Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 08.10.2026

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen der Nordlet OÜ („Nordlet“, der „Auftragsverarbeiter“) und dem Unternehmen, das das Konto führt (der „Kunde“, der „Verantwortliche“). Er gilt immer dann, wenn Nordlet im Auftrag des Kunden personenbezogene Daten verarbeitet, die in den Kundendaten enthalten sind. Er wird gemeinsam mit den Nutzungsbedingungen akzeptiert; eine gesonderte Unterschrift ist nicht erforderlich. Kunden, die ein unterzeichnetes Exemplar benötigen, können dieses unter info@nordlet.com anfordern.

Auftragsverarbeiter: Nordlet OÜ, Pärnu mnt. 139b - 14, Tallinn, 11317, Estland.

1. Begriffsbestimmungen

Großgeschriebene Begriffe, die hier nicht definiert sind, haben die in den Nutzungsbedingungen festgelegte Bedeutung. „DSGVO“ bezeichnet die Verordnung (EU) 2016/679. „Personenbezogene Daten“, „Verarbeitung“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“, „Aufsichtsbehörde“ und „Unterauftragsverarbeiter“ haben die in der DSGVO festgelegte Bedeutung. „Kundenbezogene personenbezogene Daten“ sind personenbezogene Daten, die in den Kundendaten enthalten sind.

2. Rollen und Anwendungsbereich

2.1. Der Kunde ist der Verantwortliche für die kundenbezogenen personenbezogenen Daten und Nordlet ist sein Auftragsverarbeiter. Sofern der Kunde selbst als Auftragsverarbeiter für ein anderes Unternehmen tätig ist (zum Beispiel eine Kanzlei, die die Buchhaltung für ihre Mandanten führt), bestätigt der Kunde, dass er von diesem Unternehmen befugt ist, Nordlet zu den Bedingungen dieses AVV als Unterauftragsverarbeiter einzusetzen.

2.2. Dieser AVV erstreckt sich nicht auf personenbezogene Daten, die Nordlet als Verantwortlicher verarbeitet (Konto-, Abrechnungs- und Supportdaten); diese sind in der Datenschutzerklärung beschrieben.

2.3. Die Einzelheiten der Verarbeitung sind in Anlage 1 aufgeführt.

3. Pflichten des Kunden

3.1. Der Kunde ist für die Rechtmäßigkeit der kundenbezogenen personenbezogenen Daten und der von ihm erteilten Weisungen verantwortlich, einschließlich der Sicherstellung einer Rechtsgrundlage für die Verarbeitung und der Information der betroffenen Personen gemäß den Vorgaben der DSGVO.

3.2. Der Kunde wird keine besonderen Kategorien personenbezogener Daten (Artikel 9 DSGVO) oder Daten über strafrechtliche Verurteilungen in den Dienst eingeben, es sei denn, dies ist für Lohn- und Gehaltsabrechnungs- sowie HR-Funktionen unvermeidbar (zum Beispiel Aufzeichnungen über Krankheitszeiten oder Gewerkschaftszugehörigkeiten, sofern das Gesetz dies für die Lohn- und Gehaltsabrechnung vorschreibt), und er wird die Benutzerrollen so konfigurieren, dass nur befugte Personen Einblick in solche Daten erhalten.

4. Pflichten des Auftragsverarbeiters

Nordlet wird:

4.1. kundenbezogene personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden verarbeiten. Die Nutzungsbedingungen, dieser AVV, die vom Kunden im Dienst vorgenommenen Einstellungen sowie jede über die Anwendung oder die API vorgenommene Handlung stellen die Weisungen des Kunden dar. Nordlet wird den Kunden unverzüglich informieren, wenn Nordlet der Auffassung ist, dass eine Weisung gegen die DSGVO verstößt;

4.2. kundenbezogene personenbezogene Daten außerhalb dieser Weisungen nur dann verarbeiten, wenn das Recht der Union oder der Mitgliedstaaten dies erfordert, und den Kunden in einem solchen Fall vor der Verarbeitung über diese rechtliche Anforderung informieren, es sei denn, das betreffende Recht verbietet eine solche Mitteilung;

4.3. sicherstellen, dass sich jede zur Verarbeitung kundenbezogener personenbezogener Daten befugte Person zur Vertraulichkeit verpflichtet hat oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegt;

