Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO
Version 2026-11-09. Auftragnehmer: Marlon Czopnik, Broicher Straße 5b, 41179 Mönchengladbach, Deutschland, info@showreport2invoice.com. Auftraggeber ist der im elektronischen Abschluss mit vollständigem Namen/Firma und Anschrift bezeichnete Kunde, vertreten durch die dort handelnde berechtigte Person. Kontozuordnung, Vertragsfassung, Prüfsumme und Zeitpunkt werden dokumentiert; der Vertragsnachweis ist im Benutzerkonto herunterladbar.
1. Gegenstand, Zweck und Dauer
Diese Vereinbarung betrifft die serverseitige Verarbeitung personenbezogener Käufer- und Rechnungsdaten im Rahmen der beauftragten Lexware-Integration von ShowReport to InvoiceCSV. Sie gilt während der Nutzung dieser Verarbeitung und bis zur vereinbarten Rückgabe oder Löschung der auftragsbezogenen Daten. Die eigene Verarbeitung von Konto-, Shop- und Vertragsdaten durch den Auftragnehmer ist nicht Gegenstand dieser Weisungsbindung.
2. Verarbeitung und betroffene Personen
Die Verarbeitung umfasst Entgegennahme, Übermittlung an das Lexware-Konto des Auftraggebers, erforderliche Kontaktanlage/-verknüpfung sowie Abruf und Abgleich von Rechnungs- und Zahlungsstatus. Zur Vermeidung von Doppelimporten werden technische Zuordnungen geführt. Betroffene Personen sind insbesondere Käufer, Rechnungsempfänger und gegebenenfalls Kontaktpersonen. Verarbeitet werden Namen, Adressen, Länderkennungen, Positionen, Mengen, Beträge, Steuer- und Datumsangaben, Bestellreferenzen, Kommentare sowie technische IDs und Statusinformationen. Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen und dürfen nicht in Kommentaren übermittelt werden.
3. Weisungen und Verantwortlichkeit
Der Auftraggeber verantwortet die Rechtmäßigkeit der Verarbeitung und der Übermittlung an sein Lexware-Konto sowie die Wahrung der Betroffenenrechte. Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung, einschließlich Weisungen über Drittlandübermittlungen, sofern keine gesetzliche Verpflichtung entgegensteht. In diesem Fall unterrichtet er den Auftraggeber vorab, soweit gesetzlich zulässig. Die Wahl und Auslösung der angebotenen Funktionen sind dokumentierte Weisungen. Weitere Weisungen können über info@showreport2invoice.com erteilt werden; Identität und Berechtigung sind zu prüfen. Bei einer aus Sicht des Auftragnehmers rechtswidrigen Weisung informiert er unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus.
4. Vertraulichkeit und Sicherheit
Der Auftragnehmer stellt sicher, dass alle befugten Personen zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Verpflichtung unterliegen. Er trifft dem Risiko angemessene Maßnahmen nach Art. 32 DSGVO. Die TOM-Anlage in der beim Abschluss gesicherten Fassung ist Vertragsbestandteil. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten; wesentliche Änderungen werden mitgeteilt. Nicht als umgesetzt bestätigte Infrastrukturmaßnahmen dürfen vor Abschluss nicht als vorhanden zugesagt werden.
5. Unterauftragsverarbeiter
Der Auftraggeber erteilt die allgemeine Genehmigung für die in diesem Abschnitt ausdrücklich benannten Unterauftragsverarbeiter. Der Auftragnehmer informiert vor beabsichtigten Ergänzungen oder Ersetzungen so rechtzeitig, dass ein begründeter Widerspruch vor Einsatz möglich ist. Können berechtigte Einwände nicht gelöst werden, darf die betroffene Verarbeitung nicht mit dem beanstandeten Anbieter fortgesetzt werden. Unterauftragnehmer werden mindestens zu gleichwertigen Datenschutzpflichten verpflichtet; der Auftragnehmer bleibt für deren Erfüllung gegenüber dem Auftraggeber verantwortlich.
Genehmigter Unterauftragsverarbeiter: STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland. Die beauftragten Leistungen betreffen Hosting und Betrieb der Server-/Speicherinfrastruktur sowie die zugehörigen Standardbackups. Der Betreiber nutzt hierfür die Pakete „Hosting-Starter“ und „VPS Linux PA-4-8-240“. STRATO stellt seine Vereinbarung zur Auftragsverarbeitung bereit; nach der Anbieterinformation ist sie bei Verträgen ab dem 18. Juli 2022 automatisch einbezogen. Bei älteren Verträgen erfolgt der Abschluss im Kundenkonto. Maßgeblich bleibt die zum jeweiligen Vertrag gehörige Vereinbarung. Die zugehörige technische Infrastruktur und Verarbeitungsorte richten sich nach dieser Vereinbarung und dem gebuchten Leistungsumfang; eine darüber hinausgehende Standortgarantie wird nicht vereinbart.
Website-E-Mails werden ebenfalls über STRATO versendet (smtp.strato.de, TLS auf Port 587). Soweit im Rahmen berechtigter Weisungen Auftragsdaten zur Unterstützung verarbeitet werden, gelten hierfür die Vertraulichkeits-, Zweckbindungs- und Minimierungspflichten dieser Vereinbarung. Käuferlisten oder API-Schlüssel sind kein regulärer Bestandteil von Support-E-Mails.
