Auftragsverarbeitungsvertrag (AVV)
Dieser Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO regelt die Verarbeitung personenbezogener Daten, die Lincora als Auftragnehmer im Rahmen des Rechnungs-Tools im Auftrag des Nutzers verarbeitet.
Geltungsbereich
Dieser AVV gilt ausschließlich für die Verarbeitung personenbezogener Daten, die Lincora im Rahmen des Rechnungs-Tools im Auftrag des Creators verarbeitet (z. B. Kunden- und Rechnungsdaten, Bezahllink-Metadaten). Für alle sonstigen Verarbeitungen im Rahmen der Plattform (insbesondere Konten, Matching, Analytics, öffentliche Profile, Abonnements, Plattformkommunikation, Sicherheit und Missbrauchsprävention) handelt Lincora, soweit nicht ausdrücklich anders vereinbart, als eigener Verantwortlicher; hierfür gilt die Datenschutzerklärung (/legal/datenschutz).
Einbeziehung: Dieser AVV wird mit der Nutzung des Rechnungs-Tools in seiner jeweils im Konto akzeptierten Fassung Vertragsbestandteil; die akzeptierte Fassung wird gespeichert und dem Auftraggeber dauerhaft zur Verfügung gestellt.
Vertragsparteien
Auftragnehmer: MEDIA SOCIETY NETWORKS
Agentur für Marketing und Kommunikation GmbH
Montanusstraße 62, 41515 Grevenbroich
vertreten durch Donat Brandt
service@media-society.de
Auftraggeber (Verantwortlicher): der Nutzer, der die Lincora-Dienste mit eigenem Konto/Zugangstoken nutzt und über das Rechnungs-Tool personenbezogene Daten verarbeitet.
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer ausschließlich im Auftrag und nach Weisung des Auftraggebers zum Zweck der Bereitstellung des Rechnungs-Tools. Der Vertrag läuft für die Dauer des zugrunde liegenden Nutzungsverhältnisses.
2. Art, Umfang, Zweck, Datenarten und Betroffenenkreise
Art & Zweck: Speicherung und Verarbeitung von Dokumenten (Rechnungen, Angebote, Gutschriften, Mahnungen, Quittungen u. ä.) sowie zugehöriger Daten zur Bereitstellung von Rechnungsstellung, Belegerfassung und Auswertung. Datenarten: Stamm-/Kontaktdaten der Kunden des Auftraggebers (Name, Anschrift, E-Mail), Rechnungs- und Zahlungsdaten, Positionen, Beträge, Steuerangaben; bei Belegen zusätzlich Lieferanten- und Belegdaten. Betroffenenkreise: Kunden, Lieferanten und Geschäftskontakte des Auftraggebers.
3. Weisungsrecht
Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers. Die Konfiguration und Nutzung der Dienste durch den Auftraggeber gelten als dessen Weisung; Einzelweisungen können in Textform an die oben genannte Kontaktadresse erteilt werden. Der Auftragnehmer informiert den Auftraggeber, wenn eine Weisung seiner Ansicht nach gegen datenschutzrechtliche Vorschriften verstößt.
4. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragnehmer hält angemessene technische und organisatorische Maßnahmen vor; die konkreten Maßnahmen sind in Anlage 1 beschrieben. Die zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.
5. Unterauftragsverarbeiter
Der Auftraggeber erteilt die allgemeine Genehmigung zur Hinzuziehung der unten gelisteten Unterauftragsverarbeiter. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter datenschutzrechtlich gleichwertig zu diesem AVV und bleibt für deren Einhaltung verantwortlich. Für Übermittlungen an Anbieter in Drittländern (USA) stützt sich der Auftragnehmer auf die EU-Standardvertragsklauseln (SCC) und — soweit der Anbieter zertifiziert ist — das EU-US Data Privacy Framework.
