Auftragsverarbeitungsvertrag

Fassung vom 05.10.2026

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch In Digital Form GmbH (Auftragsverarbeiter) für den Betrieb, der Handled nutzt (Verantwortlicher), nach Art. 28 DSGVO. Er wird gemeinsam mit dem Hauptvertrag geschlossen und gilt für dessen gesamte Laufzeit.

1. Gegenstand und Dauer

Gegenstand ist die Vorerfassung von Belegen und die damit verbundenen Bürofunktionen, wie sie im Hauptvertrag beschrieben sind. Die Verarbeitung beginnt mit der Bereitstellung des Zugangs und endet mit der Beendigung des Hauptvertrags. Einzelheiten zu Art, Zweck, Datenarten und betroffenen Personen enthält Anlage 1.

2. Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen erfolgen in Textform an office@indigitalform.com; die Nutzung der Anwendung selbst gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung aussetzen.

3. Pflichten des Auftragsverarbeiters

Die Verarbeitung findet innerhalb der Europäischen Union statt, mit Ausnahme der in Anlage 3 genannten Fälle.
Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet; diese Pflicht besteht nach Beendigung ihrer Tätigkeit fort.
Es werden die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO getroffen und dem Stand der Technik entsprechend fortgeschrieben; eine Änderung darf das Schutzniveau nicht unterschreiten.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO. Richtet sich ein Antrag unmittelbar an den Auftragsverarbeiter, leitet er ihn unverzüglich weiter und beantwortet ihn nicht selbst.
Er unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Art. 35 und 36 DSGVO, soweit die Informationen nur ihm vorliegen.
Er führt ein Verzeichnis der im Auftrag durchgeführten Verarbeitungen nach Art. 30 Abs. 2 DSGVO.

4. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, in Textform. Die Meldung beschreibt die Art der Verletzung, die betroffenen Datenarten, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Verantwortlichen.

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter. Weitere oder andere werden mindestens 30 Tage vor ihrem Einsatz in Textform angekündigt; der Verantwortliche kann innerhalb dieser Frist widersprechen und den Hauptvertrag außerordentlich kündigen, wenn dem Widerspruch nicht entsprochen wird. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Pflichten, die diesem Vertrag entsprechen.

6. Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung. Der Verantwortliche kann sich nach Ankündigung mit angemessener Frist, höchstens einmal jährlich und zu üblichen Geschäftszeiten, vor Ort vom Einhalten überzeugen; er trägt die eigenen Kosten. Prüfungen dürfen den Betriebsablauf nicht unangemessen stören und keine Daten anderer Kunden offenlegen.

7. Löschung und Rückgabe

Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen zurück oder löscht sie. Die Rückgabe erfolgt in einem strukturierten, gängigen Format. Danach werden die Daten aus den laufenden Systemen gelöscht; aus Sicherungskopien entfallen sie mit deren Ablauf nach dem in Anlage 2 genannten Aufbewahrungsrhythmus. Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt; die Aufbewahrungspflichten des Verantwortlichen nach § 132 BAO und § 147 AO betreffen dessen eigene Unterlagen und sind von ihm zu erfüllen.

8. Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor. Änderungen bedürfen der Textform. Es gilt österreichisches Recht unter Ausschluss des Kollisionsrechts; Gerichtsstand ist Salzburg, soweit zwingende Vorschriften nicht entgegenstehen. Die Unwirksamkeit einzelner Bestimmungen berührt die übrigen nicht.

Anlage 1 — Gegenstand der Verarbeitung

Art und Zweck: Abholen von Belegen aus angebundenen Quellen (Postfach, Laufwerk) und aus Uploads, Auslesen des Textes einschließlich Texterkennung bei Scans, Vorschlag einer Zuordnung, Bestätigung durch einen Menschen, Übergabe an die Steuerberatung; Einspielen von Kontoumsätzen aus Dateien und deren regelbasierte Zuordnung zu Belegen; dazu die Bürofunktionen Kontakte, Aufgaben, Arbeitszeiten, Termine, Lohnverrechnung und Assistent.

Kategorien betroffener Personen:

Beschäftigte des Verantwortlichen (Nutzerinnen und Nutzer sowie Personen, über die Arbeitszeiten oder Lohnabrechnungen geführt werden)
Ansprechpersonen bei Lieferanten und Kundinnen des Verantwortlichen
die vom Verantwortlichen eingetragene Steuerberatung

Arten der Daten:

Kontodaten: Name, E-Mail-Adresse, Rolle, Zeitpunkt der Anmeldung
Belege samt Inhalt: Rechnungen, Zahlungsbestätigungen, Verträge, Schriftverkehr und die daraus ausgelesenen Werte
Kontoumsätze: Buchungstext, Betrag, Gegenpartei, Datum
Kontaktdaten von Gegenparteien
Inhalte angebundener Postfächer samt Anhängen
Kalendereinträge der Personen, die einen Kalender verbunden haben
Arbeitszeitaufzeichnungen nach § 26 AZG
Lohndaten: Entgelt, Sozialversicherungs- und Steuermerkmale, Krankenkasse
Fragen an den Assistenten samt Antworten, bei Sprachnachrichten die Aufnahme

Keine besonderen Kategorien: Die Anwendung ist nicht für Daten nach Art. 9 DSGVO bestimmt. Gelangen solche Daten dennoch in einen Beleg, werden sie wie jeder andere Beleginhalt verarbeitet und nicht gesondert ausgewertet.

