Vertrag zur Auftragsverarbeitung

Stand: 4. Oktober 2026

Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und Marlon Güttler, Saldiqo, c/o BFG Mediagroup, Bändelstockweg 20, 88326 Aulendorf als Auftragsverarbeiter („Saldiqo“). Er ist Teil der Nutzungsbedingungen und wird mit der Registrierung geschlossen. Er erfüllt die Anforderungen von Art. 28 DSGVO.

Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die Saldiqo selbst verantwortlich ist, zum Beispiel das Nutzerkonto, Einwilligungen und deren Nachweis, Partner-Anfragen mit den Kontaktdaten der anfragenden Person, der Vorlagen-Markt und die Messung von Werbung auf den öffentlichen Seiten der App. Dafür gilt die Datenschutzerklärung.

1. Gegenstand und Dauer

Saldiqo verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um den Dienst Saldiqo bereitzustellen. Der Vertrag läuft, solange der Nutzungsvertrag besteht, und darüber hinaus, bis alle Auftragsdaten gelöscht oder zurückgegeben sind.

2. Art, Zweck und Umfang

Zweck	Speichern und Verarbeiten der Daten, die der Auftraggeber im Dienst pflegt: Belege und E-Rechnungen erstellen, versenden und empfangene E-Rechnungen lesen, Kontoauszüge einlesen und Zahlungen zuordnen, Ausgaben erfassen, Auswertungen erstellen, Support-Anfragen über den Hilfebereich beantworten, im Team zusammenarbeiten, Daten exportieren und sichern; außerdem der Spar-Check und, wenn der Auftraggeber ihn einschaltet, der KI-Assistent (Abschnitt 3).
Arten von Daten	Namen, Anschriften und Kontaktdaten; Kunden- und Lieferantennummern; Inhalte von Angeboten, Rechnungen und Mahnungen; Bankverbindungen und Kontoumsätze; Belege und Dateien; Nachrichten und Anhänge aus Support-Anfragen; Steuer-Identifikationsmerkmale von Geschäftspartnern.
Betroffene Personen	Kunden, Interessenten, Lieferanten und deren Ansprechpartner; Beschäftigte und Teammitglieder des Auftraggebers; Personen, die über den Hilfebereich des Auftraggebers Anfragen senden.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet der Dienst nicht gezielt. Sie können aber in Belegen, Dateien, Support-Anfragen und Kontoumsätzen enthalten sein, zum Beispiel wenn ein Empfänger oder Verwendungszweck auf eine Krankenversicherung, eine Gewerkschaft oder eine Religionsgemeinschaft hinweist. Der Auftraggeber speichert solche Daten nur, wenn es dafür eine Rechtsgrundlage gibt. Den Hinweis des Spar-Checks zur Krankenversicherung gibt es nur, wenn eine berechtigte Person den Spar-Check mit ihrer Einwilligung eingeschaltet hat, nicht beim Spar-Check ab der Registrierung. Dafür genügt nur eine Einwilligung ab der Fassung 2026-10-07.5, deren Text die Krankenversicherung nennt. Sozialversicherungsbeiträge für Beschäftigte des Auftraggebers (erkennbar zum Beispiel am Verwendungszweck „Beitragsnachweis“) zählen nicht dazu.

3. Weisungen

Saldiqo verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, es sei denn, ein Gesetz verpflichtet Saldiqo dazu; dann teilt Saldiqo dies vorher mit, soweit das Gesetz es nicht verbietet. Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung des Dienstes durch den Auftraggeber (zum Beispiel Anlegen, Versenden, Exportieren, Löschen). Weitere Weisungen erteilt der Auftraggeber in Textform. Hält Saldiqo eine Weisung für rechtswidrig, weist Saldiqo unverzüglich darauf hin.

