Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO
Dieser Auftragsverarbeitungsvertrag wird geschlossen zwischen
dem Nutzerdes Dienstes „Tippstopp“ — nachfolgend „Verantwortlicher“ — und der
Lux Selected GmbH, Taunusstraße 14, 65183 Wiesbaden, eingetragen im Handelsregister des Amtsgerichts Wiesbaden unter HRB 36491, vertreten durch den Geschäftsführer Joshua Lux — nachfolgend „Auftragsverarbeiter“.
Dieser Vertrag wird mit dem Zustandekommen des Nutzungsvertrages nach § 3 der AGB automatisch einbezogen und bedarf keiner gesonderten Unterzeichnung. Auf Anforderung an hello@selectedbyjoshualux.de stellt der Auftragsverarbeiter eine unterzeichnete Ausfertigung in Textform zur Verfügung.
Die konkreten Angaben zu Gegenstand, Art, Zweck, Datenarten und betroffenen Personen ergeben sich aus Anlage 1, die technischen und organisatorischen Maßnahmen aus Anlage 2, die genehmigten Unterauftragsverarbeiter aus Anlage 3.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dies zur Erbringung der im Nutzungsvertrag beschriebenen Leistungen erforderlich ist. Gegenstand, Art und Zweck der Verarbeitung, die Art der Daten sowie die Kategorien betroffener Personen sind in Anlage 1 festgelegt.
(2) Die Dauer dieses Vertrages entspricht der Laufzeit des Nutzungsvertrages. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.
(3) Die Speicherung der Auftragsdaten erfolgt in Rechenzentren innerhalb der Europäischen Union (Region Frankfurt am Main). Die KI-gestützte Extraktion aus den hochgeladenen Dokumenten erfolgt demgegenüber stets in den Vereinigten Staaten von Amerika, da hierfür die API von Anthropic, PBC in Anspruch genommen wird. Diese Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Darüber hinaus kann bei den in Anlage 3 genannten Anbietern ein administrativer Zugriff aus den Vereinigten Staaten erfolgen; auch insoweit gelten die EU-Standardvertragsklauseln. Weitere Drittlandsbezüge bestehen nicht. Einzelheiten ergeben sich aus Anlage 3.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland (Art. 28 Abs. 3 lit. a DSGVO). Etwas anderes gilt nur, wenn der Auftragsverarbeiter durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Die Nutzung der Funktionen des Dienstes durch den Verantwortlichen — insbesondere das Hochladen von Dokumenten, das Auslösen der Extraktion und die Übertragung an sevDesk — gilt als Einzelweisung im Rahmen dieses Vertrages.
(3) Weisungen in Textform sind an hello@selectedbyjoshualux.de zu richten. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Unterabs. 2 DSGVO). Die Parteien vereinbaren ergänzend, dass der Auftragsverarbeiter die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Verantwortlichen aussetzen darf.
Der Auftragsverarbeiter verpflichtet sich:
(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten, die die Auftragsdaten betrifft. Die kurze Frist trägt dem Umstand Rechnung, dass dem Verantwortlichen für seine eigene Meldung nach Art. 33 Abs. 1 DSGVO insgesamt nur 72 Stunden zur Verfügung stehen.
(2) Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Sind nicht alle Angaben sofort verfügbar, werden sie unverzüglich nachgereicht.
(3) Die Meldung an die Aufsichtsbehörde und gegebenenfalls an die betroffenen Personen obliegt dem Verantwortlichen.
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO, weitere Auftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und werden hiermit genehmigt.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens vier Wochen vor der Beauftragung in Textform. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen.
(3) Widerspricht der Verantwortliche und kann der Auftragsverarbeiter die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht mit zumutbarem Aufwand erbringen, steht beiden Parteien ein Sonderkündigungsrecht zum Zeitpunkt des Wirksamwerdens der Änderung zu.
(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten.
(5) Nicht als Unterauftragsverarbeitung im Sinne dieser Regelung gelten Nebenleistungen, die der Auftragsverarbeiter zur Unterstützung seiner Geschäftstätigkeit in Anspruch nimmt und bei denen kein Zugriff auf Auftragsdaten besteht.
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).
(2) Der Nachweis erfolgt in erster Linie durch eine dokumentierte Selbstauskunft des Auftragsverarbeiters einschließlich einer aktuellen Darstellung der technischen und organisatorischen Maßnahmen. Ergänzend legt der Auftragsverarbeiter auf Anforderung die ihm vorliegenden Zertifikate, Testate oder Berichte unabhängiger Stellen zu den eingesetzten Unterauftragsverarbeitern (etwa ISO 27001 oder SOC 2) vor, soweit diese ihm zur Weitergabe zur Verfügung stehen.
(3) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung von mindestens zwei Wochen während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen. Sie sind auf das erforderliche Maß zu beschränken und finden in der Regel höchstens einmal jährlich statt; anlassbezogene Kontrollen bei konkretem Verdacht auf einen Verstoß bleiben hiervon unberührt.
(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche Auftragsdaten oder gibt sie zurück und löscht die vorhandenen Kopien (Art. 28 Abs. 3 lit. g DSGVO). Trifft der Verantwortliche binnen 30 Tagen nach Vertragsende keine Wahl, werden die Daten gelöscht.
