Vertragsbedingungen
Allgemeine Geschäftsbedingungen (AGB)
Diese AGB regeln das Vertragsverhältnis zwischen <<FOUNDER_NAME>>, eingetragener Unternehmer (e.U.) mit Sitz in <<STREET>>, <<PLZ>> <<ORT>>, Österreich (im Folgenden „Anbieter") und dem Kunden über die Nutzung der Software-as-a-Service-Anwendung <<BRAND_NAME>>, abrufbar unter <<DOMAIN>>. Die Auftragsverarbeitung gemäß Art 28 DSGVO ist als Anlage 1 (AVV) untrennbarer Bestandteil dieser AGB.
§ 1Geltungsbereich und Vertragsschluss
(1) Diese Allgemeinen Geschäftsbedingungen (im Folgenden „AGB") gelten für sämtliche zwischen dem Anbieter und dem Kunden über die Software-as-a-Service-Anwendung <<BRAND_NAME>> (im Folgenden „Dienst") abgeschlossenen Verträge in der zum Zeitpunkt des Vertragsschlusses gültigen Fassung. Abweichende, entgegenstehende oder ergänzende Bedingungen des Kunden werden nicht Vertragsbestandteil, es sei denn, der Anbieter stimmt ihrer Geltung ausdrücklich schriftlich zu.
(2) Der Dienst richtet sich ausschließlich an Unternehmer im Sinne des § 1 UGB sowie an Personen, die im Sinne des § 1 KSchG keine Verbraucher sind. Vertragspartner können daher nur natürliche oder juristische Personen sowie eingetragene Personengesellschaften sein, die bei Abschluss des Vertrages in Ausübung ihrer gewerblichen oder selbständigen beruflichen Tätigkeit handeln. Verbraucher im Sinne des § 1 Abs 1 Z 2 KSchG sind vom Vertragsschluss ausdrücklich ausgeschlossen.
(3) Der Kunde bestätigt mit Annahme dieser AGB ausdrücklich, dass er den Vertrag in seiner Eigenschaft als Unternehmer abschließt. Eine entsprechende, von der allgemeinen AGB-Zustimmung gesondert zu erteilende Bestätigung ist im Registrierungsflow vorgesehen. Stellt sich heraus, dass diese Bestätigung unrichtig war, ist der Anbieter berechtigt, den Vertrag aus wichtigem Grund mit sofortiger Wirkung zu beenden.
(4) Der Vertrag kommt durch die Aktivierung des Kontos durch den Anbieter zustande. Die Aktivierung erfolgt regelmäßig automatisiert unmittelbar nach Abschluss der Registrierung und Bestätigung der E-Mail-Adresse. Der Anbieter behält sich vor, den Vertragsschluss ohne Angabe von Gründen abzulehnen.
(5) Vertragssprache ist Deutsch. Allfällige Übersetzungen dieser AGB in andere Sprachen dienen ausschließlich der Information; bei Widersprüchen ist ausschließlich die deutsche Fassung verbindlich.
§ 2Leistungsbeschreibung
(1) Der Anbieter stellt dem Kunden für die Vertragsdauer den Dienst <<BRAND_NAME>> als webbasierte Anwendung zur Verfügung. Der Leistungsumfang umfasst insbesondere:
- die Erstellung und Verwaltung lückenlos fortlaufend nummerierter Ausgangsrechnungen nach den Vorgaben des § 11 UStG;
- die revisionssichere Archivierung von Belegen unter Wahrung der Aufbewahrungspflichten des § 132 BAO sowie § 190 UGB;
- den Export von Buchungsdaten in das von BMD vorgegebene Importformat;
- die Einladung von Steuerberatern als Lese-Berechtigte gemäß den Leistungsmerkmalen des Dienstes;
- ergänzende Funktionen entsprechend der jeweils aktuellen Leistungsbeschreibung.
(2) Der Anbieter erbringt ausdrücklich keine steuerliche, rechtliche oder unternehmensberatende Leistung. Der Dienst ersetzt nicht die Inanspruchnahme eines Steuerberaters, Wirtschaftsprüfers oder Rechtsanwalts. Die Verantwortung für die inhaltliche Richtigkeit der eingegebenen Daten, für die Einhaltung steuerlicher Pflichten sowie für die Anmeldung und Abfuhr von Abgaben trägt ausschließlich der Kunde.
(3) Der jeweils aktuelle Funktionsumfang ergibt sich aus der Leistungsbeschreibung unter der Funktionen-Seite sowie aus der jeweils gewählten Tarifstufe. Der Anbieter ist berechtigt, den Dienst weiterzuentwickeln, einzelne Funktionen zu ergänzen oder zu ersetzen, sofern der vertraglich geschuldete Leistungskern dadurch nicht wesentlich beeinträchtigt wird.
(4) Eine bestimmte Eignung des Dienstes für individuelle Zwecke des Kunden wird nur zugesichert, wenn dies ausdrücklich schriftlich vereinbart wurde.
