Auftragsverarbeitungsvertrag (AV-Vertrag)

Vertragsparteien

Verantwortlicher (nachfolgend „Auftraggeber"):
Der Nutzer des Dienstes rechnung3000, identifiziert durch die im Nutzerkonto hinterlegten Firmendaten.

Auftragsverarbeiter (nachfolgend „Auftragnehmer"):
Alexander Herdt (Lippesee IT), Klausheider Straße 47, 33106 Paderborn, Deutschland
E-Mail: info@rechnung3000.de

§ 1 Gegenstand und Dauer des Auftrags

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Sinne von Art. 4 Nr. 8 und Art. 28 DSGVO. Gegenstand, Art und Zweck der Verarbeitung, die Art der Daten sowie die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1.

(2) Die Verarbeitung erfolgt ausschließlich zur Erbringung der im Nutzungsvertrag (AGB) vereinbarten Leistungen: Konvertierung von Rechnungsdokumenten in strukturierte E-Rechnungsformate, Erstellung von E-Rechnungen, Validierung und Visualisierung von E-Rechnungen sowie deren zeitlich befristete Bereitstellung im Nutzerkonto.

(3) Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus § 10 (Löschung und Rückgabe) bestehen darüber hinaus fort.

(4) Dieser Vertrag ist Anlage zu den Allgemeinen Geschäftsbedingungen und wird mit deren Annahme in Textform gemäß Art. 28 Abs. 9 DSGVO geschlossen. Auf Verlangen des Auftraggebers schließt der Auftragnehmer denselben Vertrag zusätzlich als unterzeichnetes Einzeldokument.

§ 2 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich in Bezug auf die Übermittlung in ein Drittland (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der Funktionen des Dienstes durch den Auftraggeber gilt als solche Weisung; dieser Vertrag samt Anlagen bildet die Erstweisung ab.

(2) Weisungen werden in Textform erteilt (E-Mail genügt). Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

(4) Eine Verarbeitung der überlassenen Daten für eigene Zwecke des Auftragnehmers findet nicht statt. Insbesondere werden Inhalte hochgeladener oder erzeugter Rechnungen nicht für das Training von KI-Modellen, für Produktverbesserung, für Profilbildung oder für Analysen verwendet. Zu Betriebs- und Abrechnungszwecken werden ausschließlich inhaltsfreie Ereignisdaten geführt (Zeitstempel, Vorgangsart, Erfolg oder Fehler, Anzahl).

§ 3 Ort der Verarbeitung, Drittlandübermittlung

(1) Die Verarbeitung und Speicherung findet in Rechenzentren in der Bundesrepublik Deutschland statt (Anlage 3, Ziffer 1).

(2) Automatisierte Datenerkennung. Die Erkennung von Rechnungsdaten aus Bild und Text erfolgt im Regelbetrieb über genau einen Auftragsverarbeiter — eine Einstellung für beide Erkennungswege, kein automatischer Wechsel zwischen mehreren Anbietern und keine automatische Rückfallebene in ein Drittland. Dies ist ein Anbieter, der ausschließlich innerhalb der Bundesrepublik Deutschland verarbeitet (Anlage 3, Nummer 7); eine Drittlandübermittlung findet im Regelbetrieb nicht statt. Nur wenn der Auftraggeber in der Prüfoberfläche für ein einzelnes Dokument ausdrücklich einen anderen Anbieter auswählt, übermittelt der Auftragnehmer die Dokumentinhalte an einen KI-Dienstleister mit Sitz in den Vereinigten Staaten (Anlage 3, Nummern 2 und 5). Diese Wahl trifft der Auftraggeber aktiv und im Einzelfall, nicht der Auftragnehmer automatisiert. Die Übermittlung nach Satz 3 erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO in Verbindung mit der Zertifizierung des Empfängers nach dem EU-US Data Privacy Framework. Der Auftraggeber erteilt hierzu mit Abschluss dieses Vertrags seine Weisung nach § 2 Abs. 1 für den Fall, dass er diese Option im Einzelfall aktiv nutzt.

(3) Weitere Übermittlungen in Drittländer finden nur statt, soweit sie in Anlage 3 ausgewiesen sind.

