Auftrags­verarbeitungs­vertrag

Version 1.2.2 · veröffentlicht am 8. Oktober 2026 · für bestehende Benutzer gültig ab 7. November 2026

Dieser Auftragsverarbeitungsvertrag („Vertrag“) regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen des StatementBridge-Dienstes im Sinne von Artikel 28 der Datenschutz-Grundverordnung (DSGVO). Dieser Auftragsverarbeitungsvertrag ist Bestandteil der AGB von StatementBridge und wird zusammen mit ihnen akzeptiert.

Auftragsverarbeiter: FIDURO B.V., Stephensonweg 6, 4207 HB Gorinchem, HReg 78200695

Verantwortlicher: der Benutzer (jedes Unternehmen, jede juristische Person oder jeder Berufsausübende, der StatementBridge nutzt)

Artikel 1 — Definitionen

  1. Verantwortlicher: der Benutzer von StatementBridge, der die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt.
  2. Auftragsverarbeiter: FIDURO B.V., die personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen des StatementBridge-Dienstes verarbeitet.
  3. Betroffene Person: die natürliche Person, auf die sich die personenbezogenen Daten beziehen.
  4. Personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, im Sinne von Art. 4 Nr. 1 DSGVO.
  5. Unterauftragsverarbeiter: ein Dritter, der vom Auftragsverarbeiter mit der (teilweisen) Durchführung der Verarbeitung beauftragt wird.
  6. DSGVO: die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679).

Artikel 2 — Gegenstand und Dauer

  1. Dieser Vertrag bezieht sich auf die Verarbeitung personenbezogener Daten, die im Rahmen des StatementBridge-Dienstes stattfindet, einer Online-Anwendung zur Konvertierung von Kontoauszügen und Transaktionsdateien zwischen verschiedenen Dateiformaten.
  2. Die Laufzeit dieses Vertrags entspricht dem Zeitraum, in dem der Verantwortliche ein aktives Konto bei StatementBridge besitzt.
  3. Die Quelldatei wird spätestens 1 Stunde(n) nach dem Upload gelöscht; bleibt sie durch eine Unterbrechung zurück, entfernt die automatische Bereinigung sie in der Regel innerhalb von 25 Stunden. Exportdateien enthalten Transaktionsdaten und stehen höchstens 24 Stunden zum Download bereit; danach werden sie bei der nächsten Bereinigung gelöscht. Konvertierungsmetadaten und von Ihnen gespeicherte Kontodaten bleiben erhalten. Dateien, die Sie uns selbst per E-Mail schicken, etwa bei einer Supportanfrage, bleiben in unserem Support-Postfach, bis wir sie löschen; bitte keine vollständigen Kontoauszüge anhängen. Verbindungen nutzen HTTPS; Anwendung und Datenbank laufen in Frankfurt. Bei einem KI-Scan geht der PDF-Inhalt an den KI-Anbieter.

Artikel 3 — Art und Zweck der Verarbeitung

  1. Die Verarbeitung betrifft die Konvertierung von Kontoauszügen und Transaktionsdateien zwischen u. a. folgenden Formaten: MT940, CAMT.053, CAMT.054, CSV, Excel, OFX, CODA, DATEV und PDF.
  2. Der Zweck der Verarbeitung ist die Konvertierung finanzieller Transaktionsdaten in ein Dateiformat, das mit der Buchhaltungssoftware des Verantwortlichen kompatibel ist.
  3. Optional kann der Verantwortliche eine KI-Extraktion von PDF-Dateien starten; sie beginnt erst nach seiner Bestätigung. (a) Bei einem KI-Scan mit Credits setzt der Auftragsverarbeiter Mistral AI als Unterauftragsverarbeiter ein (Artikel 7). (b) Bei Verwendung eines eigenen API-Schlüssels (Pro) sendet der Auftragsverarbeiter den PDF-Inhalt auf Weisung des Verantwortlichen an den von diesem gewählten Anbieter (Anthropic, OpenAI, Google, Mistral oder xAI). Dieser Anbieter ist kein Unterauftragsverarbeiter des Auftragsverarbeiters und verarbeitet die Daten auf Grundlage des Vertrags zwischen dem Verantwortlichen und diesem Anbieter.

