RechnungsAssistent

Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO

Stand: November 2026 · Fassung 2026-11-06

Zwischen dem Kunden von RechnungsAssistent als Verantwortlichem (Auftraggeber)

und form-de UG (haftungsbeschränkt), Landstr. 33c, 58730 Fröndenberg/Ruhr, Amtsgericht Hamm HRB 11992, vertreten durch den Geschäftsführer Sven Hoppe, als Auftragsverarbeiter (Auftragnehmer).

Der Vertrag wird mit der Registrierung zusammen mit den AGB geschlossen; eine Unterschrift ist nicht erforderlich. Sie können ihn über die Druckfunktion Ihres Browsers als PDF speichern. Eine vom Auftragnehmer unterzeichnete Fassung erhalten Sie auf Anfrage an info@re-assistent.de.

Vorbemerkung

  1. (1)
    Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch die form-de UG (haftungsbeschränkt), Landstr. 33c, 58730 Fröndenberg/Ruhr (nachfolgend „Auftragnehmer“), im Auftrag des Kunden des Dienstes RechnungsAssistent (nachfolgend „Auftraggeber“) nach Art. 28 der Datenschutz-Grundverordnung (DSGVO).
  2. (2)
    Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Nutzungsvertrag über den Dienst (nachfolgend „Hauptvertrag“), dem die Allgemeinen Geschäftsbedingungen unter re-assistent.de/agb zugrunde liegen. Er wird mit der Registrierung im Dienst zusammen mit den AGB geschlossen und gilt für alle Tarife einschließlich des Tarifs „Kostenlos“ und der Testphase.
  3. (3)
    Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung nach Art. 4 DSGVO.

§ 1 Gegenstand, Dauer, Art und Zweck

  1. (1)
    Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten zur automatisierten Überwachung offener Rechnungen des Auftraggebers und zum Versand von Zahlungserinnerungen und Mahnungen in seinem Namen. Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen sind in Anlage 1 beschrieben.
  2. (2)
    Die Dauer dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags. Pflichten, die über das Vertragsende hinaus wirken (insbesondere § 10 und Vertraulichkeit), bleiben bestehen.
  3. (3)
    Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union statt, derzeit in Deutschland. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers in Textform und darf nur erfolgen, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
  4. (4)
    Daten, die der Auftragnehmer als eigener Verantwortlicher verarbeitet – Daten des Kundenkontos, der Benutzer zur Anmeldung, zur Abrechnung und zur Kommunikation über den Hauptvertrag –, sind nicht Gegenstand dieses Vertrags. Dafür gilt die Datenschutzerklärung des Auftragnehmers.

§ 2 Weisungsbefugnis

  1. (1)
    Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats hierzu verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Verpflichtung vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
  2. (2)
    Die Weisungen sind zunächst durch den Hauptvertrag und diesen Vertrag festgelegt. Der Auftraggeber erteilt Weisungen im Einzelfall insbesondere durch seine Einstellungen im Dienst (z. B. Verbindung mit Lexware, Aktivieren von Stufen, Texte, Versandwege, Pausen, Export, Trennen der Verbindung). Diese Einstellungen gelten als dokumentierte Weisungen. Weitere Weisungen erteilt er in Textform an info@re-assistent.de.
  3. (3)
    Weisungsberechtigt sind der Inhaber des Kundenkontos und die vom Auftraggeber im Dienst als Administrator eingetragenen Benutzer. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform.
  4. (4)
    Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.
  5. (5)
    Weisungen, die über den im Hauptvertrag vereinbarten Leistungsumfang hinausgehen, werden als Antrag auf Leistungsänderung behandelt. Ein dadurch entstehender, nicht unerheblicher Mehraufwand kann gesondert vergütet werden, wenn dies vorher in Textform vereinbart wurde.

