Stand: 18.09.2026
Belegbote – Peppol-Postfach der fino data services GmbH, Universitätsplatz 12, 34127 Kassel
Vertragspartner sind die fino data services GmbH (im Folgenden Auftragsverarbeiter oder fino genannt), Universitätsplatz 12, 34127 Kassel, und das Unternehmen, das den Dienst Belegbote nutzt (im Folgenden Verantwortlicher oder Kunde genannt).
Der Kunde wird beim Abschluss dieser Vereinbarung durch den Kontoinhaber des Belegbote-Firmenkontos vertreten, der bei der Registrierung bestätigt, zur Vertretung des Unternehmens berechtigt zu sein. Die Vereinbarung gilt für das Firmenkonto einschließlich aller diesem Konto zugeordneten Nutzerzugänge.
– gemeinsam „Parteien“ genannt –
1.1 fino verarbeitet personenbezogene Daten im Auftrag des Kunden (Auftragsverarbeitung). Dies umfasst alle Tätigkeiten, die fino im Rahmen des Dienstes Belegbote gemäß den Leistungsbeschreibungen und den jeweiligen vertraglichen Vereinbarungen mit dem Kunden erbringt und die eine Auftragsverarbeitung darstellen. Dies gilt auch, sofern die Leistungsbeschreibungen und die jeweiligen vertraglichen Vereinbarungen nicht ausdrücklich Bezug nehmen auf diese Vereinbarung zur Auftragsverarbeitung.
1.2 Im Übrigen gelten nachrangig die Regelungen der Allgemeinen Geschäftsbedingungen für die Nutzung von Belegbote, welche über den nachfolgend genannten Link im Internet einsehbar sind: belegebote.de/agb
2.1 Die Art der Verarbeitung umfasst alle Arten von Verarbeitungen im Sinne der DSGVO.
2.2 Zwecke der Verarbeitung sind alle zur Erbringung der vertraglich vereinbarten Leistung erforderlichen. Die vertraglich vereinbarte Leistung besteht darin, dem Kunden ein Postfach zum Empfang und Versand elektronischer Rechnungen über das Peppol-Netzwerk bereitzustellen. Dies umfasst insbesondere:
den Empfang elektronischer Belege über das Peppol-Netzwerk, deren Speicherung und Bereitstellung zur Ansicht und zum Download;
die Validierung und den Versand vom Kunden hochgeladener elektronischer Rechnungen unter der eigenen, verifizierten Peppol-Kennung des Kunden;
die Benachrichtigung des Kunden über eingegangene Belege per E-Mail;
die Einladung von Geschäftspartnern des Kunden, die im Peppol-Netzwerk nicht erreichbar sind, auf Veranlassung des Kunden;
die Führung eines vom Kunden angelegten Adressbuchs einschließlich der Prüfung der Erreichbarkeit gegen das Peppol-Verzeichnis;
die Bereitstellung eines vom Kunden autorisierbaren Schnittstellenzugriffs für Anwendungen Dritter (Ziffer 4.4).
2.3 Nicht Gegenstand dieser Vereinbarung ist die Erstellung von Rechnungen sowie die revisionssichere Archivierung nach den Grundsätzen ordnungsmäßiger Buchführung. Die gesetzlichen Aufbewahrungspflichten des Kunden bleiben seine eigenen.
2.4 Ebenfalls nicht Gegenstand dieser Vereinbarung ist die Prüfung der Unternehmensidentität im Rahmen der Registrierung. Die Abfragen bei Registerdiensten, die KI-gestützte Unterstützung bei der Prüfung hochgeladener Nachweisdokumente, die Entscheidung über die Freischaltung und die Speicherung der dabei entstehenden Prüfergebnisse erfolgen nicht im Auftrag und nicht nach Weisung des Verantwortlichen. fino entscheidet über Zweck und Mittel dieser Prüfung allein und handelt insoweit als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Einzelheiten ergeben sich aus der Datenschutzerklärung. Anfragen betroffener Personen zu diesen Prüfergebnissen beantwortet fino unmittelbar; Ziffer 5.3.1 gilt insoweit nicht.
