Vertrag zur Auftragsverarbeitung (AVV) für ERIT Cloud
Stand: 16. Oktober 2026
Dieser Vertrag nach Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO) gilt zwischen dem Kunden als Verantwortlichem und Nizar Haimoud, Friedrich-Wilhelm-von-Steuben-Str. 90, 60488 Frankfurt am Main (im Folgenden „ERIT“) als Auftragsverarbeiter. Er wird mit der Buchung von ERIT Cloud elektronisch geschlossen (Art. 28 Abs. 9 DSGVO); ERIT speichert die angenommene Fassung und den Zeitpunkt.
§ 1 Gegenstand und Dauer
1. Gegenstand ist der Empfang, die Prüfung, die Ablage, die Bereitstellung, die Übergabe und der Export von Eingangsrechnungen und zugehörigen Daten des Kunden in ERIT Cloud. 2. Der AVV gilt für die Dauer des Nutzungsvertrags einschließlich des Lesemodus nach Vertragsende und eines anschließenden Archiv-Tarifs. Er endet mit der Löschung oder Rückgabe der Daten nach § 10.
§ 2 Art und Zweck der Verarbeitung
1. Art der Verarbeitung: Erheben (Upload, Weiterleitungsadresse), Speichern, Prüfen, Darstellen, Übergeben (DATEV), Exportieren, Einschränken und Löschen. 2. Zweck ist ausschließlich die Erbringung der vertraglichen Leistungen. ERIT verwendet die Daten nicht für eigene Zwecke, gibt sie nicht an Dritte weiter und nutzt sie nicht zum Training von Modellen der künstlichen Intelligenz.
§ 3 Art der Daten und betroffene Personen
1. Daten: Inhalte von Rechnungen (Namen, Anschriften, Kontaktdaten, Bankverbindungen, Leistungs- und Betragsdaten), Metadaten (Empfangszeit, Kanal, Absenderadresse, Prüfsummen), Prüfergebnisse, Protokoll- und Kettendaten sowie Benutzer- und Rollendaten der Benutzer des Kunden. Rechnungen können im Einzelfall besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Berufsgeheimnisse enthalten, etwa Rechnungen von Ärzten; der Kunde berücksichtigt dies bei seiner Entscheidung, ERIT Cloud einzusetzen. 2. Betroffene Personen: Lieferanten und deren Ansprechpartner, Beschäftigte des Kunden, Berater und Prüfer mit Zugang und sonstige in Rechnungen genannte Personen.
§ 4 Weisungen
1. ERIT verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer, es sei denn, ERIT ist nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt ERIT dem Kunden die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. 2. Der Vertrag, die Funktionen der Anwendung (Freigeben, Einschränken, Fristen verlängern, Exportieren, Löschen anfordern) und Weisungen in Textform an kontakt@erit-erechnung.de sind dokumentierte Weisungen. Die Ausführung wird im Protokoll festgehalten. 3. Ist ERIT der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist ERIT den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen. 4. Eine Übermittlung der Unterlagen des Kunden in ein Drittland findet nicht statt.
§ 5 Vertraulichkeit
ERIT gewährleistet, dass sich alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Ist der Kunde Berufsgeheimnisträger, gilt zusätzlich Anlage 3.
§ 6 Technische und organisatorische Maßnahmen
ERIT trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. ERIT darf sie an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.
§ 7 Unterauftragsverarbeiter
1. Der Kunde genehmigt allgemein den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. 2. ERIT informiert den Kunden mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters per E-Mail und im Kundenkonto. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann ERIT den Einwand nicht ausräumen, kann der Kunde den Vertrag zum Zeitpunkt der Änderung kündigen; bereits gezahlte Beträge für die Zeit danach werden anteilig erstattet. 3. Ein neuer Speicherstaat für die Unterlagen des Kunden wird ebenso mindestens 30 Tage vorher angekündigt, weil der Kunde ihn seinem Finanzamt mitteilen muss (§ 14b Abs. 2 Satz 3 UStG). 4. ERIT erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf und haftet gegenüber dem Kunden für dessen Pflichterfüllung.
