Zum Inhalt springen
BilantioBilantio

Rechtliches

Auftragsverarbeitungsvertrag

Bilantio — Eigentümerin und Betreiberin ist die TAXNXT sp. z o.o.

Letzte Aktualisierung: 4. August 2026

Dieser Text ist eine Übersetzung. Maßgeblich ist die englische Fassung — bei Abweichungen gilt die englische Fassung dieses Vertrages.

Dieser Auftragsverarbeitungsvertrag ist einschließlich seiner Anlagen Bestandteil der Vereinbarung, die die Nutzung von Bilantio durch den Kunden regelt.

Er gilt, soweit die TAXNXT sp. z o.o. im Zusammenhang mit Bilantio personenbezogene Daten im Auftrag des Kunden verarbeitet.

Parteien

Auftragsverarbeiter

TAXNXT sp. z o.o.ul. Toruńska 15/7780-747 GdańskNIP: 6783218496REGON: 529197763KRS: 0001117478PolenE-Mail: support@taxnxt.euWebsite von Bilantio: bilantio.com

In diesem Vertrag wird die TAXNXT sp. z o.o. als „Auftragsverarbeiter“, „TAXNXT“, „Bilantio“, „wir“, „uns“ oder „unser“ bezeichnet.

Kunde

Das Unternehmen, der Unternehmer, das Buchhaltungsbüro, die Organisation oder das sonstige Wirtschaftsunternehmen, das eine Vereinbarung über die Nutzung von Bilantio schließt.

In diesem Vertrag wird diese Einheit als „Verantwortlicher“ oder „Kunde“ bezeichnet.

Verarbeitet der Kunde personenbezogene Daten im Auftrag eines anderen Verantwortlichen, kann der Kunde als Auftragsverarbeiter und TAXNXT als Unterauftragsverarbeiter handeln. Bezugnahmen auf den Verantwortlichen sind dann als Bezugnahmen auf den Kunden in seiner jeweiligen Rolle zu verstehen.

§1. Begriffsbestimmungen

Für die Zwecke dieses Vertrages gilt:

  1. Anwendbares Datenschutzrecht bezeichnet:
    1. die Verordnung (EU) 2016/679, die Datenschutz-Grundverordnung oder DSGVO;
    2. anwendbares polnisches Datenschutzrecht;
    3. anwendbare Rechtsvorschriften zur Durchführung oder Ergänzung der DSGVO;
    4. anwendbare verbindliche Entscheidungen, Anordnungen oder Anforderungen einer zuständigen Aufsichtsbehörde; und
    5. sonstige Datenschutz- oder Persönlichkeitsrechtsvorschriften, die auf die von diesem Vertrag erfasste Verarbeitung anwendbar sind.
  2. Verantwortlicher, Auftragsverarbeiter, betroffene Person, personenbezogene Daten, Verarbeitung, Verletzung des Schutzes personenbezogener Daten, Aufsichtsbehörde sowie besondere Kategorien personenbezogener Daten haben die ihnen in der DSGVO zugewiesene Bedeutung.
  3. Kundendaten bezeichnen Informationen, Dokumente, Dateien, Eingaben (Prompts), Aufzeichnungen, Anweisungen, Buchhaltungsdaten, Rechnungsdaten, Lohn- und Gehaltsdaten, Personaldaten, steuerbezogene Daten und sonstige Materialien, die vom Kunden oder in seinem Namen an Bilantio übermittelt oder über Bilantio verarbeitet werden.
  4. Hauptvertrag bezeichnet die Allgemeinen Geschäftsbedingungen von Bilantio, die jeweilige Bestellung, den Abonnementvertrag, den Dienstleistungsvertrag oder eine sonstige Vereinbarung, die die Nutzung von Bilantio durch den Kunden regelt.
  5. Eingeschränkte Übermittlung bezeichnet eine Übermittlung personenbezogener Daten in ein Land oder an einen Empfänger, für die nach Anwendbarem Datenschutzrecht eine geeignete Garantie oder ein Übermittlungsmechanismus erforderlich ist.
  6. Dienste bezeichnen die Softwareplattform Bilantio und die nach dem Hauptvertrag erbrachten Leistungen.
  7. Unterauftragsverarbeiter bezeichnet einen von TAXNXT beauftragten Dritten, der personenbezogene Daten im Auftrag des Kunden verarbeitet.
  8. Standardvertragsklauseln oder SCC bezeichnen die von der Europäischen Kommission genehmigten Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer in ihrer jeweils geänderten, ersetzten oder aktualisierten Fassung.
  9. Nutzer bezeichnet eine vom Kunden zum Zugriff auf Bilantio oder zu dessen Nutzung berechtigte natürliche Person.

