Vertrag zur Auftragsverarbeitung (AVV)

Präambel

Diese Vereinbarung über Auftragsverarbeitung im Sinne von Art. 28 Abs. 3 der Datenschutz-Grundverordnung (nachfolgend: Vereinbarung) schließen die zu Beginn dieses Dokuments bezeichneten Vertragsparteien: der Kunde als Auftraggeber und der Betreiber von invowerk als Auftragnehmer. Sie ist eine Anlage zu den Nutzungsbedingungen von invowerk (https://invowerk.dev/terms, nachfolgend: Hauptvertrag).

Die Vereinbarung ergänzt und konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus der im Hauptvertrag und in Anlage 1 beschriebenen Auftragsverarbeitung gemäß den Vorgaben der europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG – DS-GVO) und des Bundesdatenschutzgesetzes (BDSG) ergeben. Sie findet Anwendung auf alle Tätigkeiten, die der Erfüllung des Hauptvertrags im Auftrag des Auftraggebers dienen und bei denen personenbezogene Daten (»Daten«) des Auftraggebers durch Beschäftigte des Auftragnehmers oder durch vom Auftragnehmer Beauftragte und deren Beschäftigte verarbeitet werden.

§ 1 Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung

(1) Aus Anlage 1 dieser Vereinbarung und dem Hauptvertrag ergeben sich Gegenstand des Auftrags sowie Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen.

(2) Die Laufzeit dieser Vereinbarung richtet sich grundsätzlich nach der Laufzeit des Hauptvertrags, sofern sich aus dieser Vereinbarung keine abweichenden Verpflichtungen ergeben.

§ 2 Anwendungsbereich und Verantwortlichkeit

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag und nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor Beginn der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Dies umfasst Tätigkeiten, die im Hauptvertrag und in Anlage 1 konkretisiert sind.

Der Auftraggeber und der Auftragnehmer sind jeweils selbst für die Einhaltung des geltenden Datenschutzrechts verantwortlich.

Der Auftraggeber bleibt für die Beurteilung der Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Beurteilung der Rechtmäßigkeit der Datenverarbeitung allein verantwortlich (»Verantwortlicher« im Sinne des Art. 4 Nr. 7 DS-GVO).

(2) Die Weisungen werden durch den Hauptvertrag, diese Vereinbarung und die Auswahl der jeweiligen Funktion durch den Auftraggeber bei der Nutzung von invowerk (Web-Tool, REST-API, MCP-Server) festgelegt und können vom Auftraggeber danach schriftlich oder in Textform (z. B. E-Mail) an den vom Auftragnehmer bezeichneten Kontakt (§ 3 Abs. 7) durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung).

Weisungen, die im Hauptvertrag nicht vorgesehen sind, werden als Antrag auf Leistungsänderung behandelt. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform vom Auftraggeber zu bestätigen.

§ 3 Pflichten des Auftragnehmers

(1) Der Auftragnehmer darf personenbezogene Daten, die Gegenstand des Auftrags sind, nur im Rahmen des Auftrages und der Weisungen des Auftraggebers verarbeiten, außer es liegt ein Ausnahmefall im Sinne des Art. 28 Abs. 3 Satz 2 lit. a DS-GVO vor und dessen Voraussetzungen werden gewahrt.

(2) Der Auftragnehmer wird den Auftraggeber informieren, wenn nach seiner Auffassung eine Weisung des Auftraggebers gegen die DS-GVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Der Auftragnehmer darf die Umsetzung der Weisung so lange aussetzen, bis sie vom Auftraggeber bestätigt oder abgeändert wurde. Der Auftragnehmer ist indessen nicht verpflichtet, eine umfassende rechtliche Prüfung durchzuführen. Der Auftraggeber trägt alle Mehrkosten, die dem Auftragnehmer durch eine zusätzliche oder abweichende Weisung entstehen, es sei denn, die Weisung ist erforderlich, um die geltenden gesetzlichen Anforderungen zu erfüllen.

(3) Der Auftragnehmer wird technische und organisatorische Maßnahmen (TOM) zum angemessenen Schutz der personenbezogenen Daten des Auftraggebers treffen, die den Anforderungen des Art. 32 DS-GVO genügen. Der Auftragnehmer hat insbesondere TOM zu treffen, gemessen am Risiko für die Rechte und Freiheiten der betroffenen Personen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer gewährleisten.

Die Vertragsparteien haben die in Anlage 2 beschriebenen TOM vereinbart. Sie sind sich darüber einig, dass die Umsetzung der beschriebenen TOM ein angemessenes Schutzniveau in Übereinstimmung mit der DS-GVO gewährleistet und ausreichende Garantien zum Schutz der Rechte der betroffenen Person bietet.

