Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 2026-08-30

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Teil der Nutzungsbedingungen zwischen der Nordlet OÜ („Nordlet“, der „Auftragsverarbeiter“) und dem Unternehmen, welches das Konto unterhält (der „Kunde“, der „Verantwortliche“). Er findet Anwendung, wann immer Nordlet personenbezogene Daten, die in Kundendaten enthalten sind, im Auftrag des Kunden verarbeitet. Er wird zusammen mit den Nutzungsbedingungen akzeptiert; eine Unterschrift ist nicht erforderlich. Kunden, die eine unterzeichnete Kopie benötigen, können diese unter info@nordlet.com anfordern.

Auftragsverarbeiter: Nordlet OÜ, Pärnu mnt. 139b - 14, Tallinn, 11317, Estland.

1. Definitionen

Begriffe, die mit einem Großbuchstaben geschrieben und hier nicht definiert sind, haben die in den Nutzungsbedingungen angegebene Bedeutung. „DSGVO“ bezeichnet die Verordnung (EU) 2016/679. „Personenbezogene Daten“, „Verarbeitung“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“, „Aufsichtsbehörde“ und „Unterauftragsverarbeiter“ haben die in der DSGVO angegebene Bedeutung. „Personenbezogene Kundendaten“ bezeichnet personenbezogene Daten, die in Kundendaten enthalten sind.

2. Rollen und Geltungsbereich

2.1. Der Kunde ist der Verantwortliche für die personenbezogenen Kundendaten und Nordlet ist dessen Auftragsverarbeiter. Sofern der Kunde selbst als Auftragsverarbeiter für ein anderes Unternehmen fungiert (beispielsweise eine Steuerberatungskanzlei, die die Buchhaltung für ihre Mandanten übernimmt), bestätigt der Kunde, dass er von diesem Unternehmen autorisiert ist, Nordlet gemäß den Bestimmungen dieses AVV als Unterauftragsverarbeiter einzusetzen.

2.2. Dieser AVV erstreckt sich nicht auf personenbezogene Daten, die Nordlet als Verantwortlicher verarbeitet (Konto-, Abrechnungs- und Supportdaten). Diese sind in der Datenschutzerklärung beschrieben.

2.3. Die Einzelheiten der Verarbeitung sind in Anhang 1 dargelegt.

3. Pflichten des Kunden

3.1. Der Kunde ist für die Rechtmäßigkeit der personenbezogenen Kundendaten und seiner erteilten Weisungen verantwortlich. Dies schließt das Vorliegen einer Rechtsgrundlage für die Verarbeitung sowie die Unterrichtung der betroffenen Personen gemäß den Vorgaben der DSGVO ein.

3.2. Der Kunde wird keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten über strafrechtliche Verurteilungen in den Service eingeben, es sei denn, dies ist für die Entgeltabrechnung und Personalverwaltungszwecke (HR) unumgänglich (beispielsweise Krankmeldungen oder Gewerkschaftszugehörigkeiten, sofern gesetzliche Bestimmungen deren Erfassung in der Lohnbuchhaltung verlangen). Zudem wird er die Benutzerrollen so konfigurieren, dass nur autorisierte Personen diese Daten einsehen können.

4. Pflichten des Auftragsverarbeiters

Nordlet wird:

4.1. personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden verarbeiten. Die Nutzungsbedingungen, dieser AVV, die vom Kunden im Service vorgenommenen Konfigurationen sowie jede über die Anwendung oder die API ausgeführte Aktion gelten als Weisungen des Kunden. Nordlet wird den Kunden informieren, falls eine Weisung nach seiner Auffassung gegen die DSGVO verstößt;

4.2. personenbezogene Kundendaten außerhalb dieser Weisungen nur verarbeiten, sofern das Recht der Union oder der Mitgliedstaaten dies vorschreibt. In einem solchen Fall wird Nordlet den Kunden vor der Verarbeitung informieren, sofern das betreffende Recht eine solche Mitteilung nicht verbietet;