4.4. die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen umsetzen und diese laufend überprüfen, um sicherzustellen, dass sie dem Risiko angemessen bleiben;

4.5. die Bedingungen für die Hinzuziehung von Unterauftragsverarbeitern gemäß Abschnitt 5 einhalten;

4.6. den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei unterstützen, seine Verpflichtung zur Beantwortung von Anträgen von betroffenen Personen zu erfüllen. Die Anwendung und die API ermöglichen es dem Kunden, die Datensätze einer betroffenen Person ohne Mitwirkung von Nordlet zu finden, zu korrigieren, zu exportieren und zu löschen. Wenn sich eine betroffene Person bezüglich kundenbezogener personenbezogener Daten direkt an Nordlet wendet, wird Nordlet diese Person an den Kunden verweisen und den Kunden innerhalb von 5 Arbeitstagen darüber informieren;

4.7. den Kunden unter Berücksichtigung der Art der Verarbeitung und der Nordlet zur Verfügung stehenden Informationen bei der Einhaltung der in den Artikeln 32 bis 36 der DSGVO genannten Pflichten unterstützen (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation);

4.8. nach Abschluss der Erbringung des Dienstes kundenbezogene personenbezogene Daten nach Wahl des Kunden entweder löschen oder zurückgeben, wie in Abschnitt 8 dargelegt;

4.9. dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der in Artikel 28 DSGVO niedergelegten Pflichten zur Verfügung stellen und Überprüfungen ermöglichen und zu ihnen beitragen, die vom Kunden oder einem anderen von diesem beauftragten Prüfer gemäß Abschnitt 9 durchgeführt werden.

5. Unterauftragsverarbeiter

5.1. Der Kunde erteilt Nordlet hiermit die allgemeine Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter heranzuziehen. Mehrere dieser Unterauftragsverarbeiter werden nur dann eingesetzt, wenn der Kunde das entsprechende Feature aktiviert (Dokumentenerkennung, Bankfeeds, E-Invoicing).

5.2. Nordlet wird den Kunden mindestens 30 Tage vor der Hinzuziehung eines neuen Unterauftragsverarbeiters oder vor jeder Ersetzung durch einen neuen Unterauftragsverarbeiter per E-Mail an den Kontoinhaber benachrichtigen und Anlage 3 auf dieser Seite aktuell halten. Der Kunde kann gegen eine solche Änderung innerhalb dieser Frist aus wichtigem Grund, der sich aus dem Datenschutz ergibt, Widerspruch erheben. Kann Nordlet den Widerspruch nicht ausräumen, ist der Kunde berechtigt, die Nutzungsbedingungen für den betroffenen Dienst vor dem Wirksamwerden der Änderung zu kündigen; Nordlet wird in diesem Fall nicht genutzte, gekaufte Guthaben (Credits) erstatten.

5.3. Nordlet verpflichtet jeden Unterauftragsverarbeiter durch einen schriftlichen Vertrag auf Datenschutzpflichten, die denen dieses AVV mindestens gleichwertig sind, und haftet dem Kunden gegenüber voll für die Leistung des Unterauftragsverarbeiters.

6. Verletzung des Schutzes personenbezogener Daten

6.1. Nordlet wird den Kunden per E-Mail an den Kontoinhaber unverzüglich, spätestens jedoch 48 Stunden nach Bekanntwerden einer Verletzung des Schutzes kundenbezogener personenbezogener Daten, über den Vorfall informieren.

6.2. Die Benachrichtigung enthält, soweit zu diesem Zeitpunkt bekannt, eine Beschreibung der Art der Verletzung, der Kategorien und der ungefähren Anzahl der betroffenen Personen sowie der betroffenen Datensätze, die voraussichtlichen Folgen, die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen sowie die Kontaktdaten für Rückfragen. Nordlet wird weitere Informationen nachreichen, sobald diese verfügbar sind.

6.3. Nordlet wird im Namen des Kunden keine Meldungen an Aufsichtsbehörden oder betroffene Personen vornehmen, es sei denn, der Kunde fordert Nordlet schriftlich dazu auf.

