Vertrag zur Auftragsverarbeitung

Stand: 12. Oktober 2026

zwischen dem Inhaber eines Kontos in der App E-Rechnung (nachfolgend „Nutzer“) als Verantwortlichem

und der Nena Celeste UG (haftungsbeschränkt), Vaterstettener Straße 5a, 85598 Baldham, Deutschland (nachfolgend „Anbieter“) als Auftragsverarbeiter.

Begriffe: „Nutzer“ ist der Verantwortliche (Inhaber eines Kontos). „Anbieter“ ist die Nena Celeste UG als Auftragsverarbeiter. „Kunden“ sind die Rechnungsempfänger des Nutzers. Das Wort „Kunde“ steht nie für den Nutzer.

§ 1 Gegenstand und Abschluss

(1) Der Anbieter stellt dem Nutzer die App E-Rechnung unter app.einfach-e-rechnung.eu nach den AGB bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag des Nutzers. Diese Vereinbarung regelt diese Verarbeitung nach Art. 28 DSGVO.

(2) Der Nutzer schließt diese Vereinbarung beim Anlegen seines Kontos ab: Er setzt das Häkchen zur Zustimmung und legt das Konto an. Die Vereinbarung ist damit in einem elektronischen Format geschlossen (Art. 28 Abs. 9 DSGVO).

(3) Der Anbieter speichert Zeitpunkt und Fassung der Zustimmung und zeigt beides im Konto an. Den Text der Vereinbarung kann der Nutzer jederzeit unter app.einfach-e-rechnung.eu/avv abrufen und speichern.

(4) Für die E-Mail-Adresse des Kontos, die Anmeldung, die Sitzungen und den Nachweis nach § 9 Abs. 9 ist der Anbieter selbst verantwortlich. Dafür gilt die Datenschutzerklärung der App.

(5) Widerspricht diese Vereinbarung den AGB, geht diese Vereinbarung vor.

§ 2 Gegenstand, Art, Zweck und Dauer der Verarbeitung

(1) Gegenstand sind die Daten, die der Nutzer in der App eingibt oder die beim Erstellen seiner Rechnungen entstehen. Anlage 1 nennt die Arten der Daten und die betroffenen Personen.

(2) Zweck: Rechnungen erstellen, prüfen, unverändert aufbewahren, anzeigen und exportieren; Kundenliste und Positionen führen; USt-IdNrn. beim Bundeszentralamt für Steuern bestätigen lassen; Mitteilungen zum Konto per E-Mail senden.

(3) Art: Erheben, Speichern, Ordnen, Auslesen, Abfragen, Übermitteln an das Bundeszentralamt für Steuern nach § 3 Abs. 2, Sichern und Löschen.

(4) Der Anbieter nutzt die Daten nicht für eigene Zwecke. Er wertet sie nicht aus und gibt sie nur nach dieser Vereinbarung weiter.

(5) Dauer: Die Vereinbarung gilt, bis der Anbieter alle Daten des Nutzers nach § 9 gelöscht hat, auch über die Kündigung hinaus.

(6) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht vorgesehen. Der Nutzer gibt solche Daten nicht ein.

§ 3 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Nutzers, auch in Bezug auf die Übermittlung in ein Drittland (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Weisungen sind diese Vereinbarung, die AGB, die Bedienung der App durch den Nutzer und Weisungen in Textform.

(2) Erstellt der Nutzer eine Rechnung mit Reverse Charge oder über eine steuerfreie innergemeinschaftliche Lieferung, weist er den Anbieter damit an, die USt-IdNr. des Kunden beim Bundeszentralamt für Steuern bestätigen zu lassen (§ 18e UStG). Dazu übermittelt der Anbieter die USt-IdNr. des Nutzers sowie USt-IdNr., Name, Ort, Postleitzahl und Straße des Kunden.

(3) Ist der Anbieter nach Unionsrecht oder deutschem Recht zu einer Verarbeitung verpflichtet, teilt er dem Nutzer diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(4) Hält der Anbieter eine Weisung für einen Verstoß gegen Datenschutzrecht, informiert er den Nutzer unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung bis zur Klärung aussetzen.

§ 4 Vertraulichkeit

(1) Der Anbieter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

(2) Der Anbieter greift auf die Daten eines Kontos nur zu, soweit es für den Betrieb, für die Behebung eines Fehlers oder auf Anforderung des Nutzers erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Anbieter trifft die Maßnahmen nach Art. 32 DSGVO. Anlage 2 beschreibt die tatsächlich eingerichteten Vorkehrungen.

