Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO · Fassung 1.0 · Stand: 20.09.2026 · druckoptimiert — zum Drucken Strg+P / Cmd+P

zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und
der Codern Media GbR, Hafenstr. 55, 28217 Bremen als Auftragsverarbeiter („Auftragnehmer“).

Dieser Vertrag wird mit Abschluss des Nutzungsvertrags über die Software „Nummio“ wirksam und konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Es ist die erste und derzeit einzige Fassung.

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers zum Betrieb der SaaS-Lösung „Nummio“ (Erstellung und Verwaltung von Rechnungen, Angeboten, Aufträgen, Mahnungen, Eingangsrechnungen und verwandten Geschäftsvorgängen).

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrags zuzüglich des Exportfensters nach § 8 sowie eines etwaigen Archiv-Modus.

§ 2 Art, Zweck und Umfang der Verarbeitung

Erheben, Speichern, Ordnen, Anzeigen, Übermitteln (z. B. Belegversand an Empfänger auf Weisung), Archivieren und Löschen der vom Auftraggeber in die Software eingegebenen Daten zum Zweck der Rechnungsstellung und Buchführungsvorbereitung.

§ 3 Kategorien betroffener Personen und Daten

Betroffene	Datenkategorien
Kunden und Geschäftspartner des Auftraggebers	Stammdaten (Name, Anschrift, Kontaktdaten, USt-IdNr.), Vertrags- und Rechnungsdaten (Positionen, Beträge, Zahlungsstatus), Kommunikationsdaten
Mitarbeiter des Auftraggebers	Kontodaten (Name, E-Mail), Rollen/Berechtigungen, Protokolldaten
Lieferanten des Auftraggebers	Eingangsrechnungsdaten (Aussteller, Beträge, Belegbilder)

§ 4 Pflichten des Auftragnehmers

• Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers (die Nutzung der Softwarefunktionen gilt als Weisung);
• Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen;
• Umsetzung der technischen und organisatorischen Maßnahmen nach Anlage 1;
• Unterstützung des Auftraggebers bei Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO;
• Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden;
• Nachweis der Einhaltung dieser Pflichten und Ermöglichung von Kontrollen (§ 7);
• unverzüglicher Hinweis an den Auftraggeber, wenn eine Weisung nach Auffassung des Auftragnehmers gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 Satz 2 lit. h DSGVO); der Auftragnehmer darf die Ausführung einer solchen Weisung bis zu ihrer Bestätigung oder Änderung aussetzen. Gesetzliche Aufbewahrungs- und Unveränderbarkeitspflichten (§ 8) bleiben von Weisungen unberührt.

§ 5 Unterauftragsverarbeiter und weitere Empfänger

(1) Der Auftraggeber genehmigt die Einschaltung der folgenden Unterauftragsverarbeiter:

Unternehmen	Leistung	Ort der Verarbeitung
dogado GmbH	Hosting der Anwendung und Datenbank (Produktivsystem) sowie Versand von Transaktions- und Beleg-E-Mails (Mailserver)	EU (Deutschland)
Scaleway SAS	Revisionssicherer Objektspeicher (Belegarchiv, Sicherungen)	EU (Niederlande, Rechenzentrum Amsterdam)
Scaleway SAS (zusätzlich, nur bei vom Auftraggeber aktivierter KI-Belegerkennung)	Automatische Extraktion von Eingangsrechnungsdaten (Generative APIs)	EU (Frankreich, Rechenzentrum Paris) — keine Nutzung zu Trainingszwecken
Apple Distribution International Ltd., Cork (Irland) (nur bei vom Nutzer aktivierten Push-Benachrichtigungen der iOS-App)	Zustellung von Push-Benachrichtigungen (APNs). Übermittelt werden der Benachrichtigungstext und das Gerätekennzeichen — keine Belegdateien, keine Kundenstammdaten	Vertragspartner in der EU (Irland); die Zustellinfrastruktur arbeitet weltweit. Für Übermittlungen in Drittländer gelten die Standardvertragsklauseln des Datenschutzanhangs zum Apple-Entwicklervertrag (Art. 46 DSGVO)
Europäische Kommission — Prüfdienst für Umsatzsteuer-Identifikationsnummern (VIES) (nur wenn der Auftraggeber die Prüfung aktiviert; standardmäßig ausgeschaltet)	Prüfung einer Umsatzsteuer-Identifikationsnummer auf Gültigkeit	EU. Übermittelt werden ausschließlich Ländercode und Nummer — kein Name, keine Anschrift, keine Belegdaten

