Vereinbarung zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Maßgebliche Fassung: Dieses Dokument liegt ausschließlich auf Deutsch vor; die deutsche Fassung ist verbindlich. Englische und spanische Fassungen bestehen derzeit nicht — die Oberfläche von NiiRo Tax ist dreisprachig, dieser Rechtstext ist es nicht.

Auftragsverarbeiter: NiiRo.ai, Inh. Robin Kolb, Carrer de S'Illot 13, 07400 Alcúdia, Spanien, info@niiro.ai (nachfolgend „Auftragnehmer“).

Verantwortlicher: der Nutzer von NiiRo Tax, der die Anwendung geschäftlich im eigenen Namen nutzt und dabei personenbezogene Daten seiner eigenen Kunden, Lieferanten oder Mitarbeiter verarbeitet (nachfolgend „Auftraggeber“).

Stand: 7. Oktober 2026

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftraggeber im Rahmen der Nutzung von NiiRo Tax in die Anwendung eingibt, hochlädt oder dort erzeugen lässt. Die Vereinbarung gilt für die Dauer des Nutzungsverhältnisses und endet mit dessen Beendigung; die Pflichten aus Ziffer 11 (Löschung und Rückgabe) bestehen darüber hinaus fort.

Für Konto-, Anmelde- und eigene Nutzungsdaten des Auftraggebers ist der Auftragnehmer selbst Verantwortlicher; diese Verarbeitung ist nicht Gegenstand dieser Vereinbarung, sondern der Datenschutzerklärung.

2. Art und Zweck der Verarbeitung

Die Verarbeitung dient ausschließlich der Bereitstellung der vom Auftraggeber genutzten Funktionen. Das sind derzeit: Verwaltung eines oder mehrerer Unternehmen, Erfassung und Stornierung von Buchungen, Belegablage mit maschinellem Auslesen und Übersetzung, Anlagevermögen und Abschreibung, Umsatzsteuer-Voranmeldung, ein Profil für die spanische Einkommensteuer, ein Fahrtenbuch mit Entfernungs- und Ortsermittlung, die Übernahme von Rechnungen aus Crewmate und Picmate, der Import von Kontoauszügen zur Zuordnung von Zahlungen zu Buchungen und Belegen (die Datei wird nur gelesen, nicht gespeichert; mit dem standardmäßig ausgeschalteten KI-Import liest Anthropic Kontoauszüge aus, die kein genauer Leser lesen kann, nur wenn der Auftraggeber ihn eingeschaltet hat) sowie ein revisionssicheres Änderungsprotokoll. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt.

3. Art der personenbezogenen Daten

Siehe Anlage 1.

4. Kategorien betroffener Personen

  • Kunden des Auftraggebers, die auf Ausgangsrechnungen und in Buchungen erscheinen
  • Lieferanten und Dienstleister des Auftraggebers, die auf Eingangsbelegen erscheinen
  • Mitarbeiter und Ansprechpartner der genannten Unternehmen, soweit sie auf einem Beleg benannt sind
  • Fahrer und Halter der im Fahrtenbuch geführten Fahrzeuge sowie Personen, deren Anschrift als Fahrtziel erfasst wird
  • Gegenparteien der Bewegungen importierter Kontoauszüge (Zahler und Zahlungsempfänger), auf gemischt genutzten Konten auch Privatpersonen

5. Weisungsrecht

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Anwendung und die darin getroffenen Einstellungen gelten als Weisung. Weitergehende Weisungen bedürfen der Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und kann ihre Ausführung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

Eine Verpflichtung zur Verarbeitung aufgrund des Unionsrechts oder des Rechts eines Mitgliedstaats teilt der Auftragnehmer vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

6. Vertraulichkeit

Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Der Auftragnehmer wird derzeit ohne Beschäftigte geführt; die Verpflichtung trifft den Inhaber unmittelbar und ist bei jeder künftigen Einbindung weiterer Personen vor deren Zugriff schriftlich zu begründen.

7. Technische und organisatorische Maßnahmen

Siehe Anlage 2. Die Maßnahmen sind nach dem Stand der Technik angemessen im Sinne des Art. 32 DSGVO und können fortentwickelt werden; das Schutzniveau darf dabei nicht unterschritten werden.

8. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung zur Einbindung der in Anlage 3 genannten Unterauftragsverarbeiter. Der Auftragnehmer informiert über beabsichtigte Änderungen; der Auftraggeber kann innerhalb von 30 Tagen widersprechen. Wird ein Widerspruch erhoben und lässt sich die Funktion ohne den betreffenden Unterauftragsverarbeiter nicht erbringen, kann jede Partei das Nutzungsverhältnis mit Wirkung für die Zukunft beenden.

