Frühere Fassungen bleiben unter ihrer jeweiligen Adresse abrufbar.
Vertrag über die Auftragsverarbeitung (AVV)
nach Art. 28 DSGVO
| Dokument-Nr. | SW-LEG-001 |
| Version | v3.0 (Entwurf zur rechtlichen Prüfung) |
| Stand | 2026-08-11 |
| Verbindliche Sprachfassung | Deutsch |
| Vertraulichkeit | Vertraulich |
1. Vertragsparteien
Verantwortlicher (nachfolgend „Auftraggeber")
Das Kundenunternehmen gemäß Hauptvertrag.
Auftragsverarbeiter (nachfolgend „Auftragnehmer")
SINWOO International GmbH
Hans-Rother-Steg 85, 61440 Oberursel (Taunus), Deutschland
Vertreten durch: Seung Ho Choi, Geschäftsführer
Handelsregister: HRB 12372, Amtsgericht Bad Homburg v. d. Höhe
E-Mail: info@sinwoo-itc.com
Ansprechpartner für den Datenschutz beim Auftragnehmer: [zu benennen]
2. Gegenstand und Dauer
Der Auftragnehmer stellt dem Auftraggeber ein Buchhaltungs- und Steuersystem als Software-as-a-Service bereit. Im Rahmen dieser Leistung verarbeitet er personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers.
Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Er endet nicht vor Abschluss der in Ziffer 12 geregelten Rückgabe oder Löschung.
3. Art, Umfang und Zweck der Verarbeitung
| Merkmal | Festlegung |
|---|---|
| Art der Verarbeitung | Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln, Löschen |
| Zweck | Buchführung, Belegverwaltung, Reisekosten- und Auslagenabrechnung, Lohnbuchungen, Umsatzsteuer-Voranmeldung, Umsatzsteuer-Jahreserklärung, E-Bilanz |
| Ort der Verarbeitung | Rechenzentren in Frankfurt am Main, Bundesrepublik Deutschland (AWS-Region eu-central-1) |
| Dauer | Laufzeit des Hauptvertrages zuzüglich gesetzlicher Aufbewahrungsfristen |
Eine Verarbeitung außerhalb der Europäischen Union findet nicht statt. Sämtliche in Anlage C genannten Dienste werden in der Region eu-central-1 (Frankfurt am Main) betrieben.
4. Kategorien betroffener Personen und personenbezogener Daten
Die Einzelheiten ergeben sich aus Anlage A.
Zusammengefasst betrifft die Verarbeitung
- Beschäftigte des Auftraggebers,
- Ansprechpartner von Geschäftspartnern des Auftraggebers,
- Benutzer des Systems.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Auftraggeber wird solche Daten nicht in das System einstellen.
5. Weisungsrecht des Auftraggebers
Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Weisungen erfolgen in Textform an die in Ziffer 1 genannte Adresse. Mündlich erteilte Weisungen bestätigt der Auftraggeber unverzüglich in Textform.
Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Auftraggeber unverzüglich mit. Er ist berechtigt, die Ausführung bis zur Klärung auszusetzen.
Der Auftragnehmer bietet in der Anwendung fachliche Erläuterungen und automatisch erzeugte Vorschläge an, insbesondere Kontierungsvorschläge und aus Belegen ausgelesene Werte. Diese Vorschläge stellen weder eine Steuerberatung noch eine Weisung dar. Die Festschreibung und die Abgabe von Steuererklärungen verantwortet der Auftraggeber.
6. Pflichten des Auftragnehmers
6.1 Vertraulichkeit
Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden. Die Verpflichtung wird schriftlich erklärt und dokumentiert. Sie besteht über das Ende der Tätigkeit hinaus fort.
6.2 Unterstützungspflichten
Der Auftragnehmer unterstützt den Auftraggeber bei
- der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO),
- der Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33, 34 DSGVO),
- der Datenschutz-Folgenabschätzung (Art. 35 DSGVO),
- der vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO).
6.3 Verzeichnis
Der Auftragnehmer führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt es dem Auftraggeber auf Anforderung zur Verfügung.
