Dieser Vertrag regelt, wie wir personenbezogene Daten verarbeiten, die in den Rechnungen enthalten sein können, die du mit dem ZUGFeRD Validator prüfst oder erzeugst. Er gilt zusätzlich zu unseren AGB und ergänzt die Datenschutzerklärung.
Zum Unterschreiben: Diesen Vertrag gibt es auch als unterzeichnungsfähiges Dokument. Schreib uns an info@opm-immo.de mit dem Namen deines Unternehmens und der Anschrift, dann bekommst du ihn innerhalb eines Werktags zurück.
1. Vertragsparteien
Auftraggeber (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO) ist der Kunde, der den ZUGFeRD Validator nutzt.
Auftragnehmer (Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO) ist die OPM GmbH, Rohrackerstr. 260, 70329 Stuttgart, Amtsgericht Stuttgart HRB 756057.
2. Gegenstand und Dauer
Gegenstand ist die Prüfung und Erzeugung elektronischer Rechnungen über die Weboberfläche, die REST-API und den MCP-Client. Personenbezogene Daten verarbeiten wir dabei ausschließlich, soweit sie in den übermittelten Rechnungen enthalten sind oder für den Betrieb des Kontos anfallen.
Der Vertrag läuft so lange, wie der Auftraggeber den Dienst nutzt. Er endet mit der Beendigung des Nutzungsverhältnisses.
3. Art der Daten und betroffene Personen
Verarbeitet werden:
- Rechnungsinhalte, soweit sie personenbezogene Daten enthalten — typischerweise Namen, Anschriften, E-Mail-Adressen, Steuer- und Umsatzsteuer-Identifikationsnummern sowie Bankverbindungen von Rechnungsstellern und Rechnungsempfängern, dazu Leistungsbeschreibungen und Beträge.
- Kontodaten des Auftraggebers: E-Mail-Adresse, optional hinterlegte Absender- und Rechnungsdaten.
- Nutzungsdaten: Zeitpunkt, aufgerufene Funktion, Erfolg oder Fehler, IP-Adresse, Browserkennung, Dauer der Verarbeitung.
Betroffene Personen sind Beschäftigte und Ansprechpartner des Auftraggebers sowie natürliche Personen, die als Rechnungssteller oder Rechnungsempfänger in den übermittelten Rechnungen auftreten — bei Steuerberatern und Prüfungsgesellschaften also auch Mandanten und deren Geschäftspartner.
4. Speicherung der Rechnungsinhalte
Rechnungsinhalte werden nicht dauerhaft gespeichert. Für die Prüfung schreibt der Server die Datei kurzzeitig in eine temporäre Datei, weil die eingesetzten Prüfprogramme mit Dateipfaden arbeiten. Diese Datei wird unmittelbar nach der Verarbeitung gelöscht — auch dann, wenn die Verarbeitung fehlschlägt. Es wird keine Kopie angelegt, kein Rechnungsinhalt in eine Datenbank geschrieben und kein Inhalt zu Auswertungszwecken ausgewertet.
Gespeichert bleibt ausschließlich, dass ein Aufruf stattgefunden hat (siehe Nutzungsdaten oben).
5. Weisungen
Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers. Die Nutzung des Dienstes gemäß den AGB gilt als solche Weisung. Weitergehende Weisungen bedürfen der Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.
6. Vertraulichkeit
Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzbestimmungen unterrichtet.
7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Übertragung: ausschließlich verschlüsselt über HTTPS (TLS), erzwungen für alle Endpunkte.
- Standort: Verarbeitung auf Servern in Deutschland (siehe Ziffer 8).
- Datensparsamkeit: Rechnungsinhalte werden nicht gespeichert (Ziffer 4); Nutzungsdaten werden rollierend nach 90 Tagen gelöscht, Server-Protokolle nach 7 Tagen.
- Zugriffsschutz: Zugriff auf den Dienst nur über einen persönlichen API-Schlüssel; administrativer Zugang nur für den Betreiber, geschützt durch ein separates Geheimnis.
- Trennung: Jeder Aufruf ist einem Konto zugeordnet; Daten verschiedener Kunden werden getrennt geführt.
- Wiederherstellbarkeit: regelmäßige Sicherung der Kontodaten. Rechnungsinhalte sind davon nicht betroffen, da sie nicht gespeichert werden.
- Aktualität: laufende Aktualisierung von Betriebssystem, Laufzeitumgebung und Prüfsoftware.
8. Unterauftragsverarbeiter
Für die Verarbeitung der Rechnungsinhalte setzen wir einen einzigen Unterauftragsverarbeiter ein:
| Unternehmen | Zweck | Ort |
|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Betrieb der Server | Deutschland |
Für die Verwaltung des Kontos — nicht für Rechnungsinhalte — kommen hinzu: Resend, Inc. (USA) für den Versand von Login-Links, Rechnungen und Kontohinweisen, gestützt auf die Standardvertragsklauseln der EU-Kommission, sowie Stripe Payments Europe, Ltd. (Irland) für Bestellung und Abrechnung kostenpflichtiger Tarife. Beide erhalten keinen Zugriff auf übermittelte Rechnungen.
Der Auftraggeber stimmt dem Einsatz dieser Unterauftragsverarbeiter zu. Wechsel oder Ergänzungen teilen wir mindestens vier Wochen vorher in Textform mit; der Auftraggeber kann innerhalb dieser Frist widersprechen und den Vertrag außerordentlich kündigen.
9. Unterstützung des Auftraggebers
Wir unterstützen den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen (Art. 15 bis 22 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten (Art. 32 bis 36 DSGVO), soweit das ohne Zugriff auf nicht gespeicherte Rechnungsinhalte möglich ist. Da Rechnungsinhalte nicht gespeichert werden, beschränkt sich eine Auskunft in der Regel auf Konto- und Nutzungsdaten.
Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, informieren wir den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
10. Nachweise und Kontrollen
Wir weisen die Einhaltung dieses Vertrags auf Anfrage in Textform nach. Der Auftraggeber kann sich nach Ankündigung mit angemessener Frist von der Einhaltung überzeugen; Kontrollen vor Ort sind auf das erforderliche Maß zu beschränken und dürfen den Betrieb nicht unangemessen stören.
11. Löschung nach Vertragsende
Rechnungsinhalte müssen nicht gelöscht werden, da sie nicht gespeichert werden. Konto- und Nutzungsdaten löschen wir auf Anforderung, spätestens 90 Tage nach Beendigung des Nutzungsverhältnisses. Ausgenommen sind Rechnungen und Buchungsbelege, die wir aufgrund handels- und steuerrechtlicher Pflichten zehn Jahre aufbewahren müssen.
12. Haftung und Schlussbestimmungen
Es gilt die Haftungsregelung der AGB. Änderungen dieses Vertrags bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht; Gerichtsstand ist Stuttgart, soweit gesetzlich zulässig.
Stand: August 2026