Der Auftragnehmer verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das dieser Vereinbarung entspricht. Diese Vereinbarung behauptet dabei keine bestimmte Vertragskonfiguration bei einem Anbieter — welche Auftragsverarbeitungs- oder Drittlandtransfer-Regelung im Einzelfall gilt, richtet sich nach den jeweils aktuellen Verträgen und Projekteinstellungen beim Anbieter. Besondere Anbieter-Kontrollen wie Zero Data Retention, eingeschränkte Missbrauchsüberwachung oder ausschließliche EU-Datenresidenz erfordern eine gesonderte Freischaltung und werden nur zugesagt, soweit sie nachweislich aktiviert sind.

9. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Betroffenenrechten (Art. 12 bis 22 DSGVO) sowie bei Datenschutz-Folgenabschätzung und vorheriger Konsultation (Art. 35, 36 DSGVO), soweit ihm das mit angemessenem Aufwand möglich ist. Die Anwendung stellt hierfür Auskunfts-, Export- und Löschfunktionen bereit; darüber hinausgehende Unterstützung erfolgt auf Anfrage über info@niiro.ai.

Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbständig inhaltlich.

10. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, und unterstützt ihn bei dessen eigenen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

11. Löschung und Rückgabe

Nach Beendigung der Verarbeitung löscht der Auftragnehmer die Daten oder gibt sie zurück, nach Wahl des Auftraggebers, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht.

Was die Anwendung tatsächlich tut, und wo sie es bewusst nicht tut: Buchhaltungsdaten unterliegen einer Aufbewahrungspflicht, und Art. 17 Abs. 3 lit. b DSGVO nimmt sie vom Löschrecht aus. Die Kontolöschung beendet deshalb den Zugang, entfernt aber nicht jeden Personenbezug: Die Unternehmen werden ausgeblendet, ein laufendes Abonnement wird zum Ende der bezahlten Periode gekündigt, die E-Mail-Adresse wird durch eine dauerhaft unzustellbare ersetzt, die Metadaten werden geleert, das Passwort wird durch einen Zufallswert ersetzt und das Login wird gesperrt – für alle NiiRo-Apps, die dieselbe Anmeldung nutzen. Die Buchungsdaten selbst (Buchungen, Belege und die Angaben der Unternehmen wie Name, Steuernummer und Anschrift) bleiben für die Dauer der Aufbewahrungspflicht bestehen. Sie sind danach pseudonymisiert, nicht anonymisiert: Die Unternehmensangaben können den Auftraggeber weiterhin bezeichnen, etwa als Einzelunternehmer. Ein hartes Löschen ist zusätzlich technisch ausgeschlossen: auf dem Änderungsprotokoll liegt eine Sperre gegen jedes Löschen und Ändern, und die Löschkaskade der übergeordneten Tabelle läuft in diese Sperre. Das ist kein Fehlschlag der Löschfunktion, sondern ihr vorgesehenes Verhalten.

Nutzt der Auftraggeber dieselbe Anmeldung auch für crewmate oder eine andere NiiRo-App, endet nur NiiRo Tax: ausgeblendet werden nur Unternehmen, die ausschließlich in NiiRo Tax genutzt werden, und ein laufendes NiiRo-Tax-Abonnement wird zum Ende der bezahlten Periode gekündigt. E-Mail-Adresse, Passwort und Zugang bleiben dann unverändert, ebenso die Unternehmen und Daten, die er in den anderen Apps nutzt; die Anwendung nennt vor der Bestätigung, welcher der beiden Fälle vorliegt.

Die Aufbewahrungspflichten des Steuer- und Handelsrechts treffen den Auftraggeber als Buchführungspflichtigen. Der Auftragnehmer bewahrt die Buchführung auf dessen Weisung auf: Die Kontolöschung gilt als Weisung, den Zugang zu beenden und die Daten bis zum Ende der Aufbewahrungspflicht gesperrt aufzubewahren. Welche Frist im Einzelfall gilt, richtet sich nach dem für den Auftraggeber geltenden Steuer- und Handelsrecht:

  • Deutschland: 10 Jahre für Bücher, Aufzeichnungen und Jahresabschlüsse, 8 Jahre für Buchungsbelege und Rechnungen (§ 147 Abs. 3 AO, § 14b Abs. 1 UStG). Die Frist beginnt mit dem Ende des Kalenderjahres, in dem die letzte Eintragung gemacht, der Beleg entstanden oder die Rechnung ausgestellt wurde (§ 147 Abs. 4 AO, § 14b Abs. 1 UStG). Sie läuft nicht ab, solange die Unterlagen für eine Steuer von Bedeutung sind, deren Festsetzungsfrist noch nicht abgelaufen ist (§ 147 Abs. 3 Satz 5 AO).
  • Spanien: mindestens bis zur Verjährung der Steueransprüche, 4 Jahre ab dem Ende der jeweiligen Erklärungsfrist (Art. 66, 67 und 70 Ley General Tributaria); soweit der Código de Comercio gilt (für Kaufleute im Sinne des Handelsrechts, nicht ohne Weiteres für Selbständige mit künstlerischer Tätigkeit), 6 Jahre für Bücher, Korrespondenz und Belege ab der letzten Eintragung in den Büchern (Art. 30 Código de Comercio).