§ 4 Vertraulichkeit

(1) Der Auftragnehmer verpflichtet alle Personen, die auftragsgemäß Zugang zu personenbezogenen Daten haben, vor Aufnahme der Tätigkeit schriftlich zur Vertraulichkeit und macht sie mit den für sie maßgeblichen Bestimmungen des Datenschutzes vertraut (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

(2) Berufsgeheimnisträger. Verarbeitet der Auftragnehmer Daten, die einem Berufsgeheimnis nach § 203 StGB unterliegen — insbesondere Patienten-, Mandanten- oder Klientendaten —, so wird er als sonstige mitwirkende Person im Sinne von § 203 Abs. 3 StGB tätig. Er und die von ihm eingesetzten Personen werden ausdrücklich zur Geheimhaltung verpflichtet und auf die Strafbarkeit einer unbefugten Offenbarung nach § 203 Abs. 4 StGB hingewiesen. Der Auftragnehmer verpflichtet weitere mitwirkende Personen und Unterauftragnehmer entsprechend.

(3) Der Auftragnehmer hat einen Datenschutzbeauftragten bestellt bzw. die Voraussetzungen einer Bestellpflicht geprüft; der aktuelle Stand wird auf Anfrage mitgeteilt.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Der Stand bei Vertragsschluss ergibt sich aus Anlage 2.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber auf Anfrage mitgeteilt.

(3) Der Auftragnehmer überprüft die Wirksamkeit der Maßnahmen regelmäßig.

§ 6 Unterauftragsverhältnisse

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung zur Beauftragung der in Anlage 3 aufgeführten Unterauftragnehmer (Art. 28 Abs. 2 Satz 2 DSGVO).

(2) Beabsichtigt der Auftragnehmer die Hinzuziehung eines weiteren oder den Austausch eines bestehenden Unterauftragnehmers, informiert er den Auftraggeber mindestens vier Wochen vorher in Textform. Der Auftraggeber kann der Änderung innerhalb von zwei Wochen ab Zugang aus wichtigem, datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs, der eine Leistungserbringung unmöglich macht, sind beide Parteien zur außerordentlichen Kündigung des Nutzungsvertrags berechtigt.

(3) Der Auftragnehmer schließt mit jedem Unterauftragnehmer einen Vertrag, der diesem mindestens dieselben Datenschutzpflichten auferlegt, die ihn selbst nach diesem Vertrag treffen (Art. 28 Abs. 4 DSGVO). Er wählt Unterauftragnehmer sorgfältig aus und prüft insbesondere deren technische und organisatorische Maßnahmen.

(4) Nicht als Unterauftragsverhältnis gelten Nebenleistungen wie Telekommunikationsdienste, Post- und Transportdienste oder Wartungsleistungen ohne Zugriffsmöglichkeit auf personenbezogene Daten.

§ 7 Unterstützung bei Betroffenenrechten

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nachzukommen (Art. 28 Abs. 3 lit. e DSGVO).

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht eigenständig, soweit es die im Auftrag verarbeiteten Daten betrifft.

(3) Der Auftraggeber kann Rechnungsdaten und Dokumente jederzeit selbst über sein Konto einsehen, exportieren und löschen. Darüber hinausgehender Aufwand kann nach Aufwand berechnet werden, soweit die Unterstützung nicht auf einem Umstand beruht, den der Auftragnehmer zu vertreten hat.

§ 8 Unterstützung bei Sicherheit, Meldepflichten und Folgenabschätzung

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO), insbesondere bei einer Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde.

(2) Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung in Textform. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen.

(3) Meldungen an die Aufsichtsbehörde (Art. 33 DSGVO) und Benachrichtigungen betroffener Personen (Art. 34 DSGVO) obliegen dem Auftraggeber.

§ 9 Nachweise und Kontrollrechte

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis kann durch aktuelle Testate, Zertifizierungen oder Berichte unabhängiger Stellen — auch solcher der Unterauftragnehmer — sowie durch die Selbstauskunft nach Anlage 2 geführt werden.

(3) Vor-Ort-Kontrollen sind nach Terminvereinbarung mit angemessener Vorlaufzeit von in der Regel zwei Wochen während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig. Der Auftragnehmer kann eine Verpflichtung zur Vertraulichkeit sowie den Ausschluss von Prüfern verlangen, die zu ihm im Wettbewerb stehen.

§ 10 Löschung und Rückgabe nach Beendigung

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer alle personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück (Art. 28 Abs. 3 lit. g DSGVO). Der Auftraggeber teilt seine Wahl spätestens mit Beendigung des Nutzungsvertrags mit; ohne Mitteilung wird gelöscht.

