Allgemeine Geschäftsbedingungen

8.1 Gegenstand, Dauer, Art und Zweck

Gegenstand ist die weisungsgebundene Bereitstellung der kontogebundenen Invoify-Anwendung für Kontakt-, Beleg- und Rechnungsverwaltung einschließlich Belegbox, verknüpfter Warenwirtschaft und vom Nutzer eingerichteter Integrationen. Die Verarbeitung umfasst Erfassen, Importieren, Ordnen, Speichern, Lesen, Anzeigen, Ergänzen, Berichtigen, Exportieren, auf Weisung Übermitteln und Löschen. Sie dauert für die Laufzeit des Nutzungsvertrages und bis zur abschließenden Rückgabe oder Löschung nach Ziffer 8.12.

Vom Anbieter zu eigenen Zwecken verarbeitete Konto-, Sicherheits- oder Vertragsdaten fallen unter die Datenschutzerklärung und werden nicht allein durch diese AVV zu Auftragsdaten.

8.2 Daten und betroffene Personen

Betroffene sind Kunden, Lieferanten, Ansprechpartner, Beschäftigte und sonstige Geschäftspartner des Nutzers sowie weitere in dessen Geschäftsbelegen genannte Personen. Datenkategorien sind Namen, Firmen, Anschriften, Kontaktangaben, Kunden- und Lieferantennummern, steuerliche Identifikatoren, Leistungs- und Artikeldaten, Rechnungs- und Belegangaben, Beträge, Währungen, Zahlungsinformationen, Belegdateien und zugehörige Metadaten.

8.3 Weisungen und Zweckbindung

Der Anbieter verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Nutzers, einschließlich Weisungen zu Empfängern und Drittlandübermittlungen. Der Nutzungsvertrag und die vom Nutzer veranlassten zulässigen Funktionen konkretisieren die Weisung. Zusätzliche Weisungen können in Textform an support@zrapp.de erteilt werden. Besteht eine gesetzliche Verarbeitungspflicht, informiert der Anbieter den Nutzer vorab, soweit dies gesetzlich zulässig ist.

Hält der Anbieter eine Weisung für datenschutzwidrig, informiert er den Nutzer unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus. Auftragsdaten werden nicht für eigene Werbung, eigene Modelltrainings oder sonstige unabhängige Zwecke des Anbieters verwendet.

8.4 Pflichten und Rechte des Nutzers

Der Nutzer bestimmt Zwecke und zulässige Rechtsgrundlagen seiner Verarbeitung und erfüllt die Informationspflichten gegenüber den betroffenen Personen. Er prüft Inhalt und Richtigkeit seiner Belege sowie die Zulässigkeit einer Weitergabe.

Diese Verantwortung hebt eigene gesetzliche Pflichten des Anbieters nicht auf. Der Anbieter darf eine fehlende Übermittlungsgrundlage oder unzureichende Garantien eines Empfängers nicht durch einen Haftungsausschluss oder eine pauschale Verantwortlichkeitsklausel auf den Nutzer verlagern.

8.5 Vertraulichkeit und berechtigte Personen

Der Anbieter stellt sicher, dass mit Auftragsdaten befasste Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe dürfen nur erfolgen, soweit sie zur Erfüllung des Auftrags erforderlich und berechtigt sind. Diese Verpflichtungen bestehen nach dem Ende des Auftrags fort.

8.6 Technische und organisatorische Maßnahmen

Der Anbieter trifft und überprüft risikogerechte Maßnahmen nach Art. 32 DSGVO. Zum dokumentierten technischen Umfang gehören verschlüsselte externe Verbindungen, Authentifizierung und Berechtigungsprüfungen, Mandantenbindung der Datenzugriffe, private Belegdateien mit zeitlich begrenzten Downloadlinks, serverseitige Verwaltung von API-Geheimnissen und unveränderte Ablage der hochgeladenen Originaldateien.

Organisatorisch sind insbesondere Zugriffsfreigaben, Vertraulichkeit, Behandlung von Vorfällen, Datensicherung und Wiederherstellung, Löschung sowie regelmäßige Wirksamkeitskontrollen zu dokumentieren. Konkrete Nachweise und die für den Auftrag geltenden Sicherungs- und Löschregeln stellt der Anbieter dem Nutzer auf Anfrage bereit. Diese Regelung behauptet keine Zertifizierung oder bereits nachgewiesenen Maßnahmen eines noch nicht freigegebenen Empfängers.

