Dieser Auftragsverarbeitungsvertrag ist in Deutsch, Englisch und Italienisch verfügbar. Bei Abweichungen ist die deutsche Version rechtlich bindend.
Zwischen dem Invoice-Converter.com Kunden (im Folgenden "Verantwortlicher") und Felix Graeber, CAYA Postbox 652326, 96035 Bamberg, E-Mail: (im Folgenden "Auftragsverarbeiter") wird nachfolgender Vertrag geschlossen.
Gegenstand des Auftrags ist die Durchführung der im Hauptvertrag vereinbarten Leistungen, insbesondere die automatisierte Konvertierung von Rechnungsdokumenten (z.B. PDF, XML) in strukturierte elektronische Rechnungsformate (z.B. ZUGFeRD, XRechnung) mittels künstlicher Intelligenz (KI). Dies umfasst die Extraktion, Validierung, Standardisierung und Konvertierung von Rechnungsdaten.
Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrages zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Er endet automatisch mit der Beendigung des Hauptvertrages.
Der Zweck der Verarbeitung ist die Ermöglichung der im Hauptvertrag beschriebenen Funktionalitäten von Invoice-Converter.com, primär die Umwandlung von Rechnungsdokumenten. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Leistungserbringung gemäß dem Hauptvertrag und den Weisungen des Verantwortlichen.
Im Rahmen der Nutzung von Invoice-Converter.com können folgende Arten personenbezogener Daten verarbeitet werden, soweit sie in den vom Verantwortlichen hochgeladenen Rechnungsdokumenten enthalten sind oder bei der Nutzung anfallen:
Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen:
Der Auftragsverarbeiter trifft gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau für die verarbeiteten personenbezogenen Daten zu gewährleisten. Diese Maßnahmen sind in Anlage 2 dieses Vertrages detailliert beschrieben und umfassen insbesondere Maßnahmen zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme.
Der Auftragsverarbeiter wird Daten, die im Auftrag verarbeitet werden, nur nach dokumentierter Weisung des Verantwortlichen berichtigen, löschen oder deren Verarbeitung einschränken. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, wird dieses Ersuchen unverzüglich, spätestens innerhalb von 24 Stunden, an den Verantwortlichen weitergeleitet. Nach Beendigung des Hauptvertrages werden die Daten gemäß den Regelungen in Ziffer 11 dieses AVV gelöscht.
Der Auftragsverarbeiter gewährleistet insbesondere:
Beim Auftragsverarbeiter ist kein Datenschutzbeauftragter bestellt, da die Voraussetzungen des Art. 37 DSGVO nicht vorliegen. Ansprechpartner: Felix Graeber, .
Der Auftragsverarbeiter ist berechtigt, zur Erbringung der vertraglichen Leistungen Unterauftragsverarbeiter einzusetzen. Die aktuell eingesetzten und vom Verantwortlichen genehmigten Unterauftragsverarbeiter sind in Anlage 1 dieses Vertrages aufgeführt. Der Auftragsverarbeiter informiert den Verantwortlichen 14 Kalendertage vor Einsatz eines neuen Unterauftragsverarbeiters per E-Mail und gibt dem Verantwortlichen die Möglichkeit, innerhalb dieser Frist schriftlich Einspruch zu erheben. Mit den Unterauftragsverarbeitern werden Verträge geschlossen, die den Anforderungen des Art. 28 DSGVO entsprechen.
Der Verantwortliche ist für die Beurteilung der Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Der Verantwortliche erteilt alle Aufträge oder Weisungen dokumentiert. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu bestätigen.
Der Verantwortliche hat das Recht, die Einhaltung der gesetzlichen Vorschriften zum Datenschutz und der vertraglichen Vereinbarungen durch den Auftragsverarbeiter im erforderlichen Umfang zu kontrollieren. Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen auf Anforderung die notwendigen Auskünfte zu erteilen und Nachweise (z.B. über TOMs, Zertifizierungen) zur Verfügung zu stellen.
Reichen die Remote-Nachweise objektiv nicht aus, kann der Verantwortliche nach mindestens 14 Tagen Vorankündigung eine Vor-Ort-Kontrolle während der üblichen Geschäftszeiten durchführen. Die Kosten hierfür trägt der Verantwortliche, es sei denn, die Kontrolle ergibt einen wesentlichen Verstoß des Auftragsverarbeiters gegen diesen Vertrag oder geltende Datenschutzgesetze. Der Arbeitsaufwand des Auftragsverarbeiters ist dabei auf vier (4) Arbeitsstunden begrenzt.
Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich jeden Verstoß gegen Datenschutzvorschriften oder die getroffenen vertraglichen Vereinbarungen im Zusammenhang mit der Verarbeitung von dessen Daten. Dies gilt insbesondere für Verletzungen des Schutzes personenbezogener Daten gemäß Art. 33 DSGVO.
Der Auftragsverarbeiter darf Daten nur im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Verantwortlichen verarbeiten. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen anwendbare Datenschutzgesetze verstößt.
Nach Beendigung des Hauptvertrages oder jederzeit auf Aufforderung des Verantwortlichen wird der Auftragsverarbeiter alle personenbezogenen Daten, die Gegenstand dieses AVV sind, nach Wahl des Verantwortlichen entweder löschen oder zurückgeben, sofern keine gesetzliche Aufbewahrungspflicht für den Auftragsverarbeiter besteht. Sofern der Verantwortliche innerhalb von 30 Tagen nach Vertragsende keine Weisung erteilt, werden sämtliche personenbezogenen Daten standardmäßig gelöscht.
Hochgeladene Dokumente werden im Rahmen des normalen Betriebs unmittelbar nach der Verarbeitung gelöscht und nicht persistent gespeichert.
Die Parteien haften gegen Betroffenen gemäß Art. 82 DSGVO als Gesamtschuldner. Im Innenverhältnis gilt: Jede Partei ersetzt der anderen die Schaden, die sie zu vertreten hat; der Auftragsverarbeiter stellt den Verantwortlichen von Ansprüchen frei, soweit diese auf einer schuldhaften Pflichtverletzung des Auftragsverarbeiters beruhen.
Stand: 28. April 2025
Der Verantwortliche stimmt der Beauftragung der nachfolgenden Unterauftragsverarbeiter unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DSGVO zu:
| Nr. | Firma | Anschrift | Leistung | Verarbeitungsort | Datenzugriff |
|---|---|---|---|---|---|
| 1 | Render, Inc. | 525 Brannan St STE 300, San Francisco, CA 94107, USA | Hosting der Webanwendung und Backend-Infrastruktur | Frankfurt (Deutschland) | Inhalts- und Metadaten |
| 2 | OpenAI Ireland Ltd. / OpenAI, L.L.C. | 6th Floor, South Bank House, Barrow Street, Dublin 4, Irland / 3180 18th St, San Francisco, CA 94110, USA | Bereitstellung KI-API (GPT-Modelle) zur Datenextraktion | EU/EWR (primär), USA (mit SCC) | Inhalts- und Metadaten |
| 3 | Mistral AI | 15 Rue des Halles, 75001 Paris, Frankreich | Bereitstellung KI-API zur Datenextraktion | EU | Inhalts- und Metadaten |
| 4 | Google Ireland Ltd. / Google LLC | Gordon House, Barrow Street, Dublin 4, Irland / 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA | Bereitstellung KI-API zur Datenextraktion | EU/EWR, USA (mit SCC) | Inhalts- und Metadaten |
| 5 | Cloudflare, Inc. | 101 Townsend St, San Francisco, CA 94107, USA | Content Delivery Network (CDN), Web Application Firewall (WAF), DDoS-Schutz | Global (Datenverarbeitung primär in EU/EWR, USA mit SCC) | Metadaten |
| 6 | Stripe Technology Europe, Limited / Stripe, Inc. | The One Building, 1 Grand Canal Street Lower, Dublin 2, Irland / 354 Oyster Point Blvd, South San Francisco, CA 94080, USA | Zahlungsabwicklung für Abonnements | EU/EWR, USA (mit SCC) | Metadaten |
| 7 | Supabase, Inc. | 970 Terra Bella Ave, Mountain View, CA 94043, USA | Authentifizierung, Benutzerdatenbank | Frankfurt (Deutschland), USA (mit SCC für Support/Admin) | Metadaten |
| 8 | Google Ireland Ltd. / Google LLC | Gordon House, Barrow Street, Dublin 4, Irland / 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA | Google Tag Manager & Google Analytics (Webanalyse, Tag-Management) | EU/EWR, USA (mit SCC) | Metadaten |
| 9 | Vercel, Inc. | 340 S Lemon Ave #4133, Walnut, CA 91789, USA | Frontend-Hosting | EU/EWR, USA (mit SCC) | Metadaten |
| 10 | Koyeb SAS | 15 Rue des Halles, 75001 Paris, Frankreich | Hosting der Webanwendung und Backend-Infrastruktur | EU | Inhalts- und Metadaten |
Bei Übermittlung in Drittländer (z.B. USA) erfolgt dies auf Basis von Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO, ergänzt um zusätzliche Maßnahmen, wo erforderlich.