Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO · Anlage zu den AGB von xrio — Vertragsbestandteil, angenommen und geändert mit den AGB (AGB § 3 Abs. 2, § 8 Abs. 1)

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien bei der Nutzung des Dienstes xrio: der Prüfung, Erstellung und Darstellung elektronischer Rechnungen über die REST-API, den MCP-Server und das Portal.

Verantwortlicher (Auftraggeber): der Kunde, Unternehmer im Sinne des § 14 BGB, für jedes von ihm angelegte Konto.

Auftragsverarbeiter (Auftragnehmer): Nicolas Goldstrass (Einzelunternehmen), Wackersbergerstr. 33, 81371 München, Deutschland, USt-IdNr. DE328430647.

§ 1 Gegenstand und Dauer

1. Gegenstand der Verarbeitung ist die Erbringung der Leistungen von xrio nach den AGB (Hauptvertrag): die Prüfung übermittelter E-Rechnungen, die Erzeugung von E-Rechnungen aus übermittelten Werten und die Darstellung einer E-Rechnungs-XML als PDF-Ansicht.
2. Die Dauer entspricht der Laufzeit des Hauptvertrags. Mit dessen Ende endet auch dieser AVV; § 10 bleibt anwendbar.

§ 2 Art, Umfang und Zweck der Verarbeitung; Datenarten; Betroffene

1. Art und Zweck: Verarbeitung übermittelter Rechnungswerte und Rechnungsdateien ausschließlich zur Erbringung der Leistung — Prüfung gegen EN 16931 und XRechnung, Erzeugung von XRechnung- und ZUGFeRD-Dateien, Darstellung als PDF — und nach Weisung des Verantwortlichen. Dokumente werden nicht mit künstlicher Intelligenz ausgelesen und an keinen KI-Dienst übermittelt; Daten des Verantwortlichen dienen keinem Training.
2. Kategorien personenbezogener Daten (typischer Rechnungsinhalt): Namen und Anschriften von Rechnungsstellern, Rechnungsempfängern und Ansprechpartnern; Umsatzsteuer-Identifikationsnummern und Steuernummern; Bankverbindungen (IBAN, BIC); Rechnungs-, Positions- und Betragsdaten, Leistungsbeschreibungen; gegebenenfalls E-Mail-Adressen, Telefonnummern, Kunden- und Bestellnummern, Leitweg-IDs.
3. Kategorien betroffener Personen: Kunden, Lieferanten, Geschäftspartner, Ansprechpartner und Beschäftigte des Verantwortlichen, soweit sie in den verarbeiteten Rechnungen erscheinen.
4. Besondere Datenkategorien (Art. 9 DSGVO) sind nicht Gegenstand dieses Vertrags und vom Verantwortlichen nicht einzubringen.
5. Was der Auftragnehmer sieht und behält: Eine zur Prüfung übermittelte Datei wird im Arbeitsspeicher verarbeitet und nicht gespeichert; der Verlauf hält nur Metadaten (Zeit, Ergebnis, Befundkennungen, Kosten), keine Rechnungsinhalte. Die Werte einer zu erstellenden Rechnung und eine zur Darstellung übermittelte XML werden nur für die Dauer des Auftrags gehalten. Erzeugte Dateien (XML, PDF, PDF-Ansicht) werden sieben Tage im Objektspeicher aufbewahrt und dann gelöscht; der Verantwortliche kann sie jederzeit früher löschen. Protokolle enthalten keine Rechnungsinhalte (Freigabeliste der protokollierten Felder).

§ 3 Weisungen des Verantwortlichen

1. Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Die Nutzung des Dienstes in seiner dokumentierten Funktion — ein Aufruf über die API, den MCP-Server oder das Portal — gilt als Weisung. Ergänzende Weisungen erteilt der Verantwortliche in Textform an service@xrio.de.
3. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Pflichten des Auftragnehmers

1. Vertraulichkeit: Der Auftragnehmer verpflichtet alle mit der Verarbeitung befassten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Derzeit verarbeitet der Auftragnehmer die Daten allein; Beschäftigte oder Beauftragte werden vor dem Zugriff verpflichtet.
2. Datensicherheit: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.
3. Unterstützung: Der Auftragnehmer unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
4. Zweckbindung: Der Auftragnehmer nutzt die Daten des Verantwortlichen nicht für eigene Zwecke, gibt sie nicht an Dritte weiter und verwendet sie insbesondere nicht zum Training von KI-Modellen.
5. Löschung: Nach Ende der Leistung löscht der Auftragnehmer die Daten nach § 10.
6. Nachweis: Der Auftragnehmer stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung (§ 9).

