Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 DSGVO · Stand September 2026 · Version 1.4
Zwischen der im Bestellvorgang bzw. im Hauptvertrag bezeichneten Steuerkanzlei, nachfolgend „Auftraggeber“ oder „Verantwortlicher“, und der SteuerClara GmbH, Donaustraße 44, 12043 Berlin, vertreten durch den Geschäftsführer Malte Werner, nachfolgend „Auftragsverarbeiter“, nachfolgend gemeinsam „Parteien“.
Datenschutzbeauftragter: Luis Götz, datenschutz@steuerclara.de
Ansprechpartner Vertrag und Organisation: Malte Werner, hallo@steuerclara.de
Dieser Auftragsverarbeitungsvertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Auftraggebers, nachfolgend „Hauptvertrag“. Er ist Bestandteil des Hauptvertrags über die Nutzung der Leistungen des Auftragsverarbeiters.
1. Gegenstand und Dauer der Verarbeitung
1.1 Der Auftragsverarbeiter erbringt für den Auftraggeber KI-gestützte Telefon- und Büroassistenzleistungen für Steuerkanzleien und verarbeitet dabei personenbezogene Daten ausschließlich im Auftrag und auf dokumentierte Weisung des Auftraggebers.
1.2 Dieser AVV gilt ab Leistungsbeginn für die Laufzeit des Hauptvertrags und endet automatisch mit dessen Beendigung, soweit keine gesetzlichen Aufbewahrungspflichten oder Nachlaufpflichten aus diesem AVV entgegenstehen.
1.3 Der Abschluss in elektronischer Form ist zulässig. Elektronisch geleistete Signaturen sind wirksam, soweit gesetzlich zulässig.
2. Art, Zweck und Grenzen der Verarbeitung
2.1 Art der Verarbeitung
Entgegennahme, Verarbeitung und Strukturierung eingehender Telefongespräche und Kommunikationsvorgänge
Erfassung, Kategorisierung und Weiterleitung von Gesprächs- und Anliegeninhalten
Sprachverarbeitung, also Spracherkennung, Sprachverstehen und Sprachsynthese, zur Führung des Telefondialogs
Terminmanagement und Rückruforganisation
Speicherung, Auswertung, Protokollierung und Löschung nach Maßgabe dieses AVV
2.2 Zwecke der Verarbeitung
Annahme und Bearbeitung von Anfragen von Mandanten und Interessenten des Auftraggebers
Entlastung des Kanzleipersonals und strukturierte Aufgabenübergabe
Qualitätssicherung und Nachweis der vereinbarten Leistungserbringung gegenüber dem Auftraggeber (nicht zu eigenen Marketing- oder Modelltrainingszwecken)
2.3 Datenherkunft und Integrationsstatus
Der Auftragsverarbeiter verarbeitet ausschließlich Daten, die der Auftraggeber bereitstellt oder die betroffene Personen über die bereitgestellten Kommunikationskanäle übermitteln. Es erfolgen keine eigenständigen, aktiven Datenabzüge aus den Systemen des Auftraggebers über die vereinbarten Schnittstellen hinaus.
2.4 Trainings- und Produktverbesserung
Kein Training produktiver KI-Modelle mit personenbezogenen Daten des Auftraggebers ohne ausdrückliche, dokumentierte Weisung des Auftraggebers.
Der Auftragsverarbeiter stellt vertraglich sicher, dass auch die eingesetzten Anbieter von Sprach- und KI-Diensten gemäß Anlage 2 die überlassenen Daten nicht zum Training eigener oder fremder Modelle verwenden. Soweit der jeweilige Anbieter eine Zero-Retention-Option anbietet, wird diese aktiviert. Etwaige kurzfristige technische Zwischenspeicher oder Missbrauchs-Monitoring-Fenster der Anbieter (soweit vom Anbieter technisch unvermeidbar und vertraglich begrenzt) sind in Anlage 2 je Dienstleister ausgewiesen und dürfen nicht zum Modelltraining genutzt werden.
Zur Systemsicherheit, Fehlerbehebung und Stabilität darf der Auftragsverarbeiter ausschließlich anonymisierte oder aggregierte Telemetrie- und Nutzungsdaten ohne Personenbezug verarbeiten. „Anonymisiert“ meint Daten, bei denen eine Identifizierung betroffener Personen und ein Rückschluss auf Mandanten, Gesprächsinhalte oder Kanzlei-Einzelfälle ausgeschlossen bzw. mit den dem Auftragsverarbeiter vernünftigerweise zur Verfügung stehenden Mitteln nicht mehr möglich ist. Re-identifizierbare Gesprächsinhalte, Transkripte, Audioinhalte oder Klartext-Prompts dürfen nicht zur Produktentwicklung, zum Training oder zu eigenen Analysezwecken verwendet werden. Derartige anonymisierte Telemetrie unterfällt nicht den Weisungsbeschränkungen dieses AVV; im Zweifel gilt die Weisungsbindung.
