Auftragsverarbeitungsvertrag (Art. 28 DSGVO) — CynTax

Stand: 06.10.2026

Dieser Vertrag ergänzt die AGB (/agb) zwischen dem Kunden („Verantwortlicher") und der Cyntro Systems GmbH, FN 655641 d, Theodor-Körner-Gasse 7, 8720 Knittelfeld, office@cyntro.at („Auftragsverarbeiter").

§ 1 Gegenstand, Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten beim Betrieb von CynTax für den Verantwortlichen: Speicherung hochgeladener Belege und Bankbewegungen, lesender Abruf von Kontoständen und Umsätzen über eine vom Verantwortlichen eingerichtete Bankanbindung, automatisierte Auswertung der Belege und Bankauszüge mit KI-Diensten, Abgleich, Erzeugung von Zahlvorschlägen, Auswertungen und Exportpaketen, Beantwortung von Fragen des Verantwortlichen zu seinen eigenen Daten durch einen KI-Assistenten, Zugriff der vom Verantwortlichen verbundenen Agenten sowie Push-Benachrichtigungen an die App.
2. Die Dauer entspricht der Laufzeit der AGB. § 9 und § 10 gelten darüber hinaus.

§ 2 Art und Zweck

Automatisierte Verarbeitung in Datenbank und Dateispeicher sowie automatisierte Auswertung von Belegen, Bankauszügen und Anfragen mittels KI-Diensten (Anhang 2). Zweck ist ausschließlich die Nutzung von CynTax durch den Verantwortlichen für sein Unternehmen. Der Auftragsverarbeiter verarbeitet die Daten nicht für eigene Zwecke; anonymisierte, nicht personenbezogene Qualitätsdaten darf er zur Verbesserung der Software verwenden. Keiner der eingesetzten KI-Dienste verwendet die Daten des Verantwortlichen zum Training seiner Modelle (Einzelheiten je Anbieter: Anhang 2).

§ 3 Betroffene und Datenkategorien

1. Betroffene: Nutzer des Verantwortlichen; Geschäftspartner des Verantwortlichen (Lieferanten, Kunden), soweit auf Belegen oder Bankbewegungen genannt; sonstige auf Belegen genannte Personen.
2. Daten: siehe Anhang 1.
3. Daten besonderer Kategorien (Art. 9 DSGVO) sind nicht Vertragsgegenstand. Der Verantwortliche lädt Belege mit solchen Daten nur hoch, soweit er dazu berechtigt ist.

§ 4 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, für die Rechtsgrundlage gegenüber den Betroffenen und für die Erfüllung seiner eigenen gesetzlichen Pflichten (insbesondere Buchführung und Aufbewahrung nach § 132 BAO) verantwortlich. Er benennt dem Auftragsverarbeiter einen Ansprechpartner für Datenschutzfragen.

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter

1. verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen, sofern er nicht gesetzlich zur Verarbeitung verpflichtet ist;
2. verpflichtet zur Verarbeitung befugte Personen zur Vertraulichkeit;
3. trifft die Maßnahmen nach Anhang 3 (Art. 32 DSGVO);
4. zieht weitere Auftragsverarbeiter (Unterauftragsverarbeiter) nur nach § 7 hinzu;
5. unterstützt den Verantwortlichen nach § 8;
6. löscht oder gibt Daten nach § 9 zurück;
7. stellt die zum Nachweis der Pflichten nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach § 10;
8. informiert den Verantwortlichen unverzüglich, wenn er eine Weisung für rechtswidrig hält.

§ 6 Weisungen

Die Nutzung der Funktionen von CynTax ist die generelle Weisung. Weitergehende Weisungen erteilt der Verantwortliche ausschließlich in Textform. Weisungen, die über den Leistungsumfang hinausgehen, vergütet der Verantwortliche nach Aufwand.

Ruft ein vom Verantwortlichen verbundener Agent Daten ab oder ändert sie, gilt dies als Weisung des Verantwortlichen. Übermittelt der Agent Daten an seinen eigenen Anbieter (z. B. einen KI-Dienst), erfolgt diese Übermittlung durch den Verantwortlichen; der Anbieter des Agenten ist kein Unterauftragsverarbeiter von Cyntro.

§ 7 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt allgemein die in Anhang 2 genannten Unterauftragsverarbeiter, einschließlich der Übermittlung personenbezogener Daten in Drittländer nach § 8a.
2. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (neuer Unterauftragsverarbeiter, Wechsel eines bestehenden) mindestens 14 Tage im Voraus. Der Verantwortliche kann binnen dieser 14 Tage aus wichtigem datenschutzrechtlichem Grund widersprechen. Wird keine Einigung erzielt, kann jede Seite den Vertrag zum Wirksamwerden der Änderung kündigen.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf Pflichten, die den Pflichten aus diesem Vertrag entsprechen. Bei Unterauftragsverarbeitern außerhalb des EWR stellt er die Übermittlungsgrundlage nach § 8a sicher.

