to-e-rechnung.de

Auftragsverarbeitungsvertrag

Stand: 10. Oktober 2026

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO

zwischen dem Kunden der Plattform to-e-rechnung.de
– nachfolgend „Verantwortlicher“ –

und der Accountico GmbH, Pierbusch 17, 44536 Lünen, vertreten durch die Geschäftsführer Richard Fuchs und Frank Welsch
– nachfolgend „Auftragsverarbeiter“ –

1. Gegenstand, Vertragsschluss und Dauer

1.1 Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Nutzung der Plattform to-e-rechnung.de nach den Allgemeinen Geschäftsbedingungen (nachfolgend „Hauptvertrag“) ergeben, soweit der Auftragsverarbeiter dabei personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

1.2 Der Vertrag wird mit der Registrierung eines Kundenkontos und der dabei erklärten Annahme dieses Vertrags geschlossen. Er ist in elektronischer Form abgefasst (Art. 28 Abs. 9 DSGVO).

1.3 Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach über das Vertragsende hinaus fortbestehen, insbesondere Ziffer 11, bleiben unberührt.

1.4 Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die der Auftragsverarbeiter selbst Verantwortlicher ist, insbesondere die Verwaltung des Kundenkontos, die Abrechnung und die Buchhaltung. Hierzu wird auf die Datenschutzerklärung verwiesen.

2. Art, Zweck und Umfang der Verarbeitung

2.1 Art und Zweck

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich, um die Leistungen nach dem Hauptvertrag zu erbringen, nämlich:

2.2 Art der Daten

2.3 Kategorien betroffener Personen

2.4 Ort der Verarbeitung

Die Verarbeitung findet in der Europäischen Union statt. Eine Verarbeitung in einem Drittland erfolgt nur unter den Voraussetzungen der Ziffer 8.

3. Verantwortlichkeit und Weisungen

3.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, einschließlich der Zulässigkeit der Übermittlung an den Auftragsverarbeiter, und für die Wahrung der Rechte der betroffenen Personen verantwortlich.

3.2 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

3.3 Die Weisungen werden durch den Hauptvertrag, diesen Vertrag und die Nutzung der Funktionen der Plattform durch den Verantwortlichen erteilt. Einzelweisungen, die darüber hinausgehen, erteilt der Verantwortliche in Textform an info@to-e-rechnung.de. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Antrag auf Leistungsänderung behandelt.

3.4 Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

4. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Diese Pflicht besteht über das Ende ihrer Tätigkeit hinaus fort.

5. Technische und organisatorische Maßnahmen

5.1 Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anlage 1 beschrieben.

5.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder wirksamere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert.

6. Unterstützung des Verantwortlichen

6.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Art. 12 bis 22 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter, sofern eine Zuordnung möglich ist.

6.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

6.3 Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

7. Unterauftragsverarbeiter

7.1 Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

7.2 Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen in Textform widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Bei einem Widerspruch können die Parteien eine einvernehmliche Lösung suchen; kommt sie nicht zustande, kann jede Partei den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

7.3 Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen nach Maßgabe des Art. 28 Abs. 4 Satz 2 DSGVO.

7.4 Kein Unterauftragsverarbeiter im Sinne dieser Ziffer ist der vom Verantwortlichen selbst angebundene SMTP-Server bzw. dessen Betreiber (einschließlich Microsoft 365 bei Verbindung über die Microsoft-Anmeldung); dieser wird vom Verantwortlichen ausgewählt und beauftragt. Ebenfalls nicht erfasst sind Leistungen, die der Auftragsverarbeiter als Nebenleistung in Anspruch nimmt, etwa reine Telekommunikationsdienste, soweit dabei kein Zugriff auf die Auftragsdaten besteht.

8. Übermittlung in Drittländer

Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (Art. 45 DSGVO, etwa des EU-US Data Privacy Framework für danach zertifizierte Empfänger) oder geeigneter Garantien wie Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die betroffenen Unterauftragsverarbeiter sind in Anlage 2 gekennzeichnet.

9. Meldung von Datenschutzverletzungen

9.1 Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die die Auftragsdaten betrifft, unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO).

9.2 Die Meldung enthält, soweit verfügbar, die in Art. 33 Abs. 3 DSGVO genannten Informationen, insbesondere eine Beschreibung der Art der Verletzung, der betroffenen Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen. Informationen, die nicht zeitgleich bereitgestellt werden können, werden ohne unangemessene weitere Verzögerung nachgereicht.

9.3 Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen für die betroffenen Personen zu mindern.

10. Nachweise und Kontrollen

10.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

10.2 Der Nachweis erfolgt vorrangig durch Vorlage geeigneter Unterlagen, etwa einer aktuellen Beschreibung der technischen und organisatorischen Maßnahmen, schriftlicher Auskünfte oder – soweit vorhanden – von Zertifizierungen oder Prüfberichten.

10.3 Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche Inspektionen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, der kein Wettbewerber des Auftragsverarbeiters ist. Inspektionen sind mit angemessener Frist, in der Regel mindestens vier Wochen, anzukündigen, während der üblichen Geschäftszeiten durchzuführen und so zu gestalten, dass der Betrieb nicht unverhältnismäßig gestört und die Vertraulichkeit der Daten anderer Kunden gewahrt wird. Jede Partei trägt die ihr entstehenden Kosten selbst.

11. Löschung und Rückgabe

11.1 Rechnungsdateien, Seitenbilder und Texte aus der KI-Erfassung sowie zu versendende Nachrichten werden nur für die Dauer der jeweiligen Anfrage im Arbeitsspeicher verarbeitet und anschließend verworfen; eine dauerhafte Speicherung erfolgt nicht.

11.2 Vor Vertragsende kann der Verantwortliche die im Konto gespeicherten Daten, einschließlich des Versandprotokolls, über die Exportfunktion herunterladen. Damit ist die Rückgabe der Daten erfüllt.

11.3 Nach Vertragsende, spätestens mit der Löschung des Kundenkontos, löscht der Auftragsverarbeiter sämtliche Auftragsdaten, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Löschung wird auf Anfrage bestätigt.

12. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für Schäden, die auf ihren Verstoß gegen die DSGVO oder diesen Vertrag zurückzuführen sind; Art. 82 Abs. 4 und 5 DSGVO bleiben unberührt. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

13. Schlussbestimmungen

13.1 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Bezug auf den Schutz personenbezogener Daten vor.

13.2 Änderungen dieses Vertrags erfolgen nach dem Verfahren für Änderungen der AGB (Ziffer 15 der AGB); Änderungen der Unterauftragsverarbeiter richten sich nach Ziffer 7.2 dieses Vertrags.

13.3 Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, Dortmund.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

2. Integrität

3. Verfügbarkeit und Belastbarkeit

4. Verfahren zur regelmäßigen Überprüfung

Anlage 2: Unterauftragsverarbeiter

1. Hostinger International Ltd.

61 Lordou Vironos Street, 6023 Larnaka, Zypern

2. Langdock GmbH

Berlin, Deutschland

3. Amazon Web Services EMEA SARL

38 Avenue John F. Kennedy, L-1855 Luxemburg