Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag ("AVV") wird zwischen ibana Software GmbH, Heiligenstädter Straße 31/2/4. Stock, 1190 Wien, Österreich, vertreten durch Maximilian Nimmervoll und Markus Leimer (im Folgenden „Auftragsverarbeiter" oder „ibana") und jedem Kunden, der die Allgemeinen Geschäftsbedingungen von ibana akzeptiert und/oder die ibana-Software nutzt (im Folgenden „Auftraggeber" oder „Verantwortlicher", gemeinsam mit ibana die „Parteien"), geschlossen.

Dieser AVV wird durch Verweis in die Allgemeinen Geschäftsbedingungen ("AGB") von ibana einbezogen und mit Abschluss des Hauptvertrags über die Nutzung der ibana-Software zwischen ibana und dem jeweiligen Auftraggeber ("Hauptvertrag") automatisch Vertragsbestandteil, ohne dass es einer gesonderten Unterzeichnung bedarf. Auf Wunsch stellt ibana eine gegengezeichnete Fassung dieses AVV zur Verfügung.

§ 1 Gegenstand und Dauer

1.1 Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Verarbeitung personenbezogener Daten im Rahmen des Hauptvertrags ergeben.

1.2 Dieser AVV gilt für die Dauer des Hauptvertrags. Die in § 11 geregelten Pflichten zur Löschung und Rückgabe von Daten gelten über die Beendigung des Hauptvertrags hinaus fort, soweit dort nichts Abweichendes bestimmt ist.

1.3 Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1 zu diesem AVV.

§ 2 Begriffsbestimmungen

Die in diesem AVV verwendeten Begriffe ("personenbezogene Daten", "Verarbeitung", "Verantwortlicher", "Auftragsverarbeiter", "Empfänger", "Dritter", "Einwilligung", "Verletzung des Schutzes personenbezogener Daten", "besondere Kategorien personenbezogener Daten", "Aufsichtsbehörde") haben die Bedeutung, die ihnen in Art. 4 DSGVO zugewiesen wird.

§ 3 Gegenstand, Art und Zweck der Verarbeitung

3.1 ibana verarbeitet personenbezogene Daten ausschließlich im Rahmen der Erbringung der vertraglich vereinbarten Software-Leistung (Verarbeitung von Eingangsrechnungen, Zahllaufmanagement, Forderungsmanagement sowie zugehörige KI-gestützte Funktionen) für den Auftraggeber.

3.2 Einzelheiten zu Gegenstand, Dauer, Art und Zweck der Verarbeitung, der Art der personenbezogenen Daten und den Kategorien betroffener Personen sind in Anlage 1 dargestellt.

§ 4 Pflichten des Auftragsverarbeiters

4.1 Weisungsgebundenheit. ibana verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich in Bezug auf Übermittlungen personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern ibana nicht durch das Recht der Union oder der Mitgliedstaaten, dem ibana unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt ibana dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Die Erbringung der vertraglich vereinbarten Leistung gemäß Hauptvertrag gilt als dokumentierte Weisung.

4.2 Vertraulichkeit. ibana stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass diese Personen nur im notwendigen Umfang Zugriff auf personenbezogene Daten erhalten (Need-to-know-Prinzip / Least Privilege).

4.3 Technische und organisatorische Maßnahmen. ibana ergreift alle nach Art. 32 DSGVO erforderlichen Maßnahmen. Die im Zeitpunkt des Vertragsschlusses umgesetzten Maßnahmen sind in Anlage 2 (Technische und organisatorische Maßnahmen / ToMs) beschrieben. ibana ist berechtigt, die Maßnahmen anzupassen, sofern dadurch das vereinbarte Schutzniveau nicht unterschritten wird.

4.4 Unterauftragsverarbeiter. Es gilt § 7.

4.5 Unterstützung bei Betroffenenanfragen. ibana unterstützt den Auftraggeber, soweit dies möglich ist, mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Erhält ibana selbst eine Anfrage einer betroffenen Person, die erkennbar den Auftraggeber betrifft, leitet ibana diese unverzüglich an den Auftraggeber weiter, ohne sie selbst zu beantworten.

4.6 Unterstützung bei Art. 32-36 DSGVO. ibana unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32-36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

4.7 Löschung und Rückgabe. Es gilt § 11.

4.8 Nachweispflichten. ibana stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Auftraggeber oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei. Es gilt § 10.

4.9 Mitteilungspflicht bei Weisungsverstößen. ibana unterrichtet den Auftraggeber unverzüglich, wenn ibana der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.