7. Technische und organisatorische Maßnahmen
Die Maßnahmen nach Art. 32 DSGVO sind in Anlage B beschrieben. Der Auftragnehmer darf sie fortentwickeln, sofern das Schutzniveau nicht unterschritten wird. Änderungen, die das Schutzniveau senken, sind vorher anzuzeigen.
8. Unterauftragsverarbeiter
Der Auftraggeber erteilt seine allgemeine Genehmigung zur Beauftragung der in Anlage C aufgeführten Unterauftragsverarbeiter.
Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Auftraggeber mindestens [Frist] Wochen vorher in Textform mit. Der Auftraggeber kann der Änderung innerhalb von [Frist] Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Im Fall eines berechtigten Widerspruchs, der eine Leistungserbringung unmöglich macht, steht beiden Parteien ein Sonderkündigungsrecht zu.
Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die ihm selbst nach diesem Vertrag obliegen.
8.1 Einsatz eines generativen Sprachmodells zur Belegauslesung
Der Auftragnehmer setzt zur Auslesung hochgeladener Unterlagen ein generatives Sprachmodell ein. Der Auftraggeber wird hierüber ausdrücklich unterrichtet:
| Gegenstand | Ausgestaltung |
|---|---|
| Betroffene Unterlagen | Rechnungen und Quittungen, Kontoauszüge, Verträge, Gewerbe- und Registernachweise sowie Lohnjournale |
| Übermittelter Inhalt | Die hochgeladene Datei wird als Bild vollständig an das Modell übermittelt. Eine vorherige Schwärzung einzelner Angaben findet nicht statt. |
| Eingesetztes Modell | Anthropic Claude, bezogen über Amazon Bedrock unter einem auf die Europäische Union beschränkten Inferenzprofil |
| Ort der Modellausführung | Rechenzentren innerhalb der Europäischen Union; die Anwendung ruft den Dienst in der Region Frankfurt am Main auf |
| Training | Eine Verwendung der übermittelten Inhalte zum Training der Modelle findet nach den Bedingungen des Anbieters nicht statt. |
| Speicherung des Ergebnisses | Gespeichert werden die ausgelesenen Buchungsangaben. Bei Lohnjournalen werden ausschließlich Summen auf Unternehmensebene übernommen; Angaben zu einzelnen Beschäftigten werden nicht in die Bücher übernommen. |
| Entscheidungserheblichkeit | Das Ergebnis ist ein Vorschlag. Die Buchung entsteht erst, nachdem eine Person die Werte geprüft und bestätigt hat. Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO liegt nicht vor. |
9. Rechte betroffener Personen
Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.
Der Auftragnehmer stellt dem Auftraggeber technische Mittel bereit, um Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit zu erfüllen.
9.1 Aufbewahrungspflicht geht dem Löschverlangen vor
Ein Teil der Daten unterliegt handels- und steuerrechtlichen Aufbewahrungspflichten, insbesondere nach § 147 AO und § 257 HGB. Diese Pflichten gehen einem Löschverlangen vor. In diesen Fällen wird die Verarbeitung nach Art. 18 DSGVO eingeschränkt statt gelöscht; nach Ablauf der Frist wird gelöscht. Dieselbe Regel gilt nach den Allgemeinen Geschäftsbedingungen und nach der Datenschutzerklärung.
10. Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von [Frist] Stunden nach Bekanntwerden. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der Betroffenen, die wahrscheinlichen Folgen sowie die ergriffenen Gegenmaßnahmen.
11. Nachweise und Überprüfungen
Der Auftragnehmer weist die Einhaltung der Pflichten aus diesem Vertrag nach, indem er auf Anforderung die Dokumentation nach Anlage B zur Verfügung stellt und schriftliche Auskunft erteilt.
Der Auftraggeber kann darüber hinaus nach vorheriger Ankündigung mit angemessener Frist und während der üblichen Geschäftszeiten eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen. Die Überprüfung darf den Betrieb nicht unangemessen beeinträchtigen.
12. Beendigung
Nach Beendigung der Verarbeitungstätigkeit löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück.
Der Auftraggeber kann die Herausgabe bis zum Ablauf von [Frist] nach Vertragsende verlangen. Die Herausgabe erfolgt in einem strukturierten, gängigen und maschinenlesbaren Format. Nach Ablauf dieser Frist löscht der Auftragnehmer die Daten.
