Auftragsverarbeitungsvertrag von Bella Books

Version 1.0 · 27. Oktober 2026

Dieser Auftragsverarbeitungsvertrag gilt zwischen der Bella Books ehf. und einem Kunden, der mit Bella Books einen Vertrag über die Nutzung von Bella geschlossen und diesen Auftragsverarbeitungsvertrag angenommen hat, entweder durch Unterzeichnung eines Vertrags, der auf ihn verweist, oder durch Annahme in Bella.

Geltungsbereich

Dieser Vertrag wird nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO) und Art. 25 des isländischen Gesetzes Nr. 90/2018 über den Datenschutz und die Verarbeitung personenbezogener Daten geschlossen. Er ist Teil des Vertrags der Parteien über die Nutzung von Bella.

Haben die Parteien gesondert und schriftlich eine Vereinbarung über die Verarbeitung personenbezogener Daten getroffen, so geht diese dem vorliegenden Vertrag vor. Widerspricht dieser Vertrag den Nutzungsbedingungen oder der Datenschutzerklärung von Bella Books, so geht dieser Vertrag in Bezug auf die Verarbeitung personenbezogener Daten vor.

1. Begriffsbestimmungen

• Auftragsverarbeiter: Bella Books ehf., Reg.-Nr. 510825-0710, Dalsbyggð 10, 210 Garðabær, Island.
• Verantwortlicher: ein Kunde, der mit Bella Books einen Vertrag über die Nutzung von Bella geschlossen und diesen Vertrag angenommen hat.
• Der Dienst (Bella): der Dienst von Bella Books, das heißt die Software, die Kundendaten entgegennimmt und verarbeitet, zusammen mit den Systemen, auf denen sie läuft.
• Personenbezogene Daten, Verarbeitung und Verletzung des Schutzes personenbezogener Daten haben dieselbe Bedeutung wie in der DSGVO und im Gesetz Nr. 90/2018.
• Kundendaten: Rechnungen, Belege und andere Daten, die der Verantwortliche, seine Nutzer oder seine angebundenen Systeme an Bella senden oder die Bella auf Wunsch des Verantwortlichen aus angebundenen Systemen abruft, sowie Daten, die bei der Verarbeitung entstehen, etwa Buchungsvorschläge und Antworten in „Ask Bella!“.
• Informationen über die Nutzer von Bella selbst, etwa Name, E-Mail-Adresse und Anmeldungen, verarbeitet Bella Books als Verantwortlicher nach seiner Datenschutzerklärung.

2. Beschreibung der Verarbeitung

3. Pflichten des Auftragsverarbeiters

3.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag, die Einstellungen des Verantwortlichen in Bella und die von ihm festgelegten Buchungsregeln gelten als dokumentierte Weisungen.

3.2 Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt er dies dem Verantwortlichen unverzüglich mit.

3.3 Der Auftragsverarbeiter verwendet Kundendaten ausschließlich, um den Dienst für den Verantwortlichen bereitzustellen, zu warten, abzusichern, zu unterstützen und zu verbessern, einschließlich der Fehlersuche. Kundendaten werden weder verkauft noch zum Training von KI-Modellen verwendet.

3.4 Die Vorschläge von Bella sind keine automatisierten Entscheidungen. Ein Nutzer des Verantwortlichen bestätigt jeden Vorschlag, bevor er an das Buchhaltungssystem gesendet wird. Zur Nachvollziehbarkeit erfasst Bella, wer den Vorschlag bestätigt und wer ihn an das Buchhaltungssystem gesendet hat, und ein Link zur Verarbeitung in Bella wird der Buchung oder ihrem Beleg beigefügt, soweit das Buchhaltungssystem dies zulässt.

3.5 Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit erforderlich, bei Datenschutz-Folgenabschätzungen und der vorherigen Konsultation der isländischen Datenschutzbehörde (Persónuvernd) und führt ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO.

3.6 Anfragen zum Datenschutz können an privacy@bellabooks.ai gerichtet werden.

4. Pflichten des Verantwortlichen

4.1 Der Verantwortliche ist dafür verantwortlich, dass für die Verarbeitung eine Rechtsgrundlage besteht und die betroffenen Personen darüber informiert werden.

4.2 Der Verantwortliche ist für die Aufbewahrung von Buchhaltungsunterlagen nach dem isländischen Buchführungsgesetz Nr. 145/1994 verantwortlich.

4.3 Der Verantwortliche stellt sicher, dass stets mindestens einer seiner Ansprechpartner in die Mailingliste von Bella Books für rechtliche und Service-Updates eingetragen ist (siehe 11.2) und dass die E-Mail-Adressen der Inhaber und Administratoren seines Kontos in Bella zutreffend sind.

5. Vertraulichkeit

5.1 Der Auftragsverarbeiter behandelt Kundendaten und andere vertrauliche Informationen, die er vom Verantwortlichen erhält, streng vertraulich. Dies gilt unter anderem für Finanzinformationen, Buchhaltungsunterlagen und Informationen über Kunden, Lieferanten und Beschäftigte.

