← Zurück zur Startseite

Auftragsverarbeitungsvertrag (AVV)

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO

Vertragsparteien und Zustandekommen

Dieser Auftragsverarbeitungsvertrag wird geschlossen zwischen

dem Nutzerdes Dienstes „Tippstopp“ — nachfolgend „Verantwortlicher“ — und der

Lux Selected GmbH, Taunusstraße 14, 65183 Wiesbaden, eingetragen im Handelsregister des Amtsgerichts Wiesbaden unter HRB 36491, vertreten durch den Geschäftsführer Joshua Lux — nachfolgend „Auftragsverarbeiter“.

Dieser Vertrag wird mit dem Zustandekommen des Nutzungsvertrages nach § 3 der AGB automatisch einbezogen und bedarf keiner gesonderten Unterzeichnung. Auf Anforderung an hello@selectedbyjoshualux.de stellt der Auftragsverarbeiter eine unterzeichnete Ausfertigung in Textform zur Verfügung.

Die konkreten Angaben zu Gegenstand, Art, Zweck, Datenarten und betroffenen Personen ergeben sich aus Anlage 1, die technischen und organisatorischen Maßnahmen aus Anlage 2, die genehmigten Unterauftragsverarbeiter aus Anlage 3.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dies zur Erbringung der im Nutzungsvertrag beschriebenen Leistungen erforderlich ist. Gegenstand, Art und Zweck der Verarbeitung, die Art der Daten sowie die Kategorien betroffener Personen sind in Anlage 1 festgelegt.

(2) Die Dauer dieses Vertrages entspricht der Laufzeit des Nutzungsvertrages. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.

(3) Die Speicherung der Auftragsdaten erfolgt in Rechenzentren innerhalb der Europäischen Union (Region Frankfurt am Main). Die KI-gestützte Extraktion aus den hochgeladenen Dokumenten erfolgt demgegenüber stets in den Vereinigten Staaten von Amerika, da hierfür die API von Anthropic, PBC in Anspruch genommen wird. Diese Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Darüber hinaus kann bei den in Anlage 3 genannten Anbietern ein administrativer Zugriff aus den Vereinigten Staaten erfolgen; auch insoweit gelten die EU-Standardvertragsklauseln. Weitere Drittlandsbezüge bestehen nicht. Einzelheiten ergeben sich aus Anlage 3.

§ 2 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland (Art. 28 Abs. 3 lit. a DSGVO). Etwas anderes gilt nur, wenn der Auftragsverarbeiter durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der Funktionen des Dienstes durch den Verantwortlichen — insbesondere das Hochladen von Dokumenten, das Auslösen der Extraktion und die Übertragung an sevDesk — gilt als Einzelweisung im Rahmen dieses Vertrages.

(3) Weisungen in Textform sind an hello@selectedbyjoshualux.de zu richten. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Unterabs. 2 DSGVO). Die Parteien vereinbaren ergänzend, dass der Auftragsverarbeiter die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Verantwortlichen aussetzen darf.

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

  • Vertraulichkeit: sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO), und dass ihm unterstellte Personen, die Zugang zu Auftragsdaten haben, diese ausschließlich auf Weisung des Verantwortlichen verarbeiten, sofern sie nicht nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet sind (Art. 29, Art. 32 Abs. 4 DSGVO);
  • Datensicherheit: die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen und aufrechtzuerhalten (Anlage 2);
  • Betroffenenrechte: den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei zu unterstützen, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst;
  • Unterstützung: den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO zu unterstützen, insbesondere bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen (Art. 28 Abs. 3 lit. f DSGVO);
  • Verzeichnis: ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen;
  • Berichtigung und Löschung: personenbezogene Daten nur auf Weisung des Verantwortlichen zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken.

§ 4 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten, die die Auftragsdaten betrifft. Die kurze Frist trägt dem Umstand Rechnung, dass dem Verantwortlichen für seine eigene Meldung nach Art. 33 Abs. 1 DSGVO insgesamt nur 72 Stunden zur Verfügung stehen.

