Vertrag zur Auftragsverarbeitung (AVV)

zwischen dem Nutzer des LokalX-Rechnungstools als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortlicher") und

Andreas Bochniczek, BA („LokalX"), Bergsiedlung 151, 5531 Eben im Pongau, Österreich, E-Mail: ceo@lokalx.de als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend „Auftragsverarbeiter").

Dieser Vertrag wird elektronisch geschlossen, indem er beim Start der Nutzung des Tools bestätigt wird (Art. 28 Abs. 9 DSGVO). Die bestätigende Person sichert dabei zu, zum Abschluss für den jeweiligen Betrieb berechtigt zu sein; der Vertrag wird dem im Tool hinterlegten Betrieb (Firma und Anschrift laut Stammdaten) zugeordnet. Zeitpunkt und Vertragsversion werden protokolliert. Der Vertrag ergänzt die Nutzungsbedingungen und geht ihnen in Datenschutzfragen vor.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Bereitstellung des LokalX-Rechnungstools einschließlich Speicherung und Verarbeitung der darin erfassten Daten.

(2) Die Dauer entspricht der Dauer des Nutzungsverhältnisses (Testphase bzw. anschließendes Vertragsverhältnis) und umfasst zusätzlich die anschließende Export- und Löschphase bis zur endgültigen Löschung der Auftragsdaten nach § 4 Abs. 7 — einschließlich einer etwaigen anschließenden, zeitlich begrenzten Vorhaltung in Wiederherstellungsständen der Datensicherung.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Erhebung, Speicherung, Anzeige, Berechnung, PDF-Erzeugung, Archivierung und Löschung von Rechnungsdaten, die der Verantwortliche im Tool erfasst. Die Verarbeitung findet ausschließlich zur Bereitstellung dieser Funktionen statt.

(2) Der Versand erstellter Rechnungen an Empfänger erfolgt durch den Verantwortlichen selbst über die Teilen-Funktion seines Endgeräts (z. B. WhatsApp oder E-Mail-App). Ein serverseitiger Versand von Rechnungen durch den Auftragsverarbeiter findet derzeit nicht statt; sollte eine solche Funktion eingeführt werden, wird dieser Vertrag (einschließlich Anlage 2) zuvor entsprechend angepasst.

§ 3 Art der Daten und Kreis der Betroffenen

(1) Datenarten: Namens- und Adressdaten der Rechnungsempfänger, ggf. USt-IdNr., Leistungs- und Rechnungsdaten (Positionen, Beträge, Leistungsort und -datum, Zahlungsinformationen des Verantwortlichen).

(2) Betroffene: Kunden bzw. Auftraggeber des Verantwortlichen und deren Ansprechpartner.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen werden im Regelfall durch die Bedienung der Tool-Funktionen erteilt (Anlegen, Ändern, Löschen von Daten); darüber hinausgehende Weisungen erfolgen in Textform.

(2) Er informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

(3) Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.

(4) Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu unterschreiten.

(5) Er unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO.

(6) Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO).

(7) Nach Ende der aktiven Nutzung kann der Verantwortliche seine Auftragsdaten exportieren (insbesondere die Rechnungs-PDFs herunterladen) und jederzeit deren frühere Löschung verlangen. Spätestens 60 Tage nach Testende bzw. Vertragsende löscht der Auftragsverarbeiter sämtliche Auftragsdaten aus den produktiven Systemen, soweit nicht Rechtsvorschriften, die den Auftragsverarbeiter selbst treffen, eine weitere Speicherung verlangen. Soweit Daten danach technisch noch in zeitlich begrenzten Wiederherstellungsständen der Datensicherung enthalten sind, werden diese ausschließlich für Zwecke der Notfallwiederherstellung vorgehalten, nicht für andere Zwecke verarbeitet und nach Ablauf des jeweiligen Wiederherstellungsfensters automatisch unverfügbar. Wird ein Wiederherstellungsstand tatsächlich zurückgespielt, stellt der Auftragsverarbeiter sicher, dass zwischenzeitlich wirksam gewordene Löschungen und Sperrungen vor einer erneuten produktiven Nutzung erneut angewendet werden. Aufbewahrungspflichten des Verantwortlichen (z. B. steuerliche Aufbewahrung seiner Rechnungen) bleiben dessen eigene Aufgabe; er sorgt vor Ablauf der Frist für den Download seiner Unterlagen.