Artikel 4 — Arten personenbezogener Daten

Im Auftrag des Verantwortlichen verarbeitet der Auftragsverarbeiter:

  • Transaktionsdaten in hochgeladenen und exportierten Dateien: IBANs, Beträge, Beschreibungen, Daten, Referenzen und Namen von Gegenparteien;
  • gespeicherte Kontodaten in Profilen und im Adressbuch: Name, Bank, IBAN (verschlüsselt), BIC, Währung, Spaltenzuordnung und Exporteinstellungen;
  • Konvertierungsmetadaten: Formate, Anzahl, Status, Fehlerdiagnose und Einstellungen einschließlich einer maskierten Kontonummer sowie die Fingerabdrücke von Quelldatei und Geldbewegungen, die einen kostenlosen erneuten Export ermöglichen;
  • PDF-Inhalte, die bei der KI-Extraktion an einen KI-Anbieter gesendet werden.

Konto-, Zahlungs-, Einwilligungs- und technische Daten des Benutzers selbst (etwa E-Mail-Adresse, IP-Adresse und Stripe-Daten) verarbeitet FIDURO als Verantwortlicher; siehe Datenschutzerklärung.

Artikel 5 — Kategorien betroffener Personen

  1. Kontoinhaber und Mitarbeitende des Verantwortlichen, deren Daten in den hochgeladenen Dateien oder in gespeicherten Kontodaten vorkommen.
  2. Dritte, deren Daten in Kontoauszügen erscheinen: Gegenparteien und Begünstigte von Transaktionen in den hochgeladenen Dateien.

Artikel 6 — Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich zu Folgendem:

  1. Personenbezogene Daten nur auf Grundlage dokumentierter Weisungen des Verantwortlichen zu verarbeiten, es sei denn, eine gesetzliche Verpflichtung erfordert dies.
  2. Sicherzustellen, dass zur Verarbeitung personenbezogener Daten befugte Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
  3. Alle geeigneten technischen und organisatorischen Maßnahmen zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, im Sinne von Art. 32 DSGVO.
  4. Die Bedingungen für die Beauftragung von Unterauftragsverarbeitern nach Artikel 7 dieses Vertrags einzuhalten.
  5. Den Verantwortlichen bei der Erfüllung von Anfragen betroffener Personen zur Ausübung ihrer Rechte nach der DSGVO zu unterstützen.
  6. Den Verantwortlichen bei der Durchführung einer Datenschutz-Folgenabschätzung (DSFA) zu unterstützen, soweit erforderlich.
  7. Nach Beendigung der Verarbeitungsdienste die personenbezogenen Daten nach Artikel 12 zu löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Rückgabe: Der Verantwortliche kann seine gespeicherten Kontodaten und Konvertierungsmetadaten vor der Beendigung selbst über den Export in den Kontoeinstellungen abrufen; Exportdateien sind bis zu 24 Stunden nach Erstellung herunterladbar.
  8. Alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der in Art. 28 DSGVO festgelegten Pflichten erforderlich sind, und Prüfungen zu ermöglichen und dazu beizutragen.

Artikel 7 — Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, die folgenden Unterauftragsverarbeiter zu beauftragen:

UnterauftragsverarbeiterZweckStandortSchutzmaßnahmen
Render (Render Services, Inc., USA) Hosting von Anwendung, Datenbank, temporären Dateien und Serverprotokollen Hosting-Region Frankfurt (EU) Gemäß den Bedingungen des Anbieters
Cloudflare (Cloudflare, Inc., USA) Netzwerk- und DDoS-Schutz des gesamten Webverkehrs (TLS), einschließlich hoch- und heruntergeladener Dateien; eingesetzt über den Hosting-Anbieter oder direkt (die Vertragskette wird bestätigt) Weltweites Netzwerk; Verarbeitung kann außerhalb des EWR erfolgen Gemäß den Bedingungen des Anbieters
Stripe Zahlungen, Abonnements, Rechnungen und USt.; Stripe erhält Ihre E-Mail-Adresse, Ihren Namen sowie Rechnungs- und Zahlungsdaten EU und USA Gemäß den Bedingungen des Anbieters
Resend (Resend, Inc., USA) Versand von Service- und Konto-E-Mails (Verifizierung, Anmeldelinks, Passwort-Zurücksetzung, Benachrichtigungen, Tipps und Angebote) Gemäß der Versandregion des Kontos Gemäß den Bedingungen des Anbieters
Mistral AI (Mistral AI SAS, Frankreich) KI-Extraktion bei einem KI-Scan mit Credits, nur nach Ihrer Bestätigung: Text oder Seitenbilder aus der PDF Gemäß Vertrag und Kontoeinstellungen von FIDURO bei Mistral AI Gemäß den Bedingungen des Anbieters

