Auftragsverarbeitungsvertrag (AVV)

Parteien

Verantwortlicher: die natürliche oder juristische Person, die ein Spoonbill-Konto für ihre gewerbliche oder selbständige berufliche Tätigkeit nutzt (der „Verantwortliche“).

Auftragsverarbeiter: Dzmitry Kandratsenka, Einzelunternehmer (empresário em nome individual), handelnd als „DK Labs“, Rua Miguel Araujo 141, 4425-177 Porto, Portugal, Steuernummer (NIF) 317 045 709 (der „Auftragsverarbeiter“).

§ 1Gegenstand und Geltungsbereich

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen den Rechnungsdienst Spoonbill (der „Dienst“ oder „Spoonbill“) bereit: die Web-App, die iPhone-App und die Schnittstelle, über die beide arbeiten, nach den Nutzungsbedingungen von Spoonbill. Dabei verarbeitet er personenbezogene Daten, die der Verantwortliche über seine Kunden und andere Personen in Spoonbill eingibt oder über Spoonbill empfängt, im Auftrag des Verantwortlichen (die „Auftragsdaten“).

(2) Nicht Gegenstand dieses Vertrags sind Daten, für die der Auftragsverarbeiter selbst Verantwortlicher ist: die Konto- und Anmeldedaten des Verantwortlichen, die Abrechnung des Spoonbill-Abonnements, die Auswertung der Nutzung des Dienstes, die Werbemessung und Nachrichten an Spoonbill (Feedback). Für sie gilt die Datenschutzerklärung von Spoonbill.

(3) Dieser Vertrag gilt für jedes Konto, das für eine gewerbliche oder selbständige berufliche Tätigkeit genutzt wird. Er ergänzt die Nutzungsbedingungen.

§ 2Art, Zweck und Umfang der Verarbeitung

(1) Art und Zweck. Der Auftragsverarbeiter verarbeitet Auftragsdaten ausschließlich, um dem Verantwortlichen den Dienst zu erbringen. Dazu gehört:

• 1. Kundendaten speichern, anzeigen, ändern und löschen, auch durch Übernahme aus dem Adressbuch des Telefons, wenn der Verantwortliche sie auslöst;
• 2. Angebote und Rechnungen, auch wiederkehrende, erstellen, als PDF-Datei und, soweit der Tarif es umfasst, als elektronische Rechnung (zum Beispiel ZUGFeRD oder XRechnung) erzeugen und versandte Dokumente unverändert speichern;
• 3. Dokumente und dazugehörige Nachrichten per E-Mail an die Empfänger senden, die der Verantwortliche angibt: Rechnungen, Angebote, Annahmebestätigungen, Zahlungserinnerungen und Hinweise auf ablaufende Angebote, jeweils auf Veranlassung des Verantwortlichen oder nach seinen Einstellungen in Spoonbill;
• 4. zu jedem versandten Dokument eine Kundenseite unter einem persönlichen Link bereitstellen, auf der der Empfänger das Dokument ansehen und herunterladen, ein Angebot annehmen oder ablehnen und, wenn der Verantwortliche sein eigenes Stripe-Konto verbunden hat, per Karte bezahlen kann;
• 5. festhalten, wann ein Dokument versandt, erstmals geöffnet, angenommen, abgelehnt oder bezahlt wurde, und Zahlungen erfassen;
• 6. Anhänge speichern und mit dem Dokument versenden;
• 7. den Verantwortlichen auf seinem Telefon benachrichtigen, wenn er Mitteilungen eingeschaltet hat, zum Beispiel darüber, dass ein Kunde ein Angebot angenommen hat;
• 8. elektronische Rechnungen, die Lieferanten an den Verantwortlichen senden, empfangen, auslesen, prüfen und speichern, sobald und soweit der Verantwortliche diese Funktion nutzt;
• 9. Auftragsdaten exportieren und nach § 12 löschen.

(2) Arten personenbezogener Daten.

• 1. Stammdaten von Kunden: Name oder Firma, Anschrift, Land, E-Mail-Adresse, Sprache, Währung;
• 2. Steuer- und Rechnungsangaben: Umsatzsteuer-Identifikationsnummer, Angaben zur Steuerbefreiung, Käuferreferenz (zum Beispiel Leitweg-ID), Bestellnummer, Zahlungsziel;
• 3. Inhalte von Angeboten und Rechnungen: Positionen, Beträge, Leistungsdatum und -zeitraum, Notizen und Zahlungsbedingungen;
• 4. Zahlungsdaten: Betrag, Datum, Zahlungsart und Verwendungszweck; bei Kartenzahlung die Kennung der Zahlung bei Stripe;
• 5. Verlaufsdaten: Zeitpunkte von Versand, Zustellung an den E-Mail-Anbieter, erstem Öffnen, Annahme, Ablehnung und Zahlung; der Name, den ein Empfänger bei der Annahme eines Angebots eingibt; ein Ablehnungsgrund, den er angibt;
• 6. technische Verbindungsdaten beim Aufruf der Kundenseite, insbesondere die IP-Adresse, soweit für die Auslieferung und den Schutz des Dienstes erforderlich;
• 7. Inhalte von Anhängen und Freitextfeldern, die beliebige Angaben enthalten können;
• 8. Inhalte von Mitteilungen an das Telefon des Verantwortlichen: Name des Kunden, Dokumentnummer und Betrag;
• 9. bei empfangenen elektronischen Rechnungen: die Angaben des Lieferanten und der Rechnung, einschließlich Anschrift, Steuernummern und Bankverbindung.