2.5 Grenzen der Verarbeitung
Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters oder über die Weisungen des Auftraggebers hinaus ist ausgeschlossen, soweit sich nicht aus Ziffer 2.4 Satz zu anonymisierter Telemetrie oder aus gesetzlichen Verpflichtungen etwas anderes ergibt. Verarbeitet der Auftragsverarbeiter Daten zu eigenen Zwecken, gilt er insoweit als Verantwortlicher im Sinne von Art. 28 Abs. 10 DSGVO.
3. Kategorien betroffener Personen
Mandanten und ehemalige Mandanten des Auftraggebers sowie Interessenten
Mitarbeitende des Auftraggebers
Externe Ansprechpartner, etwa Behörden, Geschäftspartner und Dritte
4. Kategorien personenbezogener Daten
Stammdaten wie Name, Telefonnummer, E-Mail und Anschrift
Mandantenstatus, also Neu- oder Bestandsmandant
Gesprächs- und Anliegeninhalte einschließlich Sprachdaten für die Dauer der Gesprächsverarbeitung
Termin-, Rückruf- und Zuordnungsinformationen
Kanzlei- bzw. fallbezogene Referenzen wie Aktenzeichen
Technische Metadaten wie Zeitstempel, Log-IDs und Verbindungsdaten, soweit erforderlich
4.1 Anrufaufzeichnungen werden nicht erstellt, es sei denn, der Auftraggeber weist dies ausdrücklich, dokumentiert und unter Angabe der Rechtsgrundlage sowie der erforderlichen Hinweis- und Einwilligungsprozesse an. Für das Vorliegen der Rechtsgrundlage und die Erfüllung der Informations- und Einwilligungspflichten ist allein der Auftraggeber verantwortlich.
4.2 Das Audiosignal eines Anrufs wird für die Dauer des Gesprächs in Echtzeit verarbeitet. Beim Auftragsverarbeiter selbst wird das Audiosignal nach Gesprächsende nicht dauerhaft gespeichert. Gespeichert werden die daraus abgeleiteten strukturierten Ergebnisse wie Gesprächsnotiz, Anliegen sowie Termin- und Rückrufdaten gemäß Anlage 4. Soweit für die Echtzeitverarbeitung technische Dienstleister gemäß Anlage 2 eingebunden werden, gelten deren in Anlage 2 ausgewiesenen Verarbeitungsorte und Retention-Regelungen; dauerhafte Speicherung von Audiodaten beim Auftragsverarbeiter findet nicht statt.
4.3 Eine Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht Gegenstand dieses Auftrags. Der Auftraggeber trägt dafür Sorge, dass solche Daten sowie Inhalte, die dem Steuergeheimnis oder dem Berufsgeheimnis unterliegen, nur im erforderlichen Umfang und nicht als unstrukturierter Freitext übermittelt werden, also insbesondere keine IBAN, Steuer-ID oder sensiblen Inhalte im Freitextfeld.
5. Rolle, Verantwortlichkeit und Weisungen
5.1 Der Auftraggeber ist Verantwortlicher im Sinne der DSGVO, der Auftragsverarbeiter ist Auftragsverarbeiter. Der Auftraggeber ist im Verhältnis der Parteien für die Zulässigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage, sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich.
5.2 Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers. Weisungen erfolgen in Textform. Die im Hauptvertrag, in diesem AVV und in Anlage 3 festgelegten Verarbeitungen gelten als von Beginn an erteilte, dokumentierte Weisungen. Mündliche Weisungen werden unverzüglich in Textform bestätigt.
5.3 Der Auftraggeber gewährleistet, dass seine Weisungen rechtmäßig sind. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, so setzt er ihre Ausführung bis zur Klärung aus und informiert den Auftraggeber. Eine darüber hinausgehende Prüfpflicht des Auftragsverarbeiters hinsichtlich der Rechtmäßigkeit der Weisungen besteht nicht.
5.4 Die Informations- und Auskunftspflichten gegenüber betroffenen Personen verbleiben beim Auftraggeber. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter.
5.5 Weisungen, die über die im Hauptvertrag und in Anlage 3 vereinbarte Standardkonfiguration hinausgehen und beim Auftragsverarbeiter einen nicht nur unerheblichen Aufwand auslösen, kann der Auftragsverarbeiter nach vorheriger Ankündigung gegen angemessene Vergütung umsetzen, vergleiche Ziffer 8.3.
5.6 Berufsrechtliche Einwilligung nach § 62a Abs. 5 StBerG. Die Leistungen des Auftragsverarbeiters sind als allgemeines, mandatsübergreifendes Arbeitsmittel der Kanzlei ausgestaltet. Soweit der Auftraggeber die Leistung im Einzelfall so einsetzt, dass sie unmittelbar einem einzelnen Mandat dient und deshalb eine Einwilligung nach § 62a Abs. 5 StBerG erforderlich ist, holt der Auftraggeber diese Einwilligung ein bzw. stellt die berufsrechtliche Zulässigkeit anderweitig sicher. Der Auftragsverarbeiter unterstützt den Auftraggeber auf Anfrage mit geeigneten Informations- und Prozesshinweisen; die berufsrechtliche Verantwortung verbleibt beim Auftraggeber.