§ 3 Pflichten des Auftragnehmers

  1. (1)
    Der Auftragnehmer verarbeitet die Daten nur im Rahmen der Weisungen und nicht für eigene Zwecke. Er fertigt keine Kopien oder Duplikate ohne Wissen des Auftraggebers an; ausgenommen sind Sicherungskopien, soweit sie zur ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
  2. (2)
    Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Er macht sie mit den Datenschutzbestimmungen vertraut. Die Vertraulichkeitspflicht besteht auch nach Beendigung der Tätigkeit fort.
  3. (3)
    Der Auftragnehmer trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (§ 4 und Anlage 2).
  4. (4)
    Der Auftragnehmer unterstützt den Auftraggeber angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Kapitel III DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Der Dienst ermöglicht dem Auftraggeber insbesondere, Rechnungsempfänger und Rechnungen zu pausieren, Daten einzusehen und – im Tarif Prozess – als CSV zu exportieren. Darüber hinaus gehende Auskünfte, Berichtigungen oder Löschungen nimmt der Auftragnehmer auf Weisung vor. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Ersuchen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.
  5. (5)
    Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) (Art. 28 Abs. 3 lit. f DSGVO).
  6. (6)
    Der Auftragnehmer führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Tätigkeiten der Verarbeitung nach Art. 30 Abs. 2 DSGVO.
  7. (7)
    Der Auftragnehmer benennt als Ansprechpartner für den Datenschutz seinen Geschäftsführer Sven Hoppe, erreichbar unter info@re-assistent.de und 02377 5339849. Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO und § 38 BDSG derzeit nicht zu benennen; wird einer benannt, teilt der Auftragnehmer dies dem Auftraggeber mit.
  8. (8)
    Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen, sowie über Ermittlungsverfahren, Beschlagnahmen oder sonstige Maßnahmen Dritter, die die Daten des Auftraggebers betreffen, soweit ihm dies rechtlich erlaubt ist.
  9. (9)
    Der Auftragnehmer greift auf die Daten des Auftraggebers über die Betreiberfunktionen des Dienstes nur zu, soweit dies zur Unterstützung des Auftraggebers, zur Fehlerbehebung oder zur Gewährleistung der Sicherheit erforderlich ist. In der Betreiberansicht werden Empfängeradressen gekürzt angezeigt. Eingriffe des Betreibers in ein Kundenkonto werden im Protokoll gesondert als solche gekennzeichnet.

§ 4 Technische und organisatorische Maßnahmen

  1. (1)
    Der Auftragnehmer gestaltet seine innerbetriebliche Organisation so, dass sie den Anforderungen des Datenschutzes gerecht wird. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben. Sie berücksichtigen den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen.
  2. (2)
    Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Sicherheitsniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und aktualisiert Anlage 2.
  3. (3)
    Der Auftragnehmer überprüft die Wirksamkeit der Maßnahmen regelmäßig, mindestens einmal jährlich sowie anlassbezogen, etwa nach Sicherheitsvorfällen oder wesentlichen Änderungen am Dienst (Art. 32 Abs. 1 lit. d DSGVO).

§ 5 Meldung von Verletzungen des Schutzes personenbezogener Daten

  1. (1)
    Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, unverzüglich nach Bekanntwerden, möglichst innerhalb von 24 Stunden, an die im Kundenkonto hinterlegte E-Mail-Adresse des Inhabers und auf Wunsch zusätzlich telefonisch.
  2. (2)
    Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt, mindestens die Angaben nach Art. 33 Abs. 3 DSGVO:
    • eine Beschreibung der Art der Verletzung, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;
    • Name und Kontaktdaten des Ansprechpartners für weitere Informationen;
    • eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
    • eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung möglicher nachteiliger Auswirkungen.

    Informationen, die noch nicht vorliegen, reicht der Auftragnehmer unverzüglich nach.

