FRYA Operator UI
Interne Operator-UI mit Session-Auth/ACL.
Login

Auftragsverarbeitungsvertrag (AVV)

← Zurück zur Übersicht

Version: avv-v1.0 · Stand: 06.07.2026 · Entwurf — vor Veröffentlichung juristisch prüfen lassen. Orientiert an den EU-Standardvertragsklauseln für Auftragsverarbeitung (Durchführungsbeschluss (EU) 2021/915).

§ 1 Parteien und Gegenstand

Dieser Vertrag regelt die Auftragsverarbeitung gemäß Art. 28 DSGVO zwischen:

Verantwortlicher („Nutzer"): der Kunde/Tester, der die FRYA-Plattform nutzt und dabei personenbezogene Daten Dritter verarbeiten lässt (z. B. Daten von Lieferanten und Kunden auf hochgeladenen Belegen).

Auftragsverarbeiter („FRYA"):
Heiko Bläsi
FRYA — Intelligente Buchhaltung (Einzelunternehmen)
Bergstraße 22, 75053 Gondelsheim, Deutschland
E-Mail: kontakt@myfrya.de

Der Vertrag gilt für die Laufzeit des Hauptvertrags (AGB bzw. Alpha-Tester-Vereinbarung) über die Nutzung der FRYA-Plattform. Er wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): Mit der Registrierung bzw. der Zustimmung beim Invite-Abschluss akzeptiert der Nutzer diesen AVV in der angezeigten Version.

Abgrenzung: Für die Konto-, Vertrags- und Kommunikationsdaten des Nutzers selbst ist FRYA eigener Verantwortlicher — dafür gilt die Datenschutzerklärung, nicht dieser AVV. Nutzt eine Person FRYA ausschließlich für persönliche oder familiäre Zwecke (Art. 2 Abs. 2 lit. c DSGVO), findet dieser AVV insoweit keine Anwendung; seine Annahme schadet in diesem Fall nicht.

Rangfolge: In Fragen der Verarbeitung personenbezogener Daten im Auftrag geht dieser AVV den AGB vor.

§ 2 Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand: Bereitstellung einer KI-gestützten Buchhaltungs- und Dokumentenmanagement-Plattform (SaaS): Beleg-Upload (Web, optional Telegram/E-Mail), Texterkennung (OCR), Datenextraktion und -analyse, Buchungsvorschläge nach SKR03, Fristenüberwachung, Archivierung, Export.
Dauer: Laufzeit des Hauptvertrags.
Art: Erheben, Speichern, Auslesen, Analysieren (einschließlich KI-gestützter Auswertung), Übermitteln an die in § 7 genannten Unterauftragsverarbeiter, Löschen.
Zweck: Erbringung der vertraglichen Leistungen für den Nutzer. Eine Verarbeitung zu eigenen Zwecken von FRYA findet nicht statt (§ 7 Abs. 5).

§ 3 Art der Daten und Kreis der Betroffenen

Datenarten:

Betroffene Personen: Lieferanten (Kreditoren), Kunden (Debitoren) und sonstige Geschäftspartner des Nutzers sowie deren Ansprechpartner und Beschäftigte; Beschäftigte des Nutzers, soweit deren Daten in Dokumenten enthalten sind.

§ 4 Weisungsbindung (Art. 28 Abs. 3 lit. a DSGVO)

  1. FRYA verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Nutzers — auch in Bezug auf Übermittlungen in Drittländer —, sofern nicht Unions- oder mitgliedstaatliches Recht die Verarbeitung verlangt; in diesem Fall informiert FRYA den Nutzer vor der Verarbeitung, sofern das Recht dies nicht verbietet.
  2. Weisungen werden grundsätzlich durch die Nutzung der Funktionen der Software erteilt (z. B. Upload, Freigabe, Korrektur, Export, Löschung). Individuelle Weisungen darüber hinaus bedürfen der Textform an kontakt@myfrya.de.
  3. Hält FRYA eine Weisung für datenschutzrechtlich unzulässig, informiert FRYA den Nutzer unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO) und darf die Ausführung bis zur Klärung aussetzen.

