Zwischen dem Kunden der Software taxtello („Verantwortlicher") und

Daniel Haida (Einzelunternehmen)
Roonstraße 23 a · 76137 Karlsruhe · Deutschland
E-Mail: support@taxtello.de
(„Auftragsverarbeiter")

wird nachfolgender Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen.

Zwischen dem Verantwortlichen und dem Auftragsverarbeiter besteht ein Vertrag über die Nutzung der Software taxtello (im Weiteren „Nutzungsvertrag", geregelt in den AGB). Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung seiner buchhalterischen und steuerlichen Geschäftsprozesse — eine Übertragung von „Funktionen" im Sinne einer eigenständigen Verantwortlichkeit ist nicht beabsichtigt.

1. Gegenstand des Auftrags

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der Cloud-Software taxtello. Dies umfasst im Kern:

• die Erfassung, Speicherung und Verwaltung von Buchungseinträgen (Einnahmen und Ausgaben),
• die Speicherung und Zuordnung hochgeladener Belege (PDF, Bilder),
• den optionalen Empfang von Belegen per E-Mail an eine projektbezogene Eingangsadresse (…@belege.taxtello.de) sowie die Verarbeitung der eingehenden E-Mail (Absenderadresse, Betreff, Anhänge) zur Belegzuordnung; der E-Mail-Empfang erfolgt über die Infrastruktur des Auftragsverarbeiters (Mittwald, Deutschland), ohne dass ein weiterer Empfänger hinzutritt,
• die optionale, KI-gestützte Erkennung von Belegmetadaten (Betrag, Datum, Lieferant, MwSt.) bei aktivierter KI-Verarbeitung,
• den optionalen Import von Kontoauszügen (CSV oder PDF) und deren Verarbeitung zu Buchungseinträgen,
• die Erfassung und Speicherung von Unternehmens-Stammdaten (Firmenname, Steuer-Nr., USt-ID, Adresse),
• die Erstellung steuerlicher Auswertungen (EÜR, USt-Voranmeldung) und Exporte (CSV, druckfähige Auswertungen sowie – in den entsprechenden Tarifen – DATEV-Export),
• die Bereitstellung eines optionalen, read-only Steuerberater-Zugangs per Token-Link,
• die Verwaltung von Team-Mitgliedern und deren Zugriffsrechten innerhalb eines Workspace,
• die Abwicklung von Registrierung, Authentifizierung und Konto-Verwaltung,
• optional – sofern vom Betreiber aktiviert – die Entgegennahme von Anliegen über einen telefonischen Assistenzdienst: Ein externer Telefonie-/Sprachdienstleister übermittelt dabei strukturierte Anrufdaten (z. B. Anliegen, Zusammenfassung, Rückrufnummer und, soweit vom Dienstleister bereitgestellt, Transkript bzw. Aufzeichnungs-Verweis) an taxtello zur Erstellung eines Support-Vorgangs. Diese Funktion ist standardmäßig deaktiviert und wird erst nach gesonderter Einrichtung eines Dienstleisters wirksam; die anfallenden Rohdaten werden nach einer konfigurierten Frist gelöscht bzw. anonymisiert.

Der Gegenstand dieses Auftrags ergibt sich im Übrigen aus dem bestehenden Nutzungsvertrag (AGB), auf den hier verwiesen wird.

Die Erfüllung des Auftrags erfolgt bei aktivierten KI-Funktionen teilweise KI-gestützt (siehe Anlage 1, Nr. 2). Dies umfasst die Belegerkennung, den PDF-Kontoauszug-Import, den CSV-Fallback bei unbekannten Bankformaten, die Belegzuordnung, Kategorie-Vorschläge, die Erstellung von Rechnungen aus Freitext (NL-Invoice), die optionale Spracheingabe für Rechnungen (Speech-to-Text via Whisper) sowie die interne Recherche-Hilfe bei Support-Anfragen — sämtliche KI-Verarbeitung erfolgt ausschließlich über Mittwald AI Hosting in Deutschland (Anlage 1 Nr. 2). Für diese KI-Verarbeitung findet keine Drittlands-Übermittlung im Sinne der Art. 44 ff. DSGVO statt; hiervon unberührt bleibt die gesondert geregelte Übermittlung von Zahlungsdaten an Stripe (siehe Abschnitt VI und Anlage 1b). Weder der Auftragsverarbeiter noch der eingesetzte KI-Hosting-Dienstleister nutzen die im Rahmen der KI-Funktionen verarbeiteten Daten zu eigenen Zwecken, insbesondere nicht zum Training allgemeiner KI-Modelle, für Profiling oder für Marketing. Die Beantwortung von Support-Anfragen erfolgt stets durch einen Menschen; die KI dient ausschließlich als interne Vorbereitungs-Hilfe und versendet keine Antworten autonom.

