Rechnungshafen
← Zurück

Vertrag zur Auftragsverarbeitung (AV-Vertrag)

nach Art. 28 DSGVO — Version 2026-07-24

Dieser Vertrag gilt zwischen dir als Nutzer von Rechnungshafen ("Verantwortlicher") und Abdulkerim Kurt, Eisenbahnstr. 8, 74343 Sachsenheim ("Auftragsverarbeiter"), sofern du über Rechnungshafen personenbezogene Daten deiner eigenen Kunden verarbeitest. Er ergänzt die AGB. Der Vertrag wird mit deiner ausdrücklichen Zustimmung bei der Registrierung wirksam (siehe Registrierungs-Checkbox); die eigentliche Auftragsverarbeitung beginnt mit der ersten Eingabe personenbezogener Daten Dritter in das Rechnungsformular.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen im Rahmen der Nutzung von Rechnungshafen zur Erstellung von Rechnungen und E-Rechnungen. Die Dauer entspricht der Laufzeit des Hauptnutzungsverhältnisses (Konto bei Rechnungshafen).

2. Art und Zweck der Verarbeitung

Speicherung und Verarbeitung von Rechnungsdaten, die der Verantwortliche über das Formular eingibt, zum Zweck der Erstellung, Speicherung und erneuten Bereitstellung von Rechnungen (PDF sowie optional XRechnung/ZUGFeRD).

3. Art der personenbezogenen Daten

Stamm-, Kontakt-, Adress-, Vertrags-, Leistungs-, Rechnungs-, Steuer- und Zahlungsdaten der Rechnungsempfänger (Kunden des Verantwortlichen), soweit vom Verantwortlichen selbst in das Rechnungsformular eingegeben -- z.B. Name, Anschrift, Ansprechpartner, Leistungsbeschreibung, Rechnungsbeträge, Steuersätze, IBAN. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (z.B. Gesundheitsdaten, religiöse Überzeugungen) sind nicht Gegenstand der Verarbeitung und dürfen vom Verantwortlichen nicht in den Dienst eingegeben werden.

4. Kategorien betroffener Personen

Kunden bzw. Rechnungsempfänger des Verantwortlichen sowie ggf. deren Ansprechpartner.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (die Nutzung der Standardfunktionen von Rechnungshafen gilt als generelle Weisung). Hält der Auftragsverarbeiter eine Weisung für einen Verstoß gegen die DSGVO oder andere Datenschutzvorschriften, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

Er gewährleistet, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind, und trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO).

6. Behördliche Anfragen

Erhält der Auftragsverarbeiter eine Anfrage einer Aufsichts- oder Strafverfolgungsbehörde bezüglich der im Auftrag verarbeiteten Daten, informiert er den Verantwortlichen unverzüglich, soweit ihm dies rechtlich nicht untersagt ist.

7. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen und Zumutbaren bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung), bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO sowie bei der Erstellung von Datenschutz-Folgenabschätzungen, sofern die Verarbeitung über Rechnungshafen dafür relevant ist. Der Verantwortliche kann viele dieser Rechte direkt selbst über sein Konto ausüben (Datenexport, Kundenlöschung, Kontolöschung).

8. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu, die im Auftrag des Verantwortlichen dessen Rechnungs- und Kundendaten verarbeiten:

AnbieterZweckDatenkategorienStandort / Drittlandgrundlage
Render Services, Inc. Hosting der Anwendung und der Datenbank, in der Rechnungs- und Kundendaten gespeichert sind Alle in Abschnitt 3 genannten Datenkategorien Server in Frankfurt (DE); Unternehmen mit Sitz in den USA, EU-Standardvertragsklauseln
Cloudflare, Inc. Netzwerk-/DDoS-Schutz auf Infrastrukturebene (technische Durchleitung, keine inhaltliche Auswertung) Technische Verbindungsdaten, ggf. verschlüsselter Datenverkehr im Transit USA, EU-Standardvertragsklauseln

Hinweis: Stripe (Zahlungsabwicklung des Pro-Abos), Google (Login) und Zoho (geschäftliche Kontakt-E-Mail) verarbeiten Daten im Rahmen unseres eigenen Vertragsverhältnisses mit dir als Nutzer von Rechnungshafen -- nicht als Unterauftragsverarbeiter der Rechnungs- und Kundendaten deiner eigenen Kunden. Details dazu stehen in der Datenschutzerklärung.

