Auftragsverarbeitungsvertrag (AVV)
nach Art. 28 DSGVO · Fassung 1.1 · Stand: 01.09.2026 ·
zwischen
dem Kunden als Verantwortlichem („Auftraggeber“) und
der Codern Media GbR, Hafenstr. 55, 28217 Bremen als Auftragsverarbeiter
(„Auftragnehmer“).
Dieser Vertrag wird mit Abschluss des Nutzungsvertrags über die Software „Nummio“ wirksam und konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Er ersetzt die Fassung 1.0 vom 10.08.2026.
§ 1 Gegenstand und Dauer
(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers zum Betrieb der SaaS-Lösung „Nummio“ (Erstellung und Verwaltung von Rechnungen, Angeboten, Aufträgen, Mahnungen, Eingangsrechnungen und verwandten Geschäftsvorgängen).
(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrags zuzüglich des Exportfensters nach § 8 sowie eines etwaigen Archiv-Modus.
§ 2 Art, Zweck und Umfang der Verarbeitung
Erheben, Speichern, Ordnen, Anzeigen, Übermitteln (z. B. Belegversand an Empfänger auf Weisung), Archivieren und Löschen der vom Auftraggeber in die Software eingegebenen Daten zum Zweck der Rechnungsstellung und Buchführungsvorbereitung.
§ 3 Kategorien betroffener Personen und Daten
| Betroffene | Datenkategorien |
|---|---|
| Kunden und Geschäftspartner des Auftraggebers | Stammdaten (Name, Anschrift, Kontaktdaten, USt-IdNr.), Vertrags- und Rechnungsdaten (Positionen, Beträge, Zahlungsstatus), Kommunikationsdaten |
| Mitarbeiter des Auftraggebers | Kontodaten (Name, E-Mail), Rollen/Berechtigungen, Protokolldaten |
| Lieferanten des Auftraggebers | Eingangsrechnungsdaten (Aussteller, Beträge, Belegbilder) |
§ 4 Pflichten des Auftragnehmers
- Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers (die Nutzung der Softwarefunktionen gilt als Weisung);
- Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen;
- Umsetzung der technischen und organisatorischen Maßnahmen nach Anlage 1;
- Unterstützung des Auftraggebers bei Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO;
- Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden;
- Nachweis der Einhaltung dieser Pflichten und Ermöglichung von Kontrollen (§ 7).
§ 5 Unterauftragsverarbeiter und weitere Empfänger
(1) Der Auftraggeber genehmigt die Einschaltung der folgenden Unterauftragsverarbeiter:
| Unternehmen | Leistung | Ort der Verarbeitung |
|---|---|---|
| dogado GmbH | Hosting der Anwendung und Datenbank (Produktivsystem) | EU (Deutschland) |
| Strato AG | Versand von Transaktions- und Beleg-E-Mails | EU (Deutschland, Berlin) |
| Scaleway SAS | Revisionssicherer Objektspeicher (Belegarchiv, Sicherungen) | EU (Niederlande, Rechenzentrum Amsterdam) |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung der Nummio-Abonnements | EU / ggf. Drittland mit Garantien nach Art. 46 DSGVO |
| Anthropic PBC (nur bei vom Auftraggeber aktivierter KI-Belegerkennung) | Automatische Extraktion von Eingangsrechnungsdaten | USA — Standardvertragsklauseln (Art. 46 DSGVO); keine Nutzung zu Trainingszwecken |
| Apple Inc. (nur bei vom Nutzer aktivierten Push-Benachrichtigungen der iOS-App) | Zustellung von Push-Benachrichtigungen (APNs) | USA — EU-US Data Privacy Framework / Standardvertragsklauseln (Art. 45/46 DSGVO) |
(2) Über beabsichtigte Änderungen informiert der Auftragnehmer in Textform; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
(3) Vertrauensdiensteanbieter (Zeitstempel). Zur Sicherung der Unveränderbarkeit der Aufzeichnungen (GoBD) holt der Auftragnehmer Zeitstempel nach RFC 3161 ein. Derzeit geschieht dies für die täglichen Ketten- und Bestandsstempel bei FreeTSA (freetsa.org; kostenfreier, nicht qualifizierter Dienst; betrieben von einer Privatperson, ohne Impressum — die Website beruft sich auf eine fehlende Impressumspflicht —, Serverstandort nicht offengelegt; Interimslösung ohne Vertrag und ohne Verfügbarkeitszusage). Geplant ist der Wechsel zur D-Trust GmbH, Kommandantenstraße 15, 10969 Berlin (qualifizierter Vertrauensdiensteanbieter nach eIDAS). Übermittelt werden ausschließlich die SHA-256-Prüfsumme des Belegs bzw. des Kettenkopfs und der Zeitpunkt der Anfrage — keine Belegdaten im Klartext und keine Kennung des Auftraggebers; der Auftragnehmer nutzt ein einziges Konto für alle Auftraggeber. Hinweis zur Einordnung: Ein qualifizierter Vertrauensdiensteanbieter ist nach herrschender Meinung eigenständig Verantwortlicher (Art. 4 Nr. 7 DSGVO; DSK-Kurzpapier Nr. 13) und kein Unterauftragsverarbeiter; er wird hier zur Transparenz genannt.
