Vertrag zur Auftragsverarbeitung

1. Parteien

Auftraggeber ist der Nutzer des Dienstes. Auftragsverarbeiter ist:

2. Gegenstand und Dauer

Gegenstand ist die Umwandlung der vom Auftraggeber hochgeladenen Rechnungen in ein elektronisches Rechnungsformat. Der Vertrag läuft, solange der Auftraggeber den Dienst nutzt.

3. Art der Daten und betroffene Personen

Verarbeitet werden die in den hochgeladenen Rechnungen enthaltenen Angaben: Namen, Anschriften, Umsatzsteuer-Identifikationsnummern, Leistungsbeschreibungen und Beträge. Betroffen sind Rechnungsempfänger und Ansprechpartner des Auftraggebers.

4. Weisungsbindung

Die Verarbeitung erfolgt ausschließlich zur Erbringung der Umwandlung und nach Weisung des Auftraggebers. Eine Nutzung zu eigenen Zwecken, insbesondere zum Training von Modellen, findet nicht statt.

5. Speicherung

Hochgeladene Dateien werden ausschließlich im Arbeitsspeicher verarbeitet und nach Auslieferung des Ergebnisses nicht aufbewahrt. Gespeichert werden Zeitpunkt und gewähltes Ausgabeformat der Umwandlung sowie die zur Abrechnung nötigen Angaben.

Für angemeldete Auftraggeber wird die erzeugte Datei 72 Stunden lang vorgehalten, damit ein fehlgeschlagener Abruf nachgeholt werden kann. Die Ablage erfolgt verschlüsselt; der Schlüssel wird nicht zusammen mit den Daten gespeichert. Der Abruf ist nur über das Konto des Auftraggebers möglich. Nach Ablauf der Frist wird automatisch gelöscht; der Auftraggeber kann jederzeit vorher löschen. Eine darüber hinausgehende Aufbewahrung der Rechnungsinhalte findet nicht statt.

Diese Frist ist keine Archivierung im Sinne der GoBD und ersetzt die Aufbewahrungspflichten des Auftraggebers nicht.

6. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Dienstleister zu:

• OpenAI — maschinelle Auswertung der Rechnungsinhalte. Übermittlung in die Vereinigten Staaten möglich.
• Vercel Inc. — Betrieb der Anwendung und der Datenbank.
• Stripe Payments Europe Ltd. — Zahlungsabwicklung. Erhält keine Rechnungsinhalte.
• Resend — Versand von E-Mails zu Konto und Anmeldung. Erhält keine Rechnungsinhalte.

Über einen Wechsel oder die Aufnahme weiterer Dienstleister wird der Auftraggeber vorab in Textform unterrichtet und kann widersprechen.

7. Technische und organisatorische Maßnahmen

• Übertragung ausschließlich verschlüsselt (TLS)
• Keine dauerhafte Speicherung der Rechnungsinhalte
• Kurzzeitig vorgehaltene Ergebnisdateien verschlüsselt abgelegt (AES-256-GCM), automatische Löschung nach 72 Stunden
• Passwörter werden nur als Prüfwert eines dafür vorgesehenen Verfahrens abgelegt
• Zugriff auf die Datenbank nur über die Anwendung, keine offenen Schnittstellen

8. Rechte des Auftraggebers

Der Auftraggeber kann Auskunft über die Verarbeitung verlangen und die Löschung der zu seinem Konto gespeicherten Daten fordern. Anfragen betroffener Personen leiten wir unverzüglich weiter und unterstützen bei ihrer Beantwortung.