Dueinbox
← Zur Startseite

Vertrag über die Auftragsverarbeitung (Art. 28 DSGVO)

Stand: 29. Oktober 2026

Zwischen dem Kunden von Dueinbox (Verantwortlicher, „Kunde“)

und Alexander Meier – Dueinbox, Wilhelmstr. 31, 42553 Velbert, E-Mail: info@dueinbox.com (Auftragsverarbeiter, „Anbieter“).

1. Gegenstand und Dauer

1.1 Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, um den Dienst Dueinbox nach den AGB zu erbringen.

1.2 Der Vertrag gilt, solange der Kunde ein Konto bei Dueinbox hat, und darüber hinaus, bis alle Daten des Kunden nach Ziffer 9 gelöscht sind.

2. Art, Zweck und Umfang

Art der Verarbeitung:

Zweck: Übersicht über eingehende Rechnungen, Mahnungen und Gutschriften des Kunden, Vorbereitung und Freigabe von Zahlungen, Ablage der Belege.

Kategorien betroffener Personen:

Kategorien von Daten:

Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen. Der Kunde lädt solche Daten nicht hoch, soweit sie nicht ausnahmsweise in einer Rechnung stehen und für deren Bezahlung nötig sind (etwa die Rechnung eines Arztes oder Therapeuten an den Betrieb). Solche Angaben verarbeitet der Anbieter nur wie alle übrigen Rechnungsdaten und ausschließlich im Rahmen dieses Vertrags.

3. Weisungen

3.1 Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind diese Vereinbarung, die AGB und die Bedienung des Dienstes durch den Kunden, einschließlich der Dokumente, die an seine Eingangsadresse gesendet werden. Weitere Weisungen erteilt der Kunde in Textform an info@dueinbox.com.

3.2 Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden darauf hin und darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

3.3 Ist der Anbieter gesetzlich zu einer Verarbeitung verpflichtet, teilt er dem Kunden das vorher mit, sofern das Gesetz es nicht verbietet.

4. Vertraulichkeit

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Derzeit verarbeitet ausschließlich der Inhaber Alexander Meier selbst Daten.

5. Sicherheit

Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.

6. Unterauftragsverarbeiter

6.1 Der Kunde ist mit den Unterauftragsverarbeitern nach Anlage 2 einverstanden.

6.2 Neue oder geänderte Unterauftragsverarbeiter kündigt der Anbieter mindestens vier Wochen vorher per E-Mail an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Kunde zum Wirksamwerden der Änderung kündigen.

6.3 Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich mindestens auf das Schutzniveau dieses Vertrags.

6.4 Eine Verarbeitung außerhalb der EU und des EWR findet nur bei den in Anlage 2 so gekennzeichneten Unterauftragsverarbeitern statt, und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, also auf Grundlage eines Angemessenheitsbeschlusses (etwa zum EU-US Data Privacy Framework für zertifizierte Unternehmen) oder von Standardvertragsklauseln der EU-Kommission. Die Grundlage je Unterauftragsverarbeiter ist in Anlage 2 angegeben.

7. Unterstützung des Kunden

7.1 Der Anbieter unterstützt den Kunden bei Anfragen betroffener Personen. Viele Rechte kann der Kunde selbst im Dienst erfüllen: Daten ansehen, ändern, löschen und exportieren. Erreicht eine Anfrage den Anbieter, leitet er sie unverzüglich an den Kunden weiter.

7.2 Der Anbieter unterstützt den Kunden bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit er dazu Informationen hat.

8. Meldung von Verletzungen

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die Kontoadresse des Inhabers. Der Kunde erreicht den Anbieter für Meldungen unter info@dueinbox.com. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen und ergriffene Maßnahmen.

9. Rückgabe und Löschung

9.1 Der Kunde kann seine Daten jederzeit im Dienst exportieren (Zahlungen als Tabelle, Originalbelege als Paket).

9.2 Löscht der Kunde sein Konto, löscht der Anbieter alle Daten des Kunden sofort aus dem laufenden Betrieb. Aus den Sicherungen verschwinden sie spätestens nach 14 Tagen, wenn die Sicherungen turnusgemäß gelöscht werden. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

9.3 Dokumente, die der Dienst als keine Rechnung, Mahnung oder Gutschrift aussortiert, löscht der Anbieter 30 Tage nach dem Aussortieren endgültig.

10. Nachweise und Kontrollen

Der Anbieter weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Unterlagen nach, insbesondere durch die Beschreibung der Maßnahmen und die Nachweise seiner Unterauftragsverarbeiter. Vor-Ort-Kontrollen sind nach rechtzeitiger Anmeldung, zu üblichen Geschäftszeiten und ohne Störung des Betriebs möglich. Den Aufwand trägt der Kunde, soweit die Kontrolle keinen Verstoß ergibt.

11. Haftung und Rangfolge

Für die Haftung gilt Art. 82 DSGVO, im Übrigen die Haftungsregeln der AGB. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

Integrität

Verfügbarkeit und Belastbarkeit

Verfahren zur Überprüfung

Anlage 2: Unterauftragsverarbeiter

Unternehmen Leistung Ort der Verarbeitung
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen Server, Datenbank, Dokumente, Sicherungen (einschließlich verschlüsselter Zweitkopie auf einem Webhosting), E-Mail-Versand über ein Postfach im Webhosting Deutschland
Anthropic, PBC, San Francisco, USA Auslesen von Dokumenten (KI-Modell Claude über Programmierschnittstelle); Data Processing Addendum ist Bestandteil der kommerziellen Bedingungen USA; Grundlage: Standardvertragsklauseln gemäß Data Processing Addendum
Cloudflare, Inc., San Francisco, USA Annahme der Mails an den E-Mail-Eingang (Email Routing und Worker) und verschlüsselte Weiterleitung an den Server, ohne Speicherung; Auftragsverarbeitungsvertrag ist Teil der Cloudflare-Bedingungen auch USA; Grundlage laut Cloudflare-DPA: Standardvertragsklauseln bzw. EU-US Data Privacy Framework

Cloudflare wird darüber hinaus nur für die Namensauflösung (DNS) genutzt; die App läuft nicht über Cloudflare.

Stripe bzw. Link ist kein Unterauftragsverarbeiter: Sold through Link, LLC (Stripe-Gruppe, USA) verkauft die Abos als Händler (Merchant of Record) und ist für Zahlungs- und Rechnungsdaten eigener Verantwortlicher. Inhalte des Kunden erhält Link nicht. Einzelheiten stehen in der Datenschutzerklärung.