Vereinbarung zur Auftragsverarbeitung (AVV)

nach Art. 28 Datenschutz-Grundverordnung (DSGVO), Anlage zu den AGB der EU E-Invoice API

zwischen dem Kunden („Verantwortlicher“) und Christian Effner, Breitlacherstraße 86, 60489 Frankfurt am Main („Auftragsverarbeiter“).

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten, die in den vom Verantwortlichen an die EU E-Invoice API übermittelten Rechnungen enthalten sind, ausschließlich, um die angeforderte Leistung zu erbringen: Prüfen, Auslesen und Erzeugen elektronischer Rechnungen (Einzelheiten in Anlage 1).
Diese Vereinbarung gilt für die Dauer des Hauptvertrags (AGB). Sie wird mit der Registrierung elektronisch geschlossen (Art. 28 Abs. 9 DSGVO).

§ 2 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Übermittlungen in Drittländer, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese Anforderungen vorher mit, sofern das Recht dies nicht verbietet.
Die Weisungen sind abschließend in den AGB, dieser Vereinbarung und den einzelnen API-Aufrufen des Verantwortlichen festgelegt. Jeder API-Aufruf ist die Weisung, die übermittelte Rechnung in der angeforderten Weise zu verarbeiten und das Ergebnis zurückzugeben. Weitere Weisungen erteilt der Verantwortliche in Textform; sie müssen sich im Rahmen des standardisierten Dienstes halten.
Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich.

§ 3 Pflichten des Auftragsverarbeiters

Speicherbegrenzung. Rechnungsinhalte werden ausschließlich im Arbeitsspeicher verarbeitet und nach dem Senden der Antwort verworfen. Sie werden nicht auf Datenträger geschrieben, nicht protokolliert und nicht für andere Zwecke verwendet, insbesondere nicht für Analysen oder das Training von Modellen. Gespeichert werden je Anfrage nur Metadaten ohne Personenbezug zu den Rechnungsinhalten (Anlage 1).
Vertraulichkeit. Personen, die Zugang zu den Systemen haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.
Sicherheit. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.
Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO) und der Pflichten nach Art. 32 bis 36 DSGVO, soweit er dazu nach der Art der Verarbeitung in der Lage ist. Da Rechnungsinhalte nicht gespeichert werden, liegen beim Auftragsverarbeiter in der Regel keine Daten vor, auf die sich solche Rechte beziehen könnten.
Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, nachdem sie ihm bekannt geworden sind, an die im Kundenkonto hinterlegte E-Mail-Adresse, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
Löschung. Nach Ende der Leistungserbringung sind Rechnungsinhalte bereits gelöscht (Abs. 1). Eine Rückgabe ist daher nicht möglich und nicht erforderlich. Gesetzliche Aufbewahrungspflichten für Abrechnungsdaten bleiben unberührt; diese betreffen keine Rechnungsinhalte des Verantwortlichen.
Nachweise und Kontrollen. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung, in erster Linie diese Vereinbarung mit Anlage 2 und auf Anfrage weitere Dokumentation. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Inspektionen sind mit einer Frist von mindestens 30 Tagen anzukündigen, finden höchstens einmal pro Kalenderjahr statt, sofern kein konkreter Anlass besteht, und erfolgen auf Kosten des Verantwortlichen.

§ 4 Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen.
Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) informiert der Auftragsverarbeiter mindestens vier Wochen vorher in Textform oder durch Aktualisierung der Liste mit Benachrichtigung. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Seiten den Hauptvertrag zum Wirksamwerden der Änderung kündigen.
Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO).

§ 5 Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU / des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln. Die jeweilige Grundlage ist in Anlage 3 angegeben.

§ 6 Haftung, Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.
Bei Widersprüchen geht diese Vereinbarung den AGB vor, soweit es um den Schutz personenbezogener Daten geht.

Anlage 1 – Art, Zweck und Umfang der Verarbeitung

Zweck	Prüfen elektronischer Rechnungen gegen offizielle Regelwerke, Auslesen in ein strukturiertes Format, Erzeugen elektronischer Rechnungen, jeweils auf Anforderung des Verantwortlichen.
Art der Verarbeitung	Empfangen, Lesen, Prüfen, Umwandeln, Zurücksenden; Verwerfen unmittelbar nach der Antwort. Keine Speicherung der Inhalte.
Arten von Daten	Rechnungsdaten mit Personenbezug, insbesondere Namen und Anschriften von Verkäufer und Käufer, Namen, Telefonnummern und E-Mail-Adressen von Ansprechpartnern, Steuernummern und USt-IdNr., Bankverbindungen (IBAN, BIC, Kontoinhaber), Rechnungs- und Bestellnummern, Lieferadressen, Rechnungspositionen und Beträge sowie gegebenenfalls Inhalte von Anhängen.
Kategorien betroffener Personen	Kunden, Lieferanten und Geschäftspartner des Verantwortlichen (soweit natürliche Personen, z. B. Einzelunternehmer), deren Ansprechpartner sowie Beschäftigte des Verantwortlichen, die in Rechnungen genannt sind.
Gespeicherte Metadaten (ohne Rechnungsinhalte)	Je Anfrage: zufällige Request-ID, Endpunkt, erkanntes Format, Dauer, HTTP-Status, Größe von Anfrage und Antwort in Byte. Beim API-Gateway zusätzlich die Zuordnung der Anfrage zum Abonnement und die Zahl der berechneten Dokumente (für die Abrechnung).