Die Beurteilung des angemessenen Schutzniveaus trägt dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie der für die betroffenen Personen unterschiedlichen Eintrittswahrscheinlichkeit und Schwere von Risiken gebührend Rechnung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Diese sowie Änderungen und Ergänzungen sind vom Auftragnehmer entsprechend zu dokumentieren und dem Auftraggeber auf Anfrage zur Kenntnis zu geben. Dabei darf das Sicherheitsniveau der in Anlage 2 genannten Maßnahmen nicht unterschritten werden.

(4) Der Auftragnehmer unterstützt den Auftraggeber angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten TOM bei der Erfüllung der Anfragen und Ansprüche betroffener Personen gemäß Kapitel III der DS-GVO; siehe hierzu die ergänzenden Regelungen in § 5. Im Falle einer Inanspruchnahme des Auftraggebers durch eine betroffene Person hinsichtlich etwaiger Schadensersatzansprüche nach Art. 82 DS-GVO verpflichtet sich der Auftragnehmer, den Auftraggeber bei der Abwehr des Anspruches im Rahmen seiner Möglichkeiten zu unterstützen.

(5) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32 bis 36 DS-GVO genannten Pflichten.

Der Auftragnehmer stellt sicher, dass es den mit der Verarbeitung der Daten des Auftraggebers befassten Beschäftigten und anderen für den Auftragnehmer tätigen Personen untersagt ist, die Daten außerhalb der Weisung zu verarbeiten. Ferner stellt der Auftragnehmer sicher, dass sich die mit der Verarbeitung der personenbezogenen Daten befassten Personen zur Vertraulichkeit verpflichtet haben und diese Vertraulichkeitsverpflichtung auch nach Beendigung des Auftrags fortbesteht.

(6) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden, nachdem ihm Verletzungen des Schutzes personenbezogener Daten des Auftraggebers bekannt geworden sind, per E-Mail an die E-Mail-Adresse des Kundenkontos (§ 4 Abs. 2), und zwar in der Art und Weise, dass der Auftraggeber seinen gesetzlichen Pflichten, insbesondere nach Art. 33, 34 DS-GVO, sowohl hinsichtlich des Umfangs als auch hinsichtlich der Frist nachkommen kann.

Eine Meldung von Datenschutzverletzungen muss mindestens enthalten:

• eine Beschreibung des Vorfalls, soweit möglich mit Angabe der Art der Verletzung des Schutzes personenbezogener Daten, Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der vermutlichen Zahl der betroffenen personenbezogenen Datensätze,
• Kontaktdaten einer Anlaufstelle für weitere Informationen über die Verletzung des Schutzes personenbezogener Daten,
• eine Beschreibung der voraussichtlichen Folgen des gemeldeten Vorfalls, eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen aus Sicht des Auftragnehmers.

Wenn und soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden können, können diese ohne unangemessene weitere Verzögerung schrittweise zur Verfügung gestellt werden.

(7) Der Auftragnehmer nennt dem Auftraggeber einen verantwortlichen Kontakt für im Rahmen der Vereinbarung anfallende Datenschutzfragen. Dieser Kontakt ist die E-Mail-Adresse contact@invowerk.dev.

(8) Nach Beendigung des Auftrags gibt der Auftragnehmer sämtliche Daten, Datenträger und Dokumente, soweit sie vom Auftraggeber stammen oder diesem zur Verfügung zu stellen sind, auf Verlangen des Auftraggebers heraus oder löscht sie, sofern keine gesetzliche Aufbewahrungspflicht besteht. Da der Auftragnehmer Rechnungsinhalte nur für die Dauer der jeweiligen Anfrage im Arbeitsspeicher verarbeitet und nicht speichert (Anlage 1), sind nach Beendigung des Auftrags keine solchen Daten herauszugeben oder zu löschen. Die Daten des Kundenkontos löscht der Auftragnehmer, wie in der Datenschutzerklärung (https://invowerk.dev/privacy) beschrieben. Der Auftragnehmer bestätigt dem Auftraggeber die Löschung auf Anfrage.

§ 4 Pflichten des Auftraggebers

(1) Im Falle einer Inanspruchnahme des Auftragnehmers durch eine betroffene Person hinsichtlich etwaiger Schadensersatzansprüche nach Art. 82 DS-GVO gilt § 3 Abs. 4 Satz 2 entsprechend.

(2) Der Auftraggeber nennt dem Auftragnehmer einen Kontakt für im Rahmen der Vereinbarung anfallende Datenschutzfragen. Dieser Kontakt ist die E-Mail-Adresse, mit der sich der Auftraggeber bei invowerk anmeldet (E-Mail-Adresse des Kundenkontos). Der Auftraggeber trägt Sorge für die Aktualität dieser Information.

