Vertrag über die Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Fibalo, Version 1.1, Stand: 5. November 2026

zwischen

dem Kunden, der Fibalo auf Grundlage der Allgemeinen Geschäftsbedingungen von Fibalo nutzt (nachfolgend „Auftraggeber“),

und

der Fibalo UG (haftungsbeschränkt) i. G., Hördtweg 65, 40470 Düsseldorf, vertreten durch den Geschäftsführer Yevhen Lisovenko (nachfolgend „Auftragsverarbeiter“; der Dienst wird unter der Bezeichnung „Fibalo“ angeboten). Die Gesellschaft ist in Gründung; Registergericht und Registernummer werden nach der Eintragung ergänzt.

Dieser Vertrag ist Bestandteil des Vertrags über die Nutzung von Fibalo (§ 12 Abs. 2 der AGB). Der Auftraggeber schließt ihn mit der Annahme der AGB in Fibalo; eine Steuerkanzlei oder ein anderer Berufsgeheimnisträger nimmt ihn zusätzlich in Fibalo ausdrücklich an (§ 6 Abs. 1). Der Vertrag ist damit in einem elektronischen Format abgeschlossen (Art. 28 Abs. 9 DSGVO) und liegt in Textform vor (§ 126b BGB). Der Auftragsverarbeiter speichert Zeitpunkt, Version und annehmendes Konto. Der Text jeder Version bleibt unter fibalo.de/avv abrufbar.

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Auftraggebers bei der Bereitstellung der Software-Dienstleistung „Fibalo“ nach den Allgemeinen Geschäftsbedingungen von Fibalo (nachfolgend „Hauptvertrag“).

(2) Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(3) Dieser Vertrag gilt für die Dauer des Hauptvertrags. Er gilt darüber hinaus fort, solange der Auftragsverarbeiter nach § 9 noch personenbezogene Daten des Auftraggebers verarbeitet.

(4) Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.

§ 2 Weisungen des Auftraggebers

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). In einem solchen Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(2) Die Weisungen des Auftraggebers ergeben sich zunächst aus diesem Vertrag, dem Hauptvertrag und den Einstellungen und Funktionen, die der Auftraggeber in Fibalo nutzt, etwa beim Hochladen, beim Weiterleiten von E-Mails, beim Freigeben von Zugängen für Mitarbeiter oder eine Steuerkanzlei, beim Versand von Rechnungen oder beim Export. Der Auftraggeber kann ergänzende Weisungen in Textform an info@fibalo.de erteilen.

(3) Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er darf die Ausführung der Weisung so lange aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 3 Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit. Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Diese Personen erhalten Zugang zu personenbezogenen Daten nur, soweit dies für ihre Aufgabe erforderlich ist.

(2) Sicherheit der Verarbeitung. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

(3) Unterstützung bei Betroffenenrechten. Der Auftragsverarbeiter unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 Satz 2 lit. e DSGVO). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, soweit er dazu nicht verpflichtet ist.

(4) Unterstützung bei weiteren Pflichten. Der Auftragsverarbeiter unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde (Art. 28 Abs. 3 Satz 2 lit. f DSGVO).

(5) Verletzungen des Schutzes personenbezogener Daten. Der Auftragsverarbeiter meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die im Konto hinterlegte Adresse (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht er unverzüglich nach. Er ergreift unverzüglich Maßnahmen, um die Verletzung einzudämmen und ihre nachteiligen Folgen zu mildern.

(6) Ansprechpartner. Ein Datenschutzbeauftragter ist nicht benannt. Ansprechpartner für den Datenschutz ist der Geschäftsführer; er ist erreichbar unter info@fibalo.de.

(7) Ort der Verarbeitung. Server, Datenbanken und Originaldokumente liegen in Deutschland: Server und Datenbanken im Rechenzentrum Falkenstein/Vogtland, Originaldokumente und eingehende E-Mails in der Region Frankfurt am Main. Für das Auslesen und Einordnen von Belegen, für den Versand von E-Mails und Benachrichtigungen und für die weiteren in Anlage 3 genannten Leistungen übermittelt der Auftragsverarbeiter Daten an die dort genannten Unterauftragsverarbeiter, auch in Drittländer. Eine Übermittlung in ein Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder der Standardvertragsklauseln der Europäischen Kommission.

