← Zurück zu Levamio Forderungs-Agent

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO – „Levamio Forderungs-Agent“

Version 1.0 – Freigabekandidat 1.0 – noch nicht freigegeben. Interner Kopf, Stand 20.10.2026: Fassung zum Launch; Freigabe durch Tassilo ausstehend; Kanzleiprüfung nach ersten Umsätzen. Freigabe-Sperre: ENTWURF bis zur Freigabe („Freigabe Rechtstexte Levamio 1.0“) – nicht veröffentlichen. Dieser Kopf (alle „>“-Zeilen unter der Überschrift) wird nach der Freigabe entfernt; öffentlich bleibt nur „Stand: 20.10.2026“ am Ende. Erstellt mit KI-Unterstützung, keine Rechtsberatung, keine anwaltliche Prüfung. Offen formulierte Stellen und fehlende Angaben: FREIGABE_KOMPAKT.md. Geplante Einbindung: als Anlage zu den AGB (agb-forderungs-agent.md, Ziffer 10), Zustimmung bei der Registrierung (Anlegen der Firma) per gemeinsamer Checkbox mit den AGB; gespeichert werden AVV-Version, Zeitpunkt und zustimmender Nutzer (dpa_version, dpa_accepted_at, terms_accepted_by) (erneute Zustimmung bei Versionswechsel noch nicht umgesetzt, siehe README Abschnitt 4), Download als PDF unter https://levamio.com/apps/forderungen/avv. Grundlage: Code-Inventur apps/forderungs-agent/ am 20.10.2026.
Drittlandbezug (für die spätere Kanzleiprüfung): Der Auftragsverarbeiter sitzt in den VAE (kein Angemessenheitsbeschluss). Klären, ob zusätzlich die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), Modul 2 (Verantwortlicher → Auftragsverarbeiter) abzuschließen sind; dann gehen diese bei Widersprüchen vor (Ziffer 11.2). Alternativ prüfen, ob die Speicherung in der EU mit Administration aus den VAE als Übermittlung zu werten ist.

zwischen

dem Nutzer des Dienstes „Levamio Forderungs-Agent“ gemäß Registrierung
– Verantwortlicher, im Folgenden „Auftraggeber“ –

und

NEXTLEVEL CORPORATE SERVICE PROVIDER - FZCO, Building A1, IFZA Business Park, Dubai Digital Park, Dubai Silicon Oasis, Dubai, Vereinigte Arabische Emirate, DIEZ License No. 67837, vertreten durch Tassilo Peter Seitz, E-Mail: [email protected], Datenschutz: [email protected]
– Auftragsverarbeiter, im Folgenden „Auftragnehmer“ –

1. Gegenstand und Dauer

1.1 Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung des Software-Dienstes „Levamio Forderungs-Agent“ (im Folgenden „Dienst“) nach den AGB des Auftragnehmers (im Folgenden „Hauptvertrag“). Der Dienst unterstützt den Auftraggeber dabei, eigene offene Rechnungen mit Zahlungserinnerungen in seinem Namen nachzufassen.

1.2 Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags einschließlich einer kostenlosen Testphase. Pflichten nach Ziffer 9 (Löschung und Rückgabe) bestehen über das Vertragsende hinaus fort.

2. Art, Zweck, Datenarten, Betroffene

2.1 Art der Verarbeitung: Erheben (Import aus CSV, manuelle Eingabe, lesender Abruf aus der Buchhaltungssoftware des Auftraggebers), Speichern, Ordnen, Abgleichen, Verwenden (Planung und Erstellung von Zahlungserinnerungen, optional KI-gestützte Textvorschläge), Übermitteln (E-Mail-Versand an die Kunden des Auftraggebers), Protokollieren, Löschen.

2.2 Zweck: Bereitstellung des Dienstes nach dem Hauptvertrag, insbesondere Verwaltung offener Rechnungen, Planung, Freigabe und Versand von Zahlungserinnerungen im Namen des Auftraggebers, Stopp bei erkannter oder vom Auftraggeber markierter Zahlung sowie auf Klick des Auftraggebers (z. B. wenn der Kunde geantwortet hat – eine automatische Erkennung von Antworten findet nicht statt), Protokollierung, Auswertungen und Export für den Auftraggeber.

