Vereinbarung zur Auftragsverarbeitung

Anlage 1 zu den Nutzungsbestimmungen · Stand: 28. Juli 2026 · Version 1.0

zwischen René Boegershausen, Wolf-Bartmann-Str. 4, 44229 Dortmund (nachfolgend „Auftragnehmer“) und dem Käufer der Software nekobo (nachfolgend „Auftraggeber“).

Präambel

Diese Vereinbarung konkretisiert die Pflichten der Vertragsparteien nach Art. 28 DSGVO für einen einzigen, klar abgegrenzten Vorgang: die optionale KI-Belegerfassung über den vom Auftragnehmer betriebenen Weiterleitungsdienst („Relay“, § 4 Abs. 2 der Nutzungsbestimmungen).

Sie wird mit Abschluss des Hauptvertrages (Kauf der Software) wirksam. Einer gesonderten Unterzeichnung bedarf es nicht; die elektronische Form genügt gemäß Art. 28 Abs. 9 DSGVO.

Was diese Vereinbarung ausdrücklich nicht umfasst:

a) Die lokal gespeicherten Daten des Auftraggebers (Mieterstammdaten, Mietverträge, Zahlungen, Ausgaben, archivierte Belege). Diese liegen ausschließlich auf dem Endgerät des Auftraggebers. Der Auftragnehmer hat darauf zu keinem Zeitpunkt Zugriff — es liegt insoweit keine Auftragsverarbeitung vor.

b) Die Nutzung eines eigenen API-Schlüssels des Auftraggebers (§ 4 Abs. 3 der Nutzungsbestimmungen). In diesem Fall geht der Beleg direkt vom Endgerät an den gewählten KI-Anbieter; der Auftragnehmer ist nicht beteiligt.

c) Die Daten, die der Auftragnehmer als eigener Verantwortlicher verarbeitet: Kauf- und Rechnungsdaten, Lizenz- und Aktivierungsdaten, Support-Korrespondenz, technische Verbindungsdaten beim Update-Check. Hierfür gilt die Datenschutzerklärung.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand ist die Durchleitung eines vom Auftraggeber im Einzelfall ausgewählten PDF-Belegs an einen KI-Dienst zum Zweck der automatisierten Auslesung der Rechnungsdaten (Lieferant, Datum, Beträge, Positionen, Leistungszeitraum) sowie die Rückleitung des Ergebnisses an die Software des Auftraggebers.

(2) Art der Verarbeitung: Übermitteln und Weiterleiten. Der Auftragnehmer nimmt keine inhaltliche Auswertung, keine Anreicherung, keine Zusammenführung mit anderen Daten und keine Profilbildung vor.

(3) Dauer der Verarbeitung: Die Verarbeitung ist auf die Dauer des einzelnen Scan-Vorgangs beschränkt (typischerweise 12 bis 40 Sekunden). Der Beleginhalt wird nicht gespeichert — weder dauerhaft noch temporär über das Ende des Vorgangs hinaus, weder in einer Datenbank noch in Protokollen. Nach Abschluss der Anfrage existiert beim Auftragnehmer keine Kopie des Belegs oder seines Inhalts.

(4) Zählerstand: Der Auftragnehmer speichert ausschließlich einen numerischen Zähler je Lizenznummer („X von Y Scans verbraucht“). Dieser Zähler enthält keine personenbezogenen Daten der von der Verarbeitung betroffenen Personen.

(5) Laufzeit dieser Vereinbarung: Sie läuft, solange der Auftraggeber die Möglichkeit zur Nutzung der KI-Belegerfassung über den Relay hat.

§ 2 Kategorien betroffener Personen und Datenarten

(1) Kategorien betroffener Personen:

• Geschäftspartner des Auftraggebers, insbesondere Handwerker, Lieferanten, Versorgungs- und Entsorgungsunternehmen, Dienstleister, Versicherer und Behörden, sowie deren Beschäftigte, soweit sie auf dem Beleg namentlich in Erscheinung treten (z. B. als Sachbearbeiter oder ausführender Monteur);
• Mieter des Auftraggebers, soweit sie auf dem Beleg genannt sind (z. B. bei wohnungsbezogenen Handwerkerleistungen);
• der Auftraggeber selbst als Rechnungsempfänger.

(2) Datenarten — der Auftragnehmer leitet den vollständigen Inhalt des ausgewählten PDF-Belegs weiter. Typischerweise enthält dieser: Namen, Anschriften und Kontaktdaten von Unternehmen und natürlichen Personen; Kunden-, Vertrags- und Zählernummern; Bankverbindungen und Steuernummern des Rechnungsstellers; Leistungsbeschreibungen, Leistungszeiträume, Objekt- und Wohnungsbezeichnungen; Verbrauchsdaten und Geldbeträge.

(3) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Auftraggeber ist gehalten, keine Belege mit Gesundheits- oder vergleichbar sensiblen Daten über die KI-Funktion zu verarbeiten.

§ 3 Weisungsrecht

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen dieser Vereinbarung und nach Weisung des Auftraggebers.