Daten, die gesetzlichen Aufbewahrungspflichten unterliegen, werden nicht gelöscht, sondern für die Dauer der Aufbewahrungspflicht gesperrt aufbewahrt und danach gelöscht.
13. Haftung
Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrages.
14. Schlussbestimmungen
Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.
Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist [Gerichtsstand], soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in datenschutzrechtlichen Fragen vor.
Anlage A: Kategorien betroffener Personen und Daten
| Verarbeitungstätigkeit | Betroffene | Datenkategorien | Rechtsgrundlage (Verantwortlicher) |
|---|---|---|---|
| Benutzerkonten und Berechtigungen | Benutzer des Systems | Anmeldename, Name, Passwort-Hashwert, Sprache, Berechtigungsgruppe, Rolle, Zeitpunkt der letzten Anmeldung, Anzahl fehlgeschlagener Anmeldungen, Sperrzeitpunkt | Art. 6 Abs. 1 lit. b DSGVO |
| Personalstammdaten | Beschäftigte des Auftraggebers | Name, Personalnummer, Abteilung, Rang, Position, Geschlecht, Telefonnummer, E-Mail-Adresse, Geburtsdatum, Geburtsort, Anschrift (Straße, Postleitzahl, Ort, Region, Land), Eintrittsdatum, Austrittsdatum, Arbeitszeiten, Urlaubsansprüche | Art. 6 Abs. 1 lit. b und lit. c DSGVO |
| Lohn- und Gehaltsbuchungen | Beschäftigte des Auftraggebers | Abrechnungsmonat, Lohnarten, Beträge, Arbeitgeberanteil zur Sozialversicherung, Kontierung, Originaldatei der Abrechnung | Art. 6 Abs. 1 lit. c DSGVO |
| Reisekosten und Auslagen | Beschäftigte des Auftraggebers, Begleitpersonen | Antragsteller, Datum, Ort, Zweck, Betrag, Belegbild, Teilnehmerliste bei Bewirtungen, Genehmigungsverlauf | Art. 6 Abs. 1 lit. b und lit. c DSGVO |
| Geschäftsvorfälle und Belege | Ansprechpartner von Geschäftspartnern | Name des Geschäftspartners, Name der Ansprechperson, Anschrift, Steuernummer bzw. Umsatzsteuer-Identifikationsnummer, Bankverbindung, Betrag, Belegoriginal | Art. 6 Abs. 1 lit. b und lit. c DSGVO |
| Firmenkonten und Zahlungsverkehr | Kontoinhaber, Zahlungsempfänger | IBAN, BIC, Buchungstext, Betrag, Wertstellung | Art. 6 Abs. 1 lit. b und lit. c DSGVO |
| Steuerliche Meldungen | Beschäftigte, Geschäftspartner (mittelbar über Beträge) | Meldezeitraum, Kennzahlen und Beträge, Steuernummer, Übertragungsprotokoll | Art. 6 Abs. 1 lit. c DSGVO |
| Zugriffs- und Änderungsprotokolle | Benutzer des Systems | IP-Adresse, Zeitpunkt, aufgerufene Funktion, Anfrageparameter, Benutzerkennung, geänderte Werte vor und nach der Änderung | Art. 6 Abs. 1 lit. f DSGVO |
| Protokoll der Belegauslesung | Benutzer des Systems | Benutzerkennung, Dateiname, verwendetes Modell, Umfang der Anfrage, Ergebnisstatus | Art. 6 Abs. 1 lit. f DSGVO |
| E-Mail-Versandprotokoll | Empfänger von Systemnachrichten | E-Mail-Adresse, Betreff, Nachrichtentext, Versandstatus | Art. 6 Abs. 1 lit. b DSGVO |
Anlage B: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Die ausführliche Darstellung ist dem Dokument SW-LEG-002 (TOM) zu entnehmen. Nachfolgend die Maßnahmen in der Gliederung des Art. 32 DSGVO.
