Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) wird geschlossen zwischen

• dem Kunden, der Exportly nutzt oder eine Exportly-Stripe-App installiert, als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Kunde“), und
• der codehero GmbH, Mozartstr. 17, 96465 Neustadt, Deutschland, vertreten durch den Geschäftsführer Wolfgang Müller, eingetragen im Handelsregister des Amtsgerichts Coburg unter HRB 6932, als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend „Exportly“ oder „Auftragsverarbeiter“).

Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch Exportly im Auftrag des Kunden bei der Erbringung der folgenden Leistungen (nachfolgend gemeinsam „Dienst“):

• Exportly unter exportly.de bzw. app.exportly.de (DATEV-Export einschließlich Steuerberater-Zugang),
• Stripe-App „Exportly DATEV-Export“ im Stripe Dashboard,
• Stripe-App „Exportly E-Rechnung“ im Stripe Dashboard einschließlich des Web-Editors „Rechnungsdesign“ auf exportly.de.

Dieser AVV gilt als vereinbart, sobald der Kunde den Dienst nutzt – insbesondere mit der Registrierung bei Exportly, der Installation einer Exportly-Stripe-App oder dem Speichern der Firmendaten in einer Exportly-Stripe-App. Einer gesonderten Unterzeichnung oder Gegenzeichnung bedarf es nicht. Der Kunde kann diesen AVV jederzeit über die Druckfunktion seines Browsers als PDF speichern oder ausdrucken.

Die Laufzeit dieses AVV entspricht der Dauer der Nutzung des Dienstes bzw. des zugrunde liegenden Vertrags nach unseren AGB. Für die Stripe-App „Exportly E-Rechnung“ läuft er ab der Installation bis zur Deinstallation der App und der anschließenden Löschung der Daten nach Ziffer 10. Er endet in keinem Fall, solange Exportly noch personenbezogene Daten des Kunden verarbeitet (siehe Ziffer 10).

a) DATEV-Export (exportly.de und Stripe-App „Exportly DATEV-Export“)

Exportly liest mit der vom Kunden erteilten, ausschließlich lesenden Berechtigung Daten aus dem Stripe-Konto des Kunden aus – insbesondere Saldo-Transaktionen, Zahlungen, Erstattungen, Rückbuchungen (Disputes), Auszahlungen, Gebühren, Rechnungen, Abonnements, Checkout-Sitzungen, Produkte, Preise, Steuersätze und Kundendaten. Daraus erzeugt Exportly automatisch kontierte DATEV-Buchungsstapel (Format EXTF) sowie zugehörige Beleg-Archive, zeigt Buchungsvorschauen und Prüfungen (z. B. Saldo-Abstimmung, Steuer-Check) im Stripe Dashboard an und stellt die Ergebnisse dem Kunden und gegebenenfalls dessen Steuerberater zum Abruf bereit.

b) E-Rechnung (Stripe-App „Exportly E-Rechnung“)

Exportly liest Rechnungen und Gutschriften des Kunden einschließlich der Daten der jeweiligen Rechnungsempfänger (Name, Anschrift, E-Mail-Adresse, Steuer-Identifikationsnummern) sowie referenzierte Produkte, Preise und Steuersätze aus dem Stripe-Konto des Kunden. Daraus erzeugt Exportly E-Rechnungen im Format ZUGFeRD/Factur-X (PDF/A-3 mit eingebetteter XML), stellt sie dem Kunden zum Download bereit und versendet sie per E-Mail an den Rechnungsempfänger, wenn der Kunde den Versand im Einzelfall auslöst oder den automatischen Versand aktiviert hat. Antworten des Empfängers gehen an die vom Kunden hinterlegte E-Mail-Adresse.

Für die Gestaltung der Rechnung kann der Kunde Absenderdaten, ein Logo und Texte hinterlegen und über einen zeitlich begrenzten Einmal-Link den Web-Editor „Rechnungsdesign“ auf exportly.de öffnen. Hierfür erzeugt Exportly Vorschauen mit Beispiel- oder echten Rechnungsdaten.

c) Abgrenzung

Soweit Exportly personenbezogene Daten des Kunden selbst bzw. seiner Nutzer zu eigenen Zwecken verarbeitet (z. B. Kundenkonto, Anmeldung, Abrechnung des Exportly-Abonnements, Sicherheits-Logs), handelt Exportly als eigener Verantwortlicher; hierfür gilt die Datenschutzerklärung, nicht dieser AVV.

