Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 30. Juli 2026 (Version 1.0)

Dieser Auftragsverarbeitungsvertrag ("AVV") ist Bestandteil der Allgemeinen Geschäftsbedingungen ("AGB") zwischen dem Kunden ("Verantwortlicher") und Walletguide GmbH ("SaaSFlow", "Auftragsverarbeiter") und regelt die Verarbeitung personenbezogener Daten im Auftrag des Kunden bei der Nutzung der SaaSFlow-Dienste. Er wird mit Vertragsschluss über die Nutzung der Dienste wirksam, ohne dass es einer gesonderten Unterzeichnung bedarf (Art. 28 Abs. 9 DSGVO, elektronisches Format). Auf Wunsch stellen wir eine gegengezeichnete Ausfertigung bereit: support@saasflow.com.

§ 1 Gegenstand und Dauer

(1) SaaSFlow erbringt für den Kunden Leistungen zur Analyse und Planung von Finanz- und Abonnementdaten (die "Dienste") gemäß den AGB. Dabei verarbeitet SaaSFlow personenbezogene Daten im Auftrag des Kunden im Sinne von Art. 28 DSGVO.

(2) Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage 1 beschrieben.

(3) Die Dauer dieses AVV entspricht der Laufzeit des Nutzungsvertrags. Kündigungsrechte richten sich nach den AGB. Verstößt SaaSFlow schwerwiegend gegen diesen AVV, kann der Kunde den Nutzungsvertrag aus wichtigem Grund kündigen.

§ 2 Verantwortlichkeit und Weisungsrecht

(1) Der Kunde ist Verantwortlicher im Sinne der DSGVO. Er ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich.

(2) SaaSFlow verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats SaaSFlow zu einer Verarbeitung verpflichtet. In diesem Fall informiert SaaSFlow den Kunden vor der Verarbeitung, sofern das betreffende Recht eine Mitteilung nicht verbietet.

(3) Die Weisungen des Kunden ergeben sich zunächst aus den AGB, diesem AVV und der Nutzung der Funktionen der Dienste (z. B. das Anbinden einer Datenquelle oder das Freigeben eines KI-Anbieters in den Produkteinstellungen). Ergänzende Einzelweisungen erteilt der Kunde in Textform an support@saasflow.com.

(4) Hält SaaSFlow eine Weisung für datenschutzrechtlich unzulässig, informiert SaaSFlow den Kunden unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

§ 3 Pflichten von SaaSFlow

(1) SaaSFlow gestaltet die interne Organisation so, dass sie den Anforderungen des Datenschutzes gerecht wird, und trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. SaaSFlow darf einzelne Maßnahmen durch gleichwertige oder bessere ersetzen; das Schutzniveau der Anlage 2 darf dabei nicht unterschritten werden.

(2) SaaSFlow verpflichtet alle Personen, die personenbezogene Daten des Kunden verarbeiten, auf Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit und dieses AVV fort.

(3) SaaSFlow benachrichtigt den Kunden unverzüglich, wenn SaaSFlow eine Verletzung des Schutzes personenbezogener Daten des Kunden bekannt wird. Die Benachrichtigung enthält, soweit bereits bekannt, mindestens die Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen). SaaSFlow unterstützt den Kunden bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

(4) SaaSFlow benennt auf Anfrage einen Ansprechpartner für Datenschutzfragen im Rahmen dieses AVV. Erreichbar ist dieser über support@saasflow.com.

(5) SaaSFlow überprüft regelmäßig die Wirksamkeit der technischen und organisatorischen Maßnahmen (Art. 32 Abs. 1 lit. d DSGVO).

(6) Berichtigt, sperrt oder löscht der Kunde Daten innerhalb der Dienste selbst, gilt dies als Weisung. Kann der Kunde eine Berichtigung oder Löschung nicht selbst vornehmen, führt SaaSFlow sie auf Weisung des Kunden durch.