2.3 Datenarten:

• Stammdaten der Kunden des Auftraggebers: Name bzw. Firma, ggf. Ansprechpartner, E-Mail-Adresse, Sprache, Kundenart (Unternehmen/Privatperson), externe Kennung aus dem Quellsystem;
• Rechnungs- und Forderungsdaten: Rechnungsnummer, Betrag, offener Betrag, Währung, Rechnungs- und Fälligkeitsdatum, Zahlungsstatus und -zeitpunkt, Pausen, Stoppgründe (z. B. „Kunde hat geantwortet“, „Ratenzahlung“);
• Kommunikationsdaten: Betreff und Text der Zahlungserinnerungen, Versandzeitpunkte, Zustellkennungen und -fehler, Versandprotokoll;
• vom Auftraggeber eingegebene Zahlungsangaben (z. B. eigene IBAN als Freitext, Zahlungslink) – Daten des Auftraggebers, nicht der Kunden.

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Auftraggeber trägt solche Daten nicht in Freitextfelder ein.

2.4 Betroffene: Kunden (Rechnungsempfänger) des Auftraggebers und deren Ansprechpartner; ggf. Mitarbeitende des Auftraggebers, soweit in Texten genannt.

3. Weisungen

3.1 Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist durch Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO); in diesem Fall teilt er dem Auftraggeber diese Anforderungen vorab mit, sofern das Recht dies nicht verbietet.

3.2 Weisungen sind der Hauptvertrag, dieser Vertrag sowie die Einstellungen und Aktionen des Auftraggebers im Dienst (z. B. Import, Freigabe, Pause, Stopp, Löschung). Weitere Weisungen erteilt der Auftraggeber in Textform an [email protected].

3.3 Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

4. Pflichten des Auftraggebers

4.1 Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der Verarbeitung der Daten seiner Kunden (in der Regel Art. 6 Abs. 1 lit. b oder f DSGVO), die Richtigkeit der Forderungen und Daten, die Information der Betroffenen nach Art. 13, 14 DSGVO und die Erfüllung gesetzlicher Aufbewahrungspflichten in eigenen Systemen.

4.2 Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

5. Pflichten des Auftragnehmers

5.1 Vertraulichkeit: Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

5.2 Sicherheit: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

5.3 Unterstützung bei Betroffenenrechten: Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen Betroffener (Art. 12–23 DSGVO). Wendet sich ein Betroffener direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

5.4 Unterstützung bei Art. 32–36 DSGVO: Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei Sicherheit, Meldungen von Verletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation.

5.5 Verletzungen des Schutzes personenbezogener Daten: Der Auftragnehmer meldet dem Auftraggeber eine ihm bekannt gewordene Verletzung unverzüglich, möglichst innerhalb von 48 Stunden, per E-Mail an die Konto-Adresse, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

5.6 Nachweise: Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Ziffer 8).

5.7 Verzeichnis: Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

5.8 Der Auftragnehmer verwendet die Daten nicht für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen und nicht für Werbung. Der Auftraggeber weist den Auftragnehmer an, aus den Auftragsdaten zusammengefasste, anonymisierte Kennzahlen zu bilden, die weder auf einzelne Auftraggeber noch auf Betroffene rückführbar sind; der Auftragnehmer darf solche Kennzahlen zur Verbesserung des Dienstes verwenden.

6. Unterauftragsverarbeiter

6.1 Der Auftraggeber genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung, Art. 28 Abs. 2 DSGVO).

6.2 Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. Kommt keine Einigung zustande, kann jede Partei den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

6.3 Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die diesem Vertrag im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

6.4 Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation, Post- und Transportdienste. Die Buchhaltungsanbieter des Auftraggebers (z. B. lexoffice/Lexware Office, sevDesk) sind Vertragspartner des Auftraggebers und keine Unterauftragsverarbeiter des Auftragnehmers; der Auftragnehmer greift dort nur mit dem API-Schlüssel des Auftraggebers lesend zu.

7. Übermittlung in Drittländer

7.1 Der Auftragnehmer hat seinen Sitz in den Vereinigten Arabischen Emiraten; für die VAE besteht kein Angemessenheitsbeschluss der EU-Kommission. Die Daten werden bei Unterauftragsverarbeitern gespeichert (Anlage 2); der Zugriff durch den Auftragnehmer erfolgt aus den VAE.

