Auftragsverarbeitungsvertrag

Dieser Vertrag besteht zwischen der Invoid Vision B.V., einer belgischen Gesellschaft mit beschränkter Haftung, eingetragen unter der KBO/BCE-Nummer 0777.887.045, mit Sitz in der Balegemstraat 17/7, 9860 Oosterzele, Belgien, die unter dem Namen Dokus auftritt („wir“), und dem Unternehmen oder der Person, die über einen Arbeitsbereich verfügt („Sie“).

Für die personenbezogenen Daten in den Dokumenten und Datensätzen, die Sie in Dokus eingeben, sind Sie Verantwortlicher und wir Auftragsverarbeiter. Für die Daten, die wir erheben, um Ihr Konto und diese Website zu betreiben, handeln wir als Verantwortliche; das regelt die Datenschutzerklärung.

Wenn Sie einem Buchhalter oder einem Buchhaltungsdienstleister Zugriff auf Ihren Arbeitsbereich geben, weisen Sie uns an, ihnen die Datensätze darin zu zeigen. Sie haben nur lesenden Zugriff auf die Datensätze und können sie nicht ändern. Diese Offenlegung erfolgt auf Ihre Weisung, und für die weitere Verwendung der Datensätze ist der Buchhalter oder Buchhaltungsdienstleister eigenständiger Verantwortlicher.

Anlage 1 legt den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Kategorien personenbezogener Daten und die Kategorien betroffener Personen fest. Kurz zusammengefasst:

• Gegenstand: die personenbezogenen Daten in den Dokumenten, Datensätzen und Nachrichten, die Sie in Dokus eingeben, und die Daten, die zum Betrieb Ihres Kontos nötig sind.
• Dauer: solange Sie über einen Arbeitsbereich verfügen, und bis die Löschung nach Abschnitt 9 abgeschlossen ist.
• Zweck: Speicherung, Extraktion, Klassifikation, Abgleich, Abruf, Rechnungsstellung und Peppol-Übertragung, Bankfeed-Synchronisierung, Benachrichtigungen, Support, Sicherheit und Abrechnung.
• Betroffene Personen: Sie, Ihre Mitarbeitenden, Ihre Kunden und Lieferanten sowie alle Personen, die in einem von Ihnen hochgeladenen Dokument genannt sind.
• Daten: Identifikations- und Kontaktdaten, Finanzunterlagen, Banktransaktionsdaten, Rechnungs- und Vertragsinhalte sowie alle weiteren personenbezogenen Daten, die ein Dokument enthält.

Wir verarbeiten die Daten ausschließlich nach Ihren dokumentierten Weisungen. Diese Weisungen sind die Nutzungsbedingungen, dieser Vertrag und die Entscheidungen, die Sie im Produkt treffen, etwa eine Bank verbinden, den E-Mail-Export einschalten oder einem Buchhalter Zugriff geben.

Wir verwenden Ihre Daten nicht für eigene Zwecke und verkaufen sie nicht.

Scheint eine Weisung gegen das Datenschutzrecht zu verstoßen, sagen wir Ihnen das, bevor wir danach handeln, es sei denn, das Gesetz verbietet es uns.

Jede Person, die auf Kundendaten zugreifen kann, ist zur Vertraulichkeit verpflichtet, ob Mitarbeitende oder Auftragnehmer. Der Zugriff ist auf die Personen beschränkt, die ihn für Support, Sicherheit oder eine gesetzliche Pflicht brauchen, und jeder solche Zugriff wird in Ihrer Aktivitätshistorie protokolliert.

Wir wenden die technischen und organisatorischen Maßnahmen nach Anlage 2 an. Sie umfassen Zugriffskontrolle, Verschlüsselung bei der Übertragung, verschlüsselte Backups, Trennung zwischen Arbeitsbereichen, Protokollierung, Überwachung und die Reaktion auf Vorfälle.

Wir führen keine Zertifizierungen an, die wir nicht besitzen. Wir verfügen über kein Zertifikat nach ISO 27001 oder SOC 2, und auf der Seite zum Fortbestand steht das auch.

Sie ermächtigen uns, die in Abschnitt 4 der Datenschutzerklärung aufgeführten Unterauftragsverarbeiter einzusetzen. Jeder ist uns gegenüber durch einen Auftragsverarbeitungsvertrag gebunden und verarbeitet personenbezogene Daten ausschließlich nach unseren Weisungen.

Dort sind auch die Empfänger genannt, die keine Unterauftragsverarbeiter sind. Die Bankanbindung stellt Ponto bereit, ein Dienst der Isabel NV/SA. Isabel NV/SA und die Bank, die Sie verbinden, handeln unter PSD2 als eigenständige Verantwortliche; für sie gilt kein Auftragsverarbeitungsvertrag.

