Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)
Entwurf, Stand August 2026 — vor Produktivbetrieb anwaltlich prüfen lassen. Mit [eckigen Klammern] markierte Stellen sind vom Betreiber vor der Veröffentlichung zu befüllen.
§ 1 Parteien und Gegenstand
Auftraggeber (Verantwortlicher): der Nutzer des
Dienstes, mit den in seinem Konto hinterlegten Daten.
Auftragnehmer (Auftragsverarbeiter):
Elias Becker, Nebeniusstraße 9,
68167 Mannheim, E-Mail: kontakt@tannel.de.
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung des Dienstes „Tannel“ gemäß den Allgemeinen Geschäftsbedingungen. Dieser Vertrag konkretisiert die Pflichten nach Art. 28 Abs. 3 DSGVO.
§ 2 Dauer
Der Vertrag beginnt mit der Registrierung und endet mit Beendigung des Nutzungsverhältnisses. Er kann nicht getrennt vom Hauptvertragsverhältnis gekündigt werden.
§ 3 Art, Umfang und Zweck der Verarbeitung
| Zweck | Erstellen, Speichern, Anzeigen, Prüfen und Bereitstellen elektronischer Rechnungen im Auftrag des Auftraggebers |
|---|---|
| Art der Verarbeitung | Erheben, Speichern, Auslesen, Verwenden, Übermitteln (Download/Versand an den Auftraggeber), Löschen |
| Kategorien betroffener Personen | Kunden und Ansprechpartner des Auftraggebers; bei Nutzung des E-Rechnungs-Postfachs zusätzlich Lieferanten des Auftraggebers und deren Ansprechpartner |
| Kategorien der Daten | Name und Firmierung, Anschrift, E-Mail-Adresse, USt-IdNr./Steuernummer, Käuferreferenz sowie Inhalt und Beträge der Rechnungen; bei Nutzung des Postfachs zusätzlich die empfangenen Rechnungsdateien einschließlich der darin enthaltenen Bankverbindungen der Absender |
| Besondere Kategorien (Art. 9) | werden nicht verarbeitet |
| Ort der Verarbeitung | ausschließlich innerhalb der Europäischen Union |
§ 4 Weisungsbindung
Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Funktionen des Dienstes gilt als Weisung. Weitergehende Weisungen sind in Textform an die oben genannte Adresse zu richten. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, weist er den Auftraggeber darauf hin und darf die Ausführung aussetzen.
§ 5 Technische und organisatorische Maßnahmen (Art. 32)
Der Auftragnehmer unterhält insbesondere folgende Maßnahmen:
| Schutzziel | Maßnahme |
|---|---|
| Vertraulichkeit — Transport | TLS/HTTPS für sämtliche Verbindungen, HSTS |
| Vertraulichkeit — Zugang | Passwörter ausschließlich als Argon2id-Hash, API-Schlüssel ausschließlich als SHA-256-Hash gespeichert |
| Vertraulichkeit — Zugriff | Anmeldepflicht, strikte Mandantentrennung (jeder Zugriff ist auf die Daten des eigenen Kontos begrenzt, durch automatisierte Tests abgesichert) |
| Vertraulichkeit — ruhende Daten | Verschlüsselung des Datenträgers sowie der Sicherungen |
| Integrität | CSRF-Schutz, Content-Security-Policy ohne Inline-Code, Schutz gegen XML-Angriffe (externe Entitäten deaktiviert), Schema-Validierung aller Eingaben |
| Integrität — Belege | unveränderlicher Rechnungs-Snapshot; erstellte Rechnungen werden nicht nachträglich verändert |
| Verfügbarkeit | regelmäßige verschlüsselte Sicherung an einen vom Anwendungsserver getrennten Ort in der EU, dokumentierter Wiederherstellungsprozess mit regelmäßigem Test |
| Belastbarkeit | Begrenzung der Anfragerate für Anmeldung, öffentliche Werkzeuge und Schnittstelle; Sicherheits-Header |
| Datensparsamkeit | Erhebung nur der für die Rechnungserstellung erforderlichen Felder; Dateien in den kostenlosen Werkzeugen werden ausschließlich im Arbeitsspeicher verarbeitet und nicht gespeichert |
| Keine Profilbildung | kein Tracking, keine Analyse-Cookies, keine Werbung |
| Trennbarkeit | Trennung der Daten nach Konto auf Datenbankebene |
Der Auftragnehmer darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.