(3) Kategorien betroffener Personen.

• 1. Kunden des Verantwortlichen, die natürliche Personen sind, und Ansprechpartner von Kunden, die Unternehmen oder Behörden sind;
• 2. Empfänger von Dokumenten und E-Mails sowie Personen, die über die Kundenseite ein Dokument aufrufen, ein Angebot annehmen oder ablehnen;
• 3. Lieferanten des Verantwortlichen und deren Ansprechpartner, soweit der Verantwortliche elektronische Rechnungen über Spoonbill empfängt;
• 4. sonstige Personen, die in Dokumenten, Notizen oder Anhängen genannt sind.

(4) Besondere Kategorien. Spoonbill ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) ausgelegt; die Maßnahmen nach Anlage 1 sind darauf nicht abgestimmt. Gibt der Verantwortliche solche Daten dennoch ein, prüft er vorher, ob diese Maßnahmen dafür ausreichen.

(5) Ort. Server, Datenbank und Dateispeicher von Spoonbill befinden sich in der Europäischen Union. Eine Verarbeitung außerhalb der EU und des EWR findet nur nach § 9 und Anlage 2 statt.

§ 3Dauer

(1) Dieser Vertrag ist Bestandteil der Nutzungsbedingungen. Er gilt für jedes Konto nach § 1 Abs. 3 ab Abschluss des Nutzungsvertrags, für bestehende Konten ab Inkrafttreten dieser Fassung. Er gilt für alle Auftragsdaten des Kontos, auch für vorher verarbeitete.

(2) Er läuft so lange wie der Nutzungsvertrag und endet mit der Löschung des Kontos nach § 12. Solange der Nutzungsvertrag besteht, kann er nicht gesondert gekündigt werden.

(3) Die Pflichten aus diesem Vertrag gelten fort, solange der Auftragsverarbeiter Auftragsdaten verarbeitet.

§ 4Weisungen

(1) Der Auftragsverarbeiter verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Dokumentierte Weisungen sind dieser Vertrag, die Nutzungsbedingungen, jede Einstellung und jede Handlung des Verantwortlichen in Spoonbill (zum Beispiel Senden, Erinnerungen einschalten, Löschen) sowie Einzelweisungen in Textform an die Kontaktadresse nach § 16 Abs. 7. Weisungsberechtigt ist, wer das Konto des Verantwortlichen nutzt; Einzelweisungen müssen von der Anmeldeadresse des Kontos kommen. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, kann der Auftragsverarbeiter ablehnen, wenn ihre Umsetzung technisch nicht möglich oder wirtschaftlich unzumutbar ist; er teilt dies unverzüglich in Textform mit Begründung mit, und der Verantwortliche kann den Nutzungsvertrag dann fristlos kündigen. Weisungen zur Berichtigung, Löschung, Einschränkung der Verarbeitung und Herausgabe von Auftragsdaten (§§ 10 und 12) führt der Auftragsverarbeiter vorbehaltlich Absatz 3 stets aus.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

(4) Der Auftragsverarbeiter verwendet Auftragsdaten nicht für eigene Zwecke. Er nutzt sie insbesondere nicht für Werbung, verkauft sie nicht und trainiert mit ihnen keine KI-Modelle. Der Verantwortliche weist den Auftragsverarbeiter an, aus Auftragsdaten Kennzahlen über seine Nutzung des Dienstes zu bilden, etwa Anzahl und Beträge erstellter Dokumente, die keine Angaben enthalten, mit denen eine betroffene Person nach § 2 Abs. 3 identifiziert werden kann, insbesondere keine Namen, Kontaktdaten, Dokumentnummern, Dokumentkennungen oder Rechnungstexte. Diese Kennzahlen gehören zur Auswertung der Nutzung des Dienstes nach § 1 Abs. 2, für die der Auftragsverarbeiter Verantwortlicher ist; sie sind in der Datenschutzerklärung beschrieben.

(5) Bestimmt der Auftragsverarbeiter unter Verstoß gegen die DSGVO die Zwecke und Mittel einer Verarbeitung, gilt er für diese Verarbeitung als Verantwortlicher (Art. 28 Abs. 10 DSGVO).

§ 5Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für ihre Rechtsgrundlage, für die Information seiner Kunden nach Art. 13 und 14 DSGVO und dafür, dass er die eingegebenen Daten verwenden darf.

(2) Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(3) Spoonbill ist kein Archiv. Gesetzliche Aufbewahrungspflichten für ausgestellte und empfangene Rechnungen, etwa nach § 14b UStG und § 147 AO, erfüllt der Verantwortliche selbst. Er sichert dazu eigene Kopien mit dem Export nach § 12 Abs. 1.

