# Vereinbarung zur Auftragsverarbeitung

**Fassung vom 5. Oktober 2026**

Anlagen: [Technische und organisatorische Maßnahmen](tom-kundenfassung.md), [Unterauftragnehmer](unterauftragnehmer.md), [Anbieterwechsel, Datenabruf und Löschung](exit.md) und die [Anlage „MCP-Verbindungen“](#anlage-mcp-verbindungen) am Ende dieses Dokuments.

## 1. Parteien, Gegenstand und Dauer

1.1 Diese Vereinbarung gilt zwischen dem Kunden als Auftraggeber und der bimetrics GmbH, Kornstraße 1, 77652 Offenburg, Deutschland, als Auftragnehmer für personenbezogene Daten, die bimetrics im Rahmen der vereinbarten Softwareleistung auf Weisung des Auftraggebers verarbeitet („Auftragsdaten“). Sie erfasst auch eine vereinbarte Testphase mit personenbezogenen Daten. Kontakt für Weisungen und Datenschutzanliegen: support@bimetrics.de.

1.2 Auftraggeber ist der Kunde, mit dem der Vertrag über die Nutzung von bimetrics geschlossen wird. Bei Handeln für ein Unternehmen ergibt sich dessen Zuordnung aus der Vertragserklärung und den Umständen des Vertragsschlusses; die Unternehmensangaben werden in der vorgesehenen Stammdatenerfassung ergänzt. Die handelnde Person muss zum Abschluss und zur Erteilung von Weisungen berechtigt sein. Ein Ansprechpartner oder Benutzer ist nicht allein aufgrund seiner Eintragung gesetzlicher Vertreter. Änderungen angezeigter Stammdaten verändern einen bereits dokumentierten Vertragsschluss nicht rückwirkend.

1.3 Der Auftraggeber bestimmt die Zwecke und wesentlichen Mittel der Verarbeitung. Handelt er selbst als Auftragsverarbeiter, setzt er bimetrics nur innerhalb seiner Befugnisse und der Weisungen des Verantwortlichen ein und gibt die maßgeblichen Weisungen dokumentiert weiter. Weitere Unternehmensprofile und Kanzleizugänge begründen für sich weder einen zusätzlichen Vertrag noch eine Vertretungsbefugnis für einen anderen Verantwortlichen. Die Berechtigung und Zuordnung sind für die jeweils betroffenen Unternehmen zu dokumentieren.

1.4 Die Vereinbarung gilt während der Verarbeitung einschließlich Übergang, Rückgabe, Sicherung und Löschung nach Ende der aktiven Softwarenutzung. Schutz-, Vertraulichkeits- und Nachweispflichten bestehen fort, solange bimetrics noch Auftragsdaten verarbeitet.

## 2. Umfang der Verarbeitung

| Gegenstand | Vereinbarter Umfang |
|---|---|
| Zweck | Bereitstellung der gebuchten Funktionen für Belegverwaltung, Rechnungserstellung, Buchungsvorbereitung und Buchungen, Zahlungszuordnung und Datenübergabe einschließlich des dafür erforderlichen Betriebs, Supports und der Sicherung. |
| Verarbeitung | Entgegennahme über Anwendung, API und Belegpostfach; Speicherung, Erkennung und KI-Auswertung, Strukturierung, Abgleich, regelgestützte Verarbeitung, Berechnung, Anzeige, Änderung, Finalisierung, Export, Übermittlung auf Weisung, Sicherung, Wiederherstellung und Löschung. Der tatsächliche Umfang richtet sich nach gebuchter Funktion und rechtmäßiger Kundenweisung. |
| Datenarten | Namen, Anschriften, Kontaktdaten und Geschäftsbeziehungen; Kunden-/Lieferantenkennungen; Rechnungs-, Beleg- und Leistungsdaten; steuerliche Angaben und Identifikationsmerkmale; Bankverbindungen, Umsätze und Zuordnungen; Nutzer-, Berechtigungs-, Bearbeitungs- und notwendige Betriebsdaten; zur Bearbeitung übermittelte Supportnachrichten und Anhänge. |
| Betroffene Personen | Kunden, Lieferanten, Geschäftspartner und deren Ansprechpartner; Beschäftigte und berechtigte Nutzer des Auftraggebers; beauftragte Berater; weitere natürliche Personen, deren Daten der Auftraggeber rechtmäßig in die vereinbarte Verarbeitung einbringt. |
| Häufigkeit | Laufend oder anlassbezogen durch Nutzung, eingerichtete Verbindungen und beauftragte Hintergrundverarbeitung. |
| Dauer | Bis zum Abschluss der Rückgabe und Löschung nach Abschnitt 10; gesetzlich erforderliche Restaufbewahrung nur im davon erfassten Umfang. |

2.1 Die Software ist keine gesondert vereinbarte Spezialumgebung für eine gezielte Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 oder von Daten nach Art. 10 DSGVO. Sollen solche Daten gezielt verarbeitet werden, sind vorab Rechtsgrundlage, Erforderlichkeit und zusätzliche Schutzmaßnahmen abzustimmen. Enthalten rechtmäßig eingebrachte Geschäftsunterlagen beiläufig solche Angaben, bleiben diese geschützt; ihre Entfernung oder weitere Verarbeitung wird bedarfsgerecht geklärt. Eine allgemeine Uploadmöglichkeit ersetzt diese Prüfung nicht.