7. Internationale Übermittlungen

7.1. Kundenbezogene personenbezogene Daten werden in der Europäischen Union gespeichert und verarbeitet. Nordlet wird kundenbezogene personenbezogene Daten nicht in ein Land außerhalb des Europäischen Wirtschaftsraums übermitteln, es sei denn, dies erfolgt über einen in Anlage 3 aufgeführten Unterauftragsverarbeiter und nur unter Einhaltung geeigneter Garantien gemäß Kapitel V DSGVO: entweder ein Angemessenheitsbeschluss der Europäischen Kommission (einschließlich des EU-US Data Privacy Framework für zertifizierte Organisationen) oder die von der Kommission erlassenen Standardvertragsklauseln.

7.2. Auf Anforderung stellt Nordlet dem Kunden eine Kopie der getroffenen Garantien unter Aussparung von Geschäftsgeheimnissen zur Verfügung.

8. Löschung und Rückgabe von Daten

8.1. Während der gesamten Laufzeit kann der Kunde alle kundenbezogenen personenbezogenen Daten über die API und die Exportfunktionen der Anwendung in einem strukturierten, gängigen und maschinenlesbaren Format exportieren.

8.2. Wenn ein Unternehmen gelöscht wird, können dessen Daten für einen Zeitraum von 10 Tagen wiederhergestellt werden; danach werden sie unwiderruflich gelöscht. Bei Löschung des Kundenkontos oder 30 Tage nach Beendigung der Nutzungsbedingungen, je nachdem, welcher Zeitpunkt früher eintritt, löscht Nordlet alle verbleibenden kundenbezogenen personenbezogenen Daten aus den Live-Systemen, es sei denn, das Recht der Union oder der Mitgliedstaaten schreibt eine Speicherung vor. In Backups enthaltene Kopien werden im Rahmen des regulären Backup-Zyklus nach spätestens 90 Tagen überschrieben und in der Zwischenzeit nicht aufgerufen, es sei denn, dies ist zur Wiederherstellung des Dienstes nach einem Ausfall erforderlich.

8.3. Nordlet bestätigt die Löschung auf Anfrage schriftlich.

9. Audits

9.1. Nordlet wird angemessene schriftliche Fragen des Kunden zur Verarbeitung beantworten und auf Anfrage die in Anlage 2 beschriebene Dokumentation zur Verfügung stellen.

9.2. Soweit der Kunde oder eine Aufsichtsbehörde darüber hinausgehende Maßnahmen verlangt, ist der Kunde berechtigt, die Einhaltung dieses AVV durch Nordlet einmal in jedem Zeitraum von 12 Monaten oder häufiger im Falle einer Verletzung des Schutzes personenbezogener Daten oder auf Anforderung einer Aufsichtsbehörde zu überprüfen. Der Kunde kündigt ein solches Audit mindestens 30 Tage im Voraus schriftlich an, das Audit findet während der üblichen Geschäftszeiten statt, stört den Geschäftsbetrieb von Nordlet nicht unzumutbar und wird entweder durch den Kunden selbst oder durch einen zur Verschwiegenheit verpflichteten, unabhängigen Prüfer durchgeführt, der kein Wettbewerber von Nordlet ist. Jede Partei trägt ihre eigenen Kosten.

9.3. Der Kunde teilt Nordlet die Ergebnisse des Audits mit, und Nordlet wird festgestellte Mängel innerhalb einer angemessenen Frist beheben.

10. Haftung

Für die Haftung jeder Partei im Rahmen dieses AVV gelten die Haftungsbeschränkungen und -ausschlüsse der Nutzungsbedingungen, es sei denn, diese Beschränkungen finden keine Anwendung auf eine Haftung, die nach Artikel 82 DSGVO zwischen Verantwortlichem und Auftragsverarbeiter nicht beschränkt werden darf.

11. Laufzeit

Dieser AVV gilt so lange, wie Nordlet kundenbezogene personenbezogene Daten verarbeitet; Abschnitt 8 gilt über die Beendigung hinaus fort, bis die dort beschriebene Löschung vollständig erfolgt ist.

12. Rangfolge und anwendbares Recht

Sollten Bestimmungen dieses AVV und Bestimmungen der Nutzungsbedingungen in Datenschutzfragen im Widerspruch zueinander stehen, gehen die Bestimmungen dieses AVV vor. In allen anderen Belangen gelten die Nutzungsbedingungen einschließlich ihrer Bestimmungen zum anwendbaren Recht und zum Gerichtsstand. Dieser AVV wird in englischer und litauischer Sprache veröffentlicht; bei Abweichungen zwischen den beiden Fassungen ist die englische Fassung maßgeblich.