Anlage 2 — Technische und organisatorische Maßnahmen

Trennung: Jeder Betrieb hat eine eigene Datenbank und einen eigenen Speicherbereich im Objektspeicher. Die Zuordnung erfolgt in der Datenschicht; fehlt sie, bricht die Anwendung ab, statt auf fremde Daten auszuweichen.

Zutritt und Zugang: Anmeldung über einen eigenen Anmeldedienst mit Organisationen je Betrieb; Rollen und Berechtigungen werden bei jeder Anfrage geprüft. Fehlversuche werden gezählt und gesperrt. Zugriffe auf die Schnittstelle für Telefone erfolgen über widerrufbare Schlüssel, von denen nur Prüfsummen gespeichert werden.

Übertragung: Ausschließlich TLS, mit HSTS und ausschließlich verschlüsselt übertragenen Sitzungscookies. Seiten laden keine Inhalte von Dritten nach.

Verschlüsselung ruhender Daten: Zugangsdaten zu angebundenen Quellen werden mit wechselbaren Schlüsseln verschlüsselt gespeichert. Sicherungskopien werden vor der Auslagerung verschlüsselt.

Integrität: Angebundene Quellen werden ausschließlich lesend genutzt; die Originaldatei eines Belegs wird nie verändert. Zuordnungen von Zahlungen zu Belegen erfolgen regelbasiert und nachvollziehbar, nicht durch KI.

Verfügbarkeit: Nächtliche Sicherung aller Datenbanken, verschlüsselte Auslagerung an einen zweiten Ort, Aufbewahrung der Sicherungen für 30 Tage. Die Wiederherstellbarkeit wird mit einem eigenen Werkzeug geprüft, das eine Sicherung tatsächlich einspielt und den Inhalt zurückliest. Alter und Größe jeder Sicherung werden überwacht und alarmieren bei Ausfall.

Protokollierung: Serverprotokolle mit IP-Adresse, Zeitpunkt und aufgerufener Adresse werden nach 14 Tagen gelöscht.

Nachvollziehbarkeit: Jede Freigabe eines Belegs hält fest, wer sie erteilt hat und in welcher Form; Änderungen an Zeiträumen und Freigaben an die Steuerberatung werden mit Person und Zeitpunkt festgehalten.

Anlage 3 — Unterauftragsverarbeiter

Mistral AI SAS, Frankreich — Texterkennung, Zuordnung, Assistent und Abtippen von Sprachnachrichten, sofern der Verantwortliche die EU-Verarbeitung gewählt hat. Verarbeitung in der EU und der EFTA.
OpenRouter, Inc., USA — dieselben Zwecke, jedoch nur, wenn der Verantwortliche die Einstellung „Standard" ausdrücklich wählt. Diese Einstellung wird für den Verantwortlichen erst freigeschaltet, wenn dafür geeignete Garantien nach Art. 46 DSGVO vorliegen und diese Anlage entsprechend ergänzt wurde. Bis dahin erfolgt die KI-Verarbeitung ausschließlich über den in der Europäischen Union ansässigen Anbieter; diese Einstellung ist auch die Voreinstellung.
Google Ireland Limited — Auslagerung der verschlüsselten Sicherungskopien. Inhalte sind vor der Übertragung verschlüsselt.
Telegram Messenger Inc. — nur für Personen, die ihr Telegram-Konto selbst verbunden und dem ausdrücklich zugestimmt haben.
Serverbetrieb: Die Server, auf denen Handled läuft, werden vom Auftragsverarbeiter in der Europäischen Union betrieben.

Verbindet der Verantwortliche ein eigenes Google-Drive, einen Google- oder einen Microsoft-365-Kalender, so ist der jeweilige Anbieter nicht Unterauftragsverarbeiter des Auftragsverarbeiters, sondern Dienstleister des Verantwortlichen; Handled liest dort nur mit den erteilten Berechtigungen.

Abschluss

Dieser Vertrag kommt zwischen dem Verantwortlichen und In Digital Form GmbH, Bachstraße 4, 5161 Elixhausen, zustande, sobald der Verantwortliche ihn bei der Anmeldung zusammen mit den Nutzungsbedingungen annimmt. Die Annahme wird mit Datum und angenommener Fassung festgehalten. Haben beide Seiten stattdessen eine Ausfertigung unterzeichnet, gilt die unterzeichnete.