2.2 KI-Verarbeitung bleibt an die beauftragte Funktion und die Weisungen gebunden. Der Auftraggeber räumt kein allgemeines Recht ein, Auftragsinhalte für Werbung, unabhängige Kundenbewertung oder das Training allgemein verwendbarer KI-Modelle zu verwenden. Eigene Verarbeitungen von bimetrics, insbesondere Vertragsverwaltung, Abrechnung und gesonderte Produktanalyse, benötigen eine eigene Rechtsgrundlage und werden in den Datenschutzhinweisen beschrieben. Dieser AVV schafft diese Rechtsgrundlage nicht.

## 3. Weisungen und Mitwirkung

3.1 bimetrics verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung, auch bei Übermittlungen in Drittländer. Die Vertragsunterlagen, die vereinbarte Konfiguration und bestimmungsgemäße Bedienhandlungen berechtigter Nutzer bilden die anfänglichen Weisungen. Weitere Weisungen können jederzeit in Textform, insbesondere an support@bimetrics.de, erteilt werden. Dringende mündliche Weisungen werden unverzüglich dokumentiert.

3.2 Der Auftraggeber verantwortet die Rechtmäßigkeit der bereitgestellten Daten und Weisungen, erforderliche Informationen gegenüber Betroffenen sowie die Vergabe seiner Nutzerberechtigungen. Er benennt einen erreichbaren Weisungs- und Sicherheitskontakt. Ohne gesonderte Benennung dient hierzu die Kontaktadresse des berechtigten Vertragskontoinhabers. Änderungen werden zeitnah mitgeteilt. Bei Zweifeln an einer Weisungsbefugnis klärt bimetrics diese vor einem Zugriff oder einer Herausgabe, ohne berechtigte Anliegen unangemessen zu verzögern.

3.3 Verpflichtet Unionsrecht oder das Recht eines Mitgliedstaats bimetrics zu einer abweichenden Verarbeitung, informiert bimetrics den Auftraggeber vorab, soweit die maßgebliche Vorschrift dies nicht aus wichtigen Gründen des öffentlichen Interesses untersagt. Eine behördliche Anfrage aus einem Drittland wird nicht allein deshalb als Kundenweisung behandelt.

3.4 Hält bimetrics eine Weisung für datenschutzwidrig, informiert es den Auftraggeber unverzüglich und darf die betroffene Verarbeitung bis zur Klärung aussetzen. Die übrige rechtmäßige Leistung wird soweit möglich fortgesetzt. Zusätzliche Leistungen außerhalb des vereinbarten Umfangs können nach vorheriger transparenter Vereinbarung vergütet werden; zwingende und zeitkritische Datenschutzpflichten werden dadurch weder eingeschränkt noch verzögert.

## 4. Vertraulichkeit und Sicherheit

4.1 bimetrics setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die für ihre Aufgabe erforderlichen Datenschutz- und Sicherheitsanweisungen erhalten. Zugriffe werden nach Aufgabe, Umfang und Erforderlichkeit begrenzt. Dies gilt auch für Support und Wartung.

4.2 bimetrics trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die konkret bei Vertragsschluss bereitgestellte TOM-Anlage beschreibt die vereinbarten Maßnahmen. Dabei sind Risiko, Art, Umfang und Zwecke der Verarbeitung sowie Stand der Technik und Implementierungskosten zu berücksichtigen.

4.3 Maßnahmen dürfen weiterentwickelt werden, wenn das erforderliche Schutzniveau erhalten bleibt. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber mitgeteilt. Die Pflicht zu notwendigen Verbesserungen wird durch einen älteren Anlagenstand nicht begrenzt.

## 5. Betroffenenrechte und Unterstützung

5.1 bimetrics unterstützt den Auftraggeber unter Berücksichtigung der Verarbeitungsart durch geeignete Maßnahmen bei der Erfüllung von Anträgen nach Kapitel III DSGVO. Direkt eingehende Anträge zu Auftragsdaten werden unverzüglich an den Auftraggeber weitergeleitet und nur auf dessen Weisung beantwortet, soweit keine eigene gesetzliche Pflicht besteht.

5.2 Unter Berücksichtigung der verfügbaren Informationen unterstützt bimetrics die Pflichten nach Art. 32 bis 36 DSGVO, insbesondere Sicherheitsbewertung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation. Erforderliche Informationen über eigene Verarbeitungsschritte werden zur Verfügung gestellt. bimetrics arbeitet mit zuständigen Aufsichtsbehörden zusammen und informiert den Auftraggeber über Anfragen zu dessen Auftragsdaten, soweit rechtlich zulässig.