4.3. sicherstellen, dass jede zur Verarbeitung personenbezogener Kundendaten befugte Person einer vertraglichen oder gesetzlichen Verschwiegenheitspflicht unterliegt;

4.4. die in Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen ergreifen und regelmäßig überprüfen, damit sie dem Risiko stets angemessen bleiben;

4.5. die in Abschnitt 5 dargelegten Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern einhalten;

4.6. den Kunden angesichts der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nachzukommen. Die Anwendung und die API ermöglichen es dem Kunden, die Datensätze einer betroffenen Person ohne Mitwirkung von Nordlet zu suchen, zu berichtigen, zu exportieren und zu löschen. Wendet sich eine betroffene Person hinsichtlich personenbezogener Kundendaten direkt an Nordlet, wird Nordlet diese an den Kunden verweisen und den Kunden innerhalb von 5 Werktagen darüber informieren;

4.7. den Kunden unter Berücksichtigung der Art der Verarbeitung und der Nordlet zur Verfügung stehenden Informationen dabei unterstützen, die Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation) zu gewährleisten;

4.8. nach Abschluss der Erbringung der Verarbeitungsleistungen die personenbezogenen Kundendaten gemäß Abschnitt 8 löschen oder zurückgeben;

4.9. dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung von Artikel 28 DSGVO zur Verfügung stellen sowie Überprüfungen und Audits gemäß Abschnitt 9 ermöglichen und dazu beitragen.

5. Unterauftragsverarbeiter

5.1. Der Kunde erteilt Nordlet die allgemeine Genehmigung, die in Anhang 3 aufgeführten Unterauftragsverarbeiter in Anspruch zu nehmen. Einige davon werden nur genutzt, wenn der Kunde die entsprechende Funktion aktiviert (Dokumentenscan, Bank-Feeds, E-Invoicing).

5.2. Nordlet wird den Kunden mindestens 30 Tage bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Kundendaten beginnt, per E-Mail an den Kontoinhaber benachrichtigen und Anhang 3 auf dieser Seite aktuell halten. Der Kunde kann innerhalb dieser Frist aus berechtigten Datenschutzgründen Einspruch erheben. Sofern Nordlet den Einspruch nicht ausräumen kann, ist der Kunde berechtigt, die Nutzungsbedingungen für den betroffenen Service zu kündigen, bevor die Änderung wirksam wird. Nordlet erstattet in diesem Fall ungenutzte, gekaufte Credits.

5.3. Nordlet wird jedem Unterauftragsverarbeiter durch einen schriftlichen Vertrag Datenschutzpflichten auferlegen, die nicht weniger streng sind als die in diesem AVV festgelegten, und bleibt dem Kunden gegenüber für die Erfüllung der Pflichten des Unterauftragsverarbeiters in vollem Umfang haftbar.

6. Verletzung des Schutzes personenbezogener Daten

6.1. Nordlet wird den Kunden unverzüglich, spätestens jedoch 48 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Kundendaten, per E-Mail an den Kontoinhaber benachrichtigen.

6.2. Die Benachrichtigung wird, soweit zu diesem Zeitpunkt bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die voraussichtlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Kontaktstelle beschreiben. Nordlet wird weitere Informationen zur Verfügung stellen, sobald diese vorliegen.

6.3. Nordlet wird im Namen des Kunden weder Aufsichtsbehörden noch betroffene Personen benachrichtigen, es sei denn, der Kunde fordert Nordlet schriftlich dazu auf.

7. Internationale Datenübermittlungen

7.1. Personenbezogene Kundendaten werden in der Europäischen Union gespeichert und verarbeitet. Nordlet wird personenbezogene Kundendaten nicht in ein Land außerhalb des Europäischen Wirtschaftsraums übermitteln, es sei denn, dies erfolgt durch einen in Anhang 3 aufgeführten Unterauftragsverarbeiter und ausschließlich mit einer geeigneten Garantie gemäß Kapitel V DSGVO: einem Angemessenheitsbeschluss der Europäischen Kommission (einschließlich des EU-US Data Privacy Framework für zertifizierte Organisationen) oder den von der Kommission erlassenen Standardvertragsklauseln.