§2. Anwendungsbereich und Verhältnis zum Hauptvertrag

  1. Dieser Vertrag ist Bestandteil des Hauptvertrages.
  2. Dieser Vertrag gilt nur für Verarbeitungen, bei denen TAXNXT handelt als:
    1. Auftragsverarbeiter im Auftrag des Kunden; oder
    2. Unterauftragsverarbeiter, soweit der Kunde personenbezogene Daten im Auftrag eines anderen Verantwortlichen verarbeitet.
  3. Dieser Vertrag gilt nicht für Verarbeitungen, bei denen TAXNXT als eigenständiger Verantwortlicher handelt.
  4. TAXNXT kann als eigenständiger Verantwortlicher handeln, wenn sie personenbezogene Daten für eigene berechtigte Zwecke verarbeitet, insbesondere um:
    1. Nutzerkonten anzulegen und zu verwalten;
    2. Abonnements zu verwalten;
    3. Abrechnung und Zahlungsverwaltung durchzuführen;
    4. Betrug und Missbrauch zu verhindern;
    5. die Sicherheit der Plattform zu gewährleisten;
    6. mit Nutzern zu kommunizieren;
    7. Kundensupport zu leisten;
    8. rechtliche Pflichten zu erfüllen;
    9. Geschäftsunterlagen zu führen;
    10. Rechtsansprüche geltend zu machen, auszuüben oder abzuwehren; und
    11. Bilantio anhand aggregierter oder anonymisierter Informationen zu verbessern.
  5. Verarbeitungen, die TAXNXT als eigenständiger Verantwortlicher durchführt, unterliegen der Datenschutzerklärung von Bilantio und nicht diesem Vertrag.
  6. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag hinsichtlich der von diesem Vertrag erfassten Verarbeitung geht dieser Vertrag vor.
  7. Bei Widersprüchen zwischen diesem Vertrag und anwendbaren Standardvertragsklauseln gehen die Standardvertragsklauseln für die betreffende Eingeschränkte Übermittlung vor.

§3. Rollen der Parteien

  1. Der Kunde bestimmt die Zwecke und wesentlichen Mittel der Verarbeitung personenbezogener Daten über Bilantio.
  2. TAXNXT verarbeitet personenbezogene Daten im Auftrag des Kunden und nach dessen dokumentierten Weisungen.
  3. Der Kunde ist dafür verantwortlich zu bestimmen, ob er handelt als:
    1. Verantwortlicher;
    2. gemeinsam Verantwortlicher;
    3. Auftragsverarbeiter im Auftrag eines anderen Verantwortlichen; oder
    4. in einer anderen nach Anwendbarem Datenschutzrecht anerkannten Rolle.
  4. Handelt der Kunde als Auftragsverarbeiter für einen anderen Verantwortlichen:
    1. bestätigt der Kunde, dass er zur Beauftragung von TAXNXT als Unterauftragsverarbeiter befugt ist;
    2. stellt der Kunde sicher, dass seine Weisungen mit denen des betreffenden Verantwortlichen im Einklang stehen;
    3. gelten Bezugnahmen in diesem Vertrag auf Rechte und Pflichten des Kunden vorbehaltlich seines eigenen Auftragsverarbeitungsvertrages mit jenem Verantwortlichen; und
    4. verarbeitet TAXNXT personenbezogene Daten nur im Rahmen der rechtmäßigen Weisungen des Kunden.
  5. Keine Partei wird allein durch den Abschluss dieses Vertrages gemeinsam Verantwortlicher.
  6. Bestimmt TAXNXT die Zwecke und wesentlichen Mittel eines bestimmten Verarbeitungsvorgangs eigenständig, handelt sie insoweit als Verantwortlicher und erfüllt die für Verantwortliche geltenden Pflichten.

§4. Gegenstand und Dauer

  1. Gegenstand der Verarbeitung ist die Bereitstellung, der Betrieb, die Absicherung, die Unterstützung, die Wartung und die Verbesserung der vom Kunden angeforderten Bilantio-Dienste.
  2. Die Verarbeitung kann umfassen:
    1. Konto- und Nutzerverwaltung;
    2. Erstellung und Verwaltung von Rechnungen;
    3. Verarbeitung und Übermittlung strukturierter Rechnungen;
    4. KSeF-bezogene Prozesse;
    5. Hochladen und Speichern von Dokumenten;
    6. optische Zeichenerkennung;
    7. Extraktion von Informationen aus Dokumenten;
    8. Klassifizierung und Ordnung von Buchhaltungsunterlagen;
    9. Erstellung von Auswertungen und Berichten;
    10. Buchhaltungs- und Buchführungsprozesse;
    11. Umsatzsteuer- und steuerbezogene Prozesse;
    12. administrative Prozesse im Bereich Lohn, Gehalt und Personal;
    13. KI-gestützte Verarbeitung;
    14. Supportleistungen;
    15. Sicherheitsüberwachung;
    16. Datenexport und Migration;
    17. Backups und Notfallwiederherstellung; und
    18. vom Kunden aktivierte Integrationen.
  3. Die Verarbeitung beginnt, sobald der Kunde erstmals personenbezogene Daten an Bilantio übermittelt oder TAXNXT anderweitig zur Verarbeitung personenbezogener Daten anweist.
  4. Die Verarbeitung dauert für die Laufzeit des Hauptvertrages sowie für jeden nach diesem Vertrag zulässigen zusätzlichen Aufbewahrungs- oder Abrufzeitraum an.
  5. Weitere Einzelheiten der Verarbeitung sind in Anlage I und Anlage II festgelegt.

