Vertrag zur Auftragsverarbeitung (AVV)

§ 1 Vertragsparteien und Abschluss

1. Dieser Vertrag gilt zwischen dem Kunden, der E-Rechnungsfreund mit einem Kundenkonto nutzt und darin personenbezogene Daten Dritter verarbeitet (Verantwortlicher, nachfolgend „Kunde“), und dem Anbieter (Auftragsverarbeiter, nachfolgend „Anbieter“):
   Nils Wehner, Wolfsgrube 11, 97493 Bergrheinfeld (Impressum)
2. Dieser Vertrag gilt für alle Kunden, die E-Rechnungsfreund für unternehmerische Zwecke nutzen. Er ist Bestandteil des Nutzungsvertrags nach unseren AGB und wird mit der Annahme der AGB geschlossen; eine gesonderte Unterschrift ist nicht erforderlich (elektronisches Format, Art. 28 Abs. 9 DSGVO).
3. In Fragen des Datenschutzes geht dieser Vertrag den AGB vor.

§ 2 Gegenstand und Dauer

1. Gegenstand ist die Bereitstellung der Webanwendung E-Rechnungsfreund zum Erstellen, Importieren, Prüfen, Verwalten und Exportieren von E-Rechnungen (ZUGFeRD, XRechnung) einschließlich der API. Dabei verarbeitet der Anbieter die personenbezogenen Daten, die in den Rechnungsdaten und Dateien des Kunden enthalten sind.
2. Der Vertrag läuft, solange das Kundenkonto besteht, und endet mit der Löschung des Kundenkontos. Das Ende eines kostenpflichtigen Plans beendet den Vertrag nicht, weil das Kundenkonto im kostenlosen Plan weiterbesteht.

§ 3 Art und Zweck der Verarbeitung

1. Art der Verarbeitung: Erheben (Eingabe in Formularen, Upload, API), Speichern, Prüfen, Erzeugen von XML- und PDF-Dateien, Anzeigen, Export und Download, Versand per E-Mail sowie Löschen.
2. Zweck der Verarbeitung: Erfüllung des Nutzungsvertrags. Der Anbieter nutzt die Daten nicht für eigene Zwecke.
3. Dateien, die nur geprüft und nicht importiert werden, werden nur vorübergehend für die Prüfung verarbeitet und danach nicht gespeichert; für die Zählung des Prüfkontingents werden nur Zeitpunkt und Dateiname gespeichert.
4. Auf Weisung des Kunden versendet der Anbieter Rechnungen samt der gespeicherten PDF- bzw. XML-Datei per E-Mail an die vom Kunden angegebenen Empfänger. Zur Zählung der im Plan enthaltenen E-Mails werden Empfängeradresse, Zeitpunkt des Versands und der Bezug zur Rechnung gespeichert; diese Einträge werden nach 13 Monaten automatisch gelöscht und bei Löschung des Kundenkontos sofort.

§ 4 Art der Daten und Kategorien betroffener Personen

Art der personenbezogenen Daten:

• Stamm- und Kontaktdaten der Rechnungsparteien (Name, Anschrift, E-Mail-Adresse, Telefonnummer, Ansprechpartner)
• Steuerliche Kennungen (Umsatzsteuer-Identifikationsnummer, Steuernummer)
• Bankverbindung (IBAN, BIC, Kontoinhaber)
• Rechnungsinhalte (Positionen, Mengen, Preise, Beträge, Daten, Referenzen, Bemerkungen)
• Vom Kunden erfasste Zahlungs- und Statusdaten
• Hochgeladene und erzeugte Dateien (XML, PDF, Anhänge) sowie gespeicherte Partei-Vorlagen

Kategorien betroffener Personen:

• Kunden, Lieferanten und sonstige Geschäftspartner des Kunden und deren Ansprechpartner
• In Rechnungen genannte Beschäftigte und sonstige Personen des Kunden

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen. Der Kunde gibt solche Daten nicht ein.

