Muster zur Vorabprüfung – der verbindliche AVV wird mit Buchung eines kostenpflichtigen Tarifs abgeschlossen. Die kostenpflichtige Bridge befindet sich derzeit in Vorbereitung (Early Access). Beim kostenlosen Prüfwerkzeug findet keine Auftragsverarbeitung statt; es wird in unserer Datenschutzerklärung beschrieben.
§ 1 Vertragsparteien und Geltung
- Verantwortlicher
- Der Kunde, der einen kostenpflichtigen BelegBridge-Tarif bucht (Angaben gemäß Buchung) – nachfolgend „Verantwortlicher“.
- Auftragsverarbeiter
- BelegBridge Compliance Software, Inhaber/in: Farah TRIKI, Wilmersdorfer Str. 107C, 10629, Berlin – nachfolgend „Auftragsverarbeiter“.
Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem kostenpflichtigen Vertrag über die BelegBridge-Bridge (nachfolgend „Hauptvertrag“). Er gilt für alle Tätigkeiten, bei denen der Auftragsverarbeiter oder von ihm beauftragte Personen personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten.
§ 2 Gegenstand und Dauer
- Gegenstand der Verarbeitung ist die transiente Umwandlung, Prüfung und Versendung von Rechnungsdaten des Verantwortlichen über die BelegBridge-Bridge.
- Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach über das Vertragsende hinaus fortbestehen (insbesondere die Vertraulichkeit), bleiben bestehen.
§ 3 Art und Zweck der Verarbeitung
- Entgegennahme von Rechnungsdaten aus den vom Verantwortlichen angebundenen Quellen (z. B. Stripe- oder PayPal-Webhooks, E-Mail oder API).
- Anreicherung mit den im Verkäuferprofil des Verantwortlichen hinterlegten Pflichtangaben des Rechnungsstellers.
- Erzeugung einer elektronischen Rechnung nach EN 16931 (XRechnung bzw. ZUGFeRD/Factur-X einschließlich Einbettung in eine PDF/A-3-Datei) ausschließlich im flüchtigen Arbeitsspeicher.
- Prüfung der erzeugten Datei anhand der amtlichen Prüfregeln (KoSIT-Validator, Mustang/veraPDF).
- Versand an die vom Verantwortlichen festgelegten Empfänger (insbesondere den Rechnungsempfänger sowie das DATEV-Postfach bzw. die Buchhaltung des Verantwortlichen).
Rechnungsinhalte werden transient verarbeitet und nach dem Versand nicht gespeichert.
§ 4 Art der Daten und Kategorien betroffener Personen
Arten personenbezogener Daten
- Rechnungsdaten: Rechnungsnummer und -datum, Positionen, Beträge, Steuern, Zahlungsbedingungen und Zahlungsstatus.
- Daten der Rechnungsempfänger: Name, Anschrift, Ansprechperson, E-Mail-Adresse, Telefonnummer, USt-IdNr. oder sonstige Kennungen.
- Zahlungsdaten: Bankverbindung (IBAN, BIC), Verwendungszwecke.
- Für den Betrieb gespeicherte Konfigurationsdaten des Verantwortlichen: Verkäuferprofil (Name, Anschrift, Steuernummern, Ansprechperson, Bankverbindung), Empfängeradressen für den Versand, Zugangs- und Webhook-Zugangsdaten.
Kategorien betroffener Personen
- Kunden des Verantwortlichen (Rechnungsempfänger) und deren Ansprechpersonen.
- Beschäftigte und Ansprechpersonen des Verantwortlichen.
- Gegebenenfalls Mandanten des Verantwortlichen (z. B. bei Steuerberatungskanzleien oder Agenturen).
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden bestimmungsgemäß nicht verarbeitet.
§ 5 Weisungsrecht
- Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten hierzu verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
- Der Hauptvertrag und die vom Verantwortlichen im Kundenkonto vorgenommene Konfiguration bilden die Weisungen. Weitere Weisungen sind in Textform zu erteilen.
- Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.
§ 6 Vertraulichkeit
Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Diese Pflicht besteht auch nach Beendigung ihrer Tätigkeit fort.
§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragsverarbeiter trifft die folgenden Maßnahmen, die bei Vertragsbeginn Bestandteil des Dienstes sind. Er darf sie an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.
