Auftragsverarbeitungsvertrag
Fassung 2026-08. Maßgeblich ist die bei Vertragsschluss gültige Fassung. Änderungen werden mit einer neuen Fassungsnummer veröffentlicht; Sie werden dann erneut um Ihre Zustimmung gebeten.
1. Vertragsparteien und Gegenstand
Dieser Vertrag konkretisiert die Pflichten nach Art. 28 DSGVO zwischen
- dem Kunden als Verantwortlichem (nachfolgend „Auftraggeber“) und
- der SQARES AG, Baarerstrasse 107, 6300 Zug, Schweiz, als Auftragsverarbeiterin (nachfolgend „Auftragnehmerin“).
Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftraggeber im Rahmen der Nutzung der Software „TaxAI“ hochlädt oder erzeugen lässt. Der Vertrag gilt für die Dauer des Nutzungsvertrages.
2. Art, Umfang und Zweck der Verarbeitung
Zweck: automatisierte Auswertung und Aufbereitung der vom Auftraggeber bereitgestellten Unterlagen zur Vorbereitung steuerlicher und buchhalterischer Arbeiten.
Art der Daten (typischerweise):
- Stamm- und Kontaktdaten (Namen, Anschriften, Kontaktangaben)
- Vertrags- und Abrechnungsdaten, Zahlungs- und Bankdaten
- Inhalte von Belegen, Rechnungen, Kontoauszügen, Verträgen und Bescheiden
- Steuerliche Identifikationsmerkmale
Kategorien betroffener Personen: Mandanten und Kunden des Auftraggebers, deren Geschäftspartner, Beschäftigte sowie sonstige in den Unterlagen genannte Personen.
3. Weisungsgebundenheit
(1) Die Auftragnehmerin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Software durch den Auftraggeber gilt als Weisung.
(2) Hält die Auftragnehmerin eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit und darf die Ausführung aussetzen.
(3) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Eine Nutzung der Inhalte zum Training von KI-Modellen erfolgt nicht.
4. Vertraulichkeit
Die Auftragnehmerin verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit und unterweist sie über die einschlägigen Datenschutzvorschriften. Der Zugriff ist auf das für die Leistungserbringung Erforderliche beschränkt.
5. Berufsgeheimnis (§ 203 StGB, § 62a StBerG, § 43e BRAO)
(1) Der Auftragnehmerin ist bekannt, dass der Auftraggeber als Berufsgeheimnisträger — insbesondere als Steuerberater, Wirtschaftsprüfer oder Rechtsanwalt — der Verschwiegenheitspflicht unterliegt und dass ihr bei der Leistungserbringung fremde Geheimnisse im Sinne des § 203 StGB offenbart werden können.
(2) Die Auftragnehmerin verpflichtet sich, alle ihr im Rahmen der Leistungserbringung bekannt werdenden fremden Geheimnisse geheim zu halten und Dritten nicht unbefugt zu offenbaren. Diese Pflicht besteht auch nach Beendigung des Vertrages fort.
(3) Die Auftragnehmerin wurde ausdrücklich darüber belehrt, dass sie sich nach § 203 Abs. 4 StGB strafbar macht, wenn sie ein ihr im Rahmen dieser Tätigkeit anvertrautes oder bekannt gewordenes fremdes Geheimnis unbefugt offenbart. Diese Belehrung erstreckt sich auf alle bei ihr beschäftigten und von ihr beauftragten Personen.
(4) Die Auftragnehmerin verpflichtet die von ihr eingesetzten Personen sowie sämtliche Unterauftragnehmer in Textform entsprechend den Absätzen 2 und 3 und belehrt sie über die Strafbarkeit.
(5) Der Zugriff auf geschützte Geheimnisse erfolgt nur, soweit dies zur Erfüllung des Vertrages erforderlich ist.
(6) Soweit Leistungen im Ausland erbracht werden, stellt die Auftragnehmerin sicher, dass ein dem deutschen Recht vergleichbarer Geheimnisschutz vertraglich gewährleistet ist.
6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Die Auftragnehmerin trifft insbesondere folgende Maßnahmen:
- Verschlüsselte Übertragung (TLS) sämtlicher Verbindungen
- Zugangskontrolle über persönliche Konten, gehashte Passwörter, Sperre nach wiederholten Fehlversuchen
- Mandantentrennung: getrennte Datenbereiche je Nutzerkonto
- Beschränkung der Zugriffsrechte auf das Erforderliche
- Protokollierung administrativer Zugriffe
- Regelmäßige Sicherung der Daten
- Verpflichtung aller Beschäftigten auf Vertraulichkeit
Die Maßnahmen unterliegen dem technischen Fortschritt. Die Auftragnehmerin darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird.
7. Unterauftragsverarbeiter
(1) Der Auftraggeber stimmt dem Einsatz der nachstehenden Unterauftragsverarbeiter zu:
- Hosting- und Infrastrukturdienstleister für Betrieb und Speicherung der Anwendung
- Anbieter von KI-Rechenleistung für die automatisierte Auswertung der bereitgestellten Inhalte
(2) Die jeweils aktuelle, namentliche Liste der Unterauftragsverarbeiter einschließlich Verarbeitungsort stellt die Auftragnehmerin auf Anfrage in Textform zur Verfügung.
(3) Die Auftragnehmerin verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht — einschließlich der Verschwiegenheitspflichten nach Abschnitt 5.
(4) Einen Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters teilt die Auftragnehmerin rechtzeitig in Textform mit. Der Auftraggeber kann aus wichtigem Grund innerhalb von vier Wochen widersprechen; in diesem Fall steht beiden Seiten ein Sonderkündigungsrecht zu.
8. Verarbeitung in Drittländern
Eine Verarbeitung außerhalb der EU/des EWR erfolgt nur auf Grundlage geeigneter Garantien im Sinne der Art. 44 ff. DSGVO, insbesondere der EU-Standardvertragsklauseln oder eines anerkannten Angemessenheitsbeschlusses.
9. Unterstützung des Auftraggebers
Die Auftragnehmerin unterstützt den Auftraggeber im Rahmen des Zumutbaren bei
- der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO),
- der Meldung von Datenschutzverletzungen (Art. 33, 34 DSGVO),
- Datenschutz-Folgenabschätzungen (Art. 35, 36 DSGVO).
Wird der Auftragnehmerin eine Verletzung des Schutzes personenbezogener Daten bekannt, unterrichtet sie den Auftraggeber unverzüglich.
10. Löschung und Rückgabe
(1) Der Auftraggeber kann seine Daten jederzeit selbst exportieren und löschen.
(2) Nach Beendigung des Vertrages löscht die Auftragnehmerin die verarbeiteten Daten binnen 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
11. Nachweise und Kontrolle
Die Auftragnehmerin weist die Einhaltung ihrer Pflichten auf Anfrage in geeigneter Form nach. Der Auftraggeber ist berechtigt, sich nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten von der Einhaltung zu überzeugen; der Betriebsablauf darf dabei nicht unangemessen beeinträchtigt werden.
12. Schlussbestimmungen
(1) Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrages für die Auftragsverarbeitung vor.
(2) Es gilt das Recht der Bundesrepublik Deutschland. Änderungen bedürfen der Textform.
Fassung 2026-08 · Stand: August 2026