Wir veröffentlichen einen neuen Unterauftragsverarbeiter in der Datenschutzerklärung, bevor er Daten für Sie verarbeitet, und das Datum oben auf dieser Seite ändert sich entsprechend. Wenn Sie aus triftigen Datenschutzgründen widersprechen, können Sie die Nutzung der betroffenen Funktion einstellen oder diesen Vertrag beenden. Wir behandeln einen Widerspruch nicht als Vertragsverstoß.

In der gehosteten Variante speichert Dokus Ihre Dokumente und die daraus abgeleiteten Datensätze in Belgien. Einige Unterauftragsverarbeiter sitzen außerhalb des Europäischen Wirtschaftsraums; die Datenschutzerklärung nennt sie. Diese Übermittlungen sind durch die Standardvertragsklauseln (2021/914) und die zusätzlichen Garantien der DSGVO abgedeckt.

Eine private Installation läuft in Ihrer eigenen Umgebung. Dieser Abschnitt gilt nur für die Daten, die Sie uns für den Support senden.

Der optionale Assistent Ask sendet Ihre Frage und die zur Antwort nötigen Datensätze an Anthropic PBC in den Vereinigten Staaten unter einem Auftragsverarbeitungsvertrag und nie als Trainingsdaten.

Ist die Cloud-Dokumentverarbeitung konfiguriert, führt Anthropic auch die Extraktion und die Klassifikation durch. Ist sie nicht konfiguriert, laufen beide auf Infrastruktur, die wir in Belgien betreiben. Anthropic ist in der Datenschutzerklärung für beide Zwecke als Unterauftragsverarbeiter genannt.

Kein anderer Teil von Dokus sendet Dokumentinhalte an einen Modellanbieter.

Ihre Dokumente bleiben in Ihrem Arbeitsbereich, solange er aktiv ist.

Wenn Sie einen Arbeitsbereich im Produkt löschen, wird die Anfrage aufgezeichnet und kann 30 Tage lang zurückgenommen werden. Danach wird der Arbeitsbereich gelöscht: die Dokumente, die daraus abgeleiteten Datensätze, die Bankverbindungen, die Peppol-Registrierung und die Kontodaten. Die Löschung erfolgt durch unser Team und nicht automatisch; sie ist innerhalb von 30 Tagen nach Ablauf dieser 30 Tage abgeschlossen. Wir bestätigen Ihnen schriftlich, wenn sie erledigt ist.

Wenn Sie uns per E-Mail bitten, Ihr Konto zu löschen, prüfen wir die Anfrage und schließen die Löschung innerhalb von 30 Tagen ab.

Einige Datensätze bleiben auch nach der Löschung erhalten, soweit belgisches Recht es verlangt. Rechnungen und Buchhaltungsunterlagen können bis zu 10 Jahre aufbewahrt werden, beschränkt auf diesen gesetzlichen Zweck.

Die Betriebshistorie wird 24 Monate aufbewahrt: das Aktivitätsprotokoll und der Gesprächsverlauf des Assistenten. Backups werden in einer Rotation aus 30 täglichen und 12 monatlichen Kopien gehalten und gelöscht, wenn sie aus der Rotation fallen.

Wenn jemand Sie um Auskunft über die Daten bittet, die wir für Sie speichern, oder um deren Berichtigung oder Löschung, sagen Sie es uns, und wir stellen Ihnen innerhalb von 10 Werktagen zur Verfügung, was Sie für die Antwort brauchen. Wir antworten der Person nicht direkt, es sei denn, Sie bitten uns darum.

Wir unterstützen Sie bei einer Datenschutz-Folgenabschätzung oder einer vorherigen Konsultation, soweit die Verarbeitung eine solche erforderlich macht.

Wir benachrichtigen Sie unverzüglich, nachdem wir Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt haben, die Ihre Daten betrifft, und in jedem Fall innerhalb von 72 Stunden. Die Benachrichtigung beschreibt, was geschehen ist, welche Daten betroffen waren, welche Folgen wahrscheinlich sind und was wir dagegen getan haben.

Wir dokumentieren die Verletzung und sagen Ihnen, was wir zu ihrer Eindämmung getan haben.

Sie können bei uns anfordern, was Sie brauchen, um zu belegen, dass die Verarbeitung den datenschutzrechtlichen Anforderungen entspricht: diesen Vertrag, die Liste der Unterauftragsverarbeiter, die Maßnahmen in Anlage 2 und Antworten auf einen Sicherheitsfragebogen. Sicherheits- und Beschaffungsfragen beantworten wir innerhalb eines Werktags.