6. Vertraulichkeit, Personal und Berufsgeheimnis
6.1 Der Auftragsverarbeiter gewährleistet die Vertraulichkeit der Verarbeitung. Die zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet und im Datenschutz geschult. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.
6.2 Dem Auftragsverarbeiter ist bewusst, dass der Auftraggeber einer besonderen berufsrechtlichen Verschwiegenheitspflicht unterliegt, namentlich nach §§ 203 und 204 StGB, § 57 StBerG und dem Steuergeheimnis. Der Auftragsverarbeiter sowie alle von ihm eingesetzten mitwirkenden Personen im Sinne des § 203 Abs. 3, 4 StGB sind zur Geheimhaltung der ihnen zugänglich gewordenen fremden Geheimnisse verpflichtet und dürfen diese nicht unbefugt verwerten. Der Auftragsverarbeiter stellt sicher, dass diese Personen vor Aufnahme ihrer Tätigkeit förmlich zur Geheimhaltung verpflichtet und über die Strafbarkeit einer Verletzung nach §§ 203 und 204 StGB belehrt werden.
6.3 Der Auftragsverarbeiter verpflichtet auch die von ihm eingesetzten Unterauftragsverarbeiter entsprechend § 203 Abs. 4 StGB zur Geheimhaltung und stellt sicher, dass diese ihre eigenen mitwirkenden Personen in gleicher Weise verpflichten. Der Auftragsverarbeiter beschränkt den Kreis der eingesetzten mitwirkenden Personen auf das für die Leistungserbringung erforderliche Maß (Need-to-know).
6.4 Auslandsbezug nach § 62a StBerG. Der Auftraggeber weist den Auftragsverarbeiter an, die in Anlage 2 aufgeführten Dienstleister einzusetzen. Der Auftragsverarbeiter stellt sicher, dass sämtliche Mandanten-, Gesprächs- und sonstigen berufsgeheimnisgeschützten Daten ausschließlich in Rechenzentren innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums verarbeitet werden. Dienstleister außerhalb des EWR erhalten keinen Zugang zu solchen Daten; der eingesetzte Authentifizierungsdienstleister verarbeitet ausschließlich Zugangsdaten des Kanzleipersonals. Für sämtliche Dienstleister mit Sitz oder Konzernbezug außerhalb des EWR ist ein dem deutschen Berufsrecht und der DSGVO vergleichbares Schutzniveau vertraglich abgesichert, siehe Ziffer 11 und Anlage 2. Damit sind die Anforderungen des § 62a Abs. 1 und 2 StBerG an die Einbindung von Dienstleistern mit Auslandsbezug gewahrt. Der Auftraggeber bestätigt, die Angaben in Anlage 2 zur Kenntnis genommen zu haben; sie gelten als Grundlage seiner berufsrechtlichen Beurteilung.
6.5 Betriebs- und Geschäftsgeheimnisse des Auftraggebers werden gewahrt.
6.6 Die Geheimhaltungs- und Verschwiegenheitspflichten dieses Abschnitts gelten über die Beendigung dieses AVV und des Hauptvertrags hinaus fort, solange die betreffenden Informationen geheimhaltungsbedürftig sind.
7. Sicherheit der Verarbeitung
7.1 Der Auftragsverarbeiter setzt geeignete technische und organisatorische Maßnahmen gemäß Anlage 1 um und gewährleistet ein dem Risiko angemessenes Schutzniveau.
7.2 Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter ist berechtigt, sie anzupassen, sofern das vereinbarte Sicherheitsniveau dadurch nicht unterschritten wird. Wesentliche Änderungen werden dem Auftraggeber in geeigneter Form mitgeteilt.
7.3 Die Speicherung und Verarbeitung der Mandanten-, Gesprächs- und Kommunikationsdaten des Auftraggebers erfolgt in Rechenzentren innerhalb der EU bzw. des EWR. Hiervon ausgenommen sind die reinen Zugangs- und Authentifizierungsdaten der Mitarbeitenden des Auftraggebers, die beim Authentifizierungsdienstleister gemäß Anlage 2 in den USA verarbeitet werden. Berufsgeheimnisgeschützte Inhalte sind hiervon nicht betroffen. Die je Dienstleister maßgeblichen Verarbeitungsorte sowie etwaige Drittlandbezüge und die hierfür getroffenen Garantien sind in Anlage 2 ausgewiesen; ergänzend gilt Ziffer 11.
8. Unterstützungspflichten
8.1 Der Auftragsverarbeiter unterstützt den Auftraggeber im Rahmen des technisch Möglichen und Zumutbaren
bei der Erfüllung der Rechte betroffener Personen nach Art. 12 bis 23 DSGVO
bei der Gewährleistung der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten, der Datenschutz-Folgenabschätzung und einer etwaigen vorherigen Konsultation nach Art. 32 bis 36 DSGVO
durch Bereitstellung der zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen einschließlich der Auftragsverarbeitungsverträge der in Anlage 2 genannten Unterauftragsverarbeiter
8.2 Soweit betroffene Personen Rechte unmittelbar gegenüber dem Auftragsverarbeiter geltend machen, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.
