Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) wird geschlossen zwischen dem Nutzer des Dienstes Kaepsi, einem Gewerbetreibenden oder Handwerksbetrieb, als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortlicher“) und der vayoblue GmbH, Steigerstraße 57, 66292 Riegelsberg, vertreten durch den Geschäftsführer Stefan Thömmes, als Betreiberin des Dienstes Kaepsi und Auftragsverarbeiterin im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend „Auftragsverarbeiter“). Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 Abs. 3 DSGVO.

Gegenstand des Vertrags ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung des WhatsApp-basierten Dienstes Kaepsi, insbesondere die Erstellung, der Versand und die Verwaltung von Rechnungen, Angeboten, Leistungsnachweisen und Serviceverträgen, die Zeiterfassung sowie die Kunden- und Belegverwaltung. Dieser AVV ist Bestandteil des Nutzungsvertrags (AGB) und tritt mit dessen Abschluss in Kraft; die Zustimmung wird bei der Registrierung versioniert dokumentiert.

Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags. Die Regelungen zur Löschung und Rückgabe (§ 12) sowie gesetzliche Aufbewahrungspflichten bleiben von der Beendigung unberührt.

Die Verarbeitung umfasst das Erheben, Erfassen, Ordnen, Speichern, Auslesen, Verwenden, Übermitteln an die in § 8 genannten Unterauftragsverarbeiter sowie das Löschen personenbezogener Daten. Konkret: Entgegennahme und Auswertung von WhatsApp-Nachrichten (Text, Sprachnachrichten, Fotos, Dokumente), KI-gestützte Extraktion von Beleg- und Rechnungsdaten, Erstellung und Versand von PDF-Dokumenten (Rechnungen, Angebote, Leistungsnachweise, Serviceverträge), Zeiterfassung, digitale Signatur von Dokumenten sowie Speicherung in Datenbank- und Objektspeichersystemen.

Zur Leistungserbringung setzt der Auftragsverarbeiter KI-Dienste ein. Die Extraktion von Belegen und eingehenden Rechnungen erfolgt primär über Mistral AI (Verarbeitung in der EU, Frankreich); nur bei unzureichender Extraktionsgüte erfolgt ein Fallback auf Anthropic (Claude). Die Konversationsführung über WhatsApp sowie die Bilderkennung (Foto-zu-Rechnung) erfolgen primär über Anthropic (Claude). Sprachnachrichten werden über OpenAI (Whisper) transkribiert; die Audiodatei wird nach der Transkription nicht dauerhaft gespeichert. Der Auftragsverarbeiter setzt die KI-Dienste ausschließlich über deren Unternehmens-/API-Angebote ein. Nach den Auftragsverarbeitungsbedingungen von Mistral, Anthropic und OpenAI werden die Eingaben nicht zum Training der KI-Modelle verwendet; diese Anbieter halten API-Eingaben nach ihren Auftragsverarbeitungsbedingungen nur befristet zur Missbrauchskontrolle vor. Ausschließlich bei einem Ausfall der primären KI-Dienste kann zur Aufrechterhaltung des Betriebs ersatzweise der Notfall-Fallback über Google (Gemini) genutzt werden; die dortige Datenverarbeitung richtet sich nach den Bedingungen des Anbieters.

Zweck der Verarbeitung ist ausschließlich die Erbringung der vertraglich vereinbarten Leistungen des Dienstes Kaepsi. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt, soweit sie nicht in diesem AVV ausdrücklich geregelt (§ 12 Abs. 3) oder gesetzlich vorgeschrieben ist.

Von der Verarbeitung betroffen sind: (a) Endkunden des Verantwortlichen als Empfänger von Rechnungen, Angeboten, Leistungsnachweisen und Serviceverträgen; (b) Mitarbeitende und Teammitglieder des Verantwortlichen im Rahmen von Zeiterfassung und Abwesenheitsverwaltung; (c) Personen, die Leistungsnachweise oder Serviceverträge digital unterzeichnen; (d) Lieferanten und Rechnungssteller aus eingehenden Belegen und Fremdrechnungen; (e) Ansprechpartner, die auf Rechnungen und Angeboten benannt werden.

Konto-, Vertrags- und Zahlungsdaten des Verantwortlichen selbst verarbeitet der Auftragsverarbeiter als eigener Verantwortlicher; insoweit gilt die Datenschutzerklärung des Dienstes.

