Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Nutzers.

§ 1 Gegenstand der Verarbeitung

Der Anbieter verarbeitet personenbezogene Daten des Nutzers ausschließlich zur Erbringung des Dienstes „kostenlose-erechnung.de“, nämlich:

• Erstellung, serverseitiges Rendering und Anzeige von E-Rechnungen und PDF-Dokumenten
• Versand von Dokumenten per E-Mail (z.B. an Endkunden des Nutzers)
• Serverseitige Generierung von PDF-Rechnungsdokumenten (PDF/A-3b mit eingebetteter XRechnung/ZUGFeRD-XML) auf Basis der gespeicherten Rechnungsdaten sowie Bereitstellung zum Download
• Verwaltung von Kundendaten
• Verwaltung von Rechnungsdaten
• Bereitstellung eines Dashboards zur Übersicht

§ 2 Art der verarbeiteten Daten und Kategorien betroffener Personen

(1) Der Anbieter verarbeitet folgende Kategorien personenbezogener Daten:

• Name, Anschrift, E-Mail-Adresse, Telefonnummer
• Umsatzsteuer-Identifikationsnummer und Steuernummer
• Kontoinformationen (z. B. IBAN, BIC, Kontoinhaber)
• Artikel- und Leistungsstammdaten (Produktbezeichnungen, Preise, Beschreibungen)
• Bild- und Layoutdaten (hochgeladene Firmenlogos, Briefpapier, Design-Einstellungen)
• Rechnungs-, Angebots-, Gutschrifts- und Belegdaten (Betrag, Datum, Positionen, Vorlagen für wiederkehrende Abrechnungen)
• Kunden- und Lieferantenstammdaten (sofern vom Nutzer eingegeben oder über Belege erfasst)
• Generierte und archivierte Dokumente (PDF/A-3b-Dateien, XRechnung-/ZUGFeRD-XML-Datensätze, DATEV-/CSV-Exporte)

(2) Kategorien betroffener Personen: Von der Verarbeitung betroffen sind der Nutzer selbst, dessen Beschäftigte und beauftragte Berater (z. B. Steuerberater mit Workspace-Zugriff) sowie Kunden (Rechnungsempfänger), Lieferanten (Rechnungssteller von Eingangsbelegen) und sonstige Geschäftspartner/Ansprechpartner des Nutzers, deren Daten der Nutzer in die Plattform eingibt.

§ 3 Dauer der Verarbeitung

Die Daten werden für die Dauer der Nutzung der Plattform gespeichert. Nach Kündigung des Accounts oder auf ausdrücklichen Wunsch des Nutzers werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten oder eine gesondert vereinbarte GoBD-Langzeitarchivierung entgegenstehen.

§ 4 Pflichten des Anbieters, Vertraulichkeit und Datenschutzorganisation

(1) Der Anbieter verpflichtet sich, die Daten:

• ausschließlich im Rahmen dieses Auftrags und auf dokumentierte Weisung des Nutzers zu verarbeiten,
• durch geeignete technische und organisatorische Maßnahmen (z. B. verschlüsselte Übertragung, Zugriffsschutz) gemäß Art. 32 DSGVO zu schützen,
• nicht unbefugt an Dritte weiterzugeben, es sei denn, dies ist für die Vertragserfüllung im Rahmen genehmigter Unterauftragsverhältnisse (§ 5) erforderlich.

(2) Verpflichtung auf die Vertraulichkeit (Art. 28 Abs. 3 Satz 2 lit. b DSGVO): Der Anbieter gewährleistet, dass sich alle zur Verarbeitung der personenbezogenen Daten befugten Personen (insbesondere der Inhaber sowie etwaige Mitarbeitende und Erfüllungsgehilfen) vor Aufnahme der Tätigkeit schriftlich zur Vertraulichkeit und Verschwiegenheit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitspflicht besteht auch nach Beendigung der Tätigkeit und dieses Vertrags fort.