8.3 Unterstützungsleistungen, die über einen angemessenen Grundumfang hinausgehen oder auf Umständen beruhen, die der Auftragsverarbeiter nicht zu vertreten hat, insbesondere umfangreiche oder wiederholte Anfragen, Zuarbeit zu Datenschutz-Folgenabschätzungen und aufwändige Auskünfte, vergütet der Auftraggeber nach Aufwand zu den jeweils vereinbarten oder üblichen Sätzen des Auftragsverarbeiters. Der Auftragsverarbeiter kündigt einen zu erwartenden vergütungspflichtigen Aufwand zuvor an.
9. Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 24 Stunden. Die Meldung enthält, soweit verfügbar, Angaben zu Art und Umfang der Verletzung, den betroffenen Datenkategorien und Personen, den wahrscheinlichen Folgen sowie den ergriffenen bzw. vorgeschlagenen Maßnahmen. Der Auftragsverarbeiter unterstützt den Auftraggeber bei Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen. In der Meldung liegt kein Anerkenntnis einer Pflichtverletzung oder Haftung des Auftragsverarbeiters.
10. Unterauftragsverarbeiter
10.1 Der Auftraggeber erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 abschließend aufgeführt und werden hiermit ausdrücklich genehmigt.
10.2 Der Auftragsverarbeiter informiert den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mit einem Vorlauf von 30 Tagen in Textform. Der Auftraggeber kann innerhalb dieser Frist aus einem wichtigen, datenschutz- oder berufsrechtlichen Grund widersprechen. Erfolgt kein Widerspruch innerhalb der Frist, gilt die Änderung als genehmigt.
10.3 Im Fall eines berechtigten Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung. Kann der Auftragsverarbeiter die betroffene Leistung ohne den Unterauftragsverarbeiter nicht mit zumutbarem Aufwand erbringen, ist er berechtigt, die betroffene Leistung anzupassen oder den Hauptvertrag hinsichtlich der betroffenen Leistung mit angemessener Frist zu kündigen.
10.4 Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich mindestens auf das Schutzniveau dieses AVV, insbesondere zu technischen und organisatorischen Maßnahmen, Vertraulichkeit, Berufsgeheimnis nach §§ 203 und 204 StGB und Weisungsbindung. Die abgeschlossenen Verträge stellt der Auftragsverarbeiter dem Auftraggeber im Kanzlei-Dashboard unter „Compliance-Zertifikate“ zum Abruf bereit.
10.5 Nicht als Unterauftragsverarbeiter im Sinne dieses AVV gelten Dienstleister, die im Verhältnis zum Auftragsverarbeiter eigenverantwortlich handeln, insbesondere Zahlungsdienstleister im Rahmen der gesetzlich regulierten Zahlungsabwicklung. Diese sind in Anlage 2 gesondert gekennzeichnet.
11. Internationale Datentransfers
11.1 Die Verarbeitung der Mandanten-, Gesprächs- und Kommunikationsdaten des Auftraggebers erfolgt in Rechenzentren innerhalb der EU bzw. des EWR. Ein Teil der eingesetzten Dienstleister ist jedoch einem Konzern mit Sitz in den USA zugehörig; insoweit kann ein Drittlandbezug im Sinne der Art. 44 ff. DSGVO bestehen, insbesondere durch Support-, Administrations- und Wartungszugriffe. Die Zugangs- und Authentifizierungsdaten der Mitarbeitenden des Auftraggebers werden beim Authentifizierungsdienstleister gemäß Anlage 2 in den USA verarbeitet; hierbei handelt es sich ausschließlich um Anmeldedaten des Kanzleipersonals, nicht um Mandanten- oder Gesprächsdaten. Die betroffenen Dienstleister sind in Anlage 2 kenntlich gemacht.
11.2 Für sämtliche Verarbeitungen mit Drittlandbezug bestehen geeignete Garantien nach Art. 46 DSGVO, insbesondere die EU-Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914, Modul 3, und, soweit einschlägig, eine Zertifizierung des Empfängers nach dem EU-US Data Privacy Framework auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission vom 10.07.2023. Der Auftragsverarbeiter hat für jeden dieser Dienstleister eine Transfer Impact Assessment durchgeführt bzw. die Bewertung des Anbieters übernommen und ergänzende Maßnahmen implementiert, namentlich Verschlüsselung in Transit und at Rest, Pseudonymisierung, Zugriffsbeschränkung und EU-Datenresidenz.
11.3 Über die Aufnahme neuer Verarbeitungen mit Drittlandbezug wird der Auftraggeber nach Ziffer 10.2 vorab informiert.
11.4 Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage die Nachweise nach Ziffer 11.2 für dessen eigene Dokumentation zur Verfügung.
12. Prüf- und Auditrechte
12.1 Der Auftragsverarbeiter stellt dem Auftraggeber die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und diesem AVV erforderlichen Informationen zur Verfügung.
12.2 Der Nachweis der Einhaltung der technischen und organisatorischen Maßnahmen erfolgt vorrangig durch Vorlage geeigneter Dokumentation, aktueller Testate, Zertifizierungen oder Berichte anerkannter unabhängiger Prüfer, etwa nach ISO 27001, SOC 2 oder vergleichbaren Standards, auch solcher der eingesetzten Unterauftragsverarbeiter. Solche Nachweise sind als vorrangiges Prüfmittel anzuerkennen.