§ 4 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die Daten, die er in Fibalo einbringt, an den Auftragsverarbeiter übermitteln darf (vgl. § 12 Abs. 3 der AGB).

(2) Lädt der Auftraggeber Unterlagen hoch, die besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten (etwa das Kirchensteuermerkmal in Lohnunterlagen oder Gesundheitsangaben in Arbeitsunfähigkeitsnachweisen), stellt er sicher, dass er dazu berechtigt ist.

(3) Der Auftraggeber informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(4) Der Auftraggeber entscheidet, welchen Personen er Zugang zu seinen Unternehmen in Fibalo gewährt und mit welcher Rolle. Für die Auswahl dieser Personen ist er verantwortlich.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt. Die jeweils aktuelle Liste steht unter fibalo.de/avv.

(2) Der Auftragsverarbeiter informiert den Auftraggeber mindestens 30 Tage im Voraus per E-Mail an die im Konto hinterlegte Adresse und durch Aktualisierung der Liste unter fibalo.de/avv über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen. In dringenden Fällen, etwa zur Abwehr einer Sicherheitsgefahr oder beim Ausfall eines Dienstleisters, kann die Frist kürzer sein; der Auftragsverarbeiter begründet dies in der Mitteilung.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

(4) Keine Unterauftragsverarbeitung im Sinne dieses Paragrafen sind Nebenleistungen, die der Auftragsverarbeiter bei Dritten als reine Infrastruktur- oder Kommunikationsleistung ohne Zugriff auf Inhalte in Anspruch nimmt, etwa Telekommunikationsleistungen. Dienste, die der Auftraggeber selbst anbindet oder auswählt, etwa einen KI-Assistenten über die Fibalo-Schnittstelle, DATEV oder den Versand an seine Steuerkanzlei, sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; die Übermittlung an sie erfolgt auf Weisung des Auftraggebers. Dasselbe gilt für die Adresssuche beim Anlegen eines Mandanten: Gibt der Auftraggeber dort mindestens drei Zeichen ein, gehen seine Eingabe und seine IP-Adresse an die Google Cloud EMEA Limited, Dublin, die sie als eigener Verantwortlicher verarbeitet (Google Maps Platform); wer die Anschrift von Hand eingibt, übermittelt nichts an Google.

§ 6 Berufsgeheimnisträger, insbesondere Steuerberater (§ 62a StBerG, § 203 StGB)

(1) Dieser Paragraf gilt, wenn der Auftraggeber Steuerberater, Steuerbevollmächtigter, Steuerberatungsgesellschaft oder ein anderer Berufsgeheimnisträger im Sinne von § 203 StGB ist und Fibalo für seine Berufsausübung nutzt, insbesondere für die Belege seiner Mandanten. Er ergänzt die Pflichten nach § 3 und schließt den Vertrag nach § 62a Abs. 3 StBerG in Textform.

(2) Verpflichtung zur Verschwiegenheit. Der Auftragsverarbeiter verpflichtet sich, über alle fremden Geheimnisse, die ihm bei der Erbringung der Leistung bekannt werden, Verschwiegenheit zu wahren. Diese Pflicht gilt über das Ende des Vertrags hinaus.

(3) Belehrung über die strafrechtlichen Folgen. Der Auftragsverarbeiter wird darauf hingewiesen, dass er als mitwirkende Person nach § 203 Abs. 4 Satz 1 StGB mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft wird, wenn er unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person bekannt geworden ist. Ebenso wird nach § 203 Abs. 4 Satz 2 Nr. 1 StGB bestraft, wer als mitwirkende Person nicht dafür Sorge trägt, dass eine weitere mitwirkende Person, die unbefugt ein solches Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde. Der Auftragsverarbeiter bestätigt mit Abschluss dieses Vertrags, diese Belehrung zur Kenntnis genommen zu haben, und belehrt seine Beschäftigten, die mit Daten des Auftraggebers in Berührung kommen, in gleicher Weise.

(4) Kenntnisnahme nur im erforderlichen Umfang. Der Auftragsverarbeiter verschafft sich Kenntnis von fremden Geheimnissen nur, soweit dies zur Vertragserfüllung erforderlich ist (§ 62a Abs. 3 Satz 2 Nr. 2 StBerG). Mitarbeiter des Auftragsverarbeiters sehen Inhalte von Belegen nur zur Fehlerbehebung, zum Support auf Anfrage des Auftraggebers oder zur Abwehr von Sicherheitsgefahren.

(5) Unterauftragnehmer. Der Auftragsverarbeiter darf Unterauftragnehmer nach § 5 heranziehen (§ 62a Abs. 3 Satz 2 Nr. 3 StBerG). Er verpflichtet jeden Unterauftragnehmer, der Zugang zu Inhalten erhält, in Textform zur Verschwiegenheit, soweit dieser nicht bereits einer gleichwertigen gesetzlichen oder vertraglichen Verschwiegenheitspflicht unterliegt.

(6) Dienstleister im Ausland. Anlage 3 nennt für jeden Unterauftragsverarbeiter mit Sitz oder Verarbeitung außerhalb der Europäischen Union den Ort der Verarbeitung, die Grundlage der Übermittlung, die Nutzung der Inhalte zum Training von Modellen und die Speicherdauer, soweit der Anbieter sie festlegt. Auf Anfrage stellt der Auftragsverarbeiter dem Auftraggeber die zugrunde liegenden Vertragsbedingungen zur Verfügung. Ob der Schutz der Geheimnisse bei diesen Dienstleistern dem Schutz im Inland vergleichbar ist (§ 62a Abs. 4 StBerG), beurteilt der Auftraggeber eigenverantwortlich.

(7) Der Auftraggeber prüft eigenverantwortlich, ob eine Einwilligung seiner Mandanten nach § 62a Abs. 5 StBerG erforderlich ist.

§ 7 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Als Nachweis genügen in der Regel diese Anlage 2, aktuelle Zertifikate und Prüfberichte der Rechenzentrumsbetreiber und eine schriftliche Auskunft des Auftragsverarbeiters.

(2) Reichen diese Nachweise im Einzelfall nicht aus, kann der Auftraggeber Kontrollen, auch vor Ort, selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Kontrollen sind mit einer Frist von mindestens 30 Tagen anzukündigen, finden während der üblichen Geschäftszeiten statt, gefährden nicht die Daten anderer Kunden und erfolgen höchstens einmal im Kalenderjahr, außer nach einer Verletzung des Schutzes personenbezogener Daten. Den Aufwand trägt der Auftraggeber, soweit die Kontrolle keine wesentlichen Verstöße ergibt.

(3) Kontrollen in Rechenzentren der Unterauftragsverarbeiter richten sich nach deren Bedingungen; der Auftragsverarbeiter stellt deren Zertifikate und Berichte zur Verfügung.

§ 8 Haftung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Im Verhältnis der Parteien gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

§ 9 Rückgabe und Löschung nach Vertragsende

(1) Der Auftraggeber kann seine Daten während der Laufzeit jederzeit über die Exportfunktionen von Fibalo abrufen, insbesondere das Belegarchiv (alle Originaldokumente mit den ausgelesenen Daten) und die Exporte in Formate für Buchhaltungsprogramme.

(2) Endet der Hauptvertrag, kann der Auftraggeber seine Daten noch 30 Tage nach dem Vertragsende über diese Exportfunktionen abrufen (Rückgabe nach Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Löscht der Auftraggeber sein Konto selbst, wählt er damit die Löschung; den Export nimmt er vor dem Löschen vor.

(3) Nach Ablauf der Frist nach Absatz 2 oder nach dem Löschen des Kontos löscht der Auftragsverarbeiter die personenbezogenen Daten des Auftraggebers, soweit nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht und soweit Absatz 4 nichts anderes bestimmt.