  3. (3)
    Der Auftragnehmer trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich dazu mit dem Auftraggeber ab. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Auftraggeber; der Auftragnehmer unterstützt ihn dabei.
  4. (4)
    Ebenso informiert der Auftragnehmer den Auftraggeber unverzüglich über schwerwiegende Störungen des Betriebsablaufs, die die Daten des Auftraggebers gefährden, sowie über den begründeten Verdacht auf eine Datenschutzverletzung.

§ 6 Unterauftragsverhältnisse

  1. (1)
    Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragnehmer) einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragnehmer sind in Anlage 3 aufgeführt und gelten als genehmigt.
  2. (2)
    Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragnehmers in Textform; zusätzlich aktualisiert er Anlage 3 unter re-assistent.de/avv. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen; im Voraus gezahlte Entgelte für die Zeit danach werden anteilig erstattet. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt.
  3. (3)
    Ist ein sofortiger Wechsel zur Abwehr einer Gefahr für die Daten oder zur Aufrechterhaltung des Dienstes notwendig (z. B. Ausfall oder Insolvenz eines Unterauftragnehmers), darf der Auftragnehmer den Wechsel vorher vollziehen und informiert den Auftraggeber unverzüglich; das Widerspruchsrecht nach Absatz 2 gilt entsprechend.
  4. (4)
    Der Auftragnehmer verpflichtet jeden Unterauftragnehmer vertraglich auf dieselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Er wählt Unterauftragnehmer sorgfältig aus und überprüft sie. Kommt ein Unterauftragnehmer seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Einhaltung.
  5. (5)
    Keine Unterauftragsverhältnisse im Sinne dieser Bestimmung sind Leistungen, die der Auftraggeber selbst auswählt und mit denen er eigene Verträge schließt, sowie reine Nebenleistungen. Dazu gehören insbesondere:
    • Lexware Office, aus dem der Dienst auf Weisung des Auftraggebers Daten abruft;
    • der E-Mail-Anbieter des Auftraggebers, über dessen Postfach der Dienst auf Weisung versendet, Kopien ablegt und Unzustellbarkeitsmeldungen ausliest;
    • der Zahlungsanbieter, auf den ein vom Auftraggeber hinterlegter Zahlungslink verweist;
    • Post- und Telekommunikationsdienstleister, soweit sie Sendungen lediglich befördern;
    • der Zahlungsdienstleister des Auftragnehmers für die Abrechnung des Hauptvertrags (Stripe), der keine Daten von Rechnungsempfängern erhält.

§ 7 Übermittlung in Drittländer

  1. (1)
    Eine Übermittlung von Daten des Auftraggebers in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nicht statt. Alle in Anlage 3 genannten Unterauftragnehmer verarbeiten die Daten in Deutschland.
  2. (2)
    Soll künftig eine Übermittlung in ein Drittland erfolgen, gelten § 1 Abs. 3 und § 6. Der Auftragnehmer stellt dann sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss oder Standardvertragsklauseln.

§ 8 Nachweise und Kontrollen

  1. (1)
    Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO und in diesem Vertrag niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis kann insbesondere durch eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen, Selbstauskünfte, Testate oder Berichte unabhängiger Stellen oder Zertifizierungen der Unterauftragnehmer erbracht werden.
  2. (2)
    Der Auftraggeber ist berechtigt, Überprüfungen einschließlich Inspektionen selbst oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragnehmers ist, durchzuführen. Überprüfungen sind mit einer Frist von mindestens vier Wochen anzukündigen, finden zu den üblichen Geschäftszeiten statt, sollen den Betriebsablauf nicht unverhältnismäßig stören und berücksichtigen die Vertraulichkeit der Daten anderer Kunden. Sie finden in der Regel nicht öfter als einmal im Kalenderjahr statt, es sei denn, es besteht ein konkreter Anlass, insbesondere eine Datenschutzverletzung.
  3. (3)
    Die Serverräume werden von Unterauftragnehmern betrieben; eine Vor-Ort-Prüfung dort richtet sich nach deren Bedingungen und kann durch die Vorlage von Zertifikaten ersetzt werden.
  4. (4)
    Der Auftragnehmer kann für Unterstützungsleistungen bei Überprüfungen, die über die Vorlage vorhandener Unterlagen hinausgehen, eine angemessene Vergütung verlangen, wenn diese vorher in Textform vereinbart wurde. Dies gilt nicht für Überprüfungen aus Anlass einer vom Auftragnehmer zu vertretenden Datenschutzverletzung.