Spar-Check. Für die Firma, die bei der Registrierung angelegt wird, ist der Spar-Check nach § 5 Abs. 1 der Nutzungsbedingungen eingeschaltet; das gilt als Weisung im Sinne dieses Abschnitts. Für weitere Firmen weist der Auftraggeber Saldiqo an, indem ein Inhaber oder Admin ihn einschaltet. Abschalten ist eine Gegenweisung. Mit dieser Weisung wertet Saldiqo die Ausgaben und abgehenden Bankbuchungen der letzten 12 Monate sowie den Rechnungsumsatz des laufenden Jahres wöchentlich automatisch nach festen Regeln aus und speichert die Hinweise in der Datenbank des Auftraggebers. Saldiqo nutzt die Auswertung nicht für eigene Zwecke: Saldiqo bildet daraus keine Profile für sich und gibt keine Auftragsdaten an Partner oder Werbeanbieter weiter. Ist für das Thema eines Hinweises ein Partner eingetragen, zeigt Saldiqo dessen Namen und ein als Werbung gekennzeichnetes Angebot erst, wenn eine Person „Angebote ansehen (Werbung)“ wählt; welche Hinweise erscheinen, hängt davon nicht ab.

KI-Assistent. Schaltet ein Inhaber oder Admin des Auftraggebers den KI-Assistenten ein, weist er Saldiqo an, Nachrichten an den Assistenten und die zur Antwort nötigen Daten an den in Anlage 2 genannten Anbieter zu übermitteln; Änderungen führt der Assistent erst nach Bestätigung aus. Saldiqo nutzt Auftragsdaten auch dabei nicht für eigene Zwecke und gibt keine Auftragsdaten an Partner oder Werbeanbieter weiter. Spar-Check und KI-Assistent lassen sich jederzeit wieder ausschalten.

4. Vertraulichkeit

Saldiqo setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Auf Auftragsdaten wird nur zugegriffen, soweit es für den Betrieb, für Support auf Anfrage des Auftraggebers oder zur Behebung von Störungen nötig ist.

5. Sicherheit der Verarbeitung

Saldiqo trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Saldiqo darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Saldiqo darf weitere Unterauftragsverarbeiter einsetzen oder bestehende ersetzen. Saldiqo informiert den Auftraggeber mindestens vier Wochen vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Vertrag zum Zeitpunkt des Wechsels kündigen.

(3) Saldiqo verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten und bleibt dem Auftraggeber für deren Einhaltung verantwortlich.

(4) Eine Verarbeitung außerhalb der EU bzw. des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

7. Unterstützung des Auftraggebers

(1) Saldiqo unterstützt den Auftraggeber mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Art. 12 bis 22 DSGVO). Der Dienst bietet dafür Funktionen zum Ändern, Exportieren und Löschen. Wendet sich eine betroffene Person direkt an Saldiqo, leitet Saldiqo die Anfrage unverzüglich weiter.

(2) Saldiqo unterstützt den Auftraggeber bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei Konsultationen der Aufsichtsbehörde (Art. 32 bis 36 DSGVO).

8. Meldung von Verletzungen

Saldiqo meldet dem Auftraggeber eine Verletzung des Schutzes von Auftragsdaten unverzüglich, nachdem sie bekannt geworden ist, möglichst innerhalb von 24 Stunden. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Saldiqo ergreift sofort Maßnahmen, um die Verletzung einzudämmen und Folgen zu mildern.

9. Löschung und Rückgabe

Der Auftraggeber kann seine Daten jederzeit exportieren. Löscht der Auftraggeber eine Firma oder sein Konto selbst, löscht Saldiqo die betroffenen Auftragsdaten sofort aus dem laufenden System. Endet der Vertrag auf andere Weise (zum Beispiel durch Kündigung in Textform), bleibt sein Konto nach dem Vertragsende noch mindestens 30 Tage bestehen, damit er seine Daten abrufen und exportieren kann (§ 9a und § 10 Abs. 5 der Nutzungsbedingungen); danach löscht Saldiqo die Auftragsdaten aus dem laufenden System. Aus den verschlüsselten Sicherungen verschwinden die Daten, wenn die jeweilige Sicherung gelöscht wird: Saldiqo sichert täglich und bewahrt die Sicherungen der letzten 14 Tage sowie je Monat eine Sicherung der letzten 12 Monate auf; keine Sicherung ist älter als 400 Tage. Die Sicherungen liegen derzeit nur auf dem Server bei dem in Anlage 2 genannten Hoster. Eine längere Speicherung erfolgt nur, wenn ein Gesetz sie vorschreibt.

10. Nachweise und Kontrollen

Saldiqo stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Kontrollen nach rechtzeitiger Ankündigung während der Geschäftszeiten durchführen, ohne den Betrieb zu stören. Saldiqo kann einen angemessenen Ausgleich für den Aufwand verlangen, wenn eine Kontrolle über eine pro Jahr hinausgeht und kein Anlass besteht.

11. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen der Nutzungsbedingungen. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: Server in einem Rechenzentrum von Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal nach Angaben des Anbieters.
• Zugang: Server-Zugang nur per SSH-Schlüssel, keine Passwort-Anmeldung. Für Nutzer: Passwörter mit Mindestlänge, gespeichert nur als scrypt-Hash; Zwei-Faktor-Anmeldung für jedes Konto (Passkey oder Authenticator-App, Backup-Codes nur als Hash gespeichert); Begrenzung von Anmeldeversuchen; Sitzungen laufen nach 12 Stunden ohne Nutzung ab.
• Zugriff: Rollen und Rechte je Firma (zum Beispiel Inhaber, Admin, Buchhaltung, Support, Steuerberatung mit Lesezugriff). Jede Anfrage wird serverseitig gegen die Rolle geprüft. Zugänge zur Plattform-Verwaltung gibt es nur für ausdrücklich freigegebene Adressen mit Zwei-Faktor-Anmeldung.
• Plattform-Verwaltung und Support: Betreiber können sich nicht selbst in Firmen aufnehmen, keine Konten in fremde Firmen aufnehmen und den Inhaber weder einsetzen noch ändern. Zugriff auf Auftragsdaten für den Support gibt es nur befristet (höchstens 72 Stunden), mit einer Rolle ohne Admin-Rechte und erst nach Freigabe durch den Inhaber. Ändert ein Betreiber die Rolle eines bestehenden Mitglieds, benachrichtigt die App den Inhaber. Schreibende Aktionen der Plattform-Verwaltung sowie Anfrage, Freigabe und Ende eines Support-Zugangs werden im Sicherheitsprotokoll festgehalten und 90 Tage aufbewahrt. Einzelne Lesezugriffe werden nicht festgehalten.
• Trennung: Jede Firma hat eine eigene Datenbank mit eigenem Schlüssel. Daten verschiedener Firmen werden nie gemeinsam gespeichert.
• Verschlüsselung: Datenbanken mit AES-256 verschlüsselt (SQLCipher); Übertragung ausschließlich per HTTPS (TLS) mit HSTS. Gelöschte Datensätze werden in der Datenbank überschrieben.
• Keine fremden Skripte im angemeldeten Bereich: Werbe-Pixel sind nur auf öffentlichen Seiten ohne Anmeldung möglich; für angemeldete Nutzer erlaubt die Content-Security-Policy nur eigene Skripte. Der Service Worker speichert nur Programmdateien, keine Auftragsdaten.

Integrität

• Schutz vor Angriffen über den Browser durch Content-Security-Policy, Schutz gegen Cross-Site-Request-Forgery und Prüfung aller Eingaben auf dem Server; Prüfung hochgeladener Dateien am Inhalt; Mengengrenzen für missbrauchsanfällige Funktionen.
• Festgeschriebene Belege werden gegen Änderung gesperrt; Belegaktionen werden protokolliert.
• Sicherheitsrelevante Ereignisse, auch Aktionen der Plattform-Verwaltung, werden protokolliert und nach 90 Tagen gelöscht.

Verfügbarkeit und Belastbarkeit

• Tägliche verschlüsselte Sicherungen aller Datenbanken; aufbewahrt werden die Sicherungen der letzten 14 Tage und je Monat eine Sicherung der letzten 12 Monate, keine länger als 400 Tage. Die Sicherungen liegen derzeit auf demselben Server; eine Ablage an einem zweiten Ort gibt es noch nicht. Der Hauptschlüssel wird getrennt von den Sicherungen verwahrt.
• Container mit schreibgeschütztem Dateisystem und minimalen Rechten; automatischer Neustart bei Fehlern.
• Sicherheitsupdates für Betriebssystem und Abhängigkeiten werden zeitnah eingespielt.

Regelmäßige Überprüfung

• Automatisierte Tests vor jeder neuen Version, Prüfung der Abhängigkeiten auf bekannte Schwachstellen.
• Überprüfung dieser Maßnahmen mindestens einmal im Jahr.

Anlage 2: Unterauftragsverarbeiter

Sicherungen sowie Betriebs- und Sicherheitsprotokolle liegen auf dem Server des Hosters; einen weiteren Anbieter dafür setzt Saldiqo nicht ein. Kommt einer hinzu, gilt Abschnitt 6 Abs. 2.