Auftragsverarbeitungsvertrag (AVV nach Art. 28 DSGVO)

Zwischen dem Kunden als Verantwortlichem (nachfolgend „Auftraggeber“) und Vitali Grecciani (Grecciani Labs), Roseggergasse 37, 3400 Klosterneuburg, Österreich (nachfolgend „Auftragnehmer“ oder „Auftragsverarbeiter“) wird gemäß Art. 28 Abs. 3 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO) folgende Vereinbarung über die Auftragsverarbeitung (AVV) geschlossen:

§ 1 Gegenstand, Dauer und Zweck der Verarbeitung

(1) Gegenstand dieses Vertrages ist die automatisierte Strukturierung, Normalisierung und Konvertierung digitaler Bank- und Kreditkartenauszüge in normierte Zielformate (z. B. DATEV Format EXTF, BMD NTCS, Muster-CSV) über den Dienst Statement2Muster / BankSync DACH.

(2) Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des Hauptvertrages bzw. der Nutzung der Softwarelösung.

(3) Zweck der Datenverarbeitung ist ausschließlich die technische Bereitstellung des Konvertierungs- und Formatierungsdienstes für geschäftliche und buchhalterische Zwecke des Auftraggebers.

§ 2 Kategorien betroffener Personen und Datenarten

(1) Kategorien betroffener Personen: Kunden, Mandanten, Lieferanten, Beschäftigte sowie sonstige Geschäftspartner des Auftraggebers, die als Zahlungsbeteiligte oder Kontoinhaber in den verarbeiteten Auszügen aufgeführt sind, sowie autorisierte Kanzleimitarbeiter / Nutzer des Dienstes.

(2) Kategorien personenbezogener Daten:

• Flüchtige Finanz- und Banktransaktionsdaten (Zero Durable Storage): Kontonummern, IBAN, BIC, Buchungsdatum, Valutadatum, Beträge, Währungen, Verwendungszweck-Texte, Rechnungs- und Belegnummern sowie Namen oder Firmenbezeichnungen von Zahlungsbeteiligten. Diese Daten werden ausschließlich zur Konvertierung im flüchtigen Arbeitsspeicher (RAM) gehalten und zu keinem Zeitpunkt persistent gespeichert.
• Authentifizierungs- und Nutzerdaten: Geschäftliche E-Mail-Adresse und kurzlebige Einmalpasswörter (OTP-Codes, Gültigkeit 10 Minuten) zur passwortlosen Autorisierung.
• Kaufmännische Abrechnungsdaten: Stripe Customer ID, Stripe Subscription ID, Lizenz- und Quota-Status (keine Speicherung von Kreditkarten- oder Bankverbindungsdaten auf den Servern des Auftragnehmers).

§ 3 Weisungsgebundenheit des Auftragnehmers

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch das Recht der Europäischen Union oder das Recht der Mitgliedstaaten, dem er unterliegt, zu einer anderweitigen Verarbeitung verpflichtet.

(2) Die Weisungen werden primär durch die softwareseitige Übergabe der Dateien und Auswahl des gewünschten Exportformats erteilt. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine erteilte Weisung nach seiner Auffassung gegen die DSGVO oder andere datenschutzrechtliche Bestimmungen verstößt.

§ 4 Vertraulichkeit und Vertraulichkeitsverpflichtung

Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Technische und organisatorische Maßnahmen (TOMs gem. Art. 32 DSGVO)

(1) Der Auftragnehmer trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus:

