Auftragsverarbeitungsvertrag (AVV)

Stand: 13. August 2026

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten, die finisma bei der Erbringung seiner Leistungen im Auftrag seiner Kunden vornimmt, gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO). Er ergänzt die Allgemeinen Geschäftsbedingungen (AGB) und die Datenschutzerklärung von finisma und geht diesen im Anwendungsbereich der Auftragsverarbeitung vor.

1. Vertragsparteien, Einbeziehung

Auftraggeber im Sinne dieses Vertrags ist, wer finisma im Sinne der AGB nutzt (nachfolgend „Auftraggeber"). Auftragsverarbeiter ist die

Paulibytes UG (haftungsbeschränkt)
Paulsenplatz 2, 22767 Hamburg, Deutschland
vertreten durch den Geschäftsführer Michael Wilke
Handelsregister: HRB 157347, Amtsgericht Hamburg
E-Mail: erechnung@paulibytes.de
(nachfolgend „finisma" oder „Auftragsverarbeiter").

Dieser AVV wird mit der ersten Nutzung von finisma, bei der personenbezogene Daten im Sinne von Anlage 1 verarbeitet werden, automatisch Bestandteil des Nutzungsverhältnisses; ein gesondertes Unterschreiben ist dafür nicht erforderlich. Auf Wunsch stellen wir eine gegengezeichnete Fassung für Ihre Unterlagen bereit; wenden Sie sich dafür an die oben genannte E-Mail-Adresse.

2. Gegenstand und Dauer der Verarbeitung

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch finisma bei der Umwandlung hochgeladener Rechnungen in elektronische Rechnungsformate, der Ableitung und Erzeugung von SEPA- und Auslandszahlungsdateien aus dem PDF-Eingabeweg, der Prüfung von Rechnungs- und Zahlungsdateien (Viewer, pain.001-Prüfung) sowie der optionalen KI-gestützten Adressstrukturierung im Auslandsmodul, jeweils soweit diese Schritte serverseitig durch finisma erfolgen. Die einzelnen Verarbeitungstätigkeiten und ihre Datenflüsse sind in Anlage 1 beschrieben.

Nicht Gegenstand dieses Vertrags ist die Verarbeitung, die ausschließlich im Browser der Nutzerin oder des Nutzers stattfindet, unter anderem das Einlesen hochgeladener E-Rechnungen im XML-Format, von CSV- und DTAZV-Dateien sowie die Erzeugung der SEPA- oder Auslandszahlungsdatei selbst. Für diese Schritte liegt keine Verarbeitung durch finisma vor, weil die Daten den Browser der Nutzerin oder des Nutzers nicht verlassen (Einzelheiten ebenfalls in Anlage 1).

Die Verarbeitung dauert für die Zeit, in der der Auftraggeber finisma nutzt, längstens für die Laufzeit des jeweiligen Nutzungsvertrags nach den AGB. Für einzelne Verarbeitungsvorgänge (zum Beispiel einen einzelnen Upload) begrenzen die Löschfristen aus Anlage 2 die tatsächliche Dauer zusätzlich.

3. Art der Daten, Kreis der betroffenen Personen

Im Rahmen der Auftragsverarbeitung werden insbesondere verarbeitet:

• Namen und Anschriften von Rechnungsstellern und -empfängern, wie sie in hochgeladenen Rechnungen oder Zahlungsdateien enthalten sind;
• Namen, Telefonnummern und E-Mail-Adressen von Ansprechpartnern (Felder BT-41 bis BT-43 und BT-56 bis BT-58 nach EN 16931), soweit in der Rechnung angegeben;
• Bankverbindungen (IBAN, BIC) von Zahlungsempfängern sowie, beim serverseitig gespeicherten Auftraggeberkonto, des Auftraggebers selbst;
• Umsatzsteuer-Identifikationsnummern, Rechnungsnummern, Beträge, Verwendungszwecke und weitere Rechnungsinhalte, soweit sie personenbezogene Angaben enthalten;
• Adresszeilen einzelner Zahlungsempfänger, soweit die KI-Adress-Strukturierung im Auslandsmodul aktiv genutzt wird.

Kreis der betroffenen Personen:

• Ansprechpartner und, soweit als Einzelunternehmer oder Freiberufler auftretend, Inhaber von Geschäftspartnern des Auftraggebers (Lieferanten, Kunden);
• der Auftraggeber selbst, soweit er als natürliche Person oder Einzelunternehmer handelt, insbesondere beim serverseitig gespeicherten Auftraggeberkonto (siehe Anlage 1);
• Mitarbeitende oder Beauftragte des Auftraggebers, die Dateien hochladen oder bearbeiten, soweit sich das aus dem Inhalt der hochgeladenen Dateien ergibt.

4. Weisungsrecht des Auftraggebers

finisma verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit dieser AVV oder das zugrunde liegende Nutzungsverhältnis nach den AGB nichts anderes vorsieht. Die bestimmungsgemäße Nutzung einer Funktion, etwa das Hochladen einer Datei zur Umwandlung oder das Anklicken einer Adressstrukturierung, gilt als Weisung in diesem Sinne. Weitergehende Weisungen richten Sie in Textform, zum Beispiel per E-Mail, an die in Abschnitt 1 genannte Adresse. finisma prüft eingehende Weisungen auf offensichtliche Verstöße gegen die DSGVO und weist Sie unverzüglich darauf hin, wenn eine Weisung nach unserer Einschätzung rechtswidrig ist.