§ 3Registrierung und Pflichtangaben
(1) Voraussetzung für die Nutzung des Dienstes ist die vollständige Registrierung. Der Kunde hat im Rahmen der Registrierung zumindest eine der folgenden Angaben wahrheitsgemäß und nachweisbar zu hinterlegen:
- eine gültige Umsatzsteuer-Identifikationsnummer (UID-Nummer);
- eine gültige Firmenbuchnummer; oder
- eine gültige Gewerbeschein- oder GISA-Nummer.
(2) Der Kunde hat sämtliche Pflichtangaben wahrheitsgemäß und vollständig zu machen und Änderungen unverzüglich zu aktualisieren. Der Anbieter ist berechtigt, die Angaben in zumutbarem Umfang zu überprüfen und im Verdachtsfall Nachweise anzufordern.
(3) Der Kunde bestätigt im Rahmen der Registrierung in einem separaten, von der AGB-Zustimmung getrennten Bestätigungsfeld, dass er den Vertrag in seiner Eigenschaft als Unternehmer im Sinne des § 1 UGB abschließt.
(4) Der Kunde ist verpflichtet, die Zugangsdaten zu seinem Konto vertraulich zu behandeln, Dritten nicht zugänglich zu machen und bei Verdacht auf einen Missbrauch unverzüglich den Anbieter zu informieren. Bis zum Zeitpunkt der Mitteilung trägt der Kunde die Verantwortung für sämtliche unter seinem Konto vorgenommenen Handlungen.
§ 4Preise, Zahlungsbedingungen und Vertragslaufzeit
(1) Die Preise ergeben sich aus der jeweils gültigen Preisliste, abrufbar unter der Preisseite. Sämtliche Preise verstehen sich als Nettobeträge zuzüglich der jeweils gesetzlichen Umsatzsteuer.
(2) Die Abrechnung erfolgt nach Wahl des Kunden monatlich oder jährlich im Voraus über den Zahlungsdienstleister Stripe Payments Europe Ltd. mit Sitz in Dublin, Irland sowie Stripe Inc. mit Sitz in San Francisco, USA. Mit der Beauftragung erteilt der Kunde dem Anbieter die Ermächtigung, die fälligen Entgelte über den hinterlegten Zahlungsweg einzuziehen.
(3) Verbrauchsabhängige Leistungsbestandteile (etwa pro Beleg, pro KI-Erkennung oder pro zusätzlichem Speichervolumen) werden in der Preisliste gesondert und vorab eindeutig ausgewiesen. Eine Abrechnung über die in der gewählten Tarifstufe inkludierten Kontingente hinaus erfolgt nur in dem in der Preisliste festgelegten Umfang.
(4) Der Vertrag wird auf unbestimmte Zeit geschlossen. Bei monatlicher Abrechnung kann er von beiden Vertragsparteien jeweils zum Ende des laufenden Abrechnungsmonats ohne Angabe von Gründen gekündigt werden. Bei jährlicher Abrechnung kann der Vertrag jeweils zum Ende des laufenden Abrechnungsjahres gekündigt werden. Eine darüber hinausgehende Mindestvertragsdauer besteht nicht. Eine stillschweigende Verlängerung um längere Zeiträume findet nicht statt.
(5) Der Anbieter ist berechtigt, die Preise einmal je Kalenderjahr in Anlehnung an die Veränderung des vom Statistik Austria verlautbarten Verbraucherpreisindex (VPI) für Österreich anzupassen. Maßstab ist die Veränderung des VPI seit der letzten Preisanpassung bzw. seit Vertragsschluss. Eine Preisanpassung wird dem Kunden mindestens sechs Wochen vor ihrem Wirksamwerden in Textform mitgeteilt.
(6) Liegt die mitgeteilte Preisanpassung mehr als zehn Prozentpunkte über der zugrunde gelegten VPI-Veränderung, steht dem Kunden ein außerordentliches Kündigungsrecht zu, das er bis zum Wirksamwerden der Anpassung in Textform ausüben kann. Mit Zugang der Kündigung endet der Vertrag zum Ablauf des laufenden Abrechnungszeitraums; bereits geleistete, auf nachfolgende Zeiträume entfallende Entgelte werden anteilig erstattet.
(7) Bei Zahlungsverzug ist der Anbieter berechtigt, angemessene Mahngebühren zu verrechnen sowie die gesetzlichen Verzugszinsen gemäß § 456 UGB für unternehmerische Geschäfte geltend zu machen. Der Anbieter ist nach erfolgloser Mahnung und angemessener Nachfristsetzung berechtigt, den Zugang zum Dienst auszusetzen; § 132 BAO bleibt davon unberührt.
§ 5Testphase
(1) Bietet der Anbieter eine kostenlose Testphase an, ist deren Dauer und Umfang im Registrierungsflow eindeutig angegeben. Während der Testphase fallen für den Kunden keine Entgelte an.
