Auftragsverarbeitungsvertrag (AVV)

Stand: 11. Oktober 2026. Dieser Vertrag nach Art. 28 DSGVO gilt für Geschäftskunden, die BankingMCP für ihr Unternehmen nutzen. Er wird mit dem Nutzungsvertrag wirksam; eine Unterschrift ist nicht nötig (Art. 28 Abs. 9 DSGVO).

1. Parteien und Geltungsbereich

Auftragsverarbeiter ist die Escher Consulting GmbH, Höhenweg 2c, 44265 Dortmund, Deutschland („BankingMCP“). Verantwortlicher ist der Kunde, der BankingMCP als Unternehmer im Sinne des § 14 BGB nutzt („Kunde“).

Dieser Vertrag gilt, soweit BankingMCP bei der Erbringung des Dienstes personenbezogene Daten im Auftrag des Kunden verarbeitet, insbesondere Daten von Mitarbeitenden, Kunden und Geschäftspartnern des Kunden, die in Kontoumsätzen enthalten sind. Für Verbraucherinnen und Verbraucher, die BankingMCP für eigene Zwecke nutzen, gilt allein die Datenschutzerklärung.

Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor.

2. Gegenstand, Art, Zweck und Dauer der Verarbeitung

Gegenstand ist die Bereitstellung der Bankkonten des Kunden über das Model Context Protocol (MCP) an KI-Assistenten, die der Kunde selbst verbindet. Dazu ruft BankingMCP über einen regulierten Kontoinformationsdienst Konten, Kontostände und Umsätze ab und übermittelt sie an den jeweils anfragenden Assistenten. Der Zugriff ist ausschließlich lesend.

Die Verarbeitung umfasst das Abrufen, Übermitteln, kurzzeitige Zwischenspeichern im Arbeitsspeicher, Speichern der unten genannten Stammdaten und Protokolle sowie das Löschen.

Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags.

3. Art der Daten und Kategorien betroffener Personen

Datenarten: Kontostammdaten (Name, IBAN, Kontotyp und Währung der verbundenen Konten), Kontostände, Umsätze einschließlich Namen und Kontoverbindungen der Zahlungspartner sowie Verwendungszwecke, Protokolle der Zugriffe durch Assistenten (Zeitpunkt, Art der Abfrage und betroffenes Konto) sowie die E-Mail-Adresse, mit der sich der Kunde anmeldet.

Betroffene Personen: der Kunde und seine Inhaberinnen und Inhaber, Mitarbeitende des Kunden, Kundinnen und Kunden, Lieferanten und sonstige Geschäftspartner des Kunden, soweit sie in Umsätzen erscheinen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht gezielt verarbeitet. Sie können sich jedoch aus Verwendungszwecken ergeben, die Dritte formulieren.

4. Weisungen

BankingMCP verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen erteilt der Kunde durch den Nutzungsvertrag und durch die Einstellungen, die er im Dienst vornimmt, etwa indem er Banken verbindet, Assistenten hinzufügt, deaktiviert oder entfernt.

Weitere Weisungen erteilt der Kunde in Textform an hello@banking-mcp.com. Hält BankingMCP eine Weisung für rechtswidrig, weist es den Kunden unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO).

Die Übermittlung von Daten an einen KI-Assistenten veranlasst der Kunde selbst, indem er dem Assistenten eine MCP-Adresse gibt. Anbieter von KI-Assistenten (zum Beispiel Anthropic, OpenAI oder Mistral AI) sind keine Unterauftragsverarbeiter von BankingMCP. Ob der Kunde mit ihnen eine eigene Vereinbarung braucht, entscheidet er selbst.

5. Pflichten von BankingMCP

BankingMCP verarbeitet die Daten nicht für eigene Zwecke. Insbesondere werden Umsätze nicht für Werbung genutzt, nicht verkauft und nicht zum Training von KI-Modellen verwendet.

Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO).

BankingMCP unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit ihm die dafür nötigen Informationen vorliegen.

