Auftragsverarbeitung

Vereinbarung zur Auftragsverarbeitung und Verschwiegenheitsverpflichtung

Fassung vom 30.09.2026 · nach Art. 28 DSGVO und § 62a StBerG

Zwischen der nutzenden Kanzlei, Steuerberatungsgesellschaft oder Beratungsstelle (Auftraggeber) und der Steuer-Online MF GmbH, Wallstr. 7, 66740 Saarlouis (Auftragnehmer).

1. Gegenstand und Dauer

Der Auftragnehmer stellt die Werkzeuge SteuerCheck und Bescheidanalyse bereit. Gegenstand ist die Verarbeitung der vom Auftraggeber hochgeladenen Versandprotokolle und Steuerbescheide zur Durchführung der jeweils angeforderten Prüfung. Die Vereinbarung gilt, solange der Auftraggeber die Werkzeuge nutzt.

2. Art der Daten und betroffene Personen

Steuerlich relevante Angaben der Mandantinnen und Mandanten des Auftraggebers, insbesondere Namen, Anschriften, Steuer- und Identifikationsnummern, Angaben zu Einkünften, Sonderausgaben und Familienverhältnissen sowie Bankverbindungen. Betroffen sind die Mandantinnen und Mandanten des Auftraggebers und im Dokument genannte weitere Personen (z. B. Ehegatten, Kinder).

3. Art und Zweck der Verarbeitung

Die Dokumente werden ausschließlich im Arbeitsspeicher ausgewertet und nach der Prüfung verworfen; das Ergebnis geht an den Auftraggeber und wird nicht gespeichert.
Bei der Übergabe zwischen dem Steuersoft-Programm und der Web-Oberfläche liegen Dateien bis zur Abholung, längstens 24 Stunden, in einer der Lizenz zugeordneten Ablage und werden danach automatisch gelöscht.
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers; die Weisung besteht in der jeweils ausgelösten Funktion. Eine Verarbeitung für eigene Zwecke findet nicht statt, es sei denn, der Auftraggeber stimmt dem Zweck nach Nr. 9 ausdrücklich zu.

4. Vertraulichkeit und Verschwiegenheit (§ 62a StBerG, § 203 StGB)

Der Auftragnehmer verpflichtet sich zur Verschwiegenheit über alle Tatsachen, die ihm im Rahmen der Leistung bekannt werden. Er nimmt von fremden Geheimnissen nur insoweit Kenntnis, wie es für die Leistung erforderlich ist. Er ist darüber belehrt, dass die Verletzung dieser Pflicht nach § 203 StGB strafbar sein kann. Alle mit der Verarbeitung befassten Personen sind entsprechend verpflichtet. Unterauftragnehmer werden in gleicher Weise verpflichtet.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Betrieb der Anwendung und Verarbeitung der Dokumente in Rechenzentren in Deutschland; nur die optionalen, pseudonymisierten Aufrufe der Sprachmodelle erfolgen in der Europäischen Union (Nr. 6); Verschlüsselung aller Verbindungen nach dem Stand der Technik.
Zugang nur für angemeldete Konten; Schutz gegen Durchprobieren von Zugangsdaten; Verwaltungszugänge nur aus festgelegten Netzen und mit Schlüsselanmeldung.
Keine dauerhafte Speicherung der Dokumente; Server-Protokolle ohne Uploads und mit gekürzten IP-Adressen, Löschung nach 14 Tagen.
Pseudonymisierung aller Texte, bevor sie an ein Sprachmodell übermittelt werden.
Regelmäßige Sicherheitsaktualisierungen und tägliche Überwachung der angebundenen Dienste.

6. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Hetzner Online GmbH, Deutschland — Hosting.
Amazon Web Services EMEA SARL, Luxemburg — Betrieb von Sprachmodellen (Amazon Bedrock) in Rechenzentren der Europäischen Union; übermittelt werden nur pseudonymisierte Textausschnitte bzw. strittige Punkte ohne Namen und Steuernummern.

Die Rechtsrecherche- und Klassifikationsdienste (TaxBot, Grünspecht) betreibt der Auftragnehmer selbst in Rechenzentren in Deutschland; sie sind keine Unterauftragsverarbeitung.

Über neue Unterauftragsverarbeiter informiert der Auftragnehmer vorab; der Auftraggeber kann widersprechen. Die Pflichten dieser Vereinbarung werden an die Unterauftragsverarbeiter weitergegeben.

7. Unterstützung und Meldepflichten

Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen und bei Meldungen nach Art. 33 und 34 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich. Hält er eine Weisung für rechtswidrig, weist er darauf hin.

8. Löschung, Nachweise, Kontrollen

Da die Dokumente nicht gespeichert werden, entfällt eine Rückgabe; Dateien der Übergabeablage werden spätestens nach 24 Stunden gelöscht. Der Auftragnehmer stellt die zum Nachweis der Pflichten erforderlichen Informationen bereit und ermöglicht Überprüfungen nach vorheriger Abstimmung.

9. Freiwillig: Verbesserung der Erkennung

Nur wenn der Auftraggeber dies zusätzlich auswählt: Korrigiert ein Nutzer die Einordnung einer Erläuterung des Finanzamts, speichert der Auftragnehmer den betreffenden Satz in pseudonymisierter Form zusammen mit der Korrektur, um die Erkennung zu verbessern. Eine Zuordnung zu Auftraggeber, Mandant oder Dokument wird nicht gespeichert. Die Zustimmung kann jederzeit auf dieser Seite widerrufen werden und gilt dann für künftige Korrekturen.

10. Datenschutzbeauftragter

Für die Steuersoft GmbH und die Steuer-Online MF GmbH ist folgender externer Datenschutzbeauftragter benannt:

Nina Rümmele
Perfekter Datenschutz (OT) GmbH
Am Paradeplatz 20, 69126 Heidelberg
E-Mail: Kunden@perfekter-datenschutz.de
Telefon: 069 2475 10 260

Datenschutz · Impressum