§ 5 Weisungsrecht des Auftraggebers

5.1 Der Auftraggeber ist berechtigt, Weisungen zu Art, Umfang und Verfahren der Datenverarbeitung jederzeit zu konkretisieren. Weisungen, die über den im Hauptvertrag vereinbarten Leistungsumfang hinausgehen, behandeln die Parteien als Vorschlag zur Leistungsänderung.

5.2 Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform.

5.3 ibana informiert den Auftraggeber unverzüglich, wenn aus Sicht von ibana eine Weisung gegen geltendes Datenschutzrecht verstößt. ibana ist berechtigt, die Umsetzung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

§ 6 Technische und organisatorische Maßnahmen

6.1 ibana hat die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung umgesetzt und dokumentiert.

6.2 Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. ibana ist berechtigt, alternative angemessene Maßnahmen umzusetzen, soweit das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber in Textform mitgeteilt.

6.3 ibana lässt mindestens einmal pro Kalenderjahr einen Penetrationstest der ibana-Software, insbesondere der Mandantentrennung, des Berechtigungskonzepts und der KI-Funktionen, durch einen unabhängigen, qualifizierten Dienstleister durchführen. Festgestellte kritische und hohe Schwachstellen behebt ibana innerhalb angemessener Frist. Auf Anfrage stellt ibana dem Auftraggeber eine Zusammenfassung der Ergebnisse (Management Summary) sowie eine Bestätigung über die Behebung kritischer Schwachstellen zur Verfügung.

§ 7 Unterauftragsverarbeitung

7.1 Der Auftraggeber erteilt ibana eine allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter) im Sinne von Art. 28 Abs. 2 DSGVO. Die zum Zeitpunkt des Vertragsschlusses beauftragten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

7.2 ibana informiert den Auftraggeber mindestens 30 Tage im Voraus per E-Mail an die vom Auftraggeber benannte Kontaktperson (ersatzweise an die im Kundenkonto hinterlegten Administrator:innen) über die beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern sowie über Änderungen des Serverstandorts oder des Transfermechanismus bestehender Unterauftragsverarbeiter. Der Auftraggeber kann der Hinzuziehung eines neuen Unterauftragsverarbeiters innerhalb von 30 Tagen nach Zugang der Mitteilung unter Angabe von Gründen widersprechen. Erfolgt kein Widerspruch innerhalb dieser Frist, gilt die Zustimmung als erteilt. Können sich die Parteien nach einem Widerspruch nicht innerhalb angemessener Frist auf eine Lösung einigen, ist der Auftraggeber berechtigt, den Hauptvertrag mit Wirkung zum Zeitpunkt des Einsatzes des neuen Unterauftragsverarbeiters bzw. der Änderung außerordentlich zu kündigen; im Voraus bezahlte Entgelte für den Zeitraum nach Wirksamwerden der Kündigung erstattet ibana anteilig.

7.3 ibana verpflichtet jeden Unterauftragsverarbeiter durch Vertrag zu denselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind, insbesondere zur Umsetzung angemessener technischer und organisatorischer Maßnahmen.

7.4 Erfolgt die Übermittlung personenbezogener Daten an einen Unterauftragsverarbeiter in einem Drittland (insbesondere den USA), stellt ibana sicher, dass eine geeignete Garantie im Sinne der Art. 44 ff. DSGVO vorliegt, insbesondere durch Abschluss der EU-Standardvertragsklauseln (SCC) mit dem jeweiligen Unterauftragsverarbeiter und/oder dessen Zertifizierung unter dem EU-U.S. Data Privacy Framework. Der jeweils zutreffende Transfermechanismus ist in Anlage 3 vermerkt.

7.5 ibana bleibt gegenüber dem Auftraggeber für die Erfüllung der Pflichten der von ihr eingesetzten Unterauftragsverarbeiter verantwortlich.

§ 8 Unterstützung bei Datenschutz-Folgenabschätzungen

ibana unterstützt den Auftraggeber auf Anfrage und unter Berücksichtigung der Art der Verarbeitung sowie der ibana zur Verfügung stehenden Informationen bei der Durchführung von Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) sowie einer etwaigen vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO), soweit dem Auftraggeber diese Informationen nicht anderweitig zur Verfügung stehen.

§ 9 Meldung von Datenschutzverletzungen und Sicherheitsvorfällen

9.1 ibana meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten gemäß Art. 33 Abs. 2 DSGVO sowie jeden sonstigen Sicherheitsvorfall, der die Vertraulichkeit, Integrität oder Verfügbarkeit der Daten des Auftraggebers beeinträchtigt oder beeinträchtigen kann, unverzüglich, in jedem Fall jedoch innerhalb von 48 Stunden nach Bekanntwerden.