§ 9 Pflichten des Auftraggebers

  1. (1)
    Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, einschließlich der Zulässigkeit der Übermittlung der Daten an den Auftragnehmer, sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Er erfüllt insbesondere die Informationspflichten nach Art. 13 und 14 DSGVO gegenüber seinen Rechnungsempfängern.
  2. (2)
    Der Auftraggeber übermittelt keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und keine Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO, insbesondere nicht in Notizen, Texten oder Pausegründen. Der Dienst ist für solche Daten nicht ausgelegt.
  3. (3)
    Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
  4. (4)
    Der Auftraggeber sorgt für eine angemessene Sicherheit in seinem eigenen Verantwortungsbereich, insbesondere für sichere Passwörter, die Vergabe der Benutzerrollen nach dem Erforderlichkeitsprinzip und den Entzug von Zugängen ausgeschiedener Personen.

§ 10 Löschung und Rückgabe nach Vertragsende

  1. (1)
    Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle Daten des Auftraggebers oder gibt sie ihm zurück, sofern nicht nach dem Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).
  2. (2)
    Die Rückgabe erfolgt durch Export der Rechnungs- und Kontaktdaten sowie des Versandprotokolls als CSV-Datei. Der Auftraggeber kann sie bis zum Vertragsende im Tarif Prozess selbst erstellen oder in Textform anfordern. Die Rechnungen und Kontakte selbst liegen unverändert im Lexware-Konto des Auftraggebers vor, da der Dienst dort nur liest.
  3. (3)
    Erklärt der Auftraggeber bis zum Vertragsende keine Wahl, löscht der Auftragnehmer die Daten innerhalb von 30 Tagen nach Vertragsende. Daten in Datensicherungen werden mit dem Ablauf des Sicherungszyklus gelöscht, derzeit spätestens 30 Tage nach ihrer Erstellung; bis dahin sind sie nach § 4 geschützt und werden nicht mehr verarbeitet, außer zur Wiederherstellung nach einem Ausfall.
  4. (4)
    Mit dem Trennen der Lexware-Verbindung löscht der Auftragnehmer die gespeicherten Zugangsdaten zu Lexware sofort und widerruft eine OAuth-Freigabe bei Lexware. Bereits abgerufene Rechnungs- und Kontaktdaten bleiben bis zum Vertragsende erhalten, damit Protokoll und Auswertungen vollständig bleiben; auf Weisung löscht der Auftragnehmer sie früher.
  5. (5)
    Der Auftragnehmer bestätigt die Löschung auf Anfrage in Textform.

§ 11 Haftung

  1. (1)
    Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.
  2. (2)
    Im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrags (§ 17 AGB), soweit nicht zwingend etwas anderes gilt. Stellt eine betroffene Person oder eine Behörde Ansprüche gegen eine Partei, die ihre Ursache im Verantwortungsbereich der anderen Partei haben, stellt die verantwortliche Partei die andere im Innenverhältnis frei.

§ 12 Schlussbestimmungen

  1. (1)
    Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Bezug auf den Datenschutz vor.
  2. (2)
    Änderungen dieses Vertrags erfolgen nach dem Verfahren des § 21 AGB; Änderungen der Unterauftragnehmer nach § 6. Der Auftragnehmer passt Anlage 2 bei Änderungen der Maßnahmen an (§ 4 Abs. 2).
  3. (3)
    Der Auftraggeber kann diesen Vertrag jederzeit unter re-assistent.de/avv abrufen, ausdrucken oder als PDF speichern. Auf Wunsch stellt der Auftragnehmer eine von ihm unterzeichnete Fassung zur Verfügung.
  4. (4)
    Sollte das Eigentum oder die zu verarbeitenden Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa Pfändung oder Beschlagnahme), durch ein Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, informiert der Auftragnehmer den Auftraggeber unverzüglich und weist die Beteiligten darauf hin, dass die Verantwortung für die Daten ausschließlich beim Auftraggeber liegt.
  5. (5)
    Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der des Hauptvertrags.
  6. (6)
    Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An ihre Stelle tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht.

Anlage 1 – Beschreibung der Verarbeitung

1. Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet die Daten, um für den Auftraggeber
  • Rechnungen, Kontakte und Belegdateien aus dessen Lexware-Konto über die Lexware-Schnittstelle ausschließlich lesend abzurufen und zu speichern (regelmäßiger Abgleich);
  • fällige Rechnungen zu ermitteln und die jeweils nächste Stufe nach den Einstellungen des Auftraggebers zu bestimmen;
  • Zahlungserinnerungen und Mahnungen zu erzeugen, einschließlich PDF-Dokumenten mit Briefkopf, Mahngebühren, Verzugszinsen, SEPA-QR-Code und Zahlungslink; QR-Codes werden auf dem Server des Auftragnehmers erzeugt;
  • unmittelbar vor dem Versand den Zahlungsstatus bei Lexware erneut abzufragen;
  • die Schreiben per E-Mail zu versenden – über das Postfach des Auftraggebers oder, wenn dieses nicht eingerichtet bzw. im Tarif nicht enthalten ist, über die Absenderadresse des Auftragnehmers – und, soweit der Postfachzugang eingerichtet ist, eine Kopie im Ordner „Gesendet“ des Postfachs des Auftraggebers abzulegen;
  • Schreiben per Brief über einen Druck- und Versanddienstleister zu versenden, soweit der Auftraggeber dies aktiviert;
  • unzustellbare E-Mails zu erkennen, indem der Posteingang des Postfachs des Auftraggebers auf Unzustellbarkeitsmeldungen durchsucht wird (Kopfzeilen und bis zu 120 kB je Nachricht), soweit der Auftraggeber den Postfachzugang eingerichtet und diese Prüfung nicht abgeschaltet hat;
  • jede Sendung und jedes Ereignis zu protokollieren, Auswertungen anzuzeigen und Daten auf Anforderung zu exportieren;
  • den Auftraggeber bei der Nutzung des Dienstes und bei Störungen zu unterstützen.
Eine Auswertung der Daten für eigene Zwecke des Auftragnehmers, eine Weitergabe zu Werbezwecken, eine Bonitätsbewertung oder eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt. Der Dienst übermittelt die Daten nicht an KI-Dienste und nutzt sie nicht zum Training von KI-Modellen.

2. Arten personenbezogener Daten

Daten der Rechnungsempfänger und ihrer Ansprechpartner:
  • Name bzw. Firma, Ansprechpartner, Angabe Firma/Privatperson;
  • Rechnungsanschrift (Straße, Postleitzahl, Ort, Land) und E-Mail-Adresse;
  • Rechnungsdaten: Rechnungsnummer, Rechnungs- und Fälligkeitsdatum, Brutto-, Netto- und offener Betrag, Währung, Zahlungsstatus und -datum, Lexware-Kennungen;
  • Rechnungs-PDF aus Lexware – nur zum Zeitpunkt des Versands abgerufen und als Anhang verwendet, nicht dauerhaft gespeichert;
  • Mahnverlauf: versendete Stufen, Zeitpunkte, Kanal, Betreff und Textauszug, berechnete Gebühren und Zinsen, Briefkosten, Zustellstatus, Unzustellbarkeitsgründe;
  • Pausen, Pausegründe und Notizen, die der Auftraggeber im Dienst erfasst.
Daten Dritter im Postfach des Auftraggebers (nur bei eingerichteter Unzustellbarkeitsprüfung):
  • Absender, Betreff, Datum und Inhaltsauszug von Nachrichten im Posteingang, soweit für die Erkennung von Unzustellbarkeitsmeldungen erforderlich; gespeichert werden nur erkannte Unzustellbarkeiten (Empfängeradresse, Rechnungsbezug, Grund).
Daten der Benutzer des Auftraggebers, soweit sie im Auftrag verarbeitet werden:
  • Name bzw. Benutzername, E-Mail-Adresse, Rolle sowie Protokolleinträge zu ihren Handlungen im Kundenkonto (Zeitpunkt, Aktion, IP-Adresse, Browserkennung).
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO sind nicht Gegenstand der Verarbeitung (§ 9 Abs. 2).

3. Kategorien betroffener Personen

  • Kunden des Auftraggebers (Rechnungsempfänger), soweit natürliche Personen, sowie Ansprechpartner und Beschäftigte von Rechnungsempfängern;
  • Absender von Nachrichten im Posteingang des Auftraggebers (nur Unzustellbarkeitsprüfung);
  • Benutzer des Kundenkontos (Inhaber, Administratoren, Mitglieder) und deren Beschäftigte.

4. Ort der Verarbeitung

Rechenzentrum der IONOS SE in Berlin, Deutschland. Briefversand: Druckzentrum des Druck- und Versanddienstleisters in Deutschland. Fernzugriff zur Administration ausschließlich aus Deutschland bzw. der EU durch den Auftragnehmer.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Zutrittskontrolle

Der Dienst läuft ausschließlich auf einem Server im Rechenzentrum der IONOS SE in Berlin. Der Auftragnehmer betreibt keine eigenen Serverräume.
  • Physischer Schutz durch den Rechenzentrumsbetreiber: Zutritt nur für berechtigtes Personal, Zutrittskontrollsysteme, Videoüberwachung, Sicherheitsdienst, Einbruchmeldeanlagen;
  • der Rechenzentrumsbetreiber ist nach ISO/IEC 27001 zertifiziert;
  • am Geschäftssitz des Auftragnehmers werden keine Datenbestände des Dienstes vorgehalten; Arbeitsgeräte sind verschlossen bzw. bei Abwesenheit gesperrt.

2. Zugangskontrolle (Schutz vor unbefugter Nutzung der Systeme)

Server:
  • Firewall (ufw): von außen nur SSH sowie HTTP/HTTPS erreichbar; die Anwendung selbst lauscht nur lokal und ist ausschließlich über den vorgeschalteten Webserver erreichbar;
  • automatische Sperre auffälliger Zugriffe (fail2ban) für SSH und für Webserver-Scans;
  • Administration nur durch den Geschäftsführer bzw. von ihm namentlich beauftragte, zur Vertraulichkeit verpflichtete Personen;
  • automatische Sicherheitsupdates des Betriebssystems (unattended-upgrades).
Anwendung:
  • persönliche Benutzerkonten je Person, keine geteilten Zugänge erforderlich;
  • Passwörter mit mindestens 8 Zeichen, gespeichert nur als bcrypt-Hash (Kostenfaktor 12); Schutz gegen Zeitmessangriffe bei der Anmeldung;
  • Ratenbegrenzung für Anmeldung und Passwort-Zurücksetzen (10 Versuche je Minute und Quelle) am Webserver;
  • Sitzungen über zufällige Sitzungskennungen (48 Byte), Cookie nur für HTTP (httpOnly), SameSite=Lax, über HTTPS als Secure; Laufzeit 7 Tage, beendet bei Abmeldung; der Betreiber kann auf Anforderung alle Sitzungen eines Kontos beenden;
  • Links zum Zurücksetzen des Passworts sind 60 Minuten gültig, Einladungen 7 Tage; beide werden nur als SHA-256-Hash gespeichert;
  • fehlgeschlagene und erfolgreiche Anmeldungen werden protokolliert.

3. Zugriffskontrolle (nur berechtigte Zugriffe auf Daten)

  • Mandantentrennung: jeder Datensatz ist einem Kundenkonto zugeordnet; alle Abfragen der Anwendung sind auf das Kundenkonto des angemeldeten Benutzers beschränkt;
  • Rollen im Kundenkonto (Inhaber, Administrator, Mitglied); kritische Funktionen wie das Trennen der Lexware-Verbindung nur für Inhaber und Administratoren;
  • Betreiberfunktionen nur für Benutzer mit Betreiberrolle; Empfängeradressen dort gekürzt angezeigt; Eingriffe des Betreibers werden gesondert protokolliert;
  • die Anwendung läuft unter einem eigenen, unprivilegierten Systembenutzer mit eingeschränkten Rechten (systemd: NoNewPrivileges, geschützte Systemverzeichnisse);
  • Zugangsdaten zu Lexware (OAuth-Token, API-Schlüssel) und zu Postfächern des Auftraggebers (SMTP-/IMAP-Passwörter) werden mit AES-256-GCM verschlüsselt gespeichert; der Schlüssel liegt getrennt von der Datenbank in der Serverkonfiguration; gespeicherte Passwörter werden nicht an den Browser übermittelt;
  • Rechnungs-PDFs werden nicht dauerhaft gespeichert, sondern nur zum Versand abgerufen;
  • der Zugriff des Dienstes auf Lexware ist lesend; der Dienst ändert keine Daten in Lexware.

4. Trennungskontrolle

  • logische Trennung der Daten verschiedener Auftraggeber (Mandantentrennung, siehe 3.);
  • Entwicklungs- und Produktivumgebung sind getrennt (eigene Verzeichnisse, eigene Datenbanken, eigene Dienste); Entwicklung und Tests arbeiten mit Beispieldaten und versenden keine Nachrichten an Rechnungsempfänger;
  • Daten, die der Auftragnehmer als eigener Verantwortlicher verarbeitet (Abrechnung), werden beim Zahlungsdienstleister geführt und nicht mit Daten der Rechnungsempfänger verknüpft.

5. Pseudonymisierung und Verschlüsselung

  • Daten werden zum Zweck der Leistungserbringung im Klartext benötigt (Namen, Anschriften auf Schreiben); eine Pseudonymisierung ist daher nur eingeschränkt möglich. In der Betreiberansicht werden Empfängeradressen gekürzt dargestellt;
  • Verschlüsselung bei der Übertragung siehe 6.; Verschlüsselung gespeicherter Zugangsdaten zu Lexware und zu Postfächern siehe 3.

6. Weitergabekontrolle (Integrität bei Übertragung)

  • Zugriff auf den Dienst ausschließlich über HTTPS mit TLS 1.2 oder 1.3; unverschlüsselte Aufrufe werden umgeleitet; HTTP Strict Transport Security (HSTS, ein Jahr) sowie Sicherheits-Header (X-Content-Type-Options, X-Frame-Options, Referrer-Policy);
  • Verbindungen zu Lexware, zum Druck- und Versanddienstleister und zum Zahlungsdienstleister nur über HTTPS;
  • E-Mail-Versand über SMTP mit TLS (erzwungen, wenn nicht implizit verschlüsselt);
  • Weitergabe an Unterauftragnehmer nur im Umfang der Anlage 3 und auf Grundlage von Verträgen nach Art. 28 DSGVO;
  • Datenexporte nur durch berechtigte Benutzer des Auftraggebers; jeder Export wird protokolliert.

7. Eingabekontrolle

  • Protokoll (Audit-Log) mit Zeitpunkt, handelndem Benutzer, Aktion, Ziel sowie IP-Adresse und Browserkennung, unter anderem für Anmeldungen, Änderungen an Einstellungen und Stufen, Pausen, manuelle Sendungen, Lexware-Verbindungen, Exporte und Eingriffe des Betreibers;
  • Versandprotokoll je Schreiben (Empfänger, Stufe, Kanal, Zeitpunkt, Ergebnis);
  • Daten aus Lexware werden nicht manuell verändert, sondern bei jedem Abgleich neu übernommen.

8. Verfügbarkeitskontrolle und Belastbarkeit

  • tägliche automatische Sicherung der Datenbank in einem konsistenten Zustand sowie der Konfiguration; Aufbewahrung 30 Tage, danach automatische Löschung;
  • zusätzliche Sicherung der Datenbank vor jeder Softwareaktualisierung, nur für den Administrator lesbar; ältere als 30 Tage werden dabei automatisch gelöscht;
  • dokumentiertes Verfahren zur Wiederherstellung;
  • Softwareaktualisierungen mit automatischer Rückkehr zur vorherigen Fassung, wenn die neue Fassung nicht fehlerfrei startet;
  • Rechenzentrum mit redundanter Strom- und Netzanbindung, unterbrechungsfreier Stromversorgung, Klimatisierung und Brandschutz;
  • Überwachung der Dienste durch das Betriebssystem (automatischer Neustart bei Absturz);
  • Ratenbegrenzung und Wiederholung mit Wartezeit bei Lexware-Abfragen, damit Störungen bei Lexware nicht zu Datenverlust führen; Sendungen, die wegen einer Störung nicht ausgeführt werden, bleiben offen und werden nachgeholt.

9. Auftragskontrolle und Organisation

  • Verarbeitung nur nach den Weisungen des Auftraggebers (§ 2), die im Wesentlichen über seine Einstellungen im Dienst erteilt werden;
  • sorgfältige Auswahl der Unterauftragnehmer nach ihren Sicherheitsmaßnahmen, Verträge nach Art. 28 DSGVO, Verarbeitung nur in Deutschland;
  • Verpflichtung aller Personen mit Zugriff auf Vertraulichkeit;
  • Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): Stufen sind bei Einrichtung deaktiviert, Rechnungs-PDFs werden nicht gespeichert, Lexware wird nur gelesen, kein Öffnungs- oder Klick-Tracking in Schreiben an Rechnungsempfänger;
  • Überprüfung der Maßnahmen mindestens jährlich und anlassbezogen (§ 4 Abs. 3).

Anlage 3 – Unterauftragnehmer

Folgende Unterauftragnehmer erhalten Daten der Rechnungsempfänger. Änderungen kündigt der Auftragnehmer nach § 6 Abs. 2 mindestens vier Wochen vorher an.

UnterauftragnehmerLeistungBetroffene DatenOrt
IONOS SE, Elgendorfer Str. 57, 56410 MontabaurBetrieb des Servers (Rechenzentrum); Versand von E-Mails über die Absenderadresse des Auftragnehmers, wenn kein eigenes Postfach des Auftraggebers genutzt wirdalle Daten nach Anlage 1 (Speicherung); beim E-Mail-Versand: Empfängeradresse, Inhalt des Schreibens, PDF-AnhängeDeutschland (Berlin)
letterei.de Postdienste GmbH (onlinebrief24.de), Maybachstraße 9, 21423 Winsen (Luhe)Druck, Kuvertierung und Übergabe von Briefen an einen Postdienstleister – nur wenn der Auftraggeber Briefversand aktiviertName und Anschrift des Rechnungsempfängers, Inhalt des Schreibens, Rechnungs-PDF als Anlage, RechnungsnummerDeutschland

Geplant ist zusätzlich eine verschlüsselte externe Datensicherung bei einem Anbieter mit Rechenzentrum in Deutschland. Sie wird erst nach Ankündigung nach § 6 Abs. 2 in Betrieb genommen.