Auftragsverarbeitungsvertrag

Auftragsverarbeitungsvertrag

Stand: 11. November 2026 · Fassung: v4

zwischen

dem Kunden, der diesem Vertrag im Dienst „Fortlauf“ zustimmt — nachfolgend „Verantwortlicher“ —

und

Frybad Software- und Technologieberatung GmbH, Schleißheimer Str. 23, 80333 München, eingetragen im Handelsregister des Amtsgerichts München unter HRB 270903 — nachfolgend „Auftragsverarbeiter“ —

— gemeinsam die „Parteien“ —

Präambel

Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Bereich der Erstellung, Validierung, Übermittlung und Archivierung elektronischer Rechnungen (Produkt „Fortlauf“) auf Grundlage des zwischen den Parteien geschlossenen Hauptvertrags. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO.

Der Vertrag wird im Dienst geschlossen, indem eine für den Verantwortlichen handelnde Person ihm zustimmt. Der Auftragsverarbeiter speichert die angenommene Fassung, den Zeitpunkt und den Wortlaut der Zustimmung; jede Fassung dieses Vertrags bleibt unter ihrer eigenen Adresse dauerhaft abrufbar.

§ 1 Gegenstand, Dauer und Rangfolge

1. Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
2. Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Bewahrt der Auftragsverarbeiter nach Beendigung des Hauptvertrags Daten des Verantwortlichen weiter auf oder stellt er sie ihm bereit (§ 10, Anlage 1 „Dauer”), gilt dieser Vertrag für diese Daten fort, bis sie beim Auftragsverarbeiter einschließlich aller Kopien gelöscht sind. Ein Kündigungsrecht des Verantwortlichen nach Art. 28 Abs. 3 Satz 2 lit. h DSGVO bleibt unberührt.
3. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor.
4. Die Verarbeitung findet ausschließlich in der Bundesrepublik Deutschland statt. Eine Verarbeitung in einem Drittland im Sinne des Art. 44 DSGVO erfolgt nicht (§ 12).

§ 2 Weisungsrecht des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Übermittlungen in Drittländer, sofern er nicht durch das Unionsrecht oder das Recht eines Mitgliedstaats hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die bei Vertragsschluss vereinbarte Leistungserbringung nach dem Hauptvertrag und der Produktdokumentation gilt als Erstweisung. Die Nutzung der API und der Anwendungsoberfläche durch den Verantwortlichen und die von ihm autorisierten Nutzer stellt eine Weisung im Sinne dieses Vertrags dar.
3. Weitergehende Einzelweisungen und Widersprüche erteilt der Verantwortliche in Textform (§ 126b BGB), entweder im Kontobereich des Dienstes oder an die in Anlage 5 benannte Kontaktstelle. Im Kontobereich können Personen mit Inhaber- oder Administratorrolle Weisungen und Widersprüche erteilen. Jede dort erteilte Weisung wird mit absendender Person, Eingangszeitpunkt, Wortlaut und Prüfsumme unveränderlich gespeichert, in Kopie an die Kontaktstelle des Auftragsverarbeiters für Datenschutz übermittelt und der absendenden Person in Textform bestätigt; der Verantwortliche kann seine Weisungen im Kontobereich einsehen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
4. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 3 Vertraulichkeit

1. Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO).
2. Seit dem 5. Oktober 2026 erfolgt die Verpflichtung nach einem schriftlich festgelegten Verfahren vor der erstmaligen Aufnahme der Tätigkeit; sie wird dokumentiert und wirkt über das Ende der Tätigkeit hinaus fort.
3. Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen mit den einschlägigen datenschutzrechtlichen Vorgaben vertraut sind und regelmäßig unterwiesen werden.

§ 4 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter ist berechtigt, sie anzupassen, darf das vereinbarte Schutzniveau dabei jedoch nicht unterschreiten. Wesentliche Änderungen sind zu dokumentieren und dem Verantwortlichen auf Anfrage mitzuteilen.
3. Anlage 2 weist am Ende diejenigen Maßnahmen aus, die zum Zeitpunkt des Vertragsschlusses noch nicht vollständig umgesetzt sind, jeweils mit einem verbindlichen Zieldatum oder, wo die Maßnahme an ein Ereignis gebunden ist, mit diesem Ereignis. Ein überschrittenes Zieldatum weist der Auftragsverarbeiter in der nächsten Fassung dieses Vertrags aus und setzt es neu; es wird nie stillschweigend verschoben. Den Umsetzungsstand im Einzelnen und die bis zum Zieldatum geltenden Kompensationsmaßnahmen teilt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage nach § 8 Abs. 1 lit. a mit. Diese Ausweisung dient der Transparenz gegenüber dem Verantwortlichen und seiner Prüfung nach Art. 28 Abs. 1 DSGVO; sie schränkt die den Auftragsverarbeiter unmittelbar treffende Pflicht aus Art. 32 DSGVO nicht ein und begründet keinen Haftungsausschluss.

§ 5 Unterstützungspflichten

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) nachzukommen.
2. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Art. 32–36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
4. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

§ 6 Meldung von Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform an die in Anlage 5 benannte Kontaktstelle.
2. Die Meldung enthält, soweit verfügbar: Art der Verletzung, betroffene Datenkategorien und -umfang, betroffene Kategorien und ungefähre Zahl betroffener Personen, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Abhilfemaßnahmen. Sind nicht alle Angaben verfügbar, erfolgt eine erste Meldung fristgerecht und die Ergänzung unverzüglich danach.
3. Der Auftragsverarbeiter dokumentiert alle Verletzungen und ergriffenen Maßnahmen und unterstützt den Verantwortlichen bei dessen Meldepflichten nach Art. 33, 34 DSGVO.
4. Der Auftragsverarbeiter teilt dem Verantwortlichen auf Anfrage die Namen der bei ihm für diese Meldungen benannten Ansprechpersonen in Textform mit und zeigt einen Wechsel einem Verantwortlichen, dem er sie mitgeteilt hat, unverzüglich an.

§ 7 Unterauftragsverhältnisse

1. Der Verantwortliche erteilt hiermit die allgemeine schriftliche Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 3.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters oder einer Erweiterung der an einen eingesetzten Unterauftragsverarbeiter übermittelten Daten in Textform. Geht die Änderung nicht vom Auftragsverarbeiter, sondern von einem bereits eingesetzten Unterauftragsverarbeiter aus und ist dem Auftragsverarbeiter dafür seinerseits eine kürzere Frist gesetzt, informiert er unverzüglich nach eigener Kenntnis und weist in der Information ausdrücklich auf die verkürzte Frist und deren Grund hin. Der Auftragsverarbeiter legt bereits heute offen, dass ihm sein Unterauftragsverarbeiter (Anlage 3, Anmerkung 0) vertraglich nur eine Widerspruchsfrist von 14 Tagen einräumt, die in außergewöhnlichen Fällen weiter verkürzt werden kann; die 30-Tage-Zusage nach Satz 1 ist daher für vom Unterauftragsverarbeiter ausgehende Änderungen nicht durchgängig einlösbar.
3. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund widersprechen; im Fall des Absatzes 2 Satz 2 innerhalb der dort mitgeteilten kürzeren Frist. Wird der Widerspruch nicht ausgeräumt, ist der Verantwortliche berechtigt, den Hauptvertrag mit Wirkung zum geplanten Änderungszeitpunkt außerordentlich zu kündigen.
4. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die ihm nach diesem Vertrag obliegen, und bleibt dem Verantwortlichen für deren Einhaltung verantwortlich (Art. 28 Abs. 4 DSGVO).
5. Keine Unterauftragsverarbeitung im Sinne dieses Paragraphen sind Nebenleistungen ohne Zugriff auf personenbezogene Daten, insbesondere reine Colocation (Bereitstellung von Fläche, Strom, Kühlung, Netzanbindung und physischer Sicherheit) sowie Telekommunikationsleistungen (siehe Anlage 3, Anmerkung 1).

§ 8 Nachweise und Kontrollrechte

1. Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, vorrangig durch: a) Vorlage der aktuellen Dokumentation der technischen und organisatorischen Maßnahmen, einschließlich des Umsetzungsstands der in Anlage 2 als noch nicht vollständig umgesetzt ausgewiesenen Maßnahmen und der bis zum jeweiligen Zieldatum geltenden Kompensationsmaßnahmen, b) Beantwortung eines Prüffragebogens des Verantwortlichen, c) Vorlage von Zertifikaten, Testaten oder Prüfberichten Dritter, soweit vorhanden, d) Vorlage der Ergebnisse eigener Sicherheitsüberprüfungen (z. B. Penetrationstests, Code-Reviews).
2. Reichen die Nachweise nach Absatz 1 nicht aus, kann der Verantwortliche nach Ankündigung mit angemessener Frist (mindestens 14 Tage), während der üblichen Geschäftszeiten und höchstens einmal jährlich eine Vor-Ort-Prüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht mit dem Auftragsverarbeiter im Wettbewerb stehenden Prüfer durchführen lassen. Bei konkretem Anlass (insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder einer Anordnung der Aufsichtsbehörde) entfallen die Beschränkungen auf Häufigkeit und Ankündigungsfrist.
3. Der Auftragsverarbeiter wirkt an Prüfungen mit. Betriebsabläufe und die Vertraulichkeit der Daten anderer Kunden sind dabei zu wahren; Zugriff auf Daten Dritter wird nicht gewährt.
4. Für den über Absatz 1 hinausgehenden Aufwand einer Vor-Ort-Prüfung ohne konkreten Anlass kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

§ 9 Datenschutzbeauftragter

Der Auftragsverarbeiter hat keinen Datenschutzbeauftragten bestellt, da die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG derzeit nicht vorliegen. Ansprechpartner in Datenschutzfragen ist die in Anlage 5 benannte Stelle. Der Auftragsverarbeiter informiert den Verantwortlichen, sobald eine Bestellpflicht eintritt.

§ 10 Löschung und Rückgabe · gesetzliche Aufbewahrungspflichten

1. Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Kopien in Datensicherungen werden nicht einzeln gelöscht. Sie werden mit dem Ablauf der Aufbewahrungsdauer der Sicherungen entfernt: für Sicherungen, die seit dem 5. Oktober 2026 erstellt werden, spätestens 40 Tage nach der Löschung im Produktivsystem (Anlage 4 Ziff. 6); ältere Sicherungen werden bis zu dem in Anlage 2, Schlussabschnitt Teil A Ziff. 2 genannten Zieldatum entfernt. Bis dahin werden sie ausschließlich für die Wiederherstellung und deren Erprobung verwendet; die seit dem 5. Oktober 2026 ausgelagerten Sicherungen sind verschlüsselt (Anlage 3, Anmerkung 0) und gegen Veränderung gesperrt. Für die Zweitkopie des Rechnungsarchivs gilt Anlage 4 Ziff. 1 (Absatz „Zweitkopie“).

2. Rückgabe. Der Verantwortliche kann jederzeit — auch während der Vertragslaufzeit — ein Archiv-Exportpaket anfordern. Es enthält je archiviertem Dokument die Datei der ausgestellten Rechnung mit ihren strukturierten Daten (bei einer Rechnung im hybriden Format die PDF-Datei, in die die strukturierte Datei eingebettet ist; bei einer als strukturierte Datei ausgestellten Rechnung diese Datei und eine PDF-Darstellung), den Validierungsbericht und, soweit das Dokument im Produktivbetrieb über den Dienst versandt wurde, das Sendeprotokoll sowie den Archiv-Audit-Trail in maschinenlesbarer Form, jeweils mit Prüfsummen und einem Manifest, das eine Integritätsprüfung durch Dritte ermöglicht. Die Bereitstellung erfolgt in einem gängigen, strukturierten Format. Das Paket wird je Rechnungsstellender Einheit und je Betriebsmodus erzeugt. Das gilt auch während einer Sperrung des Zugangs nach dem Hauptvertrag; ist der Zugang zum Dienst vollständig gesperrt, stellt der Auftragsverarbeiter das Paket auf Anforderung in Textform unentgeltlich bereit.

   Was das Paket nicht enthält, offengelegt statt vorausgesetzt. Es enthält ausschließlich archivierte, ausgestellte Dokumente; nicht enthalten sind insbesondere Stammdaten, Positionskatalog, Vorlagen wiederkehrender Abrechnungen, Nutzerkonten, Entwurfsdokumente und nicht umgewandelte Angebote. Diese Daten kann der Verantwortliche jederzeit über die Schnittstelle der Plattform in maschinenlesbarer Form auslesen; hierfür ist keine Mitwirkung des Auftragsverarbeiters erforderlich. Ein einziges zusammenfassendes Artefakt über sämtliche personenbezogenen Daten stellt der Auftragsverarbeiter derzeit nicht bereit. Ob ein solches Artefakt nach Art. 28 Abs. 3 Satz 2 lit. g DSGVO geschuldet ist, entscheidet der Auftragsverarbeiter und teilt dem Verantwortlichen das Ergebnis bis zum 31. Dezember 2026 in Textform mit.