3.1 Art der personenbezogenen Daten sind alle Arten personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet.
3.2 In der Regel werden die folgenden Datenarten/-kategorien verwendet:
Firmenstammdaten (Firmenname, Anschrift, Land, Unternehmenskennungen, Name und Kontaktdaten des gesetzlichen Vertreters)
Kommunikationsdaten (Telefon, E-Mail, …)
Vertragsstammdaten (Vertragsbeziehung)
Belegdaten: die Inhalte der über das Postfach empfangenen und versendeten elektronischen Belege (Rechnungsdateien im XML-Format, Anhänge, gerenderte PDF-Darstellungen) einschließlich sämtlicher darin enthaltener personenbezogener Daten
Belegmetadaten (Absender, Empfänger, Belegnummer, Datum, Betrag) sowie Transport- und Zustellnachweise aus dem Peppol-Netzwerk
Adressbuchdaten der vom Verantwortlichen angelegten Geschäftspartner (Firma, E-Mail-Adresse, Ort, Kennungen, Peppol-Adresse)
Einladungsdaten: E-Mail-Adresse, Firmenname, Belegmetadaten und Status-Zeitstempel der vom Verantwortlichen veranlassten Einladungen
3.3 Kategorien betroffener Personen sind insbesondere
Mitarbeiter des Verantwortlichen (sofern als Nutzer durch den Verantwortlichen angelegt)
Geschäftspartner des Verantwortlichen sowie deren Mitarbeiter und Ansprechpartner
Personen, die auf Veranlassung des Verantwortlichen per E-Mail eingeladen werden
4.1 Dem Verantwortlichen obliegen insbesondere folgende Pflichten:
Beurteilung der Zulässigkeit der Datenverarbeitung sowie Wahrung der Rechte der Betroffenen;
Unverzügliche Information des Auftragsverarbeiters, wenn der Verantwortliche Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt;
Vertrauliche Behandlung aller im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragsverarbeiters;
Der Verantwortliche informiert den Auftragsverarbeiter rechtzeitig über etwaige Ansprüche von Betroffenen wie beispielsweise Berichtigung oder Löschung der personenbezogenen Daten oder eine Einschränkung der Verarbeitung, die im Zusammenhang mit der vertraglich vereinbarten Leistung steht, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden.
4.2 Dem Verantwortlichen stehen folgende Rechte zu:
Kontrollrechte: Der Verantwortliche hat das Recht, im Benehmen mit dem Auftragsverarbeiter Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragsverarbeiter in dessen Geschäftsbetrieb zu überzeugen.
Der Auftragsverarbeiter stellt sicher, dass sich der Verantwortliche von der Einhaltung der Pflichten des Auftragsverarbeiters nach Art. 28 DSGVO überzeugen kann. Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen auf Anforderung die zur Wahrung seiner Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und die entsprechenden Nachweise verfügbar zu machen.
Der Auftragsverarbeiter weist dem Verantwortlichen auf Anfrage die Umsetzung der technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO nach. Dabei kann der Nachweis der Umsetzung solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, auch durch Vorlage eines aktuellen Testats, von Berichten oder Berichtsauszügen unabhängiger Instanzen (z. B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit erbracht werden.
Sofern für die Ermöglichung von darüber hinausgehenden Kontrollen durch den Verantwortlichen externe Kosten entstehen, kann der Auftragsverarbeiter diese Kosten auf den Verantwortlichen umlegen. Bevor Kosten entstehen, werden sich die Parteien vorab darüber verständigen, um diese so gering wie möglich zu halten und Prüfungshandlungen gegebenenfalls anzupassen.
Sollte seitens des Verantwortlichen über das ohnehin einzuhaltende regulatorische Maß hinaus die Notwendigkeit bestehen, weitere Prüfungen beim Auftragsverarbeiter durchzuführen, wird der Verantwortliche alle Kosten und Aufwendungen des Auftragsverarbeiters im Zusammenhang mit der Ausübung seiner Auskunfts-, Einsichts-, Zutritts-, Zugangs- sowie Weisungs- und Kontrollrechte, die über einen Manntag pro Jahr hinausgehen, tragen.
Weisungsrechte: Der Umgang mit den Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Verantwortlichen. Der Verantwortliche behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, das er durch Einzelweisungen konkretisieren kann. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren. Auskünfte an Dritte oder den Betroffenen darf der Auftragsverarbeiter nur nach vorheriger schriftlicher Zustimmung durch den Verantwortlichen erteilen. Mündliche Weisungen wird der Verantwortliche unverzüglich schriftlich oder per E-Mail (in Textform) bestätigen.