7.2. Auf Anfrage stellt Nordlet dem Kunden eine Kopie der angewandten Garantie zur Verfügung, aus der geschäftliche Informationen entfernt wurden.

8. Löschung und Rückgabe von Daten

8.1. Während der gesamten Vertragslaufzeit kann der Kunde alle personenbezogenen Kundendaten über die API und die Exportfunktionen der Anwendung in einem strukturierten, maschinenlesbaren Format exportieren.

8.2. Wenn ein Unternehmen gelöscht wird, können dessen Daten 10 Tage lang wiederhergestellt werden, danach werden sie unwiderruflich gelöscht. Wenn das Konto des Kunden gelöscht wird oder 30 Tage nach Beendigung der Nutzungsbedingungen – je nachdem, was früher eintritt – löscht Nordlet alle verbleibenden personenbezogenen Kundendaten aus den Produktivsystemen, sofern nicht das Recht der Union oder der Mitgliedstaaten eine längere Aufbewahrung vorschreibt. Kopien in Backups werden im regulären Backup-Zyklus nach spätestens 35 Tagen überschrieben; in der Zwischenzeit wird auf sie nicht zugegriffen, außer um den Service nach einem Ausfall wiederherzustellen.

8.3. Nordlet wird die Löschung auf Anfrage schriftlich bestätigen.

9. Überprüfungen und Audits

9.1. Nordlet wird angemessene schriftliche Fragen des Kunden zur Verarbeitung beantworten und die in Anhang 2 beschriebene Dokumentation auf Anfrage zur Verfügung stellen.

9.2. Falls der Kunde oder eine Aufsichtsbehörde darüber hinausgehenden Bedarf hat, kann der Kunde die Einhaltung dieses AVV durch Nordlet einmal innerhalb eines Zeitraums von 12 Monaten überprüfen (Audit), oder häufiger im Anschluss an eine Verletzung des Schutzes personenbezogener Daten bzw. wenn eine Aufsichtsbehörde dies verlangt. Der Kunde kündigt das Audit mit einer Frist von mindestens 30 Tagen schriftlich an. Das Audit findet während der üblichen Geschäftszeiten statt, stört den Betriebsablauf von Nordlet nicht unangemessen und wird vom Kunden oder einem zur Verschwiegenheit verpflichteten, unabhängigen Prüfer durchgeführt, der kein Mitbewerber von Nordlet ist. Jede Partei trägt ihre eigenen Kosten.

9.3. Der Kunde wird die Ergebnisse des Audits mit Nordlet teilen, und Nordlet wird jegliche bestätigte Nichtkonformität innerhalb einer angemessenen Frist beheben.

10. Haftung

Die Haftung beider Parteien im Rahmen dieses AVV unterliegt den Beschränkungen und Ausschlüssen in den Nutzungsbedingungen. Diese Beschränkungen gelten jedoch nicht für Haftungsansprüche, deren Beschränkung zwischen Verantwortlichem und Auftragsverarbeiter gemäß Artikel 82 DSGVO unzulässig ist.

11. Laufzeit

Dieser AVV gilt, solange Nordlet personenbezogene Kundendaten verarbeitet. Abschnitt 8 bleibt so lange in Kraft, bis die dort beschriebene Löschung vollständig abgeschlossen ist.

12. Vorrang und anwendbares Recht

Bei Widersprüchen zwischen diesem AVV und den Nutzungsbedingungen in datenschutzrechtlichen Angelegenheiten hat dieser AVV Vorrang. In allen anderen Belangen gelten die Nutzungsbedingungen, einschließlich ihrer Klauseln zum anwendbaren Recht und zur Streitbeilegung. Dieser AVV wird in englischer und litauischer Sprache veröffentlicht; bei Abweichungen zwischen den beiden Versionen ist die englische Version maßgeblich.