Der Mailserver der dogado GmbH wird nur für den Standard-Versandweg genutzt („im Auftrag von" über die Plattform-Versandadresse). Hinterlegt der Auftraggeber in den Einstellungen ein eigenes Versand-Postfach, versendet der Auftragnehmer die Kundenmails des Auftraggebers über dessen E-Mail-Anbieter; dieser Anbieter ist Vertragspartner und Auftragsverarbeiter des Auftraggebers, nicht des Auftragnehmers. Die dafür hinterlegten Zugangsdaten verarbeitet der Auftragnehmer ausschließlich zum Versand, speichert sie verschlüsselt und gibt sie nicht an Dritte weiter.

(2) Über beabsichtigte Änderungen informiert der Auftragnehmer in Textform; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

(3) Vertrauensdiensteanbieter (Zeitstempel). Zeitstempel nach RFC 3161 werden derzeit nicht eingesetzt. Es werden dafür keine Daten an Dritte übermittelt. Die Unveränderbarkeit der Aufzeichnungen (GoBD) sichert der Auftragnehmer über die kryptografische Verkettung aller Änderungen (Ed25519-Signaturen, ohne Beteiligung Dritter) und über die revisionssichere Ablage (WORM). Die WORM-Ablage liegt beim Objektspeicher-Anbieter nach Abs. 1 (Scaleway SAS, Amsterdam) und ist dort gegen Löschen und Überschreiben gesperrt; die Sperre setzt und prüft der Auftragnehmer selbst. Ein qualifizierter Zeitstempel ist gesetzlich weder nach GoBD noch nach § 14 UStG vorgeschrieben. Für die Zukunft ist ein je Auftraggeber zubuchbares Modul vorgesehen; wird es eingeführt, benennt der Auftragnehmer den Anbieter an dieser Stelle und weist auf die Änderung hin, bevor die erste Übermittlung stattfindet.

(4) Einzelstempel je Beleg. Das Modul wird derzeit nicht angeboten; es werden keine Einzelstempel angefordert und keine Daten dafür an Dritte übermittelt. Eine Wiedereinführung als zubuchbares Modul ist vorgesehen und wird gesondert mitgeteilt.

(5) Verpflichtung der Unterauftragsverarbeiter (Art. 28 Abs. 4 DSGVO). Der Auftragnehmer erlegt jedem nach Abs. 1 und 2 eingesetzten Unterauftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragsverarbeiters wie für eigenes Handeln.

(6) Weitere Empfänger außerhalb des Auftrags. Die Stripe Payments Europe, Ltd. (Dublin, Irland) wickelt ausschließlich die Abrechnung der Nummio-Abonnements ab und verarbeitet dabei Zahlungsdaten des Kontoinhabers; Auftragsdaten des Auftraggebers (Belege, Kunden-, Positionsdaten) erhält sie nicht. Insoweit ist Stripe kein Unterauftragsverarbeiter im Sinne dieses Vertrags, sondern Empfänger einer eigenständigen Verarbeitung (teils in eigener Verantwortlichkeit aufgrund zahlungsdiensterechtlicher Pflichten); Grundlage sind das Stripe Services Agreement und das Stripe-DPA mit Garantien nach Art. 46 DSGVO für etwaige Drittlandübermittlungen.