(2) Die Testphase endet automatisch mit Ablauf der angegebenen Dauer ohne weiteres Zutun einer Vertragspartei. Eine stillschweigende Verlängerung in einen entgeltpflichtigen Tarif findet ausdrücklich nicht statt. Der Übergang in einen entgeltpflichtigen Tarif setzt eine ausdrückliche Beauftragung durch den Kunden voraus.
(3) Der Anbieter ist berechtigt, den Funktionsumfang während der Testphase einzuschränken sowie die Testphase aus sachlichen Gründen jederzeit zu beenden.
§ 6Mitwirkungspflichten des Kunden
(1) Der Kunde ist verpflichtet, alle für die Erbringung der Leistung erforderlichen Mitwirkungshandlungen rechtzeitig und vollständig zu erbringen. Dazu zählen insbesondere:
- die Bereitstellung wahrheitsgemäßer, vollständiger und aktueller Stamm- und Belegdaten;
- die Geheimhaltung der Zugangsdaten sowie die Verwendung angemessen sicherer Passwörter;
- die Einhaltung der geltenden Gesetze, insbesondere des Steuer-, Daten- und Urheberrechts, sowie der Rechte Dritter;
- der Verzicht auf jede Form von Sicherheitsangriffen, Penetrationsversuchen oder das Einbringen von Schadcode;
- der Verzicht auf missbräuchliche Automatisierung (insbesondere Scraping, Lastangriffe oder die Umgehung von Tarifgrenzen);
- die Vornahme regelmäßiger eigener Sicherungen der vom Kunden eingegebenen Daten sowie der über den Dienst bereitgestellten Exporte.
(2) Verletzt der Kunde eine wesentliche Mitwirkungspflicht, ist der Anbieter berechtigt, den Zugang zum Dienst nach vorheriger Aufforderung zur Behebung auszusetzen und in besonders schweren Fällen den Vertrag aus wichtigem Grund mit sofortiger Wirkung zu beenden.
§ 7Verfügbarkeit
(1) Der Anbieter bemüht sich um eine möglichst hohe Verfügbarkeit des Dienstes. Eine bestimmte Verfügbarkeit im Sinne eines Service Level Agreement wird im Rahmen dieses Vertrages nicht zugesichert; die Leistung wird nach besten Kräften („best effort") erbracht.
(2) Geplante Wartungs- und Aktualisierungsarbeiten werden, soweit möglich, in nachfrageschwachen Zeiten durchgeführt und dem Kunden in zumutbarer Frist vorab in Textform oder in der Anwendung angekündigt.
(3) Treten technische Einschränkungen auf, wird der Anbieter den Kunden hierüber sowie über den jeweils verfügbaren eingeschränkten Funktionsumfang („degraded mode") angemessen informieren. Die Pflicht zur revisionssicheren Aufbewahrung gemäß § 132 BAO bleibt davon unberührt.
(4) Vom Verfügbarkeitsversprechen ausgenommen sind Ausfälle, die der Anbieter nicht zu vertreten hat, insbesondere durch höhere Gewalt, behördliche Maßnahmen, Ausfälle von Vorleistungen Dritter (etwa von Hosting-, Zahlungs- oder Kommunikationsanbietern) sowie durch Maßnahmen, die zur Abwehr akuter Sicherheitsrisiken erforderlich sind.
§ 8Gewährleistung
(1) Der Anbieter leistet Gewähr dafür, dass der Dienst während der Vertragsdauer im Wesentlichen der Leistungsbeschreibung entspricht. Bei Mängeln ist der Anbieter zur Verbesserung, zum Austausch oder zur Bereitstellung einer Umgehungslösung in angemessener Frist berechtigt; eine angemessene Anzahl an Verbesserungsversuchen ist zu dulden.
(2) Schlägt die Mängelbehebung innerhalb angemessener Frist endgültig fehl, ist der Kunde berechtigt, Preisminderung oder, bei nicht nur geringfügigem Mangel, Wandlung zu begehren.
(3) Der Kunde hat den Dienst nach Inbetriebnahme unverzüglich auf erkennbare Mängel zu prüfen und festgestellte Mängel gemäß § 377 UGB unverzüglich, jedenfalls binnen einer angemessenen Frist nach Entdeckung, in Textform mitzuteilen. Unterbleibt die rechtzeitige Rüge, gilt der Dienst hinsichtlich des betreffenden Mangels als genehmigt.
(4) Die Gewährleistungsfrist beträgt bei einer dauerschuldverhältnis-bezogenen Leistung wie diesem Dienst die gesetzliche Frist; für einmalige Werkleistungen gelten die §§ 922 ff ABGB. Eine Beweislastumkehr zugunsten des Kunden nach § 924 ABGB ist im unternehmerischen Verkehr ausgeschlossen.
§ 9Haftung
(1) Der Anbieter haftet dem Kunden für Schäden, die auf Vorsatz oder grober Fahrlässigkeit beruhen, sowie für Personenschäden nach den gesetzlichen Bestimmungen unbeschränkt. Diese Haftung ist gemäß § 879 ABGB nicht abdingbar.
(2) Für Schäden, die auf leichter Fahrlässigkeit beruhen, ist die Haftung des Anbieters im unternehmerischen Verkehr ausgeschlossen.
(3) Bei grob fahrlässig verursachten Schäden, ausgenommen Personenschäden, ist die Haftung des Anbieters der Höhe nach auf den vertragstypischen, vorhersehbaren Schaden begrenzt, höchstens jedoch auf den Betrag der vom Kunden in den letzten zwölf Monaten vor dem schadensauslösenden Ereignis tatsächlich gezahlten Netto-Entgelte für den Dienst.
(4) Eine Haftung für mittelbare Schäden, Folgeschäden, entgangenen Gewinn, Produktionsausfall, entgangene Einsparungen, Zinsverluste sowie für Schäden aus Ansprüchen Dritter ist im Rahmen der gesetzlich zulässigen Grenzen ausgeschlossen.
(5) Eine Haftung für Datenverluste ist im gesetzlich zulässigen Umfang ausgeschlossen, soweit der Kunde seiner Pflicht zur regelmäßigen eigenen Sicherung gemäß § 6 Abs (1) lit f nicht nachgekommen ist. In diesem Fall haftet der Anbieter nur für jenen Aufwand, der bei ordnungsgemäßer Datensicherung durch den Kunden für die Wiederherstellung der Daten typischerweise erforderlich gewesen wäre.
(6) Die vorstehenden Haftungsbeschränkungen gelten nicht für Ansprüche nach dem Produkthaftungsgesetz sowie für die zwingende Haftung nach Art 82 DSGVO.
§ 10Datenarchiv und Aufbewahrung nach § 132 BAO
(1) Der Anbieter stellt sicher, dass die im Dienst eingestellten Belege und Aufzeichnungen über einen Zeitraum von sieben Jahren ab Ende des Kalenderjahres, in dem das jeweilige Geschäftsjahr endete, revisionssicher und unveränderlich aufbewahrt werden. Diese Aufbewahrung erfüllt die Anforderungen des § 132 BAO sowie des § 190 UGB und ist ausdrückliches Leistungsmerkmal des Dienstes.
(2) Nach Beendigung des Vertrages stellt der Anbieter dem Kunden seine Daten und Belege für einen Zeitraum von 30 Tagen in einem strukturierten, gängigen und maschinenlesbaren Format zum Download bereit. Der Kunde wird vor Ablauf dieser Frist auf die bevorstehende Löschung in Textform hingewiesen.
(3) Nach Ablauf der 30-tägigen Exportfrist werden die Daten gelöscht, soweit dem nicht gesetzliche Aufbewahrungspflichten, insbesondere nach § 132 BAO, § 190 UGB oder § 212 UGB, entgegenstehen. Soweit Aufbewahrungspflichten bestehen, werden die betroffenen Daten ausschließlich für diesen Zweck weitergespeichert und gegen weitere Verarbeitung gesperrt.
§ 11Datenschutz und Auftragsverarbeitung
(1) Der Anbieter verarbeitet personenbezogene Daten nach Maßgabe der DSGVO und des österreichischen Datenschutzgesetzes. Einzelheiten zu Art, Umfang und Zwecken der Verarbeitung als Verantwortlicher ergeben sich aus der Datenschutzerklärung.
(2) Soweit der Anbieter im Rahmen der Leistungserbringung personenbezogene Daten weisungsgebunden für den Kunden verarbeitet, ist der als Anlage 1 (AVV) integrierte Auftragsverarbeitungsvertrag gemäß Art 28 DSGVO untrennbarer Bestandteil dieses Vertrages. Die Zustimmung zum AVV erfolgt im Registrierungsflow über eine eigene, von der AGB-Checkbox getrennte Zustimmung.
(3) Der Anbieter bedient sich zur Erbringung der Leistung der in der Subprozessoren-Liste ausgewiesenen Unterauftragsverarbeiter. Diese Liste wird laufend aktualisiert. Änderungen werden dem Kunden im Sinne einer allgemeinen Genehmigung mindestens 30 Tage vor Wirksamwerden mitgeteilt.
(4) Der Kunde verbleibt im Verhältnis zu betroffenen Personen Verantwortlicher im Sinne des Art 4 Z 7 DSGVO und ist insbesondere für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Betroffenenrechte zuständig.
§ 12Geheimhaltung
(1) Die Vertragsparteien verpflichten sich wechselseitig, alle ihnen im Rahmen der Vertragsanbahnung und -durchführung bekannt werdenden Informationen der jeweils anderen Partei, die als vertraulich gekennzeichnet sind oder ihrer Natur nach als vertraulich anzusehen sind, geheim zu halten, nur zu vertraglichen Zwecken zu verwenden und Dritten nicht zugänglich zu machen.