(4) Einzelstempel je Beleg (optionales Modul). Aktiviert der Auftraggeber das Modul „Qualifizierter Zeitstempel je Beleg“, beauftragt er damit die Einholung eines Zeitstempels für jeden festgeschriebenen Beleg beim in Abs. 3 genannten Anbieter. Jede Anfrage entspricht einem Beleg; der Anbieter protokolliert jedes ausgestellte Token (eIDAS Art. 24 Abs. 2 lit. h). Die Mitteilung nach Art. 28 Abs. 2 DSGVO erfolgt mit der Aktivierung in den Einstellungen und wird mit Fassung und Zeitpunkt festgehalten; ohne Aktivierung wird kein Einzelstempel angefordert.
§ 6 Technische und organisatorische Maßnahmen (Anlage 1, Kurzfassung)
- Mandantentrennung: Trennung der Kundendaten auf Datenbankebene (Row-Level-Security, erzwungen für jede Verbindung);
- Zugangskontrolle: Zwei-Faktor-Authentifizierung, Rollen- und Berechtigungssystem, Brute-Force-Schutz;
- Unveränderbarkeit: Festgeschriebene Belege sind auf Datenbankebene schreibgeschützt (WORM) und kryptografisch verkettet (Ed25519-Signaturen); tägliche Zeitstempel nach § 5 Abs. 3;
- Verschlüsselung: Transportverschlüsselung (TLS), verschlüsselte Speicherung von Zugangsdaten und Geheimnissen;
- Verfügbarkeit: Regelmäßige Sicherungen, revisionssicheres Objektspeicher-Archiv mit Schreibschutz (Object Lock);
- Nachvollziehbarkeit: Lückenloser Audit-Trail aller belegrelevanten Vorgänge;
- Datenminimierung nach außen: Zeitstempelstellen erhalten nur Prüfsummen, Umsatzsteuer-Prüfdienste nur die USt-IdNr., die KI-Belegerkennung nur das jeweilige Dokument (Opt-in).
§ 7 Kontrollrechte
Der Auftraggeber kann sich vor Beginn und während der Verarbeitung von der Einhaltung der Maßnahmen überzeugen — durch Auskünfte, aktuelle Testate oder, nach Ankündigung mit angemessener Frist, durch Kontrollen während der Geschäftszeiten.
§ 8 Aufbewahrung, Rückgabe und Löschung
(1) Die gesetzlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB) obliegen dem Auftraggeber. Während der Laufzeit des Nutzungsvertrags bewahrt der Auftragnehmer festgeschriebene Belege und Aufzeichnungen unveränderbar auf und stellt jederzeit einen GoBD-konformen Datenexport (Z3) sowie den Download der Originalbelege bereit; mit dem Export erfüllt der Auftraggeber seine Aufbewahrungspflicht selbst.
(2) Nach Vertragsende stellt der Auftragnehmer die Daten für 180 Tage zum Nur-Lese-Zugriff und Export bereit („Exportfenster“). Die Löschung setzt voraus, dass zuvor ein vollständiger Datenexport erzeugt wurde („Herausgabe vor Löschung“); der Auftraggeber wird hieran vor der Löschung mindestens zweimal in Textform erinnert. Bucht der Auftraggeber den Archiv-Modus, verlängert sich die Aufbewahrung (Nur-Lese-Zugriff, fortlaufende Schreibschutz-Sperre, Export) um dessen Laufzeit; nach dessen Ende gilt das Exportfenster entsprechend.
(3) Belege im revisionssicheren Belegarchiv tragen eine technische Schreibschutz-Sperre (Object Lock) von mindestens 6 Monaten ab Ablage bzw. ab der letzten Verlängerung; während der Vertragslaufzeit und im Archiv-Modus wird sie fortlaufend verlängert. Nach Vertragsende ohne Archiv-Modus endet die Verlängerung; die Objekte werden nach Ablauf von Sperre und Exportfenster gelöscht. Eine gebuchte WORM-Garantie (zehn Jahre je Wirtschaftsjahr) bleibt von einem Vertragsende unberührt.
(4) Löschersuchen betroffener Personen (Art. 17 DSGVO) wirken nicht gegen gesetzliche Aufbewahrungspflichten des Auftraggebers (Art. 17 Abs. 3 lit. b DSGVO); insoweit bleibt die Verarbeitung auf die Aufbewahrung beschränkt (Art. 18 DSGVO entsprechend).
§ 9 Schlussbestimmungen
Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag geht hinsichtlich des Datenschutzes dieser AVV vor. Der Auftragnehmer stellt dem Auftraggeber einen Textbaustein für dessen Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) bereit; er ersetzt nicht das eigene Verzeichnis des Auftraggebers.