12.3 Reichen diese Nachweise im Einzelfall nicht aus, kann der Auftraggeber ein Vor-Ort-Audit durchführen. Dieses ist auf einmal je Kalenderjahr beschränkt, zuzüglich anlassbezogener Audits bei konkreten, dokumentierten Anhaltspunkten für einen erheblichen Verstoß oder auf Verlangen einer Aufsichtsbehörde, mit einer Ankündigungsfrist von mindestens 30 Tagen, während der üblichen Geschäftszeiten und ohne unangemessene Beeinträchtigung des Geschäftsbetriebs durchzuführen.
12.4 Audits dürfen nicht durch unmittelbare Wettbewerber des Auftragsverarbeiters durchgeführt werden. Eingesetzte Prüfer sind zuvor auf Vertraulichkeit zu verpflichten. Die Vertraulichkeit sowie der Schutz der Daten anderer Kunden des Auftragsverarbeiters sind jederzeit zu wahren; ein Zugriff auf produktive Daten anderer Kunden ist ausgeschlossen.
12.5 Jede Partei trägt ihre eigenen Kosten des Audits. Den beim Auftragsverarbeiter durch die Unterstützung des Audits entstehenden angemessenen Aufwand vergütet der Auftraggeber nach Aufwand, sofern das Audit nicht einen vom Auftragsverarbeiter zu vertretenden erheblichen Verstoß aufdeckt.
13. Löschung, Rückgabe und Nachweis
13.1 Nach Beendigung des Vertrags und nach Wahl des Auftraggebers gibt der Auftragsverarbeiter sämtliche personenbezogenen Daten zurück oder löscht sie einschließlich vorhandener Kopien. Gesetzliche Aufbewahrungspflichten bleiben unberührt; entsprechende Daten werden bis zur zulässigen Löschung gesperrt.
13.2 Die Standard-Löschfristen gemäß Anlage 4 werden automatisiert eingehalten.
13.3 Löschungen und Rückgaben werden dokumentiert.
13.4 Exportfenster. Auf Wunsch stellt der Auftragsverarbeiter innerhalb von 30 Tagen nach Vertragsende einen maschinenlesbaren Export bereit. Die anschließende Löschung erfolgt binnen weiterer 30 Tage, sofern keine gesetzlichen Pflichten entgegenstehen. Daten in verschlüsselten Backups werden im Rahmen der regulären Backup-Rotation gelöscht bzw. überschrieben.
14. Haftung
14.1 Es gelten die gesetzlichen Regelungen, insbesondere Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für die ihr zurechenbaren Pflichtverstöße.
14.2 Im Übrigen gelten die Haftungsregelungen und Haftungsbegrenzungen des Hauptvertrags ergänzend auch für diesen AVV, soweit dies datenschutzrechtlich zulässig ist. Die Haftung des Auftragsverarbeiters für Vermögensschäden ist, außer bei Vorsatz und grober Fahrlässigkeit, der Höhe nach auf die vom Auftraggeber in den zwölf Monaten vor dem schadensauslösenden Ereignis gezahlten Vergütungen begrenzt.
14.3 Die Haftung für mittelbare Schäden, Folgeschäden und entgangenen Gewinn ist ausgeschlossen, soweit gesetzlich zulässig.
14.4 Die Haftungsbeschränkungen nach Ziffer 14.2 und 14.3 gelten nicht bei Vorsatz und grober Fahrlässigkeit, bei der Verletzung von Leben, Körper oder Gesundheit, bei Ansprüchen nach dem Produkthaftungsgesetz sowie im Umfang zwingender, unabdingbarer gesetzlicher Haftung.
15. Verantwortungsbereich und Mitwirkung des Auftraggebers
15.1 Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage, die Erfüllung der Informationspflichten gegenüber betroffenen Personen sowie die Richtigkeit und Zulässigkeit der von ihm bereitgestellten Daten und Weisungen verantwortlich.
15.2 Der Auftraggeber stellt den Auftragsverarbeiter von Ansprüchen Dritter, betroffener Personen oder Aufsichtsbehörden frei, die darauf beruhen, dass der Auftraggeber gegen seine Pflichten aus Ziffer 15.1 verstoßen, insbesondere unrechtmäßige oder unzureichend legitimierte Weisungen erteilt hat, es sei denn, der Auftragsverarbeiter hat die Pflichtverletzung zu vertreten.
16. Dokumentation, Aufbewahrung, Nachvollziehbarkeit
Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO. Zugriffe auf Produktivdaten sowie sicherheitsrelevante Ereignisse werden protokolliert und gemäß Anlage 1 aufbewahrt. Verarbeitungstätigkeiten, Löschvorgänge und Weisungen werden dokumentiert.
17. Anwendbares Recht, Textform, Rangfolge
17.1 Es gilt das Recht der Bundesrepublik Deutschland. Änderungen und Ergänzungen dieses AVV bedürfen der Textform; dies gilt auch für die Änderung dieses Textformerfordernisses.