(2) Der Anbieter darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen teilt er in Textform mit.

§ 6 Unterauftragnehmer und Empfänger

(1) Der Nutzer stimmt dem Einsatz der in Anlage 3 genannten Unterauftragnehmer zu (allgemeine schriftliche Genehmigung, Art. 28 Abs. 2 DSGVO).

(2) Der Anbieter zeigt jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragnehmers mindestens 30 Tage vorher per E-Mail an die Adresse des Kontos an. Der Nutzer kann innerhalb dieser Frist widersprechen. Widerspricht er, kann jede Seite den Vertrag zum Zeitpunkt der Änderung kündigen; § 9 gilt dann wie bei einer Kündigung durch den Nutzer.

(3) Der Anbieter erlegt jedem Unterauftragnehmer dieselben Datenschutzpflichten auf, die ihn selbst treffen (Art. 28 Abs. 4 DSGVO). Er haftet für dessen Verhalten wie für eigenes.

(4) Das Bundeszentralamt für Steuern ist kein Unterauftragnehmer. Es erhält Daten nur nach § 3 Abs. 2 und ist für seine eigene Verarbeitung selbst verantwortlich.

§ 7 Unterstützung des Nutzers

(1) Der Nutzer kann die Daten seines Kontos in der App selbst einsehen, berichtigen und exportieren. Einträge der Kundenliste und der Positionen kann er selbst löschen. Darüber hinaus unterstützt der Anbieter ihn dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 Satz 2 lit. e DSGVO).

(2) Wendet sich eine betroffene Person mit einem Antrag zu Daten des Nutzers an den Anbieter, leitet er den Antrag unverzüglich an den Nutzer weiter und beantwortet ihn nicht selbst.

(3) Ausgestellte Rechnungen kann der Nutzer in der App nicht löschen. Auf Weisung in Textform löscht der Anbieter Rechnungen, deren Aufbewahrungsfrist nach § 14b Abs. 1 UStG abgelaufen ist.

(4) Der Anbieter unterstützt den Nutzer bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 Satz 2 lit. f DSGVO).

(5) Datenzugriff der Finanzbehörde. Verlangt die Finanzbehörde Zugriff auf die Rechnungen des Nutzers (§ 147 Abs. 6 AO), stellt der Nutzer ihr in erster Linie den Export bereit. Weitere Mitwirkung leistet der Anbieter auf Anforderung des Nutzers in Textform. Die Kosten dafür trägt der Nutzer (§ 147 Abs. 6 Satz 3 AO).

(6) Für Unterstützung, die über das Übliche hinausgeht, kann der Anbieter eine angemessene Vergütung verlangen. Er weist vorher darauf hin.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Anbieter meldet dem Nutzer jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO). So kann der Nutzer seine eigene Frist von 72 Stunden nach Art. 33 Abs. 1 DSGVO einhalten.

(2) Die Meldung geht per E-Mail an die Adresse des Kontos. Sie beschreibt, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Datensätze, wahrscheinliche Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Fehlende Angaben reicht der Anbieter unverzüglich nach.

§ 9 Ende der Nutzung: Aufbewahren, Rückgabe und Löschen

(1) Begriffe. Rechnungen im Sinne dieses Paragrafen sind auch Stornorechnungen. Nachweise sind die Bestätigungen einer USt-IdNr. durch das Bundeszentralamt für Steuern, die zu einer Rechnung gespeichert sind. Der Export ist der Download aller Rechnungen des Kontos mit ihren Nachweisen und einer Übersicht als ZIP-Datei.

(2) Wahl beim Kündigen. Kündigt der Nutzer sein Konto, setzt er auf der Kündigungsseite das Häkchen „Rechnungen sofort löschen“ oder lässt es leer. Diese Wahl ist seine dokumentierte Weisung über Löschen oder Rückgabe der Daten (Art. 28 Abs. 3 Satz 2 lit. a und lit. g DSGVO). Der Anbieter bestätigt die Wahl, jeden Wechsel nach Absatz 5 und die daraus folgenden Löschtermine sofort per E-Mail an die Adresse des Kontos.

(3) Ohne Häkchen: Aufbewahren.

1. Das Konto bleibt zum Lesen und für den Export bestehen. Neue Rechnungen kann der Nutzer nicht mehr erstellen.
2. Der Anbieter löscht jede Rechnung mit ihren Nachweisen, nachdem ihre Aufbewahrungsfrist abgelaufen ist. Maßgeblich ist § 14b Abs. 1 UStG in der jeweils geltenden Fassung. Derzeit beträgt diese Frist acht Jahre; sie beginnt mit dem Schluss des Kalenderjahres, in dem die Rechnung ausgestellt wurde. Er löscht innerhalb von 30 Tagen nach dem späteren Zeitpunkt: Ablauf der Frist oder drei Monate nach der Vorwarnung nach Nummer 6.
3. Ist die Frist bei der Kündigung schon abgelaufen, löscht der Anbieter die Rechnung frühestens drei Monate nach der Kündigung.
4. Kundenliste und Positionen löscht der Anbieter 30 Tage nach der Kündigung.
5. Mit der letzten Rechnung löscht der Anbieter das Konto und alle übrigen Daten des Nutzers, frühestens 30 Tage nach der Kündigung.
6. Der Anbieter kündigt jede Löschung nach Nummer 2 mindestens drei Monate vorher per E-Mail an. Ohne versandte Vorwarnung löscht er keine Rechnung. Ob die E-Mail ankommt, ist für die Löschung ohne Bedeutung.

(4) Mit Häkchen: Löschen.

1. Das Konto bleibt 30 Tage nach der Kündigung zum Lesen und für den Export offen. Neue Rechnungen kann der Nutzer nicht mehr erstellen.
2. Nach Ablauf der 30 Tage löscht der Anbieter alle Daten des Kontos: Rechnungen, Nachweise, Kundenliste, Positionen, die Angaben unter „Meine Daten“ und das Konto selbst.

(5) Wechsel. Im Fall von Absatz 3 kann der Nutzer jederzeit das Löschen wählen; ab diesem Tag gilt Absatz 4. Im Fall von Absatz 4 kann der Nutzer die Löschung innerhalb der 30 Tage zurücknehmen; dann gilt Absatz 3.

(6) Aufbewahrungspflicht des Nutzers. Die Pflicht, Rechnungen aufzubewahren, trifft den Nutzer (§ 14b Abs. 1 UStG, § 147 AO). Sie kann länger dauern als die Frist in Absatz 3 Nummer 2. Das gilt, solange die Rechnungen für Steuern mit offener Festsetzungsfrist von Bedeutung sind (§ 147 Abs. 3 Satz 5 AO). Solche Umstände kennt der Anbieter nicht. Braucht der Nutzer Rechnungen länger, sichert er sie vor der Löschung durch den Export. Der Export ist jederzeit möglich, nach der Kündigung bis zur Löschung. Er ist die Rückgabe der Daten im Sinne von Art. 28 Abs. 3 Satz 2 lit. g DSGVO.

(7) Sicherungen. Der Anbieter sichert die Daten täglich verschlüsselt auf dem Server und kopiert die Sicherung täglich auf einen getrennten Speicher in Deutschland. Die Sicherungen werden nach einem festen Plan überschrieben. Gelöschte Daten sind spätestens zwölf Monate nach der Löschung aus allen Sicherungen entfernt. Bis dahin nutzt der Anbieter die Sicherungen nur, um Daten nach einem Verlust wiederherzustellen. Stellt er Daten aus einer Sicherung wieder her, löscht er vor dem Weiterbetrieb erneut alles, was seit dem Stand dieser Sicherung zu löschen war.

(8) Anderes Vertragsende. Endet der Vertrag auf andere Weise als durch Kündigung des Nutzers, gilt Absatz 3, bis der Nutzer in Textform etwas anderes anweist. Ist das Konto gesperrt, stellt der Anbieter dem Nutzer den Export auf Anforderung in Textform bereit.

(9) Nachweis. Auf Anforderung bestätigt der Anbieter jede Löschung in Textform. Einen Nachweis der Kündigung, der Wahl und der Löschtermine bewahrt er bis zum Ende des dritten Kalenderjahres nach der letzten Löschung auf. Der Nachweis enthält die Kennung und die E-Mail-Adresse des Kontos sowie die Daten der Kündigung und der Löschungen, aber keine Rechnungsdaten.

§ 9a Einstellung der App

(1) Stellt der Anbieter die App für alle Nutzer ein, kündigt er dies mindestens sechs Monate vorher per E-Mail an die Adresse jedes Kontos an. Abweichend von § 9 Abs. 8 endet der Lesemodus dann mit der Einstellung.

(2) Bis zur Einstellung kann der Nutzer den Export jederzeit nutzen. Zwei Monate und zwei Wochen vor der Einstellung erinnert der Anbieter per E-Mail daran.

(3) Mit der Einstellung löscht der Anbieter alle Daten aller Konten wie nach § 9 Abs. 4 Nr. 2. § 9 Abs. 7 und Abs. 9 gelten weiter.

§ 10 Nachweise und Überprüfungen

(1) Der Anbieter stellt dem Nutzer die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Der Nachweis erfolgt in erster Linie durch Auskunft in Textform und durch Beantwortung eines Fragebogens. Ein Zertifikat oder ein Prüfbericht einer dritten Stelle über den Anbieter liegt nicht vor.

(2) Routineprüfungen erfolgen aus der Ferne nach Ankündigung von 30 Tagen, ohne besonderen Anlass höchstens einmal im Kalenderjahr.

(3) Soweit es zur Überprüfung erforderlich ist, insbesondere nach einem Sicherheitsvorfall, bei begründetem Anlass oder auf Anforderung einer Aufsichtsbehörde, ermöglicht der Anbieter auch weitere Überprüfungen einschließlich Inspektionen und wirkt daran mit (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Absatz 2 gilt dafür nicht.

(4) Überprüfungen dürfen den Betrieb und die Vertraulichkeit der Daten anderer Nutzer nicht mehr als nötig beeinträchtigen. Die Kosten einer Routineprüfung trägt der Nutzer; bei einem festgestellten erheblichen Verstoß trägt sie der Anbieter.

§ 11 Ort der Verarbeitung und Drittland

(1) Die Daten liegen auf einem Server der Hetzner Online GmbH in Nürnberg, Deutschland; die Sicherungen zusätzlich auf einem getrennten Speicher in Deutschland.

(2) E-Mails an den Nutzer versendet der Anbieter über Amazon Simple Email Service in der Region Frankfurt am Main, Deutschland. Vertragspartnerin ist die Amazon Web Services EMEA SARL mit Sitz in Luxemburg. Diese E-Mails enthalten die Adresse des Kontos, Rechnungsnummern und Löschtermine, aber keine Angaben zu Kunden.

(3) Amazon Web Services gehört zu einem Konzern mit Muttergesellschaft in den Vereinigten Staaten. Eine Übermittlung der Daten nach Absatz 2 dorthin ist nicht ausgeschlossen. Sie ist durch die Standardvertragsklauseln der EU-Kommission abgesichert, die Teil des Vertrags mit Amazon sind (Art. 46 Abs. 2 lit. c DSGVO).

(4) Eine andere Verarbeitung in einem Drittland findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Der Anbieter zeigt sie nach § 6 Abs. 2 an und nennt den Übermittlungsmechanismus in Anlage 3.

§ 12 Haftung, Änderungen und Schlussbestimmungen

(1) Für die Haftung gelten die AGB. Art. 82 DSGVO bleibt unberührt.

(2) Der Anbieter kann diese Vereinbarung ändern, wenn sich die Rechtslage, die Unterauftragnehmer nach § 6 oder die Leistung der App ändern. Er teilt die Änderung mindestens sechs Wochen vor ihrem Wirksamwerden per E-Mail mit. Widerspricht der Nutzer nicht bis dahin, gilt die Änderung als angenommen; darauf weist die Mitteilung besonders hin. Widerspricht er, kann jede Seite den Vertrag zum Zeitpunkt des Wirksamwerdens kündigen.

(3) Im Übrigen bedürfen Änderungen der Textform. Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam.

(4) Anlagen: Anlage 1 (Daten und betroffene Personen), Anlage 2 (technische und organisatorische Maßnahmen), Anlage 3 (Unterauftragnehmer und Empfänger).

Anlage 1 — Daten und betroffene Personen

Anlage 2 — Technische und organisatorische Maßnahmen

Jede Zeile beschreibt den eingerichteten Stand.

Anlage 3 — Unterauftragnehmer und Empfänger

Unterauftragnehmer (Art. 28 Abs. 2 DSGVO)

Empfänger, die keine Unterauftragnehmer sind