Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien und Zustandekommen

Dieser Auftragsverarbeitungsvertrag wird geschlossen zwischen

dem Nutzer des Dienstes „Tippstopp“ — nachfolgend „Verantwortlicher“ — und der

Lux Selected GmbH, Taunusstraße 14, 65183 Wiesbaden, eingetragen im Handelsregister des Amtsgerichts Wiesbaden unter HRB 36491, vertreten durch den Geschäftsführer Joshua Lux — nachfolgend „Auftragsverarbeiter“.

Dieser Vertrag wird mit dem Zustandekommen des Nutzungsvertrages nach § 3 der AGB automatisch einbezogen und bedarf keiner gesonderten Unterzeichnung (Art. 28 Abs. 9 DSGVO). Die bei Vertragsschluss geltende Fassung wird mit Datum am Nutzerkonto vermerkt. Auf Anforderung an hello@selectedbyjoshualux.de stellt der Auftragsverarbeiter eine unterzeichnete Ausfertigung in Textform zur Verfügung.

Die konkreten Angaben zu Gegenstand, Art, Zweck, Datenarten und betroffenen Personen ergeben sich aus Anlage 1, die technischen und organisatorischen Maßnahmen aus Anlage 2, die genehmigten Unterauftragsverarbeiter aus Anlage 3.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dies zur Erbringung der im Nutzungsvertrag beschriebenen Leistungen erforderlich ist. Gegenstand, Art und Zweck der Verarbeitung, die Art der Daten sowie die Kategorien betroffener Personen sind in Anlage 1 festgelegt.

(2) Die Dauer dieses Vertrages entspricht der Laufzeit des Nutzungsvertrages. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.

(3) Die Speicherung der Auftragsdaten erfolgt in Rechenzentren innerhalb der Europäischen Union (Region Frankfurt am Main). Die KI-gestützte Extraktion aus den hochgeladenen Dokumenten erfolgt demgegenüber stets in den Vereinigten Staaten von Amerika, da hierfür die API von Anthropic, PBC in Anspruch genommen wird. Diese Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Verschlüsselte Datensicherungen des Auftragsverarbeiters werden bei Dropbox, Inc. abgelegt (Anlage 3). Darüber hinaus kann bei den in Anlage 3 genannten Anbietern ein administrativer Zugriff aus den Vereinigten Staaten erfolgen; auch insoweit gelten die EU-Standardvertragsklauseln bzw. der Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Weitere Drittlandsbezüge bestehen nicht. Einzelheiten ergeben sich aus Anlage 3.

§ 2 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland (Art. 28 Abs. 3 lit. a DSGVO). Etwas anderes gilt nur, wenn der Auftragsverarbeiter durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der Funktionen des Dienstes durch den Verantwortlichen — insbesondere das Hochladen von Dokumenten, das Auslösen der Extraktion und die Übertragung an sevDesk — gilt als Einzelweisung im Rahmen dieses Vertrages.

(3) Weisungen in Textform sind an hello@selectedbyjoshualux.de zu richten. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Unterabs. 2 DSGVO). Die Parteien vereinbaren ergänzend, dass der Auftragsverarbeiter die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Verantwortlichen aussetzen darf.

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Vertraulichkeit: sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO), und dass ihm unterstellte Personen, die Zugang zu Auftragsdaten haben, diese ausschließlich auf Weisung des Verantwortlichen verarbeiten, sofern sie nicht nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet sind (Art. 29, Art. 32 Abs. 4 DSGVO);
• Datensicherheit: die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen und aufrechtzuerhalten (Anlage 2);
• Betroffenenrechte: den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei zu unterstützen, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst;
• Unterstützung: den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO zu unterstützen, insbesondere bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen (Art. 28 Abs. 3 lit. f DSGVO);
• Verzeichnis: ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen;
• Berichtigung und Löschung: personenbezogene Daten nur auf Weisung des Verantwortlichen zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken.

§ 4 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten, die die Auftragsdaten betrifft. Die kurze Frist trägt dem Umstand Rechnung, dass dem Verantwortlichen für seine eigene Meldung nach Art. 33 Abs. 1 DSGVO insgesamt nur 72 Stunden zur Verfügung stehen.

(2) Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Sind nicht alle Angaben sofort verfügbar, werden sie unverzüglich nachgereicht.