5. Pflichten des Auftragsverarbeiters

finisma verpflichtet sich,

• personenbezogene Daten ausschließlich im Rahmen dieses Vertrags und der Weisungen nach Abschnitt 4 zu verarbeiten;
• alle Personen, die auf die Daten zugreifen können, zur Vertraulichkeit zu verpflichten oder einer angemessenen gesetzlichen Verschwiegenheitspflicht zu unterstellen;
• die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen umzusetzen und einzuhalten;
• den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO sowie bei der Beantwortung von Anfragen betroffener Personen zu unterstützen (siehe auch Abschnitt 9);
• personenbezogene Daten nach Beendigung der jeweiligen Verarbeitung nach den in Anlage 2 beschriebenen Fristen zu löschen.

6. Unterauftragsverhältnisse

finisma setzt zur Erfüllung dieses Vertrags den in Anlage 3 genannten Unterauftragnehmer ein. Mit Abschluss dieses Vertrags erteilt der Auftraggeber hierzu seine allgemeine Genehmigung im Sinne von Art. 28 Abs. 2 DSGVO. Über die Änderung oder den Austausch von Unterauftragnehmern informiert finisma den Auftraggeber vorab in geeigneter Form, etwa durch Aktualisierung dieser Seite mit Änderungsdatum oder auf Wunsch per E-Mail; der Auftraggeber kann einer solchen Änderung innerhalb von 14 Tagen aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen. finisma verpflichtet den Unterauftragnehmer seinerseits zu einem Datenschutzniveau, das diesem Vertrag entspricht.

7. Technische und organisatorische Maßnahmen

finisma trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Änderungen dieser Maßnahmen sind zulässig, soweit das vereinbarte Schutzniveau dadurch nicht unterschritten wird.

8. Kontrollrechte des Auftraggebers

Der Auftraggeber kann sich davon überzeugen, dass finisma die in diesem Vertrag vereinbarten Pflichten einhält. finisma legt hierzu auf Anfrage geeignete Nachweise vor, etwa diese Vertragsunterlagen oder Auskünfte zur technischen Umsetzung. finisma ist ein kleines Unternehmen und bietet keine Vor-Ort-Audits und keine eigene ISO-27001-Zertifizierung an; zertifiziert nach ISO/IEC 27001 ist nach heutigem Stand das eingesetzte Rechenzentrum (siehe Anlage 2). Weitergehende Kontrollrechte stimmen die Parteien im Einzelfall ab; finisma kann dafür einen angemessenen Aufwandsersatz verlangen, wenn der Aufwand über eine übliche Auskunft hinausgeht.

9. Meldepflichten, Unterstützung bei Datenschutzverletzungen

Wird finisma eine Verletzung des Schutzes personenbezogener Daten bekannt, die im Rahmen dieses Vertrags verarbeitete Daten des Auftraggebers betrifft, informiert finisma den Auftraggeber unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntnisnahme, mit den nach Art. 33 Abs. 3 DSGVO bekannten Angaben. finisma unterstützt den Auftraggeber im Rahmen des Zumutbaren bei dessen eigenen Meldepflichten nach Art. 33 und 34 DSGVO sowie bei der Beantwortung von Anfragen betroffener Personen nach Art. 15 bis 22 DSGVO. Richtet eine betroffene Person eine solche Anfrage direkt an finisma, leiten wir sie unverzüglich an den Auftraggeber weiter, soweit wir die Zuordnung zu einem Auftraggeber erkennen können.

10. Löschung und Rückgabe nach Vertragsende

Die im Rahmen dieses Vertrags verarbeiteten Rechnungs- und Zahlungsdaten löscht finisma bereits während der laufenden Nutzung automatisch nach den Fristen aus Anlage 2. Eine gesonderte Rückgabe oder Löschung nach Vertragsende ist deshalb im Regelfall nicht erforderlich, weil zu diesem Zeitpunkt keine dieser Daten mehr bei finisma vorhanden sind. Das serverseitig gespeicherte Auftraggeberkonto (Anlage 1, Server-Mandant) löscht finisma auf Anforderung des Auftraggebers oder spätestens mit der Löschung seines Nutzerkontos.

11. Haftung

Für Ansprüche im Zusammenhang mit diesem Vertrag gelten die Haftungsregelungen der AGB entsprechend, soweit gesetzlich zwingende Vorschriften, insbesondere Art. 82 DSGVO gegenüber betroffenen Personen, keine andere Verteilung vorschreiben.

12. Laufzeit

Dieser Vertrag beginnt mit der ersten Verarbeitung personenbezogener Daten im Sinne von Anlage 1 und endet automatisch mit der Beendigung der Nutzung von finisma durch den Auftraggeber beziehungsweise mit Beendigung des Nutzungsvertrags nach den AGB.

13. Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem AVV und den AGB oder der Datenschutzerklärung geht dieser AVV im Anwendungsbereich der Auftragsverarbeitung vor. Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleiben die übrigen Bestimmungen davon unberührt.

Anlage 1: Verzeichnis der Verarbeitungstätigkeiten

Anlage 2: Technische und organisatorische Maßnahmen (TOMs)

Anlage 3: Unterauftragnehmer