Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

1. Gegenstand und Grundlage

Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die Pflichten der Parteien aus Art. 28 DSGVO. Er gilt für die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter (FHC+P GmbH, Würmstraße 55, 82166 Gräfelfing) im Auftrag des Verantwortlichen (Kunde/Nutzer des Dienstes „ZUGFeRD-API") im Rahmen der Nutzung des Dienstes durchführt.

2. Gegenstand, Art, Zweck und Dauer

Gegenstand/Zweck: Erzeugung, Prüfung und Verwaltung elektronischer Rechnungen (ZUGFeRD/Factur-X nach EN 16931) sowie zugehörige Konto-, Kunden- und Rechnungsverwaltung. Art: Erheben, Speichern, Verändern, Auslesen, Übermitteln (PDF/XML), Löschen. Dauer: für die Laufzeit des Nutzungsverhältnisses; danach gemäß Ziffer 7.

3. Art der Daten und Kategorien betroffener Personen

Datenarten: Stammdaten (Firma/Name, Anschrift, USt-IdNr./Steuernummer, Kontaktdaten), Rechnungs-/Zahlungsdaten (Beträge, IBAN/BIC, Positionen), Konto-/Zugangsdaten des Nutzers. Betroffene: Beschäftigte und Ansprechpartner des Verantwortlichen, dessen Kunden/Rechnungsempfänger und Lieferanten.

4. Weisungsbindung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (einschließlich der über die Anwendung getätigten Eingaben), es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen. Weisungen können schriftlich, in Textform oder durch dokumentierte Konfigurationen in der Anwendung erteilt werden. Der Auftragsverarbeiter archiviert alle Weisungen für die Dauer des Vertragsverhältnisses und macht sie dem Verantwortlichen auf Anfrage zugänglich.

5. Vertraulichkeit

Zur Verarbeitung eingesetzte Personen sind auf Vertraulichkeit verpflichtet und entsprechend unterwiesen (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO).

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Transportverschlüsselung: TLS/HTTPS für alle Verbindungen; HSTS.
• Speicherverschlüsselung: besonders sensible gespeicherte Werte (u. a. OAuth-Zugangstoken, Zwei-Faktor-Geheimnisse) werden durch authentifizierte Verschlüsselung (libsodium/XSalsa20-Poly1305) geschützt; Offsite-Datensicherungen sind zusätzlich AES-256-verschlüsselt.
• Zugangs-/Zugriffskontrolle: persönliche Konten, Passwort-Hashing, Rollen-/Admintrennung, automatische IP-Sperren bei Missbrauch (Firewall).
• Zutrittskontrolle Rechenzentrum: physische Zutrittskontrollen durch den Hosting-Dienstleister (Hostinger, Rechenzentrum Deutschland).
• Mandantentrennung: kontobezogene Datentrennung; Kundendaten sind je Konto isoliert.
• Verfügbarkeit/Wiederherstellbarkeit: tägliche, integritätsgeprüfte Backups mit periodisch getestetem Wiederherstellungsverfahren sowie automatisierter Überwachung des Sicherungsstatus (Alarmierung bei Ausfall).
• Protokollierung: sicherheitsrelevante Ereignisse; Fehler-/Zugriffslogs.
• Datenminimierung: es werden keine besonderen Kategorien (Art. 9 DSGVO) erhoben.

7. Löschung und Rückgabe

Nach Abschluss der Leistung löscht der Auftragsverarbeiter die Daten oder gibt sie zurück (Wahl des Verantwortlichen), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Export von Rechnungen (PDF/XML) ist jederzeit möglich.

8. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter. Ein Wechsel eines Unterauftragsverarbeiters wird dem Verantwortlichen mindestens 30 Tage vor dem geplanten Wechsel mitgeteilt. Der Verantwortliche kann den Wechsel innerhalb von 14 Tagen nach Mitteilung in Textform ablehnen, wenn Tatsachen die Annahme rechtfertigen, dass der neue Unterauftragsverarbeiter nicht die in Art. 28 DSGVO geforderten Voraussetzungen erfüllt.

Sämtliche vorstehenden Unterauftragsverarbeiter verarbeiten die Daten innerhalb der EU; eine Übermittlung in ein Drittland findet nicht statt. Sollte künftig ein Unterauftragsverarbeiter in einem Drittstaat eingesetzt werden, werden hierfür die von der Europäischen Kommission erlassenen Standardvertragsklauseln vereinbart und vor der erstmaligen Übermittlung ein Transfer Impact Assessment nebst erforderlichen ergänzenden technischen und organisatorischen Maßnahmen durchgeführt; die Ergebnisse werden dem Verantwortlichen auf Anfrage zur Verfügung gestellt.

9. Unterstützung, Betroffenenrechte, Datenpannen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12 bis 23) sowie bei Pflichten nach Art. 32 bis 36. Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zur Einhaltung erforderlichen Informationen bereit und ermöglicht angemessene Überprüfungen (Art. 28 Abs. 3 lit. h).

11. Schlussbestimmungen

Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.