(3) Die Meldung an die Aufsichtsbehörde und gegebenenfalls an die betroffenen Personen obliegt dem Verantwortlichen.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO, weitere Auftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und werden hiermit genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens vier Wochen vor der Beauftragung in Textform. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen.

(3) Widerspricht der Verantwortliche und kann der Auftragsverarbeiter die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht mit zumutbarem Aufwand erbringen, steht beiden Parteien ein Sonderkündigungsrecht zum Zeitpunkt des Wirksamwerdens der Änderung zu.

(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten.

(5) Nicht als Unterauftragsverarbeitung im Sinne dieser Regelung gelten Nebenleistungen, die der Auftragsverarbeiter zur Unterstützung seiner Geschäftstätigkeit in Anspruch nimmt und bei denen kein Zugriff auf Auftragsdaten besteht.

§ 6 Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis erfolgt in erster Linie durch eine dokumentierte Selbstauskunft des Auftragsverarbeiters einschließlich einer aktuellen Darstellung der technischen und organisatorischen Maßnahmen. Ergänzend legt der Auftragsverarbeiter auf Anforderung die ihm vorliegenden Zertifikate, Testate oder Berichte unabhängiger Stellen zu den eingesetzten Unterauftragsverarbeitern (etwa ISO 27001 oder SOC 2) vor, soweit diese ihm zur Weitergabe zur Verfügung stehen.

(3) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung von mindestens zwei Wochen während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen. Sie sind auf das erforderliche Maß zu beschränken und finden in der Regel höchstens einmal jährlich statt; anlassbezogene Kontrollen bei konkretem Verdacht auf einen Verstoß bleiben hiervon unberührt.

§ 7 Löschung und Rückgabe nach Beendigung

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche Auftragsdaten oder gibt sie zurück und löscht die vorhandenen Kopien (Art. 28 Abs. 3 lit. g DSGVO). Trifft der Verantwortliche binnen 30 Tagen nach Vertragsende keine Wahl, werden die Daten gelöscht.

(2) Der Verantwortliche kann seine Daten jederzeit selbst über die Exportfunktion im Nutzerkonto in einem maschinenlesbaren Format herunterladen. Löscht der Verantwortliche sein Nutzerkonto, werden die Auftragsdaten sofort gelöscht; kündigt der Auftragsverarbeiter den Nutzungsvertrag, werden die Auftragsdaten (Lernbeispiele und hinterlegte API-Schlüssel) automatisiert spätestens 45 Tage nach Beendigung gelöscht und der Verantwortliche darüber informiert. Der Verantwortliche ist gehalten, benötigte Daten vorher zu exportieren.

(2a) In Datensicherungen enthaltene Auftragsdaten werden nicht gesondert gelöscht, sondern mit dem Auslaufen des jeweiligen Sicherungszyklus, spätestens innerhalb von 35 Tagen, überschrieben bzw. gelöscht. Eigene Sicherungen des Auftragsverarbeiters werden ausschließlich verschlüsselt abgelegt. Bis zur Löschung sind die enthaltenen Daten gegen jede weitere Verarbeitung gesperrt.

(3) Die Löschpflicht gilt nicht, soweit eine Pflicht zur Speicherung nach dem Recht der Union oder der Mitgliedstaaten besteht. Solche Daten werden für die weitere Verarbeitung gesperrt und nach Ablauf der gesetzlichen Aufbewahrungsfrist gelöscht.

§ 8 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Er stellt insbesondere sicher, dass für die Übermittlung der Daten an den Auftragsverarbeiter eine Rechtsgrundlage besteht.

(2) Der Verantwortliche darf über den Dienst keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und keine Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO verarbeiten. Der Dienst ist hierfür nicht ausgelegt.

(3) Der Verantwortliche verwahrt die ihm zugewiesenen Zugangsdaten sorgfältig und schützt sie vor dem Zugriff Dritter.

§ 9 Haftung und Schlussbestimmungen

(1) Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Nutzungsvertrages (§ 8 der AGB). Die Außenhaftung nach Art. 82 DSGVO gegenüber betroffenen Personen bleibt hiervon unberührt.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen in Fragen der Auftragsverarbeitung die Regelungen dieses Vertrages vor.