§5. Verarbeitungsweisungen

  1. TAXNXT verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, es sei denn, die Verarbeitung ist nach anwendbarem Unionsrecht oder mitgliedstaatlichem Recht erforderlich.
  2. Dokumentierte Weisungen umfassen:
    1. den Hauptvertrag;
    2. diesen Vertrag;
    3. die Konfiguration von Bilantio durch den Kunden;
    4. Handlungen berechtigter Nutzer;
    5. API-Anweisungen;
    6. Integrationseinstellungen;
    7. Supportanfragen;
    8. schriftliche Weisungen eines bevollmächtigten Vertreters des Kunden; und
    9. Weisungen, die zur Erbringung der vom Kunden gewählten Dienste vernünftigerweise erforderlich sind.
  3. Der Kunde weist TAXNXT an, personenbezogene Daten zu verarbeiten, soweit dies erforderlich ist, um:
    1. die Dienste bereitzustellen;
    2. Bilantio zu betreiben und abzusichern;
    3. unbefugten Zugriff und Missbrauch zu verhindern;
    4. Support zu leisten;
    5. Backups und Wiederherstellungen durchzuführen;
    6. genehmigte Unterauftragsverarbeiter einzusetzen;
    7. rechtmäßige Anfragen des Kunden zu erfüllen; und
    8. personenbezogene Daten nach Maßgabe dieses Vertrages zu löschen oder zurückzugeben.
  4. TAXNXT wird nicht:
    1. personenbezogene Daten verkaufen;
    2. personenbezogene Daten für Werbung ohne Bezug zu Bilantio verwenden;
    3. Rechnungs-, Buchhaltungs-, Lohn-, Dokument-, Eingabe- oder Chatdaten des Kunden zum Training von Modellen künstlicher Intelligenz verwenden; oder
    4. personenbezogene Daten zu Zwecken verarbeiten, die mit den Weisungen des Kunden unvereinbar sind.
  5. TAXNXT darf aggregierte oder anonymisierte Informationen verarbeiten, sofern Einzelpersonen und der Kunde nicht mit vertretbarem Aufwand identifiziert werden können.
  6. Ist TAXNXT gesetzlich verpflichtet, personenbezogene Daten abweichend von den Weisungen des Kunden zu verarbeiten, informiert sie den Kunden vor der Verarbeitung, sofern das Recht eine solche Mitteilung nicht untersagt.
  7. TAXNXT informiert den Kunden unverzüglich, wenn eine Weisung nach vernünftiger Auffassung von TAXNXT gegen Anwendbares Datenschutzrecht verstößt.
  8. TAXNXT kann die Umsetzung einer Weisung aussetzen, während die Parteien deren Rechtmäßigkeit klären.
  9. TAXNXT ist nicht verpflichtet, einer Weisung nachzukommen, die:
    1. rechtswidrig ist;
    2. außerhalb des Umfangs der Dienste liegt;
    3. die Sicherheit von Bilantio wesentlich beeinträchtigen würde;
    4. Rechte eines anderen Kunden oder Dritter verletzen würde;
    5. mit den vereinbarten Diensten technisch nicht umsetzbar ist; oder
    6. unverhältnismäßige, im Hauptvertrag nicht enthaltene Individualentwicklung erfordert.
  10. Die Parteien können zusätzliche Leistungen oder Entgelte vereinbaren, wenn eine Weisung wesentliche über die Standarddienste hinausgehende Arbeiten erfordert.

§6. Einhaltung des anwendbaren Rechts

  1. Jede Partei hält das Anwendbare Datenschutzrecht in Bezug auf ihre eigenen Pflichten ein.
  2. TAXNXT wird:
    1. personenbezogene Daten nach Maßgabe dieses Vertrages verarbeiten;
    2. geeignete technische und organisatorische Maßnahmen umsetzen;
    3. sicherstellen, dass zur Verarbeitung befugte Personen der Vertraulichkeit unterliegen;
    4. den Kunden wie in diesem Vertrag beschrieben unterstützen;
    5. die von einem Auftragsverarbeiter geforderten Verzeichnisse führen;
    6. mit den zuständigen Aufsichtsbehörden zusammenarbeiten, soweit rechtlich geboten; und
    7. Informationen bereitstellen, die zum Nachweis der Einhaltung vernünftigerweise erforderlich sind.
  3. Der Kunde stellt sicher, dass:
    1. die Verarbeitung über Bilantio rechtmäßig ist;
    2. eine geeignete Rechtsgrundlage für die Verarbeitung besteht;
    3. die erforderlichen Datenschutzhinweise erteilt wurden;
    4. die erforderlichen Erlaubnisse, Befugnisse und Einwilligungen eingeholt wurden;
    5. seine Weisungen dem Anwendbaren Datenschutzrecht entsprechen;
    6. die Verarbeitung auf das Erforderliche und Verhältnismäßige beschränkt ist;
    7. Aufbewahrungsfristen festgelegt wurden;
    8. geeignete Nutzerzugriffsrechte konfiguriert sind; und
    9. Bilantio für die beabsichtigten Verarbeitungstätigkeiten des Kunden geeignet ist.

§7. Vertraulichkeit und befugtes Personal

  1. TAXNXT stellt sicher, dass zur Verarbeitung personenbezogener Daten befugte Personen:
    1. nur auf personenbezogene Daten zugreifen, soweit dies für ihre Aufgaben erforderlich ist;
    2. personenbezogene Daten nur nach den geltenden Weisungen verarbeiten;
    3. vertraglichen oder gesetzlichen Vertraulichkeitspflichten unterliegen;
    4. angemessene Hinweise zu Datenschutz und Sicherheit erhalten; und
    5. geeigneten Zugriffskontrollen unterliegen.
  2. Der Zugriff auf personenbezogene Daten wird nach dem Grundsatz der geringsten Rechte gewährt.
  3. TAXNXT überprüft Zugriffsrechte regelmäßig und entzieht nicht mehr erforderliche Zugriffe.
  4. Die Vertraulichkeitspflichten gelten nach Beendigung von Beschäftigung, Beauftragung oder Befugnis fort.
  5. TAXNXT gibt personenbezogene Daten nicht an Dritte weiter, außer:
    1. nach Weisung des Kunden;
    2. über einen genehmigten Unterauftragsverarbeiter;
    3. soweit gesetzlich vorgeschrieben;
    4. soweit dies zum Schutz der Sicherheit der Dienste erforderlich ist; oder
    5. mit Ermächtigung des Kunden.

