# Vereinbarung zur Auftragsverarbeitung Clarimo Kunden-Beta · Fassung 2026-11 Zwischen **dem Kunden** (Unternehmen, das Clarimo in der Kunden-Beta nutzt), nachfolgend „Verantwortlicher“, und **Stephan Glathe**, Claude-Dornier-Straße 1/4, 73760 Ostfildern, Betreiber von Clarimo, nachfolgend „Auftragsverarbeiter“. ## 1. Gegenstand und Dauer 1.1 Der Auftragsverarbeiter stellt dem Verantwortlichen Clarimo bereit, eine Anwendung zur Erfassung, Erkennung und Zuordnung von Geschäftsbelegen und Bankbewegungen. Dazu gehören die Server-Instanz, die Mobile App, die Desktop-App „Clarimo Companion“ und die Browser-Erweiterung „Clarimo Beleg-Capture“. Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen (Art. 28 DSGVO). 1.2 Die Vereinbarung gilt für die Dauer der Beta-Teilnahme. Sie endet mit dem Ende der Nutzung; die Pflichten aus Ziffer 10 gelten darüber hinaus. 1.3 Nicht Gegenstand dieser Vereinbarung sind Verarbeitungen, für die der Auftragsverarbeiter selbst verantwortlich ist: Benutzerkonto und Anmeldung, Sicherheitsprotokolle, Support-Anfragen und Systemnachrichten (Bestätigung, Einladung, Passwort, Löschhinweis). Dafür gilt die Datenschutzerklärung von Clarimo; der dort genannte E-Mail-Dienstleister ist deshalb kein Unterauftragsverarbeiter nach Ziffer 7. ## 2. Art und Zweck der Verarbeitung | Verarbeitung | Zweck | |---|---| | Speichern und Anzeigen von Belegen | Belegablage des Verantwortlichen | | Texterkennung und KI-gestützte Auswertung | Art, Aussteller, Beträge und Steuer eines Belegs bestimmen | | Abruf von Bankbewegungen und Belegen aus Diensten, die der Verantwortliche verbindet | Vollständige Erfassung | | Zuordnung von Belegen zu Bankbewegungen, Buchungsvorschläge | Vorbereitung der Buchhaltung | | Chat-Assistent | Fragen des Verantwortlichen zu seinen Daten beantworten | | Datensicherung | Wiederherstellung bei Ausfall | ## 3. Art der Daten und Kreis der Betroffenen **Daten:** - Inhalte von Belegen (Rechnungen, Quittungen, Verträge): Namen, Anschriften, Kontaktdaten, Steuernummern, USt-IdNr., Bankverbindungen, Leistungs- und Preisangaben. - Bankbewegungen: Datum, Betrag, Gegenpartei, IBAN, Verwendungszweck. - E-Mails mit Belegen aus dem Postfach des Verantwortlichen, soweit er es verbindet. - Chat-Eingaben. **Betroffene:** Kunden, Interessenten, Lieferanten, Beschäftigte und Ansprechpartner des Verantwortlichen. Lohn- und Gehaltsunterlagen sind nicht Gegenstand der Verarbeitung. Besondere Kategorien nach Art. 9 DSGVO sind nicht Zweck der Verarbeitung; stehen sie vereinzelt in einem Beleg (etwa eine Arztrechnung), gelten für sie dieselben Maßnahmen wie für alle Belege. ## 4. Weisungen 4.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisung ist die Nutzung von Clarimo durch den Verantwortlichen sowie Anweisungen per E-Mail an mail@stephanglathe.com. 4.2 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen. ## 5. Vertraulichkeit Der Auftragsverarbeiter gewährt Zugriff auf die Daten nur Personen, die ihn für Betrieb, Fehlerbehebung oder Support brauchen. Jede dieser Personen ist vor dem ersten Zugriff schriftlich zur Vertraulichkeit verpflichtet, auch über das Ende ihrer Tätigkeit hinaus, soweit sie nicht ohnehin einer gesetzlichen Verschwiegenheitspflicht unterliegt. Der Auftragsverarbeiter führt eine Liste dieser Personen und legt sie auf Anfrage vor. ## 6. Technische und organisatorische Maßnahmen Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO aus Anlage 1. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt. ## 7. Unterauftragsverarbeiter 7.1 Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter: | Unterauftragsverarbeiter | Leistung | Ort | Grundlage Drittland | |---|---|---|---| | Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Server (Nürnberg) und verschlüsselte Datensicherung (Helsinki) | Deutschland, Finnland | nicht erforderlich | | Anthropic Ireland, Ltd, Dublin, mit Anthropic PBC, San Francisco | KI-Auswertung von Belegen und Chat | Irland, USA | EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Bewertung der Übermittlung liegt vor | Der Kontenabruf über finAPI ist in der Kunden-Beta noch nicht live (Stand 3. November 2026). Er wird über ein Konto des Auftragsverarbeiters laufen; finAPI kommt dann als Unterauftragsverarbeiter nach Ziffer 7.2 hinzu, nachdem mit finAPI eine Vereinbarung zur Auftragsverarbeitung geschlossen ist. Dienste, die der Verantwortliche mit eigenem Konto verbindet (z. B. GetMyInvoices, Dropbox, Google Drive, PayPal, Stripe, Zoho, eigenes Postfach), sind seine eigenen Vertragspartner und keine Unterauftragsverarbeiter von Clarimo. 7.2 Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann er die Nutzung beenden. 7.3 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau. ## 8. Unterstützung des Verantwortlichen 8.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anträgen Betroffener (Art. 15 bis 22 DSGVO). Er leitet Anträge, die bei ihm eingehen, unverzüglich weiter. 8.2 Er unterstützt bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit es um Clarimo geht. ## 9. Meldung von Datenschutzverletzungen Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt. ## 10. Rückgabe und Löschung bei Vertragsende 10.1 Der Verantwortliche kann seine Daten jederzeit, insbesondere vor dem Ende, selbst exportieren: Buchungsdaten über den DATEV-Export, Belegdateien über den Export in seine eigene Dropbox. 10.2 Nach dem Ende der Nutzung beantragt der Verantwortliche die Löschung. Der Auftragsverarbeiter löscht die Daten des Verantwortlichen innerhalb von 30 Tagen nach dem Antrag und bestätigt die Löschung in Textform. 10.3 Datensicherungen werden nicht einzeln bereinigt. Sie laufen nach den festgelegten Fristen aus: - reguläre Sicherungen nach höchstens drei Kalendermonaten; - Sicherungen vor einem Deployment nach 30 Tagen; - temporäre Kopien nach höchstens sieben Tagen. Bis dahin werden sie nur zur Wiederherstellung genutzt. 10.4 Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt. ## 11. Nachweise und Kontrollen Der Auftragsverarbeiter stellt die Informationen bereit, die zum Nachweis dieser Pflichten nötig sind. Er ermöglicht Kontrollen durch den Verantwortlichen oder einen beauftragten Prüfer nach vorheriger Ankündigung und zu den üblichen Geschäftszeiten. ## 12. Schlussbestimmungen Die Vereinbarung kommt zustande, indem der Verantwortliche ihr beim Anlegen seines Mandanten in Clarimo zustimmt (elektronisches Format nach Art. 28 Abs. 9 DSGVO). Der Auftragsverarbeiter speichert Zeitpunkt, zustimmende Person und Fassung der Vereinbarung und stellt dem Verantwortlichen die Vereinbarung als Datei bereit. Änderungen bedürfen der Textform. Bei Widersprüchen geht diese Vereinbarung anderen Vereinbarungen zum Datenschutz vor. --- ## Anlage 1: Technische und organisatorische Maßnahmen (Stand Kunden-Beta) **Zutritt und Rechenzentrum:** Server und Sicherungen bei Hetzner (Nürnberg, Helsinki). Für den physischen Schutz gelten die Maßnahmen von Hetzner aus deren Vereinbarung zur Auftragsverarbeitung. **Zugang zum Server:** - nur per SSH-Schlüssel; - der Schlüssel liegt in einem Passwortmanager mit Dienstkonto; - Zugriff nur für die Betriebs-Session über ein festes Skript. **Zugriff in der Anwendung:** - Mandanten sind getrennt: jede Tabelle trägt eine Mandantenkennung; - die Datenbank erzwingt die Trennung über Row-Level Security; - die Anwendung arbeitet mit einer Datenbankrolle ohne Superuser-Rechte. **Übertragung:** - TLS zwischen Apps, Browser und Server; - TLS zu Anthropic und zum Mailserver. **Datensicherung:** - stündliche, verschlüsselte Sicherung mit restic auf einen getrennten Speicher (Hetzner Storage Box, Helsinki); - Aufbewahrung nach Ziffer 10.3. **Protokolle:** - Debug-Protokolle werden nach 3 Tagen gelöscht; - sonstige Betriebsereignisse nach 90 Tagen. **Mobile App:** - der Belegordner ist vom Gerätebackup ausgeschlossen; - der Zugangsschlüssel liegt gerätegebunden in der Keychain.