Zwischen Ihnen als Auftraggeber und uns als Auftragnehmer. Er wird mit dem Nutzungsvertrag geschlossen und gilt, solange dieser besteht.
1.1 Wir verarbeiten personenbezogene Daten für Sie, soweit das zur Erbringung der in den Allgemeinen Geschäftsbedingungen beschriebenen Leistungen erforderlich ist: Empfang, Erzeugung aus strukturierten Daten, Prüfung, lesbare Darstellung, Verwaltung, Übergabe und unveränderbare Aufbewahrung elektronischer Rechnungen und sonstiger Belege, über die Anwendung xml-rechnung.eu und über die API xml-invoice.io.
1.2 Die Verarbeitung dauert an, solange der Nutzungsvertrag besteht. Für archivierte Dokumente gilt die Sonderregelung in Ziffer 8.2.
1.3 Die Verarbeitung findet ausschließlich in der Europäischen Union statt, soweit in Ziffer 6 nichts anderes angegeben ist.
1.4 Verarbeiten Sie die Daten Ihrerseits im Auftrag eines Dritten, etwa als Anbieter einer Software für Ihre Kunden, sind wir insoweit weiterer Auftragsverarbeiter im Sinne des Art. 28 Abs. 4 DSGVO. Sie stellen sicher, dass Sie zu dieser Beauftragung berechtigt sind, und geben Weisungen des Verantwortlichen an uns weiter.
Stammdaten und Kontaktdaten von Rechnungsstellern und Rechnungsempfängern, Rechnungs- und Positionsdaten, Zahlungs- und Bankverbindungsdaten, Kommunikationsdaten aus dem E-Mail-Eingang, Inhalte von API-Requests (insbesondere Rechnungsdaten im JSON-Format und übermittelte Belege) sowie der Inhalt eingestellter Belege.
Ansprechpartner und Mitarbeiter Ihrer Kunden und Lieferanten, Einzelunternehmer und Freiberufler als Rechnungssteller oder -empfänger, Ihre eigenen Beschäftigten, soweit sie in Belegen auftauchen.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrages.
2.1 Wir verarbeiten die Daten ausschließlich auf Ihre dokumentierte Weisung. Die Nutzung der Anwendung und der API im vorgesehenen Funktionsumfang gilt als Weisung; einzelne Vorgänge wie das Ablegen eines Dokuments im Archiv, auch per Request, sind Weisungen im Sinne dieses Vertrages.
2.2 Weitergehende Weisungen erteilen Sie in Textform an mail@apps4everything.de. Mündliche Weisungen bestätigen Sie unverzüglich in Textform.
2.3 Halten wir eine Weisung für rechtswidrig, teilen wir Ihnen das mit und dürfen ihre Ausführung bis zu Ihrer Bestätigung aussetzen.
2.4 Verarbeiten wir Daten aufgrund einer gesetzlichen Verpflichtung, teilen wir Ihnen das vor der Verarbeitung mit, sofern das Gesetz eine Mitteilung nicht verbietet.
3.1 Wir verpflichten die mit der Verarbeitung befassten Personen auf Vertraulichkeit und stellen sicher, dass sie entsprechend unterwiesen sind.
3.2 Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind, und halten sie auf dem Stand der Technik.
3.3 Wir unterstützen Sie bei der Beantwortung von Anträgen betroffener Personen. Wendet sich eine betroffene Person unmittelbar an uns, leiten wir sie unverzüglich an Sie weiter.
3.4 Wir unterstützen Sie bei Ihren Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen, soweit Ihnen die dazu nötigen Angaben nicht ohnehin vorliegen.
3.5 Wir melden Ihnen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben, die Sie für Ihre Meldung nach Art. 33 DSGVO benötigen.
3.6 Wir führen ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und legen es Ihnen auf Anfrage vor.
3.7 Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen bei uns nicht vor. Ansprechpartner in Datenschutzfragen ist Stephen Mittag.
4.1 Sie sind für die Zulässigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich.
4.2 Sie benennen uns die Ansprechpartner für Datenschutzfragen und teilen Änderungen mit.
4.3 Sie informieren uns unverzüglich, wenn Sie bei der Prüfung unserer Leistung Fehler oder Unregelmäßigkeiten feststellen.