§8. Sicherheit der Verarbeitung

  1. TAXNXT setzt geeignete technische und organisatorische Maßnahmen um und erhält sie aufrecht, die personenbezogene Daten schützen sollen vor:
    1. unbeabsichtigter oder unrechtmäßiger Vernichtung;
    2. Verlust;
    3. Veränderung;
    4. unbefugter Offenlegung;
    5. unbefugtem Zugang;
    6. Missbrauch; und
    7. sonstiger unrechtmäßiger Verarbeitung.
  2. Die Maßnahmen berücksichtigen:
    1. den Stand der Technik;
    2. die Implementierungskosten;
    3. Art, Umfang, Umstände und Zwecke der Verarbeitung;
    4. Eintrittswahrscheinlichkeit und Schwere der Risiken für Personen; und
    5. die Kategorien und den Umfang der verarbeiteten personenbezogenen Daten.
  3. Die von TAXNXT aufrechterhaltenen Maßnahmen sind in Anlage III beschrieben.
  4. TAXNXT kann ihre Sicherheitsmaßnahmen aktualisieren, sofern das Gesamtschutzniveau nicht wesentlich verringert wird.
  5. TAXNXT garantiert nicht, dass jeder Sicherheitsvorfall verhindert werden kann.
  6. Der Kunde ist für die in seinem Einflussbereich liegenden Sicherheitsaspekte verantwortlich, darunter:
    1. Endgeräte der Nutzer;
    2. lokale Netzwerke;
    3. Passwort- und Zugangsdatenverwaltung;
    4. Nutzerberechtigungen;
    5. interne Zugriffsrichtlinien;
    6. in Bilantio eingegebene Daten;
    7. vom Kunden gewählte Drittanbieterintegrationen; und
    8. außerhalb von Bilantio gespeicherte Downloads oder Exporte.
  7. Der Kunde benachrichtigt TAXNXT unverzüglich, wenn ihm Folgendes bekannt wird:
    1. unbefugter Kontozugriff;
    2. kompromittierte Zugangsdaten;
    3. eine Schwachstelle mit Bezug zu Bilantio;
    4. eine versehentliche Offenlegung mit Bezug zu Bilantio; oder
    5. ein sonstiger für die Dienste relevanter Sicherheitsvorfall.

§9. Verletzungen des Schutzes personenbezogener Daten

  1. TAXNXT benachrichtigt den Kunden unverzüglich, nachdem ihr eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die nach diesem Vertrag verarbeitete Daten betrifft.
  2. Die Benachrichtigung erfolgt an den vom Kunden benannten Sicherheits-, Datenschutz- oder Kontokontakt.
  3. Soweit Informationen vernünftigerweise verfügbar sind, enthält die Benachrichtigung:
    1. die Art der Verletzung;
    2. die Kategorien betroffener Personen;
    3. die Kategorien betroffener personenbezogener Daten;
    4. die ungefähre Zahl betroffener Personen und Datensätze;
    5. die wahrscheinlichen Folgen;
    6. ergriffene oder vorgeschlagene Maßnahmen zur Behebung;
    7. Maßnahmen zur Abmilderung möglicher nachteiliger Auswirkungen; und
    8. Kontaktinformationen für weitere Kommunikation.
  4. Sind nicht alle Informationen gleichzeitig verfügbar, kann TAXNXT sie ohne unangemessene weitere Verzögerung schrittweise bereitstellen.
  5. TAXNXT unternimmt angemessene Schritte, um:
    1. die Verletzung einzudämmen;
    2. ihre Ursache zu untersuchen;
    3. nachteilige Auswirkungen abzumildern;
    4. ein angemessenes Sicherheitsniveau wiederherzustellen; und
    5. eine Wiederholung zu verhindern.
  6. Die Benachrichtigung durch TAXNXT stellt kein Anerkenntnis von Verschulden oder Haftung dar.
  7. Der Kunde ist dafür verantwortlich zu bestimmen, ob eine Meldung zu erfolgen hat an:
    1. eine Aufsichtsbehörde;
    2. betroffene Personen;
    3. einen anderen Verantwortlichen; oder
    4. eine andere zuständige Stelle.
  8. TAXNXT leistet angemessene Unterstützung bei diesen Meldepflichten und berücksichtigt dabei die Art der Verarbeitung und die ihr verfügbaren Informationen.
  9. Wurde die Verletzung durch den Kunden, einen Nutzer, die Systeme des Kunden oder eine vom Kunden kontrollierte Integration verursacht, kann zusätzliche Unterstützung zum vereinbarten Satz für professionelle Dienstleistungen berechnet werden.

§10. Anfragen betroffener Personen

  1. Unter Berücksichtigung der Art der Verarbeitung leistet TAXNXT angemessene Unterstützung, damit der Kunde auf Anfragen zu folgenden Rechten reagieren kann:
    1. Auskunft;
    2. Berichtigung;
    3. Löschung;
    4. Einschränkung;
    5. Widerspruch;
    6. Datenübertragbarkeit;
    7. Widerruf der Einwilligung; und
    8. Rechte im Zusammenhang mit automatisierten Entscheidungen.
  2. Richtet eine betroffene Person eine Anfrage zu im Auftrag des Kunden verarbeiteten personenbezogenen Daten unmittelbar an TAXNXT, wird TAXNXT:
    1. nicht inhaltlich antworten, sofern sie nicht vom Kunden ermächtigt oder gesetzlich verpflichtet ist;
    2. die betroffene Person gegebenenfalls an den Kunden verweisen; und
    3. die Anfrage unverzüglich an den Kunden weiterleiten, sofern dieser vernünftigerweise identifiziert werden kann.
  3. TAXNXT kann die zur Identifizierung des betreffenden Kunden und der Daten erforderlichen Informationen anfordern.
  4. Der Kunde ist verantwortlich für:
    1. die Überprüfung der Identität des Anfragenden;
    2. die Feststellung, ob die Anfrage berechtigt ist;
    3. die Entscheidung über die Antwort;
    4. die Kommunikation mit der betroffenen Person; und
    5. die Einhaltung der geltenden Fristen.
  5. Die über die Funktionalität von Bilantio verfügbare Standardunterstützung ist in den Diensten enthalten.
  6. Wesentlicher Mehraufwand kann berechnet werden, soweit gesetzlich zulässig und vorab mit dem Kunden vereinbart.