2. Dauer der Vereinbarung

Die Laufzeit dieses Vertrages entspricht der Laufzeit des Nutzungsvertrages. Der Vertrag endet automatisch mit Beendigung des Nutzungsvertrages, sofern nicht gesetzliche Aufbewahrungspflichten eine längere Speicherung erfordern.

1. Art und Zweck der vorgesehenen Verarbeitung

Der Zweck der Software taxtello ist es, Selbstständige und Kleinunternehmer bei der Durchführung ihrer Buchhaltung, Belegverwaltung und steuerlichen Auswertungen zu unterstützen. Der Auftragsverarbeiter erhält dabei Zugriff auf die vom Verantwortlichen eingegebenen oder hochgeladenen personenbezogenen Daten und verarbeitet diese ausschließlich zum Zweck der Leistungserbringung im Auftrag des Verantwortlichen.

Folgende Datenkategorien können vom Verantwortlichen verarbeitet werden:

Zugangsdaten des Nutzers:

• E-Mail-Adresse, Passwort (als scrypt-Hash gespeichert, nie im Klartext)
• Zeitstempel und IP-Adresse des letzten Logins
• Session-Token (temporär)

Unternehmensdaten:

• Firmenname, Adresse, Steuernummer, Umsatzsteuer-Identifikationsnummer
• Geschäftsjahr, Besteuerungsart

Buchungs- und Finanzdaten:

• Buchungseinträge (Betrag, Datum, Kategorie, Beschreibung, Steuersatz)
• Importierte Kontoauszüge (Transaktionsdaten, IBAN/BIC, Buchungstext, Verwendungszweck)

Belegdaten:

• Hochgeladene Belege (PDF, JPEG, PNG, HEIC — Rechnungen, Quittungen, Kontoauszüge)
• Bei aktivierter KI-Erkennung: extrahierte Metadaten (Betrag, Datum, Lieferant, Rechnungsnummer, MwSt.)

Daten Dritter (über Belege/Buchungen):

• Namen, Adressen und Bankverbindungen von Kunden und Lieferanten des Verantwortlichen, soweit diese auf Belegen oder in Buchungstexten enthalten sind

Team- und Zugriffsdaten:

• E-Mail-Adressen und Rollen eingeladener Team-Mitglieder
• Steuerberater-Zugriffstoken (zeitlich begrenzt, read-only)

Zahlungsdaten:

• Stripe-Kunden-ID, gewählter Tarif, Abrechnungszeitraum (Zahlungsdaten wie Kreditkartennummern werden ausschließlich von Stripe verarbeitet und erreichen unsere Server nicht)

2. Kategorien betroffener Personen

Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen:

• Nutzer (Verantwortlicher): Selbstständige, Freiberufler und Kleinunternehmer, die taxtello zur Buchhaltung nutzen
• Kunden und Lieferanten des Nutzers: Natürliche Personen, deren personenbezogene Daten auf Belegen, in Buchungstexten oder importierten Kontoauszügen enthalten sind (z. B. Ansprechpartner, Einzelunternehmer, Inhaber)
• Team-Mitglieder: Personen, die vom Nutzer zur Mitarbeit in taxtello eingeladen werden (z. B. Buchhaltungskraft)
• Steuerberater: Personen, denen der Nutzer über einen Token-Link einen read-only Zugang zu seinen Daten gewährt

Der Auftragsverarbeiter hat die Sicherheit gemäß Art. 28 Abs. 3 lit. c, 32 DSGVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO herzustellen. Die zu treffenden Maßnahmen dienen der Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme.

Die konkreten technischen und organisatorischen Maßnahmen sind in Anlage 2 beschrieben.

Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Es ist dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert.

Der Auftragsverarbeiter darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Verantwortlichen berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten.

