gemäß Art. 28 Abs. 3 DSGVO
Hinweis: Diese Vereinbarung wird mit der Registrierung und Nutzung von Billvox Bestandteil des Nutzungsvertrags. Sie können diese Seite drucken bzw. als PDF speichern (Strg+P) und zu Ihren Unterlagen nehmen.
Verantwortlicher (Auftraggeber): das nutzende
Unternehmen gemäß den bei der Registrierung angegebenen Firmendaten.
Auftragsverarbeiter (Auftragnehmer):
[BITTE ERGÄNZEN: Firma mit Rechtsform], [BITTE ERGÄNZEN: Anschrift],
Betreiber von Billvox (siehe Impressum).
Diese Vereinbarung gilt für alle personenbezogenen Daten, die der Auftragnehmer im Rahmen des Nutzungsvertrags (AGB) im Auftrag des Auftraggebers verarbeitet. Für Konto-, Vertrags- und Abrechnungsdaten des Auftraggebers selbst ist der Auftragnehmer eigener Verantwortlicher; dafür gilt die Datenschutzerklärung.
Gegenstand ist der Betrieb der Billvox-Plattform für den Auftraggeber: Erstellen, Prüfen, Versenden, Empfangen und unveränderbares Archivieren elektronischer Rechnungen und weiterer Belege einschließlich der zugehörigen Stammdaten, Aufträge und Exporte (z. B. DATEV). Die Vereinbarung gilt für die Laufzeit des Nutzungsvertrags und darüber hinaus, solange der Auftragnehmer nach Ziff. 14 Daten des Auftraggebers weiter archiviert.
Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Auslesen und Prüfen, Abfragen, Verwenden, Übermitteln (Versand per E-Mail, über Peppol, per Webhook oder Export auf Weisung des Auftraggebers), Archivieren und Löschen.
Zweck der Verarbeitung: Unterstützung des Auftraggebers bei der Erstellung, dem Versand, dem Empfang, der Prüfung und der Aufbewahrung seiner Rechnungen und Belege sowie bei der Weitergabe an seine Steuerberatung.
6.1 Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der Funktionen und Einstellungen der Plattform gilt als Weisung; weitere Weisungen erteilt der Auftraggeber in Textform (z. B. per E-Mail an info@billvox.de).
6.2 Versendet der Auftraggeber Rechnungen über Peppol oder richtet er Webhooks ein, kann der Empfänger bzw. dessen Access Point auch außerhalb der EU bzw. des EWR liegen. Diese Übermittlung erfolgt auf Weisung des Auftraggebers. Ist der Auftragnehmer gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dem Auftraggeber diese rechtlichen Anforderungen vorher mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
6.3 Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.
Der Auftragnehmer gewährleistet, dass sich alle Personen, die zur Verarbeitung der Daten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Der Zugriff erfolgt nur, soweit er für Betrieb, Wartung oder Support erforderlich ist.
Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage 1). Er darf sie an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.
Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Art. 12 bis 23 DSGVO zu beantworten (z. B. Auskunft, Berichtigung, Löschung, Datenübertragbarkeit), unter anderem über die Bearbeitungsfunktionen und den integrierten Datenexport. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei der Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen nach Datenschutzverletzungen, bei einer Datenschutz-Folgenabschätzung sowie bei einer vorherigen Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO).
Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden sind, per E-Mail an die Kontoadresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht.
12.1 Der Auftraggeber genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:
| Unternehmen und Anschrift | Leistung | Ort der Verarbeitung |
|---|---|---|
| Contabo GmbH, Aschauer Straße 32a, 81549 München | Object Storage für Belegdateien | [BITTE ERGÄNZEN: Standort/Region, z. B. Deutschland] |
| [BITTE ERGÄNZEN: Hosting-Anbieter Web-/Datenbankserver mit Anschrift] | Betrieb von Anwendung und Datenbank | [BITTE ERGÄNZEN: Serverstandort] |
| STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin | E-Mail-Versand und -Empfang | Deutschland |
| [BITTE ERGÄNZEN: Betreiber des Peppol-Access-Points mit Anschrift] | Übermittlung und Empfang von Rechnungen über das Peppol-Netzwerk (nur bei Peppol-Nutzung) | [BITTE ERGÄNZEN: Standort] |
Der Zahlungsdienstleister Stripe ist kein Unterauftragsverarbeiter. Er verarbeitet ausschließlich Abrechnungsdaten des Auftraggebers zu dessen Billvox-Abonnement als eigener Verantwortlicher.
12.2 Der Auftraggeber erteilt die allgemeine Genehmigung, weitere Unterauftragsverarbeiter einzusetzen oder bestehende zu ersetzen. Der Auftragnehmer informiert den Auftraggeber vorher per E-Mail an die Kontoadresse, in der Regel mindestens vier Wochen im Voraus. Der Auftraggeber kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.
12.3 Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in dieser Vereinbarung festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Pflichterfüllung.
Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (u. a. diese Vereinbarung mit Anlage 1 und den in der Anwendung erzeugbaren Baustein zur Verfahrensdokumentation). Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Inspektionen sind rechtzeitig anzukündigen und sollen den Betrieb nicht unverhältnismäßig stören.
14.1 Nach Ende der Verarbeitungsleistungen löscht der Auftragnehmer die Daten oder gibt sie nach Wahl des Auftraggebers zurück (Art. 28 Abs. 3 lit. g DSGVO). Zur Rückgabe kann der Auftraggeber den Datenexport in den Einstellungen nutzen; auf Anfrage stellt der Auftragnehmer alle Belegdateien als ZIP-Datei bereit.
14.2 Nach Vertragsende archiviert der Auftragnehmer abgeschlossene Belege im Auftrag und auf Weisung des Auftraggebers bis zum Ablauf der gesetzlichen Aufbewahrungsfrist weiter und löscht sie danach, sofern der Auftraggeber nicht vorher die Herausgabe und Löschung verlangt. Alle übrigen Daten werden mit Vertragsende gelöscht.
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die AGB. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung in Datenschutzfragen vor.
Stand: Oktober 2026 · Datenschutzerklärung · Impressum