(2) Die Weisung wird durch den Auftraggeber je Einzelfall erteilt, indem er in der Software einen konkreten Beleg auswählt und die Funktion „Aus PDF einlesen“ auslöst. Ohne diese Auslösung findet keine Verarbeitung statt. Die Funktion ist für den Betrieb der Software nicht erforderlich.

(3) Weitergehende Weisungen bedürfen der Textform (E-Mail genügt) an kontakt@nekobo.de. Der Auftragnehmer teilt dem Auftraggeber unverzüglich mit, wenn er eine Weisung für rechtswidrig hält, und darf deren Umsetzung bis zur Bestätigung aussetzen.

(4) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und der Datenweitergabe an den Auftragnehmer allein verantwortlich (Verantwortlicher i. S. d. Art. 4 Nr. 7 DSGVO). Er entscheidet insbesondere, ob er einen konkreten Beleg der KI-Funktion zuführt.

§ 4 Pflichten des Auftragnehmers

(1) Der Auftragnehmer trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO; diese sind in Anlage B beschrieben. Änderungen bleiben zulässig, solange das vereinbarte Schutzniveau nicht unterschritten wird.

(2) Der Auftragnehmer verpflichtet die zur Verarbeitung befugten Personen auf Vertraulichkeit. Derzeit hat ausschließlich der Auftragnehmer selbst Administrationszugriff auf die eingesetzten Dienste; Beschäftigte sind nicht vorhanden.

(3) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich über Verletzungen des Schutzes personenbezogener Daten und unterstützt ihn bei den Pflichten nach Art. 33 bis 36 DSGVO im Rahmen seiner Möglichkeiten.

(4) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Anfragen betroffener Personen (Art. 12 bis 22 DSGVO) im Rahmen seiner Möglichkeiten. Hinweis: Da beim Auftragnehmer keine Beleginhalte gespeichert werden, kann er zu einzelnen betroffenen Personen keine Auskunft erteilen, keine Berichtigung und keine Löschung vornehmen — es liegen dort keine Daten mehr vor. Die entsprechenden Rechte sind gegenüber dem Auftraggeber geltend zu machen, dessen lokale Datenhaltung die Belege enthält.

(5) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter, soweit eine Zuordnung möglich ist.

(6) Der Auftragnehmer benennt als Ansprechpartner für Datenschutzfragen: René Boegershausen, kontakt@nekobo.de. Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO / § 38 BDSG nicht zu benennen.

§ 5 Pflichten des Auftraggebers

(1) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Verstöße bei der Verarbeitung feststellt.

(2) Der Auftraggeber erfüllt seine Informationspflichten gegenüber den betroffenen Personen (Art. 13, 14 DSGVO) selbst. Der Auftragnehmer stellt ihm hierfür die Angaben dieser Vereinbarung zur Verfügung.

(3) Der Auftraggeber prüft vor Nutzung der KI-Funktion, ob der jeweilige Beleg dafür geeignet ist (§ 2 Abs. 3).

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz der in Anlage A aufgeführten Unterauftragsverarbeiter zu. Ohne diese Dienste kann die Funktion nicht erbracht werden.

(2) Der Auftragnehmer hat mit jedem dieser Dienste eine Vereinbarung geschlossen, die den Anforderungen des Art. 28 DSGVO entspricht, und verpflichtet sie auf ein Schutzniveau, das dieser Vereinbarung entspricht.

(3) Der Auftragnehmer informiert den Auftraggeber über die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens vier Wochen vorher in Textform sowie durch Aktualisierung der Anlage A. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht er, ist der Auftragnehmer berechtigt, die KI-Belegerfassung über den Relay für den Auftraggeber einzustellen; der Auftraggeber kann die Funktion in diesem Fall mit einem eigenen API-Schlüssel weiter nutzen. Der Bestand des Hauptvertrages bleibt unberührt.

§ 7 Verarbeitung in Drittländern

(1) Die Verarbeitung findet auch in den Vereinigten Staaten von Amerika statt (siehe Anlage A).

(2) Die Übermittlung stützt sich auf einen Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO (EU-U.S. Data Privacy Framework), soweit der jeweilige Empfänger zertifiziert ist, im Übrigen auf Standarddatenschutzklauseln nach Art. 46 Abs. 2 lit. c DSGVO, die Bestandteil der jeweiligen Vereinbarung mit dem Dienst sind.

(3) Eine Verarbeitung in weiteren Drittländern findet nicht statt.

§ 8 Löschung und Rückgabe

(1) Da beim Auftragnehmer keine Beleginhalte gespeichert werden, entstehen keine zu löschenden oder zurückzugebenden Datenbestände (§ 1 Abs. 3).

(2) Der lizenzbezogene Zählerstand (§ 1 Abs. 4) wird spätestens drei Monate nach Ende der Nutzungsmöglichkeit gelöscht.

(3) Gesetzliche Aufbewahrungspflichten des Auftragnehmers für Kauf- und Rechnungsdaten (§ 147 AO, § 257 HGB) bleiben unberührt; diese Daten sind nicht Gegenstand dieser Vereinbarung.

