gemäß Art. 28 DSGVO · Stand: Oktober 2026 · Ersetzt alle früheren Fassungen.
Diese Vereinbarung wird zwischen dem Kunden der Plattform InvoiceBridge DE („Auftraggeber“ / „Verantwortlicher“) und Ersin Demircioğlu, handelnd unter InvoiceBridge DE, Auf'm Kampe 8, 33729 Bielefeld, Deutschland („Auftragnehmer“ / „Auftragsverarbeiter“) geschlossen. Sie wird mit der Registrierung auf der Plattform bzw. mit der Zustimmung im Registrierungsprozess wirksam.
(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Erbringung folgender Leistungen: Erzeugung, Validierung und Konvertierung elektronischer Rechnungen (XRechnung UBL/CII, ZUGFeRD-PDF, DATEV-CSV), Revisionsarchivierung sowie Bereitstellung des Kundenportals.
(2) Die Dauer dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags (Nutzung der Plattform), zuzüglich gesetzlicher Aufbewahrungspflichten (bis zu 10 Jahre gemäß § 147 AO / GoBD) für das Revisionsarchiv, soweit der Auftraggeber das Archiv nicht aktiv löscht oder den Archivtarif beendet.
| Betroffene | Datenkategorien |
|---|---|
| Beschäftigte / Ansprechpartner des Auftraggebers | E-Mail-Adresse, Passwort-Hash, Firmenstammdaten (Name, Anschrift, USt-IdNr., Steuernummer, Bankverbindung), Nutzungsdaten (Kontingente, Zeitstempel) |
| Endkunden des Auftraggebers (Rechnungsempfänger) | Name, Anschrift, Leitweg-ID, Rechnungsbeträge und -positionen, Steuerkennzeichen — ausschließlich innerhalb der übermittelten Rechnungsdokumente |
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers und im Rahmen dieses Vertrags.
(2) Der Auftragnehmer gewährleistet die Vertraulichkeit und verpflichtet alle mit der Verarbeitung befassten Personen auf das Datengeheimnis.
(3) Der Auftragnehmer setzt die unter Technische und organisatorische Maßnahmen (TOM) dokumentierten Sicherheitsmaßnahmen um und hält diese auf dem Stand der Technik.
(4) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Betroffenenrechten (Art. 15–21 DSGVO), bei Meldepflichten (Art. 33/34 DSGVO) und bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) im erforderlichen Umfang.
(5) Der Auftragnehmer informiert den Auftraggeber unverzüglich über Verletzungen des Schutzes personenbezogener Daten, Kontrollen durch Aufsichtsbehörden und Weisungen, die nach seiner Einschätzung gegen die DSGVO verstoßen.
(6) Der Auftragnehmer ermöglicht dem Auftraggeber Kontrollen und Audits nach angemessener Vorankündigung; die Beantwortung schriftlicher Sicherheitsanfragen ist jederzeit möglich.
Die Inanspruchnahme folgender Sub-Unterauftragnehmer ist dem Auftraggeber mit Abschluss dieser Vereinbarung bekannt gegeben und gestattet:
| Dienstleister | Leistung | Sitz / Datenschutzbasis |
|---|---|---|
| IONOS SE, Montabaur, DE | Serverinfrastruktur / Hosting | Deutschland / EU |
| Stripe Payments Europe, Ltd., Dublin, IE | Zahlungsabwicklung | EU; Drittlandtransfers über EU-US DPF + SCCs |
| Cloudflare, Inc., USA | CDN / DDoS-Schutz / TLS-Terminierung | EU-US Data Privacy Framework + SCCs |
Die Beauftragung weiterer Sub-Unterauftragnehmer wird dem Auftraggeber vorab schriftlich (per E-Mail oder im Portal) angekündigt; er kann binnen 14 Tagen widersprechen.
(1) Nach Beendigung des Hauptvertrags werden personenbezogene Daten des Auftraggebers gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten (§ 147 AO) entgegenstehen.
(2) Auf Wunsch erhält der Auftraggeber vor der Löschung einen vollständigen Export seiner Daten (Rechnungsdokumente) in einem gängigen Format.
(3) Revisionsarchiv-Daten werden nach Ablauf der gesetzlichen Fristen gelöscht.
Es gelten die Haftungsregelungen des Hauptvertrags sowie Art. 82 DSGVO.
Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.