(3) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Gegenstand der Verarbeitung

Gegenstand und Art der Verarbeitung

Bereitstellung einer webbasierten Anwendung zur Extraktion von Positionsdaten aus PDF-Dokumenten mittels KI-Technologie und zur Übertragung der Ergebnisse als Entwurf in das vom Verantwortlichen betriebene sevDesk-Konto. Verarbeitungsvorgänge sind das Erheben, Erfassen, Auslesen, Speichern, Verwenden, Übermitteln und Löschen.

Zweck der Verarbeitung

Automatisierte Vorerfassung von Angebots- und Rechnungspositionen zur Entlastung des Verantwortlichen von manueller Dateneingabe.

Art der personenbezogenen Daten

• Stammdaten aus hochgeladenen Dokumenten (Name, Anschrift, Kontaktdaten von Lieferanten, Kunden und Ansprechpartnern)
• Vertrags- und Positionsdaten (Leistungsbeschreibungen, Mengen, Preise, Belegnummern, Datumsangaben)
• Kommunikations- und Korrespondenzdaten, soweit in den Dokumenten enthalten
• Über die sevDesk-Schnittstelle abgerufene Kunden- und Belegdaten des Verantwortlichen

Kategorien betroffener Personen

• Kunden und Interessenten des Verantwortlichen
• Lieferanten und deren Beschäftigte
• Beschäftigte und Ansprechpartner des Verantwortlichen

Dauer

Für die Laufzeit des Nutzungsvertrages. Hochgeladene Dokumente werden nicht dauerhaft gespeichert, sondern nach der Extraktion verworfen. Gespeicherte Lernbeispiele bestehen bis zu ihrer Löschung durch den Verantwortlichen oder bis zur Beendigung des Vertrages.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Die Verarbeitung erfolgt ausschließlich in zertifizierten Rechenzentren der eingesetzten Cloud-Anbieter (Anlage 3). Eigene Serverräume werden nicht betrieben.
• Zugangskontrolle: Zugriff auf die Anwendung nur nach Authentifizierung mit E-Mail und Passwort; Passwörter werden ausschließlich als bcrypt-Hash (Kostenfaktor 12) gespeichert und beim Setzen gegen bekannte Datenlecks geprüft. Jedes Konto kann einen zweiten Faktor (TOTP) aktivieren; für administrative Zugänge zur Anwendung ist er verpflichtend. Sitzungen laufen nach 7 Tagen Inaktivität ab und werden bei Passwortänderung, Adresswechsel und Sperre sofort ungültig. Fehlversuche werden je Adresse und je Konto gedrosselt.
• Zugriffskontrolle: Strikte Mandantentrennung in der Anwendung — jede Datenbankabfrage ist auf die Kennung des angemeldeten Nutzers eingeschränkt; der Zugriff der Anwendung auf die Datenbank erfolgt ausschließlich über eine Zugangs-Kennung, die außerhalb der Anwendung nicht verwendet wird. Die Datenbank-Schnittstelle des Hosting-Anbieters (REST-API) ist durch Row Level Security für Fremdzugriffe gesperrt. Administrative Funktionen sind auf eine ausdrücklich hinterlegte Liste von Konten beschränkt und protokolliert.
• Trennungskontrolle: Logische Trennung der Daten je Nutzerkonto. Entwicklung und Test erfolgen ohne Zugriff auf Auftragsdaten der Verantwortlichen; Datenbankzugriffe zu Wartungszwecken sind auf die Geschäftsführung beschränkt und werden nur verschlüsselt ausgeführt.
• Pseudonymisierung und Verschlüsselung: Hinterlegte API-Schlüssel und Zwei-Faktor-Geheimnisse werden mit AES-256-GCM verschlüsselt gespeichert und nur serverseitig entschlüsselt. Bestätigungs-, Zurücksetzungs- und Rückgängig-Token werden ausschließlich als SHA-256-Hash gespeichert. Eigene Datensicherungen werden vor der Ablage verschlüsselt.

Integrität

• Weitergabekontrolle: Sämtliche Datenübertragungen erfolgen ausschließlich TLS-verschlüsselt (HTTPS mit HSTS), auch zwischen Anwendung und Datenbank. Übertragungen an Unterauftragsverarbeiter erfolgen über verschlüsselte API-Verbindungen.
• Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge (Registrierung, Bestätigung der E-Mail-Adresse, Passwortänderung, Adresswechsel, Abonnementänderungen, administrative Eingriffe) mit Zeitstempel.
• Validierung: Serverseitige Prüfung aller Eingaben mit Längen- und Formatgrenzen; Herkunftsprüfung zustandsändernder Anfragen; signaturgeprüfte Verarbeitung eingehender Zahlungs-Webhooks; Browser-Sicherheitsrichtlinie (Content Security Policy) mit Verstoßmeldung.