B.1 Vertraulichkeit
| Maßnahme | Umsetzung |
|---|---|
| Zutrittskontrolle | Die Verarbeitung erfolgt in Rechenzentren des Cloud-Anbieters in Frankfurt am Main. Eigene Serverräume werden nicht betrieben. Für die physische Sicherheit gelten die Zertifizierungen des Anbieters (Anlage C). |
| Zugangskontrolle | Anmeldung mit Benutzername und Kennwort. Kennwörter werden ausschließlich als Einweg-Hashwert nach dem Verfahren bcrypt gespeichert. Sperrung des Kontos nach mehreren Fehlversuchen; zusätzlich Sperrung der anfragenden IP-Adresse nach einer festgelegten Anzahl von Fehlversuchen über unbekannte Kennungen hinweg. Verpflichtender Kennwortwechsel nach Ablauf einer Frist. |
| Zugriffskontrolle | Berechtigungen ergeben sich aus drei Achsen: Berechtigungsgruppe, Menüfreigabe und Datenbereich (eigene Daten, Abteilung, gesamtes Unternehmen). Es bestehen genau zwei Rollen: Unternehmensadministrator und Plattformadministrator. Fehlende Berechtigungen führen zu einer Ablehnung, nicht zu einem leeren Ergebnis. |
| Trennungskontrolle | Jede fachliche Tabelle führt eine Mandantenkennung. Abfragen sind auf den Mandanten des angemeldeten Benutzers eingeschränkt. Belegdateien liegen je Umgebung in getrennten Speicherbereichen; aus der Entwicklungs- und Prüfumgebung besteht kein Schreibzugriff auf Produktivdaten. |
| Pseudonymisierung | Kennwörter werden nur als Hashwert vorgehalten. Eine weitergehende Pseudonymisierung ist nicht umgesetzt, da die Verarbeitung die Zuordnung zu identifizierten Personen erfordert (Lohnbuchung, Reisekostenabrechnung). |
B.2 Integrität
| Maßnahme | Umsetzung |
|---|---|
| Weitergabekontrolle | Verbindung zwischen Browser und Anwendung ausschließlich über TLS. Die Datenbank ist von außen nicht erreichbar; der Datenbankport ist in der Netzwerkfilterung nicht freigegeben und nur über einen verschlüsselten Administrationszugang erreichbar. Der Versand von E-Mail erfolgt über eine TLS-gesicherte Verbindung. Steuerliche Übermittlungen werden mit einem Zertifikat signiert. |
| Eingabekontrolle | Änderungen an fachlichen Daten werden protokolliert. Das Protokoll enthält den betroffenen Datenbereich, die Aktion, die geänderten Werte, die handelnde Benutzerkennung, den Mandanten und den Zeitpunkt. Zusätzlich wird jeder Aufruf mit IP-Adresse, Zeitpunkt und Ergebnis protokolliert. |
| Unveränderbarkeit | Buchhaltungsdaten werden nicht physisch gelöscht. Löschungen im Tagesgeschäft erfolgen als Kennzeichnung; der Datensatz und seine Änderungshistorie bleiben erhalten. Nach dem Monatsabschluss ist der betroffene Zeitraum gegen Änderungen gesperrt. Mit der Festschreibung einer Steuermeldung werden die gemeldeten Werte eingefroren; Korrekturen erfolgen ausschließlich als neue berichtigte Meldung. |
| Belegechtheit | Belege werden im Original gespeichert. Maschinell ausgelesene Werte ersetzen das Original nicht. Zu jeder Belegdatei wird ein Prüfwert (Hashwert) gespeichert; damit werden Doppeleinreichungen erkannt und nachträgliche Veränderungen der Datei feststellbar. |
B.3 Verfügbarkeit und Belastbarkeit
| Maßnahme | Umsetzung |
|---|---|
| Verschlüsselung ruhender Daten | Die Serverdatenträger sind verschlüsselt. Der Belegspeicher ist mit serverseitiger Verschlüsselung (AES-256) als Voreinstellung konfiguriert. Öffentlicher Zugriff auf den Belegspeicher ist auf Ebene des Speicherdienstes blockiert. |
| Datensicherung | Vor jeder Auslieferung wird eine Sicherung der Datenbank erstellt und vorgehalten. Der Belegspeicher der Produktivumgebung ist versioniert. |
