Stand:
Vertrag nach Art. 28 Abs. 3 DSGVO zwischen dem Kunden (Verantwortlicher) und Devin Lemcke Capital UG (haftungsbeschränkt) (Auftragsverarbeiter). Anlage 1 zu den Allgemeinen Geschäftsbedingungen.
Dieser Vertrag regelt die Verarbeitung personenbezogener Daten anderer Personen, die in den Unterlagen und Angaben des Kunden zu seiner Gesellschaft oder seinem Betrieb enthalten sind. Devin Lemcke Capital UG (haftungsbeschränkt) verarbeitet diese Daten im Auftrag des Kunden, um die Leistungen nach § 2 der AGB zu erbringen.
Der Vertrag gilt ab dem Anlegen der Gesellschaft oder des Betriebs im Konto, auch wenn der Kunde ihn erst später bestätigt, und solange der Auftragsverarbeiter solche Daten für den Kunden verarbeitet. Er endet, wenn die Daten nach § 11 gelöscht sind.
Grundlage: Art. 28 Abs. 3 Satz 1 DSGVO
Der Auftragsverarbeiter nimmt die abgelegten Unterlagen und die abgerufenen Kontoumsätze entgegen, liest sie automatisiert aus (auch mit einem KI-Dienst), speichert und ordnet die gelesenen Werte, berechnet daraus Erklärungen, Voranmeldungen und Abschlüsse, übermittelt diese nach Freigabe des Kunden an die Finanzverwaltung und den Bundesanzeiger, hält die Daten zum Abruf bereit und löscht sie. Scheitert das Auslesen einer Unterlage, speichert er sie bis zu 30 Tage, um den Fehler zu beheben.
Zweck ist allein, die Steuererklärungen, die Voranmeldungen, den Jahresabschluss und die Offenlegung des Kunden vorzubereiten und zu übermitteln. § 4 bleibt unberührt.
Grundlage: Art. 28 Abs. 3 Satz 1 DSGVO
Art der Daten: Namen, Anschriften und Geburtsdaten, Angaben zu Beteiligung und Vertretung, Bankverbindungen, Angaben in Buchungstexten und Rechnungen, Vergütungen, Steuernummern und Identifikationsnummern, soweit sie in den Unterlagen und Angaben des Kunden stehen.
Betroffene Personen: Geschäftsführer, Gesellschafter und Treugeber, Beschäftigte, Kunden, Lieferanten und sonstige Zahlungsempfänger und Zahler des Kunden.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO braucht die Leistung nicht. Enthalten Unterlagen des Kunden sie dennoch, gilt dieser Vertrag auch dafür.
Grundlage: Art. 28 Abs. 3 Satz 1 DSGVO
Für die folgenden Verarbeitungen ist Devin Lemcke Capital UG (haftungsbeschränkt) selbst Verantwortlicher: Konto und Anmeldung, Zahlung und Rechnung, die Identifizierung des Auftraggebers vor der Übermittlung und deren Aufzeichnung nach § 87d Abs. 2 AO, der Nachweis jeder Übermittlung sowie Fehlerprotokoll, Sicherheit und Reichweitenmessung.
Diese Verarbeitungen beschreibt die Datenschutzerklärung. Dieser Vertrag gilt für sie nicht.
Grundlage: Art. 4 Nr. 7, Art. 28 Abs. 10 DSGVO
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind dieser Vertrag, die AGB und das, was der Kunde in der Oberfläche veranlasst: Unterlagen ablegen, Werte ändern, eine Übermittlung freigeben, Daten herunterladen, Daten löschen.
Weitere Weisungen erteilt der Kunde in Textform an kontakt@steuernaut.de. Der Auftragsverarbeiter führt sie aus, soweit sie im Rahmen der vereinbarten Leistung möglich sind.
In ein Drittland übermittelt der Auftragsverarbeiter die Daten nur an die in § 8 genannten Unterauftragnehmer und auf der dort genannten Grundlage. Verpflichtet ihn das Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung, teilt er dem Kunden diese Anforderung vorher mit, sofern das Recht die Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Hält der Auftragsverarbeiter eine Weisung für einen Verstoß gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten, informiert er den Kunden unverzüglich.
Grundlage: Art. 28 Abs. 3 Satz 2 lit. a und Satz 3 DSGVO
Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Grundlage: Art. 28 Abs. 3 Satz 2 lit. b DSGVO
Der Auftragsverarbeiter ergreift die nach Art. 32 DSGVO erforderlichen Maßnahmen. Dazu gehören die verschlüsselte Übertragung (TLS), die verschlüsselte Speicherung und der Zugriff nur für das Konto des Kunden und für befugte Personen. Hochgeladene Originaldateien speichert er nicht dauerhaft.
