Auftragsverarbeitungsvertrag (AVV)
Stand: August 2026
Präambel
Dieser Vertrag über die Verarbeitung personenbezogener Daten im Auftrag („AVV") gilt zwischen dir als Nutzer von RechnungsBlitz – nachfolgend „Verantwortlicher" – und
Patrik Tecsi
Lindenstraße 10c
82515 Wolfratshausen
Bayern, Deutschland
E-Mail: support@rechnungsblitz.com
– nachfolgend „Auftragsverarbeiter" – und konkretisiert die datenschutzrechtlichen Pflichten aus dem zugrunde liegenden Nutzungsvertrag (siehe AGB).
Wenn du in RechnungsBlitz Daten deiner eigenen Kunden erfasst, bleibst du für diese Daten der datenschutzrechtlich Verantwortliche. Der Auftragsverarbeiter verarbeitet sie ausschließlich in deinem Auftrag. Für die Daten deines eigenen Nutzerkontos (Anmeldedaten, Unternehmensprofil, Abrechnung) ist dagegen der Auftragsverarbeiter selbst verantwortlich; dafür gilt die Datenschutzerklärung und nicht dieser Vertrag.
Zustandekommen: Dieser AVV wird mit der Nutzung von RechnungsBlitz automatisch Bestandteil des Nutzungsvertrags. Eine gesonderte Unterzeichnung ist nicht erforderlich. Auf Anfrage an support@rechnungsblitz.com stellen wir dir eine unterzeichnete Ausfertigung in Textform zur Verfügung.
1. Gegenstand und Dauer
Gegenstand des Auftrags ist die Bereitstellung der App RechnungsBlitz zur Erstellung, Speicherung, Verwaltung und Ausgabe von Rechnungen, Angeboten und zugehörigen Kundendaten des Verantwortlichen.
Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags. Sie endet mit dessen Beendigung oder mit der Löschung des Nutzerkontos.
2. Art und Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet die vom Verantwortlichen eingegebenen Daten ausschließlich zur Erbringung der vertraglich vereinbarten Leistung. Dazu gehören insbesondere:
- Speichern, Ordnen, Auslesen, Ändern und Löschen von Kunden-, Rechnungs- und Angebotsdaten,
- die automatisierte Umwandlung von Sprachaufnahmen und Freitext in strukturierte Belegentwürfe mithilfe von KI-Diensten (siehe Anlage 2),
- die Erzeugung von PDF-Dokumenten und Exportdateien zur Weitergabe durch den Verantwortlichen,
- die technische Bereitstellung, Sicherung und Fehlerbehebung der App.
Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Insbesondere werden die Daten nicht zum Training von KI-Modellen verwendet, nicht an Dritte verkauft und nicht für Werbung ausgewertet.
3. Art der verarbeiteten Daten
- Stammdaten der Kunden des Verantwortlichen: Name, Anschrift, E-Mail-Adresse, Einordnung als Privat- oder Firmenkunde,
- Beleginhalte: Positionen, Leistungsbeschreibungen, Mengen, Einheiten, Preise, Beträge, Steuerangaben, Leistungszeiträume, Objekt- bzw. Baustellenadressen, Zahlungsziele und Zahlungsstatus,
- Freitexte und Notizen, die der Verantwortliche eingibt oder diktiert, einschließlich der zur Texterkennung übertragenen Sprachaufnahme,
- vom Verantwortlichen optional hinzugefügte Fotos zur Leistungsdokumentation,
- hinterlegte Preiszuordnungen je Kunde und Position.
4. Kategorien betroffener Personen
- Kunden und Interessenten des Verantwortlichen,
- Ansprechpartner und Beschäftigte dieser Kunden,
- sonstige Personen, deren Daten der Verantwortliche in Belegen oder Notizen erfasst.
5. Weisungsrecht des Verantwortlichen
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen der App durch den Verantwortlichen gilt als solche Weisung. Darüber hinausgehende Einzelweisungen sind in Textform an support@rechnungsblitz.com zu richten.
Weisungsbefugt ist der Inhaber des jeweiligen Nutzerkontos. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt; er darf die Ausführung einer solchen Weisung bis zur Klärung aussetzen.