(2) Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Sind nicht alle Angaben sofort verfügbar, werden sie unverzüglich nachgereicht.

(3) Die Meldung an die Aufsichtsbehörde und gegebenenfalls an die betroffenen Personen obliegt dem Verantwortlichen.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO, weitere Auftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und werden hiermit genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens vier Wochen vor der Beauftragung in Textform. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen.

(3) Widerspricht der Verantwortliche und kann der Auftragsverarbeiter die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht mit zumutbarem Aufwand erbringen, steht beiden Parteien ein Sonderkündigungsrecht zum Zeitpunkt des Wirksamwerdens der Änderung zu.

(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten.

(5) Nicht als Unterauftragsverarbeitung im Sinne dieser Regelung gelten Nebenleistungen, die der Auftragsverarbeiter zur Unterstützung seiner Geschäftstätigkeit in Anspruch nimmt und bei denen kein Zugriff auf Auftragsdaten besteht.

§ 6 Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis erfolgt in erster Linie durch eine dokumentierte Selbstauskunft des Auftragsverarbeiters einschließlich einer aktuellen Darstellung der technischen und organisatorischen Maßnahmen. Ergänzend legt der Auftragsverarbeiter auf Anforderung die ihm vorliegenden Zertifikate, Testate oder Berichte unabhängiger Stellen zu den eingesetzten Unterauftragsverarbeitern (etwa ISO 27001 oder SOC 2) vor, soweit diese ihm zur Weitergabe zur Verfügung stehen.

(3) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung von mindestens zwei Wochen während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen. Sie sind auf das erforderliche Maß zu beschränken und finden in der Regel höchstens einmal jährlich statt; anlassbezogene Kontrollen bei konkretem Verdacht auf einen Verstoß bleiben hiervon unberührt.

§ 7 Löschung und Rückgabe nach Beendigung

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche Auftragsdaten oder gibt sie zurück und löscht die vorhandenen Kopien (Art. 28 Abs. 3 lit. g DSGVO). Trifft der Verantwortliche binnen 30 Tagen nach Vertragsende keine Wahl, werden die Daten gelöscht.

(2) Der Verantwortliche kann seine Daten jederzeit selbst über die Exportfunktion im Nutzerkonto in einem maschinenlesbaren Format herunterladen. Löscht der Verantwortliche sein Nutzerkonto, werden die Auftragsdaten sofort gelöscht; im Übrigen erfolgt die Löschung unverzüglich nach Ablauf der Wahlfrist nach Absatz 1, spätestens 45 Tage nach Beendigung des Nutzungsvertrages. Der Verantwortliche ist gehalten, benötigte Daten vorher zu exportieren.

(2a) In Datensicherungen enthaltene Auftragsdaten werden nicht gesondert gelöscht, sondern mit dem Auslaufen des jeweiligen Sicherungszyklus, spätestens innerhalb von 35 Tagen, überschrieben. Bis dahin sind sie gegen jede weitere Verarbeitung gesperrt.

(3) Die Löschpflicht gilt nicht, soweit eine Pflicht zur Speicherung nach dem Recht der Union oder der Mitgliedstaaten besteht. Solche Daten werden für die weitere Verarbeitung gesperrt und nach Ablauf der gesetzlichen Aufbewahrungsfrist gelöscht.

§ 8 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Er stellt insbesondere sicher, dass für die Übermittlung der Daten an den Auftragsverarbeiter eine Rechtsgrundlage besteht.

(2) Der Verantwortliche darf über den Dienst keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und keine Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO verarbeiten. Der Dienst ist hierfür nicht ausgelegt.

(3) Der Verantwortliche verwahrt die ihm zugewiesenen Zugangsdaten sorgfältig und schützt sie vor dem Zugriff Dritter.

§ 9 Haftung und Schlussbestimmungen

(1) Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Nutzungsvertrages (§ 8 der AGB). Die Außenhaftung nach Art. 82 DSGVO gegenüber betroffenen Personen bleibt hiervon unberührt.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen in Fragen der Auftragsverarbeitung die Regelungen dieses Vertrages vor.