• Zero-Durable-Storage-Prinzip & Flüchtige Verarbeitung: Hochgeladene Kontoauszugsinhalte und Buchungsdaten werden ausschließlich im flüchtigen Arbeitsspeicher (RAM) bzw. in temporären RAM-Dateisystemen (Linux tmpfs) verarbeitet. Ein temporärer In-Memory-Ergebnis-Cache (Standard-TTL für Web-App & Browser-Erweiterung: 600 Sekunden / 10 Minuten; für Custom GPT Actions: 1.800 Sekunden / 30 Minuten ab Zwischenspeicherung) dient der idempotenten Wiederholung des identischen Ergebnisses bei Verbindungsabbrüchen oder wiederholten Abrufen desselben Zielformats ohne erneuten Parsing-Aufwand und ohne Kontingentverlust. Nach Ablauf der Frist oder bei Server-Neustart werden die Daten aus dem Arbeitsspeicher freigegeben. Es erfolgt zu keinem Zeitpunkt eine Speicherung von Auszugsinhalten auf persistenten Festplatten, SSDs oder Datenbanken des Servers. Das Zero-Durable-Storage-Prinzip bezieht sich auf die Server-Infrastruktur und erstreckt sich nicht auf vom Nutzer lokal heruntergeladene Exportdateien oder die lokale Browser-Historie.
• Lokale Historie der Browser-Erweiterung: Bei Nutzung der Chrome-Erweiterung speichert diese zur Arbeitserleichterung des Nutzers die letzten bis zu 15 Konvertierungsergebnisse (Metadaten, Gesamtsumme sowie den vollständigen erzeugten CSV-Text) ausschließlich lokal auf dem Endgerät des Nutzers im Speicher des Browsers (chrome.storage.local). Diese Daten verbleiben auf dem Client-Rechner, werden nicht an Server übermittelt und können vom Nutzer jederzeit über die Schaltfläche „Verlauf leeren“ vollständig gelöscht werden.
• Transport- & Zugriffssicherheit: Alle Datenübertragungen zwischen Endgeräten des Auftraggebers und der Konvertierungs-Engine sind durch TLS 1.3 bzw. TLS 1.2 mit Perfect Forward Secrecy geschützt. Sitzungs-Token werden kryptografisch asymmetrisch signiert (RS256 / RSA-2048) und über strikte Revocation-Prüfungen abgesichert.
• Standort und Hosting: Die Verarbeitungsserver befinden sich in zertifizierten Rechenzentren (ISO/IEC 27001) innerhalb der Europäischen Union (Frankfurt am Main, Deutschland).

§ 6 Unterauftragsverhältnisse (Subprozessoren)

(1) Der Auftraggeber erteilt hiermit die allgemeine Genehmigung zur Einbindung von Unterauftragsverarbeitern nach folgenden Funktionsbereichen:

A. Auftragsverarbeiter für Kontoauszugs- und Buchungsdaten (Kernverarbeitung):

• Hetzner Online GmbH (Deutschland): ISO/IEC 27001-zertifizierte Cloud-Infrastruktur / Rechenzentrumsbetrieb in Frankfurt am Main. Die gesamte Parsing- und Konvertierungslogik der Auszugsdateien sowie der flüchtige RAM-Cache werden ausschließlich auf diesen Servern in Deutschland betrieben. Kein externer Drittanbieter hat Zugriff auf Mandanten-Auszugsinhalte.