Verletzungen des Schutzes personenbezogener Daten meldet BankingMCP dem Kunden unverzüglich, nachdem sie ihm bekannt geworden sind, mit den Angaben, die der Kunde für seine Meldung nach Art. 33 DSGVO braucht.

6. Technische und organisatorische Maßnahmen

Hosting: Anwendung und Datenbank laufen auf Servern der Hetzner Online GmbH in Rechenzentren in Deutschland (Nürnberg und Falkenstein).

Datensparsamkeit: Kontostände und Umsätze werden nicht dauerhaft gespeichert, sondern für jede Anfrage eines Assistenten beim Kontoinformationsdienst abgerufen. Gespeichert werden nur Kontostammdaten und die Zugriffsprotokolle (90 Tage).

Zugangsdaten zur Bank: Der Kunde gibt sie ausschließlich im Formular des Kontoinformationsdienstes ein; BankingMCP erhält sie nicht.

Verschlüsselung: Alle Verbindungen sind per TLS verschlüsselt und werden über HSTS erzwungen. MCP-Adressen und Schlüssel werden mit AES-256-GCM verschlüsselt, Sitzungsschlüssel, Anmeldecodes und Wiederherstellungscodes nur als Hash gespeichert. Die nächtlichen Datenbanksicherungen sind mit AES-256 verschlüsselt und werden nach 14 Tagen gelöscht.

Zugriffskontrolle: Anmeldung per Einmalcode, optional mit Zwei-Faktor-Authentifizierung. Jeder Assistent erhält eine eigene Adresse, die der Kunde jederzeit mit sofortiger Wirkung deaktivieren kann. Anmelde- und Abrufversuche sind begrenzt. Der Webserver schreibt keine Zugriffsprotokolle.

BankingMCP passt diese Maßnahmen dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.

7. Unterauftragsverarbeiter

Der Kunde genehmigt den Einsatz folgender Unterauftragsverarbeiter: finAPI GmbH, München (von der BaFin beaufsichtigter Kontoinformationsdienst, Bankanbindung); Hetzner Online GmbH, Gunzenhausen (Hosting, Datenbank und Sicherungen in Deutschland); Sendinblue SAS (Brevo), Paris (Versand von Anmeldecodes und Service-E-Mails innerhalb der EU).

BankingMCP verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht. Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert BankingMCP den Kunden mindestens 30 Tage vorher per E-Mail. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Zeitpunkt der Änderung kündigen.

Die Abrechnung über Stripe betrifft die Vertragsbeziehung zwischen Kunde und BankingMCP und erfolgt nicht im Auftrag des Kunden; Stripe ist daher kein Unterauftragsverarbeiter nach diesem Vertrag.

8. Ort der Verarbeitung

Die Verarbeitung findet in Deutschland und der Europäischen Union statt. Eine Übermittlung in ein Drittland durch BankingMCP oder seine Unterauftragsverarbeiter erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO und nach vorheriger Information des Kunden.

9. Nachweise und Kontrollen

BankingMCP stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind. Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann die Einhaltung nach rechtzeitiger Anmeldung, in der Regel mit 14 Tagen Vorlauf, zu den üblichen Geschäftszeiten und ohne Störung des Betriebs überprüfen. Vorrangig erfolgt der Nachweis durch schriftliche Auskünfte.

10. Löschung und Rückgabe

Trennt der Kunde eine Bank oder löscht er sein Konto, löscht BankingMCP die betroffenen Daten sofort, trennt die Bankverbindungen beim Kontoinformationsdienst und entfernt die Daten aus den verschlüsselten Sicherungen spätestens nach 14 Tagen. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Da Kontostände und Umsätze nicht gespeichert werden, gibt es darüber hinaus keine Daten, die zurückzugeben wären. Kontostammdaten kann der Kunde vor der Löschung jederzeit in seinem Konto einsehen.

11. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Allgemeinen Geschäftsbedingungen.

Änderungen dieses Vertrags teilt BankingMCP dem Kunden rechtzeitig vorher mit. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht.