Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag regelt nach Art. 28 DSGVO, wie Blitzrechnung personenbezogene Daten im Auftrag seiner Kunden verarbeitet. Er gilt für alle Kunden ohne gesonderte Unterschrift und wird mit der Annahme der AGB Teil des Nutzungsvertrags.

Parteien

Verantwortlicher („Auftraggeber“): der Kunde, der Blitzrechnung für seine Rechnungsstellung nutzt, wie im Kundenkonto hinterlegt.

Auftragsverarbeiter („Auftragnehmer“): Till Kemper, Blütenstraße 19a, 80799 München, E-Mail: hello@till.email, Betreiber von Blitzrechnung.

Präambel

Der Auftragnehmer stellt dem Auftraggeber mit Blitzrechnung eine Software zur Erstellung, Verwaltung, Archivierung und zum Versand von Rechnungen bereit (Software as a Service). Dabei verarbeitet der Auftragnehmer personenbezogene Daten, für die der Auftraggeber Verantwortlicher ist. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten beider Parteien. Bei Widersprüchen geht er den übrigen Vereinbarungen vor, soweit es um den Schutz personenbezogener Daten geht.

§ 1 Gegenstand, Dauer, Art und Zweck

1. Gegenstand: Bereitstellung und Betrieb von Blitzrechnung. Dazu gehören das Speichern von Stammdaten, Kontakten und Rechnungen, das Erzeugen von PDF- und E-Rechnungen (ZUGFeRD/XRechnung), deren Archivierung sowie der Versand per E-Mail im Auftrag des Auftraggebers.
2. Dauer: Der Vertrag läuft so lange wie der Nutzungsvertrag über Blitzrechnung. Pflichten zu Löschung, Rückgabe und Vertraulichkeit gelten darüber hinaus.
3. Art der Verarbeitung: Erheben, Speichern, Ordnen, Abfragen, Verwenden, Übermitteln (Rechnungsversand), Archivieren und Löschen.
4. Zweck: ausschließlich die Erbringung der vertraglich geschuldeten Leistung. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt.
5. Ort: Die Verarbeitung erfolgt in der EU bzw. im EWR. Eine Übermittlung in ein Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO (siehe Anlage 3).
6. Datenkategorien und Betroffene stehen in Anlage 1.

§ 2 Weisungsbefugnis

1. Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung der Funktionen von Blitzrechnung (z. B. „Rechnung senden“, „Kontakt löschen“).
2. Weitere Weisungen erteilt der Auftraggeber in Textform.
3. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung bis zur Klärung aussetzen.
4. Ist der Auftragnehmer gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dies vorab mit, soweit das Gesetz dies nicht verbietet.

§ 3 Pflichten des Auftragnehmers

1. Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
2. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
3. Er unterstützt den Auftraggeber bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
4. Verletzungen des Schutzes personenbezogener Daten meldet er dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
5. Ansprechpartner für Datenschutz ist Till Kemper, hello@till.email. Ein Datenschutzbeauftragter ist nicht benannt, da gesetzlich nicht erforderlich.
6. Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 4 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten stehen in Anlage 3 und gelten als genehmigt.
2. Änderungen kündigt der Auftragnehmer in der Regel 14 Tage vorher, spätestens unverzüglich nach eigener Kenntnis, per E-Mail oder in der Anwendung an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kommt keine Einigung zustande, können beide Seiten den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.
3. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO).
4. Erfolgt eine Verarbeitung außerhalb des EWR oder durch ein Unternehmen mit Sitz in einem Drittland, stellt der Auftragnehmer sicher, dass Art. 44 ff. DSGVO eingehalten sind, insbesondere durch einen Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework) oder EU-Standardvertragsklauseln.
5. Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation, Post- und Zahlungsdienste oder Leistungen, die der Auftragnehmer als eigener Verantwortlicher bezieht.

§ 5 Rechte der betroffenen Personen

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen dabei, Anfragen betroffener Personen nach Art. 12 bis 22 DSGVO zu beantworten. Der Auftraggeber kann Daten in Blitzrechnung selbst einsehen, berichtigen, exportieren und löschen. Erreicht eine Anfrage den Auftragnehmer direkt, leitet er sie unverzüglich an den Auftraggeber weiter.

§ 6 Kontrollrechte

1. Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind.
2. Den Nachweis kann er auch durch aktuelle Prüfberichte oder Zertifikate seiner Unterauftragsverarbeiter (z. B. ISO 27001, SOC 2) erbringen. Bei Unterauftragsverarbeitern erfolgt die Kontrolle ausschließlich auf diesem Weg.
3. Vor-Ort-Kontrollen sind nach Ankündigung mit mindestens 14 Tagen Vorlauf während der Geschäftszeiten möglich, höchstens einmal pro Jahr, außer bei konkretem Anlass. Der Auftraggeber trägt seine Kosten selbst.