## 6. Datenschutzverletzungen

6.1 Wird bimetrics eine Verletzung des Schutzes von Auftragsdaten bekannt, informiert es den Auftraggeber unverzüglich über dessen Sicherheitskontakt. Die Erstmeldung wird weder bis zum Abschluss der Untersuchung noch bis zum Ablauf einer allgemeinen 72-Stunden-Frist zurückgehalten.

6.2 Die Information enthält, soweit verfügbar, Art und Zeitpunkt des Vorfalls, betroffene Daten- und Personenkategorien sowie ungefähren Umfang, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine erreichbare Ansprechstelle. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht. bimetrics untersucht den Vorfall, begrenzt seine Auswirkungen, sichert erforderliche Nachweise und unterstützt den Auftraggeber bei seinen Benachrichtigungspflichten.

## 7. Weitere Auftragsverarbeiter

7.1 Der Auftraggeber genehmigt allgemein die Hinzuziehung weiterer Auftragsverarbeiter nach diesem Verfahren. Bei Abschluss sind die in der konkret bereitgestellten Unterauftragnehmeranlage bezeichneten Anbieter für die dort beschriebenen Aufgaben umfasst. Dienstleister für eigene Zwecke von bimetrics und selbstständig verantwortliche Dritte werden dadurch nicht pauschal zu Unterauftragnehmern des Auftraggebers.

7.2 Über die beabsichtigte Hinzuziehung oder Ersetzung eines unmittelbar von bimetrics eingesetzten Unterauftragnehmers informiert bimetrics mindestens 30 Kalendertage vor dessen Einsatz in Textform. Die Mitteilung bezeichnet Anbieter, Aufgabe, betroffene Daten, Verarbeitungsorte und maßgebliche Schutzvorkehrungen. Änderungen nachgelagerter Unterauftragnehmer werden nach Eingang der Mitteilung unverzüglich vor dem vorgesehenen Einsatz weitergegeben. Auch dafür muss ein ausreichender tatsächlicher Zeitraum zur Prüfung und Ausübung des Widerspruchsrechts verbleiben. Ist dies im konkreten Fall nicht möglich, holt bimetrics vor dem Einsatz eine gesonderte Genehmigung ein oder unterbindet die betroffene Verarbeitung bis zur Klärung. Eine bloße Aktualisierung einer Webseite ersetzt die Mitteilung nicht.

7.3 Der Auftraggeber kann vor dem angekündigten Einsatz aus nachvollziehbaren datenschutzbezogenen Gründen widersprechen. bimetrics prüft den Widerspruch und bietet nach Möglichkeit geeignete zusätzliche Schutzmaßnahmen oder eine zumutbare Alternative an. Bis zur Klärung werden die betroffenen Daten dem beanstandeten neuen Anbieter nicht übermittelt.

7.4 Ist eine rechtmäßige, zumutbare Alternative nicht erreichbar, kann der Auftraggeber die betroffene Leistung vor dem Einsatz außerordentlich beenden; ist ihm die Restleistung nicht zumutbar, den Gesamtvertrag. Vorausbezahlte Entgelte für entfallende Leistungszeiträume werden anteilig erstattet. Gesetzliche Rechte und etwaige Schadensersatzansprüche werden nicht auf dieses Kündigungsrecht beschränkt.

7.5 bimetrics verpflichtet weitere Auftragsverarbeiter vertraglich zu den für ihre Tätigkeit gleichen Datenschutzpflichten, prüft hinreichende Garantien und bleibt dem Auftraggeber für deren Pflichterfüllung verantwortlich. Die Verpflichtung erstreckt sich auf die Kontrolle zulässiger Weiterbeauftragungen. Eine Sicherheitsdringlichkeit begründet keine allgemeine Genehmigung unbekannter Empfänger.

## 8. Verarbeitungsorte und Übermittlungen

8.1 Die vereinbarten Verarbeitungsorte und relevanten Übermittlungsketten ergeben sich aus der Unterauftragnehmeranlage. Für die dort beschriebene Beleg- und Backend-KI-Verarbeitung wird OpenRouter mit EU-Endpunkt und ZDR-Vorgabe eingesetzt, mit festgelegter Azure-EU-Route für Belegerkennung, Zuordnung und weitere KI-Auswertung und festgelegter Google-Vertex-EU-Route für Such- und Ähnlichkeitsvektoren. Kann die Azure-EU-Route eine Anfrage nicht bedienen, insbesondere wegen einer Kapazitätsgrenze, kann die Anfrage an das eigene Azure-Deployment von bimetrics in der EU-Datenzone von Microsoft weitergeleitet werden; hierfür gelten die in der Anlage beschriebenen Aufbewahrungsregeln von Microsoft. Diese Begrenzungen der Anfrage- und Antwortinhalte sind von Betriebsmetadaten, anderen Diensten und einer gesonderten direkten Azure-Ersatzkonfiguration zu unterscheiden. Ein automatischer Wechsel zur direkten Azure-Global-Verarbeitung ist deaktiviert. Eine manuelle Umstellung bleibt an die dokumentierten Weisungen sowie die Verfahren und Rechte dieses AVV gebunden. Ein europäischer Speicherstandort begrenzt nicht automatisch sämtliche Verarbeitung und Fernzugriffe auf EU/EWR.

