R
Rechnungen

Auftragsverarbeitungsvertrag

gemäß Art. 28 DSGVO · Fassung vom 16.10.2026

1. Vertragsparteien und Abschluss

Dieser Vertrag wird geschlossen zwischen dem Nutzer der Software „Rechnungen“ als Verantwortlichem (im Folgenden „Verantwortlicher“) und Ing. Maurice Putz, MP ORG, Josef-Haydngasse 9, 7033 Pöttsching, Österreich, als Auftragsverarbeiter (im Folgenden „Auftragsverarbeiter“).

Er kommt mit der Annahme in der App zustande und ist Bestandteil des Vertrags über die Nutzung der App (AGB). Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor.

2. Gegenstand, Art und Zweck der Verarbeitung

Der Auftragsverarbeiter stellt dem Verantwortlichen eine Software zur Erstellung, Verwaltung und zum Versand von Rechnungen bereit. Dabei speichert und verarbeitet er die vom Verantwortlichen erfassten Daten über dessen Kunden. Die Verarbeitung umfasst insbesondere das Erfassen, Speichern, Ordnen, Anzeigen, Erstellen von PDF-Dokumenten, Übermitteln per E-Mail über den SMTP-Server des Verantwortlichen, Exportieren und Löschen.

Die Verarbeitung erfolgt ausschließlich zur Erbringung der vertraglichen Leistungen. Eine Nutzung der Daten für eigene Zwecke des Auftragsverarbeiters, insbesondere für Werbung oder Analysen, findet nicht statt.

3. Art der Daten und Kategorien betroffener Personen

Betroffene Personen

  • Kunden des Verantwortlichen (natürliche Personen und Einzelunternehmer),
  • Ansprechpartner und Rechnungsempfänger bei Kunden des Verantwortlichen.

Datenarten

  • Stammdaten: Name, Firma, Anrede, Titel, Kundennummer, Rechnungs- und Lieferadressen,
  • Kontaktdaten: E-Mail-Adressen, Telefon- und Mobilnummer, Website,
  • Steuer- und Registerdaten: UID-Nummer, Steuernummer, Firmenbuchnummer,
  • Vertrags- und Abrechnungsdaten: Rechnungen, Positionen, Leistungszeiträume, Beträge, Zahlungsziele und Zahlungsstatus, Vorlagen für wiederkehrende Rechnungen,
  • Versanddaten: Empfänger- und BCC-Adressen, Versandzeitpunkte, Fehlermeldungen,
  • freie Texte, die der Verantwortliche in Notizen oder Positionen erfasst.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind für die Verarbeitung nicht vorgesehen und dürfen vom Verantwortlichen nicht erfasst werden.

4. Dauer

Der Vertrag gilt für die Dauer der Nutzung der App. Er endet automatisch mit der Löschung des Kontos des Verantwortlichen.

5. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, sofern er nicht gesetzlich zu einer anderen Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen diese Verpflichtung vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet. Als Weisungen gelten die Einstellungen und Aktionen des Verantwortlichen in der App sowie Weisungen per E-Mail. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Verantwortlichen unverzüglich darauf hin.

6. Pflichten des Auftragsverarbeiters

  • Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO, § 6 DSG).
  • Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Abschnitt 9).
  • Er unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (Art. 12 bis 23 DSGVO). Die App stellt dafür die Bearbeitung, den Export und das Löschen der Daten bereit. Richtet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter.
  • Er unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
  • Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, möglichst innerhalb von 48 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
  • Er stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung und ermöglicht Überprüfungen (Abschnitt 10).
  • Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

7. Pflichten des Verantwortlichen

  • Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, die Information der betroffenen Personen und die Wahrung ihrer Rechte verantwortlich.
  • Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
  • Für den Versand von E-Mails wählt er einen geeigneten SMTP-Anbieter; das Verhältnis zu diesem Anbieter liegt in seiner Verantwortung.

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Derzeit sind folgende Unterauftragsverarbeiter eingesetzt:

  • Netlify, Inc., 101 2nd Street, San Francisco, CA 94105, USA — Hosting der Anwendung; Standort: globales CDN/Edge-Netzwerk; Datenübermittlung in die USA auf Grundlage des EU-U.S. Data Privacy Framework und der EU-Standardvertragsklauseln.
  • Supabase, Inc., [OFFEN: Anschrift laut Supabase-DPA] — Datenbank, Authentifizierung und Dateispeicher; Standort: EU — [OFFEN: Region des Supabase-Projekts, z. B. Frankfurt].
  • Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA — Bot-Schutz (Turnstile) ausschließlich auf den Seiten „Anmelden“ und „Passwort vergessen“; verarbeitet keine Kunden- oder Rechnungsdaten.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau (Art. 28 Abs. 4 DSGVO). Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert er den Verantwortlichen mindestens 30 Tage im Voraus per E-Mail oder in der App. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; wird keine Einigung erzielt, kann er den Vertrag zum Zeitpunkt der Änderung kündigen.

9. Technische und organisatorische Maßnahmen

Vertraulichkeit

  • Zutrittskontrolle: Betrieb ausschließlich in professionellen Rechenzentren der Unterauftragsverarbeiter mit deren physischen Sicherheitsmaßnahmen; keine eigenen Server in Büroräumen.
  • Zugangskontrolle: Anmeldung mit Passwortrichtlinie (mindestens 12 Zeichen mit Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen), Passkeys und optionaler Zwei-Faktor-Authentifizierung (TOTP); Sitzungen enden spätestens nach 24 Stunden; Bot-Schutz auf der Anmeldeseite; deaktivierte Konten werden sofort gesperrt.
  • Zugriffskontrolle: Row Level Security in der Datenbank — jeder Nutzer kann ausschließlich seine eigenen Daten lesen und ändern. Ist ein zweiter Faktor eingerichtet, erzwingt die Datenbank selbst für jede Anfrage eine Anmeldung mit zweitem Faktor. Jeder Server-Endpunkt prüft Sitzung, Kontostatus und Berechtigung.
  • Rollenkonzept: Administratoren verwalten Konten und Tarife, haben in der App aber keinen Zugriff auf Kunden und Rechnungen anderer Nutzer. Technische Zugriffe auf die Datenbank erfolgen nur durch den Auftragsverarbeiter selbst und nur, soweit dies für Betrieb, Fehlerbehebung oder auf Weisung des Verantwortlichen erforderlich ist.
  • Trennungskontrolle: logische Mandantentrennung je Nutzer auf Datenbankebene, geprüft durch automatisierte Tests bei jeder Änderung der Software.
  • Verschlüsselung: Übertragung ausschließlich über TLS; SMTP-Passwörter werden mit AES-256-GCM verschlüsselt gespeichert und sind für Clients nicht lesbar; Passwörter nur als Hash.

Integrität

  • Weitergabekontrolle: Daten verlassen die App nur über die vom Verantwortlichen ausgelösten Funktionen (PDF-Download, E-Mail-Versand über seinen SMTP-Server, Datenexport). Schutz vor Anfragen an interne Netzwerke beim SMTP-Versand.
  • Eingabekontrolle: Protokoll aller Versandvorgänge je Rechnung; Protokoll administrativer und datenschutzrelevanter Aktionen (Audit-Log, Aufbewahrung 24 Monate).
  • Unveränderbarkeit ausgestellter Rechnungen auf Datenbankebene; Korrekturen nur über Stornorechnungen.

Verfügbarkeit und Belastbarkeit

  • Datensicherung: [OFFEN: Backup-Intervall, Aufbewahrungsdauer und Speicherort der Sicherungen].
  • Automatischer Versand mit Wiederholungsversuchen und Reservierung gegen Doppelversand.
  • Datenexport jederzeit durch den Verantwortlichen.

Überprüfung und Löschkonzept

  • Automatisierte Sicherheitstests (u. a. Row Level Security auf allen Tabellen, Zwei-Faktor-Erzwingung) sowie regelmäßige Aktualisierung der eingesetzten Software.
  • Löschkonzept: Löschung aller Daten des Verantwortlichen bei Kontolöschung; automatische Löschung des Audit-Logs nach 24 Monaten; Sitzungen höchstens 24 Stunden.

Die Maßnahmen werden an den Stand der Technik angepasst. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.

10. Kontrollrechte

Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen, vorrangig durch Auskünfte und Unterlagen des Auftragsverarbeiters. Prüfungen vor Ort sind nach rechtzeitiger Ankündigung, zu üblichen Geschäftszeiten und ohne Störung des Betriebs möglich; dabei sind Betriebs- und Geschäftsgeheimnisse sowie die Daten anderer Nutzer zu wahren.

11. Übermittlung in Drittländer

Die Daten werden in der EU gespeichert. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder der EU-Standardvertragsklauseln.

12. Beendigung, Rückgabe und Löschung

Der Verantwortliche kann seine Daten jederzeit als JSON-Datei exportieren und Rechnungen als PDF herunterladen. Mit der Löschung des Kontos löscht der Auftragsverarbeiter alle Daten des Verantwortlichen, sofern keine gesetzliche Pflicht zur Speicherung besteht. Daten in Sicherungskopien werden mit dem regulären Ablauf der Sicherungszyklen überschrieben. Die gesetzlichen Aufbewahrungspflichten für Rechnungen (§ 132 BAO) erfüllt der Verantwortliche selbst.

13. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Es gilt österreichisches Recht; Gerichtsstand ist das für 7033 Pöttsching sachlich zuständige Gericht. Änderungen dieses Vertrags werden wie Änderungen der AGB vereinbart.