§ 5 Anfragen betroffener Personen

Wendet sich eine betroffene Person mit Anträgen auf Wahrnehmung der in Kapitel III DS-GVO genannten Rechte an den Auftragnehmer, wird der Auftragnehmer die betroffene Person unverzüglich an den Auftraggeber verweisen und den Antrag an den Auftraggeber weiterleiten.

Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten TOM bei seiner Pflicht zur Beantwortung dieser Anträge der betroffenen Personen auf Weisung.

Auskünfte an Dritte darf der Auftragnehmer nicht erteilen, es sei denn, er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Herausgabe der Auskunft verpflichtet; in dem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtliche Anforderung vor der Auskunftserteilung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

§ 6 Nachweismöglichkeiten

(1) Der Auftragnehmer weist dem Auftraggeber die Einhaltung der in dieser Vereinbarung niedergelegten Pflichten mit geeigneten Mitteln nach. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung alle erforderlichen Informationen zur Verfügung zu stellen. Insbesondere ist die Umsetzung der TOM gemäß Art. 32 DS-GVO nachzuweisen.

(2) Der Nachweis der Einhaltung der in dieser Vereinbarung niedergelegten Pflichten kann erfolgen durch

• aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z. B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren),
• Selbstaudits,
• eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z. B. nach BSI-Grundschutz, BSI C5, ISO 27001, ISO 27018, ISO 27701),
• die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DS-GVO,
• die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DS-GVO,
• die Vereinbarung zwischen Auftraggeber und Auftragnehmer, dass der Nachweis auch durch folgende Unterlagen erbracht werden kann: Selbstauskünfte des Auftragnehmers in Textform, die Beschreibung der TOM in Anlage 2 sowie Nachweise der Unterauftragsverarbeiter über deren technische und organisatorische Maßnahmen und Zertifizierungen.

(3) Kontrollrechte des Auftraggebers:

a) Auf Verlangen des Auftraggebers gestattet der Auftragnehmer die Prüfung der unter diese Vereinbarung fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei. Bei der Entscheidung über eine Überprüfung kann der Auftraggeber die im vorherigen Absatz genannten Zertifizierungen des Auftragnehmers berücksichtigen. Der Auftraggeber kann die Überprüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen.

b) Die Prüfungen können auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragnehmers umfassen und werden gegebenenfalls mit angemessener Vorankündigung durchgeführt. Bei Vor-Ort-Inspektionen müssen die Vertraulichkeitsinteressen des Auftragnehmers beachtet werden. Dies kann den Abschluss einer Geheimhaltungsverpflichtung beinhalten, wobei diese dem Auftraggeber den Nachweis gegenüber der Aufsichtsbehörde und ggf. den Betroffenen in dem erforderlichen Umfang nicht beeinträchtigen darf.

c) Eine Prüfung erfolgt vorrangig durch die Einholung von Auskünften und die Vorlage von Unterlagen nach Abs. 2. Darüber hinaus kann sie durch Einsichtnahme in gespeicherte Daten und Programme sowie durch weitere Maßnahmen erfolgen. Zu den weiteren Maßnahmen zählen die Anforderung von Zertifizierungen, Berichte zu Datenschutzaudits und Inspektionen vor Ort. Inspektionen vor Ort nimmt der Auftraggeber mit angemessener Vorankündigung, in der Regel mindestens 30 Kalendertage im Voraus, während der üblichen Geschäftszeiten vor. Die Prüfungen müssen ohne Störung des Betriebsablaufs sowie unter Wahrung der Sicherheits- und Vertraulichkeitsinteressen des Auftragnehmers durchgeführt und auf eine angemessene Anzahl beschränkt werden. Die Anzahl der regulären Vor-Ort-Inspektionen ist auf eine Prüfung pro Kalenderjahr beschränkt. Anlassbezogene Kontrollen bleiben hiervon unberührt. Jede Partei trägt ihre eigenen Kosten (inkl. Nachprüfungen).

§ 7 Weitere Auftragsverarbeiter (Unterauftragsverarbeiter)

(1) Die in Anlage 3 zu dieser Vereinbarung aufgeführten Unterauftragsverarbeiter gelten als genehmigt.

Ein zustimmungspflichtiges Unterauftragsverhältnis liegt vor, wenn der Auftragnehmer Unterauftragsverarbeiter mit im Hauptvertrag vereinbarten Verarbeitungen personenbezogener Daten beauftragt. Der Auftragnehmer wird mit diesen Unterauftragsverarbeitern im erforderlichen Umfang Vereinbarungen treffen, um angemessene Datenschutz- und Informationssicherheitsmaßnahmen zu gewährleisten.

