Vertrag zur Auftragsverarbeitung

Vereinbarung nach Art. 28 DSGVO zwischen dem Kunden und dem Anbieter von Docscan. Fassung 2026-08-20.

Dieser Vertrag wird mit der Zustimmung bei der Registrierung elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Fassung und Zeitpunkt der Zustimmung werden beim Konto des Kunden festgehalten. Er ergänzt die Nutzungsbedingungen und geht diesen in Fragen der Verarbeitung personenbezogener Daten vor.

§ 1 Gegenstand, Dauer und Anwendungsbereich

(1) Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies zur Erbringung der in den Nutzungsbedingungen beschriebenen Leistungen erforderlich ist. Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, der Anbieter Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

(3) Der Vertrag läuft, solange der Anbieter für den Kunden Daten verarbeitet, längstens für die Dauer des zugrunde liegenden Nutzungsvertrags. Die Pflichten aus § 8 (Löschung) und § 3 (Vertraulichkeit) bestehen darüber hinaus fort.

(4) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum statt; siehe § 10.

§ 2 Weisungsrecht des Kunden

(1) Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Kunden die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der Anwendung durch den Kunden – insbesondere Konfiguration, Hochladen von Belegen, Nachbearbeitung, Export und Löschung – gilt als Weisung. Darüber hinausgehende Weisungen erteilt der Kunde in Textform an info@inosofttech.de.

(3) Weisungsberechtigt ist der Inhaber des Kontos sowie jede Person, die der Kunde dem Anbieter in Textform als weisungsberechtigt benennt.

(4) Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

§ 3 Vertraulichkeit

(1) Der Anbieter verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

(2) Zugriff erhalten nur Personen, die ihn zur Vertragserfüllung benötigen. Der Anbieter macht sich mit den für ihn geltenden datenschutzrechtlichen Vorschriften vertraut.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Anbieter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragsdauer aufrecht.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Anbieter darf sie anpassen; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und teilt sie dem Kunden auf Anfrage mit.

§ 5 Unterauftragsverarbeiter

(1) Der Kunde erteilt dem Anbieter die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter einzusetzen (Art. 28 Abs. 2 Satz 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und damit genehmigt.

(2) Beabsichtigte Änderungen – Hinzuziehung oder Austausch – teilt der Anbieter dem Kunden mindestens vier Wochen vorher in Textform mit. Der Kunde kann der Änderung innerhalb von zwei Wochen nach Zugang aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Widerspricht er, kann jede Partei den Nutzungsvertrag zum geplanten Zeitpunkt der Änderung kündigen.

(3) Der Anbieter wählt Unterauftragsverarbeiter sorgfältig aus und verpflichtet sie vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen. Für das Verhalten seiner Unterauftragsverarbeiter haftet er wie für eigenes Verhalten.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen, die der Anbieter bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf Daten des Kunden erhalten. Ebenfalls nicht erfasst sind Dienste, die der Kunde selbst anbindet (etwa sein eigenes Postfach beim E-Mail-Eingang oder das Zielsystem seines Exports); diese liegen in seiner Verantwortung.

§ 6 Unterstützung bei Betroffenenrechten

(1) Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst.

(2) Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen. Der Kunde kann Auskunft, Berichtigung, Einschränkung und Löschung im Wesentlichen selbst über die Anwendung ausführen (Suche, Nachbearbeitung, Export, Löschprozess).

(3) Über die Funktionen der Anwendung hinausgehende Unterstützung erbringt der Anbieter nach Aufwand, soweit sie nicht auf einem Umstand beruht, den er zu vertreten hat.

§ 7 Unterstützung nach Art. 32 bis 36 DSGVO, Verletzungen des Schutzes

(1) Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung.

(2) Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntniserlangung, in der Regel innerhalb von 48 Stunden, in Textform an die hinterlegte Kontaktadresse. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenarten und ungefähre Zahl betroffener Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen. Fehlende Angaben reicht er unverzüglich nach.

(3) Meldungen an die Aufsichtsbehörde und an betroffene Personen (Art. 33, 34 DSGVO) obliegen dem Kunden.

§ 8 Löschung und Rückgabe

(1) Nach Beendigung der Verarbeitung löscht der Anbieter die im Auftrag verarbeiteten Daten oder gibt sie zurück, nach Wahl des Kunden. Der Kunde trifft diese Wahl spätestens bis zum Vertragsende; ohne Wahl löscht der Anbieter.

(2) Die Rückgabe erfolgt über die Exportfunktionen der Anwendung, einschließlich des für Inhaber in den Exporteinstellungen verfügbaren signierten Prüferexports mit Originalen, Nutzkopien, strukturierten Daten und Protokolldaten.

