Neuer Auftragsverarbeitungsvertrag und angepasste AGB: Was sich ab 2027 für Lohnbot-Kund:innen ändert

Der KI-Einsatz ist in § 4.7 und § 4.8 geregelt. Festgelegt ist unter anderem, dass die Anbieter Ihre Daten nicht zum Training von Modellen verwenden dürfen, dass nur die für den jeweiligen Vorgang erforderlichen Daten übermittelt werden, dass Namen, Sozialversicherungsnummern und Geburtsdaten pseudonymisiert werden, soweit der Zweck das zulässt, und dass KI-Dienste nicht zur Bewertung des Verhaltens oder der Leistung einzelner Beschäftigter eingesetzt werden. Ergebnisse, die in die Abrechnung einfließen, werden vor der Übernahme geprüft.

Die Liste der Sub-Auftragsverarbeiter ist jetzt direkt im Vertrag als Anlage 2 enthalten, mit Vertragspartnerin, Teilleistung, Datenkategorien, Verarbeitungsort und Transfergrundlage je Anbieter. Neu aufgenommen ist spezialisierte Anbieter für automatisierte Assistenz- und Textverarbeitungsdienste; die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission samt dokumentierter Beurteilung der Übermittlung. Gestrichen wurden Anbieter, die keine Daten im Auftrag unserer Kund:innen verarbeiten, darunter Stripe, HubSpot, Zapier, Loom, GitHub und domonda; sie sind in der Datenschutzerklärung ausgewiesen.

Über Änderungen bei Sub-Auftragsverarbeitern informieren wir künftig per E-Mail an die im Lohnbot-Account hinterlegte Administratoradresse, mindestens 30 Tage vor dem Einsatz, mit einem Widerspruchsrecht von 14 Tagen. Die wöchentliche Kontrollpflicht aus der alten Fassung entfällt.

Neu geregelt sind außerdem die Nachweise und Kontrollrechte (§ 8), darunter das ISO-Zertifikat als Nachweis, sobald es vorliegt, die Löschung nach Vertragsende (§ 9: Export über die Systemfunktionen für weitere 30 Tage, Löschung spätestens 90 Tage nach Vertragsende) und die Nutzung des Systems für Mandant:innen durch Steuerberatungskanzleien und Buchhalter:innen (§ 5.8).