Auftragsverarbeitungsvertrag (AVV) nach Art. 28 Abs. 3 DSGVO

Zwischen dem Kunden, der diesen Vertrag bei der Registrierung oder bei der Buchung eines Tarifs elektronisch abschließt,

– nachfolgend „Verantwortlicher“ genannt –

und

Finbc GmbH (rechnungsapi.de), vertreten durch den Geschäftsführer Stefan Grimm, Nieder-Olmer-Str. 17, 55270 Essenheim, Deutschland

– nachfolgend „Auftragsverarbeiter“ genannt –

– zusammen auch „die Parteien“ genannt –

Diese Vereinbarung dient als standardisierte Grundlage für die datenschutzkonforme Auftragsverarbeitung im Rahmen der Nutzung der rechnungsapi.de-Dienste.

Dieser Standard-AVV gilt für die Self-Service-Tarife (Free, Standard und Zusatzpakete) und wird bei der Registrierung bzw. Buchung elektronisch abgeschlossen. In Managed-Tarifen (Enterprise) gilt er ebenfalls; er kann dort auf Wunsch in Textform mit Unterschrift abgeschlossen werden. Individuelle Abweichungen werden ausschließlich in einer gesonderten Anlage „Individuelle Vereinbarungen“ festgehalten; der Text dieser Vereinbarung bleibt unverändert.

§ 1 Gegenstand und Dauer der Vereinbarung

1. Der Auftragsverarbeiter erbringt Leistungen im Bereich der automatisierten Verarbeitung strukturierter Rechnungsdaten über eine REST-API-Schnittstelle, insbesondere Validierung, Transformation und Generierung konformer elektronischer Rechnungsformate (XRechnung, ZUGFeRD gemäß EN 16931).
2. Die Dauer dieser Vereinbarung richtet sich nach der Laufzeit des zwischen den Parteien geschlossenen Hauptvertrages und endet automatisch mit dessen Ende.
3. Änderungen oder Ergänzungen bedürfen der Schriftform oder einer nachweisbaren elektronischen Dokumentation. Mündliche Nebenabreden haben keine Gültigkeit.
4. Diese Vereinbarung geht allen früheren Vereinbarungen betreffend die Verarbeitung personenbezogener Daten im Rahmen dieses Vertragsverhältnisses vor.

§ 2 Art und Zweck der Verarbeitung

1. Art der Verarbeitung: Automatisierte Analyse, Validierung und Transformation strukturierter Daten zur konformen Erzeugung maschinenlesbarer Rechnungsformate. Die KI-gestützte Erkennung von Rechnungsseiten (PDF, TIFF, PNG, JPG) ist ein eigener Verarbeitungsschritt, der in allen Tarifen genutzt werden kann (§ 2.3). Der E-Mail-Workflow erfolgt ohne KI. Ein Versand an Rechnungsempfänger erfolgt nur in Managed-Tarifen (Enterprise) bzw. im kostenlosen Tarif an die eigene Adresse des Verantwortlichen.
2. Zweck: Zusammenführung und Aufbereitung von Rechnungsdaten gemäß XRechnung, ZUGFeRD und GoBD zur Übergabe an Drittsysteme des Verantwortlichen (z. B. ERP, Buchhaltung, Leasing- oder Bankensysteme).
3. Kategorien betroffener Personen: Kunden, Lieferanten, Leasingnehmer, Kreditnehmer, Dienstleister sowie Mitarbeiter des Verantwortlichen.
4. Arten personenbezogener Daten: Namen, Adressen, Kontaktdaten, Bankdaten (IBAN/BIC), Steuer- und Umsatzsteuer-IDs, Vertragsnummern, Leasingvertragsdaten sowie alle weiteren auf Belegen enthaltenen Informationen.

