Auftragsverarbeitungsvereinbarung

Zuletzt aktualisiert: 1. November 2026

Diese Auftragsverarbeitungsvereinbarung ("AVV") ist Bestandteil der Nutzungsbedingungen zwischen Ihnen ("Kunde", als Verantwortlicher) und der ZITA CH SINGLE MEMBER PRIVATE COMPANY, Betreiberin von Billino ("Auftragsverarbeiter"), vertreten durch Christos Zioutas. Sie regelt jede Verarbeitung personenbezogener Daten, die Billino in Ihrem Auftrag vornimmt, wenn Sie den Dienst nutzen — etwa Namen und Adressen Ihrer Rechnungsempfänger, Angaben auf hochgeladenen Belegen oder Kundendaten, die aus einem verbundenen Shopify-Shop synchronisiert werden. Sie gilt automatisch zusammen mit den Nutzungsbedingungen; mit der Erstellung eines Kontos akzeptieren Sie diese AVV im Namen Ihres Unternehmens.

Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch Billino, die in Rechnungen, Rechnungsempfängern, Belegen und — bei verbundenem Shop — Shopify-Bestell- und Kundendaten enthalten sind. Die Verarbeitung dauert an, solange Ihr Konto aktiv ist, und danach nur so lange, wie es zur Erfüllung der unten beschriebenen Löschpflichten erforderlich ist.

Art und Zweck der Verarbeitung

Wir erheben, speichern, strukturieren, rufen ab und übermitteln die oben beschriebenen personenbezogenen Daten ausschließlich, um den Dienst Billino entsprechend Ihren Anweisungen bereitzustellen — das Erstellen, Speichern und Zustellen von Rechnungen und Ausgabenbelegen sowie KI-gestützte Funktionen (z. B. Belegerkennung), sofern Sie diese nutzen. Wir verarbeiten diese Daten zu keinem eigenen Zweck.

Kategorien betroffener Personen und Daten

Betroffene Personen können Ihre Kunden und Rechnungsempfänger, auf Belegen genannte Lieferanten sowie — bei verbundenem Shop — die Kunden Ihres Shopify-Shops sein. Die personenbezogenen Daten entsprechen dem, was Sie angeben — typischerweise Namen, Adressen, E-Mail-Adressen und ähnliche identifizierende Angaben auf Rechnungen, bei Empfängern oder auf Belegen.

Unsere Pflichten als Auftragsverarbeiter

• Wir verarbeiten personenbezogene Daten nur auf Ihre dokumentierte Anweisung — in der Praxis durch den Betrieb von Billino gemäß Ihrer Konfiguration und Nutzung — es sei denn, EU- oder mitgliedstaatliches Recht verlangt etwas anderes; in diesem Fall informieren wir Sie vorab, sofern das Recht dies nicht untersagt.
• Alle Personen mit Zugriff auf Ihre Daten sind zur Vertraulichkeit verpflichtet.
• Wir setzen die unten beschriebenen technischen und organisatorischen Sicherheitsmaßnahmen um.
• Wir beauftragen Unterauftragsverarbeiter nur wie unten beschrieben und bleiben für deren Leistung verantwortlich.
• Wir stellen Ihnen die unter „Anfragen betroffener Personen" beschriebenen Werkzeuge zur Verfügung, mit denen Sie DSGVO-Anfragen Ihrer Kunden direkt bearbeiten können, und unterstützen Sie darüber hinaus, unter Berücksichtigung der Art der Verarbeitung, wo dies nicht ausreicht.
• Wir unterstützen Sie bei der Erfüllung Ihrer Pflichten zur Verarbeitungssicherheit, Meldung von Datenschutzverletzungen und Datenschutz-Folgenabschätzungen, unter Berücksichtigung der Art der Verarbeitung und der uns verfügbaren Informationen.
• Nach Beendigung der Dienstleistung löschen oder geben wir, nach Ihrer Wahl, alle personenbezogenen Daten zurück und löschen bestehende Kopien, sofern nicht EU- oder mitgliedstaatliches Recht eine Aufbewahrung vorschreibt.
• Wir stellen die zum Nachweis der Einhaltung dieser AVV erforderlichen Informationen bereit und ermöglichen Audits.

Ihre Pflichten als Verantwortlicher

Sie sind verantwortlich für die Rechtmäßigkeit der personenbezogenen Daten, die Sie in Billino eingeben — einschließlich einer gültigen Rechtsgrundlage für deren Erhebung und Weitergabe — sowie dafür, dass die Ihnen durch die Nutzung des Dienstes erteilten Anweisungen dem geltenden Datenschutzrecht entsprechen.