(8) Er stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung. Kontrollen erfolgen vorrangig durch Auskünfte, Dokumentation und Nachweise der eingesetzten Infrastruktur-Anbieter (Zertifizierungen, Audit-Berichte); Vor-Ort-Kontrollen sind nach angemessener Ankündigung während üblicher Geschäftszeiten möglich.

§ 5 Rechte und Pflichten des Verantwortlichen

(1) Der Verantwortliche ist im Rahmen dieses Vertrags allein verantwortlich für die Rechtmäßigkeit der Verarbeitung der Auftragsdaten, insbesondere für die Rechtsgrundlagen gegenüber seinen Kunden und die Erfüllung der Informationspflichten (Art. 13, 14 DSGVO) diesen gegenüber.

(2) Er stellt sicher, dass die von ihm im Tool erfassten Daten rechtmäßig erhoben wurden und sachlich richtig sind.

(3) Er erteilt Weisungen im Regelfall über die Funktionen des Tools; außergewöhnliche Weisungen dokumentiert er in Textform. Er benennt auf Anfrage einen Ansprechpartner für Datenschutzfragen.

(4) Er behandelt seine Zugänge (Zugangslinks, Logins) vertraulich, verwaltet die Nutzung im eigenen Betrieb und informiert den Auftragsverarbeiter unverzüglich bei Verdacht auf Missbrauch (Widerruf und Neuausstellung von Zugangslinks sind jederzeit möglich).

(5) Ihm stehen die Informations- und Kontrollrechte nach § 4 Abs. 8 zu. Über Rückgabe (Export) oder Löschung der Auftragsdaten entscheidet er im Rahmen des § 4 Abs. 7.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt allgemein den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert über beabsichtigte Änderungen (Hinzufügen/Ersetzen) in Textform an die hinterlegte E-Mail-Adresse des Verantwortlichen; dieser kann binnen 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Widerspruchsfall kann jede Seite das Nutzungsverhältnis beenden; zuvor kann der Verantwortliche seine Daten gemäß § 4 Abs. 7 exportieren.

(3) Mit jedem Unterauftragsverarbeiter bestehen Verträge, die den Anforderungen des Art. 28 DSGVO entsprechen. Bei Verarbeitung in Drittländern bestehen geeignete Garantien nach Art. 44 ff. DSGVO (EU-Standardvertragsklauseln und/oder EU-U.S. Data Privacy Framework, siehe Anlage 2).

§ 7 Haftung

Die gesetzliche Haftung nach Art. 82 DSGVO bleibt unberührt; der Ausgleich zwischen den Parteien im Innenverhältnis richtet sich nach Art. 82 Abs. 5 DSGVO. Für sonstige vertragliche Ansprüche gelten die Haftungsregeln der Nutzungsbedingungen.

§ 8 Schlussbestimmungen

Es gilt österreichisches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen (TOMs)