Eine Verarbeitung außerhalb der Weisungen erfolgt nur, wenn der Auftragsverarbeiter hierzu rechtlich verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
6. Vertraulichkeit
Der Auftragsverarbeiter hat sich zur Vertraulichkeit verpflichtet. Setzt er Beschäftigte oder Dienstleister ein, verpflichtet er diese vor Aufnahme der Tätigkeit schriftlich zur Vertraulichkeit und macht sie mit den für sie geltenden Datenschutzbestimmungen vertraut. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
7. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Er darf diese Maßnahmen während der Vertragslaufzeit weiterentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.
8. Unterauftragsverarbeiter
Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Hinzuziehung der in Anlage 2 genannten Unterauftragsverarbeiter.
Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter. Die Information erfolgt durch Aktualisierung dieser Seite, ergänzt um einen Hinweis in der App oder per E-Mail. Der Verantwortliche kann einer Änderung innerhalb von vier Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann der Widerspruch nicht ausgeräumt werden, ist der Verantwortliche berechtigt, den Nutzungsvertrag zu kündigen.
Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Datenschutzpflichten, die den Pflichten dieses Vertrags entsprechen. Erfolgt eine Verarbeitung in einem Drittland, stellt er ein angemessenes Schutzniveau sicher, insbesondere durch den Abschluss der EU-Standardvertragsklauseln.
Nicht als Unterauftragsverarbeiter im Sinne dieses Vertrags gelten Dienste, die ausschließlich Daten des Nutzerkontos selbst verarbeiten – etwa Zahlungs- und Abonnementabwicklung über Apple, Google Play oder RevenueCat. Für diese Daten ist der Auftragsverarbeiter eigener Verantwortlicher; es gilt die Datenschutzerklärung.
9. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Die App stellt dem Verantwortlichen hierfür Funktionen zur Einsicht, Bearbeitung, zum Export und zur Löschung der von ihm erfassten Daten bereit.
Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei einer Datenschutz-Folgenabschätzung.
10. Verletzung des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 48 Stunden. Die Meldung enthält die verfügbaren Angaben zu Art und Umfang der Verletzung, zu den betroffenen Datenkategorien, zu den wahrscheinlichen Folgen und zu den ergriffenen oder vorgeschlagenen Gegenmaßnahmen.
11. Löschung und Rückgabe
Der Verantwortliche kann die von ihm erfassten Daten jederzeit selbst über die Exportfunktion der App ausleiten. Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten. Bei Löschung des Nutzerkontos erfolgt die Löschung nach Maßgabe der Datenschutzerklärung.
Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt; die betroffenen Daten werden in diesem Fall bis zum Ablauf der Frist in der Verarbeitung eingeschränkt. Die Erfüllung eigener steuer- und handelsrechtlicher Aufbewahrungspflichten des Verantwortlichen für seine Belege obliegt ihm selbst.
12. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Der Nachweis kann durch Auskunft in Textform, durch Vorlage dieses Vertrags samt Anlagen sowie durch aktuelle Zertifikate oder Prüfberichte der Unterauftragsverarbeiter erfolgen.
Weitergehende Überprüfungen vor Ort sind nach rechtzeitiger Ankündigung, zu üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich; die dabei entstehenden Kosten trägt der Verantwortliche.
13. Schlussbestimmungen
Es gilt das Recht der Bundesrepublik Deutschland. Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrags vor. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Änderungen dieses Vertrags werden dem Verantwortlichen in Textform oder durch Aktualisierung dieser Seite mitgeteilt.
Anlage 1: Technische und organisatorische Maßnahmen
Vertraulichkeit
- Zutrittskontrolle: Der Auftragsverarbeiter betreibt keine eigenen Server. Die Daten werden ausschließlich in den Rechenzentren der in Anlage 2 genannten Anbieter verarbeitet, die eigene Zutritts- und Sicherheitskonzepte unterhalten. Die Serverfunktionen der App werden in der Region Frankfurt am Main (europe-west3) betrieben.
- Zugangskontrolle: Der Zugang zum Nutzerkonto erfolgt über eine passwortgeschützte Anmeldung oder über Anmeldung mit Apple bzw. Google. Bei Anmeldung mit E-Mail-Adresse und Passwort ist die Bestätigung der E-Mail-Adresse Voraussetzung für die Nutzung kostenpflichtiger und datenverarbeitender Funktionen. Der administrative Zugang des Auftragsverarbeiters ist zusätzlich durch einen zeitbasierten Einmalcode (TOTP) geschützt.