4.4 Sie entscheiden selbst über die Weitergabe Ihres API-Tokens und von Share-Links, erneuern den Token bei Verdacht auf Missbrauch und entfernen nicht mehr benötigte Share-Links.
5.1 Wir weisen Ihnen die Einhaltung dieses Vertrages auf Anfrage nach, in der Regel durch die Beschreibung der Maßnahmen in der Anlage, durch Zertifikate unserer Dienstleister und durch aktuelle Selbstauskünfte.
5.2 Reicht das nicht aus, können Sie sich nach Ankündigung mit angemessener Frist und während unserer üblichen Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer von der Einhaltung überzeugen. Der Prüfer darf kein Wettbewerber von uns sein.
5.3 Kontrollen dürfen den Betrieb nicht unverhältnismäßig stören. Für Aufwand, der über eine Kontrolle je Kalenderjahr hinausgeht, dürfen wir eine angemessene Vergütung verlangen, es sei denn, die Kontrolle beruht auf einem konkreten Anlass in unserer Sphäre.
6.1 Sie stimmen dem Einsatz der nachstehenden Unterauftragsverarbeiter zu. Mit jedem von ihnen haben wir einen Vertrag geschlossen, der den Anforderungen des Art. 28 DSGVO entspricht.
| Unternehmen | Leistung | Ort der Verarbeitung |
|---|---|---|
| Hetzner Online GmbH Gunzenhausen |
Rechenzentrum, Server, Objektspeicher | Deutschland |
| Brevo (Sendinblue SAS) |
Versand von System-E-Mails | Frankreich |
| Stripe Stripe Payments Europe Ltd. |
Zahlungsabwicklung | Irland; Übermittlung in die USA nicht ausgeschlossen |
6.2 Wir dürfen weitere Unterauftragsverarbeiter hinzuziehen oder bestehende austauschen. Wir teilen Ihnen das mindestens vier Wochen vorher in Textform mit. Sie können aus einem wichtigen datenschutzrechtlichen Grund widersprechen; in diesem Fall dürfen beide Seiten den Nutzungsvertrag zum geplanten Wechsel kündigen.
6.3 Bei einer Übermittlung in ein Drittland stellen wir sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO vorliegen — durch einen Angemessenheitsbeschluss oder durch Standardvertragsklauseln nebst Wirksamkeitsprüfung.
6.4 Das betrifft von den oben genannten Unternehmen allein Stripe. Unser Vertragspartner ist die Stripe Payments Europe, Limited mit Sitz in Irland; für Übermittlungen in die USA gilt der Zusatz für Datenübertragungen, der Bestandteil der Datenverarbeitungsvereinbarung von Stripe ist und die EWR-Standardvertragsklauseln (Module 1 und 2) einbezieht.
Die Server stehen in Rechenzentren der Hetzner Online GmbH in Nürnberg und Falkenstein, zertifiziert nach ISO/IEC 27001. Zutritt haben nur berechtigte Personen des Betreibers. Der administrative Zugang erfolgt ausschließlich verschlüsselt und schlüsselbasiert; ein Zugang mit Kennwort ist abgeschaltet.
Jeder Kunde hat ein eigenes Konto; alle Anwendungsdaten sind diesem Konto zugeordnet und für andere Konten nicht erreichbar. Kennwörter werden als bcrypt-Hash gespeichert. Ein Konto hat genau einen Zugang; weitere Zugänge — etwa für die Steuerberatung — gibt es nicht. Die Anmeldung im Browser erzeugt eine Sitzung, die nach 30 Tagen endet; eine Kennwortänderung beendet alle Sitzungen des Kontos sofort. Für die API gibt es je Konto genau einen Token, den der Kunde selbst ausstellt und jederzeit erneuern kann; der bisherige Token wird damit ungültig. Der Token berechtigt nur zu den API-Endpunkten, nicht zur Verwaltung des Kontos. Token und Sitzungen werden nur als Hash gespeichert und lassen sich daraus nicht wiederherstellen; angezeigt wird ein Token einmal, bei seiner Ausstellung. Share-Links erlauben den Abruf eines einzelnen Dokuments ohne Anmeldung. Sie enthalten einen zufällig erzeugten Schlüssel, dessen Länge ein Erraten praktisch ausschließt, gelten sieben Tage und werden widerrufen, wenn der Beleg aus dem Journal entfernt wird.