§ 4 Geheimhaltung von Kundendaten

(1) Sämtliche Daten und Informationen, die der Kunde in die Dienste einbringt oder die SaaSFlow bei der Leistungserbringung über das Geschäft des Kunden erlangt, behandelt SaaSFlow vertraulich. Das gilt unabhängig davon, ob die Daten personenbezogen sind, und umfasst insbesondere Finanz-, Umsatz-, Abonnement-, Konto- und Planungsdaten des Kunden als Geschäftsgeheimnisse im Sinne des § 2 GeschGehG.

(2) Umfang, Ausnahmen und Fortgeltung dieser Geheimhaltungspflicht richten sich nach Ziffer 9 (Vertraulichkeit) der AGB. Die Pflichten aus diesem § 4 gelten auch nach Beendigung dieses AVV fort.

§ 5 Unterauftragsverarbeiter

(1) Der Kunde erteilt SaaSFlow die allgemeine Genehmigung, für die Verarbeitung Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss genehmigten Unterauftragsverarbeiter ergeben sich aus Anlage 3.

(2) SaaSFlow informiert die Kontoinhaber des Kunden per E-Mail mindestens 14 Tage, bevor ein neuer Unterauftragsverarbeiter personenbezogene Daten des Kunden verarbeitet oder ein bestehender ersetzt wird, und aktualisiert die öffentliche Liste der Unterauftragsverarbeiter.

(3) Der Kunde kann einer Änderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht der Kunde nicht, gilt die Änderung als genehmigt. Im Fall eines Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung (z. B. Verzicht auf die betroffene Funktion). Kommt keine Lösung zustande, können beide Parteien den Nutzungsvertrag mit einer Frist von 30 Tagen kündigen.

(4) SaaSFlow erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet SaaSFlow gegenüber dem Kunden für dessen Pflichterfüllung.

(5) Keine Unterauftragsverhältnisse im Sinne dieses § 5 sind Nebenleistungen ohne inhaltlichen Bezug zu den Kundendaten, etwa Telekommunikations-, Post-, Reinigungs- oder Bewachungsleistungen.

§ 6 Übermittlung in Drittländer

(1) Eine Verarbeitung in Drittländern außerhalb der EU und des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(2) Für Unterauftragsverarbeiter in den USA stützt SaaSFlow die Übermittlung auf eine Zertifizierung nach dem EU-US Data Privacy Framework, soweit vorhanden, und schließt daneben die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, bei Unterauftragsverhältnissen Modul 3) ab, sodass bei einem Wegfall des Data Privacy Framework eine gültige Übermittlungsgrundlage bestehen bleibt. Die je Anbieter einschlägige Garantie ist in der Liste der Unterauftragsverarbeiter angegeben.

§ 7 Unterstützung des Kunden

(1) SaaSFlow unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III der DSGVO (u. a. Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) zu beantworten. Wendet sich eine betroffene Person unmittelbar an SaaSFlow, leitet SaaSFlow den Antrag unverzüglich an den Kunden weiter.

(2) SaaSFlow unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der SaaSFlow zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(3) Unterstützungsleistungen nach diesem § 7 sind unentgeltlich, soweit sie im Rahmen der Dienste mit vertretbarem Aufwand erbracht werden können. Für darüber hinausgehenden Aufwand, den der Kunde veranlasst, kann SaaSFlow eine angemessene Vergütung verlangen; das gilt nicht, soweit der Aufwand auf einer Pflichtverletzung von SaaSFlow beruht.

§ 8 Nachweise und Kontrollrechte

(1) SaaSFlow weist die Einhaltung der Pflichten aus diesem AVV durch geeignete Mittel nach, insbesondere durch aktuelle Testate oder Zertifikate der eingesetzten Infrastrukturanbieter (z. B. ISO 27001, SOC 2 der Rechenzentren), Selbstauskünfte und die Dokumentation der technischen und organisatorischen Maßnahmen.

(2) Genügen die Nachweise nach Absatz 1 im Einzelfall nicht, kann der Kunde nach vorheriger Anmeldung mit angemessener Frist (in der Regel 30 Tage) höchstens einmal pro Kalenderjahr eine Überprüfung während der üblichen Geschäftszeiten durchführen oder durch einen zur Verschwiegenheit verpflichteten sachverständigen Dritten durchführen lassen, der kein Wettbewerber von SaaSFlow ist. Anlassbezogene Überprüfungen aufgrund eines konkreten datenschutzrechtlichen Vorfalls bleiben unbenommen. Jede Partei trägt ihre eigenen Kosten.