9.2 Die Meldung enthält mindestens, soweit ibana bekannt:

• eine Beschreibung der Art der Verletzung, möglichst mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und der betroffenen Datensätze;
• den Namen und die Kontaktdaten einer Anlaufstelle bei ibana;
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
• eine Beschreibung der von ibana ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

9.3 ibana unterstützt den Auftraggeber bei der Erfüllung von dessen Pflichten nach Art. 33 und 34 DSGVO.

§ 10 Kontrollrechte des Auftraggebers

10.1 Der Auftraggeber ist berechtigt, sich von der Einhaltung der in diesem AVV festgelegten Pflichten von ibana zu überzeugen. ibana stellt hierfür auf Anfrage geeignete Nachweise zur Verfügung (z.B. einschlägige Zertifizierungen der von ibana eingesetzten Unterauftragsverarbeiter, interne Dokumentation der ToMs).

10.2 Soweit die vorgelegten Nachweise nicht ausreichen, kann der Auftraggeber nach vorheriger Ankündigung mit angemessener Frist (mindestens 4 Wochen) während der üblichen Geschäftszeiten eine Vor-Ort-Kontrolle bzw. eine Kontrolle durch einen beauftragten, zur Verschwiegenheit verpflichteten Dritten vornehmen, die den Geschäftsbetrieb von ibana nicht unverhältnismäßig stört. Kontrollen erfolgen höchstens einmal pro Kalenderjahr, sofern nicht ein wichtiger Grund (z.B. eine erfolgte Datenschutzverletzung) eine zusätzliche Kontrolle rechtfertigt. Die Kosten einer solchen Kontrolle trägt der Auftraggeber, sofern sich keine Pflichtverletzung von ibana herausstellt.

§ 11 Löschung und Rückgabe von Daten

11.1 Während der Vertragslaufzeit: Löscht der Auftraggeber Daten über die Funktionen der Software (z.B. Löschung einzelner Belege, Nutzer oder einer gesamten Organisation), werden diese Daten unverzüglich logisch gelöscht. Aus technischen Gründen (Backups) können gelöschte Daten für bis zu 30 Tage nach der logischen Löschung in Sicherungskopien fortbestehen, bevor sie endgültig und unwiederbringlich entfernt werden.

11.2 Nach Beendigung des Hauptvertrags: Nach Beendigung des Hauptvertrags löscht ibana, vorbehaltlich gesetzlicher Aufbewahrungspflichten, sämtliche im Auftrag des Auftraggebers verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen nach Vertragsende, sofern der Auftraggeber nicht innerhalb dieser Frist die Rückgabe bzw. Exportierung der Daten in einem gängigen, strukturierten Format verlangt. Auch nach Rückgabe verbleibende Kopien werden innerhalb der in Satz 1 genannten Frist gelöscht.

11.3 Gesetzliche Aufbewahrungspflichten (insbesondere steuer- und unternehmensrechtliche Aufbewahrungsfristen, z.B. nach § 132 BAO bzw. § 212 UGB) bleiben unberührt; in diesem Fall beschränkt ibana die Verarbeitung der betroffenen Daten auf den Zweck der Erfüllung dieser Aufbewahrungspflicht.

11.4 ibana bestätigt dem Auftraggeber auf Anfrage schriftlich die vollständige Löschung der Daten.

§ 12 Haftung

Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen sowie den im Hauptvertrag getroffenen Haftungsregelungen, soweit diese auf datenschutzrechtliche Pflichtverletzungen anwendbar sind und nicht gegen zwingendes Recht (insbesondere Art. 82 DSGVO) verstoßen.

§ 13 Schlussbestimmungen

13.1 Dieser AVV ist Bestandteil des Hauptvertrags. Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf die Verarbeitung personenbezogener Daten vor.

13.2 Änderungen und Ergänzungen dieses AVV bedürfen der Textform; dies gilt auch für die Änderung dieses Schriftformerfordernisses.

13.3 Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

13.4 Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des IPR. Gerichtsstand ist der Sitz von ibana, soweit gesetzlich zulässig.

Anlage 1 - Gegenstand, Art und Zweck der Verarbeitung

Gegenstand der Verarbeitung: Bereitstellung der ibana-Software zur Automatisierung von Eingangsrechnungsverarbeitung, Zahllaufmanagement und Forderungsmanagement, einschließlich KI-gestützter Funktionen (Texterkennung, Kontierungsvorschläge, interaktiver KI-Agent).