(3) Export, Rückgabe und Löschzeitpunkt werden bei der Kündigung in Textform abgestimmt und durch den kontrollierten Löschprozess des Anbieters umgesetzt. Verschlüsselte Sicherungskopien werden nicht gesondert bereinigt; sie laufen nach den in Anlage 2 genannten Fristen aus. Bis dahin bleiben sie durch die dort beschriebenen Maßnahmen geschützt und werden nicht für andere Zwecke verwendet.

(4) Eine gesetzliche Pflicht des Anbieters zur längeren Aufbewahrung bleibt unberührt. Für seine eigenen handels- und steuerrechtlichen Aufbewahrungspflichten – insbesondere nach § 147 AO – bleibt der Kunde verantwortlich; er hat die betroffenen Unterlagen vor Vertragsende zu exportieren.

§ 9 Nachweise und Überprüfungen

(1) Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis erfolgt vorrangig durch Auskünfte, die Bereitstellung der Dokumentation der technischen und organisatorischen Maßnahmen, der Verfahrensdokumentation sowie von Nachweisen über durchgeführte Sicherungs- und Wiederherstellungsprüfungen.

(3) Genügen diese Nachweise nicht, kann der Kunde nach Ankündigung mit angemessener Frist – in der Regel zwei Wochen – während der üblichen Geschäftszeiten eine Überprüfung vornehmen oder durch einen zur Verschwiegenheit verpflichteten, nicht mit dem Anbieter im Wettbewerb stehenden Prüfer vornehmen lassen. Die Überprüfung darf den Betrieb nicht unangemessen beeinträchtigen und findet ohne besonderen Anlass höchstens einmal je Kalenderjahr statt. Die Kosten seiner Überprüfung trägt der Kunde.

§ 10 Verarbeitung in Drittländern

(1) Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nicht statt. Server, Sicherungsspeicher und Mailversand liegen bei Anbietern mit Verarbeitung innerhalb der EU (siehe Anlage 3).

(2) Eine Übermittlung in ein Drittland erfolgt nur nach vorheriger Information des Kunden und nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO. Sie gilt als Änderung im Sinne des § 5 Absatz 2.

(3) Die optionale Erkennung mittels Sprachmodellen ist im Betrieb des Anbieters deaktiviert. Dokumentinhalte werden an keinen externen Erkennungsdienst übermittelt; die Texterkennung läuft innerhalb des Systemverbunds des Anbieters.

§ 11 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich. Er stellt insbesondere sicher, dass er die eingestellten Dokumente verarbeiten darf.

(2) Der Kunde verwaltet die Nutzer seines Mandanten selbst und entzieht ausgeschiedenen Personen unverzüglich den Zugang.

(3) Der Kunde konfiguriert Aufbewahrungsfristen, Löschläufe und Exportziele im Rahmen seiner rechtlichen Vorgaben. Er beachtet, dass eine Verlängerung der Aufbewahrungsfrist auch auf Bestandsdokumente wirkt und Fristen nicht verkürzt werden können.

§ 12 Schlussbestimmungen

(1) Im Übrigen gelten die Nutzungsbedingungen, insbesondere zu Haftung, anwendbarem Recht und Gerichtsstand. Ansprüche nach Art. 82 DSGVO bleiben unberührt.

(2) Änderungen dieses Vertrags bedürfen der Textform. Für Änderungen gilt § 13 der Nutzungsbedingungen entsprechend.

(3) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 – Gegenstand der Verarbeitung

Gegenstand

Bereitstellung und Betrieb der Anwendung Docscan zur Verarbeitung von Eingangsbelegen des Kunden.

Art und Zweck der Verarbeitung

Entgegennahme (Upload, REST-Schnittstelle, überwachtes Verzeichnis, E-Mail-Eingang), Speicherung des unveränderten Originals, automatisierte Auslesung (Texterkennung und Regeln, Auswertung strukturierter E-Rechnungsdaten), Klassifikation, Abgleich mit Stammdaten des Kunden, formale und rechnerische Prüfungen, Bereitstellung zur Nachbearbeitung und Freigabe, Erzeugung von Nutzkopien und Exportdateien, Übergabe an vom Kunden bestimmte Zielsysteme, revisionssichere Aufbewahrung und kontrollierte Löschung sowie der Betrieb der Benutzerkonten.

Arten personenbezogener Daten

• Aus den Belegen: Namen und Firmierungen, Anschriften, Kontaktdaten (E-Mail, Telefon), Bankverbindungen (IBAN, BIC), Steuer- und Umsatzsteuer-Identifikationsnummern, Kunden-, Lieferanten-, Bestell- und Belegnummern, Leistungsbeschreibungen, Mengen und Beträge, Zahlungsbedingungen sowie sämtliche weiteren im Beleg enthaltenen Textinhalte einschließlich der Bilddarstellung des Belegs.
• Stammdaten des Kunden: Lieferanten- und Bestelldaten, Bankverbindungen, Ansprechpartner.
• Benutzerkonten und Betrieb: E-Mail-Adresse, Passwort als kryptographischer Hash, Rolle und Gesellschaftszuordnung, Zeitpunkte von Anlage und letzter Anmeldung, Protokolldaten der Bearbeitung (wer hat wann welchen Beleg bearbeitet, freigegeben, exportiert oder gelöscht), technische Zugriffsdaten.

Kategorien betroffener Personen

• Beschäftigte und Ansprechpartner des Kunden, die die Anwendung nutzen
• Ansprechpartner der Lieferanten und Geschäftspartner des Kunden
• Selbständige, Einzelunternehmer und andere natürliche Personen, die als Aussteller oder Empfänger eines Belegs auftreten

Dauer

Für die Dauer des Nutzungsvertrags zuzüglich der in § 8 geregelten Fristen. Innerhalb der Anwendung richtet sich die Aufbewahrung nach der vom Kunden je Gesellschaft eingestellten Frist (Voreinstellung: acht Jahre ab Ende des Entstehungsjahres).

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle. Server und Sicherungsspeicher werden in Rechenzentren des in Anlage 3 genannten Betreibers betrieben. Der physische Zutrittsschutz (Zutrittskontrolle, Videoüberwachung, Alarmierung) obliegt diesem und ist Gegenstand der mit ihm geschlossenen Vereinbarung. Eigene Räumlichkeiten des Anbieters beherbergen keine Produktivsysteme.

Zugangskontrolle. Zugang zur Anwendung nur über persönliche Benutzerkonten mit E-Mail-Bestätigung; Passwörter werden ausschließlich als bcrypt-Hash gespeichert, Mindestlänge zehn Zeichen. Einmal-Token für Bestätigung, Passwortzurücksetzung und Einladung werden nur als SHA-256-Hash gespeichert und laufen ab. Die Serververwaltung erfolgt ausschließlich über SSH-Schlüssel. Die Datenbank ist von außen nicht erreichbar; die Anwendung ist ausschließlich über den vorgelagerten Reverse Proxy erreichbar. Betriebs- und Kennzahlenschnittstellen sind nach außen gesperrt und innerhalb der Anwendung dem Betreiberkonto vorbehalten.

Zugriffskontrolle. Rollenmodell mit Betreiber-Administrator, Inhaber und Bearbeiter. Die Datensicht wird serverseitig je Gesellschaft erzwungen und nicht der Oberfläche überlassen; Schnittstellen-Clients sind auf die ihnen zugeordneten Gesellschaften begrenzt. Compliance-Funktionen (Aufbewahrung, Legal Hold und Löschläufe) sind Betreiber-Administratoren vorbehalten; Inhaber können den Prüferexport ausschließlich für ihre eigene Gesellschaft erzeugen.

Trennungskontrolle. Die Daten verschiedener Kunden werden logisch getrennt und über die Gesellschaftszuordnung jedes Zugriffs voneinander abgeschirmt. Übungs- und Demonstrationsdaten laufen in einem eigenen, gekennzeichneten Mandanten.

Verschlüsselung und Pseudonymisierung. Transportverschlüsselung mit TLS für alle Zugriffe auf die Anwendung und die Schnittstellen; die Anwendung weist den Browser an, ausschließlich verschlüsselt zuzugreifen. In der Datenbank hinterlegte Zugangsgeheimnisse für Exportziele werden mit AES-256-GCM verschlüsselt. Sicherungen werden auf dem Server verschlüsselt, bevor sie den Sicherungsspeicher erreichen; der Schlüssel verbleibt beim Anbieter.

2. Integrität

Weitergabekontrolle. Die Übergabe an Zielsysteme des Kunden erfolgt ausschließlich über HTTPS; Ziel- und Token-Adressen werden bei der Einrichtung und erneut vor jeder Zustellung geprüft und dürfen nicht auf interne oder private Adressen zeigen. Zustellungen werden signiert (HMAC), sodass der Empfänger Herkunft und Unverfälschtheit prüfen kann. Prüferexporte werden mit Ed25519 signiert und enthalten ein Manifest mit Prüfsummen aller Dateien sowie eine Verifikationsanleitung.