Verarbeitet werden: (a) Stamm- und Kontaktdaten der Endkunden: Name, Anschrift, E-Mail-Adresse, Telefonnummer, Steuernummer/USt-IdNr., Leitweg-ID; (b) Auftrags-, Angebots- und Rechnungsdaten: Leistungspositionen, Beträge, Zahlungsinformationen einschließlich IBAN aus Belegen; (c) Kommunikationsinhalte: WhatsApp-Nachrichten (Text), Transkripte von Sprachnachrichten, Fotos und Dokumente (z. B. Baustellenfotos, Beleg- und Rechnungsfotos), Unterschriftsbilder; (d) Zeiterfassungs- und Abwesenheitsdaten der Mitarbeitenden einschließlich Freitextnotizen; (e) Signatur- und Auditdaten: Name und E-Mail-Adresse der unterzeichnenden Person, IP-Adresse, Browserkennung (User-Agent), Dokument-Prüfsumme, Einwilligungstext; (f) Adress- und Standortdaten einschließlich daraus abgeleiteter Geokoordinaten; (g) Daten aus eingehenden Fremdrechnungen: Lieferantenname, Anschrift, Beträge, IBAN, Steuerdaten.

Im Rahmen der Abwesenheitsverwaltung können besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) von Mitarbeitenden des Verantwortlichen verarbeitet werden, insbesondere Gesundheitsdaten (Abwesenheitsgrund „krank“ sowie Freitextnotizen). Der Verantwortliche stellt sicher, dass hierfür ein Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO (insbesondere lit. b i. V. m. § 26 Abs. 3 BDSG) vorliegt, und weist seine Mitarbeitenden entsprechend hin.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland (§ 9), sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

Als dokumentierte Weisungen gelten der Nutzungsvertrag, dieser AVV sowie die Nutzung der Funktionen des Dienstes durch den Verantwortlichen (z. B. das Einreichen einer Nachricht, eines Belegs oder einer Sprachnachricht). Weitergehende Einzelweisungen bedürfen der Textform und sind an datenschutz@vayoblue.com zu richten.

Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO) und ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen.

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung die folgenden technischen und organisatorischen Maßnahmen. Eine Weiterentwicklung der Maßnahmen ist zulässig, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

Verschlüsselung: Sämtliche Datenübertragungen erfolgen transportverschlüsselt (TLS); der Objektspeicher (Datei-, Foto- und PDF-Ablage) ist at-rest verschlüsselt. Einmal-Anmeldecodes (OTP) sind auf fünf Minuten befristet und werden nach fünf Fehlversuchen ungültig; Signatur- und Magic-Link-Tokens werden ausschließlich als kryptographischer Hash gespeichert.

Zugriffs- und Zugangskontrolle: Rollenbasierte Berechtigungen nach dem Least-Privilege-Prinzip; administrativer Zugriff nur für benannte Administratoren über schlüsselbasierte Authentifizierung; Zugangsdaten und Schlüssel werden zugriffsbeschränkt verwaltet.

Zutritts- und Infrastrukturkontrolle: Betrieb der gesamten Kerninfrastruktur (Datenbank, Cache, Objektspeicher, Anwendungsserver) in nach ISO/IEC 27001 zertifizierten Rechenzentren der Schwarz Digits Cloud GmbH & Co. KG (STACKIT) in Deutschland (Region eu01).

Trennungskontrolle: Logische Mandantentrennung; jeder Datenzugriff ist konsequent auf das jeweilige Nutzerkonto beschränkt.

Pseudonymisierung und Datenminimierung: Nachrichteninhalte, Transkripte und Freitextnotizen werden 90 Tage nach Eingang automatisiert anonymisiert (die betriebswirtschaftlichen Kerndaten wie erfasste Arbeitszeiten bleiben erhalten); Sprachnachrichten werden nach der Transkription nicht dauerhaft gespeichert; die Missbrauchsprüfung der Willkommens-Garantie erfolgt ausschließlich über pseudonymisierte kryptographische Prüfsummen (SHA-256) statt Klardaten, die spätestens fünf Jahre nach ihrer Erfassung durch einen automatischen Löschlauf gelöscht werden.

Verfügbarkeit und Belastbarkeit: Regelmäßige Backups in deutschen Rechenzentren; laufendes Monitoring mit automatischer Alarmierung; redundante Anbindung der KI-Anbieter (automatischer Ausfall-Fallback) zur Aufrechterhaltung des Dienstes.