8.2 Verarbeitungen außerhalb EU/EWR erfolgen nur innerhalb dokumentierter Weisungen und unter Einhaltung von Kapitel V DSGVO. bimetrics dokumentiert den maßgeblichen Angemessenheitsbeschluss oder geeignete Garantien, erforderliche Transferbewertungen und ergänzende Maßnahmen. Auf Anfrage stellt es die erforderlichen Nachweise zur Verfügung; Geschäftsgeheimnisse und fremde Daten dürfen geschützt werden. Für Übermittlungen an vom Auftraggeber verbundene Anwendungen gilt Ziffer 9 der Anlage „MCP-Verbindungen“.

8.3 Entfallen die Voraussetzungen für eine erforderliche Übermittlung, informiert bimetrics den Auftraggeber unverzüglich und setzt die betroffene Übermittlung aus, sofern kein rechtmäßiger Ersatzmechanismus besteht. Zwingende Bestimmungen anwendbarer Standardvertragsklauseln bleiben unberührt.

## 9. Nachweise und Überprüfungen

9.1 bimetrics stellt alle zum Nachweis der Einhaltung dieser Vereinbarung und des Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten geeigneten Prüfer. Vorhandene aktuelle Nachweise können den Aufwand verringern, schließen erforderliche weitere Prüfungen aber nicht aus.

9.2 Regelprüfungen werden mit angemessenem Vorlauf und unter Schutz fremder Kundendaten und von Geschäftsgeheimnissen abgestimmt. Bei begründetem Verdacht, einem Datenschutzvorfall oder behördlicher Anforderung sind zusätzliche oder kurzfristige Prüfungen möglich. Eine ausschließende Jahresobergrenze gilt nicht. Vertraulichkeitsvereinbarungen verhindern keine erforderliche Mitteilung an Behörden oder Rechtsberatung.

9.3 Übliche Nachweise werden ohne besonderes Entgelt bereitgestellt. Weitergehender Zusatzaufwand kann nach vorheriger transparenter Vereinbarung angemessen vergütet werden. Kosten eigener Pflichtverletzungen werden nicht auf den Auftraggeber verlagert; zwingende Kontrollrechte dürfen nicht praktisch vereitelt werden.

## 10. Rückgabe, Löschung und Ende

10.1 Nach Abschluss der Leistungen gibt bimetrics nach Wahl des Auftraggebers die Auftragsdaten zurück oder löscht sie. Auch bestehende Kopien werden gelöscht, soweit nicht Unionsrecht oder das Recht eines Mitgliedstaats deren Speicherung vorschreibt. Der Auftraggeber kann rechtmäßige Rückgabe-, Berichtigungs-, Einschränkungs- und Löschweisungen auch während der Laufzeit erteilen. Die Anlage „Anbieterwechsel, Datenabruf und Löschung“ konkretisiert den Standardablauf. Zwingende Datenschutzpflichten und rechtmäßige konkrete Weisungen haben Vorrang.

10.2 Ein Übergangs- oder Abrufzeitraum rechtfertigt nur die dafür erforderliche Speicherung und Verarbeitung. Eine Kontosperre hebt gesetzliche Datenzugangsrechte nicht auf. Nach Ende des maßgeblichen Zeitraums erfolgt die dokumentierte Löschung; vorherige Löschung setzt eine entsprechende wirksame Weisung oder einen anderen zulässigen Grund voraus.

10.3 Sicherungskopien und Kopien bei Unterauftragnehmern sind in die Löschung einzubeziehen. Technisch vorübergehend nicht selektiv entfernbare Daten sind gegen produktive Nutzung zu sperren und im Rahmen der rechtmäßigen Löschabwicklung zu entfernen. Wiederherstellungen müssen bestehende Lösch- und Sperrweisungen vor erneuter produktiver Nutzung berücksichtigen. Eine reguläre Sicherungsrotation verlängert keine zwingende Löschfrist, insbesondere keine Pflicht aus dem Data Act.

10.4 Nach Unionsrecht oder dem Recht eines Mitgliedstaats aufzubewahrende Auftragsdaten werden nach Rechtsgrund, Umfang und Dauer abgegrenzt und nur für diesen Zweck verarbeitet. bimetrics koordiniert die erforderliche Rückgabe oder Löschung bei seinen Unterauftragnehmern und bestätigt dem Auftraggeber auf Anfrage den Abschluss sowie noch bestehende gesetzliche oder begründete technische Restbestände mit ihrem vorgesehenen Ende.

## 11. Rangfolge und Nachweis

11.1 Individualvereinbarungen und zwingendes Recht bleiben vorrangig. Für die Auftragsverarbeitung geht dieser AVV widersprechenden allgemeinen Vertragsbedingungen vor. Anwendbare Standardvertragsklauseln werden nicht eingeschränkt. Rechte betroffener Personen, insbesondere nach Art. 82 DSGVO, und Befugnisse der Aufsicht bleiben unberührt.

