Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer der Verarbeitung

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Nutzungsvertrag über den Dienst „Rechnio“ (rechnio.at), bereitgestellt von der Panosch Media GmbH, Amerling 120, 6233 Kramsach, Österreich (nachfolgend „Auftragsverarbeiter“). Der Kunde ist Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO (nachfolgend „Verantwortlicher“).

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen der Nutzung des Dienstes speichert oder hochlädt (insbesondere Rechnungs-, Kunden-, Beleg- und Transaktionsdaten). Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art, Zweck, Datenkategorien und betroffene Personen

Art und Zweck: Hosting, Speicherung, Anzeige und Auswertung von Buchhaltungsdaten; Erstellung und Versand von Rechnungen, Angeboten und Mahnungen; automatisierte Texterkennung (OCR) hochgeladener Belege; Erstellung von Exporten für die Steuerberatung.

Kategorien personenbezogener Daten:

• Stammdaten der Kunden des Verantwortlichen (Name, Firma, Anschrift, E-Mail, Telefon, UID)
• Rechnungs- und Angebotsdaten (Positionen, Beträge, Zahlungsziele, Bankverbindungen)
• Beleg- und Transaktionsdaten (hochgeladene Dokumente, Kontobewegungen, Verwendungszwecke)
• Signaturdaten bei digital unterzeichneten Angeboten und SEPA-Mandaten (Name, IP-Adresse, Unterschriftsbild)

Kategorien betroffener Personen: Kunden, Lieferanten, Geschäftspartner und ggf. Mitarbeiter des Verantwortlichen.

§ 3 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — im Regelfall abschließend definiert durch die Funktionen des Dienstes —, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Hosting ausschließlich in einem EU-Rechenzentrum (Frankfurt am Main, Deutschland)
• Transportverschlüsselung (TLS) für sämtliche Verbindungen
• Mandantengetrennte Datenhaltung; Zugriff auf Dokumente nur nach Authentifizierung
• Passwörter ausschließlich als kryptografische Hashes gespeichert
• Rollen- und Schlüsselbasierte Zugriffskontrolle (Session-Auth, API-Keys mit Hash-Speicherung)
• Tägliche Datensicherungen mit Aufbewahrungsrotation
• Protokollierung sicherheitsrelevanter Ereignisse

Der Auftragsverarbeiter darf die Maßnahmen dem Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Subauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der nachfolgenden Subauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter vorab per E-Mail; der Verantwortliche kann binnen 14 Tagen aus wichtigem Grund widersprechen.

• Hostinger International Ltd. — Server-Hosting, Rechenzentrum Frankfurt/DE (EU)
• Stripe Payments Europe Ltd. — Zahlungsabwicklung des Abonnements (EU/USA, EU-Standardvertragsklauseln)
• ActiveCampaign LLC (Postmark) — transaktionaler E-Mail-Versand (USA, EU-Standardvertragsklauseln)
• Anthropic PBC — KI-gestützte Belegtexterkennung und Assistenzfunktionen (USA, EU-Standardvertragsklauseln; keine Nutzung der Daten zum Modelltraining)
• finAPI GmbH — Bankkonten-Anbindung, sofern vom Verantwortlichen aktiviert (Deutschland, BaFin-reguliert)

§ 7 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen technischen und organisatorischen Mitteln bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens binnen 48 Stunden nach Kenntnis.

§ 8 Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags werden sämtliche personenbezogenen Daten des Verantwortlichen nach dessen Wahl herausgegeben (Export) und anschließend gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche bleibt für die Einhaltung steuer- und unternehmensrechtlicher Aufbewahrungsfristen (z. B. § 132 BAO) selbst verantwortlich.

§ 9 Nachweise und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung und ermöglicht angemessene Überprüfungen — vorrangig durch Beantwortung schriftlicher Anfragen und Vorlage geeigneter Dokumentation.

§ 10 Schlussbestimmungen

Es gilt österreichisches Recht. Im Übrigen gelten die Allgemeinen Geschäftsbedingungen des Dienstes. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Version 1.0 · Stand: Juli 2026