Anhang 1 — Einzelheiten der Verarbeitung

Gegenstand	Beschreibung
Gegenstand der Verarbeitung	Bereitstellung der Cloud-Buchhaltungsplattform und API von Nordlet für den Kunden
Dauer	Die Laufzeit der Nutzungsbedingungen zuzüglich der in Abschnitt 8 genannten Löschfrist
Art und Zweck	Speicherung, Strukturierung, Berechnung, Berichterstattung, Übermittlung und Anzeige von Buchhaltungs- und zugehörigen Geschäftsunterlagen auf Weisung des Kunden; Erstellung von Rechnungen, Erklärungen, Zahlungsdateien und Berichten; Austausch von E-Rechnungen und Bankdaten mit den vom Kunden angebundenen Anbietern
Kategorien betroffener Personen	Mitarbeiter und freie Mitarbeiter des Kunden; Ansprechpartner bei Kunden, Lieferanten und sonstigen Geschäftspartnern des Kunden; Einzelunternehmer, die Partner des Kunden sind; die eigenen Nutzer des Kunden; Gesellschafter und Geschäftsführer, sofern erfasst; sonstige in Buchhaltungsbelegen genannte Personen
Kategorien personenbezogener Daten	Namen, Berufsbezeichnungen, geschäftliche Kontaktdaten (E-Mail, Telefon, Adresse); Identifikationsnummern von Einzelunternehmern und, sofern gesetzlich vorgeschrieben, persönliche Identifikationsnummern von Mitarbeitern; Bankkontonummern und Transaktionsdetails; Gehalts-, Steuer-, Sozialversicherungs- und Urlaubsdaten für die Entgeltabrechnung; Fahrzeug- und Anlagenzuordnungen; Inhalt hochgeladener Dokumente; Benutzeraktivitäten im Audit-Log (Prüfprotokoll)
Besondere Kategorien	Nicht beabsichtigt. Können in Lohnbuchhaltungs- und HR-Datensätzen (z. B. Daten zu Krankmeldungen) beiläufig vorkommen, sofern das Gesetz dies verlangt
Ort der Verarbeitung	Europäische Union; siehe Abschnitt 7 für Unterauftragsverarbeiter außerhalb des EWR