11.2 Der Abschluss kann schriftlich oder elektronisch erfolgen. Die Parteien dokumentieren die zugehörige Vertragspartei, handelnde Person, Erklärung, Zeitpunkt und konkreten Fassungen einschließlich Anlagen. Eine bloße Kenntnisnahme der Datenschutzhinweise ersetzt den Abschluss nicht. Später angezeigte aktuelle Unternehmensdaten sind von dem historischen Abschlussnachweis zu unterscheiden.

## Anlage „MCP-Verbindungen“

Diese Anlage ergänzt den mit dem Auftraggeber vereinbarten Auftragsverarbeitungsvertrag in seiner jeweils geltenden Fassung. Sie gilt für Verbindungen, die ein berechtigter Nutzer auf der Freigabeseite unter Hinweis auf diese Anlage freigibt.

### 1. Gegenstand und Begriffe

1.1 Diese Anlage regelt die Übermittlung von Auftragsdaten an Anwendungen, die der Auftraggeber selbst über das Model Context Protocol (MCP) mit bimetrics verbindet („verbundene Anwendungen“), insbesondere KI-Assistenten, Chat- und Entwicklungsanwendungen. Sie regelt außerdem die Entgegennahme und Ausführung von Änderungen, die verbundene Anwendungen veranlassen, soweit Ziffer 2 sie zulässt. Firmenbezogene API-Schlüssel sind nicht Gegenstand dieser Anlage.

1.2 Die Anlage konkretisiert die in Abschnitt 2 vereinbarte Übermittlung auf Weisung und die Weisungen nach Abschnitt 3.1. „Abschnitt“ bezeichnet einen Abschnitt des Auftragsverarbeitungsvertrags, „Ziffer“ eine Ziffer dieser Anlage. MCP-Verbindungen stehen Unternehmen mit einem bezahlten Tarif, einem Bestandstarif oder einer individuellen Freischaltung durch bimetrics zur Verfügung, nicht in der kostenlosen Testphase. Gibt ein berechtigter Nutzer eine Verbindung frei, bestellt der Auftraggeber damit diese unentgeltliche Funktion für das ausgewählte Unternehmen, soweit sie nicht bereits vereinbart ist.

1.3 „Übersicht“ ist die von bimetrics veröffentlichte, versionierte Übersicht der Werkzeuge mit Bereich, Datenkategorien, Stufe und Berechtigung. „Änderungsstufen“ sind:

- Stufe A: Änderungen, die eine verbundene Anwendung ohne Freigabe in bimetrics ausführen kann, etwa das Anlegen oder Ändern von Entwürfen und Kontakten, das Anlegen und Aufheben von Zuordnungen, Korrekturen an Belegen und das Festschreiben von Rechnungsentwürfen nach Ziffer 2.6;
- Stufe B: Änderungen, die bimetrics erst nach Freigabe des einzelnen Vorgangs oder einer Sammlung von Vorgängen in bimetrics ausführt;
- Stufe C: Änderungen wie in Stufe B, deren Freigabe zusätzlich eine erneute Anmeldung erfordert, etwa Exporte mit Festschreibung.

### 2. Freigabe, Umfang und Weisung

2.1 Gibt ein berechtigter Nutzer eine MCP-Verbindung frei, weist der Auftraggeber bimetrics damit an, der verbundenen Anwendung für die Dauer der Freigabe die Auftragsdaten des freigegebenen Unternehmens im beschriebenen Umfang auf deren Abruf zu übermitteln. Die Weisung gilt für jeden Abruf innerhalb dieses Rahmens, auch wenn die Anwendung ihre Abrufe automatisiert oder durch ein KI-Modell auswählt. Sie gilt auch, soweit die Anwendung die Daten außerhalb EU/EWR empfängt oder verarbeitet; die Freigabeseite weist auf diese Möglichkeit hin.

2.2 Der Umfang ergibt sich aus den bei der Freigabe angezeigten Berechtigungen, den durch den freigebenden Nutzer bei der Freigabe erteilten Änderungsrechten und der Übersicht in der auf der Freigabeseite verlinkten Fassung. Soweit Änderungsrechte für die Anwendung und das Unternehmen verfügbar sind, zeigt die Freigabeseite sie vorausgewählt an; der freigebende Nutzer kann sie vor der Freigabe abwählen. Zu den Änderungsrechten gehört auch das Festschreiben von Rechnungsentwürfen; die Freigabeseite nennt das ausdrücklich. Ohne solche Änderungsrechte sind nur Abrufe nach Ziffer 2.1 möglich.

2.3 Erweitert bimetrics Werkzeuge, Felder, Datenkategorien oder Stufen, erscheint eine neue Fassung der Übersicht. Für eine bestehende Freigabe gilt sie erst nach erneuter Bestätigung. Diese Anlage ändert sich dadurch nicht. Für Datenkategorien, die Abschnitt 2 nicht nennt, und für besondere Kategorien personenbezogener Daten ist eine gesonderte Vereinbarung erforderlich.