   Offengelegt: Die Fassungen v2 und v3 nannten in diesem Absatz je archiviertem Dokument eine strukturierte Originaldatei neben der PDF-Darstellung sowie ein Sendeprotokoll. Bei einer Rechnung im hybriden Format ist die strukturierte Datei in die PDF-Datei eingebettet und wird nicht gesondert archiviert, und ein Sendeprotokoll besteht nur für ein im Produktivbetrieb über den Dienst versandtes Dokument; insoweit sind diese Angaben unzutreffend. Diese Fassung berichtigt den Absatz.

3. Gesetzliche Aufbewahrung geht der Löschung vor. Für Rechnungen und die zugehörigen Nachweise besteht eine gesetzliche Aufbewahrungspflicht von acht Jahren nach § 14b Abs. 1 UStG, beginnend mit dem Schluss des Kalenderjahres, in dem die Rechnung ausgestellt wurde. Diese Daten werden bis zum Ablauf der Frist weiter aufbewahrt; die Rechtsgrundlage hierfür ist Art. 17 Abs. 3 lit. b DSGVO.

4. Behandlung von Löschverlangen während der Aufbewahrungsfrist. Verlangt eine betroffene Person die Löschung von Daten, die einer gesetzlichen Aufbewahrungspflicht unterliegen, setzt der Auftragsverarbeiter auf Weisung des Verantwortlichen eine Einschränkung der Verarbeitung nach Art. 18 DSGVO um: die Einschränkung wird mit Grund, Zeitpunkt und veranlassender Stelle als abfragbare Felder am Dokument geführt, das Dokument wird von Zahlungserinnerungen ausgenommen, und es bleibt bis zum Ablauf der Aufbewahrungsfrist archiviert. Der Vorgang wird im Audit-Trail dokumentiert. Nach Fristablauf erfolgt die Löschung nach dem Verfahren in Anlage 4.

   Reichweite der Sperre, offengelegt. Ein erneuter Versand desselben Dokuments an denselben Empfänger wird durch die Einschränkung derzeit technisch nicht verhindert. Ein solcher Versand setzt eine bewusste Handlung eines Nutzers des Verantwortlichen voraus, und die Einschränkung ist am Dokument sichtbar geführt. Die Ausweitung der technischen Sperre auf den Versand ist vorgesehen (Anlage 2, Schlussabschnitt).

5. Deaktivierung statt sofortiger Löschung. Die Löschung einer Rechnungsstellenden Einheit („Entity“) im Produkt bewirkt zunächst eine Deaktivierung: die Einheit wird ausgeblendet, es können keine neuen Dokumente mehr ausgestellt werden, bereits archivierte Dokumente bleiben jedoch nach Absatz 3 aufbewahrt und exportierbar. Eine endgültige Löschung erfolgt erst, wenn für sämtliche zugehörigen Archivobjekte die Aufbewahrungsfrist abgelaufen ist, kein Legal Hold besteht und die Auslieferung eines Exportpakets bestätigt wurde.

   Für den Mandanten als Ganzes besteht im Produkt keine Löschfunktion. Auf Weisung des Verantwortlichen deaktiviert der Auftragsverarbeiter die zugehörigen Rechnungsstellenden Einheiten mit der vorstehenden Wirkung; die Stammdaten des Mandanten und seiner Einheiten bleiben dabei gespeichert. Die endgültige Löschung richtet sich auch in diesem Fall nach Absatz 3 und Anlage 4.

6. Testdaten. Im Testbetrieb verarbeitete Daten unterliegen keiner gesetzlichen Aufbewahrungspflicht und keiner Aufbewahrungssperre im Archiv. Entwürfe und nicht verwendete Stammdaten des Testbetriebs kann der Verantwortliche im Dienst zurücksetzen. Im Testbetrieb ausgestellte Dokumente kann er im Dienst derzeit nicht löschen; für sie gilt Anlage 4 Ziff. 5.

7. Dokumentationen zum Nachweis der ordnungsgemäßen Datenverarbeitung dürfen über das Vertragsende hinaus entsprechend den jeweiligen Aufbewahrungsfristen aufbewahrt werden.

§ 11 Haftung

Es gilt Art. 82 DSGVO. Weitergehende oder abweichende Haftungsregelungen werden in diesem Vertrag nicht getroffen.

§ 12 Drittlandübermittlung

Eine Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation findet nicht statt. Sämtliche Verarbeitung erfolgt auf Infrastruktur in der Bundesrepublik Deutschland. Sollte eine Drittlandübermittlung künftig erforderlich werden, erfolgt sie nur nach vorheriger Information des Verantwortlichen und auf Grundlage eines zulässigen Übermittlungsinstruments nach Kapitel V DSGVO.

§ 13 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform (§ 126b BGB). Dies gilt auch für die Aufhebung dieses Formerfordernisses.
2. Eine neue Fassung dieses Vertrags wird für den Verantwortlichen wirksam, wenn er ihr im Dienst oder in Textform zustimmt; bis dahin gilt die von ihm zuletzt angenommene Fassung. Die Rechte des Auftragsverarbeiters aus § 4 Abs. 2 und § 7 bleiben unberührt.
3. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
4. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.
5. Gerichtsstand ist München, soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
6. Die Anlagen 1–5 sind Bestandteil dieses Vertrags.

---

Anlage 1 — Beschreibung der Verarbeitung

Gegenstand: Bereitstellung einer Software-as-a-Service-Plattform bzw. API zur Erstellung, Validierung, Übermittlung und revisionssicheren Archivierung elektronischer Rechnungen nach EN 16931 (XRechnung, ZUGFeRD/Factur-X) sowie zugehöriger Auswertungs- und Exportfunktionen.

Dauer: Laufzeit des Hauptvertrags; für archivierte Dokumente zuzüglich der gesetzlichen Aufbewahrungsfrist nach § 14b Abs. 1 UStG; für Kopien in Datensicherungen zuzüglich der in § 10 Abs. 1 und Anlage 4 Ziff. 6 genannten Fristen.

Art der Verarbeitung: Erheben, Erfassen, Speichern, Organisieren, Ordnen, Verändern, Auslesen, Abfragen, Verwenden, Erzeugen (Rendering von XML und PDF/A-3), Prüfen (Validierung gegen EN 16931 / KoSIT-Regeln), Offenlegen durch Übermittlung (E-Mail-Versand an Rechnungsempfänger sowie Nachrichten des Dienstes an Nutzer des Verantwortlichen), Archivieren, Bereitstellen (Export), Einschränken und Löschen.

Zweck: Erfüllung der umsatzsteuerlichen Rechnungsstellungs-, Übermittlungs- und Aufbewahrungspflichten des Verantwortlichen bzw. seiner Endkunden.

Kategorien betroffener Personen:

• Rechnungs- und Angebotsempfänger des Verantwortlichen bzw. seiner Endkunden, einschließlich Einzelunternehmer und natürlicher Personen
• Ansprechpartner des Verantwortlichen bzw. seiner Rechnungsstellenden Einheiten, die nach EN 16931 auf dem Dokument ausgewiesen werden (Name, Telefonnummer, E-Mail-Adresse)
• Nutzer des Verantwortlichen (Beschäftigte, Administratoren, technische Integratoren)
• Personen, die der Verantwortliche in Freitextfeldern eines Dokuments benennt (siehe die Klausel zu Art. 9 DSGVO)

Kategorien personenbezogener Daten:

• Stammdaten: Name, Firma, Anschrift, USt-IdNr./Steuernummer, E-Mail-Adresse, Kundennummer; Telefonnummer ausschließlich auf der Seite des Verantwortlichen (Ansprechpartner der Rechnungsstellenden Einheit) — für Rechnungsempfänger wird keine Telefonnummer gespeichert
• Rechnungsdaten: Rechnungsnummer, Datum, Leistungszeitraum, Leistungsbeschreibung, Mengen, Einzel- und Gesamtbeträge, Steuersätze und -beträge, Zahlungsbedingungen, Referenzen (Bestell-/Leitweg-ID) sowie Freitextfelder (Einleitungs- und Schlusstext, Hinweise, Zahlungsbedingungen, Positions- und Artikelbeschreibungen)
• Zahlungsdaten: IBAN/BIC und Zahlungshinweise des Verantwortlichen, soweit von ihm übermittelt und nach EN 16931 auf dem Dokument auszuweisen. Eine IBAN eines Zahlenden wird, soweit sie überhaupt anfällt, ausschließlich als Hash gespeichert.
• Nutzungs- und Kontodaten: Benutzerkennung, Name, E-Mail, Rolle, Zeitstempel, Metadaten zu Zugangsschlüsseln (nie der Schlüssel selbst — dieser wird ausschließlich als Hash gespeichert); E-Mail-Adressen in Einladungen
• Nachrichtendaten: die vollständig erzeugte Versandnachricht (Betreff und HTML-Text) sowie Empfänger- und Kopieadressen; die vom Verantwortlichen hinterlegten Betreff- und Textvorlagen
• Protokolldaten: Audit-Trail-Einträge (Akteur, Zeitpunkt, Aktion, betroffenes Objekt; IP-Adressen ausschließlich als Hash), Zustell- und Sendeprotokolle, Validierungsberichte; Verbindungsdaten der Zugriffe auf den Dienst (unter anderem IP-Adresse, Zeitpunkt und aufgerufene Adresse) in den Betriebsprotokollen des Zugangs-Gateways; Absender- und Empfängeradressen und Zeitpunkte versandter Nachrichten in den Protokollen der eigenen Mailserver. Klarstellung: Das Sendeprotokoll enthält die Empfängeradresse im Klartext und ist selbst Bestandteil des gesperrten Archivobjekts (Anlage 4 Ziff. 1).

Nicht Gegenstand dieses Vertrags — Abgrenzung: Vertrags-, Abonnement-, Mandats- und Zahlungsdaten des Verantwortlichen selbst, die im Zusammenhang mit der Vergütung des Auftragsverarbeiters anfallen, verarbeitet der Auftragsverarbeiter als eigener Verantwortlicher (Anlage 3, Anmerkung 5). Sie sind nicht Gegenstand dieses Vertrags und deshalb oben nicht aufgeführt. Ein Zahlungsmittel wird dabei nicht gespeichert.

Rückmeldungen aus dem Dienst — Abgrenzung: Rückmeldungen, die Nutzer des Verantwortlichen über die Rückmeldefunktion des Dienstes an den Auftragsverarbeiter senden (Kategorie, Text, Angaben zur aufgerufenen Ansicht, ein bereits im Browser geschwärztes Bildschirmfoto und, nur auf Wunsch des Nutzers, seine E-Mail-Adresse), verarbeitet der Auftragsverarbeiter zur Fehlerbehebung und zur Verbesserung des Dienstes als eigener Verantwortlicher; insoweit sind sie nicht Gegenstand dieses Vertrags. Enthält eine Rückmeldung die Kennung eines Datensatzes des Verantwortlichen, auf den sie sich bezieht, wird diese Kennung nach diesem Vertrag verarbeitet; den Datensatz selbst öffnet der Auftragsverarbeiter für die Bearbeitung der Rückmeldung nicht. Rückmeldungen werden auf der eigenen Infrastruktur des Auftragsverarbeiters gespeichert; der Ort der Verarbeitung ändert sich dadurch nicht.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Nicht Gegenstand des Auftrags. Der Verantwortliche stellt sicher, dass keine Daten nach Art. 9 DSGVO — insbesondere nicht über Freitextfelder wie die Leistungsbeschreibung — übermittelt werden. Der Auftragsverarbeiter weist ausdrücklich auf die Tragweite hin: Der Inhalt dieser Felder wird nicht nur gespeichert, sondern in das Rechnungsdokument selbst erzeugt (PDF-Darstellung und strukturierte Datei), mit der Ausstellung datenbankseitig gegen Änderung und Löschung gesperrt und anschließend für die Dauer der Aufbewahrungsfrist im Archiv gesperrt abgelegt. Ein Produktweg, einen solchen Eintrag nachträglich zu schwärzen oder zu entfernen, besteht nicht. Eine versehentliche Eingabe ist damit für rund neun Jahre unumkehrbar.

