Vertrag zur Auftragsverarbeitung (AVV)

Dieser Vertrag gilt zwischen Ihnen, soweit Sie die App für Ihre berufliche oder gewerbliche Tätigkeit nutzen (nachfolgend „Verantwortlicher“), und Nikolay Mantchev, Droysenstr. 5, 60385 Frankfurt am Main (nachfolgend „Auftragsverarbeiter“). Er regelt, wie der Auftragsverarbeiter personenbezogene Daten verarbeitet, die Sie über die App an seinen Server übermitteln.

1. Gegenstand und Dauer

Die App speichert Ihre Rechnungen, Kunden und Produkte auf Ihrem Gerät. Für die folgenden Funktionen übermittelt sie die dafür nötigen Daten an den Server des Auftragsverarbeiters:

• Erstellen von E-Rechnungen als PDF/A-3 mit eingebettetem ZUGFeRD-/Factur-X-Datensatz
• Export von XRechnungen für öffentliche Auftraggeber
• Technische Prüfung einer XRechnung vor dem Versand an Behörden
• Erstellen einer Lesefassung empfangener XML-Rechnungen

Der Vertrag gilt, solange Sie diese Funktionen nutzen. Er endet ohne Kündigung, wenn Sie die Nutzung der App beenden.

2. Art und Zweck der Verarbeitung, Daten und betroffene Personen

Art und Zweck: Empfangen, Verarbeiten im Arbeitsspeicher, verschlüsseltes Zwischenspeichern des fertigen PDFs und Löschen. Der einzige Zweck ist, Ihnen das jeweilige Dokument zu erstellen oder anzuzeigen.

Arten von Daten:

• Name, Anschrift, E-Mail-Adresse und Telefonnummer
• Umsatzsteuer-Identifikationsnummer, Steuernummer und Leitweg-ID
• Bankverbindung (IBAN, BIC)
• Rechnungsinhalte wie Positionen, Beträge, Daten und Referenzen
• Inhalte empfangener Rechnungen, einschließlich der Daten des Rechnungsstellers

Betroffene Personen:

• Ihre Kundinnen und Kunden und deren Ansprechpersonen
• Lieferanten und Dienstleister, deren Rechnungen Sie in der App ansehen
• Weitere Personen, die Sie in einer Rechnung nennen

Die App ist nicht für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO ausgelegt, etwa Gesundheitsdaten. Enthalten Ihre Rechnungen solche Daten, prüfen Sie bitte, ob die Maßnahmen nach Ziffer 5 für Sie ausreichen.

3. Weisungen, Rechte und Pflichten des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten nur auf Ihre dokumentierte Weisung, auch in Bezug auf eine Übermittlung in ein Drittland. Die Weisung ergibt sich aus diesem Vertrag und daraus, dass Sie eine der Funktionen nach Ziffer 1 in der App auslösen. Weitere Weisungen können Sie in Textform an 04vision04@protonmail.com erteilen.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er Sie unverzüglich darauf hin. Er verarbeitet die Daten nicht für eigene Zwecke. Ist er gesetzlich zu einer Verarbeitung verpflichtet, teilt er Ihnen das vorher mit, soweit das Gesetz es nicht verbietet.

Sie sind dafür verantwortlich, dass die Übermittlung der Daten an den Auftragsverarbeiter und ihre Verarbeitung rechtmäßig sind. Ihnen stehen die Weisungsrechte nach dieser Ziffer und die Kontrollrechte nach Ziffer 10 zu. Stellen Sie Fehler oder Unregelmäßigkeiten fest, informieren Sie den Auftragsverarbeiter unverzüglich.

4. Vertraulichkeit

Zugang zum Server hat derzeit nur der Auftragsverarbeiter selbst. Erhalten künftig weitere Personen Zugang, werden sie vorher zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft nach Art. 32 DSGVO insbesondere diese Maßnahmen:

• Übertragung zwischen App und Server nur verschlüsselt (HTTPS/TLS)
• Rechnungsdaten werden nur im Arbeitsspeicher verarbeitet. Auf dem Server gibt es keine Datenbank mit Rechnungs- oder Kundendaten.
• Das fertige PDF wird bis zum Abruf mit AES-256-GCM verschlüsselt gespeichert. Die App löscht es nach dem Herunterladen, sonst wird es automatisch nach spätestens 24 Stunden gelöscht.
• Empfangene XML-Rechnungen werden nur im Arbeitsspeicher verarbeitet und nicht gespeichert.
• Zugriff auf die Funktionen nur mit gültigem Abo oder laufender Testphase, Begrenzung der Anfragen je Zeitraum
• Server-Verwaltung nur über SSH mit Schlüssel, Anmeldung mit Passwort und als Administrator (root) abgeschaltet
• Firewall, automatische Sperre bei wiederholten Fehlanmeldungen und automatische Sicherheitsupdates
• Server-Protokolle enthalten Fehlermeldungen und Zählwerte, aber keine vollständigen Rechnungen. Meldungen der Rechnungsprüfung können einzelne Feldwerte enthalten. Die Protokolle werden nach 30 Tagen gelöscht, die Zugriffsprotokolle des Webservers nach 14 Tagen.
• Verfügbarkeit, Speicherplatz und Zertifikate werden automatisch überwacht
• Rechenzentrum in Deutschland (siehe Ziffer 6)

Der Auftragsverarbeiter darf die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Sie genehmigen den Einsatz dieses Unterauftragsverarbeiters:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Leistung: Betrieb des Servers im Rechenzentrum Falkenstein (Deutschland). Grundlage ist der Auftragsverarbeitungsvertrag mit Hetzner vom 6. Juni 2026. Weil der Server in der EU steht, setzt Hetzner dafür keine weiteren Unterauftragnehmer ein.

Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag und haftet Ihnen gegenüber dafür, dass sie diese Pflichten einhalten. Eine Übermittlung in Länder außerhalb der EU und des EWR findet nicht statt.

Einen neuen oder geänderten Unterauftragsverarbeiter kündigt der Auftragsverarbeiter rechtzeitig vorher auf dieser Seite an, in der Regel mindestens zwei Wochen vorher. Sie können aus wichtigem datenschutzrechtlichem Grund widersprechen. Dann können Sie die Server-Funktionen nicht mehr nutzen und Ihr Abo kündigen.

7. Rechte der betroffenen Personen

Die Daten liegen dauerhaft nur auf Ihrem Gerät. Anfragen nach Auskunft, Berichtigung oder Löschung erfüllen Sie deshalb in der Regel selbst in der App. Der Auftragsverarbeiter unterstützt Sie dabei, soweit es ihm möglich ist. Wendet sich eine betroffene Person direkt an ihn, verweist er sie an Sie, soweit er sie Ihnen zuordnen kann.

8. Weitere Unterstützung und Meldung von Verletzungen

Der Auftragsverarbeiter unterstützt Sie bei Ihren Pflichten nach Art. 32 bis 36 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten meldet er unverzüglich nach Kenntnis, in der App, auf dieser Website und an Ihre E-Mail-Adresse, wenn Sie sie ihm mitgeteilt haben.

9. Löschung nach Ende der Verarbeitung

Der Server speichert keine Daten dauerhaft. Ein nicht abgerufenes PDF wird nach spätestens 24 Stunden gelöscht. Eine Rückgabe entfällt, weil die Originaldaten auf Ihrem Gerät liegen. Sind bei Vertragsende doch Daten vorhanden, löscht der Auftragsverarbeiter sie oder gibt sie nach Ihrer Wahl zurück, soweit keine gesetzliche Pflicht zur Speicherung besteht.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt Ihnen auf Anfrage die Informationen zur Verfügung, die Sie zum Nachweis der Einhaltung dieses Vertrags brauchen. Überprüfungen und Inspektionen, auch durch einen von Ihnen beauftragten Prüfer, sind nach angemessener Vorankündigung möglich. Für das Rechenzentrum genügt in der Regel ein aktuelles Zertifikat oder ein Prüfbericht des Betreibers.

11. Abgrenzung

Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die der Anbieter selbst verantwortlich ist: die Abo-Verwaltung über Apple, Google und Adapty, die Geräteprüfung der Testphase und die Sicherheitsprotokolle des Servers. Sie sind in der Datenschutzerklärung beschrieben.

12. Schlussbestimmungen

Der Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Fordern Sie ihn per E-Mail an 04vision04@protonmail.com an. Sie erhalten eine vom Auftragsverarbeiter unterschriebene Fassung als PDF. Mit Eingang der von Ihnen unterschriebenen Fassung kommt der Vertrag zustande. Bewahren Sie beide Fassungen und den E-Mail-Verlauf als Nachweis auf.

In Fragen des Datenschutzes geht dieser Vertrag den AGB vor. Für die Haftung gilt Art. 82 DSGVO. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.

13. Kontakt

E-Mail: 04vision04@protonmail.com