Dauer der Verarbeitung: Für die Dauer des Hauptvertrags; danach gemäß § 11 dieses AVV.

Art und Zweck der Verarbeitung:

• Erfassung, Speicherung und Verarbeitung von Rechnungs-, Überweisungs- und Bankkontodaten zur Erbringung der vertraglichen Software-Leistung
• Verwaltung von Nutzerkonten (Authentifizierung, Berechtigungsverwaltung)
• KI-gestützte automatisierte Verarbeitung von Rechnungsinhalten (Texterkennung, Kontierungsvorschläge)
• KI-gestützte interaktive Agent-Funktion mit temporärer Protokollierung von Konversationsinhalten (30 Tage) zur Qualitätssicherung, Fehlerbehebung und Missbrauchserkennung
• Versand transaktionaler E-Mails (z.B. Benachrichtigungen, Belege)
• Abgleich von Bankumsätzen mit Ausgangsrechnungen (automatische Zuordnung von Zahlungseingängen) sowie Versand von Zahlungserinnerungen an Kund:innen des Auftraggebers per E-Mail
• Protokollierung technischer Server-Logs zur Fehleranalyse und Qualitätssicherung

Kategorien betroffener Personen:

• Mitarbeiter:innen und Vertreter:innen des Auftraggebers (Nutzer:innen der Software)
• Mitarbeiter:innen und Vertreter:innen von Rechnungsstellern und Rechnungsempfängern des Auftraggebers
• Debitoren/Kreditoren bzw. deren Vertreter:innen, soweit natürliche Personen

Kategorien personenbezogener Daten:

• Stammdaten (Name, E-Mail-Adresse, Telefonnummer, Adresse)
• Rechnungsdaten (Rechnungssteller/-empfänger inkl. Name, Adresse, E-Mail, UID-Nummer; Rechnungspositionen; Beträge; Kontierungsdaten)
• Zahlungsverkehrsdaten (Bankkontoinformationen, Verwendungszweck, Beträge, Durchführungsdatum)
• Bankkontodaten bei Verknüpfung (Kontostand, Kontoinhaber:in, Transaktionen bis zu 365 Tage rückwirkend)
• Nutzungs-/Protokolldaten (Login-Zeitpunkte, genutzte Funktionen, IP-Adresse)
• Inhalte von KI-Agent-Konversationen (temporär, 30 Tage)

Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO werden im Rahmen der Auftragsverarbeitung nicht absichtlich verarbeitet; der Auftraggeber stellt sicher, dass solche Daten nicht über die Software übermittelt werden, soweit dies nicht ausdrücklich vereinbart ist.

Nicht Gegenstand dieses AVV ist die Verarbeitung von Nutzungsdaten der Nutzer:innen (z.B. Login-Verhalten, Funktionsnutzung) zur Weiterentwicklung der Software und zur Kundenbetreuung. Diese Verarbeitung erfolgt durch ibana als eigenständig Verantwortliche auf Grundlage ihres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO); Einzelheiten regelt die Datenschutzerklärung von ibana.

Anlage 2 - Technische und organisatorische Maßnahmen (ToMs)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle. ibana betreibt keine eigene physische Serverinfrastruktur; die Datenverarbeitung erfolgt über zertifizierte Cloud-Infrastrukturanbieter (siehe Anlage 3), deren physische Zutrittskontrollen (u.a. ISO 27001/SOC 2-zertifiziert) vertraglich zugesichert sind.

1.2 Zugangskontrolle.

• Multi-Faktor-Authentifizierung (MFA) für den administrativen Zugriff von ibana auf alle produktiven Systeme; für Nutzer:innen des Auftraggebers ist MFA auf Wunsch konfigurierbar
• Authentifizierung und Autorisierung über WorkOS (SSO, Session-Management)
• Verwaltung von Zugangsdaten nach dem Stand der Technik

1.3 Zugriffskontrolle.

• Prinzip der minimalen Rechtevergabe (Least Privilege): Mitarbeiter:innen erhalten ausschließlich Zugriff auf die für ihre Tätigkeit erforderlichen Daten und Systeme
• Rollenbasiertes Berechtigungskonzept
• Eingeschränkter, dokumentierter Zugriff auf KI-Konversationsprotokolle (Agent-Logs) auf einen eng begrenzten Personenkreis
• Protokollierung von Zugriffen auf sensible Systeme

1.4 Trennungskontrolle.

• Logische Mandantentrennung der Kundendaten in der Datenbank
• Trennung von Produktiv-, Test- und Entwicklungsumgebungen
• Technische Beschränkung des KI-Agents auf die Daten der jeweiligen Organisation (Mandant); ein mandantenübergreifender Zugriff ist ausgeschlossen