Ort der Verarbeitung: Bundesrepublik Deutschland — eigene Hardware des Auftragsverarbeiters in verschlossener, ihm zugeordneter Rack-Fläche in einem Rechenzentrum in München. Eine Verarbeitung außerhalb der Bundesrepublik Deutschland findet nicht statt; für die ausgelagerte Datensicherung gilt Anlage 3, Anmerkung 0 (Deutschland).

Der Server, auf dem die Verarbeitung stattfindet, ist dem Verantwortlichen nicht ausschließlich zugeordnet; auf derselben Infrastruktur betreibt der Auftragsverarbeiter weitere, von diesem Vertrag nicht berührte Systeme. Die Trennung der Daten des Verantwortlichen erfolgt durch die in Anlage 2 beschriebenen Maßnahmen, nicht durch eine eigene Hardware je Verantwortlichem.

Die physische Kette — offengelegt statt vorausgesetzt. Ein physischer Zugriff der Vertragspartnerin des Rack-Vertrags auf die Hardware ist vertraglich nicht ausgeschlossen, und er wird hier auch nicht ausgeschlossen; maßgeblich ist die Möglichkeit des Zugriffs, nicht dessen tatsächliche Inanspruchnahme. Die Vertragspartnerin des Rack-Vertrags hat keinen Fernzugang zu den Systemen. Die Datenträger sind im ruhenden Zustand verschlüsselt (Anlage 2, Abschnitt 1): die Daten auf ausgeschalteten oder entnommenen Datenträgern sind ohne den Schlüssel nicht lesbar. Gegen Eingriffe in ein laufendes System wirkt diese Verschlüsselung nicht. Der Auftragsverarbeiter ordnet die Beziehung zur Vertragspartnerin des Rack-Vertrags als Nebenleistung ohne Auftragsverarbeitung ein (Anlage 3, Anmerkung 1) und teilt dem Verantwortlichen eine Änderung dieser Einordnung nach § 7 Abs. 2 mit. Die Betreiberin des Gebäudes ist dem Auftragsverarbeiter gegenüber noch nicht abschließend bestätigt; am Ort der Verarbeitung ändert das nichts — sämtliche in Betracht kommenden Liegenschaften liegen in München, Bundesrepublik Deutschland.

---

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 11. November 2026. Diese Anlage beschreibt die getroffenen Maßnahmen und ihre Zusicherung. Maßnahmen, die zum Zeitpunkt des Vertragsschlusses noch nicht vollständig umgesetzt sind, sind am Ende dieser Anlage mit einem verbindlichen Zieldatum gesammelt ausgewiesen (§ 4 Abs. 3). Den Umsetzungsstand im Einzelnen und die bis dahin geltenden Kompensationsmaßnahmen teilt der Auftragsverarbeiter auf Anfrage nach § 8 Abs. 1 lit. a mit.

Bezugsumgebung. Diese Anlage beschreibt ausschließlich die Produktivumgebung, in der Daten des Verantwortlichen verarbeitet werden. Der Auftragsverarbeiter betreibt daneben eine getrennte Test- und Entwicklungsumgebung; ein Stand der Testumgebung wird niemals als Produktivstand dargestellt. Eine Ausnahme, offengelegt: gekennzeichnete Testnachrichten aus dem Testbetrieb der Produktivumgebung können über einen Mailserver versandt werden, der im Netzbereich der Test- und Entwicklungsumgebung steht (Anlage 3, Anmerkung 2). Die Verbindung zu diesem Mailserver ist verschlüsselt; er läuft auf eigener Hardware des Auftragsverarbeiters am Ort der Verarbeitung nach Anlage 1.

Wie diese Anlage geführt wird. Sie ist eine vertragliche Zusicherung, keine Werbeaussage. Eine geplante, aber nicht ausgerollte Maßnahme als umgesetzt zu beschreiben wäre eine Falschzusicherung. Eine Zeile nach unten zu korrigieren ist erwartet und richtig; eine Zeile still nach oben zu korrigieren ist unzulässig. Der Auftragsverarbeiter prüft diese Anlage nach einem schriftlich festgelegten Turnus sowie anlassbezogen gegen den tatsächlichen Stand; einer der festgelegten Anlässe ist jede Neuausgabe dieses Vertrags. Offengelegt: In der Fassung v3 dieser Anlage waren ab dem 1. November 2026 die Zeilen „Trennung von Produktiv- und Testbetrieb” (ein Dokument des Testbetriebs werde am Versand gehindert) und „Übermittlungsnachweis” (für jeden Versand werde ein Sendeprotokoll erzeugt) nicht mehr zutreffend; ihre Zeile „Betriebsprotokolle” nannte die ebenfalls übertragenen Protokolle der eigenen Mailserver und eines Verwaltungsrechners nicht. Diese Fassung schreibt die Zeilen fort.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Maßnahme	Beschreibung
Zutrittskontrolle	Eigene Hardware des Auftragsverarbeiters in verschlossener, ihm zugeordneter Rack-Fläche in einem Rechenzentrum in München. Nach Angaben des Betreibers bestehen Zugangskontrolle, Videoüberwachung, durchgehende Besetzung und getrennte Sicherheitszonen. Der Betreiber des Rechenzentrums ist nach ISO/IEC 27001 und EN 50600 zertifiziert; die Nachweise liegen dem Auftragsverarbeiter vor. Sie erfassen den Betrieb des Rechenzentrums, nicht die Vertragspartnerin des Rack-Vertrags. Zur physischen Kette und zu dem nicht ausgeschlossenen Zugriff der Rack-Vertragspartnerin siehe Anlage 1.
Zugangskontrolle (natürliche Personen)	Authentifizierung über einen eigenen Identitätsdienst nach OpenID Connect mit den hierfür vorgesehenen Absicherungen des Anmeldevorgangs; serverseitig verschlüsselte Sitzungsmerkmale. Berechtigungen werden bei jeder Anfrage neu aus der Datenbank gelesen, sodass ein Entzug sofort wirkt.
Zugangskontrolle (Schnittstelle)	Zugangsschlüssel werden ausschließlich als Hash gespeichert (der Klartext existiert nach der Ausgabe nirgends), sind an einen Berechtigungsumfang und unveränderlich an den Betriebsmodus gebunden und einzeln widerrufbar; jede Änderung an einem Schlüssel wird protokolliert. Alle Routen sind standardmäßig authentifizierungspflichtig; Ausnahmen sind ausdrücklich und abschließend aufgezählt und durch eine Regressionsprüfung gesichert.
Verwaltungszugänge	Administrative Vorgänge in der Anwendung erfolgen ausschließlich über benannte Einzelkonten; ein Sammelkonto besteht dort nicht. Die administrative Oberfläche der Produktivumgebung ist nur über eine vorgeschaltete Zugangssperre und eine Anmeldung über den Identitätsdienst erreichbar und auf eine namentlich festgelegte Liste von Bedienern beschränkt. Für die administrativen Konten des Identitätsdienstes ist ein zweiter Faktor eingerichtet. Administrative Einsichtnahmen in personenbezogene Daten werden protokolliert (Abschnitt 2, Audit-Trail).
Mandantentrennung	Mandantentrennung auf Anwendungsebene und als zweite, erzwingende Ebene in der Datenbank; jede Transaktion läuft in einem ausdrücklichen Mandantenkontext. Die von der Anwendung verwendete Datenbankkennung ist nicht privilegiert und kann die Trennungsregel nicht umgehen. Bei maschinellen Zugängen werden Mandant, Einheit und Betriebsmodus unveränderlich aus dem Zugangsmittel abgeleitet und nie aus einer Angabe der Anfrage übernommen; bei Anmeldungen natürlicher Personen kann eine übermittelte Auswahl den Zugriff nur einschränken, niemals erweitern. Gesichert durch blockierende Prüfschritte in der Auslieferungskette und eine eigene Testreihe, die die Trennung je Tabelle nachweist.
Rollen und Berechtigungen	Abgestuftes Rollen- und Mitgliedschaftsmodell je Mandant mit Berechtigungs- und Umfangsprüfung an jeder Schnittstelle, gesichert durch eine eigene Testreihe.
Trennung der Archivobjekte je Mandant	Archivobjekte werden je Mandant und Einheit getrennt abgelegt. Seit dem 19. September 2026 legt der Auftragsverarbeiter jedes Archivobjekt, das ein Mandant im Produktivbetrieb erzeugt, in einem eigenen Speicherbehälter dieses Mandanten ab; der Behälter wird bei der ersten Archivierung des Mandanten im Produktivbetrieb angelegt. Der Speicherbehälter ist eine Einheit der Ablage: er begrenzt die Reichweite eines Fehlers bei der Ablage auf einen Mandanten. Über den Zugriff auf die Objekte entscheidet er nicht; diesen regelt die Mandantentrennung der Anwendung und der Datenbank. Nicht in mandanteneigenen Speicherbehältern liegen: Archivobjekte, die vor dem 19. September 2026 abgelegt wurden (sie verbleiben bis zum Ablauf ihrer Aufbewahrungsfrist in der bisherigen gemeinsamen Ablage); Archivobjekte des Testbetriebs, die in einer gemeinsamen Ablage über den Objektschlüssel getrennt werden; sowie die bei der Ausstellung erzeugten Arbeitskopien der PDF-Darstellung und der strukturierten Datei, die zusätzlich zur Archivkopie in einer gemeinsamen Ablage über ein Schlüsselpräfix je Mandant getrennt gehalten werden und nicht der Aufbewahrungssperre unterliegen. Die Objektschlüssel enthalten keine personenbezogenen Daten, und der Objektspeicher ist nicht anonym erreichbar. Die Anwendung greift je Umgebung mit einem Zugangsmittel auf die Speicherbehälter aller Mandanten zu; getrennte Zugangsdaten je Mandant werden nicht eingerichtet (siehe Schlussabschnitt, Teil C).
Trennung von Produktiv- und Testbetrieb	Der Betriebsmodus ist Bestandteil der Datenbank-Trennungsregel, nicht nur ein Anwendungsfilter; für Zugänge über die Schnittstelle ist er unveränderlich an das Zugangsmittel gebunden, in der Weboberfläche serverseitig versiegelt und durch den Browser nicht setzbar. Ein unbekannter Wert wird vor jedem Mandantenzugriff abgewiesen. Ein Dokument im Testbetrieb tritt nicht in die Aufbewahrung und nicht in die Abrechnung ein. Versandt wird es nur als Testnachricht gekennzeichnet und nur auf den in Anlage 3, Anmerkung 2 beschriebenen Wegen; eine nicht gekennzeichnete Testnachricht weist auch der Versanddienst selbst zurück. Ausdrücklich klargestellt, weil die nächstliegende Annahme die andere ist: ein Dokument im Testbetrieb erzeugt gleichwohl ein Archivobjekt; es wird lediglich nicht gegen Änderung gesperrt.
Interne Schnittstellen und Netzwerktrennung	Interne Schnittstellen sind authentifiziert und aus dem Internet nicht erreichbar; die eingesetzten Dienstschlüssel sind je Konsument ausgestellt und einzeln widerrufbar. In den Bereichen der Produktivumgebung für die Anwendung, den Identitätsdienst und den Bankabgleich gilt eine Grundregel, nach der eingehender Verkehr verweigert wird, soweit er nicht von namentlich benannten Aufrufern stammt; der Zugriff auf die Datenbank ist auf benannte Dienste beschränkt. Für die meisten Anwendungsdienste und den Bankabgleich ist auch der ausgehende Verkehr beschränkt: zugelassen sind benannte interne Ziele sowie öffentliche Adressen unter Ausschluss privater, lokaler und Metadaten-Adressbereiche. Die Ausweitung dieser Netzwerkregeln auf die übrigen Bestandteile der Produktivumgebung ist im Schlussabschnitt ausgewiesen.
Kontrolle ausgehender Verbindungen	Alle vom Verantwortlichen konfigurierbaren Ausgangsziele (Mailserver, Webhook-Adressen, Abrufadressen) werden vor dem Verbindungsaufbau geprüft und auf private, lokale und Metadaten-Adressbereiche hin abgewiesen. Webhook-Adressen sind datenbankseitig auf verschlüsselte Verbindungen beschränkt. Für die meisten Anwendungsdienste begrenzen zusätzlich Netzwerkregeln die erreichbaren Ziele (vorstehende Zeile).
Pseudonymisierung	Objektschlüssel im Objektspeicher enthalten keine personenbezogenen Daten. IP-Adressen im Audit-Trail werden an der Speicherungsgrenze ausschließlich als Hash abgelegt; die Rohadresse wird nicht gespeichert. Suchbegriffe aus Freitextfeldern werden nicht in Protokolle übernommen.
Verschlüsselung der Übertragung	Nach außen: TLS auf allen von außen erreichbaren Schnittstellen mit HSTS; unverschlüsselte Aufrufe werden auf TLS umgeleitet. Ausgehende E-Mail: über den vom Verantwortlichen hinterlegten Mailserver wird TLS erzwungen und eine Mindestversion verlangt — ein Mailserver ohne Transportverschlüsselung führt zu einer Zurückstellung mit Fehlerhinweis, nicht zu einem unverschlüsselten Versand. Für den Versand über die eigenen Mailserver des Auftragsverarbeiters (Anlage 3, Anmerkung 2) wird eine Transportverschlüsselung bis zum Mailserver des Empfängers nicht zugesichert. Innerhalb der Produktivumgebung: die Verbindung zur Datenbank ist verschlüsselt und zertifikatsgeprüft; Verbindungen zum Objektspeicher und zum Identitätsdienst sind TLS-verschlüsselt; die übrigen Verbindungen zwischen den Anwendungsdiensten sind noch nicht durchgängig verschlüsselt (siehe Schlussabschnitt).
Verschlüsselung ruhender Daten und Geheimnisverwaltung	Die Datenträger der Produktivumgebung, einschließlich der Datenträger des Objektspeichers, sind im ruhenden Zustand verschlüsselt. Die Verschlüsselung schützt ausgeschaltete oder entnommene Datenträger; gegen einen Zugriff auf ein laufendes System wirkt sie nicht. Zugangsdaten für den E-Mail-Versand sowie Signaturgeheimnisse werden zusätzlich verschlüsselt gespeichert; das Schlüsselmaterial wird getrennt von der Datenbank verwaltet. Zugangsschlüssel werden nur als Hash gespeichert. Betriebsgeheimnisse werden getrennt je Umgebung verwaltet und sind einzeln wechselbar; in den aktiven Bereitstellungs-Repositorien werden sie ausschließlich verschlüsselt abgelegt. Prüfung und Bereinigung früherer Konfigurationsstände sind im Schlussabschnitt ausgewiesen.
Betriebsprotokolle	Betriebsprotokolle werden zu Betriebszwecken auf ein zweites, ebenfalls vom Auftragsverarbeiter betriebenes System in derselben eigenen Hardware übertragen und dort aufbewahrt. Übertragen werden die Protokolle der Anwendung, ihres Identitätsdienstes und ihres Zugangs-Gateways einschließlich dessen Zugriffsprotokoll, die Protokolle eigener Mailserver des Auftragsverarbeiters, darunter des Mailausgangs für Nachrichten des Dienstes (Anlage 3, Anmerkung 6), und die Protokolle eines Verwaltungsrechners. Die Protokolle der Mailserver enthalten unter anderem Absender- und Empfängeradressen und Zeitpunkte der Nachrichten. Der Verkehr verlässt diese Hardware nicht, und der Ort der Verarbeitung ändert sich dadurch nicht. Die Übertragung der Betriebsprotokolle und der Betriebskennzahlen ist noch nicht verschlüsselt (siehe Schlussabschnitt). Für die Anwendungsprotokolle gilt die dokumentierte Regel, dass Rechnungsinhalte, Namen von Beteiligten und Suchbegriffe aus Freitextfeldern nicht protokolliert werden.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Maßnahme	Beschreibung
Aufbewahrungssperre im Archiv	Archivobjekte des Produktivbetriebs werden mit einer Aufbewahrungssperre geschrieben und sind bis zum Ablauf der Aufbewahrungsfrist gegen Änderung und Löschung gesperrt. Die von der Anwendung verwendeten Zugangsmittel können eine Sperre setzen und verlängern, aber weder verkürzen noch aufheben; das Löschen gesperrter Objekte, das Umgehen einer Sperre und das Löschen eines Archivbehälters oder das Abschalten seiner Versionierung sind für sie zusätzlich durch eine ausdrückliche Verbotsregel ausgeschlossen, die erteilte Berechtigungen übersteuert. Aufheben oder umgehen lässt sich die Sperre ausschließlich mit administrativen Berechtigungen am Objektspeicher, die der Anwendung nicht zur Verfügung stehen und nicht allein diesem Zweck dienen. Eine Aufhebung ist nur aus den in Anlage 4 Ziff. 1 abschließend benannten Gründen und nur nach einem schriftlich festgelegten Verfahren zulässig: Antrag in Textform mit Begründung, Ermittlung der betroffenen Objekte und ihres Sperrzustands unmittelbar aus dem Objektspeicher, Prüfung gegen die Aufbewahrungsfristen und die Prüfsummenkette, dokumentierte Freigabe nach festgelegten Prüfschritten mit zeitlichem Abstand zwischen Antrag und Ausführung, Ausführung beschränkt auf einzeln benannte Objekte, Nachprüfung des Objektzustands und der Prüfsummenkette, Eintrag in ein Aufhebungsregister und Mitteilung an den Verantwortlichen. Die Freigabe ist organisatorisch, nicht technisch abgesichert. Die Entfernung oder Veränderung eines Archivobjekts, auch nach einer Aufhebung der Sperre, wird unabhängig vom Objektspeicher über die Prüfsummenkette erkannt (nächste Zeile).
Prüfsummenkette	Je Einheit wird eine fortlaufende Hash-Kette über alle Archivobjekte geführt (jeder Eintrag deckt Objekt-Hash und Vorgänger-Kettenhash ab), sodass nachträgliche Veränderungen unabhängig vom Objektspeicher erkennbar sind; ihre regelmäßige Prüfung macht das Fehlen oder die Veränderung eines Objekts erkennbar. Die Kettenköpfe werden regelmäßig in einem gesonderten Ankerspeicher abgelegt, den kein Zugangsmittel des Objektspeichers, auch kein administratives, löschen oder verkürzen kann. Offengelegt: der Ankerspeicher wird vom Auftragsverarbeiter selbst betrieben; gegenüber dem Auftragsverarbeiter selbst ist die Verankerung daher kein beweissicherer Nachweis.
Rücklese-Verifikation	Nach dem Schreiben wird jedes Archivobjekt zurückgelesen und sein Hash gegen den berechneten Hash geprüft, bevor die Sperre gesetzt wird; zusätzlich läuft eine stichprobenartige laufende Nachprüfung.
Unveränderbarkeit ausgestellter Rechnungen	Eine Sperre in der Datenbank verhindert die Änderung rechtlich unveränderlicher Felder und das Löschen einer ausgestellten Rechnung, unabhängig davon, welche Datenbankkennung handelt. Eine Stornierung erfolgt ausschließlich als eigenes, neues Dokument.
Fortlaufende Rechnungsnummern	Nummernkreise je Einheit mit atomarer, lückenloser Vergabe. Produktiv- und Testbetrieb führen getrennte Zähler; eine im Testbetrieb erzeugte Rechnung zieht keine Nummer aus der Folge des Produktivbetriebs.
Audit-Trail	Drei getrennte, durch die Datenbank erzwungen append-only geführte Protokolle (mandantenbezogen, plattformseitig, je Zugangsschlüssel), die Akteur, Zeitpunkt, Aktion und Objekt erfassen. Administrative Änderungen werden in derselben Transaktion protokolliert; administrative Einsichtnahmen in personenbezogene Daten werden vor der Datenausgabe protokolliert. Klarstellung: es handelt sich um ein Berechtigungs- und Änderungsprotokoll, nicht um ein Zugriffsprotokoll je Lesevorgang.
Eingabekontrolle und Idempotenz	Alle schreibenden Vorgänge sind dem auslösenden Nutzer oder Dienst zurechenbar. Ausstellungs- und Abrechnungsvorgänge sind idempotent; eine Doppelverarbeitung erzeugt keine Doppeldokumente.
Übermittlungsnachweis	Für jeden Versand im Produktivbetrieb wird ein append-only geführtes Sendeprotokoll erzeugt und selbst archiviert. Der Nachweis bezeichnet ausdrücklich die Annahme durch den Mailserver zum Sendezeitpunkt, nicht die Zustellung in ein Postfach, und er nennt den Weg, über den die Nachricht versandt wurde: den vom Verantwortlichen hinterlegten Mailserver oder den eigenen Mailserver des Auftragsverarbeiters (Anlage 3, Anmerkung 2). Im zweiten Fall bezeichnet er die Annahme durch den eigenen Mailserver, nicht die Annahme durch den Mailserver des Empfängers.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