Nach Beendigung des Nutzungsvertrages werden sämtliche personenbezogene Daten nach Wahl des Verantwortlichen entweder zurückgegeben oder gelöscht, soweit nicht eine gesetzliche Verpflichtung zur Speicherung der Daten besteht (Art. 28 Abs. 3 lit. g DSGVO). Dies wird praktisch wie folgt umgesetzt:

• Rückgabe: Der Verantwortliche erhält nach Vertragsende einen Exportzugang von 14 Tagen, um alle Daten in gängigen Formaten (CSV, ZIP-Backup sowie – sofern im gebuchten Tarif enthalten – DATEV-Export) herunterzuladen.
• Löschung: Der Verantwortliche kann jederzeit die vollständige Löschung seines Kontos und aller Daten verlangen (per E-Mail an support@taxtello.de). Nach Ablauf des Exportzugangs werden alle Kundendaten grundsätzlich innerhalb von 30 Tagen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Kopien: Vorhandene Kopien, insbesondere in Backups, werden im Rahmen der üblichen Backup-Rotation gelöscht. Über den Zeitraum der Backup-Rotation hinaus werden keine Kopien aufbewahrt.

Der Auftragsverarbeiter hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gemäß Art. 28 bis 33 DSGVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:

• Vertraulichkeit (Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DSGVO): Der Auftragsverarbeiter setzt bei der Durchführung der Arbeiten nur Personen ein, die auf die Vertraulichkeit verpflichtet und mit den relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden.
• Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 S. 2 lit. c, 32 DSGVO): Die Umsetzung und Einhaltung aller für diesen Auftrag erforderlichen Maßnahmen (Einzelheiten in Anlage 2).
• Zusammenarbeit mit Aufsichtsbehörden: Der Verantwortliche und der Auftragsverarbeiter arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
• Information bei behördlichen Maßnahmen: Unverzügliche Information des Verantwortlichen über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen.
• Unterstützungspflicht: Soweit der Verantwortliche einer Kontrolle der Aufsichtsbehörde, einem Haftungsanspruch einer betroffenen Person oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung ausgesetzt ist, hat ihn der Auftragsverarbeiter nach besten Kräften zu unterstützen.
• Regelmäßige Überprüfung: Der Auftragsverarbeiter kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen.
• Nachweisbarkeit: Die getroffenen Maßnahmen werden gegenüber dem Verantwortlichen im Rahmen seiner Kontrollbefugnisse nach Ziffer VII dieses Vertrages nachgewiesen.

Datenschutzbeauftragter: Aktuell ist nach derzeitiger Bewertung kein Datenschutzbeauftragter benannt. Die Erforderlichkeit wird fortlaufend geprüft, insbesondere im Hinblick auf Art. 37 Abs. 1 lit. b und c DSGVO sowie § 38 BDSG.

Als Unterauftragsverhältnisse im Sinne dieses Vertrags sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen wie Telekommunikationsleistungen, Post-/Transportdienste oder allgemeine Wartung.

Der Verantwortliche stimmt der Beauftragung der in Anlage 1 aufgeführten Unterauftragsverarbeiter zu unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2–4 DSGVO.

Die Änderung bestehender oder die Hinzunahme neuer Unterauftragsverarbeiter ist zulässig, soweit der Auftragsverarbeiter eine solche Änderung dem Verantwortlichen eine angemessene Zeit vorab in Textform anzeigt und der Verantwortliche nicht bis zum Zeitpunkt der Übergabe der Daten in Textform Einspruch gegen die geplante Änderung erhebt.

Erbringt ein Unterauftragnehmer die vereinbarte Leistung außerhalb der EU/des EWR, stellt der Auftragsverarbeiter die datenschutzrechtliche Zulässigkeit durch entsprechende Maßnahmen sicher (Angemessenheitsbeschluss, Standardvertragsklauseln oder sonstige geeignete Garantien gemäß Art. 44 ff. DSGVO).