§ 6Vertraulichkeit

(1) Der Auftragsverarbeiter gewährleistet, dass sich alle Personen, die zur Verarbeitung der Auftragsdaten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugang zu den Produktivsystemen hat derzeit nur Dzmitry Kandratsenka persönlich; neue Programmversionen spielt außerdem der automatisierte Auslieferungsprozess ein (Anlage 2). Setzt der Auftragsverarbeiter weitere Personen ein, verpflichtet er sie vor Beginn ihrer Tätigkeit in Textform zur Vertraulichkeit. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

(2) Der Auftragsverarbeiter nimmt vom Inhalt der Auftragsdaten nur Kenntnis, soweit dies zur Erbringung des Dienstes, zur Behebung eines Fehlers, auf Anfrage des Verantwortlichen oder aufgrund einer gesetzlichen Pflicht erforderlich ist.

(3) Dieser Vertrag enthält keine Verpflichtung zur Geheimhaltung im Sinne von § 203 Abs. 4 Satz 2 Nr. 1 StGB, weder für den Auftragsverarbeiter noch für seine Unterauftragsverarbeiter; Spoonbill ist nicht für Geheimnisse ausgelegt, die einem Berufsgeheimnis nach § 203 StGB unterliegen. Ein Verantwortlicher, der einem solchen Berufsgeheimnis unterliegt, prüft vor der Nutzung, ob er Spoonbill für die betroffenen Daten einsetzen darf.

§ 7Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.

(2) Er darf die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er in Anlage 1 und teilt sie dem Verantwortlichen per E-Mail oder in der App mit.

§ 8Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (die „Unterauftragsverarbeiter“) einzusetzen (Art. 28 Abs. 2 DSGVO). Die in Anlage 2 genannten Unterauftragsverarbeiter gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage vorher per E-Mail an die Anmeldeadresse des Kontos oder in der App, mit Name, Sitz, Aufgabe und Ort der Verarbeitung. Muss ein Unterauftragsverarbeiter aus Gründen der Sicherheit oder zur Aufrechterhaltung des Dienstes kurzfristig ersetzt werden, informiert er unverzüglich und begründet die kürzere Frist. In diesem Fall kann der Verantwortliche innerhalb von 30 Tagen nach der Information nach Absatz 3 widersprechen.

(3) Der Verantwortliche kann einer Änderung bis zu ihrem Wirksamwerden aus einem datenschutzrechtlich berechtigten Grund in Textform widersprechen. Die Parteien suchen dann gemeinsam eine Lösung. Weil alle Konten auf derselben technischen Plattform laufen, kann der Auftragsverarbeiter eine Änderung nicht für einzelne Konten aussetzen. Hält der Verantwortliche seinen Widerspruch aufrecht, kann er den Nutzungsvertrag fristlos kündigen und verlangen, dass sein Konto nach seinem Export ohne die Frist nach § 12 Abs. 2 gelöscht wird. Im Voraus unmittelbar an den Auftragsverarbeiter gezahlte Entgelte für die Zeit nach der Kündigung erstattet dieser anteilig. Widerspricht der Verantwortliche nicht, gilt die Änderung als genehmigt.

(4) Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus. Er erlegt jedem von ihnen im Wege eines Vertrags dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, soweit sie auf dessen Leistung anwendbar sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 Satz 1 DSGVO). Bei den in Anlage 2 genannten Anbietern geschieht das durch die dort genannten Bedingungen; der Auftragsverarbeiter hat geprüft, dass sie ein im Wesentlichen gleichwertiges Schutzniveau gewährleisten, und stellt sie auf Anfrage zur Verfügung.

(5) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten (Art. 28 Abs. 4 Satz 2 DSGVO).

(6) Keine Unterauftragsverarbeitung im Sinne dieses Paragrafen sind reine Übertragungsleistungen, etwa von Internet- und Telekommunikationsanbietern oder den E-Mail-Servern der Empfänger, sowie Dienste, die der Verantwortliche selbst beauftragt, etwa sein eigenes Stripe-Konto für Kartenzahlungen.

§ 9Übermittlung in Drittländer

(1) Server, Datenbank und Dateispeicher befinden sich in der EU. Einige Unterauftragsverarbeiter verarbeiten Auftragsdaten ganz oder teilweise außerhalb der EU und des EWR, insbesondere in den USA: beim E-Mail-Versand, bei Mitteilungen an das Telefon, im vorgelagerten Netzwerk von Cloudflare, bei Fehlermeldungen und bei der Auslieferung neuer Programmversionen. Anlage 2 nennt Ort und Grundlage für jeden Anbieter.

(2) Eine solche Übermittlung erfolgt nur auf Grundlage eines Angemessenheitsbeschlusses nach Art. 45 DSGVO, etwa für nach dem EU-US Data Privacy Framework zertifizierte Empfänger (Durchführungsbeschluss (EU) 2023/1795), oder geeigneter Garantien nach Art. 46 DSGVO, insbesondere der Standardvertragsklauseln der Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 3). Für Übermittlungen auf Grundlage von Standardvertragsklauseln hat der Auftragsverarbeiter die Bewertung nach Klausel 14 dokumentiert und stellt sie auf Anfrage zur Verfügung.

