Auftragsverarbeitungsvertrag (AVV)

1.1. Der Verantwortliche (Nutzer von NiemieckaFaktura.de) beauftragt den Auftragsverarbeiter (Betreiber von NiemieckaFaktura.de) mit der Verarbeitung personenbezogener Daten zur Erbringung der E-Rechnungsdienste.

1.2. Der Vertrag gilt für die Laufzeit des Nutzungsvertrags und darüber hinaus, solange der Auftragsverarbeiter Daten aufgrund gesetzlicher Aufbewahrungspflichten weiter speichert (siehe 8.2).

2.1. Zweck: Erstellung, Versand und Archivierung von Rechnungen und Angeboten (einschließlich wiederkehrender Rechnungen), Zahlungserinnerungen und Mahnungen, E-Mail-Postfach für Antworten auf versendete Rechnungen und Angebote, Import und Export von Daten (u. a. DATEV-Export), Auswertungen und Statistiken, optionale KI-Funktionen, Mitarbeiterprofile, Support, Kontoführung, Zahlungsabwicklung, ZUGFeRD-Validierung, USt-IdNr.-Validierung (VIES).

2.2. Datenkategorien:

- Identifikationsdaten (Name, E-Mail, Benutzer-ID)

- Unternehmensdaten (Firma, Adresse, Steuernummer, USt-IdNr., IBAN)

- Kundendaten (Kontrahenten und deren Ansprechpartner)

- Rechnungsinhalte und -dokumente (PDF, XML)

- Angebote, Zahlungserinnerungen und Mahnungen, Notizen und Projekte

- E-Mail-Korrespondenz im Postfach und Anhänge

- Hochgeladene Dokumente und Bescheinigungen

- Aufzeichnungen zur Differenzbesteuerung (§25a UStG)

- Mitarbeiterprofile (Anzeigename, optional Geschlecht für grammatische Formen in der Aktivitätsanzeige, PIN in gehashter Form, letzte Aktivität)

- Eingaben in optionale KI-Funktionen (z. B. diktierter Text mit Kontrahentenliste und gespeicherten Positionen, zu verbessernde Texte)

- Änderungsprotokolle zu Rechnungen und Kontrahenten (wer was wann geändert hat)

- Zahlungsdaten (Zahlungseingänge und Teilzahlungen zu Rechnungen; Zahlungen für das eigene Abonnement über Stripe)

- Technische Logs und Sicherheitsdaten

2.3. Betroffene Personen: Nutzer und deren Mitarbeiter, Kunden des Nutzers (Kontrahenten, auch Privatpersonen) und deren Ansprechpartner, sonstige Absender und Empfänger von E-Mails im Postfach.

3.1. Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen.

3.2. Verpflichtung zur Vertraulichkeit für alle mit der Verarbeitung befassten Personen.

3.3. Implementierung angemessener technischer und organisatorischer Maßnahmen (TOMs).

3.4. Unterstützung bei der Erfüllung der Betroffenenrechte.

3.5. Unverzügliche Meldung von Datenschutzverletzungen (binnen 72 Stunden).

3.6. Löschung oder Rückgabe der Daten nach Vertragsende (soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen).

4.1. Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Google Cloud / Firebase

- Google Cloud EMEA Limited (Irland): Datenbank (Firestore), Dateispeicher und Serverfunktionen in der EU (Frankfurt, europe-west3); Firebase Authentication (Anmeldung) mit Verarbeitung in den USA; App Check auf globaler Google-Infrastruktur

- Google LLC (USA): Hosting und Push-Benachrichtigungen (Firebase Cloud Messaging) auf globaler Google-Infrastruktur

- Google Ireland Limited (Irland): Absturzberichte der Android-App (Crashlytics) auf globaler Google-Infrastruktur

- DPA: https://cloud.google.com/terms/data-processing-addendum (Google Cloud) und https://firebase.google.com/terms/data-processing-terms (Firebase)

Stripe Payments Europe, Limited (Irland); Übermittlung an Stripe, LLC (USA)

- Zahlungsabwicklung und Abonnementverwaltung

- DPA: https://stripe.com/legal/dpa

Sentry - Functional Software, Inc. (USA; Speicherort der Fehlerdaten: EU, Frankfurt)

