Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO im Zusammenhang mit der Nutzung der Plattform Buchhaltung Direkt 24.

Hinweis: Dies ist eine Vertragsvorlage. Sie ersetzt keine individuelle Rechtsberatung. Vor Einsatz gegenüber Mandanten bzw. Kunden lassen Sie den Text bitte von einer fachkundigen Person prüfen und an Ihre Organisation anpassen.

§ 1 Parteien

Verantwortlicher (Auftraggeber) ist die jeweilige Steuerkanzlei bzw. das Unternehmen, das Buchhaltung Direkt 24 nutzt und dabei personenbezogene Daten (insbesondere Mandantendaten) steuert.

Auftragsverarbeiter (Auftragnehmer) ist:

Kontakt: support@buchhaltungdirekt24.de
Datenschutz: privacy@buchhaltungdirekt24.de

§ 2 Gegenstand und Dauer

Gegenstand ist die weisungsgebundene Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung und des Betriebs von Buchhaltung Direkt 24 (Web-Portal, mobile App, Belegverarbeitung, Kontierungshinweise, Exportfunktionen und zugehörige Supportleistungen).

Die Dauer entspricht der Vertragslaufzeit der Hauptleistung (Nutzungsvertrag / AGB). Mit Beendigung endet die Auftragsverarbeitung; Löschung bzw. Rückgabe richten sich nach § 10.

§ 3 Art und Zweck der Verarbeitung

Zweck ist die Erbringung der vereinbarten Software- und Serviceleistungen, insbesondere:

• Erfassung, Speicherung und Verwaltung von Belegen und Buchhaltungsunterlagen
• Unterstützung bei Zuordnung, Kontierung und Export (z. B. DATEV-nahe Formate)
• Bereitstellung von Zugängen für Mitarbeitende und, soweit freigeschaltet, Mandanten
• Betrieb, Wartung, Sicherheit, Support und Fehleranalyse der Plattform

Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit nicht eine gesetzliche Verpflichtung des Auftragsverarbeiters entgegensteht (Art. 28 Abs. 3 lit. a DSGVO).

§ 4 Art der personenbezogenen Daten

• Stammdaten von Mandanten und Ansprechpartnern (Name, Adresse, Kontaktdaten, Steuernummern/USt-IdNr., Bankverbindungen, soweit eingestellt)
• Beleg- und Buchhaltungsdaten (Rechnungen, Kontoauszüge, Beträge, Kontierungen, Partnerstammdaten)
• Nutzungs- und Zugangsdaten (Konten, Rollen, Authentifizierungsdaten, Protokolle)
• Kommunikationsdaten im Supportfall
• soweit technisch erforderlich: IP-Adressen und Geräte-/Sicherheitsmetadaten

§ 5 Kategorien betroffener Personen

• Mitarbeiter und Nutzer des Verantwortlichen (Firma / Unternehmen)
• Mandanten des Verantwortlichen sowie deren Mitarbeitende und Geschäftspartner
• sonstige Personen, deren Daten in hochgeladenen Unterlagen enthalten sind

§ 6 Pflichten des Auftragsverarbeiters

• Verarbeitung nur im Rahmen dieses AVV und der dokumentierten Weisungen
• Sicherstellung, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO (siehe Anlage TOM)
• Unterstützung des Verantwortlichen bei Betroffenenrechten, soweit möglich und zumutbar
• Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden
• Bereitstellung der erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO

Der Auftragsverarbeiter berücksichtigt die besondere Sensibilität steuerberatungsrelevanter Daten und die berufsrechtlichen Vertraulichkeitsanforderungen des Verantwortlichen (insbesondere § 57 StBerG / § 203 StGB), soweit diese die Auftragsverarbeitung betreffen.

§ 7 Pflichten des Verantwortlichen

• Rechtmäßigkeit der Übermittlung und Weisungen sicherstellen
• Betroffene angemessen informieren (Art. 13/14 DSGVO), soweit erforderlich
• Zugänge und Berechtigungen in Buchhaltung Direkt 24 sorgfältig verwalten (Rollen, 2FA)
• keine rechtswidrigen Inhalte oder Weisungen erteilen

§ 8 Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern in den nachfolgend genannten Kategorien, sofern mit diesen ein Vertrag nach Art. 28 DSGVO besteht und ein dem AVV vergleichbares Schutzniveau sichergestellt wird:

• Hosting / Rechenzentrum (EU/EWR, bevorzugt Deutschland)
• Objekt- bzw. Dateispeicher (Object Storage) in der EU/EWR
• Identity- und Access-Management (z. B. Keycloak / vergleichbarer IdP)
• E-Mail-/SMTP-Zustellung für System- und Transaktionsmails
• Monitoring, Backup und Betriebsunterstützung, soweit erforderlich

Wesentliche Änderungen der Unterauftragsverarbeiter teilt der Auftragsverarbeiter dem Verantwortlichen rechtzeitig mit. Der Verantwortliche kann aus berechtigten datenschutzrechtlichen Gründen Widerspruch erheben; die Parteien suchen dann eine einvernehmliche Lösung.

Eine aktuelle Übersicht der eingesetzten Unterauftragsverarbeiter kann unter Datenschutzerklärung bzw. auf Anfrage unter privacy@buchhaltungdirekt24.de bereitgestellt werden.

§ 9 Ort der Verarbeitung

Die Verarbeitung erfolgt vorrangig in der Europäischen Union bzw. im Europäischen Wirtschaftsraum. Eine Übermittlung in Drittländer findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss oder geeignete Garantien) und der Verantwortliche darüber informiert wird, soweit erforderlich.

§ 10 Löschung und Rückgabe

Nach Ende der Auftragsverarbeitung löscht der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen oder gibt sie zurück — nach Wahl des Verantwortlichen — sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (insbesondere handels- und steuerrechtliche Fristen, z. B. AO § 147). Bis zum Ablauf solcher Fristen werden betroffene Belege gesperrt bzw. nur noch eingeschränkt verarbeitet.

Technische Details zur Aufbewahrung und zum Soft-Delete sind in den technischen und organisatorischen Maßnahmen (TOM) beschrieben.

§ 11 Kontrolle und Nachweise

Der Auftragsverarbeiter ermöglicht dem Verantwortlichen die zur Erfüllung seiner Kontrollpflichten erforderlichen Auskünfte und unterstützt bei zumutbaren Audits (ggf. durch anerkannte Prüfberichte/Zertifikate, Remote-Prüfungen oder Vor-Ort-Kontrollen nach Absprache). Audits erfolgen unter Wahrung von Betriebs- und Geschäftsgeheimnissen sowie der Rechte Dritter.

§ 12 Haftung

Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften sowie den Regelungen des Hauptvertrags / der AGB, soweit diese auf die Auftragsverarbeitung anwendbar sind.

§ 13 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss kollisionsrechtlicher Normen, soweit zwingendes Datenschutzrecht nicht entgegensteht. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters.

Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anlagen (TOM, Unterauftragsverarbeiterliste) sind Bestandteil dieses AVV.

Anlage: Technische und organisatorische Maßnahmen (TOM)
Weitere Informationen: Datenschutzerklärung · Impressum

Stand: Mai 2026