Einsatz des Zahlungsdienstleisters Stripe. Für die Abwicklung kostenpflichtiger Abonnements sowie, bei Aktivierung durch den Verantwortlichen, für die Online-Zahlung bestehender Rechnungen im Rechnungsportal wird Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland („Stripe") sowie ggf. weitere Stripe-Konzerngesellschaften, insbesondere Stripe, Inc. (USA), eingesetzt. Stripe wird nicht pauschal als gewöhnlicher Unterauftragsverarbeiter geführt, sondern differenziert betrachtet: Für die technische Ausführung von Kartenzahlungen agiert Stripe als Auftragsverarbeiter von taxtello bzw. des jeweiligen Stripe-Nutzers; für Verarbeitungsvorgänge, die Stripe aufgrund eigener gesetzlicher Verpflichtungen vornimmt — insbesondere KYC, AML, Sanktionslistenprüfungen, Betrugsprävention, Risikoanalysen, aufsichtsrechtliche Berichterstattung und Erfüllung gesetzlicher Aufbewahrungspflichten — ist Stripe eigenständiger Verantwortlicher oder gegebenenfalls (Mit-)Verantwortlicher. Für Abonnements übermittelt der Auftragsverarbeiter im Auftrag des Verantwortlichen ausschließlich die hierfür erforderlichen Stammdaten (E-Mail-Adresse, Tarif, Abrechnungszeitraum). Für die optionale Portal-Zahlung werden an Stripe insbesondere Rechnungsbezug, Betrag, Währung, Zahlungsstatus, technische Stripe-Referenzkennungen und, soweit vorhanden, die E-Mail-Adresse für Zahlungsbelege übermittelt; vollständige Karten- oder Zahlungsinstrumentdaten werden nicht bei taxtello gespeichert. Einzelheiten sind in Anlage 1b aufgeführt.

Wegfall des Angemessenheitsbeschlusses. Die Übermittlung an Stripe in die USA erfolgt derzeit auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission für das EU-US Data Privacy Framework (Art. 45 DSGVO). Fällt dieser Beschluss ganz oder teilweise weg oder wird er durch ein Gericht für unwirksam erklärt, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich und bietet geeignete Ersatzgarantien an (z. B. die jeweils aktuellen Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden technischen und organisatorischen Maßnahmen) oder stellt die Übermittlung an Stripe ein. Der Verantwortliche ist in diesem Fall berechtigt, den Nutzungsvertrag und diesen Auftragsverarbeitungsvertrag mit angemessener Frist außerordentlich zu kündigen, soweit eine rechtmäßige Übermittlung an Stripe nicht mehr sichergestellt werden kann.

Bankkonto-Anbindung (PSD2 Account Information Service). Für die optionale Bankkonto-Anbindung, bei der vom Verantwortlichen aktiviert und vom jeweiligen Nutzer autorisiert Kontoumsätze automatisch in die Buchhaltung importiert werden, wird Enable Banking Oy, Otakaari 5, 02150 Espoo, Finnland, als lizenzierter Kontoinformationsdienst (AISP) eingesetzt; Einzelheiten in Anlage 1b. Es werden ausschließlich Kontoinformationen (Salden und Transaktionen) lesend abgerufen; eine Zahlungsauslösung erfolgt nicht, und Online-Banking-Zugangsdaten werden nicht bei taxtello gespeichert. Enable Banking sitzt im EWR (Finnland); einzelne von Enable Banking eingesetzte Dienstleister verarbeiten personenbezogene Daten jedoch auch außerhalb des EWR (insbesondere USA). Soweit kein Angemessenheitsbeschluss nach Art. 45 DSGVO vorliegt, erfolgen solche Übermittlungen auf Grundlage von EU-Standardvertragsklauseln (Art. 46 DSGVO) nebst ergänzenden Maßnahmen.

Der Verantwortliche hat das Recht, die Einhaltung der datenschutzrechtlichen Vorschriften und der Regelungen dieses Vertrages durch den Auftragsverarbeiter zu überprüfen — auch durch Inspektionen (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragsverarbeiter ermöglicht und trägt zu solchen Überprüfungen bei.

Die Kontrolle kann insbesondere erfolgen durch:

• Einholung von Auskünften und Nachweisen (z. B. aktuelle TOM-Dokumentation, Zertifizierungen, Auditberichte)
• Remote-Prüfung auf Basis bereitgestellter Unterlagen
• Vor-Ort-Inspektionen nach angemessener Vorankündigung, soweit verhältnismäßig

Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen auf Anforderung die zur Wahrung seiner Kontrollpflichten erforderlichen Auskünfte zu geben und die entsprechenden Nachweise verfügbar zu machen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 der DSGVO genannten Pflichten. Hierzu gehören insbesondere:

• Die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die eine sofortige Feststellung relevanter Verletzungsereignisse ermöglichen
• Die Verpflichtung, Verletzungen personenbezogener Daten unverzüglich an den Verantwortlichen zu melden
• Die Unterstützung des Verantwortlichen im Rahmen seiner Informationspflicht gegenüber dem Betroffenen und Bereitstellung aller relevanten Informationen
• Die Unterstützung des Verantwortlichen für dessen Datenschutz-Folgenabschätzung
• Die Unterstützung des Verantwortlichen im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Software und die damit verbundene Dateneingabe gelten als dokumentierte Weisung.

