Vertrag zur Auftragsverarbeitung (AVV)

Vertragsparteien

Auftraggeber (Verantwortlicher) ist das Unternehmen, das bei Rechnigo ein Konto registriert hat (Mandant). Seine Angaben ergeben sich aus den im Konto hinterlegten Firmendaten.

Auftragnehmer (Auftragsverarbeiter) ist die Hoffmann Softcon UG (haftungsbeschränkt) i. G., Hohnerstraße 7, 72218 Wildberg, vertreten durch den Geschäftsführer Petre Hoffmann, Betreiberin der Software-as-a-Service-Lösung „Rechnigo“.

Der Vertrag kommt zustande, indem der Auftraggeber bei der Registrierung den Abschluss ausdrücklich bestätigt oder ihn später unter Einstellungen → Auftragsverarbeitung bestätigt. Fassung, Zeitpunkt und E-Mail-Adresse der bestätigenden Person werden zum Nachweis gespeichert (elektronisches Format nach Art. 28 Abs. 9 DSGVO).

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber die Online-Software Rechnigo zur Erstellung, Verwaltung und Übermittlung von Rechnungen, Gutschriften, Angeboten und weiteren Geschäftsbelegen (einschließlich E-Rechnungen im Format XRechnung und ZUGFeRD), zum Mahnwesen, Zahlungsabgleich, Belegeingang und zum Export für die Buchhaltung bereit. Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers.

(2) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Nutzungsverhältnisses. Er endet automatisch mit dessen Beendigung, die Pflichten aus § 9 bleiben bis zur vollständigen Löschung bestehen.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Erheben, Erfassen, Speichern, Ordnen, Auslesen, Abfragen, Verwenden, Übermitteln (auf Veranlassung des Auftraggebers, z. B. per E-Mail oder Peppol), Exportieren, Einschränken und Löschen von Daten. Zweck ist ausschließlich die Bereitstellung der vereinbarten Funktionen von Rechnigo für den Auftraggeber.

§ 3 Art der Daten und Kreis der Betroffenen

(1) Folgende Arten personenbezogener Daten werden verarbeitet:

• Stammdaten der Kunden und Lieferanten des Auftraggebers (Name, Anschrift, E-Mail-Adresse, Telefonnummer, Ansprechpartner, Steuer- und Kundennummern, Zahlungsbedingungen),
• Beleg- und Vertragsdaten (Rechnungs-, Gutschrifts- und Angebotsinhalte, Positionen, Beträge, Notizen, Anhänge),
• Zahlungsdaten (Bankverbindungen, Kontoauszugsdaten aus dem Zahlungsabgleich, Zahlungsstatus),
• Daten der Nutzer des Auftraggebers (Name, E-Mail-Adresse, Rolle, Anmeldedaten und Sicherheitsmerkmale),
• Kommunikationsdaten (E-Mail-Versand und -Vorlagen, Benachrichtigungen) sowie technische Nutzungsdaten.

(2) Betroffen sind die Kunden, Interessenten, Lieferanten und deren Ansprechpartner des Auftraggebers, die Beschäftigten und sonstigen Nutzer des Auftraggebers sowie ggf. dessen Steuerberater.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Auftraggeber darf sie nicht in Freitextfeldern oder Anhängen speichern.

§ 4 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag, dem Nutzungsverhältnis und den Einstellungen und Aktionen des Auftraggebers in der Software. Weitere Einzelweisungen erteilt der Auftraggeber in Textform.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 5 Pflichten des Auftragnehmers

Der Auftragnehmer

• gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO);
• trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt sie fort, ohne das vereinbarte Schutzniveau zu unterschreiten;
• unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO) und leitet bei ihm eingehende Anträge unverzüglich weiter;
• unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation);
• meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und liefert die für die Meldung nach Art. 33 DSGVO erforderlichen Informationen;
• führt ein Verzeichnis der Verarbeitungstätigkeiten als Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO);
• greift auf die Daten des Auftraggebers nur zu, soweit dies für die Bereitstellung des Dienstes, die Fehleranalyse oder auf Weisung des Auftraggebers erforderlich ist.

§ 6 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich, insbesondere für Informationspflichten gegenüber seinen Kunden und für die Rechtsgrundlage der Verarbeitung.

(2) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt. Er hält die Zugangsdaten seiner Nutzer geheim und vergibt Rollen und Berechtigungen im Unternehmen sorgfältig.

(3) Die Verantwortung für gesetzliche Aufbewahrungspflichten (z. B. § 147 AO, § 257 HGB) liegt beim Auftraggeber. Er sichert seine Belege rechtzeitig, insbesondere vor Beendigung des Nutzungsverhältnisses (Funktion „Datenexport“).

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters per E-Mail oder in der Anwendung. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; ohne Einigung können beide Parteien das Nutzungsverhältnis zum Zeitpunkt des Einsatzes außerordentlich kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind, und haftet für dessen Pflichtverletzungen wie für eigene.