(3) Datenschutzbeauftragter (§ 38 BDSG, Art. 37 DSGVO): Da beim Anbieter weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind und die gesetzlichen Voraussetzungen des Art. 37 Abs. 1 DSGVO nicht vorliegen, ist die Bestellung eines Datenschutzbeauftragten gesetzlich nicht erforderlich. Als direkter Ansprechpartner für sämtliche Fragen des Datenschutzes und der Auftragsverarbeitung steht der Inhaber Dennis Bär (support@kostenlose-erechnung.de) unmittelbar zur Verfügung.

(4) Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO): Der Anbieter führt ein schriftliches bzw. elektronisches Verzeichnis aller Kategorien von im Auftrag des Nutzers durchgeführten Tätigkeiten der Verarbeitung gemäß Art. 30 Abs. 2 DSGVO.

(5) Der Anbieter ist berechtigt, ausschließlich vollständig anonymisierte und aggregierte Betriebsmetriken (aus denen keinerlei Rückschluss auf einzelne Personen, Kunden oder Unternehmen möglich ist) zur Fehlerbehebung, Systemsicherheit und Weiterentwicklung des Produktes auszuwerten.

§ 4a Technische und organisatorische Maßnahmen (TOMs)

Der Anbieter hat geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO getroffen, um ein dem Risiko angemessenes Schutzniveau (Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme) zu gewährleisten. Diese Maßnahmen sind in Anlage 1 zu diesem Vertrag detailliert aufgeführt. Der Anbieter unterstützt den Nutzer gemäß Art. 28 Abs. 3 Satz 2 lit. f DSGVO bei der Gewährleistung der Sicherheit der Verarbeitung nach Art. 32 DSGVO.

§ 5 Unterauftragsverhältnisse (Subunternehmer)

(1) Allgemeine Genehmigung: Der Nutzer erteilt dem Anbieter die allgemeine Genehmigung, zur Erbringung des Dienstes weitere Auftragsverarbeiter (Unterauftragnehmer im Sinne von Art. 28 Abs. 2 und Abs. 4 DSGVO) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten und genehmigten Unterauftragnehmer sind nachstehend sowie in Anlage 2 aufgeführt:

• Amazon Web Services EMEA SARL, Luxemburg / Amazon Web Services, Inc., USA – zur Bereitstellung der Serverinfrastruktur, Datenbanken, E-Mail-Übermittlung (SES), PDF-Generierung und des Datenspeichers (Serverstandort: Region eu-central-1, Frankfurt am Main, Deutschland)
• Cloudflare, Inc., USA (EU-Vertretung: Cloudflare Germany GmbH, München) – zur Auslieferung der Web-Anwendung (Hosting der Oberfläche), als Content Delivery Network und DNS-Dienst; Cloudflare ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert, ergänzend gelten EU-Standardvertragsklauseln; Anwendungsdaten werden bei Cloudflare nicht dauerhaft gespeichert
• OpenAI Ireland Ltd., Irland / OpenAI, L.L.C., USA – zur KI-gestützten Auslesung hochgeladener Belege (Belegscanner, ausschließlich bei aktiver Nutzung der Funktion durch den Nutzer); Verarbeitung über die Business-API ohne Nutzung der Daten zum Modelltraining; OpenAI ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert; ein Auftragsverarbeitungsvertrag (Data Processing Addendum inkl. EU-Standardvertragsklauseln) wurde abgeschlossen
• Google Ireland Limited, Irland – zur Webanalyse auf öffentlichen Seiten (Google Analytics, nur nach Einwilligung) sowie für die optionale Anmeldung per Google-Konto (OAuth)
• Stripe Payments Europe, Ltd., Irland – zur Abwicklung von Zahlungen und Abonnements
• Usercentrics A/S, Dänemark – zur Einwilligungsverwaltung (Cookiebot)
• Microsoft Corporation, USA – zur Analyse des Nutzerverhaltens auf öffentlichen Seiten (Microsoft Clarity, nur nach Einwilligung; das eingeloggte Nutzer-Dashboard ist ausgeschlossen); Microsoft ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert; ein Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO wurde abgeschlossen
• Linear Orbit, Inc., USA – verarbeitet ausschließlich vom Nutzer freiwillig über das Support-/Feedbackformular übermittelte Supportanfragen, Fehlermeldungen und Produktwünsche zur Bearbeitung und Priorisierung