| Schutzziel | Maßnahmen |
|---|---|
| Zutrittskontrolle | Betrieb in Rechenzentren des Hosting-Anbieters (Hetzner Online GmbH (Rechenzentrum Standort Nürnberg, Deutschland, ISO/IEC 27001)) mit physischen Zutrittskontrollen gemäß dessen technischen und organisatorischen Maßnahmen; keine eigenen Serverräume. |
| Zugangskontrolle | Administrativer Zugang nur für namentlich bestimmte Personen mit individueller, starker Authentifizierung; Dienste laufen mit minimalen Rechten (keine zusätzlichen Privilegien, eingeschränkte Systemberechtigungen). |
| Zugriffskontrolle | Rechnungsinhalte werden ausschließlich im flüchtigen Arbeitsspeicher verarbeitet und nicht gespeichert, sodass kein nachträglicher Zugriff möglich ist; sensible Konfigurationsdaten (etwa IBAN und Webhook-Secrets) werden verschlüsselt gespeichert (AES-256-GCM); API-Schlüssel werden nur als Hashwert gespeichert. |
| Weitergabekontrolle | Transportverschlüsselung (TLS) für alle Übertragungen; Prüfdienste laufen in isolierten Containern in einem internen Netzwerk ohne Internetzugang; Versand ausschließlich an vom Verantwortlichen konfigurierte Empfänger. |
| Eingabekontrolle | Bereinigte Protokollierung technischer Ereignisse (Zeitpunkt, Vorgang, Status) ohne Rechnungsinhalte; die Pflichtangaben des Rechnungsstellers stammen ausschließlich aus dem authentifizierten Verkäuferprofil und können durch eingehende Daten nicht überschrieben werden; Webhook-Signaturen werden zeitkonstant geprüft. |
| Verfügbarkeitskontrolle | Begrenzung von Upload-Größe (15 MB) und Anfragehäufigkeit, Schutz vor XML-Angriffen (Zurückweisung von DOCTYPE-/ENTITY-Deklarationen, XXE), schreibgeschützte Dateisysteme der Prüfdienste, Zustandsüberwachung und automatischer Neustart. |
| Trennungskontrolle | Logische Trennung der Konfigurationsdaten je Verantwortlichem (Kundenkonto); jede Rechnung wird isoliert innerhalb ihrer eigenen Anfrage verarbeitet. |
| Überprüfung und Bewertung | Überprüfung dieser Maßnahmen mindestens jährlich und bei wesentlichen Änderungen; automatisierte Tests einschließlich Sicherheitstests vor jeder Auslieferung. |
§ 8 Unterauftragsverarbeiter
- Der Verantwortliche stimmt der Beauftragung folgenden Unterauftragsverarbeiters zu: Hosting – Hetzner Online GmbH (Rechenzentrum Standort Nürnberg, Deutschland, ISO/IEC 27001). Weitere Unterauftragsverarbeiter (z. B. für den E-Mail-Versand) werden in der Liste der Unterauftragsverarbeiter benannt, die mit Vertragsschluss übergeben wird.
- Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens vier Wochen im Voraus in Textform. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall steht beiden Parteien ein Sonderkündigungsrecht zu.
- Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Die Verarbeitung erfolgt in der Europäischen Union bzw. im Europäischen Wirtschaftsraum.
§ 9 Unterstützungs- und Meldepflichten
- Der Auftragsverarbeiter unterstützt den Verantwortlichen angesichts der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Kapitel III DSGVO).
- Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
- Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, und stellt die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen bereit.
§ 10 Löschung und Rückgabe
- Rechnungsinhalte werden vom Auftragsverarbeiter nicht gespeichert; nach Abschluss der Verarbeitung ist daher nichts zurückzugeben oder zu löschen.
- Für den Betrieb gespeicherte Konfigurationsdaten (Verkäuferprofil, Empfängeradressen, verschlüsselte Zugangsdaten) werden nach Ende des Hauptvertrags unverzüglich gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Zuvor kann der Verantwortliche einen Export dieser Daten verlangen.
§ 11 Kontrollrechte
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt dazu bei (Art. 28 Abs. 3 lit. h DSGVO). Inspektionen sind mit angemessener Frist anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören; die Vertraulichkeit der Daten anderer Kunden ist zu wahren.
§ 12 Zusatzvereinbarung zum Schutz von Berufsgeheimnissen (§ 203 StGB)
Diese Zusatzvereinbarung gilt, soweit der Verantwortliche einer beruflichen Verschwiegenheitspflicht unterliegt (z. B. Steuerberater, Wirtschaftsprüfer oder Rechtsanwälte).
- Der Auftragsverarbeiter wird als „mitwirkende Person“ im Sinne des § 203 Abs. 3 und 4 StGB tätig. Ihm ist bekannt, dass er sich nach § 203 Abs. 4 StGB selbst strafbar machen kann, wenn er ein fremdes Geheimnis, das ihm bei seiner Tätigkeit bekannt geworden ist, unbefugt offenbart.
- Der Auftragsverarbeiter verpflichtet alle an der Leistungserbringung beteiligten Personen in Textform zur Verschwiegenheit und belehrt sie über die strafrechtlichen Folgen einer Pflichtverletzung. Unterauftragsverarbeitern erlegt er entsprechende Pflichten auf.
- Der Auftragsverarbeiter nimmt von fremden Geheimnissen nur insoweit Kenntnis, als dies zur Erbringung der Leistung unbedingt erforderlich ist. Da Rechnungsinhalte ausschließlich im Arbeitsspeicher verarbeitet und nicht gespeichert werden, besteht im regulären Betrieb keine Einsicht in diese Inhalte.
- Berufsrechtliche Vorgaben des Verantwortlichen zur Inanspruchnahme von Dienstleistern (z. B. § 62a StBerG, § 43e BRAO, § 50a WPO) bleiben unberührt; der Auftragsverarbeiter unterstützt den Verantwortlichen bei deren Einhaltung.
§ 13 Schlussbestimmungen
- Bei Widersprüchen gehen die Regelungen dieses Vertrags hinsichtlich des Datenschutzes den Regelungen des Hauptvertrags vor.
- Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.
- Die Haftung richtet sich nach Art. 82 DSGVO sowie den Haftungsregelungen des Hauptvertrags.
- Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Musterversion 2026.11 · Stand: November 2026. Dieses Muster stellt keine Rechtsberatung dar.