17.2 Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag hat dieser AVV in datenschutzrechtlichen Belangen Vorrang.
17.3 Sollte eine Bestimmung dieses AVV unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.
18. Elektronische Unterzeichnung und Annahme
18.1 Der Abschluss dieses AVV kann in elektronischer Form erfolgen; die rechtliche Wirksamkeit besteht, soweit gesetzlich zulässig.
18.2 Dieser AVV ist Bestandteil des Hauptvertrags. Mit Abschluss der Bestellung über den Zahlungsvorgang, insbesondere durch aktives Bestätigen dieses Auftragsverarbeitungsvertrags im Bestellprozess, nimmt der Auftraggeber diesen AVV in der zum Zeitpunkt der Bestellung geltenden Fassung an. Der Auftraggeber wird durch die im Bestellvorgang angegebenen Stammdaten, also Kanzleiname, Rechtsform, Anschrift und E-Mail, sowie die zugehörige Bestell- und Transaktionsreferenz eindeutig identifiziert. Ein Nachweis über Zeitpunkt und Fassung der Annahme wird dokumentiert.
Mit dem Abschluss der Bestellung über den Stripe-Checkout bestätigt der Auftraggeber, diesen Auftragsverarbeitungsvertrag einschließlich der Anlagen 1 bis 4 gelesen zu haben und ihn als Bestandteil des Hauptvertrags anzuerkennen. Eine gesonderte handschriftliche Unterzeichnung ist hierfür nicht erforderlich. Auf Wunsch stellt der Auftragsverarbeiter zusätzlich eine unterzeichnete Fassung bereit.
Anlage 1: Technische und organisatorische Maßnahmen
A. Organisation und Governance
Datenschutz- und Informationssicherheitsrichtlinie mit klaren Verantwortlichkeiten
Datenschutzbeauftragter: Luis Götz, datenschutz@steuerclara.de
Ansprechpartner Vertrag und Organisation: Malte Werner, hallo@steuerclara.de
Regelmäßige Datenschutz- und Sicherheitsschulungen, Vertraulichkeitsvereinbarungen und Verpflichtung nach §§ 203 und 204 StGB
B. Physische Sicherheit und Umgebung
Betrieb in zertifizierten EU- bzw. EWR-Cloud-Regionen, Hosting durch die Hetzner Online GmbH in deutschen Rechenzentren
Zutrittskontrollen der Rechenzentren
Redundante Strom- und Netzanbindung, Klimaüberwachung
C. Zugriffsschutz
Mehrfaktor-Authentifizierung für Admin-, Support- und Kanzleizugänge
Rollen- und Berechtigungskonzept nach Least Privilege und Need-to-know, regelmäßige Re-Zertifizierung
Passwort- und Schlüsselmanagement inklusive Rotation und Secret Management
Netzwerksegmentierung, Firewalling, Security Groups, WAF und DDoS-Schutz
D. Verschlüsselung
In Transit: TLS 1.2 und höher für alle Kommunikationskanäle, SRTP bzw. DTLS für Echtzeit-Audioströme
At Rest: AES-256 für produktive Datenbestände und Backups
KMS- bzw. HSM-gestützte Schlüsselverwaltung, mandantengetrennte Schlüssel, soweit technisch vorgesehen
E. Mandantentrennung und Datenminimierung
Logische Mandantentrennung je Kanzlei, Minimaldatensätze
Pseudonymisierung oder Maskierung in Test- und Supportumgebungen sowie im Fehler-Monitoring
F. Protokollierung und Monitoring
Protokollierung administrativer Zugriffe, sicherheitsrelevanter Ereignisse und Datenexporte
Manipulationssichere Log-Ablage, Aufbewahrung 180 Tage
Zentrales Monitoring, Alerting, Reaktions-Playbooks
G. Backup und Notfallmanagement
Regelmäßige, verschlüsselte Backups, Wiederherstellungstests
Business Continuity und Disaster Recovery mit RPO und RTO von jeweils höchstens 24 Stunden
H. Software-Sicherheit
Secure SDLC mit Code Reviews, Dependency-Scanning sowie SAST und DAST
Schwachstellenmanagement mit SLA, kritische Befunde binnen 72 Stunden
Patch- und Change-Management inklusive Freigabe- und Rollback-Verfahren
I. Auftragsverarbeiter-Management
Sorgfältige Auswahl und Überwachung, vertragliche Verpflichtung nach DSGVO und §§ 203 und 204 StGB
Prüfung von Zertifizierungen und Drittlandgarantien vor Einsatz
J. Privacy by Design und by Default
Standard-Löschfristen und restriktive Voreinstellungen
Keine Anrufaufzeichnung im Standard, rollenbasierte Sichtbarkeit und granulare Berechtigungen
K. Lösch- und Aufbewahrungskonzepte
Prozesse für fristgerechte Löschung und Anonymisierung gemäß Anlage 4 und Weisungen
Sperrkonzepte bei gesetzlichen Aufbewahrungsfristen
L. Verantwortliche Kontakte
Datenschutzbeauftragter: Luis Götz, datenschutz@steuerclara.de
Ansprechpartner Vertrag und Organisation: Malte Werner, hallo@steuerclara.de
Meldung von Sicherheitsvorfällen an datenschutz@steuerclara.de
Anlage 2: Genehmigte Unterauftragsverarbeiter
Stand September 2026. Die jeweils aktuelle Fassung dieser Liste sowie die abgeschlossenen Auftragsverarbeitungsverträge stellt der Auftragsverarbeiter dem Auftraggeber im Kanzlei-Dashboard unter „Compliance-Zertifikate“ zum Download bereit.