- Fehlermonitoring, Leistungsmessung und Sitzungsaufzeichnung (Session Replay mit maskierten Texten) der Webanwendung, nur mit Einwilligung in die Kategorie „Analyse“

- DPA: https://sentry.io/legal/dpa/

Google Gemini API - Google Cloud EMEA Limited (Irland); Verarbeitung weltweit, u. a. USA

- Optionale KI-Funktionen: Verbesserung und Übersetzung von Texten, Sprachrechnung, KI-Assistent für das PDF-Layout, Hilfe-Assistent (nur bei Nutzung)

- DPA: https://business.safety.google/processorterms/

Google Vertex AI Agent Builder - Google Cloud EMEA Limited (Irland; EU - eu Multi-Region)

- In-App-Hilfe-Assistent (grounded auf öffentlicher Hilfe-Dokumentation, optional, nur bei Nutzung)

- DPA: https://cloud.google.com/terms/data-processing-addendum

ALL-INKL.COM - Neue Medien Münnich (Deutschland)

- E-Mail-Server: Versand der E-Mails der Anwendung (Anmeldelinks und Benachrichtigungen; Rechnungen, Angebote und Zahlungserinnerungen, sofern der Nutzer keinen eigenen E-Mail-Versand eingerichtet hat) und Empfang von Antworten im E-Mail-Postfach

- AVV: Vertrag zur Auftragsverarbeitung mit ALL-INKL.COM abgeschlossen

4.1a. Weitere Empfänger, die keine Auftragsverarbeiter sind (öffentliche Abfragedienste; sie erhalten nur die für die jeweilige Abfrage notwendigen Daten):

- OpenIBAN (openiban.com, EU): Bankdaten zu einer IBAN (optional); übermittelt werden die IBAN und, technisch bedingt, die IP-Adresse des Geräts, direkt aus dem Browser bzw. der App

- OpenPLZ API (openplzapi.org, EU): Ort zu einer deutschen Postleitzahl (optional); übermittelt werden die Postleitzahl und, technisch bedingt, die IP-Adresse des Geräts, direkt aus dem Browser bzw. der Android-App

- MwSt-Informationsaustauschsystem VIES der Europäischen Kommission: Prüfung einer USt-IdNr.

4.2. Der Verantwortliche wird mindestens 30 Tage vor dem Einsatz eines neuen Unterauftragsverarbeiters per E-Mail oder über die Anwendung informiert.

4.3. Der Verantwortliche hat das Recht, innerhalb von 30 Tagen nach Mitteilung Widerspruch gegen den Einsatz eines neuen Unterauftragsverarbeiters einzulegen.

5.1. Datenbank, Dateispeicher und Serverfunktionen werden in der EU betrieben (europe-west3, Frankfurt). Firebase Authentication betreibt Google in den USA; Hosting, Push-Benachrichtigungen, App Check und Absturzberichte laufen auf globaler Google-Infrastruktur.

5.2. Bei Übermittlungen außerhalb des EWR gilt für zertifizierte Empfänger in den USA das EU-US Data Privacy Framework (DPF); ergänzend bzw. ersatzweise gelten EU-Standardvertragsklauseln (SCC).

5.3. Empfänger in den USA: Google LLC (Firebase Authentication, Hosting, Push-Benachrichtigungen, Crashlytics, Gemini API), Stripe, LLC (Zahlungen) und Functional Software, Inc. (Sentry) - jeweils zertifiziert nach dem DPF, ergänzend SCC (5.2).

6.1. Verschlüsselung:

- TLS 1.2+ für alle Datenübertragungen

- AES-256 Verschlüsselung im Ruhezustand (Firebase)

6.2. Zugriffskontrolle:

- Firebase Authentication mit E-Mail/Passwort, E-Mail-Anmeldelink und Google Sign-In

- Optionale biometrische Authentifizierung (Android)

- Rollenbasierte Zugriffskontrolle (Firestore Security Rules)

6.3. Datensicherung:

- Automatische Firebase-Backups

- Unveränderlichkeit des Inhalts finalisierter Rechnungen (GoBD-Unterstützung)

- SHA-256 Hash zur Integritätsprüfung

6.4. Schutzmaßnahmen:

- Firebase App Check / reCAPTCHA

- Rate Limiting für API-Aufrufe

- Umgebungstrennung (Produktion/Test)

7.1. Der Verantwortliche hat das Recht auf Überprüfung der Einhaltung dieses Vertrags.

7.2. Audits erfolgen nach vorheriger Abstimmung, maximal einmal jährlich.

7.3. Alternativ kann der Verantwortliche andere geeignete Nachweise verlangen, insbesondere Zertifikate oder Prüfberichte der Unterauftragsverarbeiter (z. B. der Cloud-Anbieter).