Verfügbarkeit und Belastbarkeit

• Betrieb auf redundanter Cloud-Infrastruktur mit automatischer Skalierung.
• Regelmäßige, automatisierte Sicherung der Datenbank durch den Datenbank-Anbieter; zusätzlich eigene verschlüsselte Sicherungen mit begrenzter Aufbewahrung (§ 7 Abs. 2a).
• Begrenzung der Zugriffsversuche (Rate-Limiting) auf sicherheitsrelevanten Endpunkten zur Abwehr von Überlastungs- und Brute-Force-Angriffen.
• Überwachung der Betriebsbereitschaft über einen Statusendpunkt.

Verfahren zur Überprüfung und Bewertung

• Regelmäßige Aktualisierung eingesetzter Softwarekomponenten und automatisierte Prüfung auf bekannte Schwachstellen in Abhängigkeiten.
• Sicherheitsüberprüfung des Quellcodes vor Veröffentlichung wesentlicher Änderungen.
• Datenschutzfreundliche Voreinstellungen: Dokumente werden nicht dauerhaft gespeichert; es werden keine Tracking- oder Analysedienste eingesetzt.
• Auftragskontrolle: Verarbeitung ausschließlich weisungsgebunden; schriftliche Vereinbarungen mit allen Unterauftragsverarbeitern.

Der Auftragsverarbeiter darf die Maßnahmen an den Stand der Technik anpassen, soweit dies für den Verantwortlichen zumutbar ist und das vereinbarte Schutzniveau nicht unterschritten wird. Die jeweils aktuelle Fassung dieser Anlage ist auf dieser Seite abrufbar. Über wesentliche Änderungen informiert der Auftragsverarbeiter den Verantwortlichen in Textform.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Die folgenden Unterauftragsverarbeiter verarbeiten Auftragsdaten im Sinne dieses Vertrages:

Hinweis zu Anthropic: Hat der Verantwortliche einen eigenen Anthropic-API-Schlüssel im Nutzerkonto hinterlegt – im Tarif Business verpflichtend, in den übrigen Tarifen freiwillig –, erfolgt der Aufruf der Anthropic-API mit diesem Schlüssel. In diesem Fall ist Anthropic Auftragsverarbeiter des Verantwortlichen; der Abschluss eines eigenen Auftragsverarbeitungsvertrages mit Anthropic obliegt dem Verantwortlichen. Der Auftragsverarbeiter übernimmt insoweit keine Gewähr für die Vertragsbedingungen zwischen dem Verantwortlichen und Anthropic. Ist kein eigener Schlüssel hinterlegt, erfolgt der Aufruf über den Zugang des Auftragsverarbeiters; Anthropic ist dann Unterauftragsverarbeiter des Auftragsverarbeiters nach Anlage 3, und es gilt der zwischen dem Auftragsverarbeiter und Anthropic geschlossene Auftragsverarbeitungsvertrag.

Die vorgenannten Unterauftragsverarbeiter setzen ihrerseits Unterauftragsverarbeiter ein, insbesondere Amazon Web Services für den Rechenzentrumsbetrieb. Die jeweils aktuellen Listen sind über die Datenschutzseiten der genannten Anbieter abrufbar.

Daneben setzt der Auftragsverarbeiter für seinen eigenen Geschäftsbetrieb Dienstleister ein, die keine Auftragsdaten im Sinne dieses Vertrages verarbeiten, sondern ausschließlich Konto-, Abrechnungs- und Protokolldaten, für die die Lux Selected GmbH selbst Verantwortliche ist:

• Resend, Inc. (Versand von System-E-Mails; EU-Region Irland) — Auftragsverarbeiter der Lux Selected GmbH;
• Upstash, Inc. (Zwischenspeicher für Missbrauchsschutz; EU-Region Frankfurt) — Auftragsverarbeiter der Lux Selected GmbH;
• Stripe Payments Europe, Ltd. (Zahlungsabwicklung) — für die Zahlungsabwicklung eigenständig Verantwortliche.

Einzelheiten hierzu enthält die Datenschutzerklärung.

Stand: September 2026