B. Administrative Hilfsdienste und Zahlungsabwicklung (kein Zugriff auf Auszugsinhalte im regulären Konvertierungspfad):

• Stripe Payments Europe, Ltd. (Irland / EU): Zahlungsabwicklung von Lizenzgebühren und Abonnements. Verarbeitet ausschließlich kaufmännische Abrechnungsmetadaten (Rechnungsbetrag, E-Mail, Stripe Customer ID) als eigenständiger Verantwortlicher bzw. Auftragsverarbeiter für Abrechnungsdaten; erhält zu keinem Zeitpunkt Buchungsauszüge.
• Plus Five Five, Inc. (dba Resend, Delaware, USA): Bereitstellung von E-Mail-Infrastruktur zur Zustellung transaktionaler Einmalpasswörter (OTP / Login-Codes). Es werden ausschließlich die E-Mail-Adresse und der Einmalcode (Gültigkeit 10 Min.) übertragen; datenschutzrechtlich abgesichert über das Resend Data Processing Addendum (DPA, Stand: 27. August 2026) inkl. Standardvertragsklauseln der EU (SCCs) gemäß Art. 46 DSGVO.
• Hetzner Online GmbH (Deutschland / EU): Bereitstellung des geschäftlichen Mailservers und Hosting des Support-Postfachs für support@statement2muster.com im Rechenzentrum Frankfurt am Main unter Geltung des bestehenden Auftragsverarbeitungsvertrags (AVV nach Art. 28 DSGVO). Transportverschlüsselung (TLS 1.3 / STARTTLS / IMAPS) ist gewährleistet. Es findet keine Übermittlung an externe Dritte (wie ImprovMX oder Google) statt. Freiwillig übersandte Beispieldateien werden streng zweckgebunden bearbeitet und nach Ticketabschluss manuell gelöscht.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 14 Tage vorab über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Dem Auftraggeber steht bei berechtigten datenschutzrechtlichen Bedenken ein Widerspruchsrecht zu.

(3) Besondere Klarstellung für das Custom GPT (OpenAI ChatGPT Action): Bindet der Auftraggeber das Custom GPT („Statement2Muster • DATEV & BMD Auszugskonverter“) im Rahmen seines eigenen OpenAI-Kontos ein, erfolgt die Chat-Interaktion und das Dokumenten-Upload primär über die Plattform von OpenAI (OpenAI Ireland Ltd. bzw. OpenAI, LLC). Die datenschutzrechtliche Beziehung für den Chat- und Eingabebereich richtet sich nach dem direkten Vertrags- und DPA-Verhältnis des Auftraggebers mit OpenAI. Der Auftragnehmer erbringt seine Leistung als Auftragsverarbeiter streng beschränkt auf den Eingang der API-Aufrufe an api.statement2muster.com, deren flüchtige Verarbeitung im Arbeitsspeicher auf Hetzner-Servern in Frankfurt am Main und die Bereitstellung des temporären Download-Links (1.800s RAM-TTL).

§ 7 Rechte der betroffenen Personen und Unterstützungspflichten

(1) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflichten des Auftraggebers zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Kapitel III der DSGVO).

(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, wird dieser die Anfrage unverzüglich an den Auftraggeber weiterleiten.

§ 8 Unterstützung bei Sicherheitsvorfällen und Datenschutz-Folgenabschätzungen

Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde und Benachrichtigung der betroffenen Person, Datenschutz-Folgenabschätzung und vorherige Konsultation).

§ 9 Löschung und Rückgabe nach Beendigung der Verarbeitung

(1) Nach Beendigung der jeweiligen Verarbeitung bzw. nach Ablauf der flüchtigen Cache-Frist (600 Sekunden im Web-/Extension-Kanal bzw. 1.800 Sekunden bei Nutzung der GPT Action) oder bei Neustart des Server-Containers werden alle im flüchtigen Arbeitsspeicher gehaltenen temporären Ergebnisdaten durch das System freigegeben (Deallokation im flüchtigen RAM; die Garantie bezieht sich auf das systemseitige Erlöschen des verfügbaren Ergebnisses nach Fristablauf, nicht auf ein physikalisches Bit-Überschreiben der Speicherriegel). Persistente Datenträger werden für Auszugsinhalte zu keinem Zeitpunkt beschrieben.

(2) Gesetzliche Aufbewahrungspflichten für abrechnungsrelevante Rechnungsbelege (BAO / HGB) bleiben unberührt.

§ 10 Nachweise und Kontrollrechte (Audits)

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) Der Auftragnehmer ermöglicht und unterstützt Überprüfungen und Audits, die vom Auftraggeber oder einem von diesem beauftragten Prüfer durchgeführt werden, nach vorheriger angemessener Ankündigung zu üblichen Geschäftszeiten.

§ 11 Schlussbestimmungen

(1) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.

(2) Auf diesen AVV findet das Recht der Republik Österreich Anwendung. Gerichtsstand für alle Streitigkeiten ist, soweit gesetzlich zulässig, Wien.