§ 5 Technische und organisatorische Maßnahmen

Die getroffenen Maßnahmen ergeben sich aus Anlage 1. Der Auftragnehmer darf sie fortentwickeln, sofern das Schutzniveau nicht unterschritten wird; wesentliche Änderungen teilt er dem Verantwortlichen im Portal mit.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt allgemein den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 1 DSGVO).
2. Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen zu ersetzen, informiert er den Verantwortlichen mindestens 30 Tage vorab per E-Mail und im Portal. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen; können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.
3. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags gleichwertig sind (Art. 28 Abs. 4 DSGVO).
4. Rechnungsinhalte des Verantwortlichen werden ausschließlich in Deutschland verarbeitet und gespeichert (Hetzner Online GmbH, Rechenzentrum Nürnberg). Eine Übermittlung von Rechnungsinhalten in Drittländer findet nicht statt (§ 11).

§ 7 Unterstützung bei Rechten der betroffenen Personen

Der Auftragnehmer unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO). An ihn gerichtete Anfragen betroffener Personen, die Daten des Verantwortlichen betreffen, leitet er unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst. Da Rechnungsinhalte spätestens nach sieben Tagen gelöscht sind, beschränkt sich die Unterstützung in der Regel auf Auskunft über diese Fristen und die vorzeitige Löschung von Ergebnisdateien.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich nach Bekanntwerden — in der Regel innerhalb von 24 Stunden — an die Anmelde-E-Mail-Adresse des Kontos, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO, und unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

§ 9 Kontrollrechte und Nachweise

1. Der Auftragnehmer weist die Einhaltung dieses Vertrags nach — vorrangig durch die Dokumentation nach Anlage 1 und 2, die Zertifizierungen seiner Unterauftragsverarbeiter (für Hetzner: ISO/IEC 27001 der Rechenzentren) und durch Auskünfte in Textform.
2. Der Verantwortliche kann sich nach angemessener Vorankündigung (mindestens 14 Tage) einmal jährlich sowie bei konkretem Anlass von der Einhaltung überzeugen; Kontrollen erfolgen zu üblichen Geschäftszeiten und ohne Störung des Betriebs. Soweit ein unabhängiger Prüfbericht vorliegt, genügt dessen Vorlage.

§ 10 Löschung und Rückgabe nach Vertragsende

1. Ergebnisdateien werden ohne weiteres Zutun spätestens sieben Tage nach ihrer Erzeugung gelöscht; der Verantwortliche kann sie jederzeit vorher über das Portal oder die API löschen und bis dahin herunterladen. Eine Rückgabe darüber hinaus ist nicht vorgesehen, da der Auftragnehmer keine Rechnungsinhalte dauerhaft speichert.
2. Mit Beendigung des Hauptvertrags löscht der Auftragnehmer die Firmendaten, Bankverbindungen und das Logo des Kontos sowie den Verlauf, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien der Datenbank, die diese Daten enthalten, werden spätestens nach 30 Tagen überschrieben.
3. Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

§ 11 Verarbeitung in Drittländern

1. Rechnungsinhalte werden ausschließlich in Deutschland verarbeitet und gespeichert (Anlage 2). Eine Übermittlung in Drittländer findet nicht statt.
2. Der Zahlungsdienstleister Stripe verarbeitet die Zahlungsbeziehung zwischen Auftragnehmer und Verantwortlichem (Aufladungen, Rechnungen über Aufladungen); er erhält keine Rechnungsinhalte. Diese Verarbeitung ist nicht Gegenstand dieses AVV; sie ist in der Datenschutzerklärung beschrieben. Soweit Stripe Daten in die USA übermittelt, ist dies durch die EU-Standardvertragsklauseln und die Zertifizierung von Stripe, Inc. nach dem EU-US Data Privacy Framework abgesichert.

§ 12 Haftung

Es gilt die Haftungsregelung des Hauptvertrags (AGB § 12). Art. 82 DSGVO bleibt unberührt.