7.1a Für Übermittlungen an den Auftragnehmer, auf die Kapitel V DSGVO anwendbar ist, vereinbaren die Parteien mit Abschluss dieses Vertrags die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914), Modul 2 (Verantwortlicher an Auftragsverarbeiter), die durch diese Bezugnahme Bestandteil dieses Vertrags werden; der Auftraggeber ist Datenexporteur, der Auftragnehmer Datenimporteur. Dabei gilt: Klausel 7 (Kopplungsklausel) findet keine Anwendung; Klausel 9 Option 2 (allgemeine Genehmigung, Frist nach Ziffer 6.2); die Option in Klausel 11 findet keine Anwendung; Klausel 13: zuständig ist die für den Auftraggeber zuständige Aufsichtsbehörde; Klausel 17 Option 1: Recht der Bundesrepublik Deutschland; Klausel 18: Gerichte der Bundesrepublik Deutschland. Anhang I ergibt sich aus der Registrierung (Parteien) und Ziffer 2 (Beschreibung der Übermittlung), Anhang II aus Anlage 1, Anhang III aus Anlage 2. Eine Kopie der Klauseln erhält der Auftraggeber auf Anfrage. Die Klauseln gehen nach Ziffer 11.2 vor.

7.2 Übermittlungen an Unterauftragsverarbeiter in Drittländern erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework für zertifizierte Empfänger) oder der Standardvertragsklauseln (Modul 3, Auftragsverarbeiter → Unterauftragsverarbeiter).

8. Kontrollrechte

8.1 Der Auftragnehmer weist die Einhaltung seiner Pflichten vorrangig durch Selbstauskünfte, die aktuelle Fassung der Anlage 1 sowie Zertifikate und Prüfberichte seiner Unterauftragsverarbeiter (z. B. ISO 27001, SOC 2) nach.

8.2 Darüber hinaus kann der Auftraggeber nach rechtzeitiger Anmeldung (mindestens 30 Tage) und höchstens einmal je Kalenderjahr, außer bei konkretem Anlass, eine Prüfung durch sich oder einen zur Verschwiegenheit verpflichteten Prüfer verlangen, die vorrangig als Dokumenten- bzw. Fernprüfung erfolgt. Der Auftragnehmer kann für Prüfungen, die über Ziffer 8.1 hinausgehen, eine angemessene Erstattung seines Aufwands verlangen; das gilt nicht, wenn die Prüfung einen erheblichen Verstoß des Auftragnehmers gegen diesen Vertrag ergibt. Prüfungen durch Aufsichtsbehörden bleiben unberührt.

9. Löschung und Rückgabe

9.1 Der Auftraggeber kann die Auftragsdaten während der Vertragslaufzeit jederzeit selbst exportieren (Einstellungen: alle Daten als JSON, Rechnungen als CSV) und mit „Konto und Firma löschen“ vollständig löschen. Nach Ende des Hauptvertrags stellt der Auftragnehmer dem Auftraggeber für 30 Tage eine Exportmöglichkeit (z. B. CSV) zur Verfügung und löscht danach alle Auftragsdaten einschließlich Kopien, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Speicherpflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).

9.1a Während der Laufzeit löscht der Dienst Einträge des Versandprotokolls automatisch nach 730 Tagen.

9.2 Datensicherungen bei Unterauftragsverarbeitern werden im Rahmen der regulären Rotation gelöscht, in der Regel spätestens nach 30 Tagen (Cloudflare D1 Time Travel).

9.3 Die Löschung bestätigt der Auftragnehmer auf Anfrage in Textform.

10. Haftung

Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht zwingend anderes vorsieht.

11. Schlussbestimmungen

11.1 Änderungen und Ergänzungen bedürfen der Textform. Die Einbeziehung erfolgt elektronisch mit Annahme der AGB.

11.2 Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht; die Standardvertragsklauseln (Ziffer 7.1a) gehen diesem Vertrag und dem Hauptvertrag vor.

11.3 Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

11.4 Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland (Art. 28 Abs. 3 DSGVO: Vertrag nach dem Recht eines Mitgliedstaats). Der Gerichtsstand richtet sich nach dem Hauptvertrag, soweit nicht die Standardvertragsklauseln (Ziffer 7.1a) oder die DSGVO zwingend anderes bestimmen.