Die Beauftragung weiterer oder der Wechsel bestehender Unterauftragsverarbeiter im Sinne dieses Abschnitts wird dem Verantwortlichen vorab per E-Mail an die im Konto hinterlegte Adresse angekündigt. Widerspricht der Verantwortliche nicht innerhalb von 14 Tagen, gilt dies als Zustimmung. Der Auftragsverarbeiter verpflichtet eingesetzte Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die denen dieses Vertrags gleichwertig sind.

9. Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, sich von der Einhaltung der in Anlage 1 genannten Maßnahmen zu überzeugen, z.B. durch Anforderung entsprechender Nachweise oder Auskünfte beim Auftragsverarbeiter. Vor-Ort-Prüfungen sind mit angemessener Frist (mind. 14 Tage) anzukündigen; der Auftragsverarbeiter kann stattdessen zunächst eine dokumenten- oder auskunftsbasierte Prüfung anbieten. Die Kosten einer Vor-Ort-Prüfung trägt der Verantwortliche, sofern kein konkreter Anlass (z.B. ein gemeldeter Sicherheitsvorfall) vorliegt.

10. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, über Verletzungen des Schutzes personenbezogener Daten, die die vom Verantwortlichen über Rechnungshafen verarbeiteten Daten betreffen könnten, und unterstützt ihn bei einer eventuellen Meldepflicht nach Art. 33/34 DSGVO.

11. Löschung und Rückgabe von Daten

Nach Beendigung des Hauptnutzungsverhältnisses kann der Verantwortliche seine Daten über die Export-Funktion ("Mein Konto") vollständig als ZIP herunterladen. Mit der Löschung des Kontos werden alle verarbeiteten Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (siehe Datenschutzerklärung).

12. Haftung

Es gelten die Haftungsregelungen aus den AGB, soweit dieser Vertrag keine abweichenden Regelungen trifft.

13. Schlussbestimmungen

Es gilt deutsches Recht. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser AV-Vertrag hinsichtlich datenschutzrechtlicher Fragen vor.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Ausführliche, laufend aktualisierte Beschreibung siehe Sicherheitsseite. Diese Anlage listet ausschließlich tatsächlich umgesetzte Maßnahmen; bekannte Lücken sind als solche gekennzeichnet.

Umgesetzt:

  • Verschlüsselte Übertragung (TLS/HTTPS) für alle Verbindungen
  • Passwörter ausschließlich als Hash gespeichert (scrypt-Verfahren)
  • Serverseitig erzwungene Mandantentrennung -- jede Datenbankabfrage ist an die Nutzer-ID gebunden, kein Zugriff auf fremde Daten möglich
  • Ratenbegrenzung: Login max. 15/Std., Registrierung max. 10/Std., Passwort-Reset max. 5/Std. pro IP-Adresse
  • Kontosperrung für 15 Minuten nach 5 fehlgeschlagenen Login-Versuchen
  • Serverstandort Frankfurt am Main (Deutschland/EU)
  • Automatisierte Datenbank-Backups gemäß Render Starter-Tarif (Details siehe Render-Dokumentation)
  • Secrets (API-Schlüssel, Passwörter) ausschließlich über Umgebungsvariablen, nicht im Quellcode
  • Selbstbedienungs-Löschung und -Export für Nutzerdaten, ohne Rückfrage beim Anbieter

Noch nicht formalisiert (bekannte Lücken):

  • Keine dokumentierte, regelmäßige Restore-Test-Routine für Backups
  • Keine erzwungene Zwei-Faktor-Authentifizierung für administrative Zugänge (Render, Stripe, Domain)
  • Kein fest getrenntes Entwicklungs-/Staging-System -- Entwicklung und Produktion laufen aktuell im selben Projekt
  • Kein formalisierter, terminierter Patch-Management-Zyklus für Abhängigkeiten

Wir würden gerne Google Ads Conversion-Tracking nutzen, um zu messen, ob unsere Anzeigen funktionieren. Das setzt Marketing-Cookies. Die Website funktioniert unabhängig von deiner Wahl genauso gut.

Mehr erfahren