8.7 Weitere Auftragsverarbeiter und Änderungen

Der Nutzer erteilt eine allgemeine Genehmigung für die in dieser Vereinbarung beschriebenen Betriebsdienstleister, soweit deren tatsächlicher Einsatz durch geeignete Verträge und gegebenenfalls Transfergarantien abgesichert ist. Vor der Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters informiert der Anbieter in Textform über Empfänger, Aufgabe, Ort der Verarbeitung und erforderliche Garantien. Änderungen werden grundsätzlich mindestens 30 Kalendertage vor dem vorgesehenen Beginn angekündigt. Der Nutzer erhält Gelegenheit zu berechtigten Einwänden; eine betroffene optionale Verarbeitung wird bis zur Klärung nicht aufgenommen.

Der Anbieter verpflichtet weitere Auftragsverarbeiter vertraglich mindestens zu denselben Datenschutzpflichten, die für den jeweiligen Auftrag gelten, und bleibt dem Nutzer gegenüber für deren Pflichterfüllung nach Art. 28 Abs. 4 DSGVO verantwortlich. Die bloße Nennung eines Dienstleisters oder seine eigene Datenschutzerklärung ersetzt diesen Vertrag nicht.

Der derzeit beschriebene Betriebsumfang umfasst Contabo GmbH für Server-Hosting in der EU, Supabase für Authentifizierung sowie Datenbank- und privaten Belegdateispeicher in der konfigurierten EU-Region und IONOS für Plattform-System-E-Mails. Bei Supabase ist auch die mögliche Beteiligung der US-Gesellschaft Supabase Inc. und der zugehörigen Unterauftragsverarbeiter zu berücksichtigen. Für einen vom Nutzer selbst eingerichteten SMTP- oder Shop-Dienst bestimmt der Nutzer den Anbieter und die Übermittlung.

Eine KI- oder Texterkennung von Belegen findet nicht statt. Belege werden unverändert abgelegt; gültige E-Rechnungen werden auf den Servern des Anbieters technisch ausgelesen.

8.8 Drittlandübermittlungen

Verarbeitung außerhalb der EU oder des EWR erfolgt nur auf dokumentierte zulässige Weisung und mit einer tragfähigen Grundlage nach Kapitel V der DSGVO. Die Zustimmung zu allgemeinen Nutzungsbedingungen eines Dienstes oder die Auswahl einer Funktion ersetzt keine geeignete Übermittlungsgrundlage.

Vor dem Einsatz eines weiteren Empfängers außerhalb der EU oder des EWR sind die tatsächliche Empfängeridentität und Rolle, Verarbeitungs- und Zugriffsländer, Unterauftragsverarbeiter, verbindliche Zweckbindung, Speicher- und Löschfristen, Betroffenenrechte, Sicherheitsmaßnahmen und Vorfallmeldungen zu klären. Erforderlich sind ein geeigneter bindender Vertrag nach Art. 28 DSGVO und eine dokumentiert geprüfte Übermittlungsgrundlage mit wirksamen Garantien. Beim Einsatz von Standardvertragsklauseln sind das passende Regelwerk und Modul sowie eine Transferbewertung einschließlich erforderlicher zusätzlicher Maßnahmen zu prüfen.

Verwendung von Belegtexten für eigene Trainings- oder sonstige Zwecke des Empfängers ist im Rahmen der beschriebenen Auftragsverarbeitung nicht freigegeben. Ungeklärte Retention, unzureichende Garantien oder ein ungeeignetes Rollenmodell verhindern die Aktivierung. Ausnahmen nach Art. 49 DSGVO werden nicht als allgemeine Grundlage für eine routinemäßige Verarbeitung verwendet. Fällt eine erforderliche Voraussetzung später weg, wird die betroffene Übermittlung ausgesetzt.