§11. Unterstützung bei der Rechtskonformität

  1. Unter Berücksichtigung der Art der Verarbeitung und der ihr verfügbaren Informationen leistet TAXNXT angemessene Unterstützung bei den Pflichten des Kunden im Zusammenhang mit:
    1. der Sicherheit der Verarbeitung;
    2. der Bewertung und Meldung von Datenschutzverletzungen;
    3. Datenschutz-Folgenabschätzungen;
    4. der vorherigen Konsultation von Aufsichtsbehörden;
    5. Betroffenenrechten;
    6. Verzeichnissen von Verarbeitungstätigkeiten; und
    7. dem Nachweis der Einhaltung.
  2. Die Unterstützung kann umfassen:
    1. Bereitstellung einschlägiger Sicherheitsdokumentation;
    2. Informationen zu Unterauftragsverarbeitern;
    3. Erläuterung der Verarbeitungstätigkeiten von Bilantio;
    4. Bereitstellung verfügbarer Audit- oder Compliance-Berichte;
    5. angemessene Informationen zu Datenstandorten;
    6. Unterstützung bei Exporten oder Löschungen;
    7. Bereitstellung verfügbarer Vorfallinformationen; und
    8. Beantwortung angemessener Compliance-Fragebögen.
  3. TAXNXT ist nicht verantwortlich für:
    1. die Erstellung des gesamten Compliance-Programms des Kunden;
    2. die Bestimmung der Rechtsgrundlage des Kunden;
    3. die Erstellung der Datenschutzhinweise des Kunden;
    4. die Tätigkeit als Datenschutzbeauftragter des Kunden;
    5. die Erbringung von Rechtsberatung; oder
    6. die Gewähr, dass die Nutzung von Bilantio durch den Kunden allen anwendbaren Gesetzen entspricht.
  4. Unterstützung, die wesentliche Individualarbeit erfordert, kann zusätzlichen Entgelten unterliegen, soweit rechtlich zulässig.

§12. Datenschutz-Folgenabschätzungen

  1. Stellt der Kunde vernünftigerweise fest, dass die Nutzung von Bilantio eine Datenschutz-Folgenabschätzung erfordert, stellt TAXNXT die ihr vernünftigerweise verfügbaren einschlägigen Informationen bereit zu:
    1. Art und Zwecken der Verarbeitung;
    2. Datenflüssen;
    3. Kategorien personenbezogener Daten;
    4. Unterauftragsverarbeitern;
    5. internationalen Übermittlungen;
    6. Aufbewahrung und Löschung;
    7. Sicherheitsmaßnahmen; und
    8. identifizierten Risiken im Zusammenhang mit den Diensten.
  2. Der Kunde bleibt verantwortlich für:
    1. die Entscheidung, ob eine Datenschutz-Folgenabschätzung erforderlich ist;
    2. die Durchführung der Abschätzung;
    3. die Dokumentation des Ergebnisses;
    4. die Bestimmung geeigneter Rechtsgrundlagen;
    5. die Umsetzung der von ihm kontrollierten Schutzmaßnahmen; und
    6. die erforderlichenfalls durchzuführende Konsultation einer Aufsichtsbehörde.
  3. TAXNXT wirkt bei einer nach Anwendbarem Datenschutzrecht erforderlichen vorherigen Konsultation angemessen mit.