Anlage 1 - Einzelheiten der Verarbeitung

Posten	Beschreibung
Gegenstand der Verarbeitung	Bereitstellung der Cloud-Buchhaltungsplattform Nordlet und der API für den Kunden
Dauer der Verarbeitung	Die Laufzeit der Nutzungsbedingungen zuzüglich der Löschfristen gemäß Abschnitt 8
Art und Zweck der Verarbeitung	Speicherung, Strukturierung, Berechnung, Berichterstattung, Übermittlung und Anzeige von Buchhaltungs- und damit verbundenen Geschäftsunterlagen nach Weisung des Kunden; Erstellung von Rechnungen, Erklärungen, Zahlungsdateien und Berichten; Austausch von E-Invoices und Bankdaten mit den vom Kunden angebundenen Anbietern
Kategorien betroffener Personen	Mitarbeiter und Auftragnehmer des Kunden; Ansprechpartner bei Kunden, Lieferanten und sonstigen Geschäftspartnern des Kunden; Einzelunternehmer, die Partner des Kunden sind; eigene Benutzer des Kunden; Gesellschafter und Geschäftsführer, sofern diese erfasst wurden; sonstige in Buchhaltungsunterlagen genannte Personen
Kategorien personenbezogener Daten	Namen, Berufsbezeichnungen, geschäftliche Kontaktdaten (E-Mail, Telefon, Anschrift); Identifikationsnummern von Einzelunternehmern und, sofern gesetzlich vorgeschrieben, persönliche Identifikationsnummern (Personenkennzahlen) von Mitarbeitern; Bankverbindungsdaten und Transaktionsdetails; Gehalts-, Steuer-, Sozialversicherungs- und Urlaubsdaten für die Lohnabrechnung; Zuweisung von Fahrzeugen und Wirtschaftsgütern; Inhalte hochgeladener Dokumente; Benutzeraktivitäten im Audit-Log
Besondere Kategorien personenbezogener Daten	Nicht beabsichtigt. Können in Lohn- und HR-Unterlagen (zum Beispiel Angaben zu Krankheitszeiten) gelegentlich anfallen, sofern dies gesetzlich vorgeschrieben ist
Ort der Verarbeitung	Europäische Union; zu Unterauftragsverarbeitern außerhalb des EWR siehe Abschnitt 7

Anlage 2 - Technische und organisatorische Maßnahmen

Bereich	Maßnahme
Verschlüsselung bei der Übertragung (Encryption in transit)	TLS für jede Verbindung zur Website, zur Anwendung, zur API sowie zwischen dem Dienst und seinen Unterauftragsverarbeitern
Verschlüsselung im Ruhezustand (Encryption at rest)	Hochgeladene Dateien werden im Ruhezustand verschlüsselt gespeichert; Datenbankvolumen befinden sich auf verschlüsseltem Speicher
Authentifizierung	Passwörterlose Anmeldung über Einmal-Links mit einer Gültigkeit von 15 Minuten; Sitzungs-, Einladungs- und Anmeldetokens werden ausschließlich als Hashes gespeichert; API-Schlüssel werden ausschließlich als Hashes gespeichert und mit expliziten Gültigkeitsbereichen (Scopes) pro Unternehmen ausgestellt
Mandantenisolation (Tenant isolation)	Jede Tabelle, die Kundendaten enthält, weist die Unternehmensidentität auf; richtlinienbasierte Sicherheit auf Zeilenebene (Row-Level Security) in der Datenbank beschränkt jede Sitzung auf das Unternehmen, für das sie authentifiziert ist
Zugriffskontrolle	Benutzer werden pro Unternehmen eingeladen und mit Rollen versehen; der Kunde verwaltet seine Benutzer eigenständig; der Zugriff von Nordlet-Mitarbeitern auf die Produktionsumgebung ist auf namentlich genannte Administratoren beschränkt, erfolgt über individuelle Zugangsdaten und ist auf das für den Betrieb des Dienstes erforderliche Maß beschränkt
Integrität	Gebuchte Buchungssätze sind unveränderlich; Korrekturen erfolgen durch Stornierungsbuchungen; ein Audit-Log protokolliert, wer wann welche Änderung vorgenommen hat
Protokollierung und Überwachung	Server- und Anwendungsprotokolle werden für 90 Tage zur Gewährleistung von Sicherheit und Zuverlässigkeit gespeichert; Ratelimitierung schützt vor Missbrauch
Verfügbarkeit	Redundante Datenbankknoten und regelmäßige Backups; Backups werden nach einem rollierenden Zeitplan vorgehalten und durch Wiederherstellungstests überprüft
Datenminimierung	Der Kunde steuert, welche Felder er befüllt; optionale Integrationen übermitteln nur die für die jeweilige Integration erforderlichen Daten (zum Beispiel nur die USt-IdNr. an VIES, nur das hochgeladene Dokument an den OCR-Anbieter)
Management von Unterauftragsverarbeitern	Schriftliche Verträge mit jedem Unterauftragsverarbeiter; Veröffentlichung der Liste in Anlage 3; Einhaltung einer 30-tägigen Benachrichtigungsfrist bei Änderungen
Löschung	Unternehmenslöschung mit einer Wiederherstellungsfrist von 10 Tagen, gefolgt von der endgültigen Entfernung; Kontolöschung entfernt alle Kundendaten; Backup-Kopien werden innerhalb von 90 Tagen überschrieben
Mitarbeiter	Alle Mitarbeiter sind zur Vertraulichkeit verpflichtet; Entzug der Zugriffsrechte beim Ausscheiden von Mitarbeitern
Incident-Response-Verfahren	Dokumentiertes Verfahren zur Erkennung, Eingrenzung und Meldung von Verletzungen des Schutzes personenbezogener Daten innerhalb der in Abschnitt 6 genannten Frist von 48 Stunden