§ 5 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

FRYA gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Derzeit verarbeitet ausschließlich der Inhaber personenbezogene Daten; werden künftig weitere Personen einbezogen, werden diese vor Aufnahme der Tätigkeit verpflichtet.

§ 6 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

FRYA trifft die in der Anlage „Technisch-organisatorische Maßnahmen (TOMs)" beschriebenen Maßnahmen — u. a. Mandantentrennung auf Datenbankebene (PostgreSQL Row-Level-Security, fail-closed), TLS-Transportverschlüsselung, Passwort-Hashing (PBKDF2), rollenbasierte Zugriffskontrolle, kryptografisch verkettetes Audit-Log (Hash-Chain) und verschlüsselte Backups. Die TOMs werden regelmäßig überprüft und dem Stand der Technik angepasst; Schutzniveau-Senkungen sind unzulässig.

§ 7 Unterauftragsverarbeiter (Art. 28 Abs. 2, Abs. 3 lit. d, Abs. 4 DSGVO)

  1. Der Nutzer erteilt die allgemeine Genehmigung für den Einsatz der in Absatz 2 gelisteten Unterauftragsverarbeiter.
  2. Aktuelle Liste:
    UnterauftragsverarbeiterSitzLeistungVerarbeitungsort / Garantien
    Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen, DE Server-Hosting, Objektspeicher (verschlüsselte Backups) Deutschland (Frankfurt/Falkenstein); AVV nach Art. 28 DSGVO
    IONOS SE Elgendorfer Str. 57, 56410 Montabaur, DE KI-Inferenz (IONOS AI Model Hub: OCR-, Analyse- und Vorschlags-Modelle) ISO-27001-zertifizierte Rechenzentren in Deutschland; kein Training mit Nutzerdaten; AVV abgeschlossen (IONOS-Standard-AVV Version 1.2, Stand 06/2023, gem. Ziff. 12.3 automatisch Bestandteil der IONOS-AGB des gebuchten Produkts)
    Amazon Web Services EMEA SARL 38 Avenue John F. Kennedy, L-1855 Luxemburg KI-Inferenz (Amazon Bedrock, Konversations-Modell Claude) EU-Region Frankfurt (eu-central-1); AWS GDPR-DPA inkl. EU-Standardvertragsklauseln (2021/914) als Rückfall-Garantie; keine Speicherung der Ein-/Ausgaben durch den Dienst, kein Modell-Training mit Nutzerdaten
    Brevo SAS 7 rue de Madrid, 75008 Paris, FR Transaktionale E-Mails (Einladungen, Benachrichtigungen) EU; AVV nach Art. 28 DSGVO
    Dokumentenspeicher (Paperless-ngx), Fehler-Monitoring (GlitchTip) und LLM-Tracing (Langfuse) betreibt FRYA selbst auf dem Hetzner-Server (self-hosted) — sie sind keine eigenständigen Unterauftragsverarbeiter.
  3. Über beabsichtigte Hinzuziehungen oder Ersetzungen informiert FRYA den Nutzer mindestens 30 Tage vor Einsatz in Textform. Der Nutzer kann aus wichtigem datenschutzrechtlichem Grund binnen 14 Tagen widersprechen; kommt keine einvernehmliche Lösung zustande, kann der Nutzer den Hauptvertrag außerordentlich kündigen.
  4. FRYA legt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), und haftet dem Nutzer gegenüber für deren Einhaltung.
  5. KI-Klausel: Weder FRYA noch die eingesetzten Unterauftragsverarbeiter verwenden die Daten des Nutzers zum Training eigener oder fremder KI-Modelle oder zu sonstigen eigenen Zwecken (Art. 28 Abs. 10 DSGVO).
  6. Hinweis Telegram/E-Mail-Eingang: Übermittelt der Nutzer Belege über Telegram oder E-Mail an FRYA, erfolgt der Transport über den jeweiligen Dienst auf Veranlassung des Nutzers; diese Transportdienste sind keine Unterauftragsverarbeiter von FRYA.

