Vertrag zur Auftragsverarbeitung (AVV)

Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem (im Folgenden „Kunde") und Arpo, Inhaber Albert Qerimi, Weinbietstr. 30, 67065 Ludwigshafen am Rhein, als Auftragsverarbeiter (im Folgenden „Anbieter"). Er ist Bestandteil der AGB und gilt für jedes Unternehmen, das der Kunde in seinem rechnungio-Konto anlegt.

1. Der Anbieter stellt dem Kunden die Software rechnungio bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag des Kunden im Sinne von Art. 28 DSGVO.
2. Der Vertrag gilt, solange der Vertrag über die Nutzung von rechnungio besteht, und darüber hinaus, bis die Daten nach § 8 gelöscht oder zurückgegeben sind.

1. Der Anbieter speichert, ordnet, zeigt an, übermittelt (etwa beim E-Mail-Versand von Rechnungen), wertet aus (etwa bei der Belegerkennung oder der Zuordnung von Zahlungen) und löscht Daten, um dem Kunden die Funktionen von rechnungio bereitzustellen.
2. Verarbeitet werden:
   • Kontakt- und Stammdaten von Kunden, Lieferanten und Ansprechpartnern des Kunden, etwa Name, Anschrift, E-Mail, Telefon, USt-IdNr. und Bankverbindung
   • Inhalte von Rechnungen, Angeboten, Mahnungen und Belegen
   • Bankumsätze, die der Kunde importiert
   • Daten von Beschäftigten des Kunden im HR-Modul: Stammdaten, Arbeitszeiten, Urlaub und Krankheitstage
   • Nutzungsdaten der Personen, die der Kunde in sein Konto einlädt
3. Krankheitstage sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Ob der Kunde solche Daten in rechnungio erfasst, entscheidet er eigenverantwortlich. Hierfür benötigt er eine Rechtsgrundlage nach Art. 6 DSGVO sowie, soweit es sich um besondere Kategorien personenbezogener Daten handelt, eine zulässige Ausnahme nach Art. 9 Abs. 2 DSGVO. Bei Beschäftigtendaten kann insbesondere Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit den anwendbaren Vorschriften des Arbeits- und Sozialrechts einschlägig sein. Ob die Voraussetzungen im Einzelfall erfüllt sind, prüft der Kunde.
4. Betroffen sind Kunden, Interessenten, Lieferanten, Ansprechpartner und Beschäftigte des Kunden sowie die von ihm eingeladenen Nutzer.
5. Die Verarbeitung findet grundsätzlich auf den Servern des Anbieters in Deutschland statt. Ausgenommen sind die Unterauftragsverarbeiter in Anlage 2, die Daten auch in der EU oder den USA verarbeiten; dafür gelten die Art. 44 ff. DSGVO, insbesondere die EU-Standardvertragsklauseln und das EU-US Data Privacy Framework.

1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet. Dann teilt er dem Kunden diese Pflicht vorher mit, soweit das Gesetz es erlaubt.
2. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Nutzung der Funktionen von rechnungio durch den Kunden. Weitere Weisungen erteilt der Kunde in Textform, etwa per E-Mail.
3. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin. Er darf sie aussetzen, bis der Kunde sie bestätigt oder ändert.

1. Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht bereits gesetzlich zur Verschwiegenheit verpflichtet sind.
2. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
3. Er unterstützt den Kunden bei der Erfüllung der Rechte betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei Meldungen von Datenschutzverletzungen (Art. 32 bis 36 DSGVO).
4. Er meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden, nachdem sie ihm bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.
5. Er verarbeitet die Daten nur, um rechnungio bereitzustellen, abzusichern, Fehler zu beheben und den Kunden zu unterstützen.
6. Ansprechpartner für den Datenschutz ist Albert Qerimi, support@rechnungio.de.

1. Der Kunde ist damit einverstanden, dass der Anbieter die in Anlage 2 genannten Unterauftragsverarbeiter einsetzt.
2. Bevor der Anbieter einen Unterauftragsverarbeiter hinzufügt oder ersetzt, informiert er den Kunden mindestens 4 Wochen vorher per E-Mail. Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann der Anbieter die Änderung dann nicht vermeiden, kann der Kunde den Vertrag zum Zeitpunkt der Änderung kündigen.
3. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag stehen.