Anbieter, die der Verantwortliche selbst mit einem eigenen API-Schlüssel wählt, sind keine Unterauftragsverarbeiter (Artikel 3.3).

  1. Der Auftragsverarbeiter informiert den Verantwortlichen im Voraus über beabsichtigte Änderungen hinsichtlich der Hinzufügung oder des Austauschs von Unterauftragsverarbeitern, über die Änderungsübersicht auf dieser Seite und einen Hinweis im Dienst.
  2. Der Verantwortliche hat das Recht, Änderungen bei Unterauftragsverarbeitern innerhalb von 30 Tagen nach Veröffentlichung zu widersprechen. Kann der Widerspruch nicht beigelegt werden, hat der Verantwortliche das Recht, den Vertrag zu kündigen.
  3. Der Auftragsverarbeiter stellt sicher, dass jedem Unterauftragsverarbeiter die gleichen Datenschutzpflichten wie in diesem Vertrag auferlegt werden.

Artikel 8 — Übermittlungen außerhalb des EWR

  1. Eine Übermittlung personenbezogener Daten in Länder außerhalb des EWR erfolgt nur mit einer geeigneten Garantie nach Kapitel V DSGVO, etwa einem Angemessenheitsbeschluss (einschließlich des EU-US Data Privacy Framework für zertifizierte Empfänger) oder Standardvertragsklauseln, wie in den Bedingungen des jeweiligen Unterauftragsverarbeiters festgelegt.
  2. Bei der KI-Extraktion mit eigenem API-Schlüssel bestimmt der Verantwortliche den Anbieter und damit den Verarbeitungsort selbst.
  3. Der Auftragsverarbeiter stellt sicher, dass jede Übermittlung personenbezogener Daten in ein Land außerhalb des Europäischen Wirtschaftsraums (EWR) den Anforderungen von Kapitel V der DSGVO entspricht.

Artikel 9 — Sicherheitsmaßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter hat folgende technische und organisatorische Sicherheitsmaßnahmen implementiert:

  • Verschlüsselte Übertragung — alle Kommunikation läuft über HTTPS (TLS).
  • Passwort-Hashing — Passwörter werden als bcrypt-Hash gespeichert und nie in lesbarer Form.
  • Verschlüsselte Speicherung von Geheimnissen — API-Schlüssel und IBANs in gespeicherten Profilen und im Adressbuch werden beim Speichern verschlüsselt (Fernet: AES-128 mit HMAC).
  • Begrenzte Aufbewahrung — Quelldateien werden nach der Verarbeitung gelöscht, Exportdateien sind bis zu 24 Stunden herunterladbar; siehe die Aufbewahrungsfristen in der Datenschutzerklärung.
  • Cookies — das Sitzungs-Cookie ist HttpOnly, Secure und SameSite=Strict; das Anmelde-Cookie ist HttpOnly und der Server prüft sein Alter selbst.
  • Anfragelimits — u. a. für Anmeldung, Anmeldelinks, Passwort-Zurücksetzung, Uploads, Exporte und die API sowie eine vorübergehende Sperre nach wiederholten Fehlanmeldungen.
  • Zugriffskontrolle — Downloads sind an das Konto, das die Konvertierung erstellt hat, und an ein Token pro Datei gebunden; Benutzer erreichen nur ihre eigenen Daten; Verwaltungsfunktionen sind auf benannte Administratoren von FIDURO beschränkt.
  • Content Security Policy — beschränkt, welche Skripte die Website laden darf; Schriftarten werden von unserem eigenen Server geladen.
  • Updates — Der Auftragsverarbeiter aktualisiert Software und Abhängigkeiten, sobald Sicherheitsupdates verfügbar sind.
  • Protokollierung — Server- und Fehlerprotokolle können personenbezogene Daten wie IP-Adresse, Benutzer-ID und Teile von Fehlermeldungen enthalten; E-Mail-Adressen werden nicht vollständig protokolliert, und in gespeicherten Fehlerdiagnosen werden IBANs und Beträge maskiert.

