nach Art. 28 DSGVO — Version 2026-07-24
Dieser Vertrag gilt zwischen dir als Nutzer von Rechnungshafen ("Verantwortlicher") und Abdulkerim Kurt, Eisenbahnstr. 8, 74343 Sachsenheim ("Auftragsverarbeiter"), sofern du über Rechnungshafen personenbezogene Daten deiner eigenen Kunden verarbeitest. Er ergänzt die AGB. Der Vertrag wird mit deiner ausdrücklichen Zustimmung bei der Registrierung wirksam (siehe Registrierungs-Checkbox); die eigentliche Auftragsverarbeitung beginnt mit der ersten Eingabe personenbezogener Daten Dritter in das Rechnungsformular.
Gegenstand ist die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen im Rahmen der Nutzung von Rechnungshafen zur Erstellung von Rechnungen und E-Rechnungen. Die Dauer entspricht der Laufzeit des Hauptnutzungsverhältnisses (Konto bei Rechnungshafen).
Speicherung und Verarbeitung von Rechnungsdaten, die der Verantwortliche über das Formular eingibt, zum Zweck der Erstellung, Speicherung und erneuten Bereitstellung von Rechnungen (PDF sowie optional XRechnung/ZUGFeRD).
Stamm-, Kontakt-, Adress-, Vertrags-, Leistungs-, Rechnungs-, Steuer- und Zahlungsdaten der Rechnungsempfänger (Kunden des Verantwortlichen), soweit vom Verantwortlichen selbst in das Rechnungsformular eingegeben -- z.B. Name, Anschrift, Ansprechpartner, Leistungsbeschreibung, Rechnungsbeträge, Steuersätze, IBAN. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (z.B. Gesundheitsdaten, religiöse Überzeugungen) sind nicht Gegenstand der Verarbeitung und dürfen vom Verantwortlichen nicht in den Dienst eingegeben werden.
Kunden bzw. Rechnungsempfänger des Verantwortlichen sowie ggf. deren Ansprechpartner.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (die Nutzung der Standardfunktionen von Rechnungshafen gilt als generelle Weisung). Hält der Auftragsverarbeiter eine Weisung für einen Verstoß gegen die DSGVO oder andere Datenschutzvorschriften, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.
Er gewährleistet, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind, und trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO).
Erhält der Auftragsverarbeiter eine Anfrage einer Aufsichts- oder Strafverfolgungsbehörde bezüglich der im Auftrag verarbeiteten Daten, informiert er den Verantwortlichen unverzüglich, soweit ihm dies rechtlich nicht untersagt ist.
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen und Zumutbaren bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung), bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO sowie bei der Erstellung von Datenschutz-Folgenabschätzungen, sofern die Verarbeitung über Rechnungshafen dafür relevant ist. Der Verantwortliche kann viele dieser Rechte direkt selbst über sein Konto ausüben (Datenexport, Kundenlöschung, Kontolöschung).
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu, die im Auftrag des Verantwortlichen dessen Rechnungs- und Kundendaten verarbeiten:
| Anbieter | Zweck | Datenkategorien | Standort / Drittlandgrundlage |
|---|---|---|---|
| Render Services, Inc. | Hosting der Anwendung und der Datenbank, in der Rechnungs- und Kundendaten gespeichert sind | Alle in Abschnitt 3 genannten Datenkategorien | Server in Frankfurt (DE); Unternehmen mit Sitz in den USA, EU-Standardvertragsklauseln |
| Cloudflare, Inc. | Netzwerk-/DDoS-Schutz auf Infrastrukturebene (technische Durchleitung, keine inhaltliche Auswertung) | Technische Verbindungsdaten, ggf. verschlüsselter Datenverkehr im Transit | USA, EU-Standardvertragsklauseln |
Hinweis: Stripe (Zahlungsabwicklung des Pro-Abos), Google (Login) und Zoho (geschäftliche Kontakt-E-Mail) verarbeiten Daten im Rahmen unseres eigenen Vertragsverhältnisses mit dir als Nutzer von Rechnungshafen -- nicht als Unterauftragsverarbeiter der Rechnungs- und Kundendaten deiner eigenen Kunden. Details dazu stehen in der Datenschutzerklärung.
Die Beauftragung weiterer oder der Wechsel bestehender Unterauftragsverarbeiter im Sinne dieses Abschnitts wird dem Verantwortlichen vorab per E-Mail an die im Konto hinterlegte Adresse angekündigt. Widerspricht der Verantwortliche nicht innerhalb von 14 Tagen, gilt dies als Zustimmung. Der Auftragsverarbeiter verpflichtet eingesetzte Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die denen dieses Vertrags gleichwertig sind.
Der Verantwortliche hat das Recht, sich von der Einhaltung der in Anlage 1 genannten Maßnahmen zu überzeugen, z.B. durch Anforderung entsprechender Nachweise oder Auskünfte beim Auftragsverarbeiter. Vor-Ort-Prüfungen sind mit angemessener Frist (mind. 14 Tage) anzukündigen; der Auftragsverarbeiter kann stattdessen zunächst eine dokumenten- oder auskunftsbasierte Prüfung anbieten. Die Kosten einer Vor-Ort-Prüfung trägt der Verantwortliche, sofern kein konkreter Anlass (z.B. ein gemeldeter Sicherheitsvorfall) vorliegt.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, über Verletzungen des Schutzes personenbezogener Daten, die die vom Verantwortlichen über Rechnungshafen verarbeiteten Daten betreffen könnten, und unterstützt ihn bei einer eventuellen Meldepflicht nach Art. 33/34 DSGVO.
Nach Beendigung des Hauptnutzungsverhältnisses kann der Verantwortliche seine Daten über die Export-Funktion ("Mein Konto") vollständig als ZIP herunterladen. Mit der Löschung des Kontos werden alle verarbeiteten Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (siehe Datenschutzerklärung).
Es gelten die Haftungsregelungen aus den AGB, soweit dieser Vertrag keine abweichenden Regelungen trifft.
Es gilt deutsches Recht. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser AV-Vertrag hinsichtlich datenschutzrechtlicher Fragen vor.
Ausführliche, laufend aktualisierte Beschreibung siehe Sicherheitsseite. Diese Anlage listet ausschließlich tatsächlich umgesetzte Maßnahmen; bekannte Lücken sind als solche gekennzeichnet.
Umgesetzt:
Noch nicht formalisiert (bekannte Lücken):