4.4 Vom Verantwortlichen autorisierte Drittanwendungen: Der Verantwortliche kann über eine Schnittstelle Anwendungen Dritter – etwa KI-Assistenten – autorisieren, das Postfach zu lesen und Dokumente zu versenden. Die Auswahl und Autorisierung einer solchen Anwendung ist eine Entscheidung des Verantwortlichen; die Freigabe erfolgt über einen Zustimmungsdialog, der die Anwendung und das betroffene Konto ausweist, und ist jederzeit widerruflich. Der Anbieter der autorisierten Anwendung ist kein Unterauftragsverarbeiter des Auftragsverarbeiters. Der Verantwortliche trägt die Verantwortung für die Auswahl der Anwendung und für die datenschutzrechtliche Ausgestaltung seines Verhältnisses zu deren Anbieter.
5.1 Technische und organisatorische Maßnahmen
Beim Umgang mit personenbezogenen Daten hat der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen (im Folgenden: TOM) zu treffen, um die Anforderungen nach Art. 28 Abs. 3 lit. c, 32 DSGVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO herzustellen.
Die nicht auftragsspezifischen Maßnahmen sind in der Anlage „Technische und organisatorische Maßnahmen nach Art. 32 DSGVO – Belegbote“ beschrieben, abrufbar unter https://legal.finodata.com/belegbote/de/tom.html. Die Anlage ist Vertragsbestandteil dieses Auftragsverarbeitungsvertrags.
Der Auftragsverarbeiter hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung, zu dokumentieren und dem Verantwortlichen zur Prüfung zu übergeben. Soweit die Prüfung/ein Audit des Verantwortlichen einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen.
Sofern auftragsspezifische Maßnahmen unter Berücksichtigung der spezifischen Anforderungen des Verantwortlichen zu vereinbaren sind, werden diese in einer gesonderten Anlage des jeweiligen Vertrags festgeschrieben.
Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.
5.2 Mitzuteilende Verstöße
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Falle von Verletzungen des Schutzes personenbezogener Daten gem. Art. 33 und 34 DSGVO. Hierzu gehören u. a. die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen; die Verpflichtung, Verletzungen personenbezogener Daten unverzüglich an den Verantwortlichen zu melden; die Ergreifung aller erforderlichen Maßnahmen zur Eindämmung einer Verletzung des Schutzes personenbezogener Daten und Mitteilung gegenüber dem Verantwortlichen sowie die Unterstützung bei Maßnahmen des Verantwortlichen im Falle von Verletzungen des Schutzes personenbezogener Daten.
Für Unterstützungsleistungen, die nicht in der Leistungsbeschreibung enthalten oder nicht auf ein Fehlverhalten des Auftragsverarbeiters zurückzuführen sind, kann der Auftragsverarbeiter eine Vergütung beanspruchen.
Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich darauf aufmerksam machen, wenn eine erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen bestätigt oder geändert wird.
5.3 Berichtigung, Sperrung und Löschung von Daten
Der Auftragsverarbeiter hat nur nach Weisung des Verantwortlichen die Daten, die im Auftrag verarbeitet werden, zu berichtigen, zu löschen oder zu sperren. Soweit ein Betroffener sich unmittelbar an den Auftragsverarbeiter zwecks Berichtigung oder Löschung seiner Daten wenden sollte, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten.
Nach Abschluss der vertraglichen Arbeiten oder früher nach Aufforderung durch den Verantwortlichen – spätestens mit Beendigung der Leistungsvereinbarung – hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Verantwortlichen auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen.
Abweichend von Ziffer 5.3.2 bewahrt der Auftragsverarbeiter die folgenden Daten auch nach Beendigung der Leistungsvereinbarung und nach Löschung des Kontos auf:
bereits über das Peppol-Netzwerk übermittelte Nachrichten einschließlich der Transportnachweise und der übermittelten Dokumente, soweit der Auftragsverarbeiter als Peppol-Dienstleister zu ihrer Aufbewahrung verpflichtet oder berechtigt ist;
die Nachweise über die Zustimmung des Kunden zu den AGB und zu dieser Vereinbarung einschließlich Dokumentversion, Zeitstempel, IP-Adresse und User-Agent, als Beweismittel über das Vertragsende hinaus;
Daten, die der Auftragsverarbeiter zur Einhaltung gesetzlicher Aufbewahrungspflichten benötigt.
Im laufenden Betrieb löscht der Auftragsverarbeiter Belege aus dem Papierkorb der Postfachansicht nach 30 Tagen und die Klartext-E-Mail-Adressen abgelaufener Einladungen nach 28 Tagen; für die Ratenbegrenzung verbleibt ein Hashwert. Persönliche Nutzerzugänge werden mit der Kontolöschung gelöscht.
Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragsverarbeiter entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Verantwortlichen übergeben.
5.4 Verarbeitung, Kennzeichnung, Trennung und Kopien von Daten
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Verantwortlichen. Er verwendet die zur Datenverarbeitung überlassenen Daten für keine anderen Zwecke. Kopien oder Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
Der Auftragsverarbeiter sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.
5.5 Datengeheimnis
Der Auftragsverarbeiter verpflichtet sich, bei der auftragsgemäßen Verarbeitung der personenbezogenen Daten des Verantwortlichen sowie dessen Kunden das Datengeheimnis zu wahren. Er verpflichtet sich, die gleichen Geheimnisschutzregeln zu beachten, wie sie dem Verantwortlichen obliegen. Diese Verpflichtungen bestehen auch nach Beendigung des Vertrags fort.
Der Auftragsverarbeiter bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind. Der Auftragsverarbeiter sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und entsprechend darauf verpflichtet. Er überwacht die Einhaltung der datenschutzrechtlichen Vorschriften.
Auskünfte an Dritte oder den Betroffenen darf der Auftragsverarbeiter nur nach vorheriger schriftlicher Zustimmung durch den Verantwortlichen erteilen. Die Weiterleitung von Daten an Dritte auf Weisung des Verantwortlichen ist nur insofern zulässig, als sie von der Einwilligung des Betroffenen umfasst ist und der Verantwortliche die Einhaltung der Verpflichtungen nach Art. 32 DSGVO durch den Dritten sichergestellt und dem Auftragsverarbeiter nachgewiesen hat oder für den Auftragsverarbeiter eine rechtliche Pflicht zur Herausgabe der im Auftrag verarbeiteten Daten besteht (bspw. im Rahmen einer Beschlagnahme durch staatliche Stellen).
5.6 Sonstige Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde zu informieren, soweit sie sich auf den Vertrag beziehen. Dies gilt auch, soweit eine zuständige Behörde beim Auftragsverarbeiter ermittelt.
Der Auftragsverarbeiter hat regelmäßig die Durchführung der Auftragskontrolle mittels regelmäßiger Prüfungen im Hinblick auf die Vertragsausführung bzw. -erfüllung durchzuführen, insbesondere Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur Durchführung des Auftrags.
Soweit der Verantwortliche seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragsverarbeiter ausgesetzt ist, hat ihn der Auftragsverarbeiter nach besten Kräften zu unterstützen.
Der Auftragsverarbeiter hat gegenüber dem Verantwortlichen eine Hinweispflicht in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 der DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen und vorherigen Konsultationen.
Der Auftragsverarbeiter hat die Verpflichtung, dem Verantwortlichen sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen, um diesen angemessen zu unterstützen, insbesondere im Rahmen der Datenschutz-Folgenabschätzung des Verantwortlichen und vorheriger Konsultationen mit der Aufsichtsbehörde durch den Verantwortlichen.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen. Der Auftragsverarbeiter kann für diese Leistung eine angemessene Vergütung vom Kunden verlangen.
Der Auftragsverarbeiter führt ein Verzeichnis nach Art. 30 Abs. 2 bis 5 DSGVO über alle vom Verantwortlichen übertragenen Verarbeitungen.
6.1 Haupt- und Nebenleistungen:
Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen.
Nicht zu den Hauptleistungen gehören Nebenleistungen, die der Auftragsverarbeiter z. B. als Telekommunikationsleistungen, sonstige Infrastrukturdienstleistungen, Post- und Kurierdienste, Transportdienstleistungen, Sicherheits- und Reinigungsdienste sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Dies gilt ebenso bei einer rein technischen Wartung, die nicht zu einer Qualifikation als Auftragsverarbeiter und einer Anwendung von Art. 28 DSGVO führt.
Ist Auftragsgegenstand der (Fern-)Wartung der Umgang mit nicht anonymisierten oder pseudonymisierten und damit direkt erkennbaren personenbezogenen Daten oder strukturierten Datensätzen mit personenbezogenen Daten, so handelt es sich um eine Auftragsverarbeitung nach Art. 28 DSGVO.
Der Auftragsverarbeiter ist verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Verantwortlichen auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.
6.2 Der Auftragsverarbeiter darf sich zur Erbringung der vertraglichen Leistungen Dritter weiterer Auftragsverarbeiter bedienen. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter im Sinne des Art. 28 DSGVO in Anspruch zu nehmen.