(2) Die Geheimhaltungspflicht gilt nicht für Informationen, die (i) zum Zeitpunkt der Offenlegung bereits allgemein bekannt waren oder nachträglich ohne Verschulden des Empfängers allgemein bekannt werden, (ii) dem Empfänger nachweislich bereits vor der Offenlegung bekannt waren, (iii) dem Empfänger von einem Dritten ohne Verstoß gegen eine Geheimhaltungsverpflichtung mitgeteilt werden oder (iv) aufgrund gesetzlicher Vorschriften, gerichtlicher oder behördlicher Anordnungen offenzulegen sind.
(3) Die Geheimhaltungspflicht besteht über die Beendigung dieses Vertrages hinaus für die Dauer von drei Jahren fort.
§ 13Vertragsübernahme und Änderung der AGB
(1) Der Anbieter ist berechtigt, seine Rechte und Pflichten aus diesem Vertrag ganz oder teilweise auf einen Dritten zu übertragen, sofern der Dritte in den Vertrag mit demselben Leistungsumfang eintritt. Der Kunde wird über eine solche Übertragung mindestens sechs Wochen vor Wirksamwerden in Textform informiert und ist im Falle einer solchen Übertragung berechtigt, den Vertrag innerhalb dieser Frist zum Wirksamkeitsdatum der Übertragung außerordentlich zu kündigen.
(2) Der Anbieter ist berechtigt, diese AGB mit Wirkung für die Zukunft zu ändern, sofern dies zur Anpassung an veränderte rechtliche oder technische Rahmenbedingungen, zur Berücksichtigung neuer Funktionen oder zur Klarstellung erforderlich ist und der vertragliche Leistungskern nicht zum Nachteil des Kunden wesentlich geändert wird. Geplante Änderungen werden dem Kunden mindestens sechs Wochen vor ihrem Wirksamwerden in Textform mit hervorgehobener Kennzeichnung der Änderungen mitgeteilt.
(3) Der Kunde kann den geänderten AGB innerhalb dieser sechs Wochen in Textform widersprechen. Widerspricht der Kunde, gilt der Widerspruch als außerordentliche Kündigung zum Wirksamkeitsdatum der Änderung. Eine einseitige Durchsetzung der geänderten AGB ohne diese Widerspruchsmöglichkeit erfolgt nicht. Auf das Widerspruchsrecht sowie auf die Rechtsfolgen eines unterbliebenen Widerspruchs wird in der Änderungsmitteilung gesondert hingewiesen.
§ 14Schlussbestimmungen
(1) Als ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag wird das für den Sitz des Anbieters (<<PLZ>> <<ORT>>) sachlich zuständige österreichische Gericht vereinbart. Der Anbieter ist darüber hinaus berechtigt, den Kunden auch an dessen allgemeinem Gerichtsstand zu klagen.
(2) Auf diesen Vertrag findet ausschließlich österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts sowie unter Ausschluss des UN-Kaufrechts (CISG) Anwendung.
(3) Sollte eine Bestimmung dieser AGB ganz oder teilweise unwirksam oder undurchführbar sein oder werden, so berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Anstelle der unwirksamen oder undurchführbaren Bestimmung gilt diejenige wirksame und durchführbare Regelung als vereinbart, deren wirtschaftlicher Erfolg dem der unwirksamen oder undurchführbaren Bestimmung am nächsten kommt. Gleiches gilt für allfällige Regelungslücken.
(4) Ein Verweis auf die Online-Streitbeilegungsplattform der Europäischen Union erfolgt nicht, da diese mit Aufhebung der Verordnung (EU) 524/2013 zum 20. Juli 2025 nicht mehr besteht und der Dienst sich überdies ausschließlich an Unternehmer richtet.
§ 15Stand
Stand dieser Allgemeinen Geschäftsbedingungen: <<STAND_DATUM>>. Es gilt jeweils die zum Zeitpunkt des Vertragsschlusses bzw. zum Zeitpunkt der wirksamen Änderung gültige Fassung. Die jeweils aktuelle Fassung ist unter <<DOMAIN>>/legal/agb abrufbar.
Anlage 1 zu den AGB
Auftragsverarbeitungsvertrag (AVV) gemäß Art 28 DSGVO
Dieser Auftragsverarbeitungsvertrag (im Folgenden „AVV") konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien aus dem in den AGB beschriebenen Hauptvertrag und ist als Anlage 1 untrennbarer Bestandteil dieser AGB. Verantwortlicher im Sinne des Art 4 Z 7 DSGVO ist der Kunde; Auftragsverarbeiter im Sinne des Art 4 Z 8 DSGVO ist der Anbieter. Die Zustimmung zu diesem AVV erfolgt im Registrierungsflow über eine gesonderte, von der AGB-Zustimmung getrennte Bestätigung; die elektronische Form ist gemäß Art 28 Abs 9 DSGVO ausreichend.