§ 8 Unterstützung des Kunden
1. ERIT unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Anfragen, die bei ERIT eingehen, leitet ERIT unverzüglich an den Kunden weiter und beantwortet sie nicht selbst. Die Anwendung bietet dafür Export, Einschränkung und Löschanforderung. 2. ERIT unterstützt den Kunden bei den Pflichten nach Art. 32 bis 36 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten meldet ERIT dem Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen; fehlende Angaben werden nachgereicht. 3. Für Unterstützung, die über die Funktionen der Anwendung hinausgeht und nicht auf einem Verstoß von ERIT beruht, kann ERIT eine angemessene Vergütung nach Aufwand verlangen, wenn dies vorher vereinbart wurde.
§ 9 Nachweise und Kontrollen
1. ERIT stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. 2. Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Kontrollen nach Anmeldung mit einer Frist von mindestens 14 Tagen während der Geschäftszeiten durchführen, in der Regel einmal im Kalenderjahr und ohne Störung des Betriebs. Kontrollen in den Rechenzentren der Unterauftragsverarbeiter richten sich nach deren Regeln; ERIT kann stattdessen deren Nachweise und Zertifikate vorlegen.
§ 10 Löschung und Rückgabe nach Vertragsende
1. Die Aufbewahrungspflichten nach § 147 AO und § 14b UStG treffen den Kunden, nicht ERIT. Der Kunde kann seine Daten jederzeit und im 90-tägigen Lesemodus nach Vertragsende vollständig exportieren (Rückgabe). 2. Nach dem Lesemodus verfährt ERIT nach der Wahl des Kunden: Im Archiv-Tarif wird die Verarbeitung als eingeschränkte Leistung (lesen, exportieren) bis zum Ende der letzten Aufbewahrungsfrist fortgesetzt. Bei Wahl der Löschung löscht ERIT nach bestätigtem Export alle Daten, auch Objekte unter Object Lock, und bestätigt dies dem Kunden; ein Löschvermerk ohne Rechnungsinhalt bleibt als Nachweis erhalten. Trifft der Kunde keine Wahl, gilt § 7 Abs. 3 der AGB; die Weiterführung im Archiv-Tarif ist dann eine Weisung des Kunden. 3. Verschlüsselte Datenbanksicherungen werden mit Ablauf ihrer Aufbewahrung von höchstens fünf Wochen gelöscht. 4. Ordnet eine Behörde oder ein Gericht die Entfernung einzelner Inhalte an, entfernt ERIT sie nach einem dokumentierten Ausnahmeverfahren und informiert den Kunden, soweit dies zulässig ist.
§ 11 Haftung
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.
§ 12 Schlussbestimmungen
Bei Widersprüchen geht dieser AVV den AGB vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht. Es gilt deutsches Recht.
Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Standort und physische Sicherheit: Server der Contabo GmbH im Rechenzentrum Lauterbourg, Frankreich (EU). Zutritt, Videoüberwachung und Stromversorgung regelt der Anbieter nach seinem AVV.
- Trennung: Eigene Docker-Netze für ERIT, eigene Datenbankinstanz und Datenbankrollen; die Datenbank ist nicht aus dem Internet erreichbar.
- Zugang zur Anwendung: Passwort (gespeichert als Argon2id-Hash) und zweiter Faktor (TOTP) für jeden Benutzer, Wiederherstellungscodes, Sperre und Verzögerung nach Fehlversuchen.
- Zugang zum Server: nur per SSH-Schlüssel, keine Passwortanmeldung, fail2ban, Firewall mit gesperrten Verwaltungsports.
- Zugriffskontrolle: Rollen Inhaber, Mitarbeiter, Berater und Prüfer (befristet); Mandantentrennung in der Datenbank durch Row Level Security je Unternehmen, die die Anwendung nicht umgehen kann.
- Unveränderbarkeit: Ablage der Rechnungen in einem S3-kompatiblen Objektspeicher mit Object Lock im Modus Governance bis zum Ende der Aufbewahrungsfrist; die Anwendung sendet nie eine Anweisung zum Umgehen der Sperre; tägliche Prüfkette über alle Ablagen.
