichten aus §§ 3 und 8 bestehen darüber hinaus fort.

(3) Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Gegenstand der Verarbeitung

AngabeInhalt
Art der VerarbeitungErheben, Auslesen, Auswerten, Zuordnen, Speichern, Übermitteln an die vom Verantwortlichen benannte Stelle, Löschen
ZweckAuffinden und Zuordnen von Belegen zu Kontobewegungen zur Vorbereitung der Buchhaltung
DatenkategorienBelegdaten (Händler, Betrag, Datum, Rechnungsnummer, Positionen), Kontobewegungen aus hochgeladenen Kontoauszügen und optional über den Kontoinformationsdienst abgerufene Kontostammdaten und gebuchte Umsätze, E-Mail-Inhalte und Anhänge aus verbundenen Postfächern, Dateien aus dem lokalen Scan, Freitext-Notizen
Betroffene PersonenDer Verantwortliche selbst sowie Beschäftigte, Kunden, Lieferanten und sonstige Geschäftspartner, soweit ihre Daten in Belegen oder Kontobewegungen erscheinen
Besondere KategorienNicht Gegenstand des Auftrags. Sollten Daten nach Art. 9 DSGVO in Belegen enthalten sein (etwa Gesundheitsdaten in einer Apothekenrechnung), werden sie nicht gesondert ausgewertet.
DauerFür die Dauer des Hauptvertrags, danach Löschung nach § 8

Anlage 2 — Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO. Aufgeführt ist, was tatsächlich umgesetzt ist — nicht, was üblicherweise in solchen Listen steht.

Vertraulichkeit

  • Zugangskontrolle: Der Zugang zum Konto erfolgt über E-Mail und Passwort oder über Google-Anmeldung. Passwörter werden nicht im Klartext gespeichert, sondern als PBKDF2-HMAC-SHA256-Ableitung mit 600.000 Iterationen und einem je Passwort neu erzeugten Zufallswert (Salt).
  • Zugriffskontrolle: Jedes Projekt trägt ein eigenes, zufälliges Zugriffstoken. Der Vergleich erfolgt zeitkonstant, damit sich ein Token nicht über Laufzeitunterschiede erraten lässt. Eine Vermischung von Daten verschiedener Kunden findet nicht statt.
  • Verschlüsselung ruhender Zugangsdaten: Zugangsdaten zu Postfächern und die Token für Google-Zugriffe werden symmetrisch verschlüsselt abgelegt (Fernet, AES-128 im CBC-Modus mit HMAC-SHA256).
  • Bankzugriff: PIN und TAN des Online-Bankings werden weder an BelegHero übermittelt noch gespeichert. Der private RSA-Schlüssel für den Kontoinformationsdienst liegt ausschließlich im serverseitigen Geheimnisspeicher; Browser und Mac-App erhalten weder den Schlüssel noch die daraus erzeugten kurzlebigen Anbieter-JWTs.
  • Sitzungen: Das Sitzungs-Cookie ist für JavaScript nicht lesbar (HttpOnly), wird nur über verschlüsselte Verbindungen übertragen (Secure) und ist gegen seitenübergreifende Anfragen abgesichert (SameSite=Lax).

Integrität

  • Übertragungskontrolle: Alle Verbindungen sind TLS-verschlüsselt.
  • Eingabekontrolle: Ein Transparenz-Log hält jede durchgeführte Postfach-Suche mit Suchbegriff, Zeitraum und zugehöriger Buchung fest und ist für den Verantwortlichen einsehbar.
  • Trennungskontrolle: Daten werden je Projekt getrennt geführt; jede Abfrage ist an das Projekt gebunden.

Verfügbarkeit und Belastbarkeit

  • Sicherung: Tägliche Momentaufnahmen des Datenbestands mit einer Vorhaltezeit von 30 Tagen.
  • Standort: Verarbeitung und Speicherung im Rechenzentrum Frankfurt am Main.

Verfahren zur Überprüfung

  • Auftragskontrolle: Unterauftragsverarbeiter werden nach § 5 dieses Vertrags ausgewählt und geführt.
  • Widerrufbarkeit: Erteilte Zugriffe auf Postfach und Cloud-Speicher kann der Verantwortliche jederzeit bei seinem Anbieter entziehen. Bankfreigaben lassen sich zusätzlich direkt in BelegHero trennen; die Sitzung beim Kontoinformationsdienst wird dabei geschlossen, soweit die Bank dies unterstützt.

Was hier bewusst NICHT steht: eine Zertifizierung nach ISO 27001 oder ein SOC-2-Bericht. Beides gibt es nicht. Eine Liste, die Maßnahmen nennt, die es nicht gibt, ist schlimmer als eine kurze Liste — sie fällt beim ersten Nachfragen auf.