Anhang 2 — Technische und organisatorische Maßnahmen

Bereich	Maßnahme
Verschlüsselung bei der Übertragung (in transit)	TLS bei jeder Verbindung zur Website, zur Anwendung, zur API sowie zwischen dem Service und seinen Unterauftragsverarbeitern
Verschlüsselung im Ruhezustand (at rest)	Hochgeladene Dateien werden im Ruhezustand verschlüsselt gespeichert; Datenbank-Volumes befinden sich auf verschlüsseltem Speicher
Authentifizierung	Passwortlose Anmeldung durch einmalige Links, die 15 Minuten lang gültig sind; Sitzungs-, Einladungs- und Anmelde-Tokens werden nur als Hashes gespeichert; API-Schlüssel werden nur als Hashes gespeichert und mit expliziten Berechtigungsbereichen (Scopes) pro Unternehmen ausgestellt
Mandantentrennung (Tenant isolation)	Jede Tabelle, die Kundendaten enthält, ist mit der Unternehmenskennung versehen; Richtlinien zur Sicherheit auf Zeilenebene in der Datenbank beschränken jede Sitzung auf das Unternehmen, für das sie authentifiziert ist
Zugriffskontrolle	Benutzer werden pro Unternehmen eingeladen und ihnen werden Rollen zugewiesen; der Kunde verwaltet seine eigenen Benutzer; der Zugriff von Nordlet-Mitarbeitern auf die Produktivsysteme ist auf namentlich benannte Administratoren beschränkt, nutzt individuelle Zugangsdaten und ist auf das für den Betrieb des Services erforderliche Maß beschränkt
Integrität	Gebuchte Journalbuchungen sind unveränderlich; Korrekturen erfolgen durch Stornobuchungen; ein Audit-Log (Prüfprotokoll) zeichnet auf, wer was wann geändert hat
Protokollierung und Überwachung (Logging and monitoring)	Server- und Anwendungsprotokolle werden aus Gründen der Sicherheit und Zuverlässigkeit für 90 Tage aufbewahrt; Ratenbegrenzung (Rate Limiting) schützt vor Missbrauch
Verfügbarkeit	Redundante Datenbankknoten und regelmäßige Backups; Backups werden rollierend aufbewahrt und durch Wiederherstellungstests geprüft
Datenminimierung	Der Kunde kontrolliert, welche Felder er ausfüllt; optionale Integrationen übertragen nur die Daten, welche die Integration benötigt (z. B. nur die USt-IdNr. an VIES, nur das hochgeladene Dokument an den OCR-Anbieter)
Verwaltung von Unterauftragsverarbeitern	Schriftliche Verträge mit jedem Unterauftragsverarbeiter; in Anhang 3 veröffentlichte Liste; 30-tägige Ankündigungsfrist bei Änderungen
Löschung	Unternehmenslöschung mit einem 10-tägigen Wiederherstellungsfenster, danach endgültige Entfernung; Kontolöschung entfernt sämtliche Kundendaten; Backup-Kopien werden innerhalb von 35 Tagen überschrieben
Personal	Sämtliche Mitarbeiter sind zur Verschwiegenheit verpflichtet; Zugriffsrechte werden entzogen, wenn eine Person das Unternehmen verlässt
Reaktion auf Sicherheitsvorfälle (Incident Response)	Dokumentiertes Verfahren zur Erkennung, Eindämmung und Meldung von Verletzungen des Schutzes personenbezogener Daten innerhalb des 48-Stunden-Fensters gemäß Abschnitt 6

Anhang 3 — Unterauftragsverarbeiter

Unterauftragsverarbeiter	Service	Standort	Wann genutzt
Amazon Web Services EMEA SARL	Hosting der Web-Anwendung, Speicherung hochgeladener Dateien, Transaktions-E-Mails (Amazon SES)	Europäische Union	Immer
Stripe Payments Europe, Ltd.	Zahlungsabwicklung für Credit-Käufe	Irland, mit Stripe, Inc. (Vereinigte Staaten) für die Kartenverarbeitung	Wenn der Kunde Credits kauft. Stripe verarbeitet die eigenen Abrechnungsdaten des Kunden, nicht die personenbezogenen Kundendaten betroffener Personen
Resend, Inc.	Zustellung von Transaktions-E-Mails	Vereinigte Staaten (EU-Region)	Wenn anstelle von Amazon SES konfiguriert
Mistral AI	Optische Zeichenerkennung (OCR) von hochgeladenen Dokumenten	Frankreich	Nur wenn der Kunde den Dokumentenscan nutzt
Enable Banking Oy	Abruf von Bankkontotransaktionen	Finnland	Nur wenn der Kunde ein Bankkonto verbindet
Für das Unternehmen des Kunden konfigurierter Peppol Access Point-Anbieter	Austausch von E-Rechnungen über das Peppol-Netzwerk	Abhängig vom Anbieter	Nur wenn der Kunde E-Invoicing aktiviert

Der VIES-Dienst der Europäischen Kommission, der USt-IdNrn. validiert, ist ein unabhängiger öffentlicher Dienst und kein Unterauftragsverarbeiter; es wird lediglich die USt-IdNr. an ihn übermittelt. Transaktions-E-Mails werden entweder über Amazon SES oder Resend versendet, je nachdem, was für die Plattform konfiguriert ist; es wird kein anderer E-Mail-Anbieter genutzt. GitHub, Inc. hostet den für den Support genutzten öffentlichen Issue Tracker; die dort geposteten Inhalte werden vom Kunden freiwillig bereitgestellt, sodass GitHub kein Unterauftragsverarbeiter von personenbezogenen Kundendaten ist.