Vereinbarung über die Auftragsverarbeitung (AVV)
Diese Vereinbarung über die Auftragsverarbeitung gemäß Art. 28 DSGVO ist integraler Bestandteil der Parsurai-Nutzungsbedingungen, soweit Parsurai personenbezogene Daten im Auftrag des Kunden verarbeitet.
Zuletzt aktualisiert: 21. September 2026
Dr. Sadjad Sadeghi, JadayLix Studio, Schieferkamp 41, 30455 Hannover, Deutschland, contact@parsurai.com
Owner-approved wording. Externe anwaltliche Prüfung wurde nicht durchgeführt. Eine externe rechtliche Prüfung bleibt vor wesentlicher Enterprise-Nutzung, erheblicher Skalierung oder einem materiellen Streit empfohlen.
Die deutsche Fassung ist die verbindliche Fassung. Englische und französische Fassungen dienen als Übersetzung zur Information.
§ 1 Gegenstand, Einbeziehung und Rangfolge
Diese AVV gilt für personenbezogene Daten, die Parsurai im Rahmen der Extraktions-API und aktivierter Accounts-Payable- bzw. Dokumenten-Workflows im Auftrag des Kunden verarbeitet. Sie ist integraler Bestandteil des Hauptvertrags. Bei Widersprüchen gehen für Auftragsdaten die Regelungen dieser AVV vor. Verarbeitungen, bei denen Parsurai eigene Zwecke und wesentliche Mittel bestimmt – insbesondere Kontoführung, Vertragsverwaltung, Abrechnung, Sicherheit, Missbrauchsprävention und eigene gesetzliche Nachweise – fallen nicht unter diese AVV. Die deaktivierte Funktion für gehostete externe Reviewer-Sitzungen ist nicht Gegenstand dieser AVV.
§ 2 Gegenstand und Dauer der Auftragsverarbeitung
Gegenstand ist die Erbringung der beauftragten Dokumentenverarbeitung, insbesondere Entgegennahme und technische Verarbeitung von Rechnungen und Geschäftsdokumenten, OCR, Inhaltsanalyse, Extraktion und Strukturierung, Klassifikation, Formatnormalisierung, Duplikat- und Auffälligkeitsprüfung, aktivierte Accounts-Payable-Workflows sowie vereinbarte Exporte. Die Auftragsverarbeitung beginnt mit Nutzung einer erfassten Funktion und endet grundsätzlich mit Beendigung des Hauptvertrags und anschließender vertragsgemäßer Löschung oder Rückgabe der Auftragsdaten.
§ 3 Weisungen des Verantwortlichen
Parsurai verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Kunden, soweit keine anwendbare gesetzliche Verpflichtung entgegensteht. Weisungen ergeben sich insbesondere aus Hauptvertrag und AVV, gewählten Produktfunktionen und Einstellungen, übermittelten Dokumenten, API-Aufrufen und dokumentierten Zusatzweisungen. Gesetzlich angeordnete Verarbeitungen werden dem Kunden vorab mitgeteilt, soweit zulässig. Parsurai informiert den Kunden unverzüglich über aus seiner Sicht rechtswidrige Weisungen und darf deren Durchführung bis zur Klärung aussetzen. Auftragsdaten werden nicht für Werbung, Verkauf personenbezogener Daten, kundenübergreifendes Modelltraining oder andere eigenständige Zwecke verwendet.
§ 4 Pflichten des Verantwortlichen
Der Kunde ist für die Rechtmäßigkeit der bereitgestellten personenbezogenen Daten, eine einschlägige Rechtsgrundlage und erforderliche Informationspflichten verantwortlich. Dies umfasst insbesondere die Prüfung von Art.-14-Pflichten bei nicht direkt erhobenen Daten. Der Kunde beschränkt übermittelte Daten auf das erforderliche Maß und erteilt keine wissentlich rechtswidrigen Weisungen.