§ APräambel und Definitionen
(1) Der Anbieter erbringt für den Kunden Leistungen gemäß dem in den AGB beschriebenen Hauptvertrag. Im Rahmen dieser Leistungserbringung verarbeitet der Anbieter personenbezogene Daten weisungsgebunden für den Kunden im Sinne des Art 28 DSGVO. Dieser AVV konkretisiert die wechselseitigen Pflichten gemäß Art 28 Abs 3 DSGVO.
(2) Soweit in diesem AVV nicht abweichend definiert, gelten die Begriffsbestimmungen der DSGVO, insbesondere des Art 4 DSGVO.
(3) Bei Widersprüchen zwischen diesem AVV und den AGB hinsichtlich der Verarbeitung personenbezogener Daten gehen die Regelungen dieses AVV vor. Im Übrigen bleiben die AGB unberührt.
§ BGegenstand und Dauer der Verarbeitung
(1) Gegenstand der Verarbeitung ist die Erbringung der im Hauptvertrag beschriebenen Leistungen, insbesondere die Bereitstellung der Software-as-a-Service-Anwendung <<BRAND_NAME>> für die Erstellung und Verwaltung von Rechnungen, die revisionssichere Archivierung von Belegen, den Export von Buchungsdaten sowie die Einladung von Steuerberatern als Lese-Berechtigte.
(2) Die Verarbeitung erfolgt für die Dauer des Hauptvertrages. Nach Beendigung des Hauptvertrages gelten die Regelungen des Abschnitts L (Löschung und Rückgabe) sowie der gesetzlichen Aufbewahrungspflichten.
§ CArt, Zweck und Umfang der Verarbeitung
(1) Die Verarbeitung umfasst sämtliche im Rahmen der Leistungserbringung erforderlichen automatisierten und nicht-automatisierten Vorgänge im Sinne des Art 4 Z 2 DSGVO, insbesondere das Erheben, Erfassen, Organisieren, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Verbreiten, Bereitstellen, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten von personenbezogenen Daten.
(2) Zweck der Verarbeitung ist ausschließlich die Erbringung der vom Kunden im Hauptvertrag beauftragten Leistungen. Eine Verarbeitung zu eigenen Zwecken des Anbieters außerhalb des Hauptvertrages erfolgt nicht, soweit nicht eine gesetzliche Verpflichtung des Anbieters entgegensteht (in welchem Fall der Anbieter den Kunden vor der Verarbeitung über die rechtliche Anforderung in Kenntnis setzt, sofern das Recht der Union oder der Mitgliedstaaten dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet).
§ DArt der personenbezogenen Daten und Kategorien betroffener Personen
(1) Gegenstand der Verarbeitung können insbesondere folgende Arten personenbezogener Daten sein:
- Stammdaten (Name, Anschrift, Kontaktdaten, Steuer- und Unternehmenskennzeichen wie UID, Firmenbuchnummer);
- Vertrags- und Abrechnungsdaten (Rechnungsnummer, Leistungsbeschreibung, Beträge, Zahlungsstatus, Bankverbindung);
- Beleginhalte (PDF-, Bild- und Strukturdaten der vom Kunden hochgeladenen Belege);
- Kommunikationsdaten (E-Mail-Korrespondenz, Audit-Log-Einträge, Steuerberater-Einladungen);
- technische Nutzungsdaten (Login-Zeitpunkte, IP-Adressen, Session-Informationen, Sicherheitsereignisse).
(2) Betroffene Personen sind insbesondere:
- Mitarbeiter, Geschäftsführer und sonstige Vertreter des Kunden;
- Kunden, Lieferanten, Geschäftspartner sowie sonstige Vertragspartner des Kunden, deren Daten in Rechnungen oder Belegen enthalten sind;
- vom Kunden eingeladene Steuerberater und deren Mitarbeiter;
- weitere natürliche Personen, deren Daten im Rahmen der Belegverarbeitung anfallen.
§ ERechte und Pflichten des Verantwortlichen
(1) Der Kunde ist als Verantwortlicher im Verhältnis zu den betroffenen Personen für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Betroffenenrechte allein verantwortlich. Dies gilt insbesondere für das Vorliegen einer Rechtsgrundlage gemäß Art 6 DSGVO sowie gegebenenfalls Art 9 DSGVO.
(2) Der Kunde ist berechtigt, dem Anbieter Weisungen hinsichtlich der Art, des Umfangs und des Verfahrens der Verarbeitung zu erteilen. Weisungen sind grundsätzlich in Textform zu erteilen; mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
(3) Der Kunde benennt dem Anbieter weisungsberechtigte Personen. Erfolgt keine ausdrückliche Benennung, gelten die im Konto hinterlegten administrativen Vertreter des Kunden als weisungsberechtigt. Datenschutzbezogene Mitteilungen des Kunden an den Anbieter sind an dpo@<<DOMAIN>> zu richten; allgemeine vertragliche Mitteilungen an legal@<<DOMAIN>>.
§ FWeisungsgebundenheit und Dokumentationspflicht
(1) Der Anbieter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich in Bezug auf Übermittlungen personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Anbieter dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Der Anbieter informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.