§ 9 Löschung und Rückgabe

(1) Nach Beendigung des Nutzungsvertrags löscht SaaSFlow sämtliche personenbezogenen Daten des Kunden oder gibt sie nach Wahl des Kunden heraus (Export in einem gängigen maschinenlesbaren Format), sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine weitere Aufbewahrung verlangt.

(2) Die Löschung aus den Produktivsystemen erfolgt spätestens 90 Tage nach Vertragsende. Kopien in Sicherungssystemen werden im Rahmen der turnusmäßigen Backup-Rotation überschrieben; bis dahin bleiben sie den Schutzmaßnahmen dieses AVV unterworfen und werden nicht wiederhergestellt, außer soweit dies zur Wiederherstellung des Gesamtsystems erforderlich ist.

(3) Auf Wunsch bestätigt SaaSFlow die Löschung in Textform.

§ 10 Haftung

Für die Haftung im Zusammenhang mit der Verarbeitung personenbezogener Daten gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB auch für Ansprüche im Zusammenhang mit diesem AVV.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV in datenschutzrechtlichen Fragen vor.

(2) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. SaaSFlow informiert den Kunden über Änderungen dieses AVV in Textform; im Übrigen gilt für Änderungen der Mechanismus der AGB.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

(4) Dieser AVV ist in deutscher und englischer Sprache verfügbar. Die deutsche Fassung ist rechtlich maßgeblich; die englische Fassung ist eine unverbindliche Übersetzung.

(5) Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Gegenstand der Verarbeitung

Gegenstand und Zweck: Bereitstellung der SaaSFlow-Dienste zur Analyse, Auswertung und Planung von Finanz-, Umsatz- und Abonnementdaten des Kunden, einschließlich der Anbindung von Datenquellen (z. B. Zahlungs- und Abrechnungsanbieter, Bankkonten, CRM- und Buchhaltungssysteme), der Berechnung von Kennzahlen und Berichten sowie optionaler KI-gestützter Auswertungen, die der Kunde je Anbieter ausdrücklich freigeben muss.

Art der Verarbeitung: Erhebung über angebundene Schnittstellen und Importe, Speicherung, Strukturierung, Auswertung, Anzeige, Übermittlung an freigegebene Unterauftragsverarbeiter, Löschung.

Arten personenbezogener Daten:

Stammdaten der Nutzer des Kunden (Name, E-Mail-Adresse, Rolle)
Kundendaten des Kunden aus angebundenen Systemen (Namen, Firmennamen, Kontaktdaten, Abonnement- und Umsatzdaten, Rechnungsdaten)
Bank- und Transaktionsdaten angebundener Konten (Kontoumsätze, Gegenparteien mit Namen und Kontokennungen, Verwendungszwecke, Salden)
Planungs-, Kommentar- und Notizinhalte, soweit der Kunde dort personenbezogene Daten hinterlegt
Kommunikations- und Supportdaten im Zusammenhang mit der Nutzung der Dienste

Kategorien betroffener Personen:

Nutzer des Kunden (Mitarbeiter und sonstige durch den Kunden berechtigte Personen)
Kunden und Interessenten des Kunden
Geschäftspartner, Lieferanten und deren Ansprechpartner, soweit sie in Transaktions- oder CRM-Daten enthalten sind
Mitarbeiter des Kunden, soweit sie in Transaktionsdaten sichtbar sind (z. B. Gehaltszahlungen)

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Verschlüsselung und Pseudonymisierung: Übertragung sämtlicher Daten ausschließlich über verschlüsselte Verbindungen (TLS). Verschlüsselung der Daten im Ruhezustand auf der eingesetzten Cloud-Infrastruktur. Schlüsselverwaltung durch die zertifizierten Infrastrukturanbieter. Datenminimierung bei optionalen KI-Auswertungen: Es werden nur die für die jeweilige Funktion erforderlichen Datenkategorien übermittelt, die dem Kunden vor der Freigabe benannt werden.