§ 8 Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)

FRYA unterstützt den Nutzer mit geeigneten technischen und organisatorischen Maßnahmen, soweit möglich, bei dessen Pflicht, Anträge betroffener Personen nach Kapitel III der DSGVO (Art. 12–23: Information, Auskunft, Berichtigung, Löschung, Einschränkung, Mitteilung, Datenübertragbarkeit, Widerspruch, automatisierte Entscheidungen) zu beantworten — insbesondere durch Export-, Berichtigungs- und Löschfunktionen der Plattform. Anträge, die FRYA direkt erreichen, leitet FRYA unverzüglich an den Nutzer weiter.

§ 9 Unterstützung bei Art. 32–36 DSGVO, Datenpannen (Art. 28 Abs. 3 lit. f DSGVO)

  1. FRYA unterstützt den Nutzer unter Berücksichtigung der Art der Verarbeitung und der FRYA zur Verfügung stehenden Informationen bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation).
  2. Verletzungen des Schutzes personenbezogener Daten meldet FRYA dem Nutzer unverzüglich nach Kenntnis, angestrebt binnen 48 Stunden, mit den Informationen nach Art. 33 Abs. 3 DSGVO (Art des Vorfalls, betroffene Kategorien, voraussichtliche Folgen, ergriffene Maßnahmen).
  3. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung Betroffener nach den Fristen der Art. 33/34 DSGVO in ihrer jeweils geltenden Fassung obliegen dem Nutzer als Verantwortlichem.

§ 10 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

  1. Nach Beendigung des Hauptvertrags werden alle im Auftrag verarbeiteten Daten nach Wahl des Nutzers zurückgegeben oder gelöscht, sofern keine unions- oder mitgliedstaatliche Pflicht zur Speicherung besteht.
  2. Der Nutzer kann seine Daten innerhalb von 90 Tagen nach Vertragsende exportieren (Belege im Originalformat, Buchungsdaten in maschinell auswertbarem Format — Details in § 9 der AGB). Danach löscht FRYA die Daten einschließlich der Kopien in Backups im Rahmen des regulären Backup-Rotationszyklus.
  3. GoBD-Hinweis: Die steuerlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB) treffen den Nutzer, nicht FRYA. Der Export vor Ablauf der Frist liegt in der Verantwortung des Nutzers.

§ 11 Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO)

  1. FRYA stellt dem Nutzer alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung — vorrangig durch Dokumentation (TOMs, Verzeichnisse, Berichte) und einschlägige Nachweise; das ist kostenfrei.
  2. Der Nutzer kann darüber hinaus höchstens einmal jährlich nach Ankündigung mit angemessener Frist (mindestens 14 Tage) während der üblichen Geschäftszeiten eine Überprüfung — auch durch einen zur Verschwiegenheit verpflichteten Prüfer — durchführen; FRYA trägt dazu bei. Für zusätzliche anlasslose Prüfungen kann FRYA angemessenen Aufwandsersatz verlangen; bei konkretem Anlass (z. B. Datenpanne) bleibt die Prüfung kostenfrei.

§ 12 Haftung

Die Haftung der Parteien richtet sich nach der Haftungsregelung des Hauptvertrags (AGB § 10) und den gesetzlichen Vorschriften. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt; im Innenverhältnis haften die Parteien entsprechend ihrem Verantwortungsanteil (Art. 82 Abs. 5 DSGVO).

§ 13 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Änderungen dieses AVV bedürfen der Textform; die jeweils gültige Version ist unter dieser Adresse abrufbar und wird versioniert (aktuell: avv-v1.0). Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.