(4) Dienste, die der Auftraggeber selbst konfiguriert und mit eigenem Vertrag und eigenen Zugangsdaten nutzt (z. B. eigener SMTP-Server, Peppol-Zugangspunkt, Stripe-Konto), sind keine Unterauftragsverarbeiter des Auftragnehmers.

§ 8 Verarbeitungsort und Drittländer

Die Verarbeitung findet innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt. Eine Übermittlung in ein Drittland erfolgt nur, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, und wird dem Auftraggeber vorab mitgeteilt.

§ 9 Rückgabe und Löschung

(1) Nach Beendigung des Nutzungsverhältnisses stellt der Auftragnehmer dem Auftraggeber auf Wunsch seine Daten in einem gängigen Format zur Verfügung (Funktion „Datenexport“) und löscht sie anschließend, spätestens 30 Tage nach Beendigung bzw. nach Bestätigung des Auftraggebers über die erfolgte Sicherung, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht.

(2) Daten in Datensicherungen werden mit der regulären Rotation der Sicherungen (derzeit bis zu sechs Monate) gelöscht und bis dahin nicht anderweitig verwendet.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer sind nach rechtzeitiger Anmeldung (in der Regel 14 Tage), zu den üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs möglich. Sie sind grundsätzlich auf einmal jährlich begrenzt, sofern kein konkreter Anlass besteht; geeignete Nachweise (z. B. Berichte, Zertifikate) können eine Vor-Ort-Prüfung ersetzen.

§ 11 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen des Nutzungsvertrags.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags vor, soweit sie personenbezogene Daten betreffen.

(2) Der Auftragnehmer kann diesen Vertrag aus datenschutzrechtlichen Gründen oder bei Änderung des Dienstes in einer neuen Fassung bereitstellen. Die neue Fassung wird dem Auftraggeber mitgeteilt und gilt, sobald er sie in der Anwendung bestätigt.

(3) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Zutrittskontrolle: Betrieb auf angemieteten Servern bei einem Hosting-Anbieter, dessen Rechenzentrum den physischen Zutritt kontrolliert; keine Datenverarbeitung in eigenen Büroräumen.
• Zugangskontrolle: Anmeldung über einen zentralen Identitätsdienst (Keycloak); Passwörter mit mindestens 10 Zeichen, optional Mehrfaktor-Authentifizierung und Passkeys, für den Mandanten einstellbar als Pflicht; Schutz der Registrierung und des Kontaktformulars vor automatisiertem Missbrauch (Rate-Limits, Captcha).
• Zugriffskontrolle: Rollen- und Rechtekonzept (Inhaber, Administrator, Mitglied); konsequente Mandantentrennung in der Anwendung; Zugriff des Auftragnehmers auf Mandantendaten nur im Support- oder Störungsfall.
• Weitergabekontrolle: Verschlüsselte Übertragung (TLS mit HSTS); sensible Zugangsdaten (z. B. SMTP-Passwörter, API-Schlüssel, Identity-Provider-Geheimnisse) werden mit AES-256-GCM verschlüsselt gespeichert.
• Eingabekontrolle und Integrität: Ausgestellte Belege sind unveränderlich (Korrektur durch Storno bzw. Gutschrift statt Überschreiben, GoBD); Nummernkreise werden lückenlos geführt.
• Verfügbarkeit und Belastbarkeit: Tägliche automatische Datenbanksicherung mit Rotation (7 Tage, 4 Wochen, 6 Monate); Überwachung der Dienste und Statusseite; automatischer Neustart ausgefallener Dienste.
• Trennungskontrolle: Mandantenfähige Datenhaltung; Test- und Produktivsystem sind getrennt, im Testsystem werden keine Produktivdaten verwendet.
• Datenminimierung: Nutzungsstatistiken werden nur als aggregierte Zähler ohne Inhalte und ohne Nutzerbezug erhoben.
• Wiederherstellung und Aktualisierung: Regelmäßige Aktualisierung der Basis-Software bei jeder Bereitstellung (neueste Sicherheits-Updates der Basis-Images und Abhängigkeiten).
• Auftragskontrolle: Verarbeitung nur nach diesem Vertrag; Unterauftragsverarbeiter sind vertraglich gebunden; Verpflichtung der Beteiligten zur Vertraulichkeit.

Anlage 2: Unterauftragsverarbeiter

Nicht Teil dieser Liste sind Dienste, die der Auftraggeber auf eigene Veranlassung und mit eigenem Vertrag anbindet (z. B. eigener SMTP-Server, Peppol-Zugangspunkt wie Storecove oder e-invoice.be, eigenes Stripe-Konto), sowie der Zahlungsdienstleister für das Rechnigo-Abonnement selbst, der als eigenständiger Verantwortlicher für Zahlungsdaten handelt.