(2) Vertragliche Verpflichtung und Haftung (Art. 28 Abs. 4 DSGVO): Nimmt der Anbieter die Dienste eines Unterauftragnehmers in Anspruch, um bestimmte Verarbeitungstätigkeiten im Namen des Nutzers auszuführen, so legt der Anbieter diesem Unterauftragnehmer im Wege eines Vertrags nach Art. 28 Abs. 4 DSGVO dieselben Datenschutzpflichten auf, die in diesem AVV zwischen dem Nutzer und dem Anbieter festgelegt sind, insbesondere hinsichtlich der Gewährleistung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO. Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet der Anbieter gegenüber dem Nutzer für die Einhaltung der Pflichten jenes Unterauftragnehmers gemäß Art. 28 Abs. 4 Satz 2 DSGVO. Soweit Daten in ein Drittland außerhalb der EU bzw. des EWR übermittelt werden, stellt der Anbieter das Vorliegen der Voraussetzungen nach Art. 44 ff. DSGVO (insbesondere Angemessenheitsbeschluss wie das EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln) vertraglich sicher.

(3) Vorabinformation und Einspruchsrecht bei Änderungen (Art. 28 Abs. 2 Satz 2 DSGVO): Der Anbieter informiert den Nutzer mindestens vier (4) Wochen im Voraus in Textform (z. B. per E-Mail) über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung neuer oder die Ersetzung bisheriger Unterauftragnehmer. Der Nutzer hat das Recht, gegen derartige Änderungen innerhalb von vier Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichen Grund in Textform Einspruch zu erheben. Erhebt der Nutzer fristgerecht einen begründeten Einspruch und kann keine einvernehmliche Lösung (z. B. Bereitstellung der Leistung ohne den betreffenden Unterauftragnehmer) erzielt werden, sind sowohl der Nutzer als auch der Anbieter berechtigt, den Nutzungsvertrag bezüglich der betroffenen Leistung außerordentlich zum Zeitpunkt des geplanten Einsatzes des neuen Unterauftragnehmers zu kündigen.

§ 6 Unterstützungspflichten des Anbieters (Betroffenenrechte, DSFA und Konsultation)

(1) Betroffenenrechte (Art. 28 Abs. 3 Satz 2 lit. e DSGVO): Der Nutzer hat jederzeit das Recht, Auskunft über die verarbeiteten Daten sowie deren Berichtigung, Löschung, Einschränkung der Verarbeitung oder Datenübertragbarkeit zu verlangen. Macht eine betroffene Person (z. B. ein Rechnungsempfänger des Nutzers) Rechte nach Kapitel III der DSGVO geltend, unterstützt der Anbieter den Nutzer mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung solcher Anträge. Richtet eine betroffene Person ein solches Ersuchen unmittelbar an den Anbieter, leitet dieser das Ersuchen unverzüglich an den Nutzer weiter.

(2) Datenschutz-Folgenabschätzung und vorherige Konsultation (Art. 28 Abs. 3 Satz 2 lit. f, Art. 35, Art. 36 DSGVO): Der Anbieter unterstützt den Nutzer unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen nach besten Kräften bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten. Dies umfasst insbesondere die Unterstützung des Nutzers bei der Durchführung einer erforderlichen Datenschutz-Folgenabschätzung (Art. 35 DSGVO) sowie bei einer etwaigen vorherigen Konsultation der zuständigen Aufsichtsbehörde (Art. 36 DSGVO) durch Bereitstellung der erforderlichen technischen System- und Sicherheitsinformationen.