§13. Unterauftragsverarbeiter

  1. Der Kunde erteilt TAXNXT eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern zum Zweck der Erbringung der Dienste.
  2. TAXNXT führt ein aktuelles Verzeichnis der Unterauftragsverarbeiter, das gegebenenfalls Folgendes enthält:
    1. den vollständigen Rechtsnamen des Unterauftragsverarbeiters;
    2. die eingetragene Anschrift oder Hauptgeschäftsanschrift;
    3. Kontaktdaten;
    4. eine Beschreibung der durchgeführten Verarbeitung;
    5. die betroffenen Kategorien personenbezogener Daten;
    6. den Verarbeitungsort;
    7. den anwendbaren internationalen Übermittlungsmechanismus; und
    8. den betreffenden Dienst oder die betreffende Funktion.
  3. Die derzeit genehmigten Unterauftragsverarbeiter sind in Anlage IV oder in dem über Bilantio veröffentlichten bzw. bereitgestellten Verzeichnis der Unterauftragsverarbeiter aufgeführt.
  4. TAXNXT informiert über einen neuen oder ersetzenden Unterauftragsverarbeiter, bevor dieser wesentlich mit der Verarbeitung personenbezogener Daten beginnt.
  5. Die Mitteilung kann erfolgen über:
    1. E-Mail;
    2. das Konto des Kunden;
    3. das Verzeichnis der Unterauftragsverarbeiter von Bilantio; oder
    4. einen anderen vereinbarten Kommunikationsweg.
  6. Der Kunde kann einem neuen Unterauftragsverarbeiter aus angemessenen und dokumentierten datenschutzrechtlichen Gründen widersprechen.
  7. Ein Widerspruch muss:
    1. innerhalb von 15 Kalendertagen nach der Mitteilung eingereicht werden;
    2. die konkrete datenschutzrechtliche Sorge benennen;
    3. erläutern, weshalb der vorgeschlagene Unterauftragsverarbeiter ein wesentliches Risiko begründet; und
    4. angemessene belegende Informationen enthalten.
  8. Die Parteien wirken nach Treu und Glauben auf die Ausräumung eines berechtigten Widerspruchs hin.
  9. TAXNXT kann einem Widerspruch begegnen durch:
    1. Bereitstellung zusätzlicher Informationen;
    2. Einführung angemessener Schutzmaßnahmen;
    3. Angebot einer wirtschaftlich zumutbaren Alternative;
    4. Deaktivierung der betroffenen optionalen Funktion; oder
    5. Ermöglichung der Kündigung des betroffenen Dienstes durch den Kunden.
  10. Ist keine zumutbare Lösung verfügbar, kann jede Partei den betroffenen Teil der Dienste beenden, bevor der neue Unterauftragsverarbeiter mit der Verarbeitung der personenbezogenen Daten des Kunden beginnt.
  11. Das Widerspruchsrecht erlaubt keinen Widerspruch allein wegen:
    1. der geschäftlichen Identität des Unterauftragsverarbeiters;
    2. einer allgemeinen Präferenz für einen anderen Anbieter;
    3. eines Einwands ohne Datenschutzbezug; oder
    4. eines Risikos, dem durch geltende Schutzmaßnahmen bereits angemessen begegnet wird.
  12. TAXNXT schließt mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung, die datenschutzrechtliche Pflichten mit einem Schutzniveau vorsieht, das den für TAXNXT nach diesem Vertrag geltenden Pflichten im Wesentlichen gleichwertig ist.
  13. TAXNXT bleibt dem Kunden gegenüber für die Erfüllung der datenschutzrechtlichen Pflichten jedes Unterauftragsverarbeiters verantwortlich, soweit dies nach Anwendbarem Datenschutzrecht erforderlich ist.
  14. TAXNXT ergreift angemessene Maßnahmen, um zu überprüfen, dass Unterauftragsverarbeiter hinreichende Garantien für Datenschutz und Sicherheit bieten.
  15. TAXNXT kann verbundene Unternehmen nach Maßgabe dieses Paragrafen als Unterauftragsverarbeiter einsetzen.
  16. Eine Beauftragung im Eilfall ohne vorherige Mitteilung ist zulässig, soweit dies vernünftigerweise erforderlich ist, um Folgendem zu begegnen:
    1. einem kritischen Sicherheitsvorfall;
    2. der Servicekontinuität;
    3. rechtlichen Anforderungen; oder
    4. einem dringenden technischen Ausfall.
  17. In einem solchen Fall informiert TAXNXT den Kunden, sobald dies vernünftigerweise möglich ist.

§14. Internationale Übermittlungen

  1. TAXNXT nimmt keine Eingeschränkte Übermittlung vor, es sei denn, sie entspricht dem Anwendbaren Datenschutzrecht.
  2. Eine internationale Übermittlung kann gestützt werden auf:
    1. einen Angemessenheitsbeschluss;
    2. Standardvertragsklauseln;
    3. verbindliche interne Datenschutzvorschriften;
    4. eine genehmigte Zertifizierung oder Verhaltensregeln;
    5. eine rechtlich zulässige Ausnahme; oder
    6. einen anderen rechtmäßigen Übermittlungsmechanismus.
  3. Beauftragt TAXNXT einen Unterauftragsverarbeiter außerhalb des EWR oder in einem Land ohne anwendbaren Angemessenheitsbeschluss, stellt sie einen geeigneten Übermittlungsmechanismus sicher.
  4. Werden Standardvertragsklauseln verwendet, wird TAXNXT:
    1. das passende Modul auswählen;
    2. die einschlägigen Anlagen ausfüllen;
    3. erforderlichenfalls eine geeignete Übermittlungsfolgenabschätzung durchführen oder einholen;
    4. ergänzende Schutzmaßnahmen umsetzen, soweit vernünftigerweise erforderlich; und
    5. angemessene Schritte zur Beobachtung relevanter Änderungen unternehmen.
  5. Erfolgt eine Eingeschränkte Übermittlung unmittelbar zwischen dem Kunden und TAXNXT und greift kein anderer rechtmäßiger Übermittlungsmechanismus, schließen die Parteien die anwendbaren Standardvertragsklauseln ab.
  6. Soweit anwendbar, gelten mangels abweichender Vereinbarung folgende Festlegungen:
    1. die Andockklausel kann verwendet werden;
    2. die allgemeine Genehmigung für Unterauftragsverarbeiter gilt;
    3. die zuständige Aufsichtsbehörde bestimmt sich nach den Standardvertragsklauseln und dem Anwendbaren Datenschutzrecht;
    4. anwendbares Recht ist das Recht Polens, soweit rechtlich zulässig; und
    5. Streitigkeiten werden den Gerichten Polens vorgelegt, soweit rechtlich zulässig.
  7. TAXNXT stellt auf Anfrage angemessene Informationen zu den anwendbaren Übermittlungsmechanismen bereit.
  8. TAXNXT ist nicht zur Offenlegung von Informationen verpflichtet, wenn die Offenlegung:
    1. die Sicherheit beeinträchtigen würde;
    2. gegenüber einer anderen Partei bestehende Vertraulichkeitspflichten verletzen würde;
    3. Geschäftsgeheimnisse über das vernünftigerweise Erforderliche hinaus offenlegen würde; oder
    4. gegen anwendbares Recht verstoßen würde.