Er darf die Maßnahmen ändern, wenn das Schutzniveau dadurch nicht sinkt.
Grundlage: Art. 28 Abs. 3 Satz 2 lit. c, Art. 32 DSGVO
Der Kunde genehmigt allgemein, dass der Auftragsverarbeiter weitere Auftragsverarbeiter (Unterauftragnehmer) einsetzt. Bei Abschluss dieses Vertrags sind es die unten genannten.
Über jeden neuen oder ersetzten Unterauftragnehmer informiert der Auftragsverarbeiter den Kunden mindestens 14 Tage vorher per E-Mail an die Adresse des Kontos. Der Kunde kann in dieser Zeit in Textform Einspruch erheben. Einigen sich die Parteien nicht, kann der Kunde den Vertrag beenden und seine Daten nach § 11 herunterladen und löschen.
Der Auftragsverarbeiter erlegt jedem Unterauftragnehmer durch Vertrag dieselben Datenschutzpflichten auf, die dieser Vertrag enthält. Kommt ein Unterauftragnehmer seinen Pflichten nicht nach, haftet der Auftragsverarbeiter dem Kunden für deren Einhaltung.
Soweit ein Unterauftragnehmer Daten in den USA verarbeitet, geschieht das auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO) oder von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Grundlage: Art. 28 Abs. 2, Abs. 3 Satz 2 lit. d und Abs. 4 DSGVO
Der Kunde kann die Daten in der Oberfläche selbst einsehen, berichtigen, herunterladen und löschen. Reicht das für die Beantwortung eines Antrags nach Kapitel III DSGVO nicht aus, unterstützt ihn der Auftragsverarbeiter auf Anfrage.
Wendet sich eine betroffene Person an den Auftragsverarbeiter und lässt sich ihr Anliegen einem Kunden zuordnen, leitet er es an den Kunden weiter und beantwortet es nicht selbst.
Grundlage: Art. 28 Abs. 3 Satz 2 lit. e DSGVO
Wird dem Auftragsverarbeiter eine Verletzung des Schutzes der Daten des Kunden bekannt, meldet er sie dem Kunden unverzüglich per E-Mail an die Adresse des Kontos, mit den Angaben, die ihm vorliegen.
Er unterstützt den Kunden mit den ihm zur Verfügung stehenden Informationen bei dessen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Meldungen an die Aufsichtsbehörde, bei Benachrichtigungen betroffener Personen und bei einer Datenschutz-Folgenabschätzung.
Grundlage: Art. 28 Abs. 3 Satz 2 lit. f, Art. 33 Abs. 2 DSGVO
Der Kunde kann seine Daten jederzeit unter Einstellungen, Datenexport als Archiv herunterladen. Hochgeladene Originaldateien sind nicht gespeichert und deshalb nicht im Archiv.
Löscht der Kunde sein Konto, löscht der Auftragsverarbeiter die dazu gespeicherten Daten. Einzelne Steuerobjekte und Unterlagen löscht der Kunde in der Oberfläche oder der Auftragsverarbeiter auf Anforderung in Textform.
Ausgenommen ist, was der Auftragsverarbeiter nach dem Recht der Union oder der Mitgliedstaaten speichern muss. Was er als eigener Verantwortlicher aufbewahrt (§ 4), richtet sich nach der Datenschutzerklärung.
Grundlage: Art. 28 Abs. 3 Satz 2 lit. g DSGVO
Der Auftragsverarbeiter stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind.
Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer und trägt dazu bei. Zeit und Umfang stimmt der Kunde vorher in Textform mit ihm ab.
Grundlage: Art. 28 Abs. 3 Satz 2 lit. h DSGVO
Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und für die Rechte der betroffenen Personen verantwortlich. Er legt nur Unterlagen ab, die er für seine Erklärungen verwenden darf.
Er hat das Recht, Weisungen nach § 5 zu erteilen und die Einhaltung dieses Vertrags nach § 12 zu prüfen.
Grundlage: Art. 28 Abs. 3 Satz 1 DSGVO
Dieser Vertrag ist in elektronischer Form abgefasst. Er kommt zustande, wenn der Kunde das Steuerobjekt einer Gesellschaft oder einen Betrieb anlegt oder den Vertrag für ein bestehendes Steuerobjekt bestätigt. Fassung und Zeitpunkt stehen im Verlauf des Kontos.
Er ist Anlage der AGB und gilt für Kunden, die für eine Gesellschaft oder als Selbständige abgeben. Für Privatpersonen ohne Betrieb gilt er nicht.
Widersprechen sich dieser Vertrag und die AGB in einer Frage der Auftragsverarbeitung, geht dieser Vertrag vor.
Grundlage: Art. 28 Abs. 9 DSGVO