§ 7 Löschung und Rückgabe

1. Nach Ende des Nutzungsvertrags kann der Auftraggeber seine Daten innerhalb von 30 Tagen exportieren.
2. Danach löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers, einschließlich Kopien. Datensicherungen werden im Rahmen der regulären Rotation spätestens nach 30 Tagen überschrieben.
3. Gesetzliche Aufbewahrungspflichten des Auftragnehmers bleiben unberührt. Die Aufbewahrung von Rechnungen nach § 147 AO und § 14b UStG ist Pflicht des Auftraggebers. Er muss seine Rechnungen vor Vertragsende exportieren.

§ 8 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregeln des Nutzungsvertrags (§ 10 der AGB), soweit Art. 82 DSGVO nicht entgegensteht.

§ 9 Schlussbestimmungen

1. Änderungen bedürfen der Textform.
2. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.
3. Es gilt deutsches Recht. Gerichtsstand ist München, soweit gesetzlich zulässig.

Anlage 1 – Daten und betroffene Personen

Betroffene	Datenkategorien
Kunden und Interessenten des Auftraggebers (Rechnungsempfänger)	Name, Firma, Anschrift, E-Mail, Telefon, USt-IdNr., Kundennummer, Ansprechpartner
Ansprechpartner bei Rechnungsempfängern	Name, Funktion, E-Mail, Telefon
Auftraggeber und seine Nutzer	Name, E-Mail, Login-Daten, Firmendaten, Bankverbindung (IBAN, BIC, Kontoinhaber), Steuernummer, Logo
Alle oben genannten	Rechnungsinhalte: Positionen, Beträge, Leistungszeiträume, Zahlungsstatus, Versandprotokolle

Besondere Kategorien nach Art. 9 DSGVO verarbeitet Blitzrechnung nicht bestimmungsgemäß. Der Auftraggeber trägt keine solchen Daten in Freitextfelder ein.

Anlage 2 – Technische und organisatorische Maßnahmen

Ziel	Maßnahmen
Zutrittskontrolle	Kein eigenes Rechenzentrum. Hosting ausschließlich bei zertifizierten Anbietern (ISO 27001 / SOC 2), siehe Anlage 3.
Zugangskontrolle	Anmeldung über Supabase Auth, Passwörter nur als Hash. Administrative Zugänge zu Hosting und Datenbank mit Zwei-Faktor-Authentifizierung.
Zugriffskontrolle	Row-Level-Security in der Datenbank: Jeder Nutzer sieht nur die Daten seiner Firma. Archivdateien sind nicht öffentlich abrufbar. Produktivzugriff hat nur ein Administrator, der Auftragnehmer selbst.
Trennungskontrolle	Mandantentrennung über Firmen-ID und Row-Level-Security. Getrennte Umgebungen für Entwicklung und Produktion.
Weitergabekontrolle	Transport ausschließlich verschlüsselt (TLS). E-Mail-Versand über authentifizierte Absenderdomains (SPF, DKIM).
Verschlüsselung	Datenbank und Speicher bei den Anbietern im Ruhezustand verschlüsselt (AES-256).
Eingabekontrolle	Finalisierte Rechnungen sind unveränderlich (GoBD). Protokollierung von Anmeldungen und Versand.
Verfügbarkeit	Tägliche Datensicherung der Datenbank durch Supabase, Aufbewahrung 7 Tage. Redundante Speicherung der Archivdateien.
Belastbarkeit	Automatisch skalierende Infrastruktur bei Vercel und Supabase.
Wiederherstellung	Wiederherstellung aus Backups, regelmäßig getestet.
Auftragskontrolle	AVV mit allen Unterauftragsverarbeitern, Auswahl nach Sicherheitsnachweisen.
Datenschutz-Management	Verpflichtung auf Vertraulichkeit, Datenminimierung, jährliche Überprüfung dieser Maßnahmen.

Anlage 3 – Unterauftragsverarbeiter

Alle Kundendaten liegen in der EU. Drei Anbieter haben ihren Sitz außerhalb der EU (USA, Singapur). Für sie gelten das EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln.

Anbieter	Leistung	Ort der Verarbeitung	Garantie für Drittland
Vercel Inc., San Francisco, USA	Hosting und Ausführung der Anwendung	Frankfurt (fra1)	DPF, Standardvertragsklauseln
Supabase Pte. Ltd., 65 Chulia Street, Singapur	Datenbank, Anmeldung	Irland (AWS eu-west-1)	Standardvertragsklauseln
Cloudflare, Inc., San Francisco, USA	Rechnungsarchiv (PDF, XML) in Cloudflare R2	EU (Bucket mit EU-Jurisdiktion)	DPF, Standardvertragsklauseln
AhaSend B.V., Willem Fenengastraat 16, 1096 BN Amsterdam, Niederlande	Rechnungsversand per E-Mail	Deutschland, Finnland	Nicht nötig (EU)

Die Abrechnung des Blitzrechnung-Abonnements über Stripe ist keine Auftragsverarbeitung: Diese Daten verarbeitet der Auftragnehmer als eigener Verantwortlicher. Näheres steht in der Datenschutzerklärung.