§ 8 Unterstützung, Datenschutzverletzungen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei Anfragen Betroffener (Art. 15 bis 22 DSGVO). Anfragen, die den Auftragsverarbeiter direkt erreichen, leitet er weiter. Der Selbstbedienungszugriff und der Export in der Software sind Teil dieser Unterstützung.
2. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO — so rechtzeitig, dass der Verantwortliche seine eigene 72-Stunden-Frist zur Meldung an die Datenschutzbehörde (Art. 33 Abs. 1 DSGVO) einhalten kann. Ergänzende Angaben liefert der Auftragsverarbeiter unverzüglich nach, sobald sie ihm vorliegen.
3. Er unterstützt bei Datenschutz-Folgenabschätzungen und Konsultationen (Art. 35, 36), soweit die Verarbeitung nach diesem Vertrag betroffen ist. Aufwand, der über die bereitgestellten Nachweise hinausgeht, vergütet der Verantwortliche.

§ 8a Drittlandübermittlung

1. Eine Übermittlung in Länder außerhalb des EWR findet statt, soweit dies für die in § 1 genannten KI-gestützten Auswertungen, für den Versand von E-Mails und für Push-Benachrichtigungen an die App erforderlich ist (Anhang 2 nennt die jeweilige Übermittlungsgrundlage je Anbieter — Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, sonst EU-Standardvertrags­ klauseln).
2. Datenbank, Dateispeicher und Hosting laufen in der EU (Anhang 2); der Kontoinformationsdienst finAPI verarbeitet in Deutschland bzw. der EU (Anhang 2, eigenständig verantwortliche Dritte). Push-Benachrichtigungen enthalten keine Beleg- oder Bankdaten.

§ 9 Löschung und Rückgabe

1. Der Verantwortliche kann seine Daten während der Laufzeit und bis 30 Tage nach Vertragsende vollständig exportieren (AGB § 7).
2. Danach löscht der Auftragsverarbeiter die Daten automatisch, soweit keine gesetzliche Pflicht oder ein laufendes Verfahren entgegensteht; dabei veranlasst der Auftragsverarbeiter auch die Löschung des Nutzers beim Kontoinformationsdienst; Aufbewahrungspflichten, die finAPI selbst treffen, bleiben unberührt. Einzelheiten im internen Löschkonzept. Die Aufbewahrungspflicht für Bücher und Belege (§ 132 BAO) trifft den Verantwortlichen.

§ 10 Nachweise und Überprüfungen

1. Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags durch diesen Vertrag, Anhang 3 und die Nachweise der eingesetzten Infrastruktur-Anbieter nach.
2. Darüber hinausgehende Überprüfungen erfolgen bei begründetem Anlass, mit mindestens 14 Tagen Vorlauf, während der Geschäftszeiten und ohne Zugriff auf Daten anderer Kunden. Der Verantwortliche trägt seine Kosten und vergütet den Aufwand des Auftragsverarbeiters.

§ 11 Haftung, Schluss

1. Die Haftung gegenüber Betroffenen richtet sich nach Art. 82 DSGVO. Im Verhältnis zwischen den Parteien haftet der Auftragsverarbeiter für Schäden aus einer Verarbeitung nur, soweit er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder gegen rechtmäßige Weisungen des Verantwortlichen gehandelt hat (Art. 82 Abs. 2 DSGVO); im Übrigen gelten die Haftungsbestimmungen der AGB.
2. Es gilt österreichisches Recht. Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam.

Anhang 1 — Datenarten und Betroffene

Anhang 2 — Unterauftragsverarbeiter

Eigenständig verantwortliche Dritte (keine Unterauftragsverarbeiter)

Richtet der Verantwortliche eine Bankanbindung ein, schließt er mit finAPI einen eigenen Vertrag über den Kontoinformationsdienst. Auf seine Weisung übermittelt der Auftragsverarbeiter finAPI die zur Einrichtung nötigen Kennungen und ruft bei finAPI die Kontoinformationen der vom Verantwortlichen freigegebenen Konten ab. Ab dem Eingang beim Auftragsverarbeiter gilt für diese Daten dieser Vertrag. Für die Verarbeitung bei finAPI ist finAPI selbst verantwortlich.

Für die KI-Funktionen setzt der Auftragsverarbeiter die drei KI-Anbieter dieser Tabelle (Google, Anthropic, OpenAI) wahlweise, nebeneinander oder als Ersatz füreinander ein und legt die Zuordnung je Funktion fest. Eine geänderte Zuordnung zwischen diesen Anbietern ist keine Änderung im Sinne von § 7 Abs. 2.

Die vollständige, laufend aktualisierte Fassung mit Quellenangaben führt Cyntro in einer internen Stammliste; diese Tabelle wird bei jeder Änderung nach § 7 nachgezogen. Änderungen dieser Liste werden nach § 7 angekündigt.

Anhang 3 — Technische und organisatorische Maßnahmen

Last verified: 2026-09-24.

Freigegebene Version 3.4.0 (2026-10-06)SHA-256 b11a5a076f1b018a0b0f38fb7f9326a4e8e91330f3f30beebb7c6de8f5861284