Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Er wird mit den Allgemeinen Geschäftsbedingungen angenommen, eine Unterschrift ist nicht nötig. Stand: 20. September 2026.

1. Parteien und Rollen

Auftragsverarbeiter ist Tobias Benkner, Calle Doctor Alfonso Chiscano Diaz 10, 35010 Las Palmas de Gran Canaria, España.

Verantwortlicher ist die Kundin oder der Kunde, die oder der HolaKiko nutzt. Wer Belege hochlädt, entscheidet über Zweck und Mittel ihrer Verarbeitung; wir verarbeiten sie ausschliesslich für ihn.

Dieser Vertrag gilt damit für Unternehmen, Selbständige und Steuerkanzleien, für alle, die den Dienst beruflich nutzen. Wer ihn als Verbraucher für seine eigenen Unterlagen nutzt, ist nicht Verantwortlicher im Sinne der DSGVO, sondern Betroffener: für ihn verarbeiten wir in eigener Verantwortung und es gilt allein die Datenschutzerklärung. Dieser Vertrag läuft dann leer.

Nutzt eine Steuerkanzlei den Dienst für ihre Mandanten, bleibt der Mandant Verantwortlicher für seine eigenen Belege. Die Kanzlei erhält Lesezugriff, weil und solange der Mandant ihn erteilt hat.

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung von HolaKiko: Aufbewahrung hochgeladener Belege, automatisches Auslesen ihrer Angaben, Bereitstellung der Oberfläche und Erzeugung der Exportpakete.

Der Vertrag läuft, solange das Konto besteht, und endet mit ihm.

3. Art, Umfang und Zweck

Verarbeitet wird, um den Dienst zu erbringen, nicht zu eigenen Zwecken. Die Daten werden nicht zum Training von KI-Modellen verwendet, weder von uns noch von den in Anlage 2 genannten Unterauftragsverarbeitern.

4. Kategorien von Daten und Betroffenen

Betroffene: die Kundin oder der Kunde selbst sowie Personen, die in den hochgeladenen Belegen vorkommen, typischerweise Ansprechpartner von Ausstellern.

• Bestandsdaten des Kontos: Name, E-Mail-Adresse
• Inhalte der Belege: Aussteller samt Anschrift, Datum, Beträge, Steuersätze, Belegnummern, Steuer- und USt-IdNr., Notizen
• Die hochgeladenen Dateien selbst (PDF, Foto)
• Nutzungsdaten: Zeitpunkt und Adresse der Zugriffe, IP-Adresse

Besondere Kategorien nach Art. 9 DSGVO werden nicht angefordert. Wer eine Arztrechnung hochlädt, bringt sie dennoch ein und die Verarbeitung folgt dann derselben Weisung wie jeder andere Beleg.

5. Weisungsbindung

Wir verarbeiten die Daten nur auf dokumentierte Weisung: die Nutzung des Dienstes und dieser Vertrag sind die Weisung. Halten wir eine Weisung für rechtswidrig, sagen wir es und dürfen ihre Ausführung aussetzen.

6. Vertraulichkeit

Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Der Zugang ist auf das beschränkt, was für den Betrieb erforderlich ist.

7. Sicherheit der Verarbeitung

Die getroffenen Massnahmen stehen in Anlage 1.

8. Unterauftragsverarbeiter

Die derzeit beauftragten stehen in Anlage 2. Wir verpflichten sie auf dieselben Pflichten, die uns hier treffen.

Eine Änderung geben wir mindestens vier Wochen vorher per E-Mail bekannt. Wer widerspricht, kann den Vertrag zum Wirksamwerden der Änderung kündigen; die Daten lassen sich vorher vollständig herunterladen.

9. Unterstützung

Wir unterstützen bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Für die Übertragbarkeit braucht es uns dabei nicht: in den Einstellungen gibt ein Knopf jederzeit alle Daten als ZIP heraus: Originaldateien nach Monaten geordnet, dazu Tabellen mit allen erfassten Werten.

Bei einer Datenschutzverletzung benachrichtigen wir den Verantwortlichen unverzüglich nach Kenntnis, damit er seine Frist nach Art. 33 DSGVO halten kann.

10. Löschung und Rückgabe

Nach Ende der Verarbeitung löschen wir die Daten. Das Konto lässt sich jederzeit selbst löschen: es wird vorgemerkt und gesperrt, nach 30 Tagen endgültig entfernt und in dieser Zeit ist die Löschung zurücknehmbar und das Datenpaket abrufbar. Wer nicht warten will, kann sofort löschen.

Sicherungen bleiben davon ausgenommen, bis sie auslaufen. Sie werden nicht nachträglich bearbeitet und zu nichts anderem verwendet als zur Wiederherstellung im Notfall. Das ist die Haltung, die auch die Aufsichtsbehörden vertreten: entscheidend ist, dass die Daten bis dahin gesperrt sind und dass man es offen sagt.

11. Nachweise und Überprüfung

Wir weisen die Einhaltung auf Anfrage nach, in erster Linie durch die Angaben in diesem Dokument und die Nachweise unserer Unterauftragsverarbeiter. Eine Überprüfung vor Ort ist nach Ankündigung und zu üblichen Geschäftszeiten möglich.

Anlage 1: Technische und organisatorische Massnahmen

Beschrieben ist, was umgesetzt ist, nicht, was üblich wäre.

Trennung der Mandanten

Jeder Datensatz gehört genau einem Konto. Der Besitzer wird serverseitig aus der Anmeldung gesetzt und nie aus der Anfrage übernommen; die Zugriffsregeln der Datenbank lassen nur die eigenen Datensätze durch. Ein Konto kann die Daten eines anderen weder lesen noch ändern, auch nicht durch veränderte Anfragen.

Zugang

Die Anmeldung erfolgt mit einem Einmalcode an die hinterlegte Adresse und es gibt kein Passwort, das gestohlen oder wiederverwendet werden könnte. Anmeldeversuche und Registrierungen sind je Absenderadresse gedrosselt. In der App lässt sich zusätzlich eine Sperre per Face ID oder Gerätecode einschalten.

Übertragung

Ausschliesslich über TLS, mit von Let's Encrypt ausgestellten Zertifikaten. Die Verbindung zum KI-Dienst ist ebenfalls TLS-gesichert.

Integrität

Hochgeladene Dateien werden nie verändert. Korrekturen betreffen nur die Angaben daneben; umgewandelte Fassungen treten neben das Original, nicht an seine Stelle. Über jede Datei wird ein SHA-256-Prüfwert gebildet, der Dubletten erkennt und die Unversehrtheit belegt.

Verfügbarkeit

Tägliche Sicherungen und eine zweite, monatliche Reihe, die Monate überdauert. Eine Wache meldet, wenn eine Sicherung ausbleibt. Gemeldet wird das Fehlen, nicht das Gelingen, denn eine tägliche Erfolgsmeldung liest nach einer Woche niemand mehr.

Protokollierung

Zugriffe und Fehler werden protokolliert und nach 30 Tagen gelöscht. Fehler im Betrieb melden sich unmittelbar an den Betreiber, damit Störungen nicht erst beim nächsten Hinsehen auffallen.

Belastbarkeit

Der Dienst begrenzt seine eigenen Kosten und Anfragen gegenüber dem KI-Dienst, sodass eine Überlast weder Daten verliert noch unbemerkt Kosten erzeugt.

Anlage 2: Unterauftragsverarbeiter

Änderungen an dieser Liste geben wir mindestens vier Wochen vorher per E-Mail bekannt.

Fragen

info@pulpo.cloud