Mündliche Weisungen bestätigt der Verantwortliche unverzüglich (mindestens in Textform).

Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen bestätigt oder geändert wird.

Kopien oder Duplikate der Daten werden ohne Wissen des Verantwortlichen nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

Sicherungskopien (Backups) werden in einem gestaffelten Rotationsverfahren vorgehalten. Lokale Kurzzeit-Backups werden regelmäßig bis zu ca. 30 Tage vorgehalten; zusätzlich werden clientseitig verschlüsselte Offsite-Wiederherstellungspunkte bis zu ca. 12 Monate und automatische Storage-Box-Snapshots bis zu ca. 10 tägliche Rückfallpunkte gespeichert. Ein Zugriff auf Backup-Daten erfolgt ausschließlich zur Integritätsprüfung, zur Störungsbehebung, zur Wiederherstellung nach Systemausfällen sowie zur Erfüllung gesetzlicher Aufbewahrungspflichten.

Nach Beendigung des Nutzungsvertrages hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangten Daten dem Verantwortlichen über die Exportfunktionen (CSV, ZIP-Backup sowie – sofern im gebuchten Tarif enthalten – DATEV-Export) auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Das Protokoll der Löschung ist auf Anforderung vorzulegen.

Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt das Recht der Bundesrepublik Deutschland.

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für diese Klausel selbst.

Diese Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO tritt mit digitaler Zustimmung des Verantwortlichen in der taxtello-Anwendung in Kraft.

Version: 1.10
Stand: Juni 2026 (Version 1.10: Stripe-Connect-Rollen und Portal-Zahlungsdaten entsprechend dem Legal-Working-Draft präzisiert: keine pauschale Unterauftragsverarbeiter-Einordnung, KYC/AML/Sanktionslisten/Fraud/aufsichtsrechtliche Berichterstattung als Stripe-eigene Verantwortlichkeit bzw. ggf. (Mit-)Verantwortlichkeit, technische Stripe-Referenzkennungen in Anlage 1b konkretisiert. Version 1.9: clientseitig verschlüsselte Offsite-Backups über eine Hetzner Storage Box am Produktstandort Finnland als Unterauftragsverarbeiter ergänzt; Backup-Retention und TOM präzisiert; keine Drittlandübermittlung für diesen Backup-Pfad. Version 1.8: KI-Aktivierung in Anlage 1 als Opt-out klargestellt: Die KI-Funktionen sind als Vertragsbestandteil standardmäßig aktiv und jederzeit in den Einstellungen deaktivierbar — die frühere Formulierung „nur bei expliziter Aktivierung" in Anlage 1 wurde an die Opt-out-Beschreibung in Anlage 2 angeglichen. Version 1.7: Enable-Banking-Angaben präzisiert: maßgebliche Entität/Anschrift Enable Banking Oy, Otakaari 5, 02150 Espoo, Finnland (zuvor „Helsinki"); Drittland-Hinweis korrigiert — Enable Banking sitzt im EWR, setzt aber einzelne Dienstleister mit Verarbeitung außerhalb des EWR (insb. USA) ein, abgesichert über EU-Standardvertragsklauseln nach Art. 46 DSGVO (zuvor pauschal „keine Drittlandübermittlung"). Version 1.6: Bankkonto-Anbindung / PSD2 Account Information Service ergänzt: Enable Banking Oy als lizenzierter Kontoinformationsdienst (AISP) in Anlage 1b und Abschnitt VI aufgenommen — ausschließlich lesender Abruf von Salden und Transaktionen, keine Zahlungsauslösung, keine Speicherung von Online-Banking-Zugangsdaten bei taxtello. Version 1.5: Stripe-Rollen für die optionale Online-Zahlung im Rechnungsportal ergänzt: SPEL als primäre EWR-Entität, differenzierte Rolle Processor/Controller/ggf. Joint Controller, minimale Portal-Zahlungsmetadaten, keine Speicherung vollständiger Karten- oder Zahlungsinstrumentdaten bei taxtello. Version 1.4: SPEL als primäre Stripe-Entität für EEA klargestellt — Stripe, Inc. nur als US-Konzerngesellschaft für Drittland-Verarbeitung. Version 1.3, Mai 2026: Stripe als eigenständiger Verantwortlicher klargestellt + in Anlage 1b ausgelagert; DPF-Fallback-Klausel und konkrete Backup-Löschfrist ergänzt; KI-Verarbeitung weiterhin ausschließlich in Deutschland)