(2) Der Verantwortliche kann seine Daten jederzeit selbst über die Exportfunktion im Nutzerkonto in einem maschinenlesbaren Format herunterladen. Löscht der Verantwortliche sein Nutzerkonto, werden die Auftragsdaten sofort gelöscht; im Übrigen erfolgt die Löschung unverzüglich nach Ablauf der Wahlfrist nach Absatz 1, spätestens 45 Tage nach Beendigung des Nutzungsvertrages. Der Verantwortliche ist gehalten, benötigte Daten vorher zu exportieren.
(2a) In Datensicherungen enthaltene Auftragsdaten werden nicht gesondert gelöscht, sondern mit dem Auslaufen des jeweiligen Sicherungszyklus, spätestens innerhalb von 35 Tagen, überschrieben. Bis dahin sind sie gegen jede weitere Verarbeitung gesperrt.
(3) Die Löschpflicht gilt nicht, soweit eine Pflicht zur Speicherung nach dem Recht der Union oder der Mitgliedstaaten besteht. Solche Daten werden für die weitere Verarbeitung gesperrt und nach Ablauf der gesetzlichen Aufbewahrungsfrist gelöscht.
(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Er stellt insbesondere sicher, dass für die Übermittlung der Daten an den Auftragsverarbeiter eine Rechtsgrundlage besteht.
(2) Der Verantwortliche darf über den Dienst keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und keine Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO verarbeiten. Der Dienst ist hierfür nicht ausgelegt.
(3) Der Verantwortliche verwahrt die ihm zugewiesenen Zugangsdaten sorgfältig und schützt sie vor dem Zugriff Dritter.
(1) Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Nutzungsvertrages (§ 8 der AGB). Die Außenhaftung nach Art. 82 DSGVO gegenüber betroffenen Personen bleibt hiervon unberührt.
(2) Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen in Fragen der Auftragsverarbeitung die Regelungen dieses Vertrages vor.
(3) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(4) Es gilt das Recht der Bundesrepublik Deutschland.
Bereitstellung einer webbasierten Anwendung zur Extraktion von Positionsdaten aus PDF-Dokumenten mittels KI-Technologie und zur Übertragung der Ergebnisse als Entwurf in das vom Verantwortlichen betriebene sevDesk-Konto. Verarbeitungsvorgänge sind das Erheben, Erfassen, Auslesen, Speichern, Verwenden, Übermitteln und Löschen.
Automatisierte Vorerfassung von Angebots- und Rechnungspositionen zur Entlastung des Verantwortlichen von manueller Dateneingabe.
Für die Laufzeit des Nutzungsvertrages. Hochgeladene Dokumente werden nicht dauerhaft gespeichert, sondern nach der Extraktion verworfen. Gespeicherte Lernbeispiele bestehen bis zu ihrer Löschung durch den Verantwortlichen oder bis zur Beendigung des Vertrages.
Der Auftragsverarbeiter darf die Maßnahmen an den Stand der Technik anpassen, soweit dies für den Verantwortlichen zumutbar ist und das vereinbarte Schutzniveau nicht unterschritten wird. Die jeweils aktuelle Fassung dieser Anlage ist auf dieser Seite abrufbar. Über wesentliche Änderungen informiert der Auftragsverarbeiter den Verantwortlichen in Textform.
Die folgenden Unterauftragsverarbeiter verarbeiten Auftragsdaten im Sinne dieses Vertrages:
| Unternehmen | Leistung | Ort der Verarbeitung | Grundlage Drittland |
|---|---|---|---|
| Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA | Anwendungs-Hosting, Ausführung der Verarbeitung | EU (Frankfurt) | EU-Standardvertragsklauseln / DPA |
| Supabase Inc., USA | Datenbank-Hosting (PostgreSQL), Speicherung der Lernbeispiele | EU (AWS Frankfurt) | EU-Standardvertragsklauseln / DPA |
| Anthropic, PBC, 548 Market St PMB 90375, San Francisco, CA 94104, USA | KI-gestützte Extraktion von Positionsdaten | USA | EU-Standardvertragsklauseln / DPA |
Hinweis zu Anthropic: In den Tarifen Professional und Business erfolgt der Aufruf der Anthropic-API mit dem vom Verantwortlichen selbst hinterlegten API-Schlüssel. In diesem Fall ist Anthropic Auftragsverarbeiter des Verantwortlichen; der Abschluss eines eigenen Auftragsverarbeitungsvertrages mit Anthropic obliegt dem Verantwortlichen. Der Auftragsverarbeiter übernimmt insoweit keine Gewähr für die Vertragsbedingungen zwischen dem Verantwortlichen und Anthropic.
Die vorgenannten Unterauftragsverarbeiter setzen ihrerseits Unterauftragsverarbeiter ein, insbesondere Amazon Web Services für den Rechenzentrumsbetrieb. Die jeweils aktuellen Listen sind über die Datenschutzseiten der genannten Anbieter abrufbar.
Daneben setzt der Auftragsverarbeiter für seinen eigenen Geschäftsbetrieb Dienstleister ein, die keine Auftragsdaten im Sinne dieses Vertrages verarbeiten, sondern ausschließlich Konto-, Abrechnungs- und Protokolldaten, für die die Lux Selected GmbH selbst Verantwortliche ist:
Einzelheiten hierzu enthält die Datenschutzerklärung.
Stand: August 2026