Vertraulichkeit (Zutritts-, Zugangs-, Zugriffs- und Trennungskontrolle):

Physische Sicherheit der Rechenzentren durch die Infrastrukturanbieter (Google Cloud, EU-Region) mit einschlägigen Zertifizierungen (u. a. ISO 27001, SOC 2)
Individuelle Benutzerkonten, keine geteilten Zugänge; Multi-Faktor-Authentifizierung für administrative Zugänge zu Produktionssystemen und Cloud-Konsolen
Rollenbasierte Zugriffsrechte nach dem Need-to-know-Prinzip; administrativer Zugriff auf Produktionsdaten ist auf wenige benannte Personen beschränkt und wird protokolliert
Logische Mandantentrennung: Sämtliche Kundendaten sind durchgängig einer Kundenorganisation zugeordnet und werden auf jeder Zugriffsebene danach gefiltert
Getrennte Umgebungen für Entwicklung, Staging und Produktion; keine produktiven Kundendaten in Test- und Entwicklungsumgebungen, technisch unterstützt durch automatisierte Prüfungen auf personenbezogene Daten im Quellcode

Integrität (Weitergabe- und Eingabekontrolle):

Änderungen an den Systemen ausschließlich über versionierte Quellcodeverwaltung mit Review-Prozess und automatisierten Prüfungen; nachvollziehbare, automatisierte Deployments
Protokollierung sicherheitsrelevanter Ereignisse und Systemzugriffe auf der Infrastrukturebene
Datenexporte nur durch authentifizierte und berechtigte Nutzer des Kunden

Verfügbarkeit und Belastbarkeit:

Betrieb auf redundanter Cloud-Infrastruktur in der EU; automatisierte, regelmäßige Datenbank-Backups mit dokumentiertem Wiederherstellungsverfahren
Monitoring und Alarmierung für Verfügbarkeit und Fehlerzustände; Schutz vor Überlast- und Netzwerkangriffen durch vorgelagerte Sicherheits- und CDN-Dienste
Definierter Prozess für Sicherheitsvorfälle einschließlich Benachrichtigung des Kunden nach § 3 Abs. 3

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung:

Regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen und der Zugriffsberechtigungen
Datenschutzfreundliche Voreinstellungen (Privacy by Design/Default), insbesondere ausdrückliche Freigabe je KI-Anbieter, bevor Daten an diesen übermittelt werden, mit jederzeitiger Widerrufsmöglichkeit im Produkt
Auftragskontrolle: Mit sämtlichen Unterauftragsverarbeitern bestehen Auftragsverarbeitungsverträge; neue Unterauftragsverarbeiter durchlaufen vor dem Einsatz eine Datenschutzprüfung

Anlage 3: Genehmigte Unterauftragsverarbeiter

Die bei Veröffentlichung dieser AVV-Version (30. Juli 2026) genehmigten Unterauftragsverarbeiter sind:

Google Cloud Platform (Infrastruktur und Hosting, EU)
PlanetScale (Datenbank-Hosting, USA; Datenhaltung in der EU)
Cloudflare (CDN und Sicherheitsdienste, USA)
Vercel (Website- und Admin-Hosting, USA)
finAPI GmbH (Bankanbindung Europa, Deutschland)
Plaid (Bankanbindung außerhalb Europas, USA)
Stripe (Zahlungsabwicklung, USA/Irland)
Postmark / ActiveCampaign (Transaktionaler E-Mail-Versand, USA)
Intercom (Kundensupport und Chat, USA)
Sentry (Fehlerüberwachung, USA; nur nach Zustimmung des Nutzers im Produkt)
Anthropic (KI-Auswertungen, USA; nur nach ausdrücklicher Freigabe durch den Kunden)
Cursor / xAI (KI-Auswertungen, USA; nur nach ausdrücklicher Freigabe durch den Kunden)
Google Workspace (Interne E-Mail und Zusammenarbeit, EU)
Slack (Interne Kommunikation, USA)

Einzelheiten zu Zweck, Datenkategorien, Sitz und Übermittlungsgarantien je Anbieter enthält die laufend gepflegte Liste der Unterauftragsverarbeiter. Änderungen erfolgen nach dem Verfahren in § 5.