(3) Mit der Annahme dieses Vertrags weist der Verantwortliche die in Anlage 2 beschriebenen Übermittlungen an. Weitere Übermittlungen in Drittländer erfolgen nur nach § 8.

(4) Verlegt der Auftragsverarbeiter Server, Datenbank oder Dateispeicher in einen anderen Staat, kündigt er dies nach § 8 Abs. 2 an; § 8 Abs. 3 gilt entsprechend.

§ 10Unterstützung bei den Rechten betroffener Personen

(1) Der Verantwortliche kann Auftragsdaten in Spoonbill selbst einsehen, berichtigen und exportieren. Entwürfe und Kunden kann er löschen; Spoonbill blendet sie dann aus, ohne sie endgültig zu entfernen. Versandte Dokumente bleiben unverändert, weil sie Belege sind, und lassen sich in der App nicht einzeln löschen. Endgültig gelöscht werden Auftragsdaten nach Absatz 2 oder nach § 12.

(2) Kann der Verantwortliche einen Antrag einer betroffenen Person nach Kapitel III DSGVO (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch) nicht selbst in Spoonbill erfüllen, unterstützt ihn der Auftragsverarbeiter mit geeigneten technischen und organisatorischen Maßnahmen. Das gilt insbesondere für die endgültige Löschung ausgeblendeter Entwürfe und Kunden, für die Löschung einzelner versandter Dokumente, etwa nach Ablauf der Aufbewahrungsfrist des Verantwortlichen, für die Einschränkung der Verarbeitung und für die Herausgabe der Daten eines einzelnen Kunden. Der Auftragsverarbeiter setzt eine solche Weisung unverzüglich um, spätestens innerhalb von 14 Tagen.

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter, sofern er ihn zuordnen kann. Er beantwortet sie nicht selbst, es sei denn, der Verantwortliche weist ihn an.

§ 11Unterstützung nach Art. 32 bis 36 DSGVO und Meldung von Verletzungen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO: Sicherheit der Verarbeitung, Meldung von Verletzungen an die Aufsichtsbehörde, Benachrichtigung der betroffenen Personen, Datenschutz-Folgenabschätzung und vorherige Konsultation. Er stellt dafür die erforderlichen Informationen bereit.

(2) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, und jeden begründeten Verdacht darauf unverzüglich nach Kenntnis, spätestens innerhalb von 48 Stunden, per E-Mail an die Anmeldeadresse des Kontos. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und einen Ansprechpartner. Was noch nicht bekannt ist, liefert er schrittweise nach.

(3) Der Auftragsverarbeiter ergreift unverzüglich die Maßnahmen, die zur Sicherung der Daten und zur Minderung nachteiliger Folgen erforderlich sind. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen nimmt der Verantwortliche vor; der Auftragsverarbeiter tut dies nur auf Weisung.

§ 12Rückgabe und Löschung

(1) Rückgabe. Der Verantwortliche kann jederzeit und in jedem Tarif alle von ihm ausgestellten Dokumente in einer Datei herunterladen: jedes als PDF-Datei und, soweit vorhanden, als elektronische Rechnung (XML), zusammen mit einer Übersicht (CSV). Empfangene elektronische Rechnungen enthält der Export im Format, in dem sie empfangen wurden, mit ihren Anhängen. Einzelne Dokumente kann der Verantwortliche jederzeit einzeln herunterladen. Auftragsdaten, die dieser Export nicht enthält, etwa das Kundenverzeichnis, stellt der Auftragsverarbeiter auf Weisung in einem gängigen, maschinenlesbaren Format bereit.

(2) Löschung bei Vertragsende. Der Verantwortliche beantragt die Löschung seines Kontos in der App. Ab dem Antrag ist das Konto 30 Tage lang gesperrt: Dokumente können nicht mehr erstellt, geändert oder versandt werden, und wiederkehrende Rechnungen und Erinnerungen ruhen; möglich sind nur der Export nach Absatz 1 und der Widerruf des Antrags. Nach Ablauf der 30 Tage löscht der Auftragsverarbeiter alle Auftragsdaten des Kontos unwiderruflich aus Datenbank und Dateispeicher, einschließlich der PDF-Dateien versandter Dokumente und der Anhänge; die Links zu den Kundenseiten funktionieren danach nicht mehr. Bis zum Ablauf der Frist kann der Verantwortliche alle Auftragsdaten nach Absatz 1 zurückerhalten (Rückgabe); danach werden sie gelöscht (Löschung). Erteilt der Verantwortliche während der Frist eine Weisung nach Absatz 1 letzter Satz, löscht der Auftragsverarbeiter erst, nachdem er sie erfüllt hat. Verlängert sich am Tag der Löschung noch ein über den App Store abgeschlossenes Abonnement des Verantwortlichen, führt der Auftragsverarbeiter die Löschung nicht aus, hebt die Sperre auf und teilt dies dem Verantwortlichen per E-Mail mit; nach Beendigung des Abonnements kann der Verantwortliche die Löschung erneut beantragen.