- Zugriffskontrolle: Alle Daten sind dem jeweiligen Nutzerkonto zugeordnet. Serverseitig durchgesetzte Berechtigungsregeln stellen sicher, dass ein Konto ausschließlich auf die eigenen Daten zugreifen kann; ein Zugriff auf Daten anderer Nutzer ist technisch ausgeschlossen. Interne Verwaltungsdaten sind für Clients weder les- noch schreibbar.
- Trennungskontrolle: Die Daten verschiedener Verantwortlicher werden logisch getrennt und ausschließlich für den jeweiligen Vertragszweck verarbeitet.
- Verschlüsselung: Die Übertragung zwischen App und Servern sowie zwischen den beteiligten Diensten erfolgt ausschließlich transportverschlüsselt (TLS). Die Speicherung erfolgt verschlüsselt im Ruhezustand durch den Infrastrukturanbieter.
Integrität
- Eingabekontrolle: Inhalte werden ausschließlich durch den jeweiligen Kontoinhaber erstellt und geändert. Belege werden mit Zeitstempel und fortlaufender Nummer gespeichert; stornierte Belege bleiben nachvollziehbar erhalten und werden nicht überschrieben.
- Weitergabekontrolle: Eine Weitergabe an Empfänger erfolgt ausschließlich durch den Verantwortlichen selbst über die Versand- und Exportfunktionen seines Geräts. Der Auftragsverarbeiter versendet keine Belege an Kunden des Verantwortlichen.
- Missbrauchsschutz: Serverseitige Aufruf- und Tageslimits je Konto begrenzen automatisierten Missbrauch. Die Echtheit der App-Installation wird über eine Geräte-Attestierung (Firebase App Check) überprüft; die Auswertung dient derzeit der Erkennung nicht authentischer Zugriffe.
Verfügbarkeit und Belastbarkeit
- Die Daten werden auf der redundant ausgelegten Infrastruktur des Anbieters Google gespeichert, die Replikation und Wiederherstellung umfasst.
- Die App hält zuletzt geladene Daten lokal auf dem Gerät vor, sodass eine Einsicht auch bei fehlender Netzverbindung möglich bleibt.
- Sprachaufnahmen werden ausschließlich zur Texterkennung übertragen und nicht dauerhaft auf den Servern gespeichert.
Verfahren zur Überprüfung und Bewertung
- Datenschutz durch Voreinstellung: Nutzungsanalyse und Absturzberichte enthalten ausschließlich technische Merkmale, feste Kategorien und Zählwerte. Inhalte von Belegen, Kundendaten, Diktate, Beträge, Namen, Adressen und Steuerdaten werden dabei nicht übertragen; eine Verknüpfung mit der Nutzerkennung findet nicht statt.
- Auftragskontrolle: Unterauftragsverarbeiter werden anhand ihrer Datenschutzzusagen ausgewählt und sind vertraglich auf Verarbeitung nach Weisung verpflichtet.
- Datenminimierung: An die KI-Dienste werden ausschließlich die für den jeweiligen Arbeitsschritt erforderlichen Inhalte übermittelt.
Anlage 2: Unterauftragsverarbeiter
Stand: August 2026.
- Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland – Betrieb der Datenbank, der Anmeldung und der Serverfunktionen (Firebase). Verarbeitete Daten: sämtliche in Abschnitt 3 genannten Daten. Ort der Verarbeitung: Europäische Union; bei Übermittlung in Drittländer auf Grundlage der EU-Standardvertragsklauseln.
- Google Ireland Limited, Anschrift wie vor – KI-gestützte Erstellung von Belegentwürfen (Gemini). Verarbeitete Daten: die vom Verantwortlichen eingegebenen oder diktierten Notizen einschließlich darin enthaltener Kundennamen und -adressen sowie die Namen der zur Zuordnung übermittelten Kunden. Keine Nutzung zum Training der Modelle.
- OpenAI, L.L.C., 1960 Bryant Street, San Francisco, CA 94110, USA – Umwandlung von Sprache in Text sowie ergänzende Textverarbeitung. Verarbeitete Daten: die übertragene Sprachaufnahme und der zugehörige Notiztext. Ort der Verarbeitung: USA, auf Grundlage der EU-Standardvertragsklauseln. Keine Nutzung zum Training der Modelle.
Eine jeweils aktuelle Fassung dieser Liste ist unter rechnungsblitz.com/avv abrufbar.