- Eingabekontrolle: Empfangsnachweis vor jeder Verarbeitung, Virenprüfung (ClamAV), Prüfung von XML, Begrenzung von ZIP-Archiven, Verarbeitung von PDF-Dateien in einer isolierten Umgebung, Protokoll aller Aktionen mit handelnder Person und Zeitpunkt.
- Verfügbarkeit und Belastbarkeit: Datenbanksicherung mit pgBackRest, verschlüsselt (AES-256), fortlaufende Sicherung der Transaktionsprotokolle und Wiederherstellung auf einen Zeitpunkt; Wiederherstellung erprobt; Überwachung mit Alarmierung.
- Transportverschlüsselung: TLS für alle Verbindungen zur Anwendung (Zertifikate von Let's Encrypt), HSTS.
- Datensparsamkeit in Betriebsprotokollen: keine Rechnungsinhalte in Betriebslogs.
- Überprüfung: Sicherheitsprüfliste nach OWASP ASVS, automatische Tests der Mandantentrennung, Prüfung der Abhängigkeiten auf bekannte Schwachstellen.
Anlage 2: Unterauftragsverarbeiter und Speicherorte
- Contabo GmbH, Aschauer Straße 32a, 81549 München: Server, Datenbank, Objektspeicher für Eingang und Archiv, Datenbanksicherungen, Virenprüfung. Daten: alle Daten des Kunden. Ort: Rechenzentrum Lauterbourg, Frankreich (EU).
- Mailgun Technologies, Inc., San Antonio, Texas, USA (Sinch-Gruppe): Versand von Systemnachrichten (Zugangslinks, Einladungen, Hinweise). Daten: Name und E-Mail-Adresse der Empfänger und der Nachrichtentext, keine Rechnungsinhalte. Ort: EU-Region (Frankfurt am Main, Deutschland). Weil das Unternehmen seinen Sitz in den USA hat, ist ein Zugriff aus den USA nicht ausgeschlossen; Grundlage sind der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Anbieter daran teilnimmt, und die Standardvertragsklauseln der EU-Kommission im Vertrag des Anbieters.
Speicherort der Unterlagen: Frankreich (EU). Elektronisch aufbewahrte Rechnungen dürfen in einem anderen Mitgliedstaat liegen, wenn eine vollständige Fernabfrage gewährleistet ist (§ 14b Abs. 2 Satz 2 UStG); der Kunde teilt seinem Finanzamt den Aufbewahrungsort mit (§ 14b Abs. 2 Satz 3 UStG).
Stripe ist kein Unterauftragsverarbeiter für die Unterlagen des Kunden; Stripe verarbeitet nur Abrechnungsdaten (siehe Datenschutzerklärung).
Anlage 3: Verschwiegenheitsvereinbarung für Berufsgeheimnisträger (§ 203 StGB, § 62a StBerG)
1. Diese Anlage gilt, wenn der Kunde einer beruflichen Schweigepflicht unterliegt, insbesondere als Steuerberater, Wirtschaftsprüfer, Rechtsanwalt oder Angehöriger eines Heilberufs. 2. ERIT ist mitwirkende Person im Sinne von § 203 Abs. 3 Satz 2 StGB. ERIT wurde darüber belehrt, dass eine unbefugte Offenbarung fremder Geheimnisse nach § 203 Abs. 4 StGB strafbar ist. 3. ERIT verpflichtet sich, fremde Geheimnisse, die ERIT bei der Erbringung der Leistung bekannt werden, geheim zu halten und sich nur insoweit Kenntnis von ihnen zu verschaffen, als dies für die Erbringung der Leistung erforderlich ist. 4. ERIT setzt weitere Personen und Unterauftragsverarbeiter nur ein, wenn sie in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen belehrt wurden. Die Unterauftragsverarbeiter nach Anlage 2 sind vertraglich zur Vertraulichkeit verpflichtet. 5. Die Verpflichtung gilt über das Ende des Vertrags hinaus.