Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO – zwischen dir als Verantwortlichem und uns als Auftragsverarbeiter.
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch EDVLINE, Michael Dettmann („Auftragnehmer") im Auftrag des Kunden („Auftraggeber") im Rahmen der Nutzung von Blitzbeleg. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.
2. Art und Zweck der Verarbeitung
Erheben, Speichern, Ändern, Auslesen, Übermitteln und Löschen von Daten zum Zweck der Erstellung und Verwaltung von Rechnungen, Angeboten und Belegen sowie des Versands dieser Dokumente.
3. Art der Daten und Kreis der Betroffenen
| Datenarten | Stammdaten (Name, Anschrift, Kontaktdaten, Steuernummern), Vertrags- und Abrechnungsdaten, Zahlungsdaten, Inhalte von Belegen und Dateien |
|---|---|
| Betroffene | Kunden und Lieferanten des Auftraggebers, dessen Beschäftigte und Ansprechpartner |
4. Pflichten des Auftragnehmers
- Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers; die Nutzung der Anwendung gilt als Weisung.
- Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
- Umsetzung der technischen und organisatorischen Maßnahmen nach Ziffer 6 (Art. 32 DSGVO).
- Unterstützung des Auftraggebers bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Meldepflichten.
- Unverzügliche Mitteilung von Verletzungen des Schutzes personenbezogener Daten.
- Rückgabe: Der Auftraggeber kann seine Daten jederzeit selbst vollständig exportieren (Einstellungen → Sicherung) – auch nach Kündigung eines Tarifs, weil das Konto dann kostenlos weiterläuft.
- Löschung nach Vertragsende (Löschung des Kontos): Nicht aufbewahrungspflichtige Daten löscht der Auftragnehmer sofort. Unterlagen, die der Auftraggeber nach § 147 AO und § 14b UStG aufbewahren muss (fertige Belege, Zahlungen, Ausgaben mit Belegdateien, Kassenbuch, Bankumsätze, Änderungsprotokoll), hält der Auftragnehmer im Auftrag des Auftraggebers gesperrt und ohne Zugriff weiter vor und löscht sie mit Ablauf des zehnten Jahres nach dem jüngsten Vorgang vollständig. Verlangt der Auftraggeber vorher schriftlich die vollständige Löschung, etwa weil er die Unterlagen selbst exportiert hat, löscht der Auftragnehmer sofort.
5. Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:
| Dienstleister | Leistung | Ort |
|---|---|---|
| netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe | Serverbetrieb, Datensicherung | Deutschland |
| Anthropic PBC, San Francisco | KI-Belegerkennung – nur wenn der Auftraggeber sie unter Einstellungen → Module einschaltet | USA (Standardvertragsklauseln) |
Die Zahlungsabwicklung der Tarifgebühren über Stripe betrifft nur die Vertragsbeziehung zwischen Auftraggeber und Auftragnehmer und ist keine Auftragsverarbeitung; sie ist in der Datenschutzerklärung beschrieben.
Den optionalen Briefversand über LetterXpress (A&O Fischer GmbH & Co. KG, Winsen/Luhe) beauftragt der Auftraggeber mit seinem eigenen LetterXpress-Konto und eigenem Vertrag zur Auftragsverarbeitung unmittelbar selbst. Der Auftragnehmer übermittelt dabei nur auf ausdrückliche Weisung des Auftraggebers das jeweilige Beleg-PDF an LetterXpress; LetterXpress ist kein Unterauftragsverarbeiter des Auftragnehmers.
Wechsel oder Ergänzungen teilt der Auftragnehmer mindestens vier Wochen vorher mit. Der Auftraggeber kann widersprechen; in diesem Fall darf er den Vertrag zum geplanten Wechsel kündigen.
6. Technische und organisatorische Maßnahmen
| Zutrittskontrolle | Rechenzentrum mit Zugangssicherung und Videoüberwachung beim Hoster |
|---|---|
| Zugangskontrolle | Anmeldung mit E-Mail und Passwort (Argon2id), optional zweiter Faktor (TOTP), Sperre nach wiederholten Fehlversuchen, Sitzungscookies nur verschlüsselt übertragen |
| Zugriffskontrolle | Trennung nach Firmen auf Datenbankebene, Rollen mit abgestuften Rechten, Steuerberater-Zugang nur lesend, Anwendung läuft in einem eigenen Systemkonto ohne Administratorrechte |
| Weitergabekontrolle | Zugriff auf die Anwendung ausschließlich über TLS (HTTPS mit HSTS); E-Mail-Versand verschlüsselt, soweit der empfangende Server TLS unterstützt; Dateien liegen außerhalb des Webverzeichnisses und werden nur nach Rechteprüfung ausgeliefert; Kundenlinks mit nicht erratbarem Schlüssel, jederzeit sperrbar |
| Eingabekontrolle | Änderungsprotokoll mit Benutzer, Zeitpunkt und Vorgang (IP-Adresse wird nach 90 Tagen entfernt); festgeschriebene Belege sind unveränderbar, auch auf Datenbankebene gegen Löschen gesperrt |
| Verfügbarkeitskontrolle | Tägliche Sicherung mit automatischer Probe-Wiederherstellung, Aufbewahrung 14 Tage (täglich), 8 Wochen (wöchentlich) und 12 Monate (monatlich); zweite Kopie auf einem getrennten Server des Hosters in Deutschland; dokumentiertes Wiederherstellungsverfahren; Überwachung der Erreichbarkeit |
| Integrität | Hochgeladene Dateien werden am Inhalt geprüft und auf dem eigenen Server auf Schadsoftware untersucht; Dateien mit aktivem Inhalt werden abgewiesen |
| Speicherbegrenzung | Feste Löschfristen: Anmeldeversuche 90 Tage, Mail-Protokoll 180 Tage, Demo-Konten 7 Tage; geschlossene Firmen nach Ablauf der Aufbewahrungsfrist vollständig |
| Trennungskontrolle | Mandantentrennung durch verpflichtenden Firmenbezug in allen Abfragen |
| Verschlüsselung | Zugangsdaten fremder Mailserver, OAuth-Merkmale und Geheimnisse des zweiten Faktors werden mit einem Schlüssel außerhalb der Datenbank verschlüsselt gespeichert; Passwörter nur als Hash (Argon2id) |
7. Kontrollrechte
Der Auftraggeber kann sich nach Anmeldung mit angemessener Frist von der Einhaltung überzeugen. Der Auftragnehmer erteilt hierzu die erforderlichen Auskünfte.
8. Haftung
Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Allgemeinen Geschäftsbedingungen.
Stand: 3. November 2026