(3) Der Anbieter dokumentiert die nach diesem AVV durchgeführten Verarbeitungstätigkeiten in einem Verzeichnis der Verarbeitungstätigkeiten im Sinne des Art 30 Abs 2 DSGVO und stellt dieses dem Kunden auf Anfrage zur Verfügung.
§ GVertraulichkeitsverpflichtung der Mitarbeiter
(1) Der Anbieter verpflichtet alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, vor Aufnahme der Tätigkeit zur Vertraulichkeit oder stellt sicher, dass sie einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art 28 Abs 3 lit b DSGVO).
(2) Die Vertraulichkeitsverpflichtung wirkt über die Beendigung des jeweiligen Beschäftigungs- oder Auftragsverhältnisses hinaus fort.
§ HTechnische und organisatorische Maßnahmen (TOMs) gemäß Art 32 DSGVO
(1) Der Anbieter trifft die nach Art 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die jeweils aktuellen TOMs sind als separates Dokument unter der TOM-Dokumentation abrufbar und sind als Anlage B integraler Bestandteil dieses AVV.
(2) Der Anbieter ist berechtigt, die TOMs an den jeweiligen Stand der Technik anzupassen, sofern das zugesagte Schutzniveau dadurch nicht unterschritten wird. Wesentliche Änderungen werden dem Kunden in Textform mitgeteilt.
§ ISubunternehmer (weitere Auftragsverarbeiter)
(1) Der Kunde erteilt dem Anbieter eine allgemeine schriftliche Genehmigung im Sinne des Art 28 Abs 2 DSGVO zur Beauftragung weiterer Auftragsverarbeiter (Subprozessoren). Der Anbieter hat die in der DSGVO normierten Pflichten zur Auswahl und Überwachung der Subprozessoren einzuhalten, insbesondere die vertragliche Auferlegung der in Art 28 Abs 3 DSGVO genannten Pflichten.
(2) Die jeweils aktuelle Liste der eingesetzten Subprozessoren ist unter der Subprozessoren-Übersicht abrufbar und ist als Anlage A integraler Bestandteil dieses AVV.
(3) Beabsichtigt der Anbieter, einen weiteren Subprozessor hinzuzuziehen oder einen bestehenden Subprozessor zu ersetzen, informiert er den Kunden hierüber mindestens 30 Tage vor dem Wirksamwerden der Änderung in Textform oder durch geeignete Kennzeichnung in der Subprozessoren-Übersicht.
(4) Der Kunde kann der beabsichtigten Hinzuziehung innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund in Textform widersprechen. Im Falle eines berechtigten Widerspruchs, dem der Anbieter nicht durch geeignete Maßnahmen abhelfen kann, steht dem Kunden ein außerordentliches Kündigungsrecht des Hauptvertrages zum Wirksamkeitsdatum der Änderung zu.
§ JUnterstützung bei Betroffenenrechten (Art 12 bis 22 DSGVO)
(1) Der Anbieter unterstützt den Kunden im Rahmen seiner Möglichkeiten mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflichten zur Beantwortung von Anträgen auf Wahrnehmung der Rechte betroffener Personen, insbesondere des Rechts auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.
(2) Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser das Anliegen unverzüglich an den Kunden weiter und beantwortet es nur nach dokumentierter Weisung des Kunden.
§ KUnterstützung bei Sicherheit, Meldepflichten und Datenschutz-Folgenabschätzung (Art 32 bis 36 DSGVO)
(1) Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art 32 bis 36 DSGVO genannten Pflichten, insbesondere zur Sicherheit der Verarbeitung, zur Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, zur Benachrichtigung der betroffenen Personen sowie zur Datenschutz-Folgenabschätzung und vorherigen Konsultation.
(2) Wird dem Anbieter eine Verletzung des Schutzes personenbezogener Daten (Data Breach) im Sinne des Art 4 Z 12 DSGVO bekannt, informiert er den Kunden unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung in Textform an die im Konto hinterlegte Kontaktadresse des Kunden. Die Mitteilung enthält die in Art 33 Abs 3 DSGVO genannten Angaben, soweit diese dem Anbieter verfügbar sind, sowie eine Beschreibung der getroffenen oder vorgeschlagenen Maßnahmen. Rückfragen sind an dpo@<<DOMAIN>> zu richten.
(3) Für die Beurteilung der Meldepflicht gegenüber der Aufsichtsbehörde sowie für die Erfüllung von Benachrichtigungspflichten gegenüber betroffenen Personen bleibt der Kunde als Verantwortlicher zuständig.
§ LLöschung und Rückgabe von Daten nach Vertragsende
(1) Nach Beendigung des Hauptvertrages stellt der Anbieter dem Kunden seine personenbezogenen Daten und Belege für einen Zeitraum von 30 Tagen in einem strukturierten, gängigen und maschinenlesbaren Format zum Export bereit (vgl. § 10 Abs (2) AGB).