Maßnahme	Beschreibung
Rechenzentrum	Nach Angaben des Betreibers: getrennte Einspeisungen, unterbrechungsfreie Stromversorgung und Netzersatzanlagen in redundanter Auslegung, redundante Kühlung sowie mehrere unabhängige Brandschutzzonen. Der Betreiber ist nach EN 50600 zertifiziert; der Nachweis liegt dem Auftragsverarbeiter vor.
Datenbank	Die Produktivdatenbank läuft mehrfach auf verschiedenen physischen Knoten mit automatischem Failover; die Replikation ist bewusst asynchron ausgelegt. Ein Übungslauf des Failovers ist durchgeführt worden. Ein Failover ist keine Datensicherung.
Datensicherung der Datenbank	Fortlaufende Sicherung der Transaktionsprotokolle sowie eine wöchentliche Vollsicherung der Datenbanken des Dienstes, einschließlich der Datenbank des Identitätsdienstes. Die Sicherungen werden zunächst im eigenen Objektspeicher zwischengespeichert und von dort verschlüsselt an einen Ort außerhalb des Rechenzentrums übertragen (Anlage 3, Anmerkung 0). Die Wiederherstellung aus der verschlüsselten ausgelagerten Sicherung ist in der Testumgebung, mit deren Datenbanken, über denselben technischen Weg einschließlich der Entschlüsselung erprobt worden; eine Wiederherstellung einer Sicherung der Produktivumgebung ist noch nicht erprobt (siehe Schlussabschnitt). Eine Wiederanlaufzeit und ein maximal zulässiger Datenverlust werden nicht zugesichert (siehe Schlussabschnitt). Aufbewahrungsdauer der Sicherungen: Anlage 4 Ziff. 6.
Archivspeicher	Selbst betriebener Objektspeicher mit mehrfacher Replikation und aktivierter Versionierung. Offengelegt, weil es die Reichweite der vorstehenden Zeile betrifft: der Archivspeicher mit den ausgestellten Dokumenten hat bis zur Einschaltung der Zweitkopie (Schlussabschnitt, Teil A Ziff. 5) keine Zweitkopie an einem anderen Ort. Eine verschlüsselte Zweitkopie beim Unterauftragsverarbeiter ist vorbereitet: sie ist entwickelt und in der Testumgebung in Betrieb; in der Produktivumgebung wird sie erst eingerichtet und eingeschaltet, wenn die Zusagen nach Anlage 4 Ziff. 1 (Absatz „Zweitkopie”) vom Zeitpunkt der Einschaltung an eingehalten werden können, und nicht vor der Veröffentlichung dieser Fassung unter ihrer dauerhaften Adresse (Anlage 3, Anmerkung 0). Bis dahin ist die bestehende Sicherung eine Datenbanksicherung, keine vollständige Notfallwiederherstellung. Was dem entgegenwirkt: jedes ausgestellte Dokument existiert als gesperrtes Archivobjekt, das einen Datenbankverlust überdauert, und der Verantwortliche kann jederzeit ein vollständiges, prüfsummengesichertes Exportpaket abrufen (§ 10 Abs. 2) und außerhalb der Reichweite des Auftragsverarbeiters aufbewahren.
Redundanz der Anwendung	Die Anwendungsdienste sind zustandslos und laufen mehrfach. Eine durchgehend mehrfache Auslegung sämtlicher Bestandteile auf getrennter Hardware wird nicht zugesichert; der Ausfall einzelner Komponenten kann zu einer vorübergehenden Unterbrechung führen.
Belastbarkeit und Überwachung	Am Zugangs-Gateway und in der Anwendung bestehen Ratenbegrenzungen sowie eine Begrenzung der Anfragegröße; einzelne besonders exponierte Pfade sind zusätzlich begrenzt. Metriken, Protokolle und Alarmierung mit benannten Alarmregeln (unter anderem Fehlerrate, Dienstausfall, Rückstau der Verarbeitung, Rückstand der Archivierung) und einem dokumentierten Bearbeitungsleitfaden; die Alarmierung läuft über eine Instanz außerhalb des überwachten Clusters. Die Ausweitung der Überwachung ist im Schlussabschnitt ausgewiesen.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