Der Verantwortliche stimmt der Beauftragung der nachfolgenden Unterauftragsverarbeiter zu unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2–4 DSGVO:

Nr.	Firma	Sitz	Leistung	Drittland / Garantie
1	Mittwald CM Service GmbH & Co. KG	Königsberger Str. 4–6, 32339 Espelkamp, Deutschland	Hosting und Betrieb der taxtello Cloud-Anwendung (Server, Datenbank, Dateisystem). Alle Buchungs-, Beleg- und Nutzerdaten werden auf Mittwald-Servern in Deutschland verarbeitet und gespeichert.	Kein Drittland (Deutschland). ISO 27001 zertifiziert.
2	Mittwald CM Service GmbH & Co. KG (AI Hosting)	Königsberger Str. 4–6, 32339 Espelkamp, Deutschland	Provider für sämtliche KI-Funktionen (OpenAI-kompatibles LLM-Hosting in Deutschland): KI-gestützte Belegerkennung (OCR via Qwen-Vision), PDF-Kontoauszug-Parsing, CSV-Fallback bei unbekannten Bankformaten, Belegzuordnung und Kategorie-Vorschläge, Rechnungs-Erstellung aus Freitext (NL-Invoice), Spracheingabe-Auswertung (Speech-to-Text via Whisper-Large-v3-Turbo), interne Recherche-Hilfe bei Support-Anfragen sowie semantische Suche in der Wissensbasis (Text-Embeddings). Die KI-Funktionen sind als Vertragsbestandteil standardmäßig aktiv und jederzeit in den Einstellungen deaktivierbar (Opt-out). Übermittelte Inhalte werden ausschließlich zur Generierung der Antwort verarbeitet, nicht dauerhaft gespeichert und nicht für KI-Training verwendet. Support-Antworten werden niemals automatisch versendet — sie werden stets vom Betreiber persönlich geprüft und freigegeben. Bereits als Hosting-Auftragsverarbeiter erfasst (Nr. 1); die KI-Hosting-Plattform läuft als separater Dienst im selben Rechenzentrums-Verbund.	Kein Drittland (Deutschland). ISO 27001 zertifiziert. DSGVO-konformes Hosting in Deutschland.
3	Mittwald CM Service GmbH & Co. KG (SMTP)	Königsberger Str. 4–6, 32339 Espelkamp, Deutschland	SMTP-Dienst für transaktionale E-Mails der taxtello Cloud-Anwendung (Registrierungsbestätigung, Passwort-Zurücksetzen, Benachrichtigungen). E-Mail-Adresse und Name des Empfängers werden übermittelt.	Kein Drittland (Deutschland). Bereits als Hosting-Auftragsverarbeiter erfasst (Nr. 1) und als AI-Hosting-Auftragsverarbeiter (Nr. 2).
4	Hetzner Online GmbH (Storage Box; standortbezogen weiterer Unterauftragsverarbeiter: Hetzner Finland Oy)	Industriestraße 25, 91710 Gunzenhausen, Deutschland; Produktstandort: Helsinki, Finnland	Räumlich getrennte Offsite-Speicherung clientseitig verschlüsselter Sicherheitskopien über SSH/SFTP. Die Entschlüsselungsschlüssel werden nicht an Hetzner übermittelt. Hetzner kann technische Account-, Verbindungs-, Zugriffs- und Betriebsmetadaten verarbeiten.	Kein Drittland für diesen Backup-Pfad (Produktstandort Finnland, EU/EWR). Änderungen des Verarbeitungsortes oder Drittlandverarbeitungen bedürfen vorheriger Prüfung.