Anlage 3 - Unterauftragsverarbeiter

Unterauftragsverarbeiter	Dienst	Standort	Wann im Einsatz
Amazon Web Services EMEA SARL	Hosting der Webanwendung, Speicherung hochgeladener Dateien, transaktionale E-Mails (Amazon SES)	Europäische Union	Immer
Clever Cloud SAS	Hosting der API-Anwendungsserver	Frankreich	Immer
Neon, LLC	Hosting der Datenbank, Erstellung von Datenbank-Backups	Deutschland (Frankfurt), verbunden mit Neon, LLC in den Vereinigten Staaten	Immer
Stripe Payments Europe, Ltd.	Zahlungsabwicklung für Guthabenkäufe	Irland, verbunden mit Stripe, Inc. (Vereinigte Staaten) für die Kartenabwicklung	Wenn der Kunde Guthaben kauft. Stripe verarbeitet die eigenen Abrechnungsdaten des Kunden, keine kundenbezogenen personenbezogenen Daten betroffener Personen
Resend, Inc.	Versand transaktionaler E-Mails	Vereinigte Staaten (EU-Region)	Wenn anstelle von Amazon SES konfiguriert
Mistral AI	Optische Zeichenerkennung (OCR) hochgeladener Dokumente	Frankreich	Nur wenn der Kunde die Dokumentenerkennung nutzt
Enable Banking Oy	Abruf von Bankkontotransaktionen	Finnland	Nur wenn der Kunde ein Bankkonto anbindet
Peppol-Zugangspunktanbieter, der für das Unternehmen des Kunden konfiguriert ist	Austausch von E-Invoices über das Peppol-Netzwerk	Abhängig vom Anbieter	Nur wenn der Kunde E-Invoicing aktiviert

Der VIES-Dienst der Europäischen Kommission zur Validierung von Umsatzsteuer-Identifikationsnummern ist ein unabhängiger öffentlicher Dienst und kein Unterauftragsverarbeiter; an diesen Dienst wird ausschließlich die Umsatzsteuer-Identifikationsnummer übermittelt. Transaktionale E-Mails werden entweder über Amazon SES oder Resend versandt, je nachdem, welcher Dienst für die Plattform konfiguriert ist; es wird kein anderer E-Mail-Anbieter genutzt. GitHub, Inc. hostet das für den Support verwendete öffentliche Issue-Tracking-System; die dort veröffentlichten Inhalte werden vom Kunden freiwillig bereitgestellt, sodass GitHub kein Unterauftragsverarbeiter kundenbezogener personenbezogener Daten ist.