§ 6a Kontroll- und Nachweisrechte des Nutzers

Der Anbieter stellt dem Nutzer gemäß Art. 28 Abs. 3 Satz 2 lit. h DSGVO alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Nutzer oder einem anderen von diesem beauftragten, zur Berufsverschwiegenheit verpflichteten Prüfer durchgeführt werden. Da es sich um eine mandantenfähige Standard-Cloud-Lösung (SaaS) handelt, erfolgt der Nachweis in der Regel zunächst durch die Bereitstellung geeigneter aktueller Nachweise, Dokumentationen, Berichte unabhängiger Dritter oder Zertifizierungen der eingesetzten Rechenzentrumsinfrastruktur (z. B. ISO 27001, SOC-Berichte von AWS). Vor-Ort-Kontrollen oder Systeminspektionen sind nach vorheriger Anmeldung mit angemessener Vorlaufzeit (in der Regel mindestens 14 Tage) während der üblichen Geschäftszeiten möglich und so durchzuführen, dass der laufende Geschäftsbetrieb sowie die Sicherheit und Vertraulichkeit der Daten anderer Mandanten nicht beeinträchtigt werden.

§ 6b Meldung von Datenschutzverstößen und Maßnahmen der Aufsichtsbehörde

(1) Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO): Der Anbieter informiert den Nutzer unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden, über jede Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten des Nutzers betrifft, sowie über wesentliche Verstöße gegen Bestimmungen dieses Auftrags. Die Meldung enthält mindestens eine Beschreibung der Art der Verletzung, der betroffenen Datenkategorien und der ungefähren Anzahl betroffener Personen/Datensätze, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Der Anbieter unterstützt den Nutzer bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und Art. 34 DSGVO.

(2) Informierung über Maßnahmen der Aufsichtsbehörde oder Ermittlungen: Der Anbieter informiert den Nutzer unverzüglich, wenn eine Datenschutz-Aufsichtsbehörde oder eine sonstige staatliche Stelle beim Anbieter Maßnahmen, Prüfungen, Auskunftsersuchen oder Ermittlungen durchführt, soweit diese sich auf die im Auftrag des Nutzers verarbeiteten personenbezogenen Daten beziehen können, es sei denn, dem Anbieter ist eine solche Information kraft Gesetzes (z. B. aufgrund strafprozessualer Geheimhaltungsvorschriften) untersagt. Der Anbieter unterstützt den Nutzer in diesem Zusammenhang im erforderlichen Umfang.

§ 6c Weisungsbefugnis und Hinweispflicht

(1) Der Anbieter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Nutzers (Art. 28 Abs. 3 Satz 2 lit. a DSGVO), es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem der Anbieter unterliegt, zur Verarbeitung verpflichtet; in einem solchen Fall teilt der Anbieter diese rechtlichen Anforderungen dem Nutzer vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Weisungen werden im Regelfall durch die Nutzung der Funktionen der Plattform (z. B. Anlegen, Ändern, Exportieren oder Löschen von Rechnungen und Stammdaten) erteilt. Einzelweisungen, die über die vertragsgemäße Funktionalität der Plattform hinausgehen, bedürfen der Textform.

(2) Hinweispflicht bei rechtswidrigen Weisungen (Art. 28 Abs. 3 Unterabs. 2 DSGVO): Ist der Anbieter der Ansicht, dass eine Weisung des Nutzers gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert der Anbieter den Nutzer unverzüglich hierüber. Der Anbieter ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie durch den Nutzer bestätigt oder geändert wurde.

§ 7 Schlussbestimmungen

Dieser AVV ist Bestandteil der Allgemeinen Geschäftsbedingungen. Änderungen und Ergänzungen dieses AVV bedürfen der Textform (oder Schriftform, soweit gesetzlich vorgeschrieben). Sollte eine Bestimmung unwirksam sein, bleibt der Rest des Vertrags gültig.