Unterauftragsverarbeiter

Sie erteilen eine generelle Genehmigung für die Beauftragung der unten aufgeführten Unterauftragsverarbeiter. Wir informieren Sie rechtzeitig im Voraus über Änderungen, mit der Möglichkeit zu widersprechen.

Befindet sich ein Unterauftragsverarbeiter außerhalb der EU/des EWR ohne entsprechenden Angemessenheitsbeschluss, ist die Übermittlung durch die oben genannten Standardvertragsklauseln abgesichert.

Sicherheitsmaßnahmen

Wir unterhalten die folgenden, dem Risiko angemessenen Maßnahmen:

• Alle Rechnungs-, Empfänger- und Kontodaten werden in der EU gehostet (Hetzner, Nürnberg / Frankfurt, Deutschland).
• Der gesamte Datenverkehr zwischen Ihrem Gerät und unseren Servern ist bei der Übertragung verschlüsselt (TLS).
• Mandantentrennung wird auf Datenbankebene durchgesetzt (Row-Level-Security) — kein Konto kann auf die Daten eines anderen Kontos zugreifen.
• Ausgestellte Rechnungen sind unveränderlich — sie können nach Ausstellung nicht destruktiv bearbeitet werden.
• Automatisierte tägliche Backups.
• Der Zugriff auf Produktivsysteme ist auf autorisierte Teammitglieder beschränkt, die zur Vertraulichkeit verpflichtet sind.
• Zwei-Faktor-Authentifizierung ist, soweit unterstützt, für Backend- und Infrastrukturkonten aktiviert.
• Anwendungs- und Infrastrukturprotokolle werden zur Unterstützung der Vorfallsuntersuchung erfasst.

Anfragen betroffener Personen

Sie können eine DSGVO-Anfrage eines Ihrer Kunden direkt in der App bearbeiten, für jeden Empfänger in Ihrem Konto:

• Export — Laden Sie alles herunter, was über diesen Empfänger gespeichert ist, einschließlich seiner Rechnungen, die wir zu Ihren eigenen buchhalterischen und steuerlichen Aufbewahrungszwecken speichern.
• Löschung — Wir anonymisieren die personenbezogenen Daten des Empfängers in Ihrem gesamten Konto, einschließlich betroffener Rechnungen. Die Rechnungsdatensätze selbst werden nicht gelöscht: Rechnungen sind rechtliche und buchhalterische Dokumente, die nach geltendem Recht aufbewahrt werden müssen, und das Recht auf Löschung nach der DSGVO hebt diese Pflicht nicht auf (Art. 17 Abs. 3 lit. b). Rechnungsnummer, Datum und Beträge bleiben unverändert; der Name des Empfängers und andere identifizierende Angaben werden ersetzt.
• Zeitpunkt — Eine Löschanfrage wird sofort bearbeitet, wenn Sie sie bestätigen, oder automatisch innerhalb von 21 Tagen, wenn Sie nichts unternehmen — so haben Sie zunächst ein Prüffenster.

Dies gilt sowohl für Anfragen, die Sie direkt erreichen, als auch für solche, die Shopify im Auftrag eines verbundenen Shops an uns weiterleitet.

Meldung von Datenschutzverletzungen

Werden wir auf eine Verletzung des Schutzes Ihrer personenbezogenen Daten aufmerksam, informieren wir Sie unverzüglich.

Löschung und Rückgabe von Daten

Nach Beendigung der Dienstleistung löschen oder geben wir Ihre personenbezogenen Daten, nach Ihrer Wahl, unverzüglich zurück — spätestens jedoch innerhalb eines angemessenen Zeitraums, der die reguläre Backup-Rotation berücksichtigt. Dies ist unabhängig von dem oben beschriebenen Lösch-Werkzeug pro Kunde, das während der gesamten Geschäftsbeziehung verfügbar bleibt und denselben buchhalterischen Aufbewahrungsgrenzen unterliegt.

Auditrechte

Wir stellen die zum Nachweis der Einhaltung dieser AVV angemessen erforderlichen Informationen bereit und ermöglichen Audits — einschließlich Inspektionen — durch Sie oder einen von Ihnen beauftragten Prüfer, nach gegenseitiger Vereinbarung und mit angemessener Vorankündigung.

Haftung, Laufzeit und anwendbares Recht

Die Haftung nach dieser AVV unterliegt der Haftungsbeschränkung in unseren Nutzungsbedingungen. Diese AVV gilt, solange wir personenbezogene Daten in Ihrem Auftrag verarbeiten, und besteht fort, bis unsere oben genannten Löschpflichten erfüllt sind. Sie unterliegt deutschem Recht, in Übereinstimmung mit den Nutzungsbedingungen.

Kontakt

Fragen zu dieser AVV oder zum Datenschutz allgemein? E-Mail: support@billino.io