Maßnahme	Beschreibung
Regelmäßige Überprüfung	Ein schriftlich festgelegter Turnus mit einer Regelprüfung je Quartal sowie fünf benannten Anlässen, die unabhängig davon und jeweils vor Wirksamwerden auslösen: Architekturänderung, Vorfall ab der zweiten Schweregradstufe, jede Neuausgabe dieses Vertrags, ein neuer Unterauftragsverarbeiter, eine neue Umgebung mit echten Daten. Der Turnus benennt die Prüfgegenstände — darunter jede Zeile dieser Anlage gegen die Wirklichkeit — und legt fest, dass auch eine Prüfung ohne Feststellung datiert festgehalten wird. Der Auftragsverarbeiter führt zudem dokumentierte eigene Sicherheitsprüfungen der Plattform mit Feststellungen, Schweregraden und Behebungsplan durch; offene Feststellungen bestehen und sind, soweit sie eine Maßnahme dieser Anlage betreffen, hier abgebildet.
Automatisierte Prüfungen vor der Auslieferung	Blockierende Prüfkette vor jeder Auslieferung: Typprüfung, Formatprüfungen, Schnittstellen-Abgleich, mehrere Prüfregeln zur Mandantentrennung einschließlich einer gezählten Obergrenze für Ausnahmen von der Datenbank-Trennungsregel, Datenbankmigrationsprüfung, Testreihen gegen eine echte Datenbank sowie Leck-Testreihen zur Mandantentrennung. Zwei Prüfungen verhindern gezielt Selbsttäuschung: ein Testlauf ohne Datenbank schlägt fehl, statt grün zu erscheinen, und ein stillschweigend übersprungener dienstübergreifender Test ebenfalls. In den erfassten Repositorien hält zusätzlich ein Suchlauf auf versehentlich eingefügte Zugangsdaten die Auslieferung an. Seine Ausweitung ist im Schlussabschnitt ausgewiesen.
Schwachstellen- und Patchmanagement	Verfügbare Aktualisierungen von Abhängigkeiten werden automatisiert erkannt und als Änderungsvorschlag erzeugt; sie durchlaufen vor der Übernahme die vorstehende Prüfkette. Die Container-Abbilder der Anwendung werden über Prüfsummen referenziert, sodass ein nachträglich unter derselben Marke veröffentlichtes Abbild eine Umgebung nicht unbemerkt erreichen kann; für jedes Abbild der Anwendung wird bei jeder Auslieferung eine Stückliste erzeugt und für einen festgelegten Zeitraum aufbewahrt, und je Auslieferung läuft eine automatisierte, berichtende Schwachstellenprüfung. Eine Frist für die Übernahme sicherheitsrelevanter Aktualisierungen ist im Schlussabschnitt ausgewiesen.
Änderungsfreigabe	Jede Änderung durchläuft die vorstehende blockierende Prüfkette; die Auslieferung in die Produktivumgebung ist ein davon getrennter, ausdrücklicher Freigabeschritt. Eine Vier-Augen-Prüfung im Änderungsprozess wird nicht zugesichert.
Externe Prüfung und Zertifizierung	Eine Zertifizierung des Auftragsverarbeiters (z. B. nach ISO 27001) besteht nicht und ist derzeit nicht geplant; der Betreiber des Rechenzentrums ist zertifiziert (Abschnitt 1, Zutrittskontrolle). Die regelmäßige Überprüfung erfolgt bisher ohne unabhängige Dritte; ein Penetrationstest durch Dritte ist im Schlussabschnitt ausgewiesen.

5. Auftragskontrolle und Organisation

Maßnahme	Beschreibung
Weisungsbindung	Verarbeitung nur auf dokumentierte Weisung; Erstweisung durch den Hauptvertrag (§ 2). Weisungen und Widersprüche werden im Kontobereich des Dienstes mit absendender Person, Eingangszeitpunkt, Wortlaut und Prüfsumme unveränderlich festgehalten und bestätigt; in Textform an die Kontaktstelle nach Anlage 5 eingehende Weisungen werden ebenfalls festgehalten. Eine Bearbeitungsstatusführung im Produkt besteht nicht; die Bearbeitung erfolgt durch den Auftragsverarbeiter. Was tatsächlich ausgeführt wurde, ist im Audit-Trail nachvollziehbar.
Unterauftragsverarbeiter	Es besteht ein Unterauftragsverarbeiter; er ist in Anlage 3, Anmerkung 0 benannt, und der Vertrag nach Art. 28 Abs. 4 DSGVO mit ihm besteht.
Vertraulichkeit und Berechtigungen	Der Zugriff auf produktive Daten ist auf benannte Personen beschränkt und nicht delegierbar; jedes maschinelle Zugangsmittel ist einzeln ausgestellt und einzeln widerrufbar. Nach dem seit dem 5. Oktober 2026 geltenden schriftlichen Verfahren wird jede für den Auftragsverarbeiter tätige Person vor Aufnahme ihrer Tätigkeit schriftlich auf die Vertraulichkeit und die Weisungsbindung verpflichtet; Zugänge werden beantragt, genehmigt, in einem Zugriffsregister festgehalten, regelmäßig überprüft und bei Rollenwechsel oder Ende der Tätigkeit entzogen. Genehmigung und Einrichtung eines Zugangs werden je Vorgang im Zugriffsregister dokumentiert. Für Nutzer des Verantwortlichen sind Vergabe und Entzug von Mitgliedschaften protokolliert, die Rolle wird bei jeder Anfrage neu gelesen, und der Entzug wird an den Identitätsdienst durchgereicht.
Lösch- und Aufbewahrungskonzept	Dokumentiertes Verfahren mit mehrstufiger Freigabe (Vorschlag, bestätigte Exportauslieferung, Freigabe, Ausführung), das Objekte unter laufender Frist oder Legal Hold unangetastet lässt (Anlage 4). Die Aufbewahrungs- und Löschfristen sind für die in Anlage 4 genannten Datenbestände dort festgelegt, einschließlich der Datensicherungen (Ziff. 6). Offengelegt: (i) die Löschfristen für Versanddaten sind noch nicht in Betrieb; (ii) bereitgestellte Exportpakete werden derzeit nicht automatisch gelöscht; (iii) für das Ereignisprotokoll des Identitätsdienstes ist die Aufbewahrungsdauer noch nicht festgelegt; (iv) versandte Angebote werden derzeit ohne zeitliche Begrenzung aufbewahrt. Zu diesen Punkten, zu den Löschfunktionen im Produkt und zur Freigabe auf Seiten des Auftragsverarbeiters siehe Anlage 4 Ziff. 3 und 5 sowie den Schlussabschnitt.
Verfahren bei Verletzungen des Schutzes personenbezogener Daten	Erkennung durch Alarmierung rund um die Uhr (siehe Überwachung). Das nachgelagerte Verfahren ist schriftlich niedergelegt und enthält einen Melde- und Bewertungsablauf mit Fristen (Zeitstempel der Kenntniserlangung, Sofortmaßnahme unter Beweissicherung binnen einer Stunde, Einstufung binnen vier Stunden, Meldung nach § 6 binnen 24 Stunden, Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO binnen 72 Stunden, Nachbetrachtung binnen 14 Tagen), eine vierstufige Bewertungsskala mit der Regel, im Zweifel nach oben einzustufen, sowie ein Vorfallregister. Ab der zweiten Schweregradstufe sieht das Verfahren einen externen Blick vor der Meldung an die Aufsichtsbehörde vor, ausdrücklich ohne die Frist aufzuhalten. Diese Zeile trägt unmittelbar die 24-Stunden-Zusage aus § 6.

---

Offene Maßnahmen und Zieldaten (§ 4 Abs. 3)

Kleingedrucktes. Der Auftragsverarbeiter legt hier gesammelt offen, welche Maßnahmen zum Zeitpunkt des Vertragsschlusses noch nicht vollständig umgesetzt sind, damit der Verantwortliche seine Prüfung nach Art. 28 Abs. 1 DSGVO ohne Suche in den Tabellen vornehmen kann. Den Umsetzungsstand im Einzelnen und die bis zum jeweiligen Zieldatum geltenden Kompensationsmaßnahmen teilt der Auftragsverarbeiter auf Anfrage nach § 8 Abs. 1 lit. a mit. Ein überschrittener Termin wird ausgewiesen und neu gesetzt, niemals stillschweigend verschoben oder rückdatiert; ein ereignisgebundener Punkt trägt das Ereignis und nicht nur ein Datum, weil das Ereignis früher eintreten kann als das Datum.

A. Maßnahmen mit unmittelbarer Art.-32-Relevanz

	Offene Maßnahme	Zieldatum
1	Prüfung, Austausch und Bereinigung von Zugangsdaten aus früheren Konfigurationsständen. Das in der Fassung v3 genannte Zieldatum, der 31. Oktober 2026, ist nicht eingehalten worden. Ein Teil dieser Zugangsdaten ist ausgetauscht oder widerrufen; Prüfung und Austausch der übrigen sowie die Bereinigung der Ablage sind offen.	Ziel 2026-12-31
2	Entfernung der vor dem 5. Oktober 2026 unverschlüsselt ausgelagerten Sicherungen beim Unterauftragsverarbeiter (Anlage 3, Anmerkung 0). Das in der Fassung v3 genannte Zieldatum, der 31. Oktober 2026, ist nicht eingehalten worden. Die ruhende Verschlüsselung der ausgelagerten Datensicherung ist umgesetzt (Teil C): seit dem 5. Oktober 2026 werden alle Sicherungen vor der Übertragung verschlüsselt. Im eigenen Objektspeicher liegen keine vor diesem Tag abgelegten Sicherungen mehr vor (festgestellt am 11. Oktober 2026). Die vor diesem Tag unverschlüsselt übertragenen Sicherungen unterliegen beim Unterauftragsverarbeiter der dort eingerichteten Ablaufregel; ihre vollständige Entfernung ist noch nicht festgestellt. Bis zum Zieldatum werden sie entfernt, und ihre Entfernung wird festgestellt.	Ziel 2026-11-30
3	Durchgängige Transportverschlüsselung zwischen den Anwendungsdiensten. Eine Umstellung an jedem einzelnen Dienst, keine Konfigurationsänderung an einer Stelle.	Ziel 2026-12-31
4	Transportverschlüsselung der Übertragung der Betriebsprotokolle und der Betriebskennzahlen (Abschnitt 1, Zeile „Betriebsprotokolle”).	Ziel 2026-12-31
5	Einrichtung und Einschaltung der verschlüsselten Zweitkopie des Archivspeichers beim Unterauftragsverarbeiter (Anlage 3, Anmerkung 0). Die Zweitkopie ist vorbereitet. Sie wird in der Produktivumgebung erst eingeschaltet, wenn die Zusagen nach Anlage 4 Ziff. 1 (Absatz „Zweitkopie”) vom Zeitpunkt der Einschaltung an eingehalten werden können; bis dahin gilt Abschnitt 3, Zeile „Archivspeicher”.	ereignisgebunden: sobald die Zusagen nach Anlage 4 Ziff. 1 vom Zeitpunkt der Einschaltung an eingehalten werden können, nicht vor der Veröffentlichung dieser Fassung unter ihrer dauerhaften Adresse
6	Ausweitung der Netzwerkregeln für ein- und ausgehenden Verkehr auf die übrigen Bestandteile der Produktivumgebung (Abschnitt 1, Zeile „Interne Schnittstellen und Netzwerktrennung”).	Ziel 2026-11-30