Alle Verbindungen zur Anwendung und zur API sind mit TLS verschlüsselt. Eine zusätzliche Verschlüsselung der abgelegten Dateien setzen wir derzeit nicht ein.
Zu jedem archivierten Dokument werden Zeitpunkt der Ablage, Prüfsumme (SHA-256) und Herkunft protokolliert. Zugriffe über die API werden mit Endpunkt, Zeitpunkt, Ergebnis und der Kennung des Kontos protokolliert.
Die Daten werden täglich gesichert; die Sicherungen werden 14 Tage aufbewahrt. Die Systeme werden überwacht; Sicherheitsaktualisierungen werden zeitnah eingespielt. Requests werden je Zugang und je IP-Adresse begrenzt.
Archivierte Dokumente liegen auf einem Objektspeicher mit Schreibschutz (Object Lock). Innerhalb der achtjährigen Aufbewahrungsfrist können sie weder geändert noch gelöscht werden — auch nicht durch uns. Danach ist die Löschung durch den Auftraggeber möglich; nach zehn Jahren löschen wir sie. Beide Fristen beginnen mit dem Ende des Kalenderjahres, in dem die Rechnung ausgestellt wurde.
Die Anwendung läuft in Containern und lässt sich aus der Versionsverwaltung und den Sicherungen neu aufsetzen. Wir streben an, den Betrieb nach einem Ausfall innerhalb von 24 Stunden wiederherzustellen.
Die Maßnahmen werden bei wesentlichen Änderungen an der Anwendung überprüft, mindestens einmal jährlich.
8.1 Nach Beendigung des Nutzungsvertrages geben wir die Daten nach Ihrer Wahl zurück oder löschen sie. Für die Rückgabe stellt die Anwendung eine vollständige Exportfunktion in offenen Formaten bereit; sie steht Ihnen während der kostenfreien Verwahrung nach Ziffer 5.7 der Allgemeinen Geschäftsbedingungen zur Verfügung.
8.2 Abweichend davon können archivierte Dokumente vor Ablauf der achtjährigen Aufbewahrungsfrist nicht gelöscht werden. Sie liegen auf einem Speicher mit technischem Schreibschutz, der sich innerhalb der Frist nicht aufheben lässt. Danach können Sie sie löschen; wir bewahren sie zehn Jahre auf und löschen sie anschließend. Beide Fristen beginnen mit dem Ende des Kalenderjahres, in dem die Rechnung ausgestellt wurde.
8.3 Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, dürfen wir entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.
Die kaufmännische Seite regelt Ziffer 5.7 der Allgemeinen Geschäftsbedingungen: Die Verwahrung nach Vertragsende ist zwei Jahre kostenfrei, danach wird sie zum veröffentlichten Preis fortgesetzt.
9.1 Für die Haftung im Verhältnis der Parteien gilt Art. 82 DSGVO sowie ergänzend die Haftungsregelung des Nutzungsvertrages.
9.2 Änderungen dieses Vertrages bedürfen der Textform. Das gilt auch für die Änderung dieser Klausel.
9.3 Widerspricht eine Regelung dieses Vertrages dem Nutzungsvertrag, geht dieser Vertrag vor.
9.4 Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.
9.5 Es gilt deutsches Recht.
Keine Steuer- oder Rechtsberatung: Wir beraten weder steuerlich noch rechtlich. Bitte wenden Sie sich für solche Fragen an einen Steuerberater oder ein Steuerbüro.
Angebot für Unternehmer: Unser Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB — an Gewerbetreibende, Freiberufler und juristische Personen. Ein Vertragsschluss mit Verbrauchern ist nicht vorgesehen. Alle genannten Preise sind Nettopreise und verstehen sich zuzüglich der gesetzlichen Umsatzsteuer.
Compliance: Wir prüfen mit dem offiziellen KoSIT-Validator 1.6.3 und den Konfigurationen für XRechnung 3.0.2 und Peppol BIS 3.0.21. Die Images sind auf Docker Hub verfügbar.
Haftungsausschluss: Trotz sorgfältiger Kontrolle und regelmäßiger Überprüfung können wir keine Haftung für die Richtigkeit, Vollständigkeit oder Aktualität der bereitgestellten Inhalte übernehmen. Wenn Sie Fehler finden oder Verbesserungsvorschläge haben, freuen wir uns über einen Hinweis.