| Anbieter | Sitz | Leistung | Datenarten | Standort | Rolle | Transfer |
|---|---|---|---|---|---|---|
| netcup GmbH | Karlsruhe, DE | Server-Hosting | alle o. g. Daten (Speicherung) | Deutschland | Auftragsverarbeiter | EU/EWR |
| Supabase, Inc. | USA (EU-Region IE) | Datenbank, Auth, Datei-Storage | alle o. g. Daten | Irland (EU); Support ggf. USA | Auftragsverarbeiter | EU; SCC für Drittlandzugriffe |
| Stripe Payments Europe Ltd. | Dublin, IE (Konzern USA) | Zahlungsabwicklung (Bezahllink) | Zahlungs-/Transaktionsdaten | EU; Konzern USA | teils Auftragsverarbeiter, teils eigener Verantwortlicher | EU / SCC |
| Groq, Inc. | USA | KI-Belegerkennung (OCR) | Belegbild/-text, ggf. personenbezogene Daten | USA | Auftragsverarbeiter | SCC |
| Resend, Inc. | USA | E-Mail-Versand (transaktional) | E-Mail-Adresse, Versand-Metadaten | USA | Auftragsverarbeiter | SCC |
Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage im Voraus in Textform (z. B. im Konto oder per E-Mail). Der Auftraggeber kann einer Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Lässt sich der Widerspruch nicht ausräumen, kann der Auftraggeber den betroffenen Dienst kündigen.
6. Unterstützung des Auftraggebers / Betroffenenrechte
Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung der Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO. An den Auftragnehmer gerichtete Betroffenenanfragen werden an den Auftraggeber weitergeleitet.
7. Meldung von Datenschutzverletzungen
Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes der im Auftrag verarbeiteten Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 48 Stunden, und stellt die zur Erfüllung der Meldepflichten des Auftraggebers erforderlichen Informationen bereit. Die gesetzliche Verantwortlichkeit des Auftraggebers wird hierdurch nicht verkürzt.
8. Löschung und Rückgabe
Nach Abschluss der Verarbeitung löscht der Auftragnehmer die personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. Gesetzliche Aufbewahrungsfristen (z. B. 10 Jahre für Rechnungen nach § 147 AO / § 14b UStG) bleiben unberührt; entsprechende Daten werden in der Verarbeitung eingeschränkt und nach Fristablauf gelöscht.
9. Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, in angemessenem Umfang — vorrangig per Dokumentation und Selbstauskunft, vor Ort nur soweit erforderlich und rechtzeitig angekündigt.
10. Haftung und Schlussbestimmungen
Die Haftung richtet sich nach Art. 82 DSGVO und den zugrunde liegenden Nutzungsbedingungen. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht.
Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Vertraulichkeit: Zutrittskontrolle über die Rechenzentren der eingesetzten Anbieter; Zugangsschutz über token-/rollenbasierte Authentifizierung und gehashte Zugangsdaten; Mehr-Faktor-Authentifizierung für administrative Zugänge; Zugriffskontrolle über Least-Privilege und eine serverseitige Service-Rolle (kein direkter Client-Zugriff auf die Datenbank); Trennung der Daten nach Mandant/Konto.
Integrität: verschlüsselte Übertragung (TLS) für alle Verbindungen; Verschlüsselung gespeicherter Daten beim Anbieter (Encryption at Rest); Protokollierung relevanter administrativer und sicherheitsrelevanter Verarbeitungsvorgänge (Eingabe-/Zugriffskontrolle).
Verfügbarkeit & Belastbarkeit: Hosting in EU-Rechenzentren; regelmäßige automatisierte Backups inkl. Off-Site-Dumps (rollierendes Fenster); Wiederherstellbarkeit der Daten nach einem Vorfall; Monitoring zentraler Dienste.
Verfahren zur regelmäßigen Überprüfung: Überprüfung und bei Bedarf Anpassung der Maßnahmen; Patch-/Aktualisierungsprozess für eingesetzte Komponenten; Incident-Response- und Eskalationsprozess; vertragliche Bindung der Unterauftragsverarbeiter (siehe Ziffer 5); Verpflichtung der befugten Personen auf Vertraulichkeit.
Stand: 2026