§ 5 Besondere Kategorien personenbezogener Daten
Die bestimmungsgemäße Nutzung von Parsurai ist nicht speziell auf besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO ausgerichtet. Solche Daten können jedoch abhängig vom Dokumenteninhalt beiläufig oder unbeabsichtigt vorkommen. Soweit der Kunde solche Daten bereitstellt, ist er für die erforderlichen Voraussetzungen nach Art. 6 und Art. 9 DSGVO verantwortlich. Parsurai verarbeitet sie ausschließlich im Rahmen dokumentierter Weisungen und kann Verarbeitungen ablehnen oder einschränken, wenn zusätzliche Sicherheits- oder Compliance-Maßnahmen erforderlich wären.
§ 6 Vertraulichkeit
Parsurai stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe werden auf Personen und Systeme beschränkt, die sie für Erbringung oder Absicherung des Dienstes benötigen. Die Verpflichtung gilt auch nach Ende der jeweiligen Tätigkeit fort.
§ 7 Sicherheit der Verarbeitung
Parsurai trifft unter Berücksichtigung von Stand der Technik, Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Die aktuellen Maßnahmen sind in Anlage 2 beschrieben. Änderungen sind zulässig, sofern das vereinbarte Schutzniveau insgesamt nicht abgesenkt wird; wesentliche Änderungen werden dokumentiert.
§ 8 Unterauftragsverarbeiter
Der Kunde erteilt Parsurai eine allgemeine schriftliche Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern. Die jeweils eingesetzten Anbieter werden in der veröffentlichten Unterauftragsverarbeiterliste ausgewiesen und gelten bei Abschluss dieser AVV als genehmigt. Neue oder ersetzte Unterauftragsverarbeiter werden grundsätzlich mindestens 14 Tage vor Einsatz in Textform angekündigt. Der Kunde kann aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Parsurai verpflichtet Unterauftragsverarbeiter gemäß Art. 28 Abs. 4 DSGVO und bleibt im gesetzlich vorgesehenen Umfang verantwortlich.
§ 9 Internationale Datenübermittlungen
Drittlandübermittlungen erfolgen nur im Rahmen dokumentierter Weisungen oder durch nach § 8 genehmigte Unterauftragsverarbeiter und unter Einhaltung der Art. 44 ff. DSGVO. Je nach Empfänger können insbesondere Angemessenheitsbeschlüsse oder geeignete Garantien einschließlich Standardvertragsklauseln eingesetzt werden. Maßgebliche Mechanismen werden in der Unterauftragsverarbeiterdokumentation ausgewiesen.
§ 10 Unterstützung bei Betroffenenrechten
Parsurai unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung soweit möglich durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Betroffenenrechten nach Kapitel III DSGVO. Direkt bei Parsurai eingehende Anfragen zu Auftragsdaten werden grundsätzlich an den zuständigen Kunden weitergeleitet. Parsurai beantwortet sie nicht eigenständig als Verantwortlicher, soweit keine gesetzliche Verpflichtung oder Weisung des Kunden besteht.
§ 11 Unterstützung bei Sicherheit, Datenschutzverletzungen und Folgenabschätzungen
Parsurai unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Pflichten aus Art. 32 bis 36 DSGVO. Verletzungen des Schutzes von Auftragsdaten werden unverzüglich und ohne unangemessene Verzögerung nach Bekanntwerden mitgeteilt; verfügbare Informationen können gestaffelt nachgereicht werden. Die Unterstützung umfasst erforderlichenfalls Sicherheitsbewertung, Behördenmeldungen, Benachrichtigungen Betroffener, Datenschutz-Folgenabschätzungen und vorherige Konsultationen.
§ 12 Löschung und Rückgabe
Nach Beendigung der Auftragsverarbeitung löscht oder gibt Parsurai nach Wahl des Kunden die Auftragsdaten zurück und löscht vorhandene Kopien, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht. Ohne abweichende dokumentierte Weisung gilt Löschung als Standardweisung. Technisch notwendige Sicherungs- oder Point-in-Time-Recovery-Kopien können bis zum Ende ihres Rotationsfensters fortbestehen und werden währenddessen nicht für gewöhnliche Produktzwecke weiterverarbeitet. Eigene gesetzliche Aufbewahrungen von Parsurai als Verantwortlicher – etwa Abrechnungsunterlagen oder eng begrenzte Nachweise über Rechtsdokumentannahmen – sind keine Aufbewahrung von Auftragsdaten aufgrund dieser AVV.