§ 9 Nachweise und Kontrollrechte

(1) Der Auftragnehmer weist die Einhaltung seiner Pflichten durch diese Vereinbarung einschließlich Anlage B nach und erteilt auf Anfrage in Textform weitere Auskünfte.

(2) Vor-Ort-Kontrollen sind nur erforderlich und zulässig, wenn die vorgelegten Nachweise im Einzelfall nicht ausreichen. Sie sind mit angemessener Vorlaufzeit anzukündigen, auf einen Tag je Kalenderjahr begrenzt und dürfen den Betriebsablauf nicht unangemessen beeinträchtigen. Der Auftragnehmer betreibt keine eigenen Räumlichkeiten mit Datenverarbeitungsanlagen; die Nachweise der eingesetzten Dienste werden auf Anfrage weitergegeben, soweit verfügbar.

(3) Kontrollen durch eine zuständige Aufsichtsbehörde sind hiervon unberührt und jederzeit zulässig.

§ 10 Haftung, Form, Rechtswahl

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten ergänzend die Haftungsregelungen des Hauptvertrages (§ 5 der Nutzungsbestimmungen).

(2) Änderungen dieser Vereinbarung bedürfen der Textform. Der Auftragnehmer kann Anlage A nach dem Verfahren des § 6 Abs. 3 aktualisieren.

(3) Widersprechen sich diese Vereinbarung und der Hauptvertrag, gilt in datenschutzrechtlichen Fragen diese Vereinbarung.

(4) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

(5) Es gilt deutsches Recht.

Anlage A — Unterauftragsverarbeiter

Stand: 28. Juli 2026

Zur Verarbeitung bei Google: Der Auftragnehmer nutzt die kostenpflichtige Gemini-API. Nach den API-Bedingungen von Google werden Eingaben und Antworten der kostenpflichtigen Dienste nicht zur Verbesserung oder zum Training von Google-Produkten verwendet; eine Protokollierung erfolgt nur befristet zur Erkennung von Missbrauch und zur Einhaltung rechtlicher Pflichten. Der Auftragnehmer hat das Google Cloud Data Processing Addendum akzeptiert.

Anlage B — Technische und organisatorische Maßnahmen

Bezogen auf den Gegenstand dieser Vereinbarung (Durchleitung eines Belegs). Die vollständige Maßnahmendokumentation führt der Auftragnehmer intern und legt sie auf Anfrage in Auszügen vor.

1. Vertraulichkeit. Sämtliche Übertragungen erfolgen ausschließlich über TLS (HTTPS); unverschlüsselte Übertragung findet nicht statt. Ein Scan wird nur ausgeführt, wenn die Anfrage einen gültigen, kryptografisch signierten Lizenzschlüssel (Ed25519) mitführt; die Signatur wird serverseitig geprüft. IP-basiertes Rate-Limiting begrenzt Missbrauch; das anzufragende KI-Modell ist serverseitig fest vorgegeben und durch die Anfrage nicht veränderbar. Administrationszugriff auf die eingesetzten Dienste hat ausschließlich der Auftragnehmer, gesichert durch Zwei-Faktor-Authentifizierung; Zugangsschlüssel zu den KI-Diensten liegen ausschließlich als serverseitige Umgebungsvariablen vor und werden nicht an Endgeräte ausgeliefert.

2. Datenminimierung und Speicherbegrenzung. Der Relay hält die Anfrage nur im Arbeitsspeicher für die Dauer der Weiterleitung; es existiert kein Schreibpfad in eine Datenbank oder ein Dateisystem für Beleginhalte. Anfrage- und Antwortinhalte werden nicht protokolliert — protokolliert werden ausschließlich technische Ereignisse ohne Beleginhalt. Gespeichert wird ausschließlich das Wertepaar Lizenznummer/Anzahl verbrauchter Scans. Belege über 3 MB werden abgewiesen.

3. Integrität. Serverseitige Prüfung von Lizenzsignatur und Kontingent vor jeder Weiterleitung; die Kontingentbuchung erfolgt atomar. Fehlgeschlagene Scans werden dem Kontingent nicht belastet.

4. Verfügbarkeit und Belastbarkeit. Betrieb auf einer verwalteten Plattform mit redundanter Infrastruktur. Die Funktion ist für den Betrieb der Software nicht erforderlich; ein Ausfall des Relays beeinträchtigt die lokale Datenhaltung und die Abrechnungserstellung des Auftraggebers nicht.

5. Verfahren zur Überprüfung. Überprüfung der Maßnahmen mindestens einmal jährlich sowie anlassbezogen bei Änderungen der eingesetzten Dienste; dokumentierter Prozess zur Erkennung und Meldung von Sicherheitsvorfällen.

6. Trennung. Die Verarbeitung erfolgt anfragebezogen ohne Zusammenführung mit Daten anderer Auftraggeber. Der Zählerstand ist je Lizenznummer getrennt gespeichert.