§ 2.1 Validierungsprüfungen durch rechnungsapi.de

Im Zuge der Verarbeitung führt der Auftragsverarbeiter folgende automatisierte Prüfungen durch:

• Strukturprüfung (Schema-Validierung): Prüfung gemäß XRechnung CIUS DE und ZUGFeRD-Profilen (EN 16931).
• Pflichtfeldprüfung: Vollständigkeit aller gesetzlich vorgeschriebenen Felder (Rechnungsnummer, Leistungsdatum, IBAN etc.).
• Steuer- und Positionsberechnung: Plausibilitätsprüfung aller Beträge inkl. MwSt. und Gesamtsummenabgleich.
• Kodierungsprüfung: Abgleich gegen UNTDID- und PEPPOL-Codelisten gemäß EU-Norm.
• IBAN-Validierung: Formale Prüfung gemäß ISO 13616, optionale BIC-Plausibilitätsprüfung.
• UStIdNr.-Validierung: Formale Prüfung nach länderspezifischen Formatregeln (VIES-kompatibel).
• KI-gestützte Rechnungserkennung: nur bei Nutzung der Extraktions-APIs, siehe § 2.3.
• ZUGFeRD-Konformitätsprüfung: Korrekte XML-Einbettung gemäß ZUGFeRD-Spezifikation und PDF/A-3b-Konformität.
• GoBD-Protokollierung: Jeder API-Aufruf wird mit Zeitstempel, Vorgangsnummer und Status protokolliert. Die Protokolle enthalten keine Rechnungsinhalte.

§ 2.2 Speicherdauer und Löschung

1. Rechnungsdaten werden unmittelbar nach der Verarbeitung gelöscht. Abweichend davon gilt:
   • Idempotenz-Cache: Speicherung für 24 Stunden, um doppelte Verarbeitungen zu vermeiden.
   • Download-URLs für erzeugte Dokumente: gültig für 1 Stunde.
   • Protokolldaten: ohne Rechnungsinhalte und ohne Kundendaten aus Rechnungen.
2. Hiervon unberührt bleibt die zeitlich begrenzte Verarbeitung technisch erforderlicher Betriebs- und Protokolldaten sowie die vorübergehende Vorhaltung von Daten zur Fehleranalyse im Mindestmaß.
3. Soweit der Verantwortliche eine dauerhafte Speicherung wünscht, bedarf dies einer gesonderten Vereinbarung oder dokumentierten Weisung.

§ 2.3 KI-gestützte Erkennung von Rechnungsseiten

Die KI-gestützte Erkennung von Rechnungsseiten (PDF, TIFF, PNG, JPG) findet nur statt, wenn der Verantwortliche die Extraktions-APIs nutzt. Seiten, die auf der eigenen Instanz bei netcup nicht zuverlässig erkannt werden, werden an Mistral AI übermittelt; Mistral AI speichert die übermittelten Daten nicht und nutzt sie nicht für das Training von Modellen. Die Erzeugung von E-Rechnungen aus strukturierten Daten, die Validierung und der E-Mail-Workflow erfolgen ohne KI. Nutzt der Verantwortliche die Extraktions-APIs nicht, werden keine Daten an die für die KI-Erkennung eingesetzten Unterauftragsverarbeiter übermittelt.

§ 3 Pflichten des Auftragsverarbeiters

1. Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, der Auftragsverarbeiter ist durch EU-Recht oder mitgliedstaatliches Recht zur Verarbeitung verpflichtet; in diesem Fall informiert er vorab.
2. Alle zur Verarbeitung berechtigten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Diese Pflicht besteht über das Vertragsende hinaus.
3. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage „Technische und organisatorische Maßnahmen (TOM)“ beschrieben sind (TOM).
4. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten gemäß Kapitel III DSGVO.
5. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit, Meldepflichten, DSFA, vorherige Konsultation).
6. Nach Vertragsende löscht oder gibt der Auftragsverarbeiter auf Wahl des Verantwortlichen alle personenbezogenen Daten zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
7. Der Auftragsverarbeiter stellt alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung und ermöglicht Prüfungen.
8. Erkennt der Auftragsverarbeiter, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Verantwortlichen unverzüglich darauf hin und kann die Ausführung aussetzen.