B. Weitere offene Maßnahmen

Offene Maßnahme	Zieldatum
Weitere Absicherung der administrativen Anmeldungen mit zweitem Faktor. Der zweite Faktor ist seit dem 3. Oktober 2026 für die administrativen Konten eingerichtet. Das in der Fassung v3 genannte Zieldatum für die weitere Absicherung, der 31. Oktober 2026, ist nicht eingehalten worden.	Ziel 2026-12-31
Penetrationstest durch Dritte, einschließlich einer unabhängigen Bestätigung der Berechtigungsrichtlinie des Objektspeichers. Die Fassung v2 band den Test an die allgemeine Verfügbarkeit des Dienstes, die am 15. September 2026 eingetreten ist; die Fassung v3 nannte als Zieldatum den 31. Oktober 2026. Beide Termine sind nicht eingehalten worden; der Test hat nicht stattgefunden.	Ziel 2027-01-31
Festlegung einer Sollkonfiguration für die Berechtigungsrichtlinie des Objektspeichers und erste datiert festgehaltene Prüfung der Richtlinie gegen sie; danach Prüfung vor jeder Neuausgabe dieses Vertrags und nach jeder Änderung der Richtlinie, jeweils datiert festgehalten, bis zur unabhängigen Bestätigung durch den Penetrationstest. Die Fassung v3 sagte diese Prüfungen bereits zu. Die Zusage ist nicht eingehalten worden: eine Sollkonfiguration ist nicht festgelegt, und eine datierte Prüfung liegt bisher nicht vor, auch nicht vor der Ausgabe dieser Fassung.	Ziel 2026-12-31
Erprobung der Wiederherstellung einer Sicherung der Produktivumgebung aus der ausgelagerten Sicherung (Abschnitt 3, Zeile „Datensicherung der Datenbank”).	Ziel 2026-12-31
Abschließende Bestätigung der Betreiberin des Gebäudes. Das in der Fassung v3 genannte Zieldatum, der 31. Oktober 2026, ist nicht eingehalten worden; eine abschließende Bestätigung liegt noch nicht vor. Am Ort der Verarbeitung ändert die Antwort nichts.	Ziel 2026-12-31
Zusicherung einer Wiederanlaufzeit und eines maximal zulässigen Datenverlusts nach einer Messung unter echter Schreiblast. Bis dahin ausdrücklich keine zugesicherte Zahl.	Ziel 2026-12-31
Inbetriebnahme der Löschfristen für Versanddaten (Anlage 4 Ziff. 7). Bis dahin werden diese Daten ohne zeitliche Begrenzung aufbewahrt.	Ziel 2026-12-31
Löschung bereitgestellter Exportpakete nach einer festgelegten Frist. Bis dahin werden sie nicht automatisch gelöscht; der Verantwortliche kann ihre Löschung nach Anlage 4 Ziff. 5 anweisen.	Ziel 2026-12-31
Festlegung der Aufbewahrungsdauer des Ereignisprotokolls des Identitätsdienstes	Ziel 2026-12-31
Festlegung und Inbetriebnahme einer Aufbewahrungsfrist für versandte Angebote	Ziel 2026-12-31
Verfahren, nach einer Wiederherstellung aus einer Datensicherung die seit dem Sicherungszeitpunkt vorgenommenen Löschungen erneut auszuführen, bevor der wiederhergestellte Bestand den Betrieb wieder aufnimmt	Ziel 2026-12-31
Ausweitung des Suchlaufs auf versehentlich eingefügte Zugangsdaten (Abschnitt 4)	Ziel 2026-12-31
Vollständige Erfassung der Repositorien durch die automatisierte Abhängigkeitsaktualisierung; eine festgelegte Frist für die Übernahme sicherheitsrelevanter Aktualisierungen; Referenzierung aller in der Produktivumgebung eingesetzten Container-Abbilder über Prüfsummen; Übergang der Schwachstellenprüfung von der berichtenden zur anhaltenden Prüfung	Ziel 2026-12-31
Ausweitung der Überwachung auf die noch nicht erfassten Dienste und Kennzahlen	Ziel 2026-12-31
Bereitstellung der Löschfunktionen im Produkt (Anlage 4 Ziff. 5)	Ziel 2026-12-31
Ausweitung der Einschränkung nach Art. 18 DSGVO auf den erneuten Versand (§ 10 Abs. 4)	Ziel 2026-12-31
Entscheidung und Mitteilung zur Reichweite der Rückgabe nach Art. 28 Abs. 3 Satz 2 lit. g DSGVO (§ 10 Abs. 2)	Ziel 2026-12-31
Festlegung des Freigabeverfahrens auf Seiten des Auftragsverarbeiters für fristablaufbedingte Löschungen (Anlage 4 Ziff. 3). Eine solche Löschung kann frühestens ab dem 1. Januar 2035 anstehen.	ereignisgebunden: vor der ersten fristablaufbedingten Löschung

C. Seit der Fassung v2 umgesetzte, ersetzte oder zurückgenommene Maßnahmen

Ein in der Fassung v2 oder v3 genannter Termin einer inzwischen umgesetzten, ersetzten oder zurückgenommenen Maßnahme ist hier mit dem tatsächlichen Datum ausgewiesen. Ist ein solcher Termin nicht eingehalten worden und die Maßnahme noch offen, ist das in Teil A oder B bei der Maßnahme gesagt.

Maßnahme früherer Fassungen	Stand
Erweiterung der Prüfung ausgehender Verbindungsziele (Fassung v3; Zieldatum 31. Oktober 2026)	In Betrieb seit dem 6. Oktober 2026. Die Fassung v3 wies die Erweiterung noch als offen aus; diese Angabe war unzutreffend. Zieldatum eingehalten.
Erhebung der Archivobjekte, für die die Aufbewahrungssperre nicht gesetzt werden konnte, und deren nachträgliche Sperrung (Fassung v3, Anlage 4 Ziff. 1; Zieldatum 31. Oktober 2026)	Durchgeführt am 9. Oktober 2026. Kein Archivobjekt des Produktivbetriebs war ohne Aufbewahrungssperre; eine nachträgliche Sperrung war nicht erforderlich. Zieldatum eingehalten.
Verschlüsselung ruhender Daten auf den eigenen Datenträgern und im Objektspeicher	Datenträger der Daten umgesetzt am 30. September 2026; Systemdatenträger der Server umgesetzt am 2. Oktober 2026. Zieldatum 30. September 2026 insoweit überschritten. Zu den verbleibenden Grenzen siehe Abschnitt 1.
Verschlüsselte Ablage der Betriebsgeheimnisse in den Bereitstellungs-Repositorien	Für die aktiven Bereitstellungs-Repositorien umgesetzt am 5. Oktober 2026; Zieldatum 30. September 2026 überschritten. Zu Zugangsdaten aus früheren Konfigurationsständen siehe Teil A Ziff. 1.
Ruhende Verschlüsselung der ausgelagerten Datensicherung beim Unterauftragsverarbeiter (Zieldatum 31. Oktober 2026)	Umgesetzt am 5. Oktober 2026: seither werden alle Sicherungen vor der Übertragung auf Seiten des Auftragsverarbeiters verschlüsselt; der Schlüssel liegt ausschließlich beim Auftragsverarbeiter. Zieldatum eingehalten. Zur Entfernung der vorher unverschlüsselt übertragenen Sicherungen siehe Teil A Ziff. 2.
Einschränkung der Replikation der Betriebsprotokolle	Umgesetzt am 4. Oktober 2026; Zieldatum 30. September 2026 überschritten.
Zweiter Faktor für administrative Anmeldungen	Eingerichtet am 3. Oktober 2026; Zieldatum 30. September 2026 überschritten. Weitere Absicherung: Teil B.
Ablösung eines gemeinsamen Dienstschlüssels auf internen Schnittstellen	Umgesetzt am 4. Oktober 2026; Zieldatum 30. September 2026 überschritten.
Vervollständigung der Netzwerkregeln in der Produktivumgebung	Grundregel für eingehenden Verkehr und Beschränkung des ausgehenden Verkehrs der meisten Anwendungsdienste umgesetzt am 5. Oktober 2026; Zieldatum 30. September 2026 überschritten. Rest: Teil A Ziff. 6.
Getrennte Speicherbehälter und getrennte Zugangsdaten je Mandant im Archivspeicher (Zieldatum 1. Oktober 2026)	Getrennte Speicherbehälter sind seit dem 19. September 2026 in Betrieb, mit den in Abschnitt 1 genannten Einschränkungen. Getrennte Zugangsdaten je Mandant werden nicht eingerichtet und sind nicht mehr vorgesehen: sie würden von derselben Anwendung verwahrt und ausgewählt, deren Zugriff sie beschränken sollen, und böten daher keinen Schutz, wenn diese Anwendung selbst kompromittiert ist. An ihre Stelle treten die in Abschnitt 1 und 2 beschriebenen Maßnahmen: die Zugangsmittel der Anwendung können Archivobjekte des Produktivbetriebs nicht löschen und eine Sperre nicht verkürzen oder aufheben, eine ausdrückliche Verbotsregel schließt dies zusätzlich aus (seit dem 5. Oktober 2026), und jede Entfernung wird über die verankerte Prüfsummenkette erkannt.
Technische Erzwingung der Freigabe für die Aufhebung der Aufbewahrungssperre (Zieldatum 30. September 2026)	Nicht umgesetzt und ersetzt: seit dem 5. Oktober 2026 gilt das in Abschnitt 2 beschriebene schriftliche Freigabeverfahren. Die Freigabe ist organisatorisch, nicht technisch abgesichert. Eine technische Erzwingung wird nicht zugesagt. Die unabhängige Bestätigung der Berechtigungsrichtlinie: Teil B.
Vier-Augen-Prüfung im Änderungsprozess (ereignisgebunden, ohne Datum)	Zurückgenommen; eine Vier-Augen-Prüfung wird nicht zugesichert (Abschnitt 4, Zeile „Änderungsfreigabe”). Jede Änderung durchläuft weiterhin die blockierende Prüfkette und einen getrennten, ausdrücklichen Freigabeschritt vor der Auslieferung in die Produktivumgebung.
Verankerung der Prüfsummenkette	Umgesetzt am 4. Oktober 2026; Zieldatum 30. September 2026 überschritten. Der Ankerspeicher wird vom Auftragsverarbeiter selbst betrieben (Abschnitt 2).
Nach Betriebsmodus getrennter Rechnungsnummernzähler	Bestand bereits vor Veröffentlichung der Fassung v2; deren gegenteilige Angabe war unzutreffend.
Nachweise des Rechenzentrumsbetreibers	Zur Akte genommen am 3. Oktober 2026; Zieldatum 30. September 2026 überschritten.
Übungslauf des Failovers der Datenbank	Durchgeführt am 4. Oktober 2026; Zieldatum 30. September 2026 überschritten.
Schriftliche Verpflichtung auf die Vertraulichkeit und schriftlich festgelegtes Verfahren für die Berechtigungsvergabe	Umgesetzt am 5. Oktober 2026; Zieldatum 30. September 2026 überschritten. Für eine vor dem 5. Oktober 2026 aufgenommene Tätigkeit ohne Zugang zur Produktivumgebung oder zu Daten des Verantwortlichen lag eine Verpflichtung in dieser Form nicht vor.
Abbildung der Weisungsbearbeitung im Produkt	Umgesetzt am 5. Oktober 2026 (§ 2 Abs. 3); Zieldatum 30. September 2026 überschritten.
Abschluss der Festlegung der Aufbewahrungsfristen, einschließlich der ausgelagerten Sicherungen	Festgelegt am 5. Oktober 2026 (Anlage 4); Zieldatum 30. September 2026 überschritten. Noch nicht in Betrieb genommene Fristen: Teil B.

Rechtliche Einordnung, die der Auftragsverarbeiter ausdrücklich nicht relativiert: Art. 32 DSGVO verpflichtet den Auftragsverarbeiter unmittelbar kraft Gesetzes. Die Offenlegung in dieser Anlage ist Transparenz, kein Haftungsausschluss und keine Abbedingung (§ 4 Abs. 3).

Anlage 3 — Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt EINEN Unterauftragsverarbeiter ein. Er ist unter Anmerkung 0 benannt. Mit Ausnahme der dort benannten ausgelagerten Sicherungen erfolgt die gesamte Verarbeitung auf eigener, selbst betriebener Infrastruktur in Deutschland.

---

Anmerkung 0 — Auslagerung der Datensicherung (Unterauftragsverarbeiter).

Unternehmen	Hetzner Online GmbH, Deutschland
Leistung	Objektspeicher
Ort der Verarbeitung	Deutschland — EU; keine Drittlandübermittlung
Zweck	Aufbewahrung von Sicherungen an einem zweiten Standort (Schutz gegen Verlust des Rechenzentrums): (a) Sicherungen der Datenbanken des Dienstes, einschließlich der Datenbank des Identitätsdienstes; (b) ab ihrer Einschaltung eine Zweitkopie des Rechnungsarchivs
Übermittelte Daten	(a) Vollsicherungen der Datenbanken sowie deren fortlaufendes Transaktionsprotokoll. Damit sind alle im Produktivsystem gespeicherten personenbezogenen Daten umfasst, einschließlich der Nutzerkonten der Nutzer des Verantwortlichen — eine Sicherung ist ihrem Wesen nach nicht auf einzelne Felder beschränkt. (b) Ab ihrer Einschaltung: die archivierten Dokumente mit ihren Nachweisen (Anlage 4 Ziff. 1).
Schutz	Seit dem 5. Oktober 2026 werden alle Daten vor der Übertragung auf Seiten des Auftragsverarbeiters verschlüsselt; der Schlüssel liegt ausschließlich beim Auftragsverarbeiter. Die Verschlüsselung ist eine Sicherheitsmaßnahme; sie ändert nichts daran, dass der Unterauftragsverarbeiter als solcher eingesetzt ist.

Vertragliche Bindung nach Art. 28 Abs. 4 DSGVO. Der Auftragsverarbeiter hat mit dem Unterauftragsverarbeiter dessen Auftragsverarbeitungsvertrag geschlossen. Nach dessen Bestimmungen findet die Verarbeitung ausschließlich in der EU bzw. im EWR statt; jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung. Die dort genehmigten weiteren Subunternehmer sind standortgebunden aufgeführt und betreffen den hier genutzten Standort nicht; eine Drittlandkette besteht für diese Sicherungen daher nicht.

Offengelegt, weil es nicht dadurch verschwindet, dass der Vertrag jetzt besteht: zwischen dem Beginn dieser Verarbeitung und dem Abschluss des Vertrags nach Art. 28 Abs. 4 DSGVO lag ein Zeitraum von 27 Tagen, in dem der Unterauftragsverarbeiter Sicherungen sämtlicher personenbezogener Daten des Produktivsystems hielt, ohne dass ihm die Pflichten dieses Vertrags vertraglich auferlegt waren.

Berichtigung gegenüber der Fassung v2, offengelegt. Die Sicherungen der Datenbank des Identitätsdienstes, der die Nutzerkonten der Nutzer des Verantwortlichen führt, liegen seit Ende August 2026 ebenfalls beim Unterauftragsverarbeiter. Die Fassung v2 nannte nur die Produktivdatenbank des Dienstes. Zweck und Ort der Verarbeitung sind dieselben.

Ruhende Verschlüsselung. Seit dem 5. Oktober 2026 verschlüsselt der Auftragsverarbeiter die Sicherungen, bevor sie an den Unterauftragsverarbeiter übertragen werden; Inhalte und Dateinamen sind für den Unterauftragsverarbeiter nicht lesbar. Offengelegt: Sicherungen, die vor diesem Tag übertragen wurden, sind nicht verschlüsselt; sie werden bis zu dem im Schlussabschnitt der Anlage 2 genannten Zieldatum entfernt.

Zweitkopie des Rechnungsarchivs. Die Zweitkopie ist vorbereitet: sie ist entwickelt und in der Testumgebung in Betrieb; in der Produktivumgebung wird sie erst eingerichtet und eingeschaltet, wenn die Zusagen nach Anlage 4 Ziff. 1 (Absatz „Zweitkopie”) vom Zeitpunkt der Einschaltung an eingehalten werden können, und nicht vor der Veröffentlichung dieser Fassung unter ihrer dauerhaften Adresse. Jedes Dokument wird vor der Übertragung gegen seine festgehaltene Prüfsumme geprüft und auf Seiten des Auftragsverarbeiters verschlüsselt. Die Kopie trägt eine Aufbewahrungssperre der aufhebbaren Betriebsart, die nicht über die Aufbewahrungsfrist des Originals hinausreicht. Für Löschung, längere Aufbewahrung und Legal Hold gilt Anlage 4 Ziff. 1 bis 3.

---

Anmerkung 1 — Colocation. Die Hardware des Auftragsverarbeiters steht in verschlossener, ihm zugeordneter Rack-Fläche in einem Rechenzentrum in München (Anlage 1, Ort der Verarbeitung). Erbracht werden Fläche, Strom, Kühlung, Netzanbindung und physische Sicherheit. Der Auftragsverarbeiter ordnet diese Leistungen als Nebenleistung ohne Auftragsverarbeitung ein (§ 7 Abs. 5). Grundlage der Einordnung: die Vertragspartnerin erbringt keine Leistung an Daten, sie hat keinen Fernzugang zu den Systemen, und die Datenträger sind im ruhenden Zustand verschlüsselt (Anlage 1, Ort der Verarbeitung). Was dieser Einordnung entgegensteht, wird offengelegt und nicht weggelassen: ein physischer Zugriff der Vertragspartnerin auf die Hardware ist vertraglich nicht ausgeschlossen. Der Auftragsverarbeiter teilt dem Verantwortlichen eine Änderung der Einordnung nach § 7 Abs. 2 mit.

Anmerkung 2 — E-Mail-Versand. Ausgestellte Rechnungen des Produktivbetriebs versendet der Dienst auf einem von zwei Wegen, zwischen denen der Verantwortliche je Rechnungsstellender Einheit wählt:

• über die vom Verantwortlichen selbst hinterlegten SMTP-Zugangsdaten. Der vom Verantwortlichen gewählte E-Mail-Dienstleister ist dann dessen eigener Auftragsverarbeiter, nicht der des Auftragsverarbeiters;
• über den eigenen Mailserver des Auftragsverarbeiters für Rechnungen („Versand über Fortlauf”), wenn der Verantwortliche diesen Weg für eine Rechnungsstellende Einheit einschaltet. Der Mailserver wird vom Auftragsverarbeiter selbst auf eigener Hardware betrieben; ein Dritter ist nicht beteiligt, in Anspruch genommen wird nur die Netzanbindung (Anmerkung 6). Eine Unterauftragsverarbeitung liegt daher nicht vor.

Dokumente des Testbetriebs versendet der Dienst nur als Testnachricht gekennzeichnet: über die vom Verantwortlichen für den Testbetrieb oder, wenn solche fehlen, für den Produktivbetrieb hinterlegten SMTP-Zugangsdaten, und, wenn keine hinterlegt sind, über einen zweiten, ebenfalls vom Auftragsverarbeiter selbst auf eigener Hardware betriebenen Mailserver. Offengelegt: dieser zweite Mailserver steht im Netzbereich der Test- und Entwicklungsumgebung des Auftragsverarbeiters. Über ihn werden aus der Produktivumgebung ausschließlich solche Testnachrichten versandt, nur an bestätigte Antwortadressen der Rechnungsstellenden Einheit und an die E-Mail-Adressen der aktiven Mitglieder der Organisation des Verantwortlichen und nur in einer begrenzten Zahl je Tag.

Nachrichten des Dienstes an die Nutzer des Verantwortlichen, einschließlich der Einladungen, versendet der Auftragsverarbeiter über seinen eigenen Mailausgang für diese Nachrichten (Anmerkung 6). Offengelegt: setzt der Auftragsverarbeiter für einen dieser Wege künftig einen Anbieter ein, der nicht er selbst ist, wird dieser Anbieter Unterauftragsverarbeiter, und § 7 Abs. 2 wird ausgelöst; bei einem Sitz außerhalb der EU ist zusätzlich § 12 betroffen.

Anmerkung 3 — Identitätsverwaltung. Der eingesetzte Identitätsdienst wird vom Auftragsverarbeiter selbst betrieben; ein Dritter ist nicht beteiligt.

Anmerkung 4 — Reichweitenmessung auf der Website des Auftragsverarbeiters. Auf seiner öffentlichen Website setzt der Auftragsverarbeiter ein einwilligungsbasiertes Analysewerkzeug ein, das er selbst auf eigener Infrastruktur betreibt; ein Dritter ist nicht beteiligt. Diese Verarbeitung betrifft Besucher:innen der Website des Auftragsverarbeiters, nicht die im Auftrag des Verantwortlichen verarbeiteten Daten; der Auftragsverarbeiter handelt insoweit als eigener Verantwortlicher. Es liegt daher keine Unterauftragsverarbeitung im Sinne dieses Vertrags vor. Die Verarbeitung ist in der Datenschutzerklärung des Auftragsverarbeiters dokumentiert.

Anmerkung 5 — Zahlungsabwicklung für die Vergütung dieses Vertrags. Für den Einzug der eigenen Vergütung des Auftragsverarbeiters (Abonnementgebühren des Verantwortlichen) setzt der Auftragsverarbeiter einen in der Europäischen Union ansässigen Zahlungsdienstleister ein. Dabei werden Vertrags- und Zahlungsdaten des Verantwortlichen selbst verarbeitet — nicht die im Auftrag des Verantwortlichen verarbeiteten Rechnungs- und Empfängerdaten. Der Auftragsverarbeiter handelt insoweit als eigener Verantwortlicher; es liegt daher keine Unterauftragsverarbeitung im Sinne dieses Vertrags vor.

Was übermittelt wird, damit die Einordnung nachvollziehbar ist: ausschließlich eine vom Auftragsverarbeiter vergebene, für sich genommen nichtssagende Kennung des Mandanten sowie Betrag, Zahlungsart, eine feste Beschreibung und die Rückleit- und Benachrichtigungsadressen des Auftragsverarbeiters. Kein Name, keine Anschrift, keine E-Mail-Adresse wird übermittelt; zurück kommen und gespeichert werden ausschließlich undurchsichtige Kennungen nebst Status. Ein Zahlungsmittel (Karte, IBAN) wird vom Auftragsverarbeiter weder angefordert noch gespeichert.

Grundlage der Einordnung. Der Zahlungsdienstleister erhält keine im Auftrag des Verantwortlichen verarbeiteten Daten, sondern ausschließlich die vorstehend genannten Angaben zur Vergütung des Auftragsverarbeiters. Der Auftragsverarbeiter teilt dem Verantwortlichen eine Änderung der Einordnung nach § 7 Abs. 2 mit.

Anmerkung 6 — Betriebliche Drittleistungen ohne Zugriff auf Auftragsdaten. Für den Betrieb werden Leistungen in Anspruch genommen, die keine im Auftrag verarbeiteten personenbezogenen Daten berühren:

• Domain-Name-Dienst für die Domänen des Auftragsverarbeiters, einschließlich der automatisierten Ausstellung von Transportverschlüsselungs-Zertifikaten. Verarbeitet werden ausschließlich Namensauflösungs-Metadaten, keine Auftragsdaten. Offengelegt: die Muttergesellschaft des eingesetzten Anbieters hat ihren Sitz in den Vereinigten Staaten. Der Auftragsverarbeiter ordnet die Leistung als Nebenleistung ohne Zugriff auf Auftragsdaten ein; eine Übermittlung von Auftragsdaten in ein Drittland findet dadurch nicht statt (§ 12).
• Eine öffentliche Zertifizierungsstelle. Verarbeitet werden ausschließlich Hostnamen, die ohnehin in öffentlichen Zertifikatsprotokollen erscheinen.
• Netzanbindung für die eigenen Mailserver. Die Rechner selbst — der Mailausgang für Nachrichten des Dienstes und die beiden Mailserver nach Anmerkung 2 — laufen auf eigener Hardware des Auftragsverarbeiters in derselben Infrastruktur; in Anspruch genommen wird insoweit nur die Netzanbindung, eine Unterauftragsverarbeitung liegt daher nicht vor. Versandt werden über den Mailausgang für Nachrichten des Dienstes die Nachrichten des Dienstes an die Nutzer des Verantwortlichen: die Nachrichten der Identitätsverwaltung (Kontobestätigung, Einrichtung und Zurücksetzung des Kennworts), Einladungen in die Organisation des Verantwortlichen sowie Mitteilungen zum Vertrag und zum Konto, etwa Bestätigungen erteilter Weisungen, Abschlussnachweise und Mitteilungen nach dem Hauptvertrag; übermittelt werden die E-Mail-Adresse der Nutzer und der jeweilige Nachrichteninhalt. Diese Nutzer sind eine in Anlage 1 ausdrücklich genannte Kategorie betroffener Personen. Der Auftragsverarbeiter ordnet diesen Weg als Verarbeitung auf eigener Hardware ohne Unterauftragsverarbeitung ein. Rechnungs-E-Mails laufen nicht über diesen Mailausgang, sondern über die Wege nach Anmerkung 2.

Pflege dieser Anlage. Diese Anlage ist eine vertragliche Zusicherung mit Stichtag. Der Auftragsverarbeiter prüft sie vor jeder Neuausgabe dieses Vertrags sowie bei jeder Änderung, die einen Unterauftragsverarbeiter, einen Versandweg, ein Sicherungsziel oder eine neue externe Gegenstelle betrifft, gegen den tatsächlichen Stand und schreibt sie fort. Offengelegt: Die Fassung v2 dieser Anlage war ab dem 2. Oktober 2026 (Einladungen und Mitteilungen des Dienstes über den eigenen Mailausgang) und ab dem 5. Oktober 2026 (verschlüsselter Weg der Sicherungen) nicht mehr aktuell, und sie nannte die Sicherungen der Datenbank des Identitätsdienstes nicht (Anmerkung 0). Die Fassung v3 dieser Anlage war ab dem 19. Oktober 2026 (Versand von Rechnungen über den eigenen Mailserver des Auftragsverarbeiters) und ab dem 1. November 2026 (Versand gekennzeichneter Testnachrichten) nicht mehr aktuell: ihre Anmerkung 2 sagte, Rechnungen würden ausschließlich über die vom Verantwortlichen hinterlegten SMTP-Zugangsdaten versandt. Diese Fassung schreibt sie fort; zu Anlage 2 siehe dort, Absatz „Wie diese Anlage geführt wird”.