(3) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.


Anlage 1 — Gegenstand der Verarbeitung

Gegenstand und Art der Verarbeitung

Bereitstellung einer webbasierten Anwendung zur Extraktion von Positionsdaten aus PDF-Dokumenten mittels KI-Technologie und zur Übertragung der Ergebnisse als Entwurf in das vom Verantwortlichen betriebene sevDesk-Konto. Verarbeitungsvorgänge sind das Erheben, Erfassen, Auslesen, Speichern, Verwenden, Übermitteln und Löschen.

Zweck der Verarbeitung

Automatisierte Vorerfassung von Angebots- und Rechnungspositionen zur Entlastung des Verantwortlichen von manueller Dateneingabe.

Art der personenbezogenen Daten

  • Stammdaten aus hochgeladenen Dokumenten (Name, Anschrift, Kontaktdaten von Lieferanten, Kunden und Ansprechpartnern)
  • Vertrags- und Positionsdaten (Leistungsbeschreibungen, Mengen, Preise, Belegnummern, Datumsangaben)
  • Kommunikations- und Korrespondenzdaten, soweit in den Dokumenten enthalten
  • Über die sevDesk-Schnittstelle abgerufene Kunden- und Belegdaten des Verantwortlichen

Kategorien betroffener Personen

  • Kunden und Interessenten des Verantwortlichen
  • Lieferanten und deren Beschäftigte
  • Beschäftigte und Ansprechpartner des Verantwortlichen

Dauer

Für die Laufzeit des Nutzungsvertrages. Hochgeladene Dokumente werden nicht dauerhaft gespeichert, sondern nach der Extraktion verworfen. Gespeicherte Lernbeispiele bestehen bis zu ihrer Löschung durch den Verantwortlichen oder bis zur Beendigung des Vertrages.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

  • Zutrittskontrolle: Die Verarbeitung erfolgt ausschließlich in zertifizierten Rechenzentren der eingesetzten Cloud-Anbieter (Anlage 3). Eigene Serverräume werden nicht betrieben.
  • Zugangskontrolle: Zugriff auf die Anwendung nur nach Authentifizierung mit E-Mail und Passwort; Passwörter werden ausschließlich als bcrypt-Hash (Kostenfaktor 12) gespeichert. Sitzungen laufen nach 7 Tagen Inaktivität ab und werden bei Passwortänderung sofort ungültig. Administrative Zugänge zu den Anbieterkonsolen sind durch Zwei-Faktor-Authentifizierung geschützt.
  • Zugriffskontrolle: Strikte Mandantentrennung — jede Datenbankabfrage ist auf die Kennung des angemeldeten Nutzers eingeschränkt. Auf Datenbankebene ist zusätzlich Row Level Security aktiviert. Administrative Funktionen sind auf eine ausdrücklich hinterlegte Liste von Konten beschränkt.
  • Trennungskontrolle: Logische Trennung der Daten je Nutzerkonto; getrennte Umgebungen für Entwicklung und Produktion.
  • Pseudonymisierung und Verschlüsselung: Hinterlegte API-Schlüssel werden mit AES-256-GCM verschlüsselt gespeichert und nur serverseitig entschlüsselt. Bestätigungs- und Zurücksetzungstoken werden ausschließlich als SHA-256-Hash gespeichert.

Integrität

  • Weitergabekontrolle: Sämtliche Datenübertragungen erfolgen ausschließlich TLS-verschlüsselt (HTTPS). Übertragungen an Unterauftragsverarbeiter erfolgen über verschlüsselte API-Verbindungen.
  • Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge (Registrierung, Bestätigung der E-Mail-Adresse, Passwortänderung, Abonnementänderungen) mit Zeitstempel.
  • Validierung: Serverseitige Prüfung aller Eingaben; signaturgeprüfte Verarbeitung eingehender Zahlungs-Webhooks.