2.4 MCP-Verbindungen und Änderungsrechte können Nutzer mit der Rolle „Inhaber“ des jeweiligen Unternehmens in einer angemeldeten Sitzung freigeben oder erteilen, außerdem Nutzer, denen ein Inhaber dies für das Unternehmen erlaubt hat (MCP-Recht „Lesen“ oder „Lesen und Schreiben“), im Rahmen dieser Erlaubnis. Die Erlaubnis eines Inhabers ist eine Weisung des Auftraggebers; der berechtigte Nutzer wählt in ihrem Rahmen Anwendung, Unternehmen und Umfang. Mit dem MCP-Recht „Lesen“ kann er keine Änderungsrechte erteilen. Der Auftraggeber vergibt die Rolle „Inhaber“ und das MCP-Recht nur an Personen, die zur Erteilung solcher Weisungen für das jeweilige Unternehmen befugt sind. Die Abschnitte 1.2, 1.3 und 3.2 gelten entsprechend.

2.5 bimetrics dokumentiert jede Freigabe mit freigebendem Nutzer, Unternehmen, Kennung, angegebenem Namen und Anwendungsangaben der Anwendung einschließlich der registrierten Rückleitungsadressen, Berechtigungen, Zeitpunkt und Laufzeit, der Fassung des bestätigten Freigabetexts und damit der zugehörigen Fassung dieser Anlage sowie einen Widerruf mit widerrufender Person und Grund; zu einer Erlaubnis nach Ziffer 2.4 dokumentiert es den erteilenden Inhaber und den Zeitpunkt. Inhaber können aktive und beendete Freigaben einschließlich der freigebenden Person in der Anwendung einsehen, berechtigte Nutzer ihre eigenen.

2.6 Sobald bimetrics Änderungsrechte anbietet, gilt: Änderungen führt bimetrics nur aus, soweit die dafür erforderlichen Änderungsrechte durch den freigebenden Nutzer bei der Freigabe erteilt wurden (Ziffern 2.2 und 2.4). Vorgänge der Stufe B führt bimetrics zusätzlich erst aus, nachdem ein berechtigter Nutzer sie in einer bimetrics-Sitzung freigegeben hat; für Stufe C ist zusätzlich eine erneute Anmeldung erforderlich. Vorschläge der Anwendung ohne diese Freigabe sind keine Weisung. Im Rahmen dieser Ziffer ausgeführte Änderungen gelten als bestimmungsgemäße Bedienhandlungen berechtigter Nutzer nach Abschnitt 3.1. Eine Änderung umfasst die Folgen, die bimetrics dazu nennt, etwa Neubuchungen oder die Vergabe einer Rechnungsnummer. Einen Rechnungsentwurf schreibt bimetrics nur fest, nachdem die Anwendung die aktuelle Vorschau dieses Entwurfs abgerufen hat und solange der Entwurf seitdem unverändert ist. Das Festschreiben ist endgültig; eine festgeschriebene Rechnung lässt sich nur durch ein Storno in bimetrics korrigieren. bimetrics kann Änderungsrechte je Verbindung oder Unternehmen begrenzen und pausieren; das ist Teil der Funktion und keine Sperrung nach Ziffer 5.2 oder nach Ziffer 10 der AGB.

2.7 Über verbundene Anwendungen sind nicht möglich: Zahlungen oder sonstige Übertragungen von Geld oder Finanzwerten; Abschluss, Änderung oder Kündigung von Verträgen mit bimetrics einschließlich Tarif und Zusatzleistungen; Verwaltung von Nutzern, Rollen, Verbindungen, Freigaben und Änderungsrechten; Einrichtung von Bankzugängen; Annahme von Bedingungen; Löschen hochgeladener Belege und von Unternehmen.

### 3. Verantwortung des Auftraggebers

3.1 Der Auftraggeber wählt verbundene Anwendungen, deren Anbieter und Tarif selbst aus. Er verantwortet insbesondere

- a) die Rechtmäßigkeit der Übermittlung an den Anbieter;
- b) eine erforderliche Vereinbarung mit dem Anbieter, insbesondere nach Art. 28 DSGVO, und die Einordnung von dessen Rolle;
- c) die Zulässigkeit von Übermittlungen in Drittländer und die Voraussetzungen nach Kapitel V DSGVO im Verhältnis zum Anbieter (Ziffer 9);
- d) die Einstellungen beim Anbieter, insbesondere zu Speicherdauer, Protokollierung und zur Verwendung von Inhalten für das Training von KI-Modellen;
- e) die Information betroffener Personen und eine gegebenenfalls erforderliche Datenschutz-Folgenabschätzung.

