Auftragsverarbeitungsvertrag

Maßgeblich ist die englische Fassung. Diese deutsche Übersetzung dient dem besseren Verständnis.

1. Parteien und Abschluss

Dieser Vertrag gilt zwischen dir als Kunde der xmoo E-Invoice API oder der xmoo Cable Sizing API („Verantwortlicher“) und Haag Automation, Julian Haag, Mühlstraße 35, 74360 Ilsfeld („Auftragsverarbeiter“). Er ist Teil der Nutzungsbedingungen der APIs und gilt, sobald du personenbezogene Daten an eine API schickst. Brauchst du ein gegengezeichnetes Exemplar, schreib an julian@haag-automation.com.

2. Gegenstand, Art und Zweck

• Gegenstand: automatische Verarbeitung der Dokumente und Werte, die du an die APIs schickst.
• Art und Zweck: E-Rechnungen prüfen, auslesen, umwandeln und darstellen sowie Kabel berechnen, wie du es mit jedem API-Aufruf anforderst.
• Dauer: Jede Anfrage wird nur verarbeitet, bis ihre Antwort verschickt ist. Der Vertrag läuft, solange du die APIs nutzt.
• Arten von Daten: Inhalt von Rechnungen, insbesondere Namen, Anschriften, E-Mail-Adressen, Telefonnummern, Steuer- und Registernummern, Bankverbindungen und die berechneten Waren und Leistungen.
• Betroffene Personen: Verkäufer, Käufer, Zahlungsempfänger, Ansprechpartner und andere in den Rechnungen genannte Personen.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisung ist der API-Aufruf selbst – Endpunkt und Parameter. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, teilt er das unverzüglich mit.

4. Pflichten des Auftragsverarbeiters

• Die zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.
• Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen aus Ziffer 9 (Art. 32 DSGVO) und darf sie dem technischen Fortschritt anpassen, ohne das Schutzniveau zu senken.
• Daten werden nicht gespeichert: Sie bleiben für die Dauer der Anfrage im Arbeitsspeicher und werden verworfen, sobald die Antwort verschickt ist. Nach Vertragsende gibt es deshalb nichts zurückzugeben oder zu löschen.
• Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei den Pflichten aus Art. 32 bis 36 DSGVO.
• Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist.
• Der Auftragsverarbeiter stellt die Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen. Diese werden rechtzeitig angekündigt und ohne Störung des Betriebs durchgeführt; als Nachweis dienen zunächst schriftliche Auskünfte und diese Beschreibung der Maßnahmen.

5. Unterauftragsverarbeiter

Der Verantwortliche genehmigt folgenden Unterauftragsverarbeiter:

Eine beabsichtigte Ergänzung oder Ersetzung kündigt der Auftragsverarbeiter mindestens 30 Tage vorher auf dieser Seite und im RapidAPI-Eintrag an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; findet sich keine Lösung, kann er die Nutzung der API beenden. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten.

6. RapidAPI

Anfragen erreichen den Auftragsverarbeiter über das Gateway von RapidAPI der Nokia of America Corporation, dba Rapid, das der Verantwortliche gewählt und direkt beauftragt hat. Rapid ist kein Unterauftragsverarbeiter des Auftragsverarbeiters; die Verarbeitung durch Rapid richtet sich nach dem Vertrag des Verantwortlichen mit Rapid einschließlich dessen Auftragsverarbeitungszusatz.

7. Übermittlung in Drittländer

Der Auftragsverarbeiter und sein Unterauftragsverarbeiter verarbeiten die Daten nur in der Europäischen Union. Für Übermittlungen durch Rapid gilt Ziffer 6.

8. Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und im Verhältnis der Parteien nach den Nutzungsbedingungen der APIs.

9. Technische und organisatorische Maßnahmen

Vertraulichkeit

• Transportverschlüsselung: Die APIs nehmen Anfragen nur über HTTPS (TLS) an.
• Zugangskontrolle: Die APIs beantworten nur Anfragen mit dem Geheimnis des RapidAPI-Gateways; alles andere wird abgewiesen.
• Keine Speicherung: Dokumente werden nur im Arbeitsspeicher verarbeitet; es gibt keine Datenbank und keine Dateiablage für Anfragedaten.
• Kein Zugriffsprotokoll; Fehlerprotokolle enthalten keine Anfrageinhalte (siehe Datenschutzhinweise der API).
• Verwaltung nur per SSH mit Schlüssel; Passwort- und root-Anmeldung sind abgeschaltet.
• Server in einem Rechenzentrum der Hetzner Online GmbH mit physischer Zutrittskontrolle durch Hetzner.

Integrität

• Jedes Umwandlungsergebnis wird vor der Rückgabe gegen die offiziellen Regeln geprüft.
• XML mit DOCTYPE- oder ENTITY-Deklaration wird vor dem Einlesen abgelehnt (Schutz vor Angriffen über externe XML-Entitäten).
• Software wird nur aus einem versionierten Repository nach automatischen Tests ausgeliefert.

Verfügbarkeit und Belastbarkeit

• Firewall mit nur den nötigen offenen Ports; Schutz gegen wiederholte Fehlanmeldungen.
• Sicherheitsupdates des Betriebssystems werden automatisch eingespielt; Container-Abbilder werden bei jeder Auslieferung neu gebaut.
• Anfragegröße und Bearbeitungszeit sind begrenzt; jede Anfrage läuft in einem abgetrennten Worker, der nach einem Fehler oder einer Zeitüberschreitung ersetzt wird.

Überprüfung

• Die Maßnahmen werden bei Änderungen an Software oder Hosting überprüft, mindestens einmal im Jahr.

Alle APIs · Nutzungsbedingungen · Datenschutzhinweise der API