§ 13 Nachweise und Audits
Parsurai stellt die vernünftigerweise erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO bereit und ermöglicht Audits einschließlich Inspektionen durch den Kunden oder einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer. Vorhandene Sicherheitsdokumentation, Zertifizierungen oder geeignete Nachweise sollen vorrangig genutzt werden, soweit sie den Prüfzweck erfüllen; erforderliche weitergehende Prüfungen werden dadurch nicht ausgeschlossen. Planbare Prüfungen erfolgen mit angemessener Vorankündigung und unter Schutz von Sicherheit, Vertraulichkeit, Geschäftsgeheimnissen und Daten anderer Kunden.
§ 14 Verantwortlichkeit und Haftung
Jede Partei erfüllt die Pflichten, die ihr aufgrund ihrer jeweiligen Rolle nach der DSGVO zukommen. Die Haftungsregeln des Hauptvertrags gelten ergänzend, soweit zwingendes Datenschutzrecht, insbesondere Art. 82 DSGVO, nichts anderes verlangt. Rechte betroffener Personen und Befugnisse von Aufsichtsbehörden werden nicht beschränkt.
§ 15 Laufzeit und Änderungen
Diese AVV gilt für die Dauer der Auftragsverarbeitung und endet, wenn Parsurai keine Auftragsdaten mehr für den Kunden verarbeitet und § 12 erfüllt ist. Materielle Änderungen werden über den für Vertragsänderungen vorgesehenen Mechanismus veröffentlicht und, soweit erforderlich, vor weiterer Nutzung der betroffenen Funktionen erneut angenommen. Änderungen der Unterauftragsverarbeiterliste richten sich nach § 8.
§ 16 Schlussbestimmungen
Es gilt das im Hauptvertrag vereinbarte Recht. Der Gerichtsstand richtet sich nach dem Hauptvertrag, soweit gesetzlich zulässig. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen unberührt; an ihre Stelle tritt die gesetzliche Regelung, soweit eine wirksame Auslegung nicht möglich ist.
Anlage 1 — Beschreibung der Verarbeitung
Gegenstand: automatisierte Verarbeitung von Rechnungen, Belegen und anderen vom Kunden bereitgestellten Geschäftsdokumenten sowie zugehörigen strukturierten Ergebnissen und Workflow-Daten. Zwecke: Dokumentenerfassung, OCR und Inhaltsanalyse, Extraktion strukturierter Rechnungsinformationen, Klassifikation, Normalisierung, Duplikat- und Auffälligkeitsprüfung, Accounts-Payable-Workflow, aktivierte Exporte und unmittelbar verbundene technische Verarbeitung. Arten der Verarbeitung: Übermittlung, Entgegennahme, Auslesen, OCR, Analyse, Extraktion, Strukturierung, Klassifikation, Vergleich, vorübergehende oder funktionsabhängige Speicherung, Ausgabe, Export und Löschung. Betroffene Personen: insbesondere Kunden und Geschäftspartner des Verantwortlichen, Lieferanten, Dienstleister, Einzelunternehmer, Ansprechpartner, Beschäftigte, Sachbearbeiter, Genehmigende, Unterzeichnende, Rechnungsaussteller und Rechnungsempfänger. Datenarten: Namen, geschäftliche Kontaktdaten, Anschriften, E-Mail-Adressen, Telefonnummern, Funktionen/Berufsbezeichnungen, Rechnungs- und Vertragsinformationen, Bestell- und Leistungsinformationen, Zahlungsinformationen, Bankverbindungen einschließlich IBAN/BIC, Steuerinformationen, Beträge, Positionen, Freigabeinformationen sowie daraus erzeugte strukturierte Daten und technische Verarbeitungsmetadaten. Besondere Kategorien: nicht Ziel des Dienstes, können aber beiläufig vorkommen; die Rechtmäßigkeit der Bereitstellung bleibt Verantwortung des Kunden. Speicherverhalten: Dokumentpayloads der Extraktions-API werden grundsätzlich transient verarbeitet, soweit keine Speicherfunktion genutzt wird. Strukturierte Extraktionsergebnisse können bei aktivierter Rechnungshistorie gespeichert werden; produktseitige Sichtbarkeitsfenster sind nicht automatisch physische Löschfristen. Accounts-Payable-Quelldokumente und abgeleitete Workflow-Artefakte unterliegen derzeit 0 Tagen bei Free/Hobby/Starter, 30 Tagen bei Pro und 90 Tagen bei Business und werden danach nach dem implementierten Löschprozess entfernt. Andere strukturierte Datensätze und Metadaten können eigenen dokumentierten Speichermechanismen unterliegen.
