Datenschutz · Art. 28 DSGVO
Auftragsverarbeitungsvertrag (AVV)
Vertrag nach Art. 28 Abs. 3 DSGVO für die Nutzung des XRechnung-/ZUGFeRD-Validators als B2B-Service — inklusive technischer und organisatorischer Maßnahmen sowie Subprozessoren-Liste. Der Vertragstext wird auf Anfrage individuell zugesendet.
AVV auf Anfrage — gerne und unkompliziert
Wir versenden den Auftragsverarbeitungsvertrag derzeit nicht als anonymen Self-Service-Download, sondern individuell auf Anfrage. Schreib uns kurz, in welchem Rahmen du den Validator-Service einsetzen möchtest — wir senden dir den AVV anschließend individuell auf dein Unternehmen ausgefertigt als PDF zu. Du gegenzeichnest und sendest die finale Fassung zurück.
- → Antwort werktags innerhalb von 24 Stunden
- → Kein Sales-Call, keine Pflichtangaben
- → Individuell ausgefertigt, Versand als PDF
- → Anpassungen vor Unterzeichnung möglich
Inhaltsübersicht
Was im AVV geregelt ist
Der Vertragstext folgt den Anforderungen des Art. 28 DSGVO. Diese acht Punkte sind enthalten:
Vertragsparteien & Rollen
Klare Trennung zwischen Verantwortlichem (B2B-Kunde) und Auftragsverarbeiter (Matthias Meier, e-rechnung-validator.de). AVV gilt ausschließlich für den B2B-/API-Service.
Gegenstand, Dauer & Zweck
XRechnung-/ZUGFeRD-/Factur-X-Validierung gegen EN 16931, Schematron-Regeln und Codelisten — ausschließlich zur Bereitstellung des Validierungsdienstes. Keine Nutzung zu Werbung, Profiling oder KI-Training.
Ort der Verarbeitung
EU-Hosting bei netcup GmbH am Serverstandort Wien (Österreich). Kein Drittlandtransfer von Rechnungsinhalten.
Datenkategorien & Betroffene
Rechnungs- und Geschäftsdaten, Kontaktdaten, Finanz- und Steuerdaten, technische Metadaten sowie Validierungsberichte. Keine besonderen Kategorien nach Art. 9 DSGVO.
Löschkonzept
Rechnungsdateien werden nur für die Dauer der Prüfung vorgehalten und unmittelbar danach gelöscht — im kostenlosen Validator wie über die API. Eine Kopie wird nicht angefertigt, Prüfergebnisse werden nicht zum späteren Abruf gespeichert. Protokolle ohne IP-Adresse 14 Tage, Protokolle mit vollständiger IP-Adresse 7 Tage.
TOMs nach Art. 32 DSGVO
Transportverschlüsselung, Verarbeitung der Rechnungsdateien ausschließlich im Arbeitsspeicher ohne Schreiben auf einen dauerhaften Datenträger, beschränkter und protokollierter Serverzugang, restriktive Firewall, 2FA am Hosting-Account, Tageskennung statt IP-Adresse im Anwendungsprotokoll. Die vollständige Beschreibung ist Anlage 1 des AVV.
Unterauftragnehmer
Für die Validierung: netcup GmbH (Hosting, Wien) und die Unternehmen der Anexia-Gruppe als deren Unterauftragnehmer — alle in der EU. DNS (Dynadot) und Webanalyse (Google) verarbeiten keine Rechnungsdaten und stehen in der Datenschutzerklärung. Kein Cloudflare, keine KI-/OCR-Dienste.
Datenpannen & Audit
Erstmeldung von Verletzungen ohne schuldhaftes Zögern, Ziel innerhalb von 24 Stunden. Risikobasierte Kontroll- und Auskunftsrechte nach Art. 28 Abs. 3 lit. h DSGVO einschließlich Inspektionen.
Du brauchst eine gegengezeichnete Version?
Sobald du als zahlender Business-Kunde startest, erhältst du den AVV vorausgefüllt mit deinen Stammdaten als signiertes PDF. Gegenzeichnen und zurücksenden — fertig.