Ein Besuch in unseren Räumen oder Systemen erfordert eine schriftliche Anfrage, eine Ankündigungsfrist von mindestens 30 Tagen und eine Vertraulichkeitsvereinbarung. Umfang, Zeitpunkt und die Frage, wer die Kosten trägt, klären wir vor dem Besuch. Wir können die Anfrage stattdessen mit einem Bericht eines unabhängigen Prüfers erfüllen.

Die Haftung nach diesem Vertrag unterliegt der Haftungsbeschränkung in den Nutzungsbedingungen. Nichts in diesem Vertrag beschränkt eine Haftung, die nach zwingendem Recht nicht beschränkt werden kann.

Dieser Vertrag läuft, solange wir Daten für Sie verarbeiten, und endet, wenn die Löschung abgeschlossen ist.

Wir können ihn ändern, wenn sich der Dienst, die Rechtslage oder ein Unterauftragsverarbeiter ändert. Version und Datum oben auf dieser Seite werden entsprechend angepasst, und wir veröffentlichen die Änderung, bevor sie wirksam wird. Mindert eine Änderung Ihre Rechte wesentlich, können Sie widersprechen und den Vertrag beenden.

Dieser Vertrag unterliegt belgischem Recht. Für Streitigkeiten gilt die Klausel zu anwendbarem Recht und Zuständigkeit in den Nutzungsbedingungen.

Dieser Vertrag ist in englischer Sprache verfasst. Die Fassungen in anderen Sprachen stellen wir bereit, damit Sie ihn in Ihrer eigenen Sprache lesen können; bei Abweichungen ist die englische Fassung maßgeblich.

Diese Anlage beschreibt die in Abschnitt 2 genannte Verarbeitung.

• Kategorien personenbezogener Daten: Identifikations- und Kontaktdaten; Finanzunterlagen wie Rechnungen, Quittungen, Kontoauszüge und Verträge; Bankkontokennungen, Salden und Transaktionen; Korrespondenz und Supportnachrichten; sowie alle personenbezogenen Daten, die ein von Ihnen hochgeladenes Dokument enthält.
• Kategorien betroffener Personen: Sie und Ihre Mitarbeitenden; Ihre Kunden; Ihre Lieferanten und andere Geschäftspartner; sowie Personen, die in Ihren Dokumenten genannt sind.
• Art der Verarbeitung: Erhebung, Speicherung, Extraktion, Klassifikation, Abgleich, Abruf, Strukturierung, Übermittlung und Löschung.
• Zweck: Ihre Datensätze aktuell halten, Rechnungen über Peppol erstellen und versenden, Banktransaktionen abgleichen, die Umsatzsteuerposition darstellen, Fragen über Ask beantworten, Datensätze an Ihren Buchhalter exportieren und das Konto betreiben.
• Dauer: die Laufzeit des Vertrags, danach die Aufbewahrungsfristen nach Abschnitt 9.
• Besondere Kategorien: Dokus ist nicht für besondere Kategorien personenbezogener Daten ausgelegt. Enthält ein von Ihnen hochgeladenes Dokument solche Daten, werden sie auf Ihre Weisung wie jeder andere Inhalt verarbeitet.

Die Maßnahmen, die wir auf die in Anlage 1 beschriebenen Daten anwenden.

• Zugriffskontrolle: Anmeldung per E-Mail-Link oder Passwort, rollenbasierte Berechtigungen und Support-Sitzungen, die zeitlich begrenzt und in Ihrer Aktivitätshistorie protokolliert sind.
• Verschlüsselung bei der Übertragung: TLS an jedem öffentlichen Endpunkt und TLS zwischen der Anwendung und ihrer Datenbank.
• Verschlüsselung im Ruhezustand: Backups werden mit restic verschlüsselt, bevor sie den Host verlassen. Dokumentspeicher und Datenbank liegen auf zugriffskontrollierten Volumes in der Infrastruktur, die wir betreiben.
• Trennung: Jede Abfrage ist auf einen einzigen Arbeitsbereich beschränkt, und es gibt keinen arbeitsbereichsübergreifenden Lesepfad.
• Protokollierung: ein Aktivitätsprotokoll jeder Änderung, 24 Monate aufbewahrt, und Warnmeldungen bei fehlgeschlagenen Anmeldungen und ungewöhnlichem Zugriff.
• Backups: 30 tägliche und 12 monatliche Kopien, verschlüsselt, gelöscht, wenn sie aus der Rotation fallen.
• Überwachung: Verfügbarkeits- und Fehlerwarnungen erreichen die Personen, die den Dienst bauen und betreiben.
• Reaktion auf Vorfälle: ein einziger Ansprechpartner, die Benachrichtigung nach Abschnitt 11 und eine schriftliche Aufzeichnung des Vorfalls.
• Löschung: wie in Abschnitt 9 beschrieben, schriftlich bestätigt.
• Personen: Zugriff nur für die Personen, die ihn brauchen, unter Vertraulichkeitspflicht.