Anlage 2 — Technische und organisatorische Maßnahmen
Transportverschlüsselung: Kunden- und Serververbindungen werden über HTTPS/TLS bereitgestellt. Authentifizierung: API-Schlüssel werden nach Ausgabe nicht als abrufbarer Klartext gespeichert; persistierte Schlüssel werden mittels bcrypt gehasht. Produktionsgeheimnisse werden über Secret-Konfigurationen und nicht als Produktionswerte im Quellcode verwaltet. Zugriffstrennung: Kundendaten werden logisch über Benutzer-/Mandantenzuordnung, Datenbankbeziehungen, Ownership-Prüfungen und Anwendungskontrollen getrennt. Ruhende Daten: Datenbank und Objektspeicher nutzen die von den jeweiligen Infrastrukturprovidern bereitgestellten Mechanismen zur Verschlüsselung ruhender Daten. Datenminimierung/Speicherbegrenzung: API-Dokumentpayloads werden grundsätzlich transient verarbeitet; Workflow-Artefakte und temporäre Exporte unterliegen definierten Speicher- und Löschfristen. Monitoring: Dokumentinhalte sollen nicht regulär in Anwendungslogs gespeichert werden. Für Sentry ist send_default_pii=False gesetzt; serverseitiges Data Scrubbing, Standardscrubber, IP-Speichervermeidung und Enhanced Privacy sind aktiviert. Verfügbarkeit: Point-in-Time-Recovery ist für die Produktionsdatenbank dokumentiert; Backup-/Wiederherstellungsprozesse wurden operational geprüft. Hintergrundverarbeitung ist von Webverarbeitung getrennt. Missbrauchsschutz: Rate Limits sowie Grenzen für Dokumentgröße, Seitenzahl und Parallelität schützen öffentlich erreichbare und ressourcenintensive Verarbeitung. Änderungsmanagement: Versionskontrolle sowie automatisierte Unit-, Integrations-, Konfigurations- und Build-Prüfungen werden für relevante Änderungen eingesetzt. Datenschutz durch Konfiguration: nicht abschließend bewertete Funktionen können serverseitig deaktiviert werden; Hosted External Reviewer Sessions bleiben für den MVP deaktiviert. Unterauftragsverarbeiter: eingesetzte Anbieter, vertragliche Grundlagen und relevante Transfermechanismen werden dokumentiert. Vorfallsbehandlung: ein dokumentierter Incident-/Breach-Response-Prozess sowie Monitoring- und Logging-Systeme unterstützen Untersuchung und Meldung.
Anlage 3 — Eigene Verantwortlichkeit von Parsurai
Nicht Teil der Auftragsverarbeitung sind insbesondere Kontoanlage und -verwaltung, Authentifizierung und Kontosicherheit, Verwaltung von API-Schlüsseln als Kontofunktion, Vertrags- und Versionsannahmen, Rechnungsstellung und Zahlungsverwaltung, Missbrauchs- und Betrugsprävention für die Plattform, eigene gesetzliche Dokumentations- und Aufbewahrungspflichten sowie Support- und Serviceadministration. Für diese Verarbeitungen gelten die Parsurai-Datenschutzhinweise und das anwendbare Recht.