§15. Anfragen von Behörden

  1. Erhält TAXNXT von einem Gericht, einer Behörde, einer Strafverfolgungs- oder Regulierungsbehörde oder einer sonstigen staatlichen Stelle ein rechtlich verbindliches Ersuchen um im Auftrag des Kunden verarbeitete personenbezogene Daten, wird TAXNXT, soweit rechtlich zulässig:
    1. die rechtliche Wirksamkeit und den Umfang des Ersuchens prüfen;
    2. den Kunden vor der Offenlegung benachrichtigen;
    3. offensichtlich rechtswidrige oder unverhältnismäßige Ersuchen anfechten, soweit hinreichende Gründe bestehen;
    4. nur die rechtlich mindestens erforderlichen personenbezogenen Daten offenlegen; und
    5. das Ersuchen und die Antwort dokumentieren.
  2. Ist es TAXNXT untersagt, den Kunden zu benachrichtigen, unternimmt sie angemessene Anstrengungen, um gegebenenfalls die Erlaubnis zur Benachrichtigung einzuholen.
  3. TAXNXT kann allgemeine Transparenzinformationen zu behördlichen Ersuchen bereitstellen, soweit rechtlich zulässig.
  4. Dieser Paragraf verpflichtet TAXNXT nicht zur Führung von Gerichtsverfahren, wenn dies unzumutbar, rechtswidrig oder unverhältnismäßig wäre.

§16. Verzeichnisse und Compliance-Informationen

  1. TAXNXT führt die von einem Auftragsverarbeiter nach Anwendbarem Datenschutzrecht geforderten Verzeichnisse von Verarbeitungstätigkeiten.
  2. Die Verzeichnisse können umfassen:
    1. Kategorien der Verarbeitung;
    2. Kategorien von Kunden;
    3. Unterauftragsverarbeiter;
    4. internationale Übermittlungen;
    5. Übermittlungsgarantien; und
    6. allgemeine Beschreibungen der Sicherheitsmaßnahmen.
  3. TAXNXT stellt einschlägige Verzeichnisse einer zuständigen Aufsichtsbehörde zur Verfügung, soweit rechtlich geboten.
  4. Auf angemessene Anfrage stellt TAXNXT dem Kunden die zum Nachweis der Einhaltung dieses Vertrages erforderlichen Informationen bereit.
  5. TAXNXT kann Informationsanfragen erfüllen durch Bereitstellung von:
    1. diesem Vertrag;
    2. der Datenschutzerklärung;
    3. Sicherheitsdokumentation;
    4. Informationen zu Unterauftragsverarbeitern;
    5. Audit-Zusammenfassungen;
    6. Zertifizierungen;
    7. Zusammenfassungen von Penetrationstests;
    8. Compliance-Berichten; oder
    9. schriftlichen Antworten.
  6. Bereitgestellte Informationen können Vertraulichkeitsbeschränkungen unterliegen.

§17. Audits und Inspektionen

  1. Der Kunde kann die Einhaltung dieses Vertrages durch TAXNXT prüfen, soweit dies vernünftigerweise erforderlich ist.
  2. Vor der Anforderung einer Vor-Ort-Inspektion sichtet der Kunde zunächst die von TAXNXT bereitgestellte Dokumentation.
  3. Ein Audit:
    1. muss sich konkret auf die Verarbeitung nach diesem Vertrag beziehen;
    2. darf höchstens einmal in einem Zeitraum von 12 Monaten durchgeführt werden;
    3. ist mit einer Frist von mindestens 30 Tagen schriftlich anzukündigen;
    4. findet während der üblichen Geschäftszeiten statt;
    5. vermeidet unangemessene Störungen;
    6. entspricht den Sicherheits- und Vertraulichkeitsanforderungen von TAXNXT;
    7. schützt Informationen zu anderen Kunden; und
    8. wird von qualifiziertem, zur Vertraulichkeit verpflichtetem Personal durchgeführt.
  4. Die jährliche Begrenzung und die Ankündigungsfrist gelten nicht, wenn:
    1. eine den Kunden wesentlich betreffende Datenschutzverletzung eingetreten ist;
    2. eine Aufsichtsbehörde ein Audit verlangt;
    3. glaubhafte Anhaltspunkte für eine wesentliche Nichteinhaltung vorliegen; oder
    4. zwingendes Recht etwas anderes verlangt.
  5. TAXNXT kann verlangen, dass ein unabhängiger Prüfer:
    1. kein unmittelbarer Wettbewerber von TAXNXT ist;
    2. eine geeignete Vertraulichkeitsvereinbarung unterzeichnet;
    3. Nachweise geeigneter Qualifikationen vorlegt; und
    4. angemessene Standort- und Informationssicherheitsregeln befolgt.
  6. TAXNXT kann den Zugang beschränken zu:
    1. personenbezogenen Daten anderer Kunden;
    2. Beschäftigtendaten von TAXNXT ohne Auditbezug;
    3. Quellcode;
    4. produktiven Zugangsdaten;
    5. Informationen, deren Offenlegung ein Sicherheitsrisiko begründen würde;
    6. privilegierter Rechtsberatung; und
    7. Geschäftsgeheimnissen, die zum Nachweis der Einhaltung nicht erforderlich sind.
  7. TAXNXT kann geschwärzte, zusammengefasste oder unabhängig verifizierte Informationen bereitstellen, wenn eine unmittelbare Offenlegung ein wesentliches Risiko begründen würde.
  8. Jede Partei trägt ihre eigenen Auditkosten.
  9. Der Kunde erstattet angemessene Auditkosten, wenn:
    1. das Audit ohne qualifizierenden Grund über ein Audit pro Jahr hinausgeht;
    2. erheblicher Individualaufwand erforderlich ist;
    3. das Audit unnötig doppelt erfolgt; oder
    4. keine TAXNXT zurechenbare wesentliche Nichteinhaltung festgestellt wird.
  10. TAXNXT trägt angemessene Auditkosten, wenn ein Audit eine ihr zurechenbare wesentliche Nichteinhaltung feststellt.
  11. TAXNXT behebt bestätigte wesentliche Mängel zügig innerhalb eines angemessenen Behebungszeitraums.