Verfügbarkeit und Belastbarkeit

  • Betrieb auf redundanter Cloud-Infrastruktur mit automatischer Skalierung.
  • Regelmäßige, automatisierte Sicherung der Datenbank durch den Datenbank-Anbieter.
  • Begrenzung der Zugriffsversuche (Rate-Limiting) auf sicherheitsrelevanten Endpunkten zur Abwehr von Überlastungs- und Brute-Force-Angriffen.
  • Überwachung der Betriebsbereitschaft über einen Statusendpunkt.

Verfahren zur Überprüfung und Bewertung

  • Regelmäßige Aktualisierung eingesetzter Softwarekomponenten und automatisierte Prüfung auf bekannte Schwachstellen in Abhängigkeiten.
  • Sicherheitsüberprüfung des Quellcodes vor Veröffentlichung wesentlicher Änderungen.
  • Datenschutzfreundliche Voreinstellungen: Dokumente werden nicht dauerhaft gespeichert; es werden keine Tracking- oder Analysedienste eingesetzt.
  • Auftragskontrolle: Verarbeitung ausschließlich weisungsgebunden; schriftliche Vereinbarungen mit allen Unterauftragsverarbeitern.

Der Auftragsverarbeiter darf die Maßnahmen an den Stand der Technik anpassen, soweit dies für den Verantwortlichen zumutbar ist und das vereinbarte Schutzniveau nicht unterschritten wird. Die jeweils aktuelle Fassung dieser Anlage ist auf dieser Seite abrufbar. Über wesentliche Änderungen informiert der Auftragsverarbeiter den Verantwortlichen in Textform.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Die folgenden Unterauftragsverarbeiter verarbeiten Auftragsdaten im Sinne dieses Vertrages:

UnternehmenLeistungOrt der VerarbeitungGrundlage Drittland
Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USAAnwendungs-Hosting, Ausführung der VerarbeitungEU (Frankfurt)EU-Standardvertragsklauseln / DPA
Supabase Inc., USADatenbank-Hosting (PostgreSQL), Speicherung der LernbeispieleEU (AWS Frankfurt)EU-Standardvertragsklauseln / DPA
Anthropic, PBC, 548 Market St PMB 90375, San Francisco, CA 94104, USAKI-gestützte Extraktion von PositionsdatenUSAEU-Standardvertragsklauseln / DPA

Hinweis zu Anthropic: In den Tarifen Professional und Business erfolgt der Aufruf der Anthropic-API mit dem vom Verantwortlichen selbst hinterlegten API-Schlüssel. In diesem Fall ist Anthropic Auftragsverarbeiter des Verantwortlichen; der Abschluss eines eigenen Auftragsverarbeitungsvertrages mit Anthropic obliegt dem Verantwortlichen. Der Auftragsverarbeiter übernimmt insoweit keine Gewähr für die Vertragsbedingungen zwischen dem Verantwortlichen und Anthropic.

Die vorgenannten Unterauftragsverarbeiter setzen ihrerseits Unterauftragsverarbeiter ein, insbesondere Amazon Web Services für den Rechenzentrumsbetrieb. Die jeweils aktuellen Listen sind über die Datenschutzseiten der genannten Anbieter abrufbar.

Daneben setzt der Auftragsverarbeiter für seinen eigenen Geschäftsbetrieb Dienstleister ein, die keine Auftragsdaten im Sinne dieses Vertrages verarbeiten, sondern ausschließlich Konto-, Abrechnungs- und Protokolldaten, für die die Lux Selected GmbH selbst Verantwortliche ist:

  • Resend, Inc. (Versand von System-E-Mails) — Auftragsverarbeiter der Lux Selected GmbH;
  • Upstash, Inc. (Zwischenspeicher für Missbrauchsschutz) — Auftragsverarbeiter der Lux Selected GmbH;
  • Stripe Payments Europe, Ltd. (Zahlungsabwicklung) — für die Zahlungsabwicklung eigenständig Verantwortliche.

Einzelheiten hierzu enthält die Datenschutzerklärung.

Stand: August 2026