Neben den in Anlage 1 aufgeführten Unterauftragsverarbeitern werden personenbezogene Daten an folgende weitere Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO übermittelt. Es handelt sich hierbei nicht um Unterauftragsverhältnisse nach Art. 28 DSGVO; der jeweilige Empfänger entscheidet eigenständig über Zwecke und Mittel seiner Verarbeitung:

Nr.	Empfänger	Sitz	Zweck der Übermittlung	Drittland / Garantie
1	Stripe Payments Europe Limited (für EWR-Kunden primäre Entität; ggf. weitere Stripe-Konzerngesellschaften, insbesondere Stripe, Inc., USA)	1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland	Zahlungsabwicklung für kostenpflichtige Abonnements und optionale Online-Zahlung bestehender Rechnungen im Rechnungsportal (Stripe Connect Standard). Bei Abonnements werden ausschließlich E-Mail-Adresse, Tarif und Abrechnungszeitraum übermittelt. Bei Portal-Zahlungen werden insbesondere Rechnungsreferenzen, Betrag, Währung, Zahlungsstatus, Zeitstempel, technische Stripe-Referenzkennungen (z. B. Checkout-Session, PaymentIntent, Charge, BalanceTransaction und verbundenes Stripe-Konto) und, soweit vorhanden, die E-Mail-Adresse für Zahlungsbelege übermittelt; vollständige Karten- oder Zahlungsinstrumentdaten liegen ausschließlich bei Stripe. Stripe verarbeitet je nach Verarbeitungsvorgang als Auftragsverarbeiter von taxtello bzw. des Stripe-Nutzers, als eigenständiger Verantwortlicher für eigene gesetzliche Pflichten (insbesondere KYC, AML, Sanktionslistenprüfungen, Betrugsprävention und aufsichtsrechtliche Berichterstattung) oder bei bestimmten regulierten Diensten ggf. gemeinsam mit einer lokalen regulierten Stripe-Entität (eigene Datenschutzerklärung). Im Rahmen der konzerninternen Verarbeitung können Daten an Stripe, Inc. (USA) übermittelt werden.	EWR (Irland) als primäre Verarbeitung. Konzerninterne Übermittlung in die USA (Stripe, Inc.) auf Grundlage des Angemessenheitsbeschlusses gem. Art. 45 DSGVO (EU-US Data Privacy Framework); ergänzend Stripe Data Processing Agreement / Data Transfers Addendum mit Standardvertragsklauseln. Fallback-Regelung bei Wegfall des Beschlusses: siehe Abschnitt VI.
2	Enable Banking Oy (Account Information Service / PSD2 AIS) — lizenzierter Kontoinformationsdienst (AISP)	Otakaari 5, 02150 Espoo, Finnland	Bei vom Verantwortlichen aktivierter und vom Nutzer autorisierter Bankkonto-Anbindung erfolgt der ausschließlich lesende Abruf von Kontoinformationen (Salden und Transaktionen: IBAN, Kontoinhaber, Betrag, Währung, Datum, Verwendungszweck sowie Name und IBAN der Gegenpartei) der vom Nutzer verbundenen Bankkonten zum Zweck des automatischen Bankabgleichs. Eine Zahlungsauslösung findet nicht statt; Online-Banking-Zugangsdaten werden nicht bei taxtello gespeichert (Authentifizierung ausschließlich bei der Bank bzw. beim Anbieter per starker Kundenauthentifizierung nach PSD2). Enable Banking verarbeitet diese Daten teilweise als eigener Verantwortlicher (insbesondere zur Erfüllung der regulatorischen Pflichten als lizenzierter Kontoinformationsdienst; beaufsichtigt durch die finnische Finanzaufsicht FIN-FSA) und, soweit die Verarbeitung ausschließlich der Übermittlung der Kontoinformationen an taxtello dient, als Auftragsverarbeiter im Sinne von Art. 28 DSGVO (eigene Datenschutzhinweise).	Enable Banking Oy sitzt im EWR (Finnland). Enable Banking setzt für den Betrieb seiner Plattform jedoch ausgewählte Dienstleister ein, von denen einzelne personenbezogene Daten auch außerhalb des EWR (insbesondere USA) verarbeiten. Soweit kein Angemessenheitsbeschluss nach Art. 45 DSGVO vorliegt, erfolgen diese Übermittlungen auf Grundlage von EU-Standardvertragsklauseln (Art. 46 DSGVO) nebst ergänzenden Maßnahmen.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle (Rechenzentrum):

• Die taxtello Cloud-Anwendung wird auf Servern der Mittwald CM Service GmbH & Co. KG in Deutschland betrieben
• Clientseitig verschlüsselte Offsite-Backups werden auf einer Hetzner Storage Box am Produktstandort Helsinki, Finnland, gespeichert
• Mittwald ist nach ISO 27001 zertifiziert und betreibt Rechenzentren mit physischen Zugangskontrollen, Videoüberwachung und Sicherheitsdienst