(4) Belege und die daraus ausgelesenen Daten bewahrt der Auftragsverarbeiter nach dem Ende des Zugangs zehn Jahre auf, mindestens bis zum Ablauf der gesetzlichen Aufbewahrungsfristen (insbesondere § 147 AO, § 257 HGB), und löscht sie danach. Diese Aufbewahrung erfolgt auf Weisung des Auftraggebers, damit er seine Aufbewahrungspflichten erfüllen kann, etwa beim Datenzugriff der Finanzverwaltung nach § 147 Abs. 6 AO. Während dieser Zeit sind die Daten für niemanden abrufbar. Auf Anforderung in Textform an info@fibalo.de stellt der Auftragsverarbeiter dem Auftraggeber die Daten als Export bereit; diese Leistung ist kostenpflichtig, die Vergütung nennt der Auftragsverarbeiter vorab in Textform. Der Auftraggeber kann in Textform an info@fibalo.de verlangen, dass die Daten stattdessen sofort gelöscht werden; die Verantwortung für die Erfüllung seiner Aufbewahrungspflichten liegt dann bei ihm.

(5) Personenbezogene Daten der Personen, die das Konto genutzt haben (Name, E-Mail-Adresse, Telefonnummer), werden mit dem Löschen des Kontos entfernt.

(6) Datensicherungen werden nicht gezielt bereinigt; sie werden im regulären Zyklus überschrieben. Datenbanksicherungen werden spätestens nach 7 Tagen gelöscht. Eingegangene E-Mails im Rohformat werden 90 Tage nach Eingang gelöscht.

(7) Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 10 Schlussbestimmungen

(1) Änderungen dieses Vertrags bedürfen der Textform. Ändert der Auftragsverarbeiter diesen Vertrag, legt er die neue Fassung dem Auftraggeber in Fibalo zur Annahme vor; bis zur Annahme gilt die bisherige Fassung fort, soweit die Änderung nicht aufgrund gesetzlicher Vorgaben zwingend ist. Die Aktualisierung der Liste der Unterauftragsverarbeiter richtet sich nach § 5 Abs. 2.

(2) Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, Düsseldorf.

Anlage 1: Gegenstand der Verarbeitung

1. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter stellt dem Auftraggeber Fibalo als Software-Dienstleistung zur Verfügung und verarbeitet dabei personenbezogene Daten zu folgenden Zwecken:

• Empfang, Speicherung und Bereitstellung von Belegen, Kontoauszügen und sonstigen Dokumenten, die der Auftraggeber hochlädt, per E-Mail an seine Fibalo-Adresse weiterleitet, mit der App fotografiert oder über die Browser-Erweiterung sendet;
• automatisches Auslesen von Belegen und Dokumenten mit KI-gestützten Verfahren, Einordnung von Dokumenten nach Dokumenttyp und Aufbewahrungsfrist, Vorschläge für Kontierung und Branche;
• Import von Kontoumsätzen und Zuordnung von Zahlungen zu Belegen;
• Pflege von Kontakten (Lieferanten, Kunden) und Erstellung und Versand von Ausgangsrechnungen an Empfänger, die der Auftraggeber bestimmt;
• Erstellung von Auswertungen und Exporten für die Buchhaltung und die Steuerkanzlei des Auftraggebers;
• Zusammenarbeit mit der Steuerkanzlei des Auftraggebers oder, wenn der Auftraggeber eine Steuerkanzlei ist, mit ihren Mandanten: Freigaben, Rückfragen, Nachrichten, Einladungen per E-Mail und WhatsApp;
• Benachrichtigungen per E-Mail und Push-Nachricht;
• Betrieb, Sicherheit, Fehlerbehebung und Support von Fibalo, auch mithilfe KI-gestützter Werkzeuge.