Artikel 10 — Meldung von Datenschutzverletzungen

  1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Datenschutzverletzung (Verletzung des Schutzes personenbezogener Daten) unverzüglich und spätestens 72 Stunden nach Kenntnisnahme.
  2. Die Meldung enthält mindestens folgende Informationen:
    • die Art der Datenschutzverletzung, einschließlich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Personen;
    • die Kategorien und die ungefähre Anzahl der betroffenen personenbezogenen Datensätze;
    • die wahrscheinlichen Folgen der Datenschutzverletzung;
    • die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Datenschutzverletzung und zur Minderung ihrer nachteiligen Auswirkungen.
  3. Der Auftragsverarbeiter arbeitet bei der Untersuchung und Behandlung der Datenschutzverletzung uneingeschränkt mit dem Verantwortlichen zusammen.

Artikel 11 — Unterstützung bei Betroffenenrechten

  1. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen hinsichtlich folgender Rechte:
    • Recht auf Auskunft (Art. 15 DSGVO)
    • Recht auf Berichtigung (Art. 16 DSGVO)
    • Recht auf Löschung (Art. 17 DSGVO)
    • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
    • Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
    • Widerspruchsrecht (Art. 21 DSGVO)
  2. Der Benutzer kann sein Konto selbst in den Einstellungen von StatementBridge löschen, nach erneuter Authentifizierung (Passwort oder ein neuer Anmeldelink); Artikel 12 beschreibt, was danach noch aufbewahrt wird.

Artikel 12 — Rückgabe und Löschung

  1. Nach Beendigung der Verarbeitungsdienste (Löschung des Kontos) entfernt der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen aus der Produktionsdatenbank, mit den Ausnahmen aus Absatz 2.
  2. Die Kontolöschung in der Anwendung entfernt die personenbezogenen Daten des Verantwortlichen aus der Produktionsdatenbank, ausgenommen:
    • (a) Konvertierungsmetadaten, die vom Konto getrennt und ohne Einstellungen, Fehlerdetails oder Dateikennung für Statistiken aufbewahrt werden;
    • (b) noch nicht abgelaufene Exportdateien, die bei der nächsten Bereinigung gelöscht werden;
    • (c) Kopien in Backups und Protokollen des Hosting-Anbieters, die gemäß dessen Aufbewahrungsfristen überschrieben werden;
    • (d) Daten, die der Auftragsverarbeiter gesetzlich aufbewahren muss, etwa Zahlungsaufzeichnungen.
  3. Hochgeladene Quelldateien werden nach der Verarbeitung gelöscht, bei unterbrochener Verarbeitung spätestens bei der automatischen Bereinigung. Exportdateien sind bis zu 24 Stunden durch das Konto, das sie erstellt hat, herunterladbar und werden danach bei der automatischen Bereinigung gelöscht.

Artikel 13 — Prüfungsrechte

  1. Der Verantwortliche hat das Recht, Prüfungen durchzuführen oder durchführen zu lassen, um die Einhaltung dieses Vertrags zu überprüfen.
  2. Der Auftragsverarbeiter arbeitet bei angemessenen Prüfungsanfragen mit und stellt die erforderlichen Informationen zur Verfügung.
  3. Alternativ kann der Auftragsverarbeiter einen unabhängigen Prüfbericht (wie SOC 2 oder eine vergleichbare Zertifizierung) vorlegen, um die Einhaltung nachzuweisen.

Artikel 14 — Anwendbares Recht und Streitigkeiten

  1. Dieser Auftragsverarbeitungsvertrag unterliegt dem niederländischen Recht.
  2. Streitigkeiten, die sich aus oder im Zusammenhang mit diesem Vertrag ergeben, werden dem zuständigen Gericht im Bezirk Rotterdam vorgelegt.

Kontakt

FIDURO B.V.
Stephensonweg 6
4207 HB Gorinchem
Niederlande
E-Mail: statementbridge@fiduro.nl
HReg: 78200695
USt-IdNr.: NL861300221B01