§ 4 Unterauftragsverhältnisse

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern. Jedem Unterauftragsverarbeiter werden dieselben Datenschutzpflichten auferlegt.
2. Die jeweils aktuell eingesetzten Unterauftragsverarbeiter, ihr Zweck, ihr Standort und die Angabe, wann sie an der Verarbeitung beteiligt sind, ergeben sich aus der Online-Liste unter rechnungsapi.de/unterauftragsverarbeiter. Zum Zeitpunkt dieser Version sind dies: Necara GmbH, netcup GmbH, Mistral AI SAS, Microsoft Ireland Operations Ltd. sowie bei gebuchtem Zusatzmodul Peppol der Peppol-Partner.
3. Der Auftragsverarbeiter informiert den Verantwortlichen über Änderungen an Unterauftragsverarbeitern mit mindestens 30 Tagen Vorlaufzeit über die Online-Liste und per E-Mail an den hinterlegten Datenschutz-Kontakt des Verantwortlichen. Der Verantwortliche hat das Recht zum begründeten Widerspruch.
4. Der Auftragsverarbeiter haftet für Pflichtverletzungen von Unterauftragsverarbeitern wie für eigene Verarbeitungen.

§ 5 Kontroll- und Prüfrechte

1. Der Verantwortliche ist berechtigt, die Einhaltung dieser Vereinbarung in angemessenem Umfang selbst oder durch Dritte zu überprüfen.
2. Prüfungen sind mit mindestens 21 Arbeitstagen Vorlaufzeit anzumelden und können auf technisch unkritische Zeitfenster beschränkt werden.
3. Der Auftragsverarbeiter stellt auf Anfrage Zertifikate oder gleichwertige Nachweise zur Verfügung. Bis zur Erlangung der ISO-27001-Zertifizierung werden äquivalente organisatorische Nachweise bereitgestellt.
4. Informationen aus Prüfungen unterliegen der Vertraulichkeit.
5. Der Auftragsverarbeiter ist berechtigt, unverhältnismäßige Prüfanfragen abzulehnen und Alternativen anzubieten.

§ 6 Meldung von Datenschutzverletzungen

1. Datenschutzverletzungen gem. Art. 33/34 DSGVO werden unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnisnahme, an den Verantwortlichen gemeldet (Art, betroffene Personen, Folgen, Maßnahmen).
2. Der Auftragsverarbeiter führt ein internes Incident-Register gemäß Art. 33 Abs. 5 DSGVO und stellt Auszüge auf Anfrage zur Verfügung.
3. Eskalation an die Geschäftsführung: Stefan Grimm, stefan.grimm@finbc.de.
4. Service Level, Support und Reaktionszeiten sind nicht Gegenstand dieser Vereinbarung; sie ergeben sich aus der Leistungsbeschreibung des jeweiligen Tarifs.

§ 7 Datenschutzbeauftragter

1. Datenschutzbeauftragter (DSB) des Auftragsverarbeiters gemäß Art. 37 DSGVO: Umar Khan, Finbc GmbH, Nieder-Olmer-Str. 17, 55270 Essenheim, umar.khan@finbc.de.
2. Soweit der Verantwortliche zur Benennung eines DSB verpflichtet ist, teilt er dessen Kontaktdaten mit.
3. Der Auftragsverarbeiter unterstützt den DSB des Verantwortlichen auf Anfrage bei Betroffenenanfragen und Datenschutz-Folgenabschätzungen.