Zugriffshinweis: „Gesprächsinhalte“ meint Audiodaten, Transkripte, Prompts oder strukturierte Gesprächsnotizen. „Nein“ bedeutet: kein bestimmungsgemäßer Zugang zu Mandanten- oder Gesprächsinhalten.
1. Hetzner Online GmbH
Industriestraße 25, 91710 Gunzenhausen, Deutschland
Leistung: Hosting, Server- und Datenbankbetrieb, Backups
Verarbeitungsort: Deutschland, Nürnberg und Falkenstein
Zugang zu Gesprächsinhalten: Ja (Hosting der produktiven Daten)
Garantie: Kein Drittlandbezug. AVV nach Art. 28 DSGVO, ISO 27001.
2. Cloudflare Germany GmbH, Cloudflare Inc.
Rosental 7, 80331 München, Deutschland, Konzernmutter mit Sitz in den USA
Leistung: CDN, DNS, Web Application Firewall, DDoS-Schutz, Reverse Proxy
Verarbeitungsort: EU-Edge-Standorte, Regional Services EU
Zugang zu Gesprächsinhalten: Nein (nur Verbindungs-/Schutzmetadaten im Rahmen der Edge-Dienste)
Garantie: EU-Standardvertragsklauseln Modul 3 und EU-US Data Privacy Framework, Data Localization Suite für die EU-Region.
3. Twilio Ireland Limited, Twilio Inc.
3 Dublin Landings, North Wall Quay, Dublin 1, Irland, Konzernmutter mit Sitz in den USA
Leistung: Telefonanbindung über SIP und PSTN, Rufnummern, Signalisierung, SMS
Verarbeitungsort: Irland und EU-Region Frankfurt
Zugang zu Gesprächsinhalten: Ja (Telefonie-/Signalisierungspfad; keine dauerhafte Speicherung von Gesprächsinhalten beim Auftragsverarbeiter)
Garantie: EU-Standardvertragsklauseln Modul 3 und EU-US Data Privacy Framework, Regional Data Residency EU.
4. LiveKit, Inc.
149 New Montgomery Street, San Francisco, CA, USA
Leistung: Echtzeit-Audiotransport über WebRTC, Media-Server für die Gesprächsführung
Verarbeitungsort: EU-Region Frankfurt am Main
Zugang zu Gesprächsinhalten: Ja (Echtzeit-Audiotransport; keine dauerhafte Speicherung von Audiodaten)
Garantie: EU-Standardvertragsklauseln Modul 3, Verarbeitung ausschließlich in der EU-Region, keine dauerhafte Speicherung von Audiodaten.
5. OpenAI Ireland Limited, OpenAI L.L.C.
1st Floor, The Liffey Trust Centre, 117 bis 126 Sheriff Street Upper, Dublin 1, Irland, Konzernmutter mit Sitz in den USA
Leistung: Sprachverstehen und Dialogsteuerung, Strukturierung von Gesprächsinhalten
Verarbeitungsort: EU, European Data Residency
Zugang zu Gesprächsinhalten: Ja (Verarbeitung von Gesprächsinhalten/Prompts zur Dialogsteuerung)
Retention / Training: Kein Training mit Kundendaten. Zero Data Retention ist aktiviert, soweit vom Anbieter für die genutzte API-Konfiguration angeboten. Soweit der Anbieter ein technisch unvermeidbares, zeitlich begrenztes Missbrauchs-Monitoring vorsieht, ist dieses auf maximal 30 Tage begrenzt, dient ausschließlich der Missbrauchserkennung und nicht dem Modelltraining und ist in den API-Bedingungen des Anbieters geregelt.
Garantie: EU-Standardvertragsklauseln Modul 3 und Data Processing Addendum.
6. Resend, Inc.
2261 Market Street, San Francisco, CA, USA
Leistung: Versand transaktionaler E-Mails, etwa Benachrichtigungen und Zusammenfassungen an die Kanzlei
Verarbeitungsort: EU-Region, Irland und Frankfurt
Zugang zu Gesprächsinhalten: Ja, soweit E-Mail-Inhalte Gesprächszusammenfassungen enthalten
Garantie: EU-Standardvertragsklauseln Modul 3, EU-Datenregion aktiviert.
7. Functional Software, Inc. d/b/a Sentry
45 Fremont Street, San Francisco, CA, USA
Leistung: Fehler- und Performance-Monitoring der Anwendung
Verarbeitungsort: EU-Region Frankfurt am Main
Zugang zu Gesprächsinhalten: Nein (serverseitige Datenfilterung und Pseudonymisierung; keine Gesprächsinhalte)
Garantie: EU-Standardvertragsklauseln Modul 3, Sentry EU Data Region.