---

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO), Stichpunkte

Vertraulichkeit

• Zutrittskontrolle: keine eigenen Rechenzentren; physische Sicherheit bei Cloudflare (zertifizierte Rechenzentren, ISO 27001/SOC 2 laut Anbieter).
• Zugangskontrolle: Admin-Zugänge zu Cloudflare, Resend, Stripe, Anthropic nur mit starkem Passwort und Zwei-Faktor-Authentifizierung; persönliche Konten, keine geteilten Zugänge.
• Zugriffskontrolle (Anwendung): passwortlose Anmeldung per einmaligem Link (15 Minuten gültig, nur als SHA-256-Hash gespeichert) nach Bot-Prüfung (Cloudflare Turnstile, serverseitig geprüft); Sitzungskennung nur als Hash gespeichert, HttpOnly-Cookie, SameSite=Lax, Secure; Schutz gegen Cross-Site-Request-Forgery (Origin-Prüfung); Begrenzung der Anmeldeanfragen (Ratenlimits nur mit gehashten IP-/E-Mail-Adressen); Admin-Funktionen nur für festgelegte Admin-Adressen.
• Trennungskontrolle: Mandantentrennung – jede fachliche Tabelle trägt die Unternehmens-ID, jede Abfrage filtert danach; die Unternehmens-ID stammt nur aus der Sitzungs-Mitgliedschaft, nie aus der Anfrage; Tests für Mandantentrennung.
• Verschlüsselung: TLS für alle Verbindungen; API-Schlüssel der Buchhaltungsanbindung mit AES-GCM verschlüsselt (Schlüssel nur als Secret der Laufzeitumgebung); Secrets nie im Quellcode.
• Pseudonymisierung/Minimierung: an den KI-Anbieter keine E-Mail-Adressen und keine Bankdaten; KI nur auf Anforderung; Logs ohne API-Schlüssel und ohne Nachrichteninhalte.

Integrität

• Weitergabekontrolle: Versand nur über Resend mit Idempotenz-Schlüssel je Erinnerung und Sperre gegen Doppelversand; festes Absenderformat „<Firma> über Levamio“; Versand nur an eine geprüfte Empfängeradresse je Rechnung aus importierten Rechnungen und nur nach Bestätigung der Antwortadresse des Auftraggebers per E-Mail-Link; Versandlimits je Plan; Missbrauchs-Meldelink in jeder Erinnerung mit automatischer Sperre bei gehäuften Meldungen; globale Notbremse; Prüfung der Signatur eingehender Stripe-Webhooks; geschützter Endpunkt für den täglichen Lauf (geheimer Header).
• Eingabekontrolle: Versandprotokoll je Rechnung (append-only) mit Zeitpunkt und Ereignis; Freigaben mit Zeitpunkt, freigebender Person und Snapshot (Empfänger, Betrag, Text-Hash) – ändert sich davon etwas, verfällt die Freigabe.
• Inhaltliche Leitplanken: Filter gegen Drohungen, nicht vereinbarte Gebühren und fremde Beträge – für KI-Texte, Nutzertexte und nochmals unmittelbar vor dem Versand; kein Versand ohne Freigabe der ersten Sequenz je Kunde; Synchronisierung vor jedem Versandlauf, Blockade bei veralteter Synchronisierung (> 24 Stunden).

Verfügbarkeit und Belastbarkeit

• Betrieb auf verteilter Infrastruktur von Cloudflare; Datenbank Cloudflare D1 mit Wiederherstellung auf frühere Zeitpunkte (Time Travel).
• Protokollierung der täglichen Läufe und ein Fehlerprotokoll zur Auswertung.

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests (Vitest) für Kernlogik, Mandantentrennung und Leitplanken bei jeder Änderung; Typprüfung und Linting.
• Abhängigkeiten mit festen Versionen; regelmäßige Aktualisierung.
• Überprüfung dieser Anlage mindestens jährlich.
• Datenschutzfreundliche Voreinstellungen: Versand im Testbetrieb standardmäßig „Dry-Run“; gesetzlicher Verzugshinweis standardmäßig aus.
• Löschung und Rückgabe: Datenexport (JSON/CSV) und vollständige Löschung durch den Auftraggeber in der Anwendung; automatische Löschfristen im Tagesjob (u. a. abgelaufene Anmeldelinks und Sitzungen, Ratenlimit-Einträge nach 24 Stunden, Fehlerprotokolle nach 90 Tagen, Versandprotokoll nach 730 Tagen).

Anlage 2 – Unterauftragsverarbeiter (Stand 20.10.2026)

Nicht Unterauftragsverarbeiter für Auftragsdaten: Stripe (verarbeitet nur Abrechnungsdaten des Auftraggebers selbst, nicht dessen Kunden); lexoffice/Lexware Office, sevDesk (Vertragspartner des Auftraggebers, Ziffer 6.4).

Stand: 20.10.2026