1.2 Zugangskontrolle:

• Passwörter werden mit einem zeitgemäßen, rechenintensiven Hashing-Verfahren gespeichert — Klartextpasswörter werden nie gespeichert
• Zeitlich begrenzte Sessions mit automatischer Ablaufsteuerung
• Brute-Force-Schutz: Nach mehreren fehlgeschlagenen Anmeldeversuchen wird der Zugang temporär gesperrt
• CSRF-Schutz auf allen zustandsändernden Endpunkten
• Content Security Policy (CSP) zur Absicherung gegen Cross-Site-Scripting

1.3 Zugriffskontrolle:

• Rollenbasiertes Zugriffsmodell: Admin, Member, Viewer
• Steuerberater-Zugang: Read-only, zeitlich begrenzt, Token-basiert mit starker kryptografischer Absicherung, automatische Ablaufprüfung, Widerruf jederzeit möglich
• Zugriff auf Serversysteme (SSH) ist auf den Betreiber beschränkt und erfordert Public-Key-Authentifizierung
• Admin-Aktionen werden im Audit-Log mit User-ID und Zeitstempel protokolliert

1.4 Trennungskontrolle (Mandantentrennung):

• Jeder Nutzer arbeitet in einem eigenen Workspace (Mandant)
• Alle Datenbankabfragen sind durch die workspace_id auf den jeweiligen Mandanten beschränkt (Row-Level-Scoping)
• Test- und Produktivsysteme sind strikt getrennt

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle:

• Alle Verbindungen zur taxtello-Anwendung erfolgen ausschließlich über HTTPS (TLS 1.2/1.3)
• Datenübertragung an Unterauftragsverarbeiter und weitere Empfänger (Mittwald AI Hosting, Hetzner Storage Box, Stripe, Enable Banking) erfolgt verschlüsselt; Offsite-Backups werden zusätzlich vor der Übertragung clientseitig per Restic verschlüsselt
• Steuerberater-Exporte werden serverseitig erzeugt und direkt an das Endgerät ausgeliefert — keine Zwischenspeicherung auf externen Servern

2.2 Eingabekontrolle:

• Audit-Log für administrative Aktionen (Konto-Erstellung, Suspendierung, Löschung, Consent-Änderungen) mit User-ID und Zeitstempel
• Maßnahmen zur Sicherstellung der Nachvollziehbarkeit und Unveränderbarkeit von Buchungsdaten (orientiert an den Grundsätzen ordnungsmäßiger Buchführung)

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

3.1 Verfügbarkeitskontrolle:

• Automatische Sicherheits-Backups in regelmäßigen Intervallen mit mehrfacher Versionierung und räumlich getrenntem, clientseitig verschlüsseltem Offsite-Ziel
• Wiederherstellbarkeit der Backups wird durch regelmäßige Restore-Tests überprüft und dokumentiert
• Automatisiertes Monitoring mit zeitnaher Alarmierung bei Systemausfällen oder Anomalien

3.2 Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO):

• Backups ermöglichen die Wiederherstellung des Datenbestands
• Dokumentierter Restore-Prozess mit definierten Verantwortlichkeiten
• Quartalsweise stichprobenartige Restore-Tests und mindestens jährlicher repräsentativer Disaster-Recovery-Test

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Rate-Limiting auf allen öffentlichen und API-Endpunkten (IP-basiert und API-key-basiert)
• Regelmäßige Security-Audits und Penetrationstests
• Automatisierte Tests zur fortlaufenden Absicherung der Softwarequalität
• DSGVO-Incident-Response-Plan mit definierten Erkennung-, Triage- und Meldeprozessen
• KI-Verarbeitung ausschließlich in Deutschland (Auftragsverarbeiter Mittwald, kein Drittland, kein Training, keine dauerhafte Speicherung der Inhalte); KI ist als Vertragsbestandteil standardmäßig aktiv und jederzeit in den Einstellungen deaktivierbar (Opt-out)
• Offsite-Backup-Frische, Integrität, Retention/Prune-Läufe und Restore-Drills werden regelmäßig überwacht

Stand: Juni 2026 (Mittwald-Cutover; KI-Verarbeitung als Vertragsbestandteil standardmäßig aktiv, Opt-out möglich; Hetzner Storage Box als clientseitig verschlüsseltes Offsite-Backup-Ziel in Finnland ergänzt)