3.2 Vor einer Freigabe prüft der Auftraggeber die angezeigten Anwendungsangaben und Rückleitungsadressen. Er gibt nur Verbindungen frei, die er selbst in der Anwendung veranlasst hat. Er schützt Geräte und Zugänge, über die verbundene Anwendungen genutzt werden, und widerruft unbekannte oder nicht mehr benötigte Verbindungen unverzüglich. Inhalte aus Belegen, Umsätzen und Nachrichten stammen von Dritten und können Anweisungen an KI-Modelle enthalten. Der Auftraggeber legt fest, welche weiteren Werkzeuge und Verbindungen die Anwendung gleichzeitig nutzen darf. Änderungen, die er über eine verbundene Anwendung veranlasst oder freigibt, prüft er wie eigene Eingaben. Ob die Anwendung vor einer Änderung nachfragt, legt der Auftraggeber in ihren Einstellungen fest; ob ein Mensch eine Änderung dort bestätigt hat, kann bimetrics nicht prüfen. Antworten und Vorschläge der Anwendung sind keine Steuer- oder Rechtsberatung von bimetrics.

3.3 Personaldaten aus einer Lohn- oder Personalverwaltung und besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieser Anlage. Können die freigegebenen Daten beiläufig solche Angaben, Beschäftigtendaten oder Inhalte unter einem Berufsgeheimnis enthalten, prüft der Auftraggeber vor der Freigabe, ob die Übermittlung an den Anbieter zulässig ist. Ziffer 2.1 bleibt unberührt.

### 4. Stellung des Anbieters einer verbundenen Anwendung

4.1 Anbieter verbundener Anwendungen sind keine weiteren Auftragsverarbeiter von bimetrics im Sinne von Abschnitt 7. bimetrics schließt mit ihnen keinen Vertrag über die Verarbeitung von Auftragsdaten und hat nach der Übermittlung keinen Einfluss auf deren Verarbeitung. Die Abschnitte 7.2 bis 7.5 gelten für sie nicht.

4.2 Welche Anwendungen sich technisch verbinden können, legt bimetrics nach veröffentlichten technischen Kriterien fest, insbesondere öffentlicher Client mit PKCE, Anwendungsangaben über einen zugelassenen Metadaten-Host oder eine bei bimetrics hinterlegte Kennung mit festen Rückleitungsadressen sowie ein bestandener Verbindungstest. Anbieter können die Zulassung ihrer Anwendung beantragen; jede Anwendung, die die Kriterien erfüllt, wird geprüft. Zulassung, hinterlegte Kennungen und Warnhinweise auf der Freigabeseite sind Sicherheitsmaßnahmen von bimetrics. Sie sind weder eine Empfehlung noch eine Prüfung oder Beauftragung eines Anbieters.

4.3 Setzt bimetrics einen Anbieter für eigene Leistungen gegenüber dem Auftraggeber ein oder trifft es mit ihm eine Vereinbarung, die diese Übermittlung oder die Verarbeitung der so übermittelten Daten betrifft, gilt Ziffer 4.1 insoweit nicht. Die Einordnung erfolgt dann nach Abschnitt 7.

### 5. Sicherheit

5.1 bimetrics trifft für MCP-Verbindungen die in der TOM-Anlage beschriebenen Maßnahmen, insbesondere:

- Freigabe nur in einer angemeldeten Browsersitzung, mit einer eigenen Freigabe je ausgewähltem Unternehmen; Änderungen nur mit durch den freigebenden Nutzer bei der Freigabe erteilten Änderungsrechten;
- Zugangstoken mit höchstens 60 Minuten und Freigaben mit höchstens 30 Tagen Laufzeit;
- Speicherung nur von Prüfwerten der Tokens;
- erneute Prüfung von Freigabe, Mitgliedschaft, Inhaberrolle bzw. MCP-Recht und Tarif bei jedem Abruf;
- Mengen- und Frequenzgrenzen je Verbindung und Unternehmen;
- Beendigung der gesamten Freigabe bei Wiederverwendung eines verbrauchten Autorisierungscodes und bei Wiederverwendung eines verbrauchten Aktualisierungstokens außerhalb eines kurzen Karenzfensters für Wiederholungen derselben Anwendung;
- Festschreiben nur nach Abruf der aktuellen Vorschau des unveränderten Entwurfs;
- Kürzung von IBANs in Freitexten; Bilder von Rechnungen und Rechnungsentwürfen zeigen das Dokument dagegen vollständig, einschließlich der Bankverbindung des Unternehmens;
- Benachrichtigung aller Inhaber über neue und erneuerte Verbindungen.

5.2 bimetrics darf einzelne Verbindungen oder Anwendungen vorübergehend sperren oder widerrufen, wenn Anhaltspunkte für Missbrauch, eine Sicherheitsgefahr oder einen Verstoß gegen diese Anlage bestehen. bimetrics informiert den Auftraggeber darüber unverzüglich über dessen Sicherheitskontakt (Abschnitt 3.2) und nennt, soweit möglich, den Grund. Der automatische Widerruf bei Wiederverwendung eines verbrauchten Tokens nach Ziffer 5.1 ist keine Maßnahme nach dieser Ziffer; für ihn gilt Ziffer 8.2.

