Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Vertragsparteien

zwischen dem Auftraggeber (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO — der API-Kunde)

und

Quantivo AI LLC, Rua Fernão Mendes Pinto 146, 2870-850 Montijo, Portugal (Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO), Betreiberin der Dokument-Verstehen API unter kontoauszugskonverter.com.

§ 1 Gegenstand und Dauer der Verarbeitung

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Nutzung der Dokument-Verstehen API durch den Auftraggeber: Der Auftraggeber übermittelt Dokumente (PDF- oder Bilddateien) per API-Aufruf; der Auftragsverarbeiter wandelt diese in strukturierte Daten um bzw. erstellt eine strukturierte Analyse und liefert das Ergebnis als API-Antwort zurück.

Die Dauer der Verarbeitung entspricht der Laufzeit des API-Nutzungsverhältnisses. Der Vertrag endet mit dessen Beendigung; § 8 (Löschung) bleibt unberührt.

§ 2 Art und Zweck der Verarbeitung

Zweck der Verarbeitung ist die automatisierte Umwandlung von PDF-Kontoauszügen in strukturierte Daten (Buchungen als JSON) sowie die automatisierte Analyse deutscher Dokumente (Steuerbescheid, Lohnabrechnung, Mahnung, Kündigung, Bußgeldbescheid) im Auftrag des Auftraggebers.

Die Verarbeitung umfasst: Entgegennahme der übermittelten Dokumente, Texterkennung (OCR), KI-gestützte Extraktion bzw. Analyse, Rückgabe des Ergebnisses an den Auftraggeber sowie die Protokollierung von Metadaten (Zeitstempel, Dokumenttyp, Latenz, Organisation) zu Abrechnungs- und Auditzwecken — ohne Dokumentinhalt.

§ 3 Art der Daten

• Bankumsatzdaten (Buchungsdatum, Buchungstext, Empfänger/Auftraggeber, Beträge, Salden)
• Kontodaten (Kontoinhaber, IBAN/Kontonummer, Bankverbindung)
• Je nach Dokumenttyp weitere im Dokument enthaltene personenbezogene Daten, z. B. Namen und Anschriften, Gehalts- und Steuerdaten (Lohnabrechnung, Steuerbescheid), Forderungsdaten (Mahnung), Beschäftigungsdaten (Kündigung) oder Daten zu Ordnungswidrigkeiten (Bußgeldbescheid)

§ 4 Kategorien betroffener Personen

• Kunden und Mandanten des Auftraggebers
• Kontoinhaber und Zahlungsbeteiligte
• Beschäftigte (bei Lohnabrechnungen und Kündigungen)
• Sonstige Personen, deren Daten in den übermittelten Dokumenten enthalten sind

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter — Quantivo AI LLC, Rua Fernão Mendes Pinto 146, 2870-850 Montijo, Portugal — verpflichtet sich:

• personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO); die Übermittlung eines Dokuments per API-Aufruf gilt als Weisung zur Verarbeitung dieses Dokuments;
• sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben (Art. 28 Abs. 3 lit. b DSGVO);
• die in § 7 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO einzuhalten;
• den Auftraggeber bei der Beantwortung von Anträgen betroffener Personen und bei den Pflichten aus Art. 32–36 DSGVO zu unterstützen (§ 9);
• Verletzungen des Schutzes personenbezogener Daten dem Auftraggeber unverzüglich zu melden;
• nach Abschluss der Verarbeitung sämtliche personenbezogenen Daten nach Maßgabe von § 8 zu löschen;
• dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung zu stellen.

§ 6 Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung zur Einschaltung der folgenden Unterauftragsverarbeiter. Über beabsichtigte Änderungen wird der Auftraggeber informiert und kann ihnen widersprechen (Art. 28 Abs. 2 DSGVO).

Hinweis zu Drittlandübermittlungen: Soweit Unterauftragsverarbeiter personenbezogene Daten außerhalb der EU/des EWR (insbesondere in den USA) verarbeiten, erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) bzw. eines Angemessenheitsbeschlusses der EU-Kommission.

§ 7 Technische und organisatorische Maßnahmen

• Transportverschlüsselung: Sämtliche Datenübertragungen erfolgen ausschließlich über TLS.
• Verschlüsselung im Ruhezustand (at rest): Gespeicherte Daten werden verschlüsselt abgelegt.
• Zugriffskontrolle: API-Zugriff nur mit organisationsgebundenen API-Keys (gehasht gespeichert, jederzeit widerrufbar); interner Zugriff nach dem Need-to-know-Prinzip mit rollenbasierter Rechtevergabe.
• Protokollierung: Audit-Einträge zu API-Aufrufen enthalten nur Metadaten (Zeitstempel, Dokumenttyp, Latenz), keinen Dokumentinhalt.

§ 8 Löschung und Rückgabe

Hochgeladene Dokumente und daraus extrahierte Daten werden spätestens 24 Stunden nach Verarbeitung gelöscht. Die Analyseergebnisse werden dem Auftraggeber ausschließlich als API-Antwort zurückgegeben; für deren Aufbewahrung ist der Auftraggeber verantwortlich.

Über die 24-Stunden-Frist hinaus verbleiben ausschließlich Audit-Metadaten ohne Dokumentinhalt (§ 2) sowie gesetzlich aufbewahrungspflichtige Abrechnungsdaten.

§ 9 Betroffenenrechte und Unterstützung des Auftraggebers

Der Auftragsverarbeiter unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch — Art. 12–23 DSGVO). Aufgrund der kurzen Löschfrist (§ 8) liegen Dokumentdaten in der Regel bereits nicht mehr vor; Anträge betroffener Personen, die direkt beim Auftragsverarbeiter eingehen, werden unverzüglich an den Auftraggeber weitergeleitet.

§ 10 Kontakt

Für alle Fragen zu diesem Vertrag und zur Datenverarbeitung:
Quantivo AI LLC, Rua Fernão Mendes Pinto 146, 2870-850 Montijo, Portugal
E-Mail: matheus.mello.developer@gmail.com

Unterschriften