Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO · Fassung vom 1. Oktober 2026
1. Parteien
Verantwortlicher ist der Kunde, der ein Konto auf zugrechnung.de nutzt.
Auftragsverarbeiter ist Claas-Tim Weber, Am Köppenberg 2, 23899 Gudow (nachfolgend „Auftragnehmer“).
Dieser Vertrag wird mit der Registrierung Bestandteil des Nutzungsverhältnisses und gilt für die gesamte Dauer der Nutzung.
2. Gegenstand und Dauer
Gegenstand ist die Umwandlung von Rechnungen des Verantwortlichen in elektronische Rechnungen nach EN 16931 – wahlweise im Format ZUGFeRD/Factur-X oder XRechnung – sowie deren technische Prüfung. Die Verarbeitung erfolgt ausschließlich zu diesem Zweck.
Die Übermittlung der erzeugten Rechnungen an Rechnungsempfänger oder deren Rechnungsportale gehört nicht zum Auftrag; sie nimmt der Verantwortliche selbst vor.
Die Dauer entspricht der Laufzeit des Nutzungsverhältnisses.
3. Art der Daten und betroffene Personen
| Datenarten | Rechnungsdaten einschließlich Name, Anschrift, elektronischer Adresse (E-Mail) und Ansprechpartner des Rechnungsempfängers, Käuferreferenz bzw. Leitweg-ID, Leistungsbeschreibungen, Beträge, Steuerangaben, Bankverbindungen, Name, Telefonnummer und E-Mail-Adresse des Ansprechpartners beim Verantwortlichen sowie sonstige Angaben, die der Verantwortliche in die hochgeladene Datei oder das Formular aufnimmt |
|---|---|
| Betroffene Personen | Kunden und Ansprechpartner des Verantwortlichen sowie dessen Beschäftigte, insbesondere soweit sie auf der Rechnung als Ansprechpartner genannt sind |
Der Verantwortliche entscheidet allein darüber, welche Daten er hochlädt. Er ist gehalten, nicht benötigte personenbezogene Angaben vorher zu entfernen.
4. Weisungsrecht
Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Anwendung selbst – also das Hochladen einer Datei, die Wahl des Ausgabeformats und das Auslösen der Umwandlung – gilt als Weisung. Weitergehende Weisungen sind in Textform an info@weber-websites.de zu richten.
Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er darauf hin und darf ihre Ausführung aussetzen.
5. Ort der Verarbeitung
Die Verarbeitung findet ausschließlich auf Servern in Deutschland statt. Eine Verarbeitung in einem Drittland außerhalb der EU beziehungsweise des EWR erfolgt nicht.
6. Löschung
Hochgeladene Rechnungen und die daraus gewonnenen Daten werden ausschließlich im Arbeitsspeicher verarbeitet und unmittelbar nach Abschluss der Umwandlung gelöscht – auch dann, wenn die Verarbeitung fehlschlägt. Eine dauerhafte Speicherung findet nicht statt, es gibt keine Sicherungskopien von Rechnungsinhalten.
Kontodaten werden nach Beendigung des Nutzungsverhältnisses gelöscht, spätestens sechs Monate nach der letzten Nutzung.
7. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft insbesondere folgende Maßnahmen nach Art. 32 DSGVO:
- Übertragung: ausschließlich verschlüsselt über HTTPS (TLS 1.2/1.3)
- Verarbeitung: Rechnungsdaten werden nur im Arbeitsspeicher gehalten, nicht auf Datenträgern abgelegt
- Zugangskontrolle: Anmeldung mit Passwort, Speicherung ausschließlich als scrypt-Hash mit Zufallssalz, Sperre nach wiederholten Fehlversuchen
- Trennung: jedes Konto sieht ausschließlich eigene Daten; die Zuordnung erfolgt über ein signiertes Sitzungsmerkmal, nicht über Angaben aus der Anfrage
- Zugriffskontrolle: administrativer Zugriff auf den Server ausschließlich durch den Auftragnehmer, verschlüsselt über SSH
- Ablage: die Kontendatenbank liegt außerhalb des über das Internet erreichbaren Verzeichnisses
- Protokollierung: Zugriffsprotokolle ohne Rechnungsinhalte, Löschung nach sieben Tagen
- Integrität: jede erzeugte Rechnung wird vor Auslieferung technisch geprüft, XRechnungen zusätzlich mit dem quelloffenen Prüfwerkzeug der KoSIT, das ebenfalls auf dem Server des Auftragnehmers läuft; Beträge werden gegen die Ausgangsdatei abgeglichen
Die Maßnahmen unterliegen der technischen Weiterentwicklung. Der Auftragnehmer darf sie anpassen, solange das Schutzniveau nicht unterschritten wird.
8. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort |
|---|---|---|
| netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe | Serverbetrieb und E-Mail-Versand | Deutschland |
Nicht Unterauftragsverarbeiter im Sinne dieses Vertrags ist der Zahlungsdienstleister Stripe. Er verarbeitet ausschließlich die Vertrags- und Zahlungsdaten des Verantwortlichen selbst – für diese ist der Auftragnehmer eigener Verantwortlicher, nicht Auftragsverarbeiter. Rechnungsinhalte, die der Verantwortliche zur Umwandlung hochlädt, gelangen zu keinem Zeitpunkt an Stripe. Einzelheiten stehen in der Datenschutzerklärung, Abschnitt 4.6.
Ebenfalls kein Unterauftragsverarbeiter ist die Koordinierungsstelle für IT-Standards (KoSIT). Ihr Prüfwerkzeug ist eine Software, die der Auftragnehmer selbst auf seinem Server betreibt; an die KoSIT werden keine Daten übermittelt.
Weitere Unterauftragsverarbeiter teilt der Auftragnehmer mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann binnen zwei Wochen widersprechen; in diesem Fall kann jede Seite den Vertrag zum geplanten Wirksamkeitsdatum kündigen.
9. Vertraulichkeit
Der Auftragnehmer verarbeitet die Daten persönlich. Weitere Personen werden nicht eingesetzt. Der Auftragnehmer ist zur Vertraulichkeit verpflichtet; diese Pflicht besteht nach Vertragsende fort.
10. Unterstützung des Verantwortlichen
Der Auftragnehmer unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen, soweit dies mit den ihm zur Verfügung stehenden Informationen möglich ist.
Da Rechnungsinhalte nicht gespeichert werden, kann der Auftragnehmer zu einzelnen Verarbeitungsvorgängen nachträglich keine Auskunft erteilen. Auskünfte über gespeicherte Kontodaten erteilt er unverzüglich.
11. Meldung von Verletzungen
Der Auftragnehmer meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform.
12. Nachweise und Kontrolle
Der Auftragnehmer weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in Textform nach. Der Verantwortliche kann nach vorheriger Anmeldung mit angemessener Frist Kontrollen durchführen, soweit dies erforderlich ist und der Betriebsablauf nicht unangemessen beeinträchtigt wird.
13. Schlussbestimmungen
Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen geht dieser Vertrag vor, soweit es die Verarbeitung personenbezogener Daten betrifft. Änderungen bedürfen der Textform.