1.5 Pseudonymisierung / Anonymisierung (Art. 32 Abs. 1 lit. a DSGVO).

• Wo technisch sinnvoll möglich, Verarbeitung in pseudonymisierter Form
• Anonymisierung von Produktnutzungsdaten (Entfernung von Name/E-Mail-Adresse) nach Löschung eines Accounts bzw. einer Organisation
• Server-Logs enthalten ausschließlich technische Daten und keine Rechnungs-, Zahlungs- oder Bankdaten; Nutzer:innen und Organisationen werden darin nur über interne IDs referenziert; Aufbewahrung der Server-Logs für höchstens 90 Tage

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle.

• Verschlüsselung der Datenübertragung mittels TLS/SSL (HTTPS) bei sämtlichen Schnittstellen
• Keine Übermittlung personenbezogener Daten an Dritte außerhalb der in Anlage 3 gelisteten Unterauftragsverarbeiter
• Automatisierte Prüfung hochgeladener und per E-Mail eingehender Dateien auf Schadsoftware

2.2 Eingabekontrolle.

• Protokollierung sicherheitsrelevanter Ereignisse und administrativer Zugriffe
• Nachvollziehbarkeit von Änderungen an Konfigurationen über Versionskontrolle

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

3.1 Verfügbarkeitskontrolle.

• Regelmäßige automatisierte Backups
• Redundante Infrastruktur über die eingesetzten Cloud-Anbieter
• Dokumentierte Incident-Response-Prozesse

3.2 Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO).

• Wiederherstellung aus Backups innerhalb angemessener Frist im Falle eines Vorfalls
• Aufbewahrung von Backups für maximal 30 Tage nach logischer Löschung

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Regelmäßige Überprüfung und Anpassung der technischen und organisatorischen Maßnahmen an den Stand der Technik
• Heranziehung der Zertifizierungen und Audit-Berichte der eingesetzten Unterauftragsverarbeiter (u.a. SOC 2 Type II, ISO 27001)
• Mindestens jährlicher Penetrationstest der ibana-Software durch einen unabhängigen Dienstleister (siehe § 6.3)

5. Spezifische Maßnahmen bei KI-gestützter Verarbeitung

• Verarbeitung ausschließlich auf Servern innerhalb der Europäischen Union (OpenAI-Modelle über Microsoft Azure, Region Schweden; Gemini-Modelle über Google Vertex AI, Region Deutschland)
• Vertragliche Zusicherung der eingesetzten KI-Anbieter, dass keine Nutzung von Kundendaten zu Trainingszwecken erfolgt
• Unterscheidung zwischen automatisierter Rechnungsverarbeitung (Ergebnisse werden ausschließlich zur Leistungserbringung in der Datenbank gespeichert, jedoch nicht an den Analytics-Dienstleister PostHog übermittelt oder zu Analysezwecken protokolliert) und interaktiver KI-Agent-Funktion (Konversationsprotokollierung für 30 Tage zur Qualitätssicherung, Fehlerbehebung und Missbrauchserkennung, danach automatisierte Löschung)
• Eingeschränkter Zugriff auf KI-Konversationsprotokolle nach dem Least-Privilege-Prinzip
• Der KI-Agent verfügt in der Standardkonfiguration ausschließlich über Lesezugriff; Schreib- und Freigabeaktionen durch Agenten sind nur möglich, wenn der Auftraggeber dies ausdrücklich konfiguriert
• Agenten unterliegen denselben Berechtigungen, Freigaberegeln und Prüfmechanismen wie Nutzer:innen; festgelegte automatisierte Prüfungen verhindern bei Auffälligkeiten eine Freigabe durch Agenten

6. Auftragskontrolle

• Vertragliche Bindung sämtlicher Unterauftragsverarbeiter an gleichwertige Datenschutzpflichten (siehe § 7 dieses AVV)
• Dokumentierte Liste der Unterauftragsverarbeiter (Anlage 3) mit Information bei Änderungen

Anlage 3 - Genehmigte Unterauftragsverarbeiter

Hinweis: finAPI GmbH und GoCardless SAS erbringen den Kontoinformationsdienst selbst auf Grundlage ihrer eigenen aufsichtsrechtlichen Zulassung und eines direkten Vertrags mit dem Kontoinhaber; insoweit handeln sie als eigenständig Verantwortliche. Für die darüber hinausgehende Verarbeitung im Auftrag von ibana gelten die mit ibana abgeschlossenen Auftragsverarbeitungsverträge.

Stand: 01.10.2026