(2) Der Auftragnehmer darf Unterauftragsverarbeiter nur unter folgenden Voraussetzungen einsetzen: Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Der Auftragnehmer informiert den Auftraggeber vor Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters per E-Mail an die E-Mail-Adresse des Kundenkontos (§ 4 Abs. 2). Der Auftraggeber kann der Hinzuziehung oder Ersetzung innerhalb einer Frist von 14 Kalendertagen ab Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Erfolgt kein Widerspruch innerhalb der Frist, gilt die Zustimmung als erteilt.

Widerspricht der Auftraggeber fristgerecht und kann der Auftragnehmer die Leistung ohne den neuen Unterauftragsverarbeiter nicht erbringen, ist jede Vertragspartei berechtigt, den Hauptvertrag zum Ende des laufenden Abrechnungszeitraums zu kündigen. Bis zum Wirksamwerden der Kündigung setzt der Auftragnehmer für die Verarbeitung im Auftrag des Auftraggebers weiterhin den bisherigen Unterauftragsverarbeiter ein. Ist dies nicht möglich, setzt der Auftragnehmer die betroffene Verarbeitung für den Auftraggeber aus.

Für Notfallsituationen, z. B. bei dringendem Sicherheitsrisiko oder unvorhergesehenem Ausfall eines Unterauftragsverarbeiters, darf der Auftragnehmer einen Unterauftragsverarbeiter auch ohne Einhaltung der oben genannten Frist hinzuziehen oder ersetzen. In einem solchen Fall informiert der Auftragnehmer den Auftraggeber unverzüglich über die Änderung.

(3) Liste der Unterauftragsverarbeiter: Der Auftragnehmer stellt dem Auftraggeber eine aktuelle Liste aller eingesetzten Unterauftragsverarbeiter zur Verfügung. Diese Liste ist dieser Vereinbarung als Anlage 3 beigefügt und wird zusätzlich unter https://invowerk.dev/avv (Anlage 3) bereitgestellt. Die Liste enthält mindestens folgende Angaben: Name und Anschrift des Unterauftragsverarbeiters, Beschreibung der Teilleistungen und Ort der Datenverarbeitung.

(4) Erteilt der Auftragnehmer Aufträge an Unterauftragsverarbeiter, so obliegt es dem Auftragnehmer, dem Unterauftragsverarbeiter entsprechend Art. 28 Abs. 4 DS-GVO dieselben datenschutzrechtlichen Pflichten aus dieser Vereinbarung zu übertragen.

Der Auftragnehmer stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der Auftragnehmer entsprechend dieser Vereinbarung und den Bestimmungen der DS-GVO unterliegt. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer in vollem Umfang gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

§ 8 Übermittlung in Drittstaaten

(1) Eine Übermittlung von Daten in Drittstaaten außerhalb der EU und des EWR findet nicht statt. Der Auftragnehmer und die Unterauftragsverarbeiter nach Anlage 3 verarbeiten die Daten ausschließlich in Mitgliedstaaten der Europäischen Union: Die Server stehen in Deutschland, und das Content Delivery Network (CDN) liefert nur von Standorten in Mitgliedstaaten der Europäischen Union aus.

(2) Eine Übermittlung in einen Drittstaat oder eine Verarbeitung dort ist sowohl für den Auftragnehmer als auch für seine Unterauftragsverarbeiter nur auf dokumentierte Weisung und mit vorheriger Zustimmung des Auftraggebers zulässig, sofern die Voraussetzungen nach Art. 44 ff. DS-GVO eingehalten werden. Der Auftragnehmer teilt dem Auftraggeber vorab mit, um welche(n) Drittstaat(en) es sich handelt und auf welche Weise das angemessene Schutzniveau im Sinne von Art. 44 ff. DS-GVO für die Verarbeitung dort sichergestellt ist. Die allgemeine Genehmigung nach § 7 Abs. 2 ersetzt diese Zustimmung nicht.

§ 9 Haftung

Auftraggeber und Auftragnehmer haften gegenüber betroffenen Personen entsprechend der in Art. 82 DS-GVO getroffenen Regelung.

Eine zwischen den Parteien im Hauptvertrag vereinbarte Haftungsregelung gilt im Übrigen auch für diese Vereinbarung.

§ 10 Schlussbestimmungen

(1) Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit an den Daten ausschließlich beim Auftraggeber als »Verantwortlicher« im Sinne der DS-GVO liegt.

(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform.