12. Nachweise und Überprüfungen

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO). Überprüfungen sind mit angemessener Vorlaufzeit anzukündigen, auf das Erforderliche zu beschränken und dürfen den Betrieb nicht unangemessen beeinträchtigen. Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

13. Drittlandtransfer

Ein Transfer in ein Drittland findet statt, soweit die in Anlage 3 genannten Unterauftragsverarbeiter außerhalb der EU/des EWR verarbeiten. Die Rechtsgrundlage richtet sich nach den jeweils geltenden Verträgen des Anbieters (Angemessenheitsbeschluss, Standardvertragsklauseln oder eine sonstige Garantie nach Kapitel V DSGVO). Eine pauschale Zusage zu Standardvertragsklauseln oder EU-Datenresidenz wird hier ausdrücklich nicht gegeben; sie wäre ohne Prüfung der konkreten Anbieter-Konfiguration nicht belegbar.

14. Schlussbestimmungen

Änderungen bedürfen der Textform. Bei Widerspruch zwischen dieser Vereinbarung und den Nutzungsbedingungen geht diese Vereinbarung für die Auftragsverarbeitung vor. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Es gilt spanisches Recht; zuständige Aufsichtsbehörde ist die Agencia Española de Protección de Datos (AEPD).

Anlage 1 – Art der personenbezogenen Daten

  • Unternehmensstammdaten: Firmenname, Steuernummer, USt-IdNr., Anschrift, Wirtschaftsjahr, Kontenrahmen
  • Buchungsdaten: Datum, Beschreibung, Konto, Netto-, Steuer- und Bruttobetrag, Steuersatz, Kategorie, Buchungs- und Stornozeitpunkt, Stornogrund
  • Belege: die hochgeladene Datei selbst (PDF oder Bild) mit allen darin enthaltenen Angaben, dazu Dateiname, Dateityp, Größe, Zeitpunkt sowie die maschinell vorgeschlagenen Werte (Belegnummer, Belegdatum, Lieferantenname, Beträge, Steuersatz, Konto, Kategorie, Zuverlässigkeit der Erkennung)
  • Anlagevermögen: Bezeichnung, Anschaffungsdatum und -kosten, Nutzungsdauer, Abschreibungsmethode, Restwert
  • Steuerliche Meldungen: Umsatzsteuer-Voranmeldungen mit Zeitraum und Beträgen; für die spanische Einkommensteuer zusätzlich Veranlagungsjahr, Vertrags- und Aufenthaltsprofil, autonome Gemeinschaft, Veranlagungsart, Altersgruppe, persönlich-familiärer Status, weitere Einkünfte, Abzüge und Vorauszahlungen
  • Fahrtenbuchdaten: Fahrzeugname und amtliches Kennzeichen, Start-Anschriften mit Geokoordinaten, Fahrtzwecke sowie je Fahrt Datum, Kilometerstände, Ziel mit Geokoordinaten, ermittelte Route, Uhrzeiten, Dauer, Fahrtart und Notizen — mithin Standort- und Bewegungsdaten
  • Kontoauszugsdaten: je Bewegung Buchungs- und Valutadatum, Betrag und Währung (bei Fremdwährung Originalbetrag und Kurs), Name der Gegenpartei, Verwendungszweck und Bankreferenzen; die IBAN der Gegenpartei und des eigenen Kontos nur als Prüfwert (ein mit der Unternehmenskennung gebildeter Hash, also pseudonymisiert) und mit den letzten vier Zeichen; je Auszug Format, Zeitraum, Salden und ein Prüfwert der Datei; bei per KI gelesenen Auszügen je Bewegung die Kennzeichnung, ob die KI sie gelesen oder der Auftraggeber sie vor der Übernahme korrigiert hat. Die Datei selbst und ihr Name werden nicht gespeichert. Beim KI-Import wird die vollständige Datei an Anthropic übermittelt (Anlage 3), mit allen darin enthaltenen Kontoauszugsdaten einschließlich der Daten Dritter.
  • KI-Import: je Unternehmen, ob er eingeschaltet ist, Zeitpunkt der Zustimmung und Fassung des bestätigten Hinweises; je Tag ein Zähler der Auslesungen und der verbrauchten Rechenmenge (Tokens), ohne Inhalte
  • Abrechnungsdaten: Kunden- und Abonnement-Kennung des Zahlungsdienstleisters, Tarif, Status, Abrechnungsperiode. Kartendaten werden auf Systemen des Auftragnehmers nicht verarbeitet.
  • Protokolldaten: Zeitpunkt, Nutzerkennung, Art der Änderung sowie der Zustand vor und nach der Änderung
  • Übergabedaten aus Crewmate/Picmate: Prüfwert eines kurzlebigen Einmal-Tokens, Herkunfts-App, dortige Nutzerkennung, Ablaufzeitpunkt; bei der Rechnungsübernahme zusätzlich die übernommene Rechnung samt Quellkennung

