Vereinbarung zur Auftragsverarbeitung

1. Parteien

Auftragnehmer ist Christian Wagner, Schlesienstraße 4b, 24558 Henstedt-Ulzburg, erreichbar unter kontakt@xrechnungsretter.de. Auftraggeber ist die natürliche oder juristische Person, Behörde oder sonstige Stelle, in deren Auftrag der zustimmende Nutzer die Rechnungsdaten verarbeitet.

2. Gegenstand, Zweck und Dauer

Gegenstand ist ausschließlich die technische Validierung einer vom Auftraggeber ausgewählten XML-Rechnung mit dem KoSIT Validator und die Rückgabe des Prüfberichts. Der Auftrag beginnt mit dem Start der Serverprüfung und endet mit Rückgabe des Ergebnisses und Löschung des temporären Arbeitsverzeichnisses. Eine Archivierung ist nicht geschuldet.

3. Art der Verarbeitung und Datenkategorien

Die XML-Datei wird verschlüsselt übertragen, kurzfristig in einem isolierten Arbeitsverzeichnis gespeichert, technisch geprüft und anschließend gelöscht. Verarbeitet werden können insbesondere Stamm-, Adress-, Kontakt-, Vertrags-, Leistungs-, Steuer-, Zahlungs- und Bankverbindungsdaten sowie technische Metadaten und Freitexte.

Betroffene Personen können insbesondere Rechnungsaussteller, Rechnungsempfänger, deren Beschäftigte und Ansprechpartner sowie Lieferanten, Kunden und sonstige in der Rechnung genannte Personen sein. Besondere Kategorien personenbezogener Daten sollen nicht übermittelt werden.

4. Weisungen und Pflichten des Auftraggebers

Das Starten der Prüfung ist die dokumentierte Weisung zur beschriebenen Verarbeitung. Der Auftraggeber bleibt für Rechtmäßigkeit, Datenrichtigkeit, Informationspflichten und die Wahrung der Betroffenenrechte verantwortlich. Rechtswidrige oder über den beschriebenen Zweck hinausgehende Weisungen dürfen zurückgewiesen werden.

5. Pflichten des Auftragnehmers

Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung, verpflichtet zugriffsberechtigte Personen zur Vertraulichkeit, trifft angemessene technische und organisatorische Maßnahmen und unterstützt den Auftraggeber im Rahmen der verfügbaren Informationen bei Betroffenenanfragen, Sicherheitsvorfällen, Datenschutz-Folgenabschätzungen und Konsultationen.

Der Auftragnehmer informiert den Auftraggeber unverzüglich über bekannt gewordene Verletzungen des Schutzes der Auftragsdaten und stellt die für dessen Pflichten nach Art. 33 und 34 DSGVO verfügbaren Informationen bereit.

6. Technische und organisatorische Maßnahmen

Die vereinbarten Maßnahmen sind in den technischen und organisatorischen Maßnahmen beschrieben. Der Auftragnehmer darf sie dem technischen Fortschritt entsprechend weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, für Hosting und Infrastruktur. Sie ist vertraglich nach Art. 28 DSGVO gebunden. Neue oder ersetzte Unterauftragsverarbeiter werden auf dieser Seite mindestens 14 Tage vor ihrem Einsatz angekündigt. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

8. Löschung, Nachweise und Kontrollen

Temporäre Rechnungsdateien und Prüfartefakte werden nach Abschluss der einzelnen Prüfung gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Der Auftragnehmer stellt die zum Nachweis der Einhaltung erforderlichen Informationen bereit und ermöglicht nach angemessener Vorankündigung erforderliche Kontrollen; berechtigte Geheimhaltungs- und Sicherheitsinteressen sind zu berücksichtigen.

9. Rangfolge und Schlussbestimmungen

Bei Widersprüchen zu anderen Nutzungsbedingungen geht diese Vereinbarung hinsichtlich der Auftragsverarbeitung vor. Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Version 2026-07-20