### 6. Protokollierung

6.1 bimetrics protokolliert Freigaben, Widerrufe und Abrufe zum Nachweis der Weisungen und zur Sicherheit der Verarbeitung. Abrufprotokolle enthalten Freigabe, Unternehmen, Anwendung, Funktion, Zeitpunkt und Ergebnis sowie Anzahl und Kennungen der gelieferten Datensätze. Inhalte, Suchbegriffe und Tokens werden nicht protokolliert.

6.2 Sobald bimetrics Änderungsrechte anbietet, protokolliert es ausgeführte Änderungen mit Werkzeug, betroffenen Datensätzen, Art der Änderung, Freigabe und freigebender Person und kennzeichnet die über MCP geänderten Datensätze. Änderungsprotokolle und freigegebene Vorgänge werden wie die Änderungshistorie des betroffenen Datensatzes aufbewahrt. Werden vorherige Stände zur Rücknahme einer Änderung oder Schlüssel zur Erkennung wiederholter Anfragen gespeichert, dann höchstens sieben beziehungsweise 90 Tage.

6.3 Abrufprotokolle werden in der Anwendungsdatenbank nach 30 Tagen gelöscht, Freigabedatensätze 180 Tage nach Ende der Freigabe. In Sicherungskopien werden diese Daten mit deren Rotation nach der TOM-Anlage entfernt. Daten zu einem konkreten Sicherheitsvorfall werden gesondert und nur im erforderlichen Umfang aufbewahrt.

6.4 Auf Anfrage unterstützt bimetrics den Auftraggeber im Rahmen der Abschnitte 5.2 und 6 bei der Aufklärung von Abrufen und Änderungen, soweit Protokolle vorhanden sind.

### 7. Widerruf und Ende

7.1 Der Auftraggeber kann eine Freigabe jederzeit in der Anwendung widerrufen. Der Widerruf wirkt für künftige Abrufe und Änderungen.

7.2 Eine Freigabe endet außerdem mit Ablauf ihrer Laufzeit, mit einer neuen Freigabe derselben Anwendung durch dieselbe Person für dasselbe Unternehmen, automatisch bei Wiederverwendung eines verbrauchten Tokens nach Ziffer 5.1, mit einer Passwortänderung der freigebenden Person, wenn sie weder die Rolle „Inhaber“ noch ein MCP-Recht mehr hat oder ihre Mitgliedschaft endet; wird ihr MCP-Recht auf „Lesen“ beschränkt, entfallen die Änderungsrechte und mit Löschung des Unternehmens. Ohne berechtigten Tarif und nach Vertragsende sind keine Abrufe möglich.

7.3 Löschung oder Rückgabe von Daten, die der Anbieter bereits erhalten hat, richten sich nach dessen Vereinbarung mit dem Auftraggeber. Abschnitt 10 gilt für diese Daten nicht.

### 8. Datenschutzverletzungen

8.1 Verletzungen des Schutzes von Auftragsdaten im Verantwortungsbereich von bimetrics, auch durch Fehler der Schnittstelle, meldet bimetrics nach Abschnitt 6.

8.2 Erkennt bimetrics Anhaltspunkte für eine missbräuchliche Freigabe oder Nutzung, prüft es diese. Der automatische Widerruf nach Ziffer 5.1 bei Wiederverwendung eines verbrauchten Tokens ist für sich keine Verletzung nach Abschnitt 6; er wird in der Verbindungsübersicht angezeigt. Lässt sich ein Verdacht nicht ausräumen, erhält der Auftraggeber über seinen Sicherheitskontakt (Abschnitt 3.2) die Angaben nach Abschnitt 6.2, soweit bimetrics sie hat. Liegt die Ursache im Verantwortungsbereich von bimetrics, gilt Ziffer 8.1. Vorfälle beim Anbieter oder in der Umgebung des Auftraggebers liegen außerhalb des Verantwortungsbereichs von bimetrics.

### 9. Übermittlungen außerhalb EU/EWR

Übermittlungen an verbundene Anwendungen sind keine Übermittlungsketten im Sinne von Abschnitt 8.1 und werden nicht in der Unterauftragnehmeranlage geführt. Sie erfolgen nur innerhalb der Weisung nach Ziffer 2. Für diese Übermittlungen stellt der Auftraggeber die Voraussetzungen nach Kapitel V DSGVO im Verhältnis zum Anbieter sicher; Abschnitt 8.2 Satz 2 gilt insoweit nicht. bimetrics stellt dafür auf Anfrage die technischen Angaben bereit, insbesondere Serveradresse, Datenkategorien und Zeitpunkte der Abrufe. Bei cloudbasierten Anwendungen rufen die Server des Anbieters die Daten unmittelbar bei bimetrics ab. Bei lokal installierten Anwendungen gehen die Daten an ein Gerät in der Umgebung des Auftraggebers; eine Weitergabe von dort liegt außerhalb des Verantwortungsbereichs von bimetrics.