Anlage 1: Technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO

Der Anbieter setzt folgende technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:

• Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO):
  • Verpflichtung auf Vertraulichkeit: Alle zur Verarbeitung personenbezogener Daten befugten Personen sind gemäß Art. 28 Abs. 3 Satz 2 lit. b DSGVO schriftlich auf Vertraulichkeit und das Datengeheimnis verpflichtet.
  • Zutritts- und Zugangskontrolle: Betrieb der Produktivsysteme ausschließlich in ISO-27001-zertifizierten Rechenzentren von AWS in Frankfurt am Main (eu-central-1) mit mehrstufiger physischer Zutrittssicherung; administrativer Systemzugang ausschließlich über kryptografische Schlüssel und Multi-Faktor-Authentifizierung (MFA).
  • Zugriffskontrolle & Berechtigungskonzept: Rollenbasierte Zugriffskontrolle (RBAC) nach dem Least-Privilege-Prinzip; Authentifizierung über Amazon Cognito mit kurzlebigen, kryptografisch signierten Tokens (JWT).
  • Trennungskontrolle (Mandantentrennung): Strikte logische Mandantentrennung aller Geschäfts-, Kunden-, Beleg- und Rechnungsdaten auf Datenbank- und Speicherebene anhand eindeutiger Workspace-Kennungen (`workspaceId`), abgesichert durch serverseitige Autorisierungsprüfung bei jedem API-Aufruf.
• Integrität und Verschlüsselung (Art. 32 Abs. 1 lit. a und b DSGVO):
  • Weitergabekontrolle (Encryption in Transit): Durchgängige Verschlüsselung sämtlicher Datenübertragungen mittels TLS (HTTPS/HSTS); Dokumentenabrufe erfolgen über zeitlich eng befristete, kryptografisch signierte URLs (Presigned URLs).
  • Speicherverschlüsselung (Encryption at Rest): Verschlüsselung sämtlicher Datenbanken (AWS DynamoDB) und Dateispeicher (AWS S3) im Ruhezustand mittels AES-256 / AWS KMS.
  • Eingabekontrolle & Unveränderbarkeit: Nachvollziehbare Protokollierung sicherheits- und buchhaltungsrelevanter Änderungen (Workspace- und Rechnungs-Audit-Logs); Schutz festgeschriebener Rechnungen vor nachträglicher Veränderung sowie optionale WORM-Speicherung (AWS S3 Object Lock) für die GoBD-Archivierung.
• Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO):
  • Redundante, serverlose Cloud-Architektur über mehrere unabhängige Verfügbarkeitszonen (Multi-AZ) innerhalb der AWS-Region Frankfurt (eu-central-1).
  • Kontinuierliche Datenbanksicherungen (Point-in-Time Recovery / automatisierte Backups) sowie Schutz vor DDoS-Angriffen und Überlastung durch Rate-Limiting und Web Application Firewall (Cloudflare / AWS API Gateway).
  • Dokumentierte Wiederherstellungsprozesse zur raschen Wiederherstellung der Verfügbarkeit und des Zugangs zu den Daten bei einem physischen oder technischen Zwischenfall.
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO):
  • Regelmäßige Überprüfung der Sicherheitskonfigurationen, Einsatz automatisierter Sicherheits- und Abhängigkeitsprüfungen sowie zeitnahe Einspielung von Sicherheitsupdates.
  • Laufende Überwachung der Systemauslastung, Fehlerraten und Sicherheitsereignisse (CloudWatch Monitoring & Alarming).

Anlage 2: Genehmigte Unterauftragnehmer

Der Nutzer stimmt der Beauftragung folgender Unterauftragnehmer gemäß § 5 zu:

Stand: 14. Oktober 2026