Anlage 3 — Unterauftragsverarbeiter

Genehmigt im Sinne des § 5 Abs. 1 sind:

AnbieterLeistungOrtGrundlage der Drittlandübermittlung
Anthropic PBC, San Francisco, USA KI-gestützte Auswertung von Belegen und Kontoauszügen USA EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Module 2/3), enthalten im Data Processing Addendum, das Bestandteil der Commercial Terms of Service ist
Fly.io, Inc., Chicago, USA Hosting der Anwendung und der Datenbank Rechenzentrum Frankfurt am Main; Verwaltungszugriff aus den USA möglich EU-US Data Privacy Framework (Angemessenheitsbeschluss nach Art. 45 DSGVO), ergänzend Standardvertragsklauseln
Enable Banking Oy, Otakaari 5, 02150 Espoo, Finnland (Unternehmens-ID 2988499-7) Kontoinformationsdienst und technische Anbindung an die vom Nutzer ausgewählte Bank; Durchleitung der ausdrücklich freigegebenen Kontostammdaten und gebuchten Umsätze Finnland (Europäischer Wirtschaftsraum) Auftragsverarbeitung nach Art. 28 DSGVO; keine Drittlandübermittlung für diese Leistung
WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland (Meta-Unternehmensgruppe) Übertragung der vom Nutzer freiwillig an BelegHero gesendeten WhatsApp-Nachrichten und Beleg-Dateien sowie Zustellung der funktionsbezogenen Antworten Irland; eine weitere Verarbeitung in Staaten außerhalb des EWR ist nach den WhatsApp Business Terms möglich Auftragsverarbeitung nach den WhatsApp Business Data Processing Terms; für Drittlandübermittlungen die dort vereinbarten Garantien, insbesondere EU-Standardvertragsklauseln
united-domains GmbH, Gautinger Straße 10, 82319 Starnberg, Deutschland Versand der vertragsbezogenen E-Mails: Bestätigung von Kündigung und Widerruf (§ 356a Abs. 4, § 312k Abs. 4 BGB), Bestätigung des Postfach-Widerrufs, Zurücksetzen des Passworts, Benachrichtigung über bestellte Zusatzpakete Rechenzentren in Deutschland (Nürnberg und München); die Verarbeitung ist vertraglich auf die Europäische Union begrenzt Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vom 16.08.2026, dort Anlage 2 Ziffer 4.1: „Die Verarbeitung der im Auftrag verarbeiteten Daten erfolgt ausschließlich in der Europäischen Union.“ Keine Drittlandübermittlung. Verarbeitet werden E-Mail-Adresse, Name und Inhalt der jeweiligen Nachricht — keine Belegdaten und keine Kontoumsätze. Eingesetzte Unterauftragnehmer laut Anlage 1: NorthC Deutschland GmbH (Rechenzentren), Open-Xchange GmbH (E-Mail-Dienste), IONOS SE (Webspace, DNS), Akamai Technologies GmbH (Abwehr von Überlastangriffen) — sämtlich deutsche Gesellschaften

Beteiligte, die keine Unterauftragsverarbeiter sind

AnbieterRolleWarum kein Unterauftrag
Stripe Payments Europe, Ltd., Dublin Zahlungsabwicklung zwischen BelegHero und dem Kunden Verarbeitet die Zahlungsbeziehung, nicht die Belegdaten des Kunden, und ist dafür eigenständig Verantwortlicher
Google LLC Postfach- und Drive-Zugriff Zugriff erfolgt mit der Berechtigung des Verantwortlichen auf dessen eigenes Konto. BelegHero lagert dorthin nicht aus, sondern liest und legt im Auftrag ab.

Änderungen dieser Liste werden nach § 5 Abs. 2 mit 30 Tagen Vorlauf angekündigt.

Fragen dazu

Eine Kopie dieses Vertrags, der Standardvertragsklauseln oder ein gesondert unterzeichnetes Exemplar stellen wir auf Anfrage bereit — eine formlose Nachricht an die im Impressum genannte Adresse genügt.

BelegHero

Belege automatisch finden, Kontobewegungen zuordnen und vollständig an die Kanzlei übergeben.

Produkt

FunktionenPreiseSicherheit

Lösungen

Für UnternehmenFür Kanzleien

Nachschlagen

DATEV-BuchungsstapelBelege aufbewahrensevdesk-Alternative

Rechtliches

ImpressumDatenschutzerklärungAGBWiderrufVertrag widerrufenVerträge hier kündigenAVV
© 2026 BelegHero Für Unternehmen und Steuerkanzleien entwickelt.