• Stammdaten von Kunden des Kunden (Name, Firma, Anschrift, Land, E-Mail-Adresse, Telefonnummer, soweit in Stripe hinterlegt),
• Steuer-Identifikationsmerkmale (z. B. USt-IdNr.) der Kunden des Kunden,
• Vertrags-, Rechnungs- und Gutschriftsdaten (Rechnungsnummer, Positionen, Beträge, Steuersätze, Leistungs- und Rechnungsdatum),
• Zahlungs- und Transaktionsdaten (Zahlungen, Erstattungen, Rückbuchungen, Gebühren, Auszahlungen; keine vollständigen Kartennummern),
• Zustellstatus versendeter E-Rechnungen (zugestellt, unzustellbar, Beschwerde),
• Absender- und Bankdaten des Kunden auf der E-Rechnung (Firma, Anschrift, Kontaktdaten, Geschäftsführung, Registerangaben, IBAN/BIC), soweit diese personenbezogen sind,
• technische Kennungen des Stripe-Kontos und der Dashboard-Nutzer des Kunden (Stripe-Konto-ID, Nutzer-ID, Rollen).

• Kunden, Rechnungs- und Gutschriftsempfänger des Kunden sowie deren Ansprechpartner,
• Beschäftigte und Beauftragte des Kunden, die den Dienst oder das Stripe Dashboard nutzen,
• der Kunde selbst, soweit er eine natürliche Person ist (z. B. Einzelunternehmer).

Exportly verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Kunden, es sei denn, Exportly ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO); in einem solchen Fall teilt Exportly dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

Die Weisungen des Kunden ergeben sich abschließend aus diesem AVV, den AGB sowie den Einstellungen und Aktionen des Kunden im Dienst (z. B. Verbindung des Stripe-Kontos, Auslösen eines Exports, Auslösen des E-Mail-Versands einer E-Rechnung, Aktivieren der automatischen Erzeugung und des automatischen E-Mail-Versands von E-Rechnungen). Darüber hinausgehende Weisungen erteilt der Kunde in Textform an wm@codehero.gmbh. Ist Exportly der Auffassung, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist Exportly den Kunden unverzüglich darauf hin.

Exportly gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Diese Pflicht besteht auch nach Beendigung dieses AVV fort.

Exportly trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anlage 1 beschrieben. Exportly darf sie an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

Der Kunde erteilt Exportly die allgemeine Genehmigung, die in Anlage 2 genannten weiteren Auftragsverarbeiter (Unterauftragnehmer) einzusetzen. Exportly informiert den Kunden vorab in Textform über jede beabsichtigte Änderung (Hinzuziehung oder Ersetzung). Der Kunde kann einer solchen Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 30 Tagen nach Zugang der Information widersprechen; kommt keine Einigung zustande, können beide Parteien den betroffenen Dienst kündigen.

Exportly verpflichtet jeden Unterauftragnehmer vertraglich auf Datenschutzpflichten, die den in diesem AVV festgelegten entsprechen (Art. 28 Abs. 4 DSGVO).

Übermittlung in Drittländer

Exportly speichert und verarbeitet die Daten in der AWS-Region eu-central-1 (Frankfurt am Main, siehe Anlage 1). Eine Übermittlung personenbezogener Daten in ein Land außerhalb des Europäischen Wirtschaftsraums erfolgt nur auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO) – etwa wenn der Kunde den Versand einer E-Rechnung an einen Rechnungsempfänger mit Sitz in einem Drittland auslöst – oder wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Für den Unterauftragnehmer AWS gilt das AWS-Datenverarbeitungsaddendum (AWS DPA) einschließlich der darin einbezogenen Standardvertragsklauseln der EU-Kommission.

Exportly unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen

• mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch); richtet sich eine betroffene Person unmittelbar an Exportly, leitet Exportly das Anliegen unverzüglich an den Kunden weiter,
• bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

Exportly meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich nach Bekanntwerden mit den nach Art. 33 Abs. 3 DSGVO verfügbaren Informationen.