2. Art der personenbezogenen Daten

• Kontodaten der Nutzer: Name, E-Mail-Adresse, Telefonnummer, Rolle und Berechtigungen;
• Stammdaten des Auftraggebers und seiner Unternehmen, soweit sie sich auf natürliche Personen beziehen (etwa bei Einzelunternehmern): Name, Anschrift, Steuernummer, USt-IdNr., Bankverbindung;
• Inhalte von Belegen und Dokumenten: Namen, Anschriften und Kontaktdaten von Ausstellern und Empfängern, Rechnungs- und Positionsdaten, Beträge, Bankverbindungen (IBAN), Steuernummern, Verträge, Bescheide und sonstige Inhalte, die der Auftraggeber einbringt;
• Kontoumsätze: Name und IBAN des Zahlungspartners, Betrag, Datum, Verwendungszweck;
• Kontakte und Ausgangsrechnungen: Name, Anschrift, E-Mail-Adresse, Kundennummer und Rechnungsdaten der Geschäftspartner des Auftraggebers;
• Kommunikation: Nachrichten, Sprachnachrichten und Anhänge zwischen dem Auftraggeber und seiner Steuerkanzlei oder ihren Mandanten; Metadaten eingehender E-Mails (Absender, Betreff, Empfänger, Zeitpunkt);
• technische Protokolldaten des Betriebs;
• soweit in eingebrachten Unterlagen enthalten, auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa die Religionszugehörigkeit (Kirchensteuermerkmal in Lohnunterlagen) oder Gesundheitsdaten (etwa in Arbeitsunfähigkeitsnachweisen oder Nachweisen über eine Schwerbehinderung).

3. Kategorien betroffener Personen

• Nutzer des Kontos des Auftraggebers (Inhaber, Mitarbeiter, Beschäftigte der Steuerkanzlei);
• Inhaber, Gesellschafter, Geschäftsführer und Beschäftigte des Auftraggebers;
• Geschäftspartner des Auftraggebers (Lieferanten, Kunden, Zahlungspartner) und deren Ansprechpartner;
• wenn der Auftraggeber eine Steuerkanzlei ist: deren Mandanten, die Ansprechpartner und Beschäftigten der Mandanten und die Geschäftspartner der Mandanten;
• sonstige Personen, die in eingebrachten Unterlagen genannt sind.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle. Fibalo betreibt keine eigenen Serverräume. Server und Datenbanken stehen in Rechenzentren der Hetzner Online GmbH in Falkenstein/Vogtland (Deutschland), Dateien und eingehende E-Mails werden bei Amazon Web Services in der Region Frankfurt am Main gespeichert. Der physische Zutritt richtet sich nach den Maßnahmen dieser Betreiber. Beide sind nach ISO/IEC 27001:2022 zertifiziert: die Hetzner Online GmbH für alle Hosting-Dienste und Rechenzentren einschließlich Falkenstein (Zertifikat ZN-2025-35, SOCOTEC Certification Deutschland GmbH, gültig bis 26. September 2028), Amazon Web Services einschließlich der Region Frankfurt am Main, eu-central-1 (Zertifikat 2013-009, EY CertifyPoint, gültig bis 30. November 2028). Die Zertifikate stellt der Auftragsverarbeiter auf Anfrage zur Verfügung.

Zugangskontrolle.

• Anmeldung der Nutzer ausschließlich über den zentralen Anmeldedienst mit Einmalcodes per E-Mail oder über ein Google- oder Apple-Konto; Fibalo speichert keine Passwörter.
• Jede Anfrage an die Schnittstelle wird anhand eines signierten Tokens (RS256) mit Prüfung von Aussteller und Zielgruppe geprüft.
• In der App werden Sitzungsschlüssel ausschließlich im geschützten Schlüsselspeicher des Geräts (iOS Keychain, Android Keystore) abgelegt; die Anmeldung ist zusätzlich durch eine Bot-Prüfung geschützt.
• Administrativer Zugang zu Servern und zum Cluster nur über VPN; die Datenbankserver sind aus dem Internet nicht erreichbar.
• Geheimnisse der Anwendung (Schlüssel, Zugangsdaten) liegen in einem zentralen Tresor (Vault) mit automatischer Entsperrung über einen Schlüsseldienst und werden nicht im Quellcode gespeichert.

Zugriffskontrolle.