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Angaben beschreiben den umgesetzten Stand; sie sind aus der Anwendung und der Datenbank abgeleitet und nicht als allgemeine Zusicherung zu lesen.

  • Zugangskontrolle: Anmeldung über die Authentifizierung des Datenbank-Anbieters mit E-Mail und Passwort; ein anderer Anmeldeweg besteht nicht. Das Passwort liegt dem Auftragnehmer nicht im Klartext vor.
  • Zugriffskontrolle auf Datenebene: Row Level Security ist auf allen 56 Tabellen von NiiRo Tax aktiviert; 54 davon führen mindestens eine Policy, die übrigen zwei sind ohne Policy und damit für angemeldete Nutzer gesperrt — sie werden ausschließlich serverseitig geschrieben. Die Zahlen sind aus den Datenbank-Migrationen abgeleitet. Eine Erweiterung um neue Tabellen ohne Policy führt zu keinem Zugriff, nicht zu einem offenen.
  • Unveränderlichkeit des Protokolls: auf dem Änderungsprotokoll liegt eine Datenbanksperre, die jedes UPDATE und DELETE abweist — auch für den Betreiber und auch über eine Löschkaskade.
  • Belegablage: hochgeladene Dateien liegen in einem privaten Dateispeicher-Bereich und sind nicht über eine öffentliche Adresse abrufbar.
  • Übergabe zwischen den Apps: die Übernahme aus Crewmate oder Picmate läuft über ein einmalig einlösbares, zeitlich befristetes Token; gespeichert wird nur dessen Prüfwert, und ein eingelöstes Token ist verbraucht.
  • Bestätigung bei Kontoauflösung: die Auflösung verlangt die Eingabe der eigenen E-Mail-Adresse und kündigt ein laufendes Abo, damit niemand in einem Abonnement zurückbleibt, das er nicht mehr beenden kann.
  • Verfügbarkeit: Datenhaltung und Sicherung erfolgen beim Datenbank-Anbieter (Anlage 3); Verfügbarkeits- und Wiederherstellungszusagen richten sich nach dessen Bedingungen.
Nicht zugesagt wird: eine Verschlüsselung einzelner Feldinhalte auf Anwendungsebene über die Transport- und Speicherverschlüsselung des Anbieters hinaus, ein zertifiziertes Informationssicherheits-Managementsystem, ein Pseudonymisierungsverfahren für Bestandsdaten und eine zweite Stufe bei der Anmeldung. Wo eine Maßnahme nicht umgesetzt ist, steht sie hier nicht.

Anlage 3 – Unterauftragsverarbeiter

Die Liste ist aus den tatsächlich aufgerufenen Diensten abgeleitet, nicht aus einer gepflegten Aufzählung.

  • Supabase – Datenhaltung, Authentifizierung, Dateispeicher. Verarbeitet alle in Anlage 1 genannten Daten. Region des Projekts: eu-central-2 (EU).
  • Vercel – Hosting und Auslieferung der Anwendung. Verarbeitet Verbindungsdaten und die zur Laufzeit übermittelten Inhalte.
  • Stripe – Abwicklung des Abonnements des Auftraggebers. Kartendaten werden nicht auf Systemen des Auftragnehmers verarbeitet.
  • Anthropic (Anthropic PBC, USA) – maschinelles Auslesen hochgeladener Belege und Übersetzung von PDFs sowie Auslesen von Kontoauszügen (nur bei eingeschaltetem KI-Import). Übermittelt wird die vollständige Datei mit allen darin enthaltenen Angaben, bei Kontoauszügen also auch Namen, IBANs und Verwendungszwecke Dritter, nur auf Auslösung durch den Auftraggeber. Für den Drittlandtransfer gilt Ziffer 13.
  • Google (Maps) – Geokodierung von Anschriften und Entfernungsermittlung im Fahrtenbuch, sofern ein Google-Schlüssel konfiguriert ist. Übermittelt werden der Adresstext beziehungsweise Start und Ziel einer Fahrt, ohne Namen.

Analyse-, Tracking- oder Werbedienste sind nicht eingebunden. Schriften werden von der eigenen Domain ausgeliefert; ein Abruf bei einem externen Schriftanbieter durch den Browser des Nutzers findet nicht statt.