§ 13 Schlussbestimmungen

1. Bei Widersprüchen geht dieser AVV dem Hauptvertrag in Fragen des Datenschutzes vor.
2. Änderungen und Ergänzungen bedürfen der Textform; das elektronische Format genügt (Art. 28 Abs. 9 DSGVO). Dieser AVV wird mit den AGB angenommen und geändert (AGB § 13).
3. Es gilt deutsches Recht.
4. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Betrieb auf einem dedizierten virtuellen Server und in einem privaten Objektspeicher der Hetzner Online GmbH (Rechenzentrum Nürnberg, ISO/IEC 27001-zertifiziert); Zutritt zum Rechenzentrum nur für Hetzner.
• Zugang zum Server ausschließlich über SSH mit Schlüsseln; keine Passwort-Anmeldung. Verwaltungszugang zum Dienst (Kundenverwaltung) nur für den Auftragnehmer über eine eigene Anmeldung mit Anmeldelink an eine festgelegte Adresse; jede Verwaltungshandlung an einem Konto wird mit Zeit, Bearbeiter und Grund protokolliert und ist weder änderbar noch löschbar.
• Mandantentrennung: jedes Konto sieht nur seine eigenen Daten; API-Schlüssel und Verbindungen von KI-Anwendungen gehören genau einem Konto. API-Schlüssel und Sitzungen werden nur als Hash gespeichert; Zugangstoken verbundener KI-Anwendungen sind kurzlebig (eine Stunde) und werden rotiert.
• Datenbankrollen mit minimalen Rechten; Geheimnisse (Datenbankpasswort, Speicherschlüssel, Zahlungsschlüssel) liegen nur in der Serverkonfiguration, nie im Quellcode.

Integrität

• Transportverschlüsselung (TLS 1.2 oder höher) für Portal, API, MCP-Server und E-Mail-Versand; HTTP wird auf HTTPS umgeleitet.
• Upload-Links sind einmal gültig und verfallen nach zehn Minuten; Download-Links sind signiert und verfallen nach 24 Stunden.
• Jede erzeugte Datei wird vor der Herausgabe mit dem amtlichen Prüfwerkzeug geprüft; jede Ergebnisdatei trägt eine Prüfsumme (SHA-256).
• Protokollierung ohne Inhalte: Protokolle enthalten nur freigegebene Felder (Kennungen, Zeiten, Ergebnisse, Fehlercodes), nie Rechnungsinhalte, Schlüssel oder Passwörter.

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung der Datenbank vor jedem Deployment und nachts in den Objektspeicher; die letzten 30 Sicherungen werden aufbewahrt. Ergebnisdateien werden nicht gesichert, da sie nach sieben Tagen gelöscht werden.
• Ressourcenbegrenzung je Dienstkomponente, Begrenzung der Dateigröße und der gleichzeitigen Aufrufe, Lastüberwachung mit Alarm an den Auftragnehmer.
• Versionierter, automatisierter Deployment-Prozess mit Prüfungen vor jeder Veröffentlichung und Rückrollen bei Fehlschlag.

Datenminimierung und Löschung

• Zur Prüfung übermittelte Dateien werden nicht gespeichert; Ergebnisdateien werden durch eine Löschregel des Objektspeichers nach sieben Tagen entfernt, der Verlauf hält nur Metadaten.
• Protokolle des Webservers (IP-Adresse, Zeit, Adresse, Status) werden nach 14 Tagen gelöscht; Ereignisprotokolle des Dienstes nach 90 Tagen.

Verfahren zur regelmäßigen Überprüfung

• Abhängigkeiten und Betriebssystem werden regelmäßig aktualisiert; Sicherheitshinweise der eingesetzten Komponenten (insbesondere des KoSIT-Prüfwerkzeugs) werden verfolgt und zeitnah eingespielt.
• Jede Änderung am Dienst durchläuft automatisierte Prüfungen; Vorfälle werden dokumentiert und ausgewertet.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Nicht Unterauftragsverarbeiter im Sinne dieses Vertrags, zur Transparenz genannt: Stripe Payments Europe, Ltd. (Zahlungsabwicklung der Aufladungen, eigene Verarbeitung nach der Datenschutzerklärung), ALL-INKL.COM – Neue Medien Münnich (Domain, DNS und das Postfach des Auftragnehmers für Anfragen des Verantwortlichen), Google Ireland Limited und Microsoft Ireland Operations Limited (Anmeldung mit einem Google- oder Microsoft-Konto, eigene Verantwortliche).

Stand: 13. Oktober 2026 · Anlage zu den AGB, Fassung mit AGB 1.3