Eingabekontrolle und Nachvollziehbarkeit. Originale werden mit SHA-256-Prüfsumme abgelegt und nie überschrieben. Fachliche Änderungen erzeugen neue Revisionen; frühere Stände bleiben erhalten. Zu jedem ausgelesenen Wert werden Quelle, Fundstelle, Extraktionsweg und Konfidenz gespeichert. Wesentliche Ereignisse – Eingang, Verarbeitung, Freigabe, Export, Legal Hold, Löschung, Prüferexport – werden mit Prüfsummenverkettung protokolliert; die Veränderung eines Eintrags bricht die Kette nachweisbar. Anmeldezeitpunkte werden erfasst.

3. Verfügbarkeit und Belastbarkeit

Sicherung. Tägliche vollständige Sicherung der Datenbank einschließlich aller abgelegten Belege, anschließend verschlüsselte Übertragung an einen räumlich getrennten Sicherungsspeicher. Aufbewahrung der Sicherungsstände gestaffelt: vierzehn tägliche, acht wöchentliche, vierundzwanzig monatliche und zehn jährliche Stände; die Jahresstände decken die gesetzliche Aufbewahrungspflicht ab.

Prüfung der Sicherung. Wöchentliche Integritätsprüfung des Sicherungsarchivs. Vierteljährliche Wiederherstellungsübung mit inhaltlicher Kontrolle – geprüft wird die Zahl der wiederhergestellten Belege und die Übereinstimmung der Datenmengen, nicht nur der fehlerfreie Ablauf des Wiederherstellungsvorgangs.

Betrieb. Überwachung der Dienste mit Zustandsprüfungen und Kennzahlen; Ressourcengrenzen je Dienst, damit ein einzelner Dienst die übrigen nicht verdrängt; geordnetes Herunterfahren bei Aktualisierungen; automatische Rotation der Protokolldateien. Die Belegverarbeitung läuft über eine dauerhaft gespeicherte Warteschlange und wird nach einem Abbruch selbsttätig wieder aufgenommen; Grenzen für Dateigröße, Seitenzahl und Bildauflösung schützen den Betrieb vor überlastenden Eingaben.

Bekannte Grenze. Das Produktivsystem läuft auf einem einzelnen Server ohne Hochverfügbarkeit und ohne georedundante Auslegung. Bei einem Ausfall ist mit einer Unterbrechung bis zur Wiederherstellung zu rechnen; räumlich getrennt vorgehalten werden die verschlüsselten Sicherungen.

4. Verfahren zur regelmäßigen Überprüfung und Bewertung

• Auslieferung ausschließlich über nachvollziehbare, automatisiert getestete Bauläufe; jede Auslieferung ist einem Softwarestand eindeutig zugeordnet.
• Versionierte, nachvollziehbare Datenbankmigrationen.
• Versionierte Prüfregelpakete für die formale Prüfung elektronischer Rechnungen; Aktualisierung nur über Releases.
• Regelmäßige Wiederherstellungsübungen (siehe Abschnitt 3).
• Verfahrensdokumentation, die Ablauf, Unveränderbarkeit, Aufbewahrung, Löschung und Kontrollen beschreibt und bei Änderungen fortgeschrieben wird.

5. Auftragskontrolle und Datenschutz durch Technikgestaltung

• Verarbeitung ausschließlich nach Weisung; Unterauftragsverarbeiter sind dokumentiert und auf entsprechende Pflichten verpflichtet.
• Die Texterkennung läuft innerhalb des Systemverbunds des Anbieters; Dokumentinhalte werden an keinen externen Erkennungsdienst übermittelt. Die optionale Erkennung mittels Sprachmodellen ist im Betrieb deaktiviert.
• Kein automatisches Lernen aus Kundendaten: Korrekturen fließen nur über einen kontrollierten, getesteten Freigabeprozess in Erkennungsregeln ein.
• Löschung als zweistufiger, prüfbarer Vorgang: ein Löschlauf sammelt zunächst die Dokumente mit abgelaufener Frist als Entwurf, erst die ausdrückliche Ausführung entfernt die Inhalte. Ein Legal Hold setzt die Löschbarkeit einzelner Dokumente aus. Nach der Löschung bleiben ausschließlich Nachweisdaten (Dateiname, Prüfsumme, Zeitpunkte) und die Protokollspur erhalten.
• Keine Weitergabe an Dritte über die in Anlage 3 genannten Unterauftragsverarbeiter hinaus; keine Nutzung für eigene Zwecke des Anbieters.

Anlage 3 – Unterauftragsverarbeiter

Bindet der Kunde eigene Systeme an – etwa ein Postfach für den E-Mail-Eingang oder ein Zielsystem für den Export –, sind deren Betreiber keine Unterauftragsverarbeiter des Anbieters.

Fassung 2026-08-20. Die jeweils gültige Fassung ist unter dieser Adresse abrufbar.