Nach Beendigung der Leistungserbringung löscht Exportly die personenbezogenen Daten des Kunden, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe erfolgt dadurch, dass der Kunde die erzeugten Dateien (DATEV-Buchungsstapel, Beleg-Archive, E-Rechnungs-PDFs) während der Laufzeit bzw. der nachfolgend genannten Fristen selbst herunterladen kann. Nach Wahl des Kunden löscht Exportly die Daten auf Verlangen auch vor Ablauf dieser Fristen. Im Einzelnen:

• Exportly-Konto (DATEV-Export): Nach der Löschanforderung des Kontos durch den Kunden gilt eine Frist von 30 Tagen, innerhalb derer der Kunde die Löschung widerrufen und Exporte herunterladen kann. Danach werden die Kontodaten, Verbindungen und die im Export-Archiv gespeicherten DATEV-Dateien gelöscht.
• DATEV-Dateien und Beleg-Archive werden während des laufenden Vertrags 12 Monate unveränderbar (S3 Object Lock) vorgehalten und 400 Tage nach ihrer Erzeugung automatisch gelöscht; die endgültige Entfernung aller gespeicherten Versionen folgt einen Tag danach. Bei Löschung des Exportly-Kontos wird die Sperre aufgehoben und die Dateien werden mit Ablauf der 30-Tage-Frist vollständig (einschließlich aller Versionen) gelöscht. Die gesetzliche Aufbewahrung (§ 147 AO, § 257 HGB) obliegt dem Kunden.
• E-Rechnung: Erzeugte E-Rechnungs-PDFs werden 90 Tage nach Erzeugung automatisch gelöscht, die zugehörigen Dokumentdatensätze (u. a. Rechnungsnummer, Betrag, E-Mail-Adresse des Empfängers, Zustellstatus) nach 97 Tagen. Rechnungsvorschauen und noch nicht übernommene Logo-Uploads werden nach einem Tag gelöscht.
• E-Rechnung: Die Absender- und Automatik-Einstellungen sowie ein gespeichertes Rechnungslogo bleiben nach einer Deinstallation der App erhalten, damit eine erneute Installation den bisherigen Stand wiederfindet; sie werden bis zur Löschung auf Verlangen des Kunden gespeichert. Bereits erzeugte Dokumente bleiben bis zum Ablauf ihrer jeweiligen Frist abrufbar. Auf Verlangen des Kunden löscht Exportly diese Daten vorzeitig.
• Technische Protokolle (Server-Logs), die personenbezogene Daten enthalten können, werden nach 3 Monaten gelöscht.

Exportly stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Kunden oder einem von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchgeführt werden (Art. 28 Abs. 3 lit. h DSGVO). Überprüfungen sind mit angemessener Frist anzukündigen und sollen den Betriebsablauf nicht unverhältnismäßig stören. Der Nachweis kann auch durch aktuelle Zertifikate, Berichte oder Auszüge unabhängiger Stellen (z. B. der Unterauftragnehmer) erbracht werden.

Für die Haftung gilt Ziffer 11 der AGB, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt. Im Fall von Widersprüchen gehen die Regelungen dieses AVV in Fragen des Datenschutzes den AGB vor. Änderungen dieses AVV teilt Exportly dem Kunden in Textform mit; Ziffer 13 der AGB gilt entsprechend. Es gilt das Recht der Bundesrepublik Deutschland.

Ort der Verarbeitung

• Die Daten werden in der AWS-Region eu-central-1 (Frankfurt am Main, Deutschland) gespeichert und verarbeitet (Datenbank, Dateispeicher, Rechenfunktionen, Warteschlangen, E-Mail-Versand, Anmeldung).

Verschlüsselung

• Transportverschlüsselung: Alle Zugriffe auf Dienst und Dateispeicher erfolgen ausschließlich über TLS; unverschlüsselte Zugriffe auf die Speicher-Buckets und Warteschlangen werden technisch abgewiesen.
• Verschlüsselung ruhender Daten: Die Datenbank (Amazon DynamoDB) ist im Ruhezustand verschlüsselt. DATEV-Exporte liegen in einem mit eigenem Schlüssel (AWS KMS, automatische Schlüsselrotation) verschlüsselten Speicher; E-Rechnungs-PDFs, Vorschauen und Logos in einem serverseitig verschlüsselten Speicher (SSE-S3).
• Zugangsdaten zu angebundenen Systemen (Stripe-Verbindungen) werden mit einem gesonderten KMS-Schlüssel verschlüsselt, auf den Funktionen ohne Bedarf keinen Zugriff haben.
• Einmal-Codes und Sitzungs-Token des Web-Editors „Rechnungsdesign“ werden nur als SHA-256-Hash gespeichert.