8.1. Mit der Löschung des Kontos werden die Daten gelöscht (Ausnahmen: 8.2); bis dahin ist ein Export jederzeit möglich (8a.1). Die Kündigung des Abonnements allein löscht keine Daten.

8.2. Ausnahme: gesetzliche Aufbewahrungspflichten. Finalisierte Rechnungen und frühere PDF-Fassungen finalisierter Rechnungen werden 8 Jahre ab Ende des Kalenderjahres der Rechnung aufbewahrt (§257 Abs. 4 HGB, §147 Abs. 3 AO, BEG IV) und danach automatisch gelöscht, bei bestehendem Konto frühestens 60 Tage nach unserer Benachrichtigung. Änderungsprotokolle zu Rechnungen werden 10 Jahre nach dem jeweiligen Eintrag gelöscht. Aufzeichnungen zur Differenzbesteuerung (§25a UStG) unterliegen der gesetzlichen Aufbewahrungspflicht und bleiben auch nach der Kontolöschung erhalten.

8.3. Die Löschung erfolgt gemäß den technischen Möglichkeiten der eingesetzten Systeme.

8a.1. Datenexport (Rückgabe):

- Format: ZIP-Archiv mit JSON-Dateien und den gespeicherten Originaldateien (z. B. PDF, XML)

- Umfang: die im Konto gespeicherten Daten (u. a. Rechnungen, Angebote, Kontrahenten, Firmendaten, Notizen, Projekte) und Dateien

- Anforderung: im Web unter Einstellungen → „Import / Export“ → „Alle Daten herunterladen“, in der Android-App unter Einstellungen → „Ihre Daten exportieren“, oder per E-Mail an datenschutz@niemieckafaktura.de

- Frist: Bereitstellung innerhalb von 30 Tagen nach Anforderung

8a.2. Datenlöschung:

- Kontodaten: Löschung frühestens 7 Tage und spätestens 30 Tage nach dem Löschantrag (bis dahin kann der Antrag zurückgenommen werden); Ausnahmen siehe 8.2. Die Einträge zum Schutz der kostenlosen Testphase vor Mehrfachnutzung (Hashwerte) bleiben 3 Jahre ab Anlage des Eintrags erhalten.

- Rechnungsdaten: siehe 8.2

- Änderungsprotokolle: zu Rechnungen 10 Jahre (siehe 8.2), zu Kontrahenten 2 Jahre nach dem jeweiligen Eintrag; Protokolle gelöschter Rechnungsentwürfe bis zur Kontolöschung

- Systemprotokolle: automatische Löschung nach 30 Tagen

- Backups: Datenbanksicherungen werden nach spätestens 98 Tagen gelöscht, Sicherungen der Anmeldedaten und frühere Versionen gelöschter oder ersetzter Dateien nach rund 37 Tagen (30 Tage, danach 7 Tage bis zur endgültigen Löschung).

8a.3. Löschbestätigung:

- Auf Anfrage wird eine schriftliche Bestätigung der Löschung ausgestellt

- Kontakt: datenschutz@niemieckafaktura.de

8a.4. Technische Umsetzung:

- Firebase Firestore: Dokumentenlöschung mit Kaskadierung

- Firebase Storage: Entfernung der Dateien des Kontos; Dateien mit Aufbewahrungspflicht (finalisierte Rechnungen und deren frühere PDF-Fassungen, Aufzeichnungen nach §25a UStG) bleiben nach der Kontolöschung erhalten (siehe 8.2).

- Authentifizierungsdaten: Löschung über Firebase Authentication Admin SDK

9.1. Die Haftung richtet sich nach den Bestimmungen der DSGVO und den AGB.

9.2. Beide Parteien haften für Schäden durch schuldhaft verursachte Verstöße gegen diese Vereinbarung.

Bei Fragen zur Auftragsverarbeitung:

E-Mail: datenschutz@niemieckafaktura.de

Adresse: siehe Impressum (https://niemieckafaktura.de/legal/impressum)