§ 8 Pflichten des Verantwortlichen

1. Der Verantwortliche ist allein verantwortlich für die Rechtmäßigkeit der Datenverarbeitung und stellt eine geeignete Rechtsgrundlage gemäß Art. 6 DSGVO sicher.
2. Der Verantwortliche informiert betroffene Personen gemäß Art. 13/14 DSGVO.
3. Der Verantwortliche übermittelt ausschließlich die für die Leistungserbringung erforderlichen Daten (Datensparsamkeit, Art. 5 Abs. 1 lit. c DSGVO).
4. Der Verantwortliche gewährleistet angemessene TOM auf seiner Seite.

§ 9 Betroffenenrechte

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 15–20 DSGVO) innerhalb von 72 Stunden nach Anfrage.
2. An den Auftragsverarbeiter direkt gerichtete Anfragen werden unverzüglich an den Verantwortlichen weitergeleitet.
3. Entscheidungskompetenz über Betroffenenanfragen verbleibt ausschließlich beim Verantwortlichen.

§ 10 Haftung

1. Der Auftragsverarbeiter haftet für Schäden bei weisungswidrigem oder rechtswidrigem Handeln.
2. Beide Parteien sind befreit, soweit der Schaden auf einer Weisung oder Handlung des Verantwortlichen beruht.
3. Im Übrigen gilt der Hauptvertrag. Art. 82 DSGVO bleibt unberührt.

§ 11 KI-Act-Hinweis (EU AI Act)

1. Der Auftragsverarbeiter setzt KI-Systeme ein, die standardmäßig auf einer eigenen Instanz bei netcup in Deutschland betrieben werden; ergänzend wird Mistral AI nach Maßgabe von § 2.3 eingesetzt. Diese Systeme klassifizieren sich nach Verordnung (EU) 2024/1689 voraussichtlich als Systeme mit geringem Risiko (Art. 50 ff.).
2. Der Auftragsverarbeiter prüft seine KI-Systeme vor Anwendbarkeit des EU AI Act auf Konformität und hält Transparenz- und Dokumentationspflichten ein.
3. Ausschließlich automatisierte Entscheidungen mit Rechtswirkung für betroffene Personen werden durch den Auftragsverarbeiter nicht getroffen.
4. Die Parteien passen diese Vereinbarung an, sofern der EU AI Act konkrete zusätzliche Pflichten begründet.

§ 12 Übermittlung in Drittländer

1. Die Verarbeitung erfolgt in der EU.
2. Für die E-Mail-Kommunikation mit dem Auftragsverarbeiter (Support, Rückfragen) wird Microsoft 365 eingesetzt; dies betrifft nicht die Verarbeitung über die API und nicht den automatisierten E-Mail-Workflow. Microsoft Ireland Operations Ltd. verarbeitet in der EU (EU Data Boundary); wegen der US-Konzernmutter ist ein Zugriff aus den USA nicht ausgeschlossen. Dieser ist über das EU-U.S. Data Privacy Framework und Standardvertragsklauseln abgesichert.

§ 13 Schlussbestimmungen

1. Sollten einzelne Bestimmungen unwirksam sein, bleibt die übrige Vereinbarung wirksam. Es gilt eine wirksame Regelung, die dem wirtschaftlichen Zweck am nächsten kommt.
2. Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.
3. Diese Vereinbarung ist integraler Bestandteil des Hauptvertrages; bei Widersprüchen gehen datenschutzrechtliche Regelungen dieser AVV vor.
4. Änderungen bedürfen der Schriftform.
5. Der Auftragsverarbeiter kann diese Vereinbarung bei wesentlichen Änderungen der Rechtslage anpassen (30 Tage Frist; kein Widerspruch gilt als Genehmigung).
6. Diese Vereinbarung wird elektronisch abgeschlossen, indem der Verantwortliche ihr bei der Registrierung oder bei der Buchung eines Tarifs ausdrücklich zustimmt; einer Unterschrift bedarf es nicht. Version und Prüfsumme des zugestimmten Textes werden dokumentiert. Maßgeblich ist die deutsche Fassung.

Anlage: Technische und organisatorische Maßnahmen (TOM)