  • Infrastruktur: Betrieb ausschließlich auf der Cloud-Infrastruktur von Cloudflare (ISO-27001-/SOC-2-zertifizierte Rechenzentren); kein eigener Serverbetrieb, keine lokalen Datenkopien.
  • Datenlokalisierung: Datenbank (Cloudflare D1) und Datei-Speicher (Cloudflare R2) mit EU-Jurisdiktions-Beschränkung.
  • Verschlüsselung: Sämtliche Datenübertragungen erfolgen TLS-verschlüsselt (HTTPS); Speicherung auf verschlüsselter Infrastruktur des Cloud-Anbieters.
  • Zugriffskontrolle: Strikte Mandantentrennung auf Datenebene (jede Abfrage ist an den jeweiligen Kunden gebunden). Der Zugang erfolgt über persönliche Zugangs-Links mit 128-Bit-Zufallswert (Inhaber-Prinzip) oder über E-Mail-Einmal-Links (15 Minuten gültig, einmal verwendbar) mit Sitzungsverwaltung. Risikominderung beim Zugangs-Link: Speicherung in der Datenbank ausschließlich als SHA-256-Hash, jederzeitiger Widerruf und Neuausstellung einzelner Links, vollständige Sperrung pro Mandant auf Anwendungs- und Schnittstellenebene sowie Gerätebindung: Das erste Gerät eines Kunden wird bei der Erstnutzung automatisch vertraut, jedes weitere Gerät muss einmalig über einen an die hinterlegte E-Mail-Adresse gesendeten Bestätigungslink freigeschaltet werden; ohne bestätigtes Gerät verweigern Seiten und Schnittstellen den Zugriff (nach erfolgter Erstbindung genügt ein weitergegebener Link allein damit nicht mehr).
  • Administrative Zugänge: Verwaltungsbereich nur für hinterlegte Administrator-E-Mail-Adressen (Allowlist) mit eigener Login- und Sitzungskette; Zugänge können jederzeit entzogen werden.
  • Eingabekontrolle: Protokollierung von Zustimmungen (mit Dokument-Version und Zeitstempel) und Statusänderungen.
  • Verfügbarkeits- und Wiederherstellungskontrolle: Global verteilte, redundante Cloud-Infrastruktur; automatische Vorhaltung von Wiederherstellungsständen der Datenbank für Point-in-Time-Recovery (Cloudflare D1 „Time Travel"; Wiederherstellungsfenster tarifabhängig bis zu 30 Tage) — Wiederherstellungsstände dienen ausschließlich der Notfallwiederherstellung. Durchgeführte Löschungen werden in einem separaten Lösch-Protokoll (nur Datensatz-Kennungen und Zeitpunkt, ohne Klartext-Personendaten) außerhalb des wiederherzustellenden Bestands festgehalten. Nach einem tatsächlichen Zurückspielen eines Wiederherstellungsstandes werden anhand dieses Protokolls die zwischenzeitlich wirksam gewordenen Löschungen und Sperrungen gemäß einer dokumentierten Restore-Checkliste erneut angewendet, bevor die Schnittstellen für Nutzer wieder freigegeben werden (§ 4 Abs. 7). Rechnungs-PDFs werden zusätzlich zum Datenbank-Datensatz als Objekt gespeichert.
  • Trennungskontrolle: Zugangs-Links können pro Kunde jederzeit widerrufen werden; gesperrte Kunden und abgelaufene Testzugänge werden auf Anwendungs- und Schnittstellen-Ebene blockiert.
  • Geheimnisverwaltung: API-Schlüssel und Zugangsdaten ausschließlich als verschlüsselte Umgebungs-Secrets der Plattform; keine Schlüssel im Quellcode.
  • Software-Wartung: Regelmäßige Aktualisierung der eingesetzten Softwarekomponenten und zeitnahe Einspielung sicherheitsrelevanter Updates.
  • Umgang mit Vorfällen: Bewertung und Dokumentation von Sicherheitsvorfällen; unverzügliche Information betroffener Verantwortlicher gemäß § 4 Abs. 6.
  • Organisation und Löschung: Datenminimierung als Grundprinzip (es werden nur die für die Rechnungserstellung erforderlichen Daten erfasst); Löschung nach § 4 Abs. 7; regelmäßige Überprüfung von Konfiguration und Zugriffsrechten.

Anlage 2: Genehmigte Unterauftragsverarbeiter

  • Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA — Hosting/Serverless-Infrastruktur, Datenbank (D1, EU-Jurisdiktion), Objektspeicher (R2, EU-Jurisdiktion), Auslieferung der Anwendung. Garantien: Cloudflare Customer DPA inkl. EU-Standardvertragsklauseln; zertifiziert unter dem EU-U.S. Data Privacy Framework.

Weitere Dienstleister verarbeiten derzeit keine Auftragsdaten im Sinne des § 3. Insbesondere versendet der E-Mail-Dienst Resend (Plus Five Five, Inc.) ausschließlich System-E-Mails an den Verantwortlichen selbst (z. B. Anmelde-Links, Gerätebestätigungen) und ist deshalb kein Unterauftragsverarbeiter im Rahmen dieses Vertrags. In dem hiervon zu unterscheidenden datenschutzrechtlichen Verhältnis von LokalX zu seinen eigenen Nutzern und Interessenten ist Resend hingegen Auftragsverarbeiter von LokalX (LokalX ist insoweit Verantwortlicher); Einzelheiten enthält die Datenschutzerklärung (Ziffer 8). Sollte künftig ein serverseitiger Versand von Rechnungen eingeführt werden, wird diese Anlage nach dem Verfahren des § 6 angepasst.

Version 1.4 · Stand: 24. Juli 2026

← Zurück zur Startseite