(3) Andere Beendigung. Endet der Nutzungsvertrag auf andere Weise, etwa durch Kündigung des Auftragsverarbeiters oder Einstellung des Dienstes, kündigt der Auftragsverarbeiter die Löschung mindestens 30 Tage vorher per E-Mail an und hält die Auftragsdaten bis dahin zum Export nach Absatz 1 bereit. Muss er das Konto vorher aus Sicherheitsgründen sperren, stellt er die Auftragsdaten in dieser Zeit auf Weisung bereit. Früher löscht er nur, wenn ein Gesetz es vorschreibt.

(4) Kopien. Auftragsdaten in Server-Protokollen werden spätestens 30 Tage nach ihrer Entstehung gelöscht, in den Binärprotokollen der Datenbank spätestens 30 Tage nach ihrer Entstehung und in Sicherungskopien spätestens 366 Tage nach deren Erstellung. Fehlermeldungen beim Unterauftragsverarbeiter Slack werden spätestens 90 Tage nach ihrem Eingang gelöscht, Versandprotokolle des E-Mail-Anbieters nach dessen Bedingungen. Bis dahin werden diese Kopien nur zur Wiederherstellung oder zur Aufklärung eines Sicherheitsvorfalls verwendet. Wird eine Sicherung zurückgespielt, löscht der Auftragsverarbeiter bereits gelöschte Auftragsdaten erneut.

(5) Keine Speicherpflicht. Den Auftragsverarbeiter trifft keine Pflicht nach dem Recht der Union oder eines Mitgliedstaats, Auftragsdaten nach dem Ende des Vertrags zu speichern. Aufbewahrungspflichten des Verantwortlichen erfüllt dieser mit seinem Export (§ 5 Abs. 3).

(6) Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.

(7) E-Mails und Dateien, die Empfänger bereits erhalten oder heruntergeladen haben, liegen außerhalb des Einflussbereichs des Auftragsverarbeiters.

§ 13Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere diesen Vertrag mit Anlage 1 und Anlage 2 und, soweit verfügbar, Zertifikate und Prüfberichte der Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Verantwortlichen oder einen von ihm beauftragten Prüfer, der zur Vertraulichkeit verpflichtet ist und nicht im Wettbewerb mit dem Auftragsverarbeiter steht, und trägt dazu bei. Überprüfungen sind mindestens 14 Tage vorher anzukündigen, finden zu üblichen Geschäftszeiten statt, stören den Betrieb nicht unverhältnismäßig und erfolgen in der Regel höchstens einmal im Kalenderjahr; aus besonderem Anlass, etwa nach einer Verletzung des Schutzes personenbezogener Daten oder auf Verlangen einer Aufsichtsbehörde, auch öfter.

(3) Da der Auftragsverarbeiter keine eigenen Rechenzentren betreibt, erfolgen Überprüfungen vorrangig durch Einsicht in Unterlagen und aus der Ferne, auf Wunsch auch am Sitz des Auftragsverarbeiters. Für die Rechenzentren der Unterauftragsverarbeiter genügen deren Zertifikate und Prüfberichte.

(4) Jede Partei trägt ihre eigenen Kosten einer Überprüfung.

(5) Der Auftragsverarbeiter arbeitet mit den Aufsichtsbehörden zusammen und unterstützt den Verantwortlichen bei deren Kontrollen.

(6) Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Tätigkeiten der Verarbeitung nach Art. 30 Abs. 2 DSGVO.

§ 14Anfragen Dritter und Datenzugriff der Finanzverwaltung

(1) Verlangt eine Behörde oder ein anderer Dritter vom Auftragsverarbeiter Auftragsdaten, verweist er sie an den Verantwortlichen und informiert diesen unverzüglich, soweit das gesetzlich zulässig ist. Er gibt Auftragsdaten nur heraus, wenn er gesetzlich dazu verpflichtet ist, und dann nur im erforderlichen Umfang.

(2) Teilt der Verantwortliche einer deutschen Finanzbehörde mit, dass sich seine Daten beim Auftragsverarbeiter befinden (§ 147 Abs. 6 Satz 2 AO), gewährt der Auftragsverarbeiter ihr den Datenzugriff nach dieser Vorschrift, soweit die Daten noch gespeichert sind, nachdem der Verantwortliche ihm dies in Textform bestätigt hat. Die Kosten trägt nach § 147 Abs. 6 Satz 3 AO der Verantwortliche.

§ 15Haftung

(1) Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO.

(2) Die Haftungsregeln der Nutzungsbedingungen gelten auch für den Ausgleich zwischen den Parteien nach Art. 82 Abs. 5 DSGVO. Die Haftung gegenüber betroffenen Personen bleibt unberührt.

§ 16Schlussbestimmungen

(1) Vorrang. Widersprechen sich dieser Vertrag und die Nutzungsbedingungen, geht dieser Vertrag vor, soweit es um den Schutz personenbezogener Daten geht. Widersprechen sich dieser Vertrag und seine Anlagen, geht der Vertragstext vor.