5.2 Beschäftigte und andere Personen mit Zugang zu Kundendaten sind zur Vertraulichkeit verpflichtet und erhalten Zugang nur, soweit dies für ihre Tätigkeit erforderlich ist.

5.3 Die Pflicht zur Vertraulichkeit besteht nach Beendigung dieses Vertrags fort.

6. Sicherheitsmaßnahmen

6.1 Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um die Sicherheit der Daten nach Art. 32 DSGVO zu gewährleisten. Dazu gehören:

• Verschlüsselung der Daten bei der Übertragung (TLS) und im Ruhezustand;
• rollenbasierte Zugriffskontrolle und minimale Zugriffsrechte für Beschäftigte;
• Authentifizierung der Nutzer und sichere Sitzungsverwaltung;
• Protokollierung von Vorgängen und Überwachung der Systeme;
• regelmäßige Datensicherung und ein Reaktionsplan für Sicherheitsvorfälle und Ausfälle.

6.2 Die Sicherheitsmaßnahmen des Auftragsverarbeiters beruhen auf anerkannter Praxis nach ISO/IEC 27001, und der Auftragsverarbeiter strebt eine Zertifizierung nach dieser Norm an. Die Sicherheitsmaßnahmen werden regelmäßig überprüft, und ihr Sicherheitsniveau wird während der Laufzeit dieses Vertrags nicht gesenkt.

7. Unterauftragsverarbeiter und Datenübermittlung

7.1 Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz der in Anhang 1 aufgeführten Unterauftragsverarbeiter.

7.2 Der Auftragsverarbeiter kündigt jede beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens 14 Tage im Voraus an (siehe 11.2). Der Verantwortliche kann der Änderung innerhalb dieser Frist widersprechen. Einigen sich die Parteien nicht, kann der Verantwortliche sein Abonnement vor Inkrafttreten der Änderung ohne Einhaltung einer Kündigungsfrist kündigen und erhält dann den Teil eines im Voraus bezahlten Abonnements erstattet, der auf die Zeit nach Wirksamwerden der Kündigung entfällt.

7.3 Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen schriftlichen Vertrag, der diesem dieselben Pflichten auferlegt wie dieser Vertrag, und haftet gegenüber dem Verantwortlichen für dessen Tätigkeit.

7.4 Kundendaten, einschließlich ihrer Sicherungskopien, werden bei Amazon Web Services innerhalb der Europäischen Union gehostet, und dort findet die gesamte KI-Verarbeitung statt. Andere Unterauftragsverarbeiter in Anhang 1 erhalten nur die Daten, die ihre dort genannte Rolle erfordert. Wenn die Fehlersuche es erfordert, dürfen die betroffenen Daten vorübergehend auf Geräte des Auftragsverarbeiters in Island kopiert werden. Dort werden sie verschlüsselt gespeichert und innerhalb von 7 Tagen nach Abschluss der Fehlersuche gelöscht. Kundendaten werden nicht außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt, außer an Unterauftragsverarbeiter, die in Anhang 1 aufgeführt oder nach 7.2 angekündigt sind, und dann auf Grundlage eines Übermittlungsinstruments nach Kapitel V DSGVO, etwa der EU-Standardvertragsklauseln.

8. Verletzungen des Schutzes personenbezogener Daten

8.1 Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, die Kundendaten betrifft, meldet er dies dem Verantwortlichen unverzüglich und spätestens 48 Stunden, nachdem sie ihm bekannt geworden ist. Die Meldung wird per E-Mail an die Inhaber und Administratoren des Kontos des Verantwortlichen in Bella gesendet.

8.2 Die Meldung beschreibt die Art der Verletzung, die betroffenen Daten und Personen, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Liegen nicht alle Informationen zugleich vor, können sie ohne unangemessene weitere Verzögerung schrittweise bereitgestellt werden.

8.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen gegebenenfalls bei der Meldung der Verletzung an die Datenschutzbehörde und an die betroffenen Personen (Art. 33 und 34 DSGVO).

9. Rechte der betroffenen Personen und Prüfungen

9.1 Erhält der Auftragsverarbeiter von einer Person einen Antrag auf Auskunft, Berichtigung, Löschung oder andere Rechte in Bezug auf Kundendaten, leitet er den Antrag unverzüglich an den Verantwortlichen weiter und unterstützt ihn bei der Beantwortung.

9.2 Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus diesem Vertrag nachzuweisen.

9.3 Der Verantwortliche oder ein von ihm beauftragter, zur Vertraulichkeit verpflichteter unabhängiger Prüfer kann einmal jährlich eine Prüfung durchführen, oder häufiger, wenn eine Verletzung des Schutzes personenbezogener Daten oder eine Anordnung einer Aufsichtsbehörde dazu Anlass gibt, mit einer Ankündigungsfrist von mindestens 30 Tagen. Der Auftragsverarbeiter kann zunächst Informationen nach 9.2 vorlegen. Eine Prüfung gewährt keinen Zugang zu Daten anderer Kunden. Der Verantwortliche trägt die Kosten der Prüfung.