(3) Bei etwaigen Widersprüchen gehen Regelungen dieser Vereinbarung den Regelungen des Hauptvertrags vor. Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

Die Vertragsparteien vereinbaren und gestatten der jeweils anderen Vertragspartei, Informationen aus dieser Vereinbarung zum Zweck der Abwehr von Ansprüchen Dritter und zum Zweck des Nachweises, dass die jeweilige Vertragspartei in keinerlei Hinsicht für den Umstand, durch den ein Schaden eingetreten ist, verantwortlich ist, zu nutzen.

(4) Es gilt deutsches Recht.

Anlage 1: Beschreibung der Verarbeitung

Gegenstand

Gegenstand der Verarbeitung sind die personenbezogenen Daten in Rechnungen (PDF- oder XML-Dateien) und in Rechnungsdaten (Eingaben in Formularen oder über Schnittstellen), die der Auftraggeber über das Web-Tool, die REST-API oder den MCP-Server an invowerk übermittelt. Nicht Gegenstand dieser Vereinbarung sind die Daten des Kundenkontos sowie Nutzungs- und Abrechnungsdaten; diese verarbeitet der Auftragnehmer als Verantwortlicher nach seiner Datenschutzerklärung (https://invowerk.dev/privacy).

Zweck der Verarbeitung

Prüfung, Darstellung, Erstellung und Umwandlung elektronischer Rechnungen, insbesondere in den Formaten XRechnung und ZUGFeRD, im Auftrag des Auftraggebers. Der Auftragnehmer nutzt die Daten nicht für eigene Zwecke. Er verkauft sie nicht und verwendet sie nicht zum Training von Modellen.

Art der Verarbeitung

• Empfang einer Rechnung oder von Rechnungsdaten über HTTPS: im Web-Tool, über die REST-API oder über den MCP-Server.
• Prüfung von Schema und Geschäftsregeln (XSD, Schematron), unter anderem mit dem KoSIT-Validator, bei PDF-Rechnungen zusätzlich auf PDF/A (veraPDF). Die Prüfprogramme laufen auf demselben Server und sind nicht öffentlich erreichbar.
• Darstellung der Rechnung als lesbare Ansicht und Auslesen der Rechnungsdaten in strukturierte Felder.
• Umwandlung zwischen den Syntaxen UBL und CII.
• Erstellung von E-Rechnungen aus eingegebenen Rechnungsdaten: ZUGFeRD-PDF und XRechnung mit dem Rechnungsersteller im Web-Tool, XML-Rechnungen über die REST-API und den MCP-Server.
• Rückgabe des Ergebnisses und des Prüfberichts an den Auftraggeber.
• Verwerfen aller Rechnungsinhalte nach der Antwort.

Kategorien betroffener Personen

• Inhaber, Beschäftigte und Ansprechpartner von Rechnungsstellern und Rechnungsempfängern.
• Einzelunternehmer und Freiberufler, die als Rechnungssteller oder Rechnungsempfänger genannt sind.
• Sonstige natürliche Personen, die in einer Rechnung genannt sind, zum Beispiel in Lieferanschriften, Rechnungspositionen, Freitexten oder Anhängen.

Art der personenbezogenen Daten

Soweit in den Rechnungen oder Rechnungsdaten enthalten:

• Namen, Anschriften, E-Mail-Adressen und Telefonnummern.
• Umsatzsteuer-Identifikationsnummern, Steuernummern, Handelsregisterangaben und weitere Kennungen.
• Bankverbindungen (IBAN, BIC, Kontoinhaber).
• Käuferreferenzen und Leitweg-IDs, Bestell-, Vertrags- und Projektnummern.
• Rechnungspositionen, Mengen, Preise, Beträge, Steuerangaben und Zahlungsbedingungen.
• Freitexte und Anhänge der Rechnung.

Besondere Kategorien personenbezogener Daten

Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DS-GVO und personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DS-GVO sind von der Verarbeitung ausgeschlossen; der Auftraggeber übermittelt solche Daten nicht. Gelangen sie dennoch in einer Rechnung zum Auftragnehmer, gelten für sie dieselben Garantien wie für alle Rechnungsinhalte: Verarbeitung nur im Arbeitsspeicher für die Dauer der Anfrage, keine Speicherung und kein Zugriff durch Personal.

Dauer der Verarbeitung

• Rechnungsinhalte verarbeitet der Auftragnehmer nur für die Dauer der jeweiligen Anfrage im Arbeitsspeicher. Sie werden nicht gespeichert und gelangen daher in keine Sicherung.
• Daten, die invowerk im Browser des Auftraggebers ablegt, verbleiben auf dessen Gerät und liegen nicht beim Auftragnehmer. Der Rechnungsersteller legt dort die Absenderangaben, das Logo sowie Rechnungsnummer und Empfängername bereits heruntergeladener Rechnungen ab, bis der Auftraggeber sie im Rechnungsersteller löscht (localStorage), und den übrigen Entwurf bis zum Schließen des Browser-Tabs (sessionStorage).
• Die Vereinbarung gilt für die Laufzeit des Hauptvertrags, also solange das Kundenkonto des Auftraggebers besteht (§ 1 Abs. 2).