Der Anbieter unterstützt den Kunden mit den Funktionen von rechnungio – etwa Bearbeiten, Löschen und Exportieren von Daten – dabei, Anfragen betroffener Personen zu beantworten. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter.

1. Der Anbieter weist die Einhaltung seiner Pflichten auf Anfrage nach, in erster Linie durch aktuelle Unterlagen, etwa diesen Vertrag, die Beschreibung der Maßnahmen in Anlage 1 und Zertifikate seiner Unterauftragsverarbeiter.
2. Reicht das nicht aus, kann der Kunde nach rechtzeitiger Anmeldung, in der Regel mindestens 4 Wochen vorher, eine Kontrolle während der üblichen Geschäftszeiten durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Die Kontrolle darf den Betrieb nicht unverhältnismäßig stören. Den Aufwand trägt der Kunde, es sei denn, die Kontrolle ergibt einen erheblichen Verstoß des Anbieters.

1. Nach Vertragsende kann der Kunde seine Daten über die Exportfunktion herunterladen. Der Anbieter löscht die im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen nach Vertragsende, auf Wunsch des Kunden auch früher, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Soweit solche Pflichten bestehen, werden die betreffenden Daten nach Maßgabe der gesetzlichen Vorgaben aufbewahrt und nicht für andere Zwecke verarbeitet.
2. Daten in Sicherungskopien werden im Rahmen des regulären Sicherungszyklus überschrieben, spätestens fünf Wochen nach der Löschung im laufenden System.

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.

1. Bei Widersprüchen gehen die Regelungen dieses Vertrags zum Datenschutz den AGB vor.
2. Für diesen Vertrag genügt die Textform. Er wird mit der Annahme der AGB bei der Registrierung geschlossen.
3. Es gilt das Recht der Bundesrepublik Deutschland.

• Zutritt: Die Server stehen in einem Rechenzentrum der Hetzner Online GmbH in Nürnberg, das nach ISO/IEC 27001 zertifiziert ist. Zutritt haben nur berechtigte Personen des Rechenzentrums.
• Zugang: Anmeldung nur mit persönlichem Passwort (mindestens 8 Zeichen, mit Groß- und Kleinbuchstaben und einer Zahl). Passwörter werden nur als Hash gespeichert. Angemeldet wird über kurzlebige Zugangsschlüssel (15 Minuten) in Cookies, die für Skripte nicht lesbar sind. Der Schlüssel, der die Anmeldung verlängert (7 Tage), wird bei jeder Nutzung ersetzt und beim Abmelden ungültig. Beide Cookies werden nur über verschlüsselte Verbindungen gesendet. Administrativen Zugang zum Server hat nur der Anbieter.
• Zugriff: Rollen im Konto (Inhaber, Admin, Mitarbeiter) legen fest, wer was sehen und ändern darf.
• Trennung: Die Daten jedes Unternehmens sind logisch getrennt; jede Datenbankabfrage ist auf das jeweilige Unternehmen beschränkt.
• Weitergabe: Alle Verbindungen zu rechnungio sind per TLS verschlüsselt. E-Mails werden über Resend mit Transportverschlüsselung versandt, soweit der empfangende Server sie unterstützt.
• Eingabe: Wichtige Aktionen, insbesondere Änderungen an Rechnungen, werden mit Zeitpunkt und Nutzer protokolliert; das Protokoll kann nicht verändert oder gelöscht werden. Ausgestellte Rechnungen sind in der Datenbank gegen Änderungen gesperrt.
• Verfügbarkeit: Jede Nacht werden die Datenbank und die gespeicherten Dateien gesichert und auf Vollständigkeit geprüft; aufbewahrt werden die Sicherungen der letzten 7 Tage und der letzten 4 Wochen. Zusätzlich wird vor jeder Aktualisierung der Software eine Sicherung erstellt und höchstens 30 Tage aufbewahrt.
• Überprüfung: Der Anbieter überprüft diese Maßnahmen regelmäßig und passt sie dem Stand der Technik an.