Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO · XRIO

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der Software XRIO (Erstellung und Umwandlung von Rechnungen in valide E-Rechnungsformate, ZUGFeRD/XRechnung).

Verantwortlicher (Auftraggeber): der Kunde / Nutzer eines kostenpflichtigen XRIO-Arbeitsbereichs (Unternehmer i. S. d. § 14 BGB).
Auftragsverarbeiter (Auftragnehmer): Nicolas Goldstrass (Einzelunternehmen), Wackersbergerstr. 33, 81371 München, Deutschland, USt-IdNr. DE328430647.

Abschluss per Click-Wrap bei der Anmeldung (Checkbox „Auftragsverarbeitungsvertrag akzeptieren" gilt als Unterzeichnung; Art. 28 Abs. 9 DSGVO lässt das elektronische Format zu). Für die anonyme Nutzung gibt es keinen AVV, sondern eine vorgeschaltete Einwilligungs-/Hinweis-Checkbox.

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Erbringung der XRIO-Leistungen gemäß Hauptvertrag (Nutzungs-/Abovertrag).
2. Die Dauer entspricht der Laufzeit des Hauptvertrags; eine vorzeitige Kündigung richtet sich nach dem Hauptvertrag.

§ 2 Art, Umfang, Zweck; Datenarten; Betroffene

1. Art und Zweck: Verarbeitung hochgeladener Rechnungsdokumente zur automatisierten Datenextraktion (LLM-gestützt), Validierung, Umwandlung in ZUGFeRD/XRechnung sowie optionale Archivierung — ausschließlich zur Leistungserbringung und nach Weisung.
2. Datenkategorien: Namen/Anschriften von Rechnungsstellern/-empfängern und Kontaktpersonen; USt-IdNr./Steuernummern; Bankverbindungen (IBAN/BIC); Rechnungs-/Positions-/Betragsdaten, Leistungsbeschreibungen; ggf. E-Mail-Adressen, Telefonnummern, Kunden-/Bestellnummern.
3. Betroffene: Kunden, Geschäftspartner und Beschäftigte des Verantwortlichen, soweit sie in den Rechnungen erscheinen.
4. Besondere Datenkategorien (Art. 9 DSGVO) sind nicht Gegenstand und vom Verantwortlichen nicht einzubringen.

§ 3 Weisungsrecht

1. Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung.
2. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
3. Die Nutzung der Software gemäß ihrer Funktion gilt als Weisung; ergänzende Weisungen erfolgen in Textform.

§ 4 Pflichten des Auftragnehmers

1. Vertraulichkeit aller mit der Verarbeitung befassten Personen (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO).
2. Datensicherheit nach Art. 32 DSGVO (Anlage 1).
3. Unterstützung des Verantwortlichen bei dessen Pflichten nach Art. 32–36 DSGVO im Rahmen des Zumutbaren.
4. Keine Zweckentfremdung; insbesondere kein Training von KI-Modellen mit Inhalten des Verantwortlichen (vertraglich auch gegenüber dem Unterauftragnehmer Google über die Bedingungen der kostenpflichtigen Gemini API abgesichert, Anlage 2).

§ 5 Technisch-organisatorische Maßnahmen

Die Maßnahmen ergeben sich aus Anlage 1; der Auftragnehmer darf sie fortentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt allgemein den Einsatz der in Anlage 2 genannten Unterauftragnehmer (Art. 28 Abs. 2 S. 1 DSGVO).
2. Bei Wechsel/Hinzunahme informiert der Auftragnehmer mit angemessener Frist (z. B. 30 Tage) vorab; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
3. Jeder Unterauftragnehmer wird auf gleichwertige Datenschutzpflichten verpflichtet (Art. 28 Abs. 4 DSGVO).
4. Drittlandtransfer wird über SCC und — soweit einschlägig — das EU-US Data Privacy Framework abgesichert (§ 11, Anlage 2).

§ 7 Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23, 28 Abs. 3 lit. e DSGVO) und leitet direkt an ihn gerichtete Anfragen unverzüglich weiter.

§ 8 Meldung von Datenschutzverletzungen

Meldung unverzüglich nach Bekanntwerden und Unterstützung bei Meldepflichten nach Art. 33, 34 DSGVO.

§ 9 Kontrollrechte / Nachweise

1. Nachweis vorrangig durch aktuelle Zertifikate/Berichte (z. B. ISO 27001 der Unterauftragnehmer) und die Dokumentation nach Anlage 1/2.
2. Vor-Ort-Kontrollen sind mit angemessener Vorankündigung und ohne Betriebsstörung zulässig.

§ 10 Löschung und Rückgabe nach Vertragsende

1. Nach Beendigung löscht oder gibt der Auftragnehmer alle personenbezogenen Daten nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
2. Im Anonym-Modus werden hochgeladene Quelldokumente automatisiert nach 30 Minuten serverseitig gelöscht.

§ 11 Verarbeitung in Drittländern

1. Eine Übermittlung in die USA findet im Rahmen der LLM-Extraktion (Google Gemini API) statt.
2. Rechtsgrundlage: Art. 46 DSGVO über die EU-Standardvertragsklauseln zzgl. ergänzender Garantien; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Auf paid-tier-Ebene erfolgt keine Nutzung der Daten zu Trainings- oder Produktverbesserungszwecken (Google Gemini API Terms, „Paid Services").
3. Optional kann Zero Data Retention (ZDR) der Gemini API aktiviert werden.

§ 12 Haftung

Es gilt die Haftungsregelung des Hauptvertrags; Art. 82 DSGVO bleibt unberührt.

§ 13 Schlussbestimmungen

1. Bei Widerspruch geht dieser AVV dem Hauptvertrag in Datenschutzfragen vor.
2. Änderungen bedürfen der Textform (Art. 28 Abs. 9 DSGVO; elektronisches Format genügt).
3. Es gilt deutsches Recht.
4. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 — Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

• Vertraulichkeit: Zutritts-, Zugangs-, Zugriffskontrolle; Rollen-/Rechtekonzept; least-privilege DB-Rollen; Mandanten-(workspace-)Trennung.
• Integrität: Transportverschlüsselung (TLS), Eingabe-/Weitergabekontrolle, Audit-/Trace-Logging (content-frei, ohne PII).
• Verfügbarkeit/Belastbarkeit: Backups, Wiederherstellbarkeit, Monitoring.
• Regelmäßige Überprüfung: Patch-Management, Penetrationstests/Reviews, Incident-Prozess.
• Datenminimierung: Anonym-Modus löscht Quelldateien nach 30 Min; Logs ohne Rechnungsinhalte (redact-Allowlist).

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Google und Hetzner verarbeiten die eingebrachten Rechnungsdaten (Kern dieses AVV). Stripe verarbeitet die Zahlungsbeziehung zwischen Anbieter und Kunde (separates Verarbeitungsverhältnis) und berührt die hochgeladenen Rechnungsinhalte nicht — zur Transparenz dennoch aufgeführt.