8. Stripe Payments Europe, Limited, Stripe Inc.
The One Building, 1 Grand Canal Street Lower, Dublin 2, Irland, Konzernmutter mit Sitz in den USA
Leistung: Zahlungsabwicklung, Abonnementverwaltung, Checkout
Verarbeitungsort: Irland und EU
Zugang zu Gesprächsinhalten: Nein
Garantie: EU-Standardvertragsklauseln und EU-US Data Privacy Framework. Stripe verarbeitet Zahlungsdaten im Rahmen der regulierten Zahlungsdiensteerbringung teilweise eigenverantwortlich, siehe Ziffer 10.5. Es werden keine Mandantendaten an Stripe übermittelt.
9. ElevenLabs Inc.
New York, USA
Leistung: Sprachsynthese für die Sprachausgabe von Clara
Verarbeitungsort: EU-Region
Zugang zu Gesprächsinhalten: Ja (zur Synthese übermittelte Ausgabetexte; keine dauerhafte Speicherung nach Synthese)
Retention / Training: Kein Training mit Kundendaten. Zero Retention bzw. keine dauerhafte Speicherung der übermittelten Texte nach der Sprachsynthese, soweit vom Anbieter vertraglich zugesichert.
Garantie: EU-Standardvertragsklauseln Modul 3 und Data Processing Addendum.
10. Klardaten GmbH
Deutschland
Leistung: DATEV-Schnittstelle, Abgleich von Mandantenstammdaten
Verarbeitungsort: Deutschland
Zugang zu Gesprächsinhalten: Nein (Stammdatenabgleich, keine Gesprächsinhalte)
Garantie: Kein Drittlandbezug. AVV nach Art. 28 DSGVO.
11. Clerk, Inc.
San Francisco, CA, USA
Leistung: Authentifizierung und Nutzerverwaltung der Kanzleizugänge, also Anmeldung, Zwei-Faktor-Authentifizierung und Sitzungsverwaltung
Verarbeitungsort: USA
Zugang zu Gesprächsinhalten: Nein
Garantie: AVV nach Art. 28 DSGVO und EU-Standardvertragsklauseln Modul 3. Umfang: Verarbeitet werden ausschließlich Zugangsdaten der Mitarbeitenden des Auftraggebers, also Name, dienstliche E-Mail-Adresse, Passwort-Hash sowie Sitzungs- und Anmeldeprotokolle. Es werden keine Mandantendaten, Gesprächsinhalte oder berufsgeheimnisgeschützten Informationen an Clerk übermittelt.
Sämtliche vorgenannten Unterauftragsverarbeiter sind vertraglich auf die Einhaltung der DSGVO, der technischen und organisatorischen Maßnahmen gemäß Anlage 1 sowie, soweit sie Zugang zu berufsgeheimnisgeschützten Informationen erhalten können, auf die Verschwiegenheit nach §§ 203 und 204 StGB verpflichtet.
Anlage 3: Dokumentierte Weisungen des Auftraggebers
Primärzwecke: Telefonannahme, Qualifizierung, Terminierung, Informationsweitergabe
Kommunikationskanäle und Zeiten gemäß Weisung des Auftraggebers
Einsatz der in Anlage 2 genannten Dienstleister zur Erbringung der Leistung
Keine Anrufaufzeichnung, sofern nicht ausdrücklich abweichend angewiesen, siehe Ziffer 4.1
Protokollierung nach Umfang und Aufbewahrungsdauer gemäß Weisung, Mindeststandard siehe Anlage 1
Zugriffsberechtigungen, Rollen und Freigabeprozesse gemäß Weisung
Umgang mit sensiblen Inhalten, keine IBAN oder Steuer-ID im Freitext
Eskalationswege und Kontakte gemäß Weisung des Auftraggebers
Anlage 4: Lösch- und Aufbewahrungsfristen
Audiodaten laufender Gespräche: keine dauerhafte Speicherung beim Auftragsverarbeiter, Verarbeitung ausschließlich im Stream; technische Zwischenspeicher von Unterauftragsverarbeitern nur gemäß Anlage 2
Gesprächsnotizen und Tickets: Löschung 90 Tage nach Erledigung
Termin- und Rückrufdaten: Löschung 180 Tage nach Erledigung
Protokolle und Logs zu Sicherheit und Administration: Löschung 180 Tage nach Erstellung
Fehler- und Monitoringdaten: Löschung 90 Tage nach Erfassung
Backups: verschlüsselte Rotation, maximale Vorhaltezeit 90 Tage
Export nach Vertragsende: Bereitstellung binnen 30 Tagen, Löschung binnen weiterer 30 Tage, sofern keine gesetzlichen Pflichten entgegenstehen
Abweichungen nur auf dokumentierte Weisung oder bei gesetzlichen Pflichten, Sperrung bis zur Löschung
SteuerClara GmbH, Donaustraße 44, 12043 Berlin, hallo@steuerclara.de
Stand September 2026, Version 1.4