Ort der Verarbeitung

Server in Deutschland (Rechenzentrum der Hetzner Online GmbH in Nürnberg). Anfragen werden über Standorte des CDN in Mitgliedstaaten der Europäischen Union durchgeleitet (§ 8, Anlage 3).

Anlage 2: Technische und organisatorische Maßnahmen

Technische und organisatorische Maßnahmen nach Art. 32 DS-GVO (vgl. § 3 Abs. 3) für die Verarbeitung nach Anlage 1.

1. Keine Speicherung von Rechnungsinhalten

• Rechnungsinhalte werden nur im Arbeitsspeicher und nur für die Dauer der jeweiligen Anfrage verarbeitet und danach verworfen. Sie werden nicht gespeichert und gelangen daher in keine Sicherung.
• Zu Anträgen betroffener Personen über Rechnungsinhalte liegen beim Auftragnehmer deshalb keine Daten vor, die herauszugeben, zu berichtigen oder zu löschen wären.

2. Verschlüsselung (Art. 32 Abs. 1 lit. a DS-GVO)

• Die Verbindung zwischen Nutzer und CDN ist mit TLS verschlüsselt (HTTPS). Anfragen über HTTP leitet das CDN auf HTTPS um.
• Das CDN leitet Anfragen über HTTPS verschlüsselt an die Server weiter. Das Zertifikat der Server prüft es dabei derzeit nicht. Die Server nehmen HTTP und HTTPS nur von den Edge-Servern des CDN an (Nr. 3).
• Sicherungen werden auf dem Server verschlüsselt, bevor sie in den Speicher der Hetzner Online GmbH übertragen werden.
• API-Schlüssel werden nur als Hash gespeichert.

3. Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)

• Server und Object Storage stehen in Rechenzentren der Hetzner Online GmbH in Nürnberg, die Storage Box in Falkenstein. Für die physische Sicherheit gelten die technischen und organisatorischen Maßnahmen der Hetzner Online GmbH, darunter ein elektronisches Zutrittskontrollsystem mit Protokollierung, Videoüberwachung und eine Zertifizierung nach ISO 27001.
• Administrativen Zugang zu den Servern hat nur der Auftragnehmer, per SSH-Schlüssel und nur über ein verschlüsseltes privates Netz (VPN). Die Anmeldung mit Passwort und als root ist abgeschaltet.
• Die Firewall des Rechenzentrums lässt HTTP und HTTPS nur aus den Adressbereichen der Edge-Server des CDN zu.
• Die Prüfprogramme (KoSIT-Validator, veraPDF) laufen als Container auf demselben Server und sind nur im internen Container-Netz erreichbar.
• Zugangsdaten und Schlüssel liegen in einem Passwort-Manager und werden beim Start der Server eingelesen. Sie stehen nicht im Quellcode.
• Kundenkonten: Anmeldung nur per Magic Link an die E-Mail-Adresse des Kontos. Der Anmeldedienst läuft auf denselben Servern und nicht bei einem externen Anbieter.

4. Integrität (Art. 32 Abs. 1 lit. b DS-GVO)

• Die Konfiguration der Server ist vollständig deklarativ in einem Repository beschrieben (NixOS) und wird nur aus diesem angewendet.
• Der Produktivserver übernimmt Änderungen nur aus einem geschützten Zweig des Repositorys. In diesen gelangen Änderungen ausschließlich über Pull Requests mit automatischem Prüflauf.
• Die Anwendungen laufen als Container mit festgelegtem Image-Digest.
• Jedes Anwendungs-Image wird vor der Auslieferung automatisch auf bekannte kritische Schwachstellen geprüft. Ein Befund, für den eine Korrektur verfügbar ist, verhindert die Auslieferung.

5. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)

• Fällt ein Dienst aus, wird der Auftragnehmer automatisch benachrichtigt. Die Erreichbarkeit wird zusätzlich von außen überwacht.
• Aktualisierungen der Systempakete werden täglich automatisch vorbereitet und mit bekannten Schwachstellen abgeglichen.

6. Wiederherstellung (Art. 32 Abs. 1 lit. c DS-GVO)

• Die Datenbank mit Konto-, Nutzungs- und Abrechnungsdaten wird stündlich in die Storage Box gesichert und zusätzlich fortlaufend in den Object Storage, sodass sie auf einen früheren Zeitpunkt wiederhergestellt werden kann.
• Von den stündlichen Sicherungen werden 48 stündliche, 7 tägliche, 4 wöchentliche, 6 monatliche und 1 jährliche Sicherung aufbewahrt, also bis etwa 13 Monate.
• Ein automatischer Wiederherstellungstest läuft wöchentlich.
• Nach einer Wiederherstellung aus einer Sicherung werden bereits gelöschte Konten erneut gelöscht.

7. Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d DS-GVO)

• Jede Änderung durchläuft vor der Auslieferung automatische Prüfungen, darunter Tests und die Schwachstellenprüfung nach Nr. 4.
• Eine Zertifizierung des Auftragnehmers besteht nicht.

8. Protokollierung

• Server-Protokolle mit IP-Adressen und Anfragepfaden werden nach spätestens 90 Tagen gelöscht, das Zugriffsprotokoll des Webservers nach 7 Tagen.
• Metriken und Traces enthalten keine Datei- oder Anfrageinhalte. Sie liegen auf einem eigenen Server des Auftragnehmers in Deutschland und werden nach 30 Tagen gelöscht.

9. Content Delivery Network

• Das CDN (Anlage 3) beendet die TLS-Verbindung an seinen Edge-Servern und leitet Anfragen verschlüsselt an die Server weiter (Nr. 2). Es liefert nur von Standorten in Mitgliedstaaten der Europäischen Union aus und speichert keine Anfrageinhalte.

Anlage 3: Unterauftragsverarbeiter

Genehmigte Unterauftragsverarbeiter nach § 7 Abs. 1. Die jeweils aktuelle Liste steht unter https://invowerk.dev/avv (Anlage 3).

Angabe	Hetzner Online GmbH	BunnyWay d.o.o. (bunny.net)
Anschrift	Industriestr. 25, 91710 Gunzenhausen, Deutschland	Dunajska cesta 165, 1000 Ljubljana, Slowenien
Kontakt	data-protection@hetzner.com	support@bunny.net
Teilleistung	Hosting: Server, Object Storage und Storage Box. Rechnungsinhalte liegen nur im Arbeitsspeicher der Server. Object Storage und Storage Box speichern verschlüsselte Sicherungen ohne Rechnungsinhalte.	Content Delivery Network (CDN) vor allen Seiten und der API. Das CDN beendet die TLS-Verbindung an seinen Edge-Servern, Rechnungsinhalte werden daher bei der Übertragung durchgeleitet. Anfrageinhalte werden nicht gespeichert.
Ort der Verarbeitung	Deutschland (Nürnberg, Falkenstein)	Standorte in Mitgliedstaaten der Europäischen Union
Eigene Unterauftragsverarbeiter	https://www.hetzner.com/AV/subunternehmer.pdf	https://bunny.net/gdpr/sub-processors/

Die Anbieter für den Versand von Konto-E-Mails und für die Zahlungsabwicklung (siehe Datenschutzerklärung, https://invowerk.dev/privacy) erhalten keine Rechnungsinhalte und sind deshalb nicht aufgeführt.

Diese Vereinbarung ist eine Anlage zum Auftragsverarbeitungsvertrag (AVV) zwischen denselben Parteien. Sie gilt entsprechend, wenn der Auftraggeber oder die bei ihm tätigen Personen als Angehörige eines anderen in § 203 StGB genannten Berufs zur Verschwiegenheit verpflichtet sind.

I. Belehrung über die strafrechtlichen Folgen

Der Auftraggeber belehrt den Auftragnehmer (Dienstleister) gem. § 62a Abs. 3 Satz 2 Nr. 1 Steuerberatungsgesetz (StBerG) über die strafrechtlichen Folgen aus §§ 203 und 204 Strafgesetzbuch (StGB) wie folgt:

1. Offenbart der Dienstleister ein in Ausübung oder bei Gelegenheit der Dienstleistung bekannt gewordenes fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, welches den Berufsträgern des Auftraggebers anvertraut wurde, kann dies mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe bestraft werden (§ 203 Abs. 1, Abs. 4 Satz 1 StGB). Die Strafandrohung gilt auch für Personen, die für den Dienstleister an der Dienstleistung mitwirken oder für ihn tätige Datenschutzbeauftragte (§ 203 Abs. 4 Satz 1 StGB).
2. Geheimnisse sind alle Informationen, die nur einem beschränkten Personenkreis bekannt sind und an deren Geheimhaltung derjenige, den die Informationen betreffen (Geheimnisträger), ein sachlich begründetes Interesse hat. Hierzu gehören insbesondere alle Informationen über Mandatsverhältnisse zum Auftraggeber bzw. zu den Berufsträgern des Auftraggebers.
3. Handelt es sich beim Dienstleister nicht um eine natürliche Person, trifft die Strafandrohung die für den Dienstleister mitwirkenden natürlichen Personen.
4. Im Fall der Einschaltung Dritter (z. B. Subunternehmer) macht sich der Dienstleister bzw. die für ihn handelnde Person bei Strafandrohung von Freiheitsstrafe bis zu einem Jahr oder Geldstrafe strafbar, wenn der Dritte unbefugt ein bei der Ausübung oder bei Gelegenheit seiner Tätigkeit bekannt gewordenes fremdes Geheimnis offenbart und der Dienstleister nicht dafür Sorge getragen hat, dass der Dritte zur Geheimhaltung verpflichtet wurde (§ 203 Abs. 1, Abs. 4 Satz 2 Nr. 2 StGB).
5. Die angedrohte Strafe beträgt bis zu zwei Jahre oder Geldstrafe, wenn der Täter gegen Entgelt oder in der Absicht handelt, sich zu bereichern oder durch die Tat einen anderen zu schädigen (§ 203 Abs. 6 StGB). Gleiches gilt, wenn der Täter ein dem Berufsträger anvertrautes fremdes Geheimnis unbefugt verwertet (§ 204 StGB).

II. Verpflichtung zur Verschwiegenheit

Der Dienstleister verpflichtet sich gegenüber dem Auftraggeber sowie den beim Auftraggeber tätigen Berufsgeheimnisträgern wie folgt:

1. Der Dienstleister wirkt an den Tätigkeiten der Berufsgeheimnisträger mit, die einer beruflichen Verschwiegenheitsverpflichtung unterliegen. Der Dienstleister wahrt in Kenntnis der strafrechtlichen Folgen einer Verletzung der Verschwiegenheitspflicht und unter Berücksichtigung der mit dem Auftraggeber vereinbarten Vertragsbestimmungen zur Verschwiegenheit fremde Geheimnisse, die ihm zugänglich gemacht werden. Der Dienstleister wird verpflichtet, die zur Verfügung gestellten Mandantendaten nicht in anderem als dem vertraglich beschriebenen Umfang zu nutzen.
2. Der Dienstleister ist befugt, weitere Personen (Dritte) zur Erfüllung des Vertrages heranzuziehen. Beim Einsatz von Dritten (z. B. Subunternehmer) verpflichtet sich der Dienstleister, diese in Textform zur Verschwiegenheit zu verpflichten, soweit diese Dritten im Rahmen ihrer Tätigkeit Kenntnis von fremden Geheimnissen erlangen könnten (§ 62a Abs. 3 Satz 2 Nr. 3 StBerG). Die Unterauftragsverarbeiter nach Anlage 3 des AVV sind durch ihre Auftragsverarbeitungsverträge in Textform zur Vertraulichkeit verpflichtet; nach diesen Verträgen sind auch ihre Beschäftigten mit Zugang zu den Daten zur Vertraulichkeit verpflichtet.
3. Der Dienstleister ist verpflichtet, sich nur insoweit Kenntnis von fremden Geheimnissen zu verschaffen, als dies zur Vertragserfüllung erforderlich ist. Der Auftraggeber wird dem Dienstleister nur insoweit Kenntnis von fremden Geheimnissen verschaffen, als dies zur Vertragserfüllung erforderlich ist. Der Dienstleister wird angemessene organisatorische und technische Maßnahmen zum Schutz der fremden Geheimnisse und vertraulichen Informationen einhalten und dabei akzeptierte Sicherheitsstandards nach dem jeweils aktuellen Stand der Technik anwenden.
4. Die Pflicht zur Verschwiegenheit besteht auch nach Beendigung des Dienstleistungsverhältnisses zeitlich unbegrenzt fort.
5. Die Pflicht zur Verschwiegenheit gemäß den vorstehenden Absätzen besteht nicht, soweit der Dienstleister aufgrund einer behördlichen oder gerichtlichen Entscheidung zur Offenlegung von vertraulichen Informationen des Auftraggebers verpflichtet ist. Soweit dies im Einzelfall zulässig und möglich ist, wird der Dienstleister den Auftraggeber über die Pflicht zur Offenlegung vorab in Kenntnis setzen.
6. Der Dienstleister ist verpflichtet sicherzustellen, dass die Dienstleistung nur durch einen zur Verschwiegenheit verpflichteten Personenkreis durchgeführt wird.
7. Der Dienstleister erbringt die Dienstleistung nur in Deutschland und in anderen Mitgliedstaaten der Europäischen Union (§ 62a Abs. 4 StBerG).

Abschluss

Diese Vereinbarung wird in Textform geschlossen, indem der Auftraggeber sie in seinem Kundenkonto bestätigt; ihr Wortlaut wird dem Auftraggeber per E-Mail übersandt.