§ 6 Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz der nachfolgenden Unterauftragsverarbeiter zu. Alle verarbeiten innerhalb der EU.
| Dienstleister | Zweck | Ort |
|---|---|---|
| [Hosting-Anbieter eintragen] | Betrieb der Server | [EU-Standort] |
| [Backup-Anbieter eintragen] | verschlüsselte Datensicherung | [EU-Standort] |
| [E-Mail-Versanddienst eintragen] | Versand von Konto- und Rechnungs-E-Mails | [EU-Standort] |
| [E-Mail-Eingangspostfach eintragen] | Empfang der Eingangsrechnungen (nur bei Nutzung des E-Rechnungs-Postfachs) | [EU-Standort] |
| [Fehlertracking eintragen, falls genutzt] | technische Fehlerberichte. Sie enthalten keine Eingaben, keine Rechnungsdaten und keine Kennungen von Personen — übermittelt werden Fehlertyp, Stelle im Programm und der aufgerufene Pfad ohne Parameter. | [EU-Standort] |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung (nur bei kostenpflichtigen Tarifen) | Irland |
Ein Wechsel oder die Hinzunahme weiterer Unterauftragsverarbeiter wird dem Auftraggeber mindestens 30 Tage vorher in Textform oder durch Aktualisierung dieser Seite mitgeteilt. Der Auftraggeber kann binnen dieser Frist aus wichtigem Grund widersprechen; im Fall des Widerspruchs kann jede Seite das Vertragsverhältnis zum Zeitpunkt der Umstellung kündigen.
§ 7 Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Betroffenenrechte (Art. 12–23) sowie bei Datenschutz-Folgenabschätzung und Meldepflichten (Art. 32–36), soweit dies erforderlich und mit angemessenem Aufwand möglich ist. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter.
Technisch stehen dem Auftraggeber jederzeit zur Verfügung: der vollständige Datenexport (Art. 15, 20) sowie die sofortige, vollständige Löschung des Kontos samt aller Daten (Art. 17) — beides unter „Einstellungen → Ihre Daten & Ihr Konto“.
§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung in Textform, einschließlich der ihm vorliegenden Angaben nach Art. 33 Abs. 3 DSGVO. Die Meldung an die Aufsichtsbehörde obliegt dem Auftraggeber als Verantwortlichem.
§ 9 Nachweise und Kontrollrechte
Der Auftragnehmer weist die Einhaltung dieses Vertrages auf Anfrage in geeigneter Form nach, insbesondere durch Auskunft und Vorlage dieser Dokumentation. Vor-Ort-Kontrollen sind mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig; der Auftragnehmer kann hierfür eine angemessene Aufwandsentschädigung verlangen.
§ 10 Vertraulichkeit
Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit, soweit sie nicht bereits gesetzlich einer entsprechenden Pflicht unterliegen.
§ 11 Löschung und Rückgabe nach Vertragsende
Nach Beendigung des Vertragsverhältnisses löscht der Auftragnehmer die im Auftrag verarbeiteten Daten. Vor der Löschung stellt er dem Auftraggeber den vollständigen Export zur Verfügung. Sicherungskopien werden im Rahmen des regulären Sicherungszyklus überschrieben.
Wichtig: Der Auftragnehmer bewahrt die Daten nicht für den Auftraggeber auf. Die gesetzliche Aufbewahrungspflicht nach § 147 AO und § 14b UStG trifft den Auftraggeber selbst — siehe § 7 der AGB.
§ 12 Schlussbestimmungen
Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrages für die Auftragsverarbeitung vor. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.