(2) Form. Dieser Vertrag ist schriftlich in einem elektronischen Format abgefasst (Art. 28 Abs. 9 DSGVO). Er ist Bestandteil der Nutzungsbedingungen und wird mit ihnen geschlossen: Wer bei der Registrierung den Nutzungsbedingungen zustimmt, schließt auch diesen Vertrag. Der Auftragsverarbeiter bestätigt auf Anfrage in Textform, welche Fassung für ein Konto gilt. Die jeweils gültige Fassung ist unter spoonbill.app/de/avv abrufbar und kann gespeichert und ausgedruckt werden.

(3) Änderungen. Der Auftragsverarbeiter kann diesen Vertrag ändern, wenn Gesetz, Rechtsprechung oder eine Aufsichtsbehörde es erfordern oder eine Änderung des Dienstes es notwendig macht, und nur, wenn das Schutzniveau für die Auftragsdaten dadurch nicht sinkt. Er kündigt Änderungen mindestens 30 Tage vor ihrem Wirksamwerden per E-Mail oder in der App an und weist dabei auf die Folge eines fehlenden Widerspruchs hin. Widerspricht der Verantwortliche nicht bis zum Wirksamwerden in Textform, gilt die Änderung als angenommen. Widerspricht er, gilt für ihn die bisherige Fassung fort; jede Partei kann den Nutzungsvertrag dann zum Wirksamwerden der Änderung kündigen. Änderungen der Anlage 2 richten sich nach § 8.

(4) Teilunwirksamkeit. Ist eine Bestimmung dieses Vertrags unwirksam, bleiben die übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die Regelung der DSGVO, die ihrem Zweck am nächsten kommt.

(5) Recht und Gerichtsstand. Es gilt das Recht Portugals unter Ausschluss seines Kollisionsrechts; die DSGVO geht vor. Ausschließlicher Gerichtsstand für Streitigkeiten zwischen den Parteien ist Porto, Portugal. Die Rechte betroffener Personen, insbesondere nach Art. 79 DSGVO, bleiben unberührt.

(6) Sprache. Für Verantwortliche mit Sitz in Deutschland, Österreich, der Schweiz oder Liechtenstein ist die deutsche Fassung verbindlich, für alle anderen die englische.

(7) Kontakt und Aufsicht. Weisungen, Widersprüche, Meldungen und Anfragen zum Datenschutz richtet der Verantwortliche an feedback@spoonbill.app. Der Auftragsverarbeiter hat keinen Datenschutzbeauftragten benannt; eine Pflicht dazu besteht nach Art. 37 DSGVO nicht. Zuständige Aufsichtsbehörde für den Auftragsverarbeiter ist die Comissão Nacional de Proteção de Dados (CNPD), Lissabon, Portugal.

(8) Textform. Wo dieser Vertrag Textform verlangt, genügt eine E-Mail.

Anlage 1Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle

• Der Auftragsverarbeiter betreibt keine eigenen Rechenzentren. Server und Datenbank laufen bei der netcup GmbH in Deutschland (Rechenzentrum Nürnberg), der Dateispeicher und die Datenbanksicherungen bei Cloudflare in einem Speicher, dessen Daten auf den Rechtsraum der EU festgelegt sind. Die physische Sicherung der Rechenzentren richtet sich nach den Sicherheitsnachweisen dieser Anbieter.

Zugangskontrolle

• Die Anmeldung bei Spoonbill erfolgt über Firebase Authentication (mit Google, mit Apple oder mit E-Mail-Adresse und Passwort).
• Jede Anfrage an die Schnittstelle muss ein gültiges Anmelde-Token von Firebase tragen, das der Server bei jeder Anfrage prüft. Ohne Anmelde-Token erreichbar sind nur die Kundenseite (siehe Zugriffskontrolle), die Registrierung, die öffentliche Preisliste, die Meldung von Fehlern aus dem Browser, die Zustandsprüfung des Servers und die Benachrichtigungen von Stripe und Apple, deren Signatur der Server prüft.
• Der Produktivserver ist zur Verwaltung nur über SSH mit Schlüssel erreichbar; die Anmeldung mit Passwort ist abgeschaltet. Schlüssel haben nur der Inhaber und der automatisierte Auslieferungsprozess (Anlage 2), der neue Programmversionen einspielt.
• Datenbank und Anwendungsdienste sind nur über die lokale Schnittstelle des Servers erreichbar. Von außen erreichbar sind nur der Webserver, über HTTPS (Aufrufe über HTTP leitet er nur auf HTTPS weiter), und der SSH-Zugang zur Verwaltung.
• Zugangsdaten zu Datenbank, Dateispeicher und E-Mail-Versand liegen in Konfigurationsdateien außerhalb des Quellcodes.
• Der Arbeitsrechner des Inhabers ist vollständig verschlüsselt.

Zugriffskontrolle

• Jeder Datensatz gehört zu genau einem Konto, und jede Abfrage ist auf das Konto des angemeldeten Nutzers beschränkt. Auf Datensätze anderer Konten antwortet der Server so, als gäbe es sie nicht. Automatisierte Tests prüfen das für Rechnungen, Angebote, Anhänge, Mitteilungen und die Übersicht.
• Es gibt keine Verwaltungsoberfläche, über die Daten fremder Konten eingesehen werden können.
• Die Kundenseite ist nur über einen persönlichen Link mit 192 Bit Zufall erreichbar. Aufrufe der Kundenseite, der Registrierung, der Preisliste und der Fehlermeldungen aus dem Browser sind in ihrer Häufigkeit begrenzt.