6.3 Die jeweils aktuell für Belegbote eingesetzten weiteren Auftragsverarbeiter können abgerufen werden unter https://legal.finodata.com/belegbote/de/subprocessors.html.
6.4 Der Auftragsverarbeiter informiert den Verantwortlichen, wenn er eine Änderung in Bezug auf die Hinzuziehung oder die Ersetzung weiterer Auftragsverarbeiter beabsichtigt. Der Verantwortliche kann gegen derartige Änderungen Einspruch erheben.
6.5 Der Einspruch gegen die beabsichtigte Änderung ist innerhalb von 4 Wochen nach Zugang der Information über die Änderung gegenüber dem Auftragsverarbeiter zu erheben. Im Fall des Einspruchs kann der Auftragsverarbeiter nach eigener Wahl die Leistung ohne die beabsichtigte Änderung erbringen oder – sofern die Erbringung der Leistung ohne die beabsichtigte Änderung dem Auftragsverarbeiter nicht zumutbar ist – die von der Änderung betroffene Leistung gegenüber dem Verantwortlichen innerhalb von 4 Wochen nach Zugang des Einspruchs kündigen.
6.6 Erteilt der Auftragsverarbeiter Aufträge an weitere Auftragsverarbeiter, so verpflichtet er sich, ihre datenschutzrechtlichen Pflichten aus diesem Vertrag auf den weiteren Auftragsverarbeiter zu übertragen.
6.7 Keine weiteren Auftragsverarbeiter im Sinne dieser Ziffer sind die Stellen, die die Peppol-Infrastruktur betreiben. Das Service Metadata Locator (SML), das Peppol-Verzeichnis sowie die Service Metadata Publisher und Access Points der jeweiligen Gegenseite sind eigenständige Stellen, die nicht im Auftrag des Auftragsverarbeiters handeln. Gleiches gilt für die zur Identitätsprüfung abgefragten Registerdienste.
7.1 Die Dauer des Auftrags (Laufzeit) sowie die Bedingungen für seine Beendigung ergeben sich aus dem jeweiligen übergeordneten Vertrag. Übergeordneter Vertrag sind die Allgemeinen Geschäftsbedingungen für die Nutzung von Belegbote.
7.2 Der Verantwortliche kann den Auftrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen die Bestimmungen dieses Vertrages vorliegt, der Auftragsverarbeiter eine Weisung des Verantwortlichen nicht ausführen kann oder will oder der Auftragsverarbeiter den Zutritt des Verantwortlichen vertragswidrig verweigert.
8.1 Verantwortlicher und Auftragsverarbeiter haften gegenüber betroffenen Personen entsprechend der in Art. 82 DSGVO getroffenen Regelung.
8.2 Macht eine betroffene Person gegenüber einer Partei Schadensersatzansprüche wegen Verstoßes gegen datenschutzrechtliche Bestimmungen geltend, so hat die beanspruchte Partei die andere Partei hierüber unverzüglich zu informieren.
8.3 Werden Ansprüche von Betroffenen, deren Daten verarbeitet werden, gegenüber dem Verantwortlichen wegen unzulässiger oder unrichtiger Datenverarbeitung geltend gemacht, so hat der Auftragsverarbeiter den Verantwortlichen bei der Sachaufklärung und bei der Abwehr der Ansprüche zu unterstützen.
8.4 Sofern der Verantwortliche etwaige Ansprüche ohne Erlaubnis des Auftragsverarbeiters anerkennt, ist der Rückgriff auf den Auftragsverarbeiter ausgeschlossen.
9.1 Rechtswahl, Erfüllungsort und Gerichtsstand richten sich nach den Allgemeinen Geschäftsbedingungen für die Nutzung von Belegbote.
9.2 Sollten sich einzelne Bestimmungen dieser Vereinbarung als ungültig erweisen, so wird hierdurch die Gültigkeit der übrigen Bestimmungen nicht berührt. Die ungültige Bestimmung ist durch eine solche Regelung zu ersetzen, die die Parteien getroffen hätten, hätten sie bei Abschluss des Vertrags an die Ungültigkeit des jeweiligen Punktes gedacht. Soweit diese Vereinbarung eine unbewusste Regelungslücke enthält, ist diese durch eine solche Regelung zu ersetzen, die die Parteien getroffen hätten, hätten sie bei Abschluss des Vertrags an die Regelungsbedürftigkeit des jeweiligen Punktes gedacht.
9.3 Vertragssprache ist Deutsch. Maßgeblich ist die deutsche Fassung dieser Vereinbarung.