Zugangs- und Zugriffskontrolle

• Anmeldung von Kunden und Steuerberatern über Amazon Cognito mit Unterstützung für Passkeys und Mehr-Faktor-Authentifizierung; Rollen- und Mandantentrennung im Dienst.
• Anfragen aus den Stripe-Apps werden über von Stripe signierte Anfragen authentifiziert und dem Stripe-Konto sowie den Rollen des Dashboard-Nutzers zugeordnet; in der E-Rechnung-App sind Änderungen der Absenderdaten Inhabern und Administratoren vorbehalten.
• Der Web-Editor „Rechnungsdesign“ wird nur über einen Einmal-Link geöffnet, der 10 Minuten gültig ist; die daraus entstehende Sitzung läuft nach 60 Minuten Inaktivität, spätestens nach 8 Stunden ab und wird im Browser nicht dauerhaft gespeichert (höchstens im Sitzungsspeicher des Tabs).
• Berechtigungen der Cloud-Komponenten nach dem Prinzip der minimalen Rechte (IAM): Jede Funktion erhält nur Zugriff auf die Tabellen, Speicherbereiche und Schlüssel, die sie benötigt.
• Speicher-Buckets sind gegen jeden öffentlichen Zugriff gesperrt; Downloads erfolgen über zeitlich begrenzte, signierte Links.
• Ratenbegrenzung der öffentlich erreichbaren Schnittstellen zum Schutz vor Missbrauch.

Integrität, Verfügbarkeit und Belastbarkeit

• DATEV-Exporte werden während des laufenden Vertrags revisionssicher mit S3 Object Lock 12 Monate unveränderbar vorgehalten und versioniert.
• Point-in-Time-Recovery (fortlaufende Sicherung) der Datenbank ist aktiviert; in der Produktivumgebung besteht Löschschutz für die Datenbank.
• Hintergrundaufträge laufen über Warteschlangen mit automatischer Wiederholung; endgültig fehlgeschlagene Aufträge lösen eine Alarmierung des Betriebs aus.
• Der Zugriff auf Stripe-Daten erfolgt ausschließlich lesend; Ausnahme ist das vom Kunden selbst ausgelöste Hochladen eines Rechnungslogos in seine Stripe-Dateien (E-Rechnung).

Speicherbegrenzung

• Automatische Löschfristen gemäß Ziffer 10 (E-Rechnungs-PDFs 90 Tage, Dokumentdatensätze 97 Tage, Vorschauen und Logo-Uploads 1 Tag, DATEV-Exporte nach 400 Tagen einschließlich aller gespeicherten Versionen, Server-Logs 3 Monate); gespeicherte Rechnungslogos bis zur Löschung auf Verlangen.
• Zweistufiges Löschverfahren für Exportly-Konten mit 30 Tagen Widerrufsfrist und anschließender vollständiger Bereinigung.

• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg – Hosting und Infrastruktur in der Region eu-central-1 (Frankfurt am Main): Rechenfunktionen (AWS Lambda), Datenbank (Amazon DynamoDB), Dateispeicher (Amazon S3), Schlüsselverwaltung (AWS KMS), Warteschlangen (Amazon SQS), Anmeldung (Amazon Cognito), E-Mail-Versand (Amazon Simple Email Service, u. a. Versand der E-Rechnungen an Rechnungsempfänger), Protokollierung (Amazon CloudWatch) sowie Hosting der Web-Anwendung (AWS Amplify). Grundlage ist das AWS-Datenverarbeitungsaddendum (AWS DPA).

Stripe ist kein Unterauftragnehmer von Exportly: Das Stripe-Konto, aus dem Exportly die Daten liest, ist das eigene Konto des Kunden, und Stripe verarbeitet diese Daten aufgrund des Vertrags zwischen dem Kunden und Stripe. Gleiches gilt für ein Rechnungslogo, das der Kunde über die E-Rechnung-App in seine eigenen Stripe-Dateien hochlädt.

Stand: Oktober 2026