Das vom Auftraggeber bestimmte Lexware-Zielkonto wird durch die Haufe Service Center GmbH, Munzinger Straße 9, 79111 Freiburg, bereitgestellt. Lexware beschreibt seine Rolle für Daten in den Softwaremodulen als Auftragsverarbeiter des jeweiligen Lexware-Kunden. Die Übertragung erfolgt an das vom Auftraggeber bestimmte Konto auf dessen Weisung. Lexware ist dadurch nicht als weiterer Unterauftragsverarbeiter des Auftragnehmers genehmigt; maßgeblich ist der eigene Vertrag des Auftraggebers mit Lexware. Andere Unterauftragsverarbeiter dürfen nur nach dem oben geregelten Informations- und Genehmigungsverfahren eingesetzt werden.
6. Unterstützung und Datenschutzverletzungen
Der Auftragnehmer unterstützt den Auftraggeber durch geeignete Maßnahmen bei Anträgen betroffener Personen und, unter Berücksichtigung der verfügbaren Informationen, bei Pflichten nach Art. 32 bis 36 DSGVO, insbesondere Sicherheitsprüfung, Meldungen, Folgenabschätzungen und Konsultationen. Betroffenenanfragen werden unverzüglich an den Auftraggeber weitergeleitet, soweit sie die Auftragsdaten betreffen. Ohne Weisung erteilt der Auftragnehmer keine inhaltliche Auskunft über Auftragsdaten, sofern keine gesetzliche Pflicht besteht.
Bekannt gewordene Verletzungen des Schutzes personenbezogener Auftragsdaten meldet der Auftragnehmer unverzüglich an den Auftraggeber. Er teilt verfügbare Angaben zu Art, betroffenen Daten und Personen, wahrscheinlichen Folgen, Gegenmaßnahmen und Ansprechpartnern mit, ergänzt diese bei neuen Erkenntnissen und unterstützt Eindämmung und Nachweis.
7. Nachweise und Kontrollen
Der Auftragnehmer stellt die zur Prüfung der Einhaltung dieser Vereinbarung erforderlichen Informationen bereit und ermöglicht Kontrollen einschließlich Inspektionen durch den Auftraggeber oder einen beauftragten unabhängigen Prüfer. Prüfungen sind unter Wahrung der Sicherheit, anderer Kundendaten und Geschäftsgeheimnisse zu koordinieren; berechtigte Anlassprüfungen und behördliche Befugnisse dürfen nicht unangemessen eingeschränkt werden.
8. Rückgabe, Löschung und Beendigung
Nach Ende der beauftragten Verarbeitung werden die Auftragsdaten nach Wahl des Auftraggebers zurückgegeben oder gelöscht und vorhandene Kopien gelöscht, soweit keine gesetzliche Aufbewahrung entgegensteht. Der Auftragnehmer erläutert erforderliche Ausnahmen und bestätigt die Ausführung. Die Rückgabe technischer Zuordnungen kann über einen datenschutzrechtlichen Export erfolgen. Beim Löschen technischer Nachweise wird der weitere Import gesperrt, um Doppelanlagen zu verhindern. Vorher werden laufende Anfragen angehalten und abgewartet. Ältere HMAC-Zuordnungen erfordern gegebenenfalls einen zusätzlichen fachlichen Abgleich. Kann eine kontobezogene Löschung nicht vollständig nachgewiesen werden, benennt der Auftragnehmer dem Auftraggeber die betroffenen Nachweisarten und die noch erforderlichen Prüfschritte; eine unvollständige Löschung darf nicht als abgeschlossen bestätigt werden.
Die Daten im vom Auftraggeber geführten Lexware-Konto und dessen eigene Downloads verbleiben in dessen Verantwortungsbereich. Aufbewahrungspflichtige eigene Vertragsdaten des Auftragnehmers werden getrennt behandelt. Es bestehen wöchentliche STRATO-Standardbackups. Festgelegt ist die rollierende Aufbewahrung der letzten vier wöchentlichen Sicherungen. Die Einhaltung dieser Vorgabe durch den Provider ist gesondert zu überwachen; ein technischer Nachweis hierzu ist nicht Bestandteil der vorliegenden Anwendungskonfiguration. Eine Löschung im aktiven System entfernt Kopien nicht unmittelbar aus bestehenden Sicherungen. Der Auftragnehmer hat Löschweisungen nach einer Wiederherstellung vor erneuter Freigabe der betroffenen Verarbeitung wieder anzuwenden und dem Auftraggeber auf Anfrage den Stand der Löschung einschließlich noch vorhandener Sicherungskopien mitzuteilen.
9. Drittlandübermittlungen und Abschluss
Übermittlungen außerhalb des EWR setzen eine dokumentierte Weisung sowie die einschlägigen Voraussetzungen der Art. 44 ff. DSGVO voraus. Es werden keine unbestätigten Standort- oder Angemessenheitszusagen getroffen. Diese Vereinbarung wird elektronisch in Textform geschlossen; die konkrete Fassung einschließlich TOM und Auftraggeberangaben wird dokumentiert. Sie hat für Auftragsdaten Vorrang vor widersprechenden allgemeinen Vertragsbedingungen. Gesetzliche Verantwortlichkeiten und Ansprüche bleiben unberührt.