§ 5 Weisungen

1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten dazu verpflichtet ist; in einem solchen Fall teilt der Anbieter dem Kunden diese Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.
2. Die Weisungen sind in diesem Vertrag festgelegt und werden durch die Nutzung der Funktionen der Anwendung erteilt (z. B. Rechnungen anlegen, ändern, exportieren und löschen). Weitere Weisungen erteilt der Kunde in Textform an privacy@e-rechnungsfreund.de.
3. Der Anbieter informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 6 Vertraulichkeit

Der Anbieter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 7 Sicherheit der Verarbeitung

Der Anbieter trifft die in Anlage 1 (technische und organisatorische Maßnahmen) beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf die Maßnahmen dem technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

§ 8 Unterauftragsverarbeiter

1. Der Kunde erteilt seine allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter.
2. Der Anbieter informiert den Kunden vorab in Textform (E-Mail an die Adresse des Kundenkontos) über jede beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Kunde kann der Änderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann der Kunde den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.
3. Der Anbieter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).
4. Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 9 Unterstützung des Kunden

1. Betroffenenrechte: Der Kunde kann die Daten in der Anwendung selbst einsehen, berichtigen, exportieren und löschen. Soweit das nicht genügt, unterstützt der Anbieter den Kunden auf Anfrage mit geeigneten technischen und organisatorischen Maßnahmen. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage an den Kunden weiter.
2. Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
3. Datenpannen: Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt wurde (Art. 33 Abs. 2 DSGVO), per E-Mail an die Adresse des Kundenkontos. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen; Informationen können schrittweise nachgereicht werden. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Kunden.

§ 10 Löschung und Rückgabe der Daten

1. Der Kunde kann im Kundenbereich jederzeit einzelne Rechnungen herunterladen und alle seine Rechnungen als ZIP-Datei exportieren (gespeicherte Originaldateien der Importe und die zuletzt erzeugte ZUGFeRD-PDF bzw. XRechnung-XML). Dieser Export ist die Rückgabe der Daten.
2. Löscht der Kunde das Kundenkonto, werden alle Rechnungen samt Dateien, Partei-Vorlagen und Verwaltungsdaten gelöscht. Vor der Löschung weist die Anwendung auf den Export hin. Die gesetzliche Aufbewahrung der Rechnungen obliegt dem Kunden; E-Rechnungsfreund ist kein Archiv im Sinne der GoBD.
3. Gelöschte Daten bleiben in den täglichen Datensicherungen auf dem Server, bis diese im Rahmen der regelmäßigen Rotation nach 14 Tagen gelöscht werden.

§ 11 Nachweise und Kontrollen

1. Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung, insbesondere diesen Vertrag, die technischen und organisatorischen Maßnahmen und die Liste der Unterauftragsverarbeiter.
2. Der Anbieter ermöglicht Überprüfungen einschließlich Inspektionen, die vom Kunden oder einem anderen von ihm beauftragten Prüfer durchgeführt werden, und trägt dazu bei. Inspektionen werden mit angemessener Vorankündigung vorab abgestimmt; Prüfer sind zur Vertraulichkeit verpflichtet.

§ 12 Haftung und weitere Informationen

Die Haftung richtet sich nach Art. 82 DSGVO und den AGB. Informationen zur Verarbeitung der eigenen Daten des Kunden (Konto, Zahlung) finden Sie in unserer Datenschutzerklärung.

Anlage 1: Technische und organisatorische Maßnahmen

Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 2: Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter verarbeiten Kundendaten im Rahmen dieses Vertrags:

Verschlüsselte Sicherungen bei einem externen Speicheranbieter sind geplant. Wird dafür ein Unterauftragsverarbeiter eingesetzt, informiert der Anbieter den Kunden vorab nach § 8 Abs. 2.

Folgende Dienste verarbeiten keine Rechnungsdaten und sind keine Unterauftragsverarbeiter im Sinne dieses Vertrags; sie sind in der Datenschutzerklärung beschrieben:

• Systemmails an den Kunden (Konto, Abonnement): keine Rechnungsdaten. Wie die vom Kunden per E-Mail versendeten Rechnungen werden sie über den Mailserver von STRATO in Deutschland versendet (siehe oben); ein weiterer Dienstleister ist nicht beteiligt.
• Stripe: Zahlung kostenpflichtiger Pläne; Stripe verarbeitet nur die eigenen Abrechnungsdaten des Kunden.
• Webanalyse und Conversion-Tracking (Matomo, Google-Tag): nur auf der Website und nur mit Einwilligung im Cookie-Banner, keine Rechnungsdaten.

Die Prüfung der E-Rechnungen läuft auf dem eigenen Server des Anbieters. Rechnungsdaten werden nicht an KI-Dienste weitergegeben.