Eingabekontrolle: Revisionsfähige Auditprotokolle, insbesondere bei digitalen Signaturen (Zeitstempel, IP-Adresse, Browserkennung, Dokument-Prüfsumme, Wortlaut der Einwilligung).

Vorfallmanagement: Dokumentierter Prozess zur Erkennung, Bewertung und Meldung von Sicherheitsvorfällen mit unmittelbarer interner Alarmierung (siehe § 11).

Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der nachfolgend aufgeführten Unterauftragsverarbeiter. Mit jedem eingesetzten Unterauftragsverarbeiter werden Verträge zur Auftragsverarbeitung geschlossen, die diesem im Wesentlichen dieselben Datenschutzpflichten auferlegen wie dieser AVV (Art. 28 Abs. 4 DSGVO). Angegeben sind jeweils Zweck, Sitz/Verarbeitungsort und Transfermechanismus:

Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind: GitHub, Inc. (Microsoft) für Build- und Deployment-Prozesse (dort werden ausschließlich Quellcode und Konfigurationsdaten, keine personenbezogenen Daten des Verantwortlichen verarbeitet) sowie Telegram für interne Betriebsalarme, an das ausschließlich aggregierte Betriebsmetriken und Fehlercodes ohne Personenbezug übermittelt werden. Die Zahlungsabwicklung über Mollie B.V. betrifft ausschließlich Konto-, Vertrags- und Zahlungsdaten des Verantwortlichen selbst, die der Auftragsverarbeiter nach § 3 Abs. 2 als eigener Verantwortlicher verarbeitet; Mollie ist daher ebenfalls kein Unterauftragsverarbeiter im Sinne dieses Vertrags (Einzelheiten in der Datenschutzerklärung des Dienstes).

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor der Aufnahme oder dem Austausch eines Unterauftragsverarbeiters (jeweils aktuelle Liste unter kaepsi.com/de/avv). Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichen Grund binnen 30 Tagen in Textform widersprechen. Kann dem Widerspruch nicht durch zumutbare Maßnahmen abgeholfen werden, steht dem Verantwortlichen ein Sonderkündigungsrecht zum Zeitpunkt des Wirksamwerdens der Änderung zu.

Die Kerndatenhaltung (Datenbank, Cache, Objektspeicher, Anwendungsbetrieb) erfolgt in Deutschland; die unveränderliche Offsite-Sicherung liegt in Frankreich (Scaleway), die Auslieferung über das Content-Delivery-Netz erfolgt in Slowenien (Bunny), und die primäre KI-Belegextraktion (Mistral AI) erfolgt in Frankreich. Innerhalb der EU findet insoweit kein Drittlandtransfer statt. Übermittlungen in Drittländer finden ausschließlich an die in § 8 genannten Unterauftragsverarbeiter mit Verarbeitung in den USA statt (Anthropic, OpenAI, Google, Postmark); im Fall von Meta Platforms Ireland Ltd. ist eine Übermittlung an Meta Platforms, Inc. in den USA möglich.

Diese Übermittlungen sind durch EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 3: Auftragsverarbeiter an Unterauftragsverarbeiter) abgesichert, ergänzt um technische Maßnahmen (Transportverschlüsselung, strikte Zweckbindung; bei den KI-Diensten von Anthropic und OpenAI zudem der Ausschluss der Nutzung zu Trainingszwecken nach deren Auftragsverarbeitungsbedingungen); soweit ein Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist, tritt der Angemessenheitsbeschluss der Kommission hinzu. Der Verantwortliche erteilt zu diesen Übermittlungen mit Abschluss dieses AVV seine dokumentierte Weisung (Art. 28 Abs. 3 lit. a DSGVO).

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte nach Kapitel III der DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Anträge betroffener Personen, die unmittelbar beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, sofern keine Weisung vorliegt.

Der Dienst stellt hierfür insbesondere bereit: die Berichtigung und Löschung einzelner Endkunden- und Belegdaten über die Funktionen des Dienstes, den Export erstellter Dokumente sowie einen automatisierten, vollständigen Löschprozess für das gesamte Konto einschließlich aller Endkundendaten.

Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die im Rahmen dieses AVV verarbeitete Daten betrifft, unverzüglich nach Kenntniserlangung, in der Regel binnen 48 Stunden. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, Kategorien und ungefähre Anzahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Abhilfemaßnahmen); Informationen können schrittweise nachgereicht werden.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörde und Betroffenen, dokumentiert alle Verletzungen einschließlich der Abhilfemaßnahmen und nimmt Meldungen gegenüber Behörden oder Betroffenen nicht ohne vorherige Weisung des Verantwortlichen vor, es sei denn, er ist hierzu gesetzlich verpflichtet.

Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie in einem gängigen, strukturierten Format heraus und löscht anschließend vorhandene Kopien. Die Wahl ist innerhalb von 30 Tagen nach Vertragsende zu treffen; dieser Zeitraum entspricht dem Exportfenster des Dienstes. Trifft der Verantwortliche binnen dieser 30 Tage keine Wahl, werden die Daten anschließend vollständig gelöscht. Die Löschung wird dem Verantwortlichen auf Verlangen schriftlich bestätigt.

Von der Löschung ausgenommen sind Daten, deren Aufbewahrung gesetzlich vorgeschrieben ist (insbesondere die handels- und steuerrechtlichen Aufbewahrungspflichten: acht Jahre für Rechnungen und Buchungsbelege nach § 147 Abs. 3 AO und § 14b UStG, zehn Jahre für Handelsbücher und Jahresabschlüsse nach § 147 AO und § 257 HGB); diese Daten werden für die Dauer der Aufbewahrungsfrist gesperrt und nur für den Aufbewahrungszweck verarbeitet. Einwilligungs- und Signaturnachweise werden als Rechenschaftsnachweis (Art. 5 Abs. 2 DSGVO) für die Dauer der Geschäftsbeziehung und die anschließende regelmäßige Verjährungsfrist von drei Jahren (§ 195 BGB; deutsche Rechtswahl nach § 15) aufbewahrt.

Zur Verhinderung einer mehrfachen Inanspruchnahme der Willkommens-Garantie (Geltendmachung innerhalb von 30 Tagen ab Vertragsschluss; einmalig je Unternehmen und WhatsApp-Rufnummer; mit der Geltendmachung endet der Vertrag) speichert der Auftragsverarbeiter als eigener Verantwortlicher auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO ausschließlich kryptographische Prüfsummen (SHA-256) von Rufnummer, IBAN und Steuernummern. Es handelt sich um pseudonymisierte Prüfwerte, die keine Klardaten enthalten und ohne Vergleichswert keine Identifizierung erlauben. Sie bleiben von der Löschung und Rückgabe nach diesem § 12 unberührt, werden jedoch spätestens fünf Jahre nach ihrer Erfassung gelöscht; ein automatischer Löschlauf setzt diese Frist durch.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis erfolgt vorrangig durch aktuelle Selbstauskünfte, die Dokumentation der technischen und organisatorischen Maßnahmen (§ 7) sowie Zertifikate und Prüfberichte der Unterauftragsverarbeiter (z. B. ISO/IEC-27001-Zertifizierung der Rechenzentren).

Der Verantwortliche ist berechtigt, die Einhaltung dieses AVV höchstens einmal je Kalenderjahr (bei konkretem Anlass, insbesondere nach einer Datenschutzverletzung oder auf behördliche Anordnung, auch häufiger) nach vorheriger Ankündigung mit einer Frist von 30 Tagen während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs selbst oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zum Auftragsverarbeiter stehenden Prüfer zu kontrollieren. Der Auftragsverarbeiter kann für die Unterstützung von Kontrollen, die über die Bereitstellung vorhandener Nachweise hinausgehen, eine angemessene Vergütung verlangen.

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei entsprechend ihrem Anteil an der Verantwortung für den Schaden; wird eine Partei für einen Schaden in Anspruch genommen, den die andere Partei allein zu verantworten hat, stellt diese sie insoweit frei.

Im Übrigen gelten die Haftungsregelungen des Nutzungsvertrags (AGB) auch für diesen AVV.

Bei Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor. Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; anstelle der unwirksamen Bestimmung gilt die gesetzliche Regelung.

Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, Saarbrücken. Maßgeblich ist die deutsche Fassung dieses AVV; Übersetzungen dienen der Information. Kontakt in Datenschutzfragen: datenschutz@vayoblue.com.

Dieser AVV trägt die Version avv-v4-2026-08. Die jeweils aktuelle Fassung einschließlich der Liste der Unterauftragsverarbeiter ist unter kaepsi.com/de/avv abrufbar.