(2) Während der laufenden Nutzung gelten die tarifabhängigen Aufbewahrungsfristen nach Anlage 1 Ziffer 6. Der Auftraggeber ist verpflichtet, benötigte Dokumente rechtzeitig herunterzuladen und in einem eigenen System revisionssicher zu archivieren; der Dienst ist kein Archivsystem im Sinne der GoBD.

(3) Nach Auflösung des Nutzerkontos werden verbliebene Daten innerhalb von 14 Tagen vollständig gelöscht.

(4) Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, dürfen über das Vertragsende hinaus entsprechend den jeweiligen Aufbewahrungsfristen verwahrt werden.

§ 11 Haftung

(1) Es gilt Art. 82 DSGVO. Im Innenverhältnis haften die Parteien entsprechend ihrem Anteil an der Verantwortung für den eingetretenen Schaden.

(2) Im Übrigen gelten die Haftungsregelungen des Nutzungsvertrags (AGB). Eine Beschränkung der Haftung gegenüber betroffenen Personen oder Aufsichtsbehörden ist damit nicht verbunden.

§ 12 Verantwortlichkeit des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen allein verantwortlich (Art. 4 Nr. 7 DSGVO).

(2) Der Auftraggeber stellt sicher, dass er für die Übermittlung der Daten an den Auftragnehmer über eine Rechtsgrundlage verfügt. Das gilt insbesondere für Daten Dritter, die in hochgeladenen Rechnungen enthalten sind.

(3) Beabsichtigt der Auftraggeber, besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder dem Berufsgeheimnis unterliegende Daten zu verarbeiten, teilt er dies dem Auftragnehmer vor Beginn der Verarbeitung mit, damit die erforderlichen zusätzlichen Maßnahmen (§ 4 Abs. 2, § 3 Abs. 3) vereinbart werden können.

§ 13 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag (AGB) gehen die Regelungen dieses Vertrags vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

---

Anlage 1 — Gegenstand der Verarbeitung

1. Art und Zweck der Verarbeitung
Automatisierte Auslesung von Rechnungsdaten aus hochgeladenen Dokumenten (Textanalyse, optische Zeichenerkennung, KI-gestützte Erkennung), Erzeugung strukturierter E-Rechnungen (ZUGFeRD/XRechnung), Validierung gegen XSD-Schema und Schematron-Geschäftsregeln, Visualisierung eingebetteter Rechnungsdaten, Bereitstellung der Ergebnisse zum Abruf sowie Verwaltung des Nutzerkontos und der Abrechnung.

2. Art der personenbezogenen Daten
– Bestandsdaten des Auftraggebers: Name, E-Mail-Adresse, Firmenname, Anschrift, Passwort-Hash, Zeitstempel
– Rechnungsinhaltsdaten: Namen und Anschriften von Rechnungssteller und Rechnungsempfänger, Kontaktdaten, Steuer- und Umsatzsteuer-Identifikationsnummern, Bankverbindungen (IBAN, BIC), Rechnungsnummern, Leistungsbeschreibungen, Beträge, Zahlungsbedingungen
– Sämtliche weiteren personenbezogenen Daten, die der Auftraggeber in hochgeladenen Dokumenten übermittelt. Das können — je nach Inhalt der Rechnung — auch besondere Kategorien nach Art. 9 DSGVO sein, etwa wenn Leistungsbeschreibungen Rückschlüsse auf Gesundheitsdaten zulassen
– Nutzungs- und Protokolldaten: IP-Adresse, Zeitpunkt, Vorgangsart, Ergebnis

3. Kategorien betroffener Personen
Beschäftigte und gesetzliche Vertreter des Auftraggebers, Kunden und Lieferanten des Auftraggebers sowie deren Ansprechpartner, weitere in den Rechnungsdokumenten genannte Personen.

4. Kreis der Berechtigten
Der Auftragnehmer sowie die von ihm verpflichteten Personen, soweit der Zugriff zur Leistungserbringung, Fehlerbehebung oder Wartung erforderlich ist.

5. Prüfabfragen an Dritte
Zur Plausibilitätsprüfung ruft der Dienst öffentliche Prüfdienste auf: das Mehrwertsteuer-Informationsaustauschsystem VIES der Europäischen Kommission (Prüfung von Umsatzsteuer-Identifikationsnummern) sowie im Standardbetrieb einen Dienst zur Auflösung von IBAN zu BIC (Anlage 3, Ziffer 6). Übermittelt werden dabei ausschließlich die zu prüfende Nummer bzw. die IBAN.