8.9 Unterstützung und Betroffenenrechte

Der Anbieter unterstützt den Nutzer durch geeignete technische und organisatorische Maßnahmen bei Anträgen nach Art. 12 bis 22 DSGVO und bei Pflichten nach Art. 32 bis 36 DSGVO, unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen. Dies umfasst Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Sicherheitsprüfung, erforderliche Datenschutz-Folgenabschätzung und vorherige Konsultation.

Erhält der Anbieter eine Anfrage zu Auftragsdaten unmittelbar von einer betroffenen Person, leitet er sie unverzüglich an den verantwortlichen Nutzer weiter und handelt bei diesen Daten grundsätzlich nach dessen Weisung, soweit keine eigene gesetzliche Pflicht entgegensteht. Eigene Verarbeitungsvorgänge des Anbieters werden davon getrennt behandelt.

8.10 Datenschutzverletzungen

Der Anbieter informiert den Nutzer unverzüglich, sobald ihm eine Verletzung des Schutzes von Auftragsdaten bekannt wird. Die Information umfasst, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, Ansprechpartner, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Noch fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht.

Der Anbieter unterstützt die Bewertung, Eindämmung und Dokumentation des Vorfalls sowie die Erfüllung erforderlicher Melde- und Benachrichtigungspflichten. Die gesetzliche Meldefrist des Verantwortlichen gegenüber der Aufsichtsbehörde verlängert die unverzügliche Informationspflicht des Auftragsverarbeiters nicht. Entsprechende Pflichten sind gegenüber eingesetzten weiteren Auftragsverarbeitern abzusichern.

8.11 Nachweise, Kontrollen und Aufsicht

Der Anbieter stellt dem Nutzer die zum Nachweis der Pflichten nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Nutzer oder einen von ihm beauftragten Prüfer; er trägt zu diesen Prüfungen bei. Geeignete aktuelle Nachweise können zur Vorbereitung dienen, ersetzen aber keine gesetzlich erforderliche Prüfung.

Prüfungen werden unter angemessener Abstimmung von Zeitpunkt, Umfang und Schutz der Daten anderer Nutzer durchgeführt. Berechtigte Anlassprüfungen und Befugnisse von Aufsichtsbehörden werden dadurch nicht ausgeschlossen. Vertraulichkeit und Sicherheit anderer Mandanten bleiben gewahrt.

8.12 Rückgabe, Löschung und Ende des Auftrags

Nach Abschluss des Auftrags gibt der Anbieter Auftragsdaten nach Wahl des Nutzers zurück oder löscht sie einschließlich vorhandener Kopien, soweit keine eigene gesetzliche Pflicht des Anbieters zur Speicherung besteht. Der Nutzer kann Daten über verfügbare Exportfunktionen sichern; ergänzende Rückgabe- und Löschweisungen sind an support@zrapp.de zu richten. Der Anbieter dokumentiert die Erledigung auf Anfrage.

Sicherungen und technisch verzögert gelöschte Kopien sind zweckgebunden zu sperren und nach den dokumentierten Löschzyklen zu entfernen. Bei einer Wiederherstellung sind bereits erteilte Löschweisungen erneut umzusetzen. Für einen weiteren Auftragsverarbeiter müssen Rückgabe und Löschung einschließlich Fristen und etwaiger rechtlicher Speicherpflichten vor dessen Einsatz verbindlich geklärt sein.

Steuerliche oder handelsrechtliche Aufbewahrungspflichten des Nutzers werden nicht zu einer unbegrenzten eigenen Speicherpflicht des Anbieters. Der Nutzer bleibt für die Sicherung und gesetzlich erforderliche Aufbewahrung seiner Originalbelege verantwortlich. Die Belegbox ist keine Zusage eines automatisch unveränderlichen oder für jede gesetzliche Frist garantierten Langzeitarchivs.

8.13 Vorrang und gesetzliche Rechte

Bei Widersprüchen gehen für die Auftragsverarbeitung diese Datenschutzregelungen allgemeinen Leistungs- oder Haftungsbeschreibungen vor. Rechte betroffener Personen, Befugnisse von Aufsichtsbehörden und gesetzliche Haftung nach Art. 82 DSGVO bleiben unberührt. Die erforderliche Freigabe eines Empfängers muss anhand tatsächlicher Nachweise erfolgen.