Brauche ich einen AVV mit meiner Buchhaltungssoftware?
Kurze Antwort
Ja, fast immer. In deinen Büchern stehen personenbezogene Daten (Einzelunternehmer als Kunden, Lieferanten, die Personen sind, Löhne), und ein Anbieter, der sie in deinem Auftrag speichert, ist Auftragsverarbeiter. Nach Art. 28 DSGVO braucht es dann einen Vertrag, der schriftlich oder elektronisch geschlossen sein darf und acht Punkte regelt. Bei Cloud-Software steckt er meist in den AGB: Du musst nichts unterschreiben, aber ihn finden, prüfen und ablegen.
Diese acht Punkte muss der AVV regeln
Art. 28 Abs. 3 DSGVO verlangt neben Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kreis der Betroffenen, dass der Auftragsverarbeiter:
| Der Anbieter muss | Wonach du im AVV suchst | |
|---|---|---|
| a | nur auf deine dokumentierte Weisung verarbeiten, auch bei Übermittlungen ins Ausland | Weisungen |
| b | seine Leute zur Vertraulichkeit verpflichten | Vertraulichkeit |
| c | die Sicherheitsmaßnahmen nach Art. 32 treffen | Anlage mit technischen und organisatorischen Maßnahmen (TOM) |
| d | Unterauftragsverarbeiter nur mit deiner Genehmigung und zu gleichen Bedingungen einsetzen | Liste der Unterauftragsverarbeiter und Frist für Änderungen |
| e | dir bei Anfragen von Betroffenen helfen (Auskunft, Löschung) | Betroffenenrechte |
| f | bei Sicherheit, Datenpannen und Folgenabschätzung helfen | Datenpannen, mit Frist |
| g | die Daten am Ende löschen oder zurückgeben | Vertragsende |
| h | dir die Nachweise geben und Kontrollen ermöglichen | Kontrollen, Audits |
Art. 28 Abs. 9: schriftlich, was auch elektronisch sein kann. Ein AVV, den du online mit den AGB akzeptierst, reicht also. In Österreich gilt dieselbe DSGVO unmittelbar, die Prüfung ist gleich. Text der DSGVO auf EUR-Lex; wörtlich geprüft am 5. November 2026 in der gleichlautenden Fassung auf legislation.gov.uk.
Prüfbeispiel: ein AVV in zehn Minuten
Lea führt eine Agentur-GmbH in Nürnberg mit 90 Kunden, davon 25 Einzelunternehmer, und zwei Angestellten. Bevor sie die Bücher umzieht, legt sie den AVV des Anbieters neben die Tabelle. Hier die Prüfung an unserem eigenen Octobooks-AVV, Fassung vom 9. Oktober 2026:
| Punkt | Gefunden | Wo |
|---|---|---|
| Rollen | du Verantwortliche, Octobooks Ltd Auftragsverarbeiter | Nr. 1 |
| Daten und Betroffene | Kunden, Lieferanten, Beschäftigte; Namen, Bankdaten, Lohn- und Spesendaten | Nr. 2 |
| a Weisungen | deine Einstellungen und was du oder deine verbundene KI in Octobooks tut | Nr. 3 |
| b Vertraulichkeit | alle mit Zugriff verpflichtet | Nr. 3 |
| c Sicherheit | ISO-27001-Rechenzentrum in Deutschland, verschlüsselte Sicherungen | Anhang 1 |
| d Unterauftragsverarbeiter | Liste, 30 Tage Vorankündigung per Mail, Widerspruch und Kündigung mit Erstattung | Nr. 3 |
| e Betroffenenrechte | weitergeleitet, Werkzeuge zum Finden, Exportieren, Berichtigen, Löschen | Nr. 3 |
| f Datenpannen | unverzüglich, Ziel binnen 48 Stunden | Nr. 3 |
| g Ende | 90 Tage Export, dann gelöscht; Sicherungen binnen 12 Monaten | Nr. 3 |
| h Kontrollen | Auskünfte, vor Ort einmal im Jahr mit 30 Tagen Vorlauf | Nr. 3 |
| Drittländer | Daten in Deutschland; Standardvertragsklauseln, wo ein Unterauftragsverarbeiter außerhalb sitzt | Nr. 4 |
Alle acht Punkte sind da. Lea speichert die Seite mit Datum als PDF in ihrem Verzeichnis der Verarbeitungstätigkeiten und ist fertig. Mach das bei jedem Anbieter, bei uns oder anderswo.
Wer in deinen Büchern braucht noch einen AVV?
| Wer | Rolle | AVV? |
|---|---|---|
| Buchhaltungssoftware in der Cloud | Auftragsverarbeiter | ja |
| Lohnbüro, das nach deinen Vorgaben abrechnet | in der Regel Auftragsverarbeiter | ja; was deine KI vom Lohn sehen sollte: Lohnbuchhaltung mit KI |
| Dein KI-Anbieter, wenn er deine Bücher liest | Auftragsverarbeiter bei Business-Tarifen | ja: Bei Claude for Work und der API ist der Data Processing Addendum von Anthropic Teil der Commercial Terms (gesehen am 5. November 2026); Free, Pro und Max laufen unter den Verbraucherbedingungen |
| Deine Bank | Verantwortliche | nein |
Die KI-Zeile wird oft übersehen: Der AVV deiner Buchhaltungssoftware deckt nicht ab, was deine eigene KI liest. Das geht an deinen KI-Anbieter, unter deinem Vertrag mit ihm. Mehr dazu: Ist KI-Buchhaltung mit der DSGVO vereinbar?
Wie macht das Octobooks?
- Der Vertrag zur Auftragsverarbeitung ist Teil der AGB und gilt für jedes Konto; nichts zu unterschreiben oder anzufordern.
- Deine Bücher liegen in Deutschland. Unterauftragsverarbeiter: Hetzner (Server in Deutschland, zweite verschlüsselte Sicherung in Finnland), Paddle (Zahlungen), Google Workspace (unsere E-Mail). Octobooks selbst schickt deine Bücher an keinen KI-Anbieter. Warum der Serverstandort auch steuerlich zählt: Serverstandort Deutschland, ist das Pflicht?
- Du legst fest, was deine KI sieht: Standard, Vorsichtig (Namen von Personen als Pseudonyme, Kontakt- und Bankdaten weg) oder Privat (keine personenbezogenen Daten an die KI); Lohn und Bankzeilen kannst du zusätzlich schließen. So geht es: Datenschutz und deine KI.
Wie lange du Belege aufbewahren musst und wann du löschen darfst: Aufbewahrungsfristen und Löschpflicht. Allgemeine Information, keine Rechtsberatung.
Weitere Fragen
- Kann ich EÜR und Steuererklärungen selbst abgeben? Wer was bis wann abgibt
- Ist KI-Buchhaltung mit der DSGVO vereinbar? Ist Claude DSGVO-konform? Tarif für Tarif
- Wie lange muss ich Buchhaltungsunterlagen aufbewahren, und wann muss ich sie nach der DSGVO löschen?
- Buchhaltungssoftware mit Serverstandort Deutschland: Ist das Pflicht?
- Trainiert meine Buchhaltungssoftware KI mit meinen Daten? So prüfst du es in zehn Minuten