Trennungskontrolle

• Die Daten der Konten sind logisch getrennt (siehe Zugriffskontrolle).
• Die Produktivdatenbank ist von Entwicklungs- und Testsystemen getrennt. Dateispeicher und Zugang zum E-Mail-Versand werden derzeit von Entwicklung und Produktion gemeinsam genutzt.
• Entwicklungs- und Testsysteme können keine E-Mails an echte Empfänger senden, nur an ausdrücklich freigegebene Testadressen.
• Die Nutzungsauswertung von Spoonbill erhält keine Namen, Kontaktdaten oder Rechnungstexte von Kunden. Die Kundenseite lädt keine Analyse- oder Werbewerkzeuge.

Verschlüsselung

• Alle Verbindungen zwischen Browser oder App und Spoonbill sind mit TLS verschlüsselt; der Browser wird angewiesen, nur verschlüsselte Verbindungen zu nutzen (HSTS). Verschlüsselt sind auch die Verbindungen zum Dateispeicher und zum E-Mail-Anbieter.
• Der Dateispeicher verschlüsselt alle Dateien und ihre Metadaten im Ruhezustand mit AES-256 (GCM).

2. Integrität

Weitergabekontrolle

• E-Mails an Empfänger gehen nur auf eine Handlung des Verantwortlichen oder nach seinen Einstellungen hinaus; Zahlungserinnerungen lassen sich für das Konto und für jeden Kunden abschalten.
• Alle Übertragungen sind verschlüsselt (siehe Verschlüsselung).
• Fehlermeldungen an den Betreiber werden vor dem Versand automatisch bereinigt: E-Mail-Adressen, Links zu Kundenseiten, Token, Kennungen in Pfaden und Abfrageparameter werden entfernt, das Konto erscheint nur mit seiner internen Kennung. Kundennamen können ausnahmsweise als Teil eines Fehlertexts enthalten bleiben; deshalb ist der Empfänger in Anlage 2 aufgeführt.
• Der Verantwortliche kann einstellen, dass Mitteilungen auf seinem Telefon keine Kundennamen und Beträge enthalten.

Eingabekontrolle

• Zu jeder Rechnung wird ein Verlauf geführt (angelegt, geändert, ausgestellt, versandt, geöffnet, bezahlt und weitere Ereignisse), der nur ergänzt und nie geändert wird. Bei Angeboten werden die Zeitpunkte von Versand, erstem Öffnen, Annahme und Ablehnung festgehalten.
• Versandte Dokumente sind unveränderbar: Der Server lehnt jede Änderung ab, und Spoonbill schreibt jede Datei nur einmal und überschreibt keine gespeicherte Datei.

3. Verfügbarkeit und Belastbarkeit

• Aufrufe der Adressen von Spoonbill laufen über das vorgelagerte Netzwerk von Cloudflare, das vor Überlastungsangriffen schützt. Aufrufe ohne Anmeldung sind in ihrer Häufigkeit begrenzt (siehe Zugriffskontrolle).
• Die Anwendungsdienste prüfen laufend ihren eigenen Zustand und werden bei einem Fehler automatisch neu gestartet.
• Die Erreichbarkeit wird regelmäßig von außen geprüft; Ausfälle lösen eine Benachrichtigung aus.
• E-Mails an Empfänger werden wiederholt, bis der E-Mail-Anbieter sie angenommen hat; ein Fehlschlag wird dem Verantwortlichen angezeigt.
• Datensicherung: Die Datenbank wird täglich verschlüsselt außerhalb des Servers in der EU (Cloudflare R2, Speicher im Rechtsraum der EU) gesichert; der Schlüssel zum Entschlüsseln liegt nicht auf dem Server. Tägliche Sicherungen werden 31 Tage aufbewahrt, die Sicherung vom Monatsersten 366 Tage; keine Sicherung kann vor Ablauf von 30 Tagen gelöscht oder überschrieben werden. Die Wiederherstellung wird mindestens vierteljährlich erprobt.

4. Wiederherstellbarkeit

• Programmcode und die Konfiguration der Anwendungsdienste sind versioniert. Jede ausgelieferte Version kann erneut eingespielt werden.
• Zur Wiederherstellung von Daten siehe Datensicherung unter Nummer 3.

5. Regelmäßige Überprüfung

• Sicherheitsrelevante Eigenschaften sind durch automatisierte Tests festgeschrieben, die bei Änderungen an den betroffenen Teilen ausgeführt werden: die Trennung der Konten in den unter Zugriffskontrolle genannten Bereichen, die vollständige Löschung eines Kontos über alle Tabellen, dass Spoonbill gespeicherte Dateien nicht überschreibt, und die Bereinigung von Fehlermeldungen.
• Diese Anlage wird mindestens einmal jährlich und bei jeder Änderung der Unterauftragsverarbeiter überprüft.