6. Speicherdauer
– Während der Verarbeitung im temporären Arbeitsverzeichnis: Löschung spätestens nach 60 Minuten
– Dauerhafte Ablage im Konto, tarifabhängig: Free 48 Stunden, Starter 30 Tage, Pro 90 Tage, Enterprise bis zur Löschung durch den Auftraggeber
– Nach Auflösung des Kontos: vollständige Löschung innerhalb von 14 Tagen
– Serverseitige Zugriffsprotokolle: Löschung nach spätestens 14 Tagen
– Abweichende, insbesondere kürzere Fristen können individuell vereinbart werden.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit
Zutrittskontrolle: Die Server stehen in den Rechenzentren des Unterauftragnehmers Hetzner Online GmbH in Nürnberg und Falkenstein. Zutrittsschutz, Videoüberwachung und Vereinzelungsanlagen werden von diesem nach dessen zertifiziertem Sicherheitskonzept (ISO/IEC 27001) gestellt.
Zugangskontrolle: Administrativer Serverzugang ausschließlich über SSH mit Schlüsselauthentifizierung. Nutzerzugänge über Konto und Passwort; Passwörter werden ausschließlich als bcrypt-Hash gespeichert, niemals im Klartext. Anmeldeversuche sind ratenbegrenzt.
Zugriffskontrolle: Rollentrennung zwischen regulären Nutzern und Administratoren. Rechnungsdaten sind einer Firma zugeordnet; jede lesende und schreibende Abfrage ist auf diese Zuordnung eingeschränkt. Datenbankzugriff nur über parametrisierte Anweisungen.
Trennungskontrolle: Mandantentrennung auf Datenebene über die Firmenzuordnung; getrennte Ablageverzeichnisse je Firma; getrennte Umgebungen für Entwicklung und Betrieb.

2. Integrität
Weitergabekontrolle: Transportverschlüsselung mit TLS für sämtliche Verbindungen, erzwungene Weiterleitung von HTTP auf HTTPS, HTTP Strict Transport Security. Ausgehende Aufrufe an Dienstleister ausschließlich über TLS mit Zertifikatsprüfung.
Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge (Anmeldung, Kontoänderung, Löschung, administrative Eingriffe) mit Zeitstempel und Benutzerkennung.
Weitere Maßnahmen: Schutz vor Cross-Site-Request-Forgery durch Token in allen schreibenden Formularen, Content-Security-Policy, Prüfung des Dateityps hochgeladener Dateien anhand des tatsächlichen Inhalts, Begrenzung von Dateigröße und Uploadrate.

3. Verfügbarkeit und Belastbarkeit
Betrieb in einem Rechenzentrum mit unterbrechungsfreier Stromversorgung, redundanter Anbindung und Brandschutz nach dem Konzept des Unterauftragnehmers. [Ergänzen: Sicherungskonzept — Häufigkeit, Aufbewahrungsdauer und Ablageort der Sicherungen, Wiederherstellungstest.]

4. Verfahren zur Überprüfung und Bewertung
Auftragskontrolle: Schriftliche Vereinbarungen mit allen Unterauftragnehmern nach Art. 28 DSGVO, Auswahl nach dokumentierten Kriterien.
Datenschutz durch Technikgestaltung und Voreinstellungen: Automatische Löschung temporärer Dateien nach 60 Minuten; automatische, tarifabhängige Löschung gespeicherter Rechnungen durch einen täglichen Prozess; Entfernung von Dateinamen aus anonymen Nutzungsdaten nach 30 Tagen; Verzicht auf die Speicherung von Zahlungsdaten auf eigenen Systemen.
Überprüfung: Regelmäßige Aktualisierung der eingesetzten Softwarekomponenten, Überprüfung der Maßnahmen bei wesentlichen Änderungen am Dienst.

Anlage 3 — Unterauftragnehmer

Änderungen dieser Liste werden nach dem Verfahren in § 6 Abs. 2 mitgeteilt. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar.

Fragen zu diesem Vertrag oder Wunsch nach einer unterzeichneten Fassung: info@rechnung3000.de
Siehe auch: AGB · Datenschutzerklärung · Impressum