(2) Nach Ablauf der Exportfrist löscht der Anbieter sämtliche personenbezogenen Daten des Kunden, einschließlich aller Kopien, sofern und soweit dem nicht gesetzliche Aufbewahrungspflichten entgegenstehen. In Betracht kommen insbesondere die Aufbewahrungspflichten gemäß § 132 BAO, § 190 UGB sowie § 212 UGB.
(3) Soweit gesetzliche Aufbewahrungspflichten bestehen, werden die betroffenen Daten ausschließlich zum Zweck der Erfüllung dieser Pflichten weitergespeichert und gegen jede weitere Verarbeitung im Sinne des Art 18 DSGVO eingeschränkt. Nach Ablauf der gesetzlichen Aufbewahrungsfrist werden auch diese Daten gelöscht.
§ MAudit-Rechte des Verantwortlichen
(1) Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art 28 DSGVO niedergelegten Pflichten zur Verfügung. Er ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Kunden oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.
(2) Der Kunde kann sein Audit-Recht selbst oder durch einen von ihm beauftragten, vom Anbieter nicht aus berechtigten Gründen abgelehnten unabhängigen Dritten ausüben. Der beauftragte Prüfer darf nicht Wettbewerber des Anbieters sein und ist zur Verschwiegenheit zu verpflichten. Audits sind mit angemessener Vorlaufzeit (regelmäßig vier Wochen) anzukündigen und während der üblichen Geschäftszeiten durchzuführen; der Geschäftsbetrieb des Anbieters darf dabei nur in dem unbedingt erforderlichen Umfang beeinträchtigt werden.
(3) Die Kosten eines vom Kunden veranlassten Audits trägt der Kunde; werden bei dem Audit erhebliche Verstöße des Anbieters gegen diesen AVV festgestellt, trägt der Anbieter die Kosten.
§ NÜbermittlungen in Drittländer
(1) Die Verarbeitung der personenbezogenen Daten erfolgt grundsätzlich innerhalb des Europäischen Wirtschaftsraumes (EWR). Eine Übermittlung in Drittländer findet nur dann statt, wenn dies in der Subprozessoren-Übersicht ausdrücklich ausgewiesen ist.
(2) Übermittlungen an Empfänger in den Vereinigten Staaten von Amerika erfolgen ausschließlich an Empfänger, die unter dem EU-U.S. Data Privacy Framework (DPF) zertifiziert sind, oder ergänzend gestützt auf die Standardvertragsklauseln der Europäischen Kommission gemäß Durchführungsbeschluss (EU) 2021/914 in Verbindung mit ergänzenden Maßnahmen auf Grundlage einer Transfer Impact Assessment (TIA) gemäß den Empfehlungen 01/2020 des Europäischen Datenschutzausschusses.
(3) Die jeweils einschlägige Übermittlungsgrundlage je Subprozessor ergibt sich aus der Subprozessoren-Übersicht.
§ OHaftung
(1) Für die Haftung der Vertragsparteien gegenüber betroffenen Personen für Schäden, die durch eine nicht den Bestimmungen der DSGVO entsprechende Verarbeitung entstehen, gilt Art 82 DSGVO.
(2) Im Innenverhältnis zwischen den Vertragsparteien gelten ergänzend die Haftungsregelungen des § 9 AGB. Die zwingenden Vorgaben des Art 82 DSGVO bleiben unberührt.
§ PVertragsänderungen und Kündigung
(1) Änderungen dieses AVV bedürfen der Textform. Dies gilt auch für eine Aufhebung dieses Textformerfordernisses.
(2) Die Kündigung des Hauptvertrages bewirkt zugleich die Beendigung dieses AVV. Eine isolierte Kündigung dieses AVV ist mangels eigenständiger Vertragsgrundlage ausgeschlossen.
§ QSchlussbestimmungen
(1) Auf diesen AVV findet ausschließlich österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts Anwendung. Die zwingenden Vorgaben der DSGVO bleiben unberührt.
(2) Als ausschließlicher Gerichtsstand wird das für den Sitz des Anbieters (<<PLZ>> <<ORT>>) sachlich zuständige österreichische Gericht vereinbart.
(3) Sollte eine Bestimmung dieses AVV ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen oder undurchführbaren Bestimmung gilt diejenige Regelung als vereinbart, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung unter Wahrung der zwingenden Vorgaben der DSGVO am nächsten kommt.
§ RAnlage A: Subprozessoren
Die aktuelle Liste der eingesetzten Subprozessoren samt Sitzland, Verarbeitungsgegenstand und (bei Drittlandsbezug) eingesetzter Übermittlungsgrundlage ist abrufbar unter der Subprozessoren-Übersicht. Diese Liste wird in der jeweils aktuellen Fassung Teil dieses AVV.
§ SAnlage B: Technische und organisatorische Maßnahmen (TOMs)
Die jeweils aktuellen technischen und organisatorischen Maßnahmen gemäß Art 32 DSGVO sind abrufbar unter der TOM-Dokumentation. Diese werden in der jeweils aktuellen Fassung Teil dieses AVV.