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Datenminimierung / Speicherbegrenzung	Zustandsloser Dienst: Rechnungen werden nur im Arbeitsspeicher verarbeitet. Keine Datenbank, keine Dateiablage für Rechnungen; mehrteilige Uploads werden nicht auf Datenträger zwischengespeichert. Das Anwendungsprotokoll enthält nur die Metadaten aus Anlage 1; Bibliotheksmeldungen werden auf Klassennamen reduziert. Speicherabbilder (Heap- und Core-Dumps) sind abgeschaltet. Der Webserver führt kein Zugriffsprotokoll; Fehlermeldungen werden ohne IP-Adresse, Adresse und Header protokolliert.
Verschlüsselung	Übertragung ausschließlich über HTTPS (TLS) mit automatisch erneuerten Zertifikaten; unverschlüsselte Aufrufe werden umgeleitet, HSTS ist aktiv.
Zugangskontrolle (Systeme)	Serverzugang nur per SSH mit Schlüssel; Firewall lässt nur SSH, HTTP (Umleitung) und HTTPS zu. Der Dienst ist nur über das API-Gateway nutzbar: Anfragen ohne gültiges, geheimes Gateway-Kennwort werden abgewiesen (Vergleich in konstanter Zeit).
Zugriffskontrolle (Anwendung)	Kunden authentisieren sich mit persönlichen API-Schlüsseln, die sie selbst erneuern können. Es gibt keine Funktion, mit der Rechnungen anderer Kunden abgerufen werden könnten, da keine gespeichert werden.
Trennung	Jede Anfrage wird isoliert verarbeitet. Der Dienst läuft als eigener, unprivilegierter Systembenutzer in einer abgeschotteten Umgebung (systemd-Sandbox: schreibgeschütztes System, privates temporäres Verzeichnis, keine Zugriffsrechte auf andere Anwendungen des Servers, keine Privilegien).
Integrität	Regelwerke werden aus offiziellen Quellen bezogen und vor der Verwendung per Prüfsumme (SHA-256) verifiziert. Jede erzeugte Rechnung wird vor der Rückgabe validiert.
Verfügbarkeit und Belastbarkeit	Begrenzte Verarbeitungswarteschlange mit kontrollierter Ablehnung bei Überlast, Zeitlimit je Anfrage, Begrenzung von Größe und Rate je Plan am Gateway, automatischer Neustart des Dienstes, Ressourcenbegrenzung. Mehrere Versionen werden für eine schnelle Rücknahme vorgehalten.
Aktualität	Automatische Sicherheitsupdates des Betriebssystems und der Laufzeitumgebung; Abhängigkeiten werden versioniert gepflegt.
Überprüfung	Automatisierte Tests stellen bei jeder Änderung sicher, dass keine Rechnungsinhalte auf Datenträger, in Protokolle oder auf die Konsole gelangen. Regelmäßige Überprüfung dieser Maßnahmen.
Standort	Verarbeitung durch den Dienst in einem Rechenzentrum in Deutschland (Anlage 3).

Anlage 3 – Unterauftragsverarbeiter

Unternehmen	Leistung	Ort der Verarbeitung	Grundlage für Drittland
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Rechenzentrum und Server, auf dem der Dienst läuft	Deutschland (Falkenstein)	entfällt
Zuplo, Inc., 600 1st Ave, Suite 330, PMB #29897, Seattle, WA 98104, USA	API-Gateway: nimmt Anfragen einschließlich Rechnungsinhalten entgegen, prüft API-Schlüssel und Plan, leitet sie verschlüsselt an den Dienst weiter und zählt die Nutzung. Rechnungsinhalte werden dabei nur durchgeleitet.	weltweit verteiltes Rechenzentrumsnetz des Gateways; eine Anfrage wird in der Regel in einem Rechenzentrum nahe dem Aufrufer verarbeitet, auch außerhalb der EU	Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) im Rahmen der Auftragsverarbeitungsvereinbarung mit Zuplo

Stand: 20. Oktober 2026