10. Laufzeit, Vertragsende und Löschung von Daten

10.1 Dieser Vertrag tritt in Kraft, wenn der Verantwortliche ihn annimmt (siehe Einleitung), und gilt, solange er Bella nutzt.

10.2 Der Verantwortliche kann während der Laufzeit dieses Vertrags jederzeit Rechnungen, Belege und Buchungsdaten aus Bella herunterladen. Buchungen, die aus Bella an das Buchhaltungssystem des Verantwortlichen gesendet werden, und ihre Belege, soweit das Buchhaltungssystem dies zulässt, werden zudem dort aufbewahrt.

10.3 Nach Vertragsende werden Kundendaten 90 Tage lang aufbewahrt. In dieser Zeit kann der Verantwortliche per Anfrage an privacy@bellabooks.ai eine Kopie aller Daten verlangen. Der Verantwortliche kann auch verlangen, dass die Daten früher gelöscht werden.

10.4 Nach Ablauf von 90 Tagen löscht der Auftragsverarbeiter die im Hosting gespeicherten Kundendaten oder anonymisiert sie, sofern das Gesetz nichts anderes verlangt. Verschlüsselte Sicherungskopien werden gelöscht, wenn sie im regelmäßigen Zyklus ersetzt werden, innerhalb von 30 Tagen. Kopien in E-Mails und Systemprotokollen werden innerhalb von 12 Monaten gelöscht. Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage schriftlich.

11. Änderungen, Mitteilungen, anwendbares Recht und Gerichtsstand

11.1 Der Auftragsverarbeiter kann diesen Vertrag aktualisieren, auch indem er ihn durch einen auf der Website von Bella Books veröffentlichten Auftragsverarbeitungsvertrag ersetzt. Wesentliche Änderungen werden nach 11.2 mindestens 14 Tage im Voraus mitgeteilt und treten mit Ablauf dieser Frist in Kraft. Änderungen, die den Schutz personenbezogener Daten verringern, werden nur mit Zustimmung des Verantwortlichen oder wenn das Gesetz es verlangt vorgenommen. Ist der Verantwortliche mit einer Änderung nicht einverstanden, kann er sein Abonnement vor ihrem Inkrafttreten kündigen und erhält dann eine Erstattung nach 7.2.

11.2 Mitteilungen nach 7.2 und 11.1 werden per E-Mail an die Abonnenten der Mailingliste von Bella Books für rechtliche und Service-Updates (bellabooks.ai/de/legal-updates) gesendet und gegebenenfalls in Bella veröffentlicht. Eine Mitteilung gilt als erfolgt, sobald sie an die Liste gesendet wurde. Für Meldungen von Verletzungen des Schutzes personenbezogener Daten gilt 8.1.

11.3 Frühere Versionen dieses Vertrags sind auf Anfrage erhältlich.

11.4 Dieser Vertrag unterliegt isländischem Recht. Streitigkeiten, die die Parteien nicht einvernehmlich beilegen, sind vor dem Bezirksgericht Reykjavík (Héraðsdómur Reykjavíkur) auszutragen.

11.5 Dieser Vertrag wird auf Isländisch, Englisch und Deutsch veröffentlicht. Verbindlich ist die Sprachfassung, die der Verantwortliche in Bella angenommen oder unterzeichnet hat; dies gilt auch für spätere Versionen des Vertrags nach 11.1. Die anderen Sprachfassungen dienen nur der Information.

Anhang 1 zum Auftragsverarbeitungsvertrag: Unterauftragsverarbeiter

Verbindungen zu Buchhaltungssystemen, E-Rechnungs-Vermittlern, Banken und Kartenunternehmen sowie zu MCP-Clients und anderen KI-Werkzeugen des Verantwortlichen werden auf Wunsch des Verantwortlichen eingerichtet. Dorthin gesendete Daten liegen in der Verantwortung des Verantwortlichen und unterliegen seinen Verträgen mit diesen Parteien. Wenn der Auftragsverarbeiter selbst E-Rechnungen für den Verantwortlichen über Maventa empfängt, ist Maventa Unterauftragsverarbeiter nach diesem Anhang. Wenn der Auftragsverarbeiter die Bankkonten des Verantwortlichen über Enable Banking abruft, ist Enable Banking Unterauftragsverarbeiter nach diesem Anhang. Die Anbindung von Bella an Microsoft Dynamics 365 Business Central erfolgt über Maesn, das dann Unterauftragsverarbeiter nach diesem Anhang ist; das Buchhaltungssystem selbst liegt in der Verantwortung des Verantwortlichen.

Für den eigenen Betrieb des Auftragsverarbeiters, außerhalb des Dienstes, werden außerdem Pipedrive (Geschäftskontakte), Brevo (Mailinglisten, einschließlich der Liste für rechtliche und Service-Updates) und eSigna der [e]core ehf. (elektronische Signaturen und Prüfung der Person, die für den Verantwortlichen unterzeichnet) eingesetzt. Diese Parteien erhalten keine Kundendaten.