---

Anlage 4 — Lösch- und Aufbewahrungskonzept

1. Aufbewahrungsfrist. Für Rechnungen und die zugehörigen Nachweise (strukturierte Originaldatei, PDF-Darstellung, Validierungsbericht, Sendeprotokoll) gilt eine Aufbewahrungsfrist von acht Jahren nach § 14b Abs. 1 UStG, beginnend mit dem Schluss des Kalenderjahres, in dem die Rechnung ausgestellt wurde.

   Sperre gegen Änderung und Löschung. Bis zum Ablauf der Frist sind die Archivobjekte des Produktivbetriebs technisch gegen Änderung und Löschung gesperrt. Die von der Anwendung verwendeten Zugangsmittel können die Sperre nur setzen und verlängern. Aufheben oder umgehen lässt sich die Sperre ausschließlich mit administrativen Berechtigungen am Objektspeicher, die der Anwendung nicht zur Verfügung stehen, und nur nach dem in Anlage 2, Abschnitt 2, beschriebenen Verfahren. Zulässige Gründe sind abschließend: eine gesetzliche Pflicht oder eine behördliche oder gerichtliche Anordnung zur Löschung oder Änderung bestimmter Daten; die Entfernung rechtswidriger Inhalte, wenn eine Sperrung des Zugangs nicht genügt; eine nachweislich fehlerhaft gesetzte Sperre. In den beiden ersten Fällen informiert der Auftragsverarbeiter den Verantwortlichen vor der Ausführung, soweit das betreffende Recht dies nicht verbietet (§ 2 Abs. 1), im letzten Fall danach. Die Erkennung einer Entfernung oder Veränderung von Archivobjekten liegt bei der Prüfsummenkette (Anlage 2, Abschnitt 2).

   Ausnahmen von der Sperre, offengelegt. Im Testbetrieb erzeugte Archivobjekte werden nicht gesperrt. Kann der Objektspeicher die Sperre im Einzelfall nicht setzen, wird das Objekt gleichwohl geschrieben, als nicht gesperrt gekennzeichnet und der Vorgang protokolliert; seine Aufbewahrung beruht dann allein auf einem Datum in der Datenbank. Der Auftragsverarbeiter erhebt vor jeder Neuausgabe dieses Vertrags, ob ein solches Objekt besteht, und sperrt es gegebenenfalls nachträglich (zum Stand siehe den Schlussabschnitt der Anlage 2).

   Längere Fristen bleiben unberührt. § 14b Abs. 1 Satz 3 UStG stellt klar, dass „§ 147 Abs. 3 der Abgabenordnung unberührt“ bleibt — insbesondere die Ablaufhemmung nach § 147 Abs. 3 Satz 5 AO und der zehnjährige Vorsteuerberichtigungszeitraum nach § 15a UStG bei Grundstücken und Gebäuden. Die Einordnung des einzelnen Belegs obliegt dem Verantwortlichen (§ 147 AO adressiert den Steuerpflichtigen; GoBD Rn. 20). Die Aufbewahrungssperre eines Archivobjekts des Produktivbetriebs läuft bis zum Ablauf des 31. Dezember des achten Kalenderjahres nach dem Jahr der Ausstellung; einen im Dienst einstellbaren längeren Aufbewahrungszeitraum stellt der Auftragsverarbeiter nicht bereit. Der Verantwortliche kann in Textform (§ 2 Abs. 3) anweisen, dass bestimmte Dokumente oder sämtliche Dokumente einer Rechnungsstellenden Einheit länger aufbewahrt werden. Der Auftragsverarbeiter hält die Weisung fest und gibt die betroffenen Dokumente nicht vor dem angewiesenen Zeitpunkt zur Löschung frei. Eine Löschung erfolgt nie automatisch und stets erst nach Auslieferung eines Exportpakets (Ziffer 3).

   Nichtsteuerliche Nachweise (Sendeprotokoll, Validierungsbericht) werden ebenfalls acht Jahre aufbewahrt. Eine ausdrückliche gesetzliche Frist besteht für sie nicht; die Gleichbehandlung mit der Rechnung ist eine bewusste, im Verzeichnis von Verarbeitungstätigkeiten begründete Entscheidung, nicht eine gesetzliche Pflicht.

   Zweitkopie. Für die Zweitkopie des Rechnungsarchivs (Anlage 3, Anmerkung 0) gilt ab ihrer Einschaltung verbindlich: sie wird gelöscht, wenn das Original gelöscht wird, und überdauert es nicht; eine Weisung zu längerer Aufbewahrung und ein Legal Hold gelten für sie ebenso wie für das Original; der Schlüssel, mit dem sie verschlüsselt ist, wird für die Dauer ihrer Aufbewahrung getrennt vom Objektspeicher und in mehr als einer Kopie beim Auftragsverarbeiter verwahrt.

2. Legal Hold. Der Verantwortliche kann in Textform (§ 2 Abs. 3) anweisen, dass für einzelne Dokumente oder sämtliche Dokumente einer Einheit ein Legal Hold gilt. Der Auftragsverarbeiter hält die Weisung fest; solange sie besteht, gibt er die betroffenen Dokumente nicht zur Löschung frei — auch nach Fristablauf. Eine Funktion, mit der der Verantwortliche einen Legal Hold im Dienst selbst setzt, besteht nicht.

3. Löschverfahren nach Fristablauf. Objekte, deren Aufbewahrungsfrist abgelaufen ist, werden durch einen automatisierten Lauf zur Löschung vorgeschlagen, nie automatisch gelöscht. Die Ausführung erfordert: a) eine bestätigte Auslieferung eines Exportpakets, b) bei mandantenveranlassten Löschungen: zwei Freigaben durch zwei verschiedene berechtigte Personen des Verantwortlichen — eine einzelne Person kann eine Löschung nicht allein freigeben; bei fristablaufbedingten Löschungen: eine Freigabe auf Seiten des Auftragsverarbeiters nach einem dokumentierten Verfahren, c) das Nichtbestehen eines Legal Hold und einer Weisung zu längerer Aufbewahrung.

   Jeder Schritt wird im Audit-Trail protokolliert.

   Voraussetzung auf Seiten des Verantwortlichen, ausdrücklich beschrieben. Ein Verantwortlicher, der nur ein einziges Benutzerkonto führt, kann eine mandantenveranlasste Löschung nicht auslösen. Erforderlich ist, dass er über die Verwaltung seiner Organisation eine zweite Person mit administrativer Rolle einlädt; die Einladung erfolgt im Produkt, wird über den eigenen Mailausgang des Auftragsverarbeiters versandt (Anlage 3, Anmerkung 6), und die Rolle kann dabei unmittelbar vergeben werden. Die Freigabe durch zwei Personen des Verantwortlichen wird nicht gelockert — sie ist eine Schutzvorkehrung.

   Freigabe auf Seiten des Auftragsverarbeiters. Das Verfahren für die Freigabe fristablaufbedingter Löschungen legt der Auftragsverarbeiter vor der ersten solchen Löschung fest (Anlage 2, Schlussabschnitt). Praktische Tragweite: eine fristablaufbedingte Löschung kann frühestens ab dem 1. Januar 2035 anstehen, weil die Aufbewahrungsfrist der frühestens 2026 ausgestellten Dokumente erst mit Ablauf des 31. Dezember 2034 endet.

4. Löschverlangen betroffener Personen während der Frist. Umsetzung als Verarbeitungseinschränkung nach Art. 18 DSGVO (§ 10 Abs. 4). Der Grund, der Zeitpunkt und die veranlassende Stelle werden als abfragbare Felder am Dokument geführt, damit der Verantwortliche der betroffenen Person Auskunft geben kann. Wirkung: das Dokument wird von Zahlungserinnerungen ausgenommen. Zur offengelegten Reichweite der Sperre und zu ihrer vorgesehenen Ausweitung gilt § 10 Abs. 4.

5. Nicht aufbewahrungspflichtige Daten (z. B. Nutzerkonten, Testdaten, Entwurfsdokumente, Exportpakete) werden auf Weisung des Verantwortlichen gelöscht.

   Wie das heute geschieht — offengelegt statt vorausgesetzt. Im Dienst kann der Verantwortliche Rechnungsentwürfe, Angebote, Kunden- und Artikelstammdaten sowie Mitgliedschaften von Nutzern in seiner Organisation löschen und im Testbetrieb Entwürfe und nicht verwendete Stammdaten zurücksetzen. Für Nutzerkonten, im Testbetrieb ausgestellte Dokumente, Exportpakete und den Mandanten als Ganzes steht ihm im Dienst derzeit keine Löschfunktion zur Verfügung. Bis zur Bereitstellung der Löschfunktionen (Anlage 2, Schlussabschnitt) nimmt der Auftragsverarbeiter eine Weisung des Verantwortlichen zur Löschung solcher Daten entgegen, führt sie aus und bestätigt dem Verantwortlichen in Textform, welche Daten gelöscht wurden, welche einer gesetzlichen Aufbewahrungspflicht nach Ziffer 1 unterliegen und dass Kopien in Datensicherungen nach Ziffer 6 ablaufen.

6. Datensicherungen. Die Datenbanken der Produktivumgebung werden wöchentlich vollständig sowie fortlaufend über ihr Transaktionsprotokoll gesichert. Die Sicherungen werden zunächst im eigenen Objektspeicher des Auftragsverarbeiters zwischengespeichert und dort nach 14 Tagen durch eine automatische Speicherregel entfernt. Von dort werden sie verschlüsselt an den Unterauftragsverarbeiter nach Anlage 3, Anmerkung 0, übertragen. Dort ist jede Sicherung 30 Tage durch eine Objektsperre gegen Veränderung und Löschung geschützt und wird spätestens 40 Tage nach ihrer Erstellung endgültig entfernt. Die Sperre ist in der aufhebbaren Betriebsart eingerichtet, damit eine gebotene vorzeitige Löschung möglich bleibt. Einzelne Datensätze werden in einer Sicherung nicht gelöscht; zur Wirkung einer Löschung auf die Sicherungen gilt § 10 Abs. 1. Eine Wiederanlaufzeit und ein maximal zulässiger Datenverlust werden nicht zugesichert (Anlage 2, Abschnitt 3).

7. Versanddaten. Für Nachweise über Unzustellbarkeit und Beschwerden zu versandten Nachrichten (180 Tage nach ihrem Eingang), für die Liste der Adressen, an die wegen einer dauerhaften Unzustellbarkeit oder einer Beschwerde nicht mehr versandt wird (24 Monate nach Aufnahme), und für die in Versandaufträgen gespeicherten Inhalte — Betreff, Nachrichtentext, Kopieadressen und Fehlermeldungen — (90 Tage nach Abschluss des Versandauftrags) sind Löschfristen festgelegt. Offengelegt: diese Löschung ist noch nicht in Betrieb; bis dahin werden diese Daten ohne zeitliche Begrenzung aufbewahrt (Anlage 2, Schlussabschnitt). Die mit dem Dokument geführte Aufzeichnung des Versands (Anlage 1, Nachrichtendaten; Anlage 2, Abschnitt 2, Übermittlungsnachweis) bleibt davon unberührt und wird mit dem Dokument aufbewahrt.

---

Anlage 5 — Kontaktstellen

Rolle	Auftragsverarbeiter	Verantwortlicher
Datenschutz und Weisungen	datenschutz@fortlauf.de; Weisungen und Widersprüche auch im Kontobereich des Dienstes (§ 2 Abs. 3)	die vom Verantwortlichen in seinem Konto im Dienst hinterlegte Kontaktadresse
Sicherheitsvorfälle (24 h)	security@fortlauf.de	die vom Verantwortlichen in seinem Konto im Dienst hinterlegte Kontaktadresse
Vertragliche Fragen	kontakt@fortlauf.de	die vom Verantwortlichen in seinem Konto im Dienst hinterlegte Kontaktadresse

Der Verantwortliche hält seine Kontaktadresse im Dienst aktuell. Hinter jeder Kontaktstelle steht auf beiden Seiten eine benannte Person; der Auftragsverarbeiter nennt seine Ansprechpersonen nach § 6 Abs. 4 auf Anfrage namentlich in Textform.