Auftragsverarbeitungsvertrag (AVV) – Entwurf
Stand: 31.05.2026
Wichtiger Hinweis: Dieser Text ist ein technischer Arbeitsentwurf und keine finale Vertragsfassung. Vor Nutzung: juristisch prüfen, DSB prüfen.
1. Gegenstand
Verarbeitung von Rechnungs- und Metadaten im Rahmen der SaaS-Leistung BelegFlow AI, insbesondere Upload, Extraktion, Kontierungsvorschlag, Freigabe-Workflow und Export.
2. Rollen
- Kunde: Verantwortlicher.
- SBS Deutschland: Auftragsverarbeiter nach Art. 28 DSGVO.
3. Technische und organisatorische Maßnahmen (TOMs)
- Zugriffsschutz mit Rollen-/Rechtekonzept (RBAC).
- Mandantentrennung (tenant-isolierte Datenhaltung).
- Append-only Audit-Trail relevanter Aktionen (revisionssicher).
- GoBD-Unveränderbarkeit verarbeiteter Rechnungen (read-only, kein physisches Löschen).
- Verschlüsselung von Übertragung (TLS) und Speicherung.
- Backup- und Wiederherstellungsprozesse.
4. Unterauftragsverarbeiter (Subprocessors)
Folgende Unterauftragsverarbeiter werden eingesetzt. Änderungen werden mit angemessener Vorankündigung mitgeteilt. Drittlandtransfers erfolgen nur mit gültiger Rechtsgrundlage (z.B. EU-Standardvertragsklauseln).
| Dienstleister | Zweck | Standort | Rechtsgrundlage Drittland |
|---|---|---|---|
| DigitalOcean LLC | Hosting / Infrastruktur | EU (Frankfurt) | EU-Region, SCC |
| OpenAI Ireland Ltd. | KI-gestützte Rechnungsextraktion | EU / USA | SCC, DPA |
| Twilio Inc. (SendGrid) | Transaktions-E-Mails / Benachrichtigungen | USA | SCC, DPF |
| Google Ireland Ltd. | SSO / OAuth-Anmeldung | EU / USA | SCC, DPF |
| Microsoft Ireland Operations Ltd. | SSO / Entra ID (optional) | EU / USA | SCC, DPF |
5. Betroffenenrechte / Löschung
Unterstützung des Kunden bei Auskunft, Berichtigung, Löschung und Datenportabilität. Aufbewahrungs- und Löschfristen werden im Hauptvertrag spezifiziert.