6. Datenschutzfreundliche Voreinstellungen

• Mitteilungen an das Telefon sind nur aktiv, wenn der Verantwortliche sie einschaltet.
• Die Kundenseite lädt keine Analyse- oder Werbewerkzeuge, und es wird nicht gemessen, ob eine E-Mail geöffnet wurde.

7. Auftragskontrolle

• Unterauftragsverarbeiter werden nur nach § 8 eingesetzt und vertraglich nach Art. 28 Abs. 4 DSGVO verpflichtet.
• Auftragsdaten werden nicht für Werbung, nicht zum Verkauf und nicht zum Training von KI-Modellen verwendet.

8. Löschung

• Ein Konto wird 30 Tage nach dem Löschantrag vollständig gelöscht: alle Tabellen, alle gespeicherten Dateien und das Anmeldekonto. Ein automatisierter Test schlägt fehl, wenn eine neue Tabelle nicht von der Löschung erfasst wird.
• Hochgeladene Anhänge, die keinem Dokument zugeordnet wurden, werden nach 7 Tagen gelöscht.
• Server-Protokolle werden spätestens nach 30 Tagen gelöscht, die Binärprotokolle der Datenbank nach 30 Tagen (§ 12 Abs. 4).
• Geräte-Token für Mitteilungen werden beim Abmelden auf dem Gerät deaktiviert und mit dem Konto gelöscht.

Anlage 2Unterauftragsverarbeiter

• netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland — Aufgabe: Betrieb von Server und Datenbank — Betroffene Auftragsdaten: alle Auftragsdaten außer Dateien — Ort der Verarbeitung: Deutschland (Rechenzentrum Nürnberg) — Grundlage der Übermittlung: keine Übermittlung in ein Drittland
• Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA — Aufgabe: a) Dateispeicher (R2) für PDF-Dateien, Anhänge und Logos sowie für die verschlüsselten Sicherungen der Datenbank; b) vorgelagertes Netzwerk (Reverse Proxy): Cloudflare beendet die verschlüsselte Verbindung in seinem Rechenzentrum, prüft den Aufruf und leitet ihn über eine neue verschlüsselte Verbindung an den Server weiter; dabei sind die übertragenen Daten für Cloudflare lesbar — Betroffene Auftragsdaten: a) gespeicherte Dateien und, verschlüsselt, alle Auftragsdaten der Datenbank; b) alle übertragenen Daten im Durchlauf — Ort der Verarbeitung: a) EU (Speicher im Rechtsraum der EU); b) das dem Aufrufenden nächstgelegene Rechenzentrum von Cloudflare, auch außerhalb der EU — Grundlage der Übermittlung: Angemessenheitsbeschluss (EU-US Data Privacy Framework) und Standardvertragsklauseln (Auftragsverarbeitungsbedingungen von Cloudflare)
• Infomaniak Network SA, Rue Eugène-Marziano 25, 1227 Les Acacias, Schweiz — Aufgabe: Versand der E-Mails an Empfänger; Empfang von Unzustellbarkeitsmeldungen — Betroffene Auftragsdaten: Name und E-Mail-Adresse des Empfängers, Inhalt der E-Mail, PDF-Datei und Anhänge — Ort der Verarbeitung: Schweiz — Grundlage der Übermittlung: Angemessenheitsbeschluss der Europäischen Kommission für die Schweiz (2000/518/EG)
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, mit Google LLC, USA — Aufgabe: Firebase Cloud Messaging: Zustellung von Mitteilungen an das Telefon des Verantwortlichen — Betroffene Auftragsdaten: Text der Mitteilung (Kundenname, Dokumentnummer, Betrag), Geräte-Token — Ort der Verarbeitung: weltweit, auch USA — Grundlage der Übermittlung: Angemessenheitsbeschluss (EU-US Data Privacy Framework, Google LLC) und Standardvertragsklauseln (Firebase Data Processing and Security Terms)
• Slack Technologies Limited, Salesforce Tower, 60 R801, North Dock, Dublin, Irland, mit Slack Technologies, LLC, USA — Aufgabe: Zustellung technischer Fehlermeldungen an den Betreiber — Betroffene Auftragsdaten: Fehlermeldungen, aus denen E-Mail-Adressen, Links, Kennungen und Token vorher entfernt werden; Auftragsdaten nur ausnahmsweise als Bruchstück eines Fehlertexts — Ort der Verarbeitung: USA — Grundlage der Übermittlung: Angemessenheitsbeschluss (EU-US Data Privacy Framework, über Salesforce) und Standardvertragsklauseln (Data Processing Addendum von Slack)
• Circle Internet Services, Inc. („CircleCI“), 2261 Market Street #22561, San Francisco, CA 94114, USA — Aufgabe: Automatisierte Auslieferung neuer Programmversionen auf den Server; hat dafür Verwaltungszugang zum Server — Betroffene Auftragsdaten: im Regelbetrieb keine; technisch Zugriff auf alle Auftragsdaten auf dem Server — Ort der Verarbeitung: USA — Grundlage der Übermittlung: Angemessenheitsbeschluss (EU-US Data Privacy Framework) und Standardvertragsklauseln (Data Processing Addendum von CircleCI)