§ 6 Technische und organisatorische Maßnahmen (Anlage 1, Kurzfassung)

• Mandantentrennung: Trennung der Kundendaten auf Datenbankebene (Row-Level-Security, erzwungen für jede Verbindung);
• Zugangskontrolle: Zwei-Faktor-Authentifizierung, Rollen- und Berechtigungssystem, Brute-Force-Schutz;
• Unveränderbarkeit: Festgeschriebene Belege sind auf Datenbankebene schreibgeschützt (WORM) und kryptografisch verkettet (Ed25519-Signaturen);
• Verschlüsselung: Transportverschlüsselung (TLS), verschlüsselte Speicherung von Zugangsdaten und Geheimnissen;
• Verfügbarkeit: Regelmäßige Sicherungen, revisionssicheres Objektspeicher-Archiv mit Schreibschutz (Object Lock);
• Nachvollziehbarkeit: Lückenloser Audit-Trail aller belegrelevanten Vorgänge;
• Datenminimierung nach außen: Umsatzsteuer-Prüfdienste erhalten nur die USt-IdNr., die KI-Belegerkennung nur das jeweilige Dokument (Opt-in).

Die vollständige Anlage 1 (Technische und organisatorische Maßnahmen nach Art. 32 DSGVO) stellt der Auftragnehmer dem Auftraggeber auf Anfrage in der jeweils aktuellen Fassung bereit.

§ 7 Kontrollrechte

Der Auftraggeber kann sich vor Beginn und während der Verarbeitung von der Einhaltung der Maßnahmen überzeugen — durch Auskünfte, aktuelle Testate oder, nach Ankündigung mit angemessener Frist, durch Kontrollen während der Geschäftszeiten.

§ 8 Aufbewahrung, Rückgabe und Löschung

(1) Die gesetzlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB) obliegen dem Auftraggeber. Während der Laufzeit des Nutzungsvertrags bewahrt der Auftragnehmer festgeschriebene Belege und Aufzeichnungen unveränderbar auf und stellt jederzeit einen GoBD-konformen Datenexport (Z3) sowie den Download der Originalbelege bereit; mit dem Export erfüllt der Auftraggeber seine Aufbewahrungspflicht selbst.

(2) Nach Vertragsende stellt der Auftragnehmer die Daten für 180 Tage zum Nur-Lese-Zugriff und Export bereit („Exportfenster“). Die Löschung setzt voraus, dass zuvor ein vollständiger Datenexport erzeugt wurde („Herausgabe vor Löschung“); der Auftraggeber wird hieran vor der Löschung mindestens zweimal in Textform erinnert. Bucht der Auftraggeber den Archiv-Modus, verlängert sich die Aufbewahrung (Nur-Lese-Zugriff, fortlaufende Schreibschutz-Sperre, Export) um dessen Laufzeit; nach dessen Ende gilt das Exportfenster entsprechend.

(3) Belege im revisionssicheren Belegarchiv tragen eine technische Schreibschutz-Sperre (Object Lock) von mindestens 6 Monaten ab Ablage bzw. ab der letzten Verlängerung; während der Vertragslaufzeit und im Archiv-Modus wird sie fortlaufend verlängert. Nach Vertragsende ohne Archiv-Modus endet die Verlängerung; die Objekte werden nach Ablauf von Sperre und Exportfenster gelöscht. Eine gebuchte WORM-Garantie (acht Jahre je Wirtschaftsjahr, entsprechend § 147 Abs. 3 AO in der Fassung des Vierten Bürokratieentlastungsgesetzes) bleibt von einem Vertragsende unberührt.

(4) Löschersuchen betroffener Personen (Art. 17 DSGVO) wirken nicht gegen gesetzliche Aufbewahrungspflichten des Auftraggebers (Art. 17 Abs. 3 lit. b DSGVO); insoweit bleibt die Verarbeitung auf die Aufbewahrung beschränkt (Art. 18 DSGVO entsprechend).

§ 9 Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag geht hinsichtlich des Datenschutzes dieser AVV vor. Der Auftragnehmer stellt dem Auftraggeber einen Textbaustein für dessen Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) bereit; er ersetzt nicht das eigene Verzeichnis des Auftraggebers.