• Rollen- und Rechtekonzept je Unternehmen: Inhaber, Voller Zugriff, eingeschränkte Rollen; Steuerkanzleien erhalten Zugriff, nicht Eigentum.
• Jede Abfrage ist auf die Unternehmen beschränkt, für die der Nutzer berechtigt ist.
• Dateien werden nur über zeitlich begrenzte, signierte Links ausgeliefert (in der Regel 5 bis 15 Minuten; Übergabepakete an die Steuerkanzlei 30 Tage).
• Zugriff von Mitarbeitern des Auftragsverarbeiters auf Inhalte nur zur Fehlerbehebung, zum Support oder zur Abwehr von Sicherheitsgefahren; schreibende Eingriffe werden protokolliert.

Trennungskontrolle.

• Logische Trennung der Daten je Konto und Unternehmen in der Datenbank.
• Eigene Speicherbereiche (Buckets) für Fibalo; der Dienst für eingehende E-Mails hat nur Zugriff auf seine eigenen Pfade.
• Eine Fibalo-E-Mail-Adresse eines gelöschten Unternehmens wird dauerhaft gesperrt und nicht neu vergeben.

2. Integrität

Weitergabekontrolle.

• Verschlüsselte Übertragung über das Internet mit TLS 1.2 oder 1.3, HSTS und Weiterleitung von HTTP auf HTTPS.
• Interne Kommunikation der Dienste innerhalb eines privaten Netzes des Rechenzentrums.
• Verschlüsselung gespeicherter Dateien und eingehender E-Mails mit AES-256; öffentlicher Zugriff auf die Speicherbereiche ist gesperrt.
• Ausgehende E-Mails ohne Klick- und Öffnungsverfolgung.

Eingabekontrolle.

• Änderungen an Belegen, Unternehmensdaten, Kontierungen, Exporten, Übertragungen und Löschungen von Unternehmen werden mit Zeitpunkt und handelnder Person protokolliert (Änderungsprotokoll nach GoBD).
• Betriebsprotokolle werden zentral gesammelt und nach 90 Tagen gelöscht.

3. Verfügbarkeit und Belastbarkeit

• Tägliche Vollsicherung der Datenbank und laufende Sicherung der Änderungsprotokolle (Point-in-Time-Recovery) in einen getrennten, verschlüsselten Speicher (AES-256) bei Amazon Web Services in Frankfurt; Aufbewahrung der Sicherungen 7 Tage; Überwachung der Aktualität der Sicherungen mit Alarmierung.
• Datenbank als Cluster aus drei Servern; Anwendung in einem Kubernetes-Cluster mit mehreren Servern.
• Laufende Überwachung von Verfügbarkeit, Fehlern und Ressourcen mit Alarmierung des Betriebsteams.

4. Verfahren zur regelmäßigen Überprüfung

• Prüfung neuer Funktionen und Änderungen vor der Auslieferung durch automatisierte Tests.
• Überprüfung dieser Maßnahmen bei wesentlichen Änderungen der Infrastruktur, mindestens einmal jährlich.
• Auswahl und Kontrolle der Unterauftragsverarbeiter nach § 5.

5. Löschfristen im Betrieb

• Eingegangene E-Mails im Rohformat: 90 Tage.
• Betriebsprotokolle: 90 Tage; Messwerte des Betriebs ohne Inhalte: 6 Monate.
• Datenbanksicherungen: 7 Tage.
• Belege und ausgelesene Daten: nach § 9 dieses Vertrags.

Anlage 3: Unterauftragsverarbeiter

Stand: 5. November 2026. Die Angaben zu Vertragspartnern, Orten und Übermittlungsgrundlagen folgen den veröffentlichten Vertragsbedingungen der Anbieter.

Anmeldedienst, Nachrichtendienst zwischen Kanzlei und Mandant, Benachrichtigungsdienst, Annahme eingehender E-Mail-Ereignisse und Support-Chat betreibt der Auftragsverarbeiter selbst auf denselben Servern bei der Hetzner Online GmbH; sie sind keine weiteren Unterauftragsverarbeiter.