| Wiederherstellbarkeit | Eine Auslieferung kann auf den unmittelbar vorhergehenden Stand zurückgesetzt werden. Die Wiederherstellung erfolgt aus der zugehörigen Sicherung. |
| Verfügbarkeitsüberwachung | [offen; siehe Fragenliste] |
B.4 Verfahren zur Überprüfung und Bewertung
| Maßnahme | Umsetzung |
|---|---|
| Auftragskontrolle | Unterauftragsverarbeiter sind in Anlage C abschließend benannt. Zugriffe der Anwendung auf Dienste des Cloud-Anbieters erfolgen über eine an die Recheninstanz gebundene Rolle mit eingeschränkten Rechten; dauerhafte Schlüsseldateien werden auf den Servern nicht abgelegt. |
| Änderungskontrolle | Änderungen am Datenbankschema erfolgen ausschließlich über ein Migrationswerkzeug mit fortlaufender, unveränderlicher Versionierung. Auslieferungen erfolgen ausschließlich über den Integrationsserver; jede Auslieferung ist einem Quellstand zugeordnet. |
| Datenschutzfreundliche Voreinstellungen | Der Belegspeicher ist nicht öffentlich lesbar. Der E-Mail-Versand ist je Umgebung gesondert freizuschalten. |
| Überprüfung | Diese Anlage wird bei Änderungen der Systemgestaltung fortgeschrieben. |
Anlage C: Genehmigte Unterauftragsverarbeiter
Stand: 2026-08-11.
Sämtliche nachstehenden Leistungen werden von derselben Gesellschaft erbracht: Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg. Weitere Unterauftragsverarbeiter sind nicht beauftragt.
| Leistung | Verarbeitete Daten | Ort der Verarbeitung |
|---|---|---|
| Betrieb der Recheninstanz und der Datenbank | Sämtliche in Anlage A genannten Daten | Frankfurt am Main (eu-central-1) |
| Objektspeicher für Belegdateien | Belegoriginale: Rechnungen, Quittungen, Verträge, Kontoauszüge, Lohnjournale | Frankfurt am Main (eu-central-1) |
| Belegauslesung durch ein generatives Sprachmodell (Amazon Bedrock, Modell Anthropic Claude, EU-Inferenzprofil) | Vollständige Dokumentbilder und die daraus ausgelesenen Werte; Einzelheiten in Ziffer 8.1 | Rechenzentren innerhalb der Europäischen Union |
| Versand von Systemnachrichten per E-Mail | E-Mail-Adresse der empfangenden Person und Inhalt der Systemnachricht | Frankfurt am Main (eu-central-1) |
| Empfang von E-Mail an Adressen der Unternehmensdomäne und Ablage der Nachricht im Objektspeicher | Absender, Empfänger, Betreff, Nachrichtentext und Dateianhänge | Frankfurt am Main (eu-central-1) |
| Ablage der Datenbanksicherungen im Objektspeicher | Sämtliche in Anlage A genannten Daten in gesicherter Form | Frankfurt am Main (eu-central-1) |
Keine Unterauftragsverarbeitung, aber Übermittlung an Dritte
| Empfänger | Anlass | Übermittelte Daten | Rechtsgrundlage |
|---|---|---|---|
| Zuständige Finanzverwaltung über die Schnittstelle ELSTER | Abgabe gesetzlich vorgeschriebener Steuermeldungen | Meldezeitraum, Kennzahlen, Beträge, Steuernummer | Art. 6 Abs. 1 lit. c DSGVO |
Dienste ohne Personenbezug
Zur Ermittlung von Referenzwerten ruft die Anwendung vier öffentliche Schnittstellen zu zwei Zwecken ab: gesetzliche Feiertage sowie Umrechnungskurse, letztere über drei Anbieter (Kurse der Europäischen Zentralbank, ein öffentlich bereitgestelltes Kursverzeichnis und ein Dienst für historische Kurse). Übermittelt werden dabei ausschließlich Datum, Land und Währungspaar. Personenbezogene Daten werden nicht übermittelt; diese Anbieter sind daher keine Unterauftragsverarbeiter.
Ort, Datum Auftraggeber Auftragnehmer