§18. Rückgabe und Löschung personenbezogener Daten

  1. Während der Laufzeit des Hauptvertrages kann der Kunde personenbezogene Daten über die verfügbaren Exportfunktionen exportieren.
  2. Bei Beendigung oder Ablauf des Hauptvertrages kann der Kunde, soweit technisch verfügbar, wählen:
    1. personenbezogene Daten zu exportieren;
    2. die Rückgabe personenbezogener Daten zu verlangen;
    3. die Übertragung an einen anderen Anbieter zu verlangen; oder
    4. die Löschung zu verlangen.
  3. Besondere Rückgabe- oder Löschanweisungen muss der Kunde vor Ablauf der jeweiligen Abrufphase übermitteln.
  4. Sofern im Hauptvertrag nichts anderes bestimmt ist, gewährt TAXNXT nach Beendigung eine Abrufphase von mindestens 30 Kalendertagen.
  5. Nach der Abrufphase kann TAXNXT personenbezogene Daten löschen, sofern eine Aufbewahrung nicht gesetzlich geboten oder zulässig ist.
  6. TAXNXT kann personenbezogene Daten aufbewahren, soweit dies erforderlich ist für:
    1. steuer- oder handelsrechtliche Pflichten;
    2. gesetzliche Aufzeichnungspflichten;
    3. die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen;
    4. die Betrugsprävention;
    5. die Erfüllung eines verbindlichen rechtlichen Ersuchens; oder
    6. sonstige rechtliche Pflichten.
  7. Nach Absatz 6 aufbewahrte personenbezogene Daten:
    1. bleiben nach diesem Vertrag geschützt;
    2. werden gegebenenfalls von der gewöhnlichen kommerziellen Verarbeitung getrennt;
    3. werden nur für den jeweiligen Aufbewahrungszweck verarbeitet; und
    4. werden gelöscht, sobald der Aufbewahrungszweck entfällt.
  8. In Sicherungskopien gespeicherte personenbezogene Daten können bis zum Überschreiben oder zur Löschung im gewöhnlichen Backup-Zyklus verbleiben.
  9. Während dieses Zeitraums unterliegen Backup-Daten weiterhin angemessenen Sicherheitsmaßnahmen und werden nicht wiederhergestellt, außer soweit erforderlich für:
    1. die Notfallwiederherstellung;
    2. eine Sicherheitsuntersuchung;
    3. die Einhaltung rechtlicher Vorgaben; oder
    4. die Kontinuität der Dienste.
  10. TAXNXT kann unwiderruflich anonymisierte Informationen aufbewahren.
  11. Auf angemessene Anfrage bestätigt TAXNXT den Abschluss der Löschung, vorbehaltlich der vorstehend beschriebenen Ausnahmen.

§19. Pflichten des Verantwortlichen

  1. Der Kunde sichert zu und gewährleistet, dass:
    1. er berechtigt ist, TAXNXT personenbezogene Daten bereitzustellen;
    2. er den betroffenen Personen alle erforderlichen Informationen erteilt hat;
    3. eine geeignete Rechtsgrundlage für die Verarbeitung besteht;
    4. seine Weisungen rechtmäßig sind;
    5. seine Nutzung von Bilantio keine Rechte Dritter verletzt;
    6. er alle für die Beauftragung von TAXNXT erforderlichen Befugnisse eingeholt hat;
    7. er angemessene Aufbewahrungsfristen festgelegt hat; und
    8. er TAXNXT nicht zu rechtswidriger Verarbeitung anweisen wird.
  2. Der Kunde ist verantwortlich für:
    1. die Richtigkeit und Qualität der personenbezogenen Daten;
    2. die Rechtmäßigkeit der Erhebung;
    3. die Kategorien hochgeladener personenbezogener Daten;
    4. die Konfiguration von Berechtigungen;
    5. die Verwaltung der Nutzer;
    6. den Schutz von Zugangsdaten;
    7. die Prüfung von Integrationen;
    8. die Beantwortung von Anfragen betroffener Personen;
    9. erforderlichenfalls die Meldung an Aufsichtsbehörden; und
    10. die Feststellung, ob besondere Schutzmaßnahmen erforderlich sind.
  3. Der Kunde vermeidet das Hochladen personenbezogener Daten, die für den gewählten Zweck nicht erforderlich sind.
  4. Der Kunde darf besondere Kategorien personenbezogener Daten nur hochladen, wenn:
    1. die Verarbeitung für eine zulässige Bilantio-Funktion erforderlich ist;
    2. der Kunde über eine gültige Rechtsgrundlage nach Anwendbarem Datenschutzrecht verfügt;
    3. geeignete Schutzmaßnahmen umgesetzt wurden; und
    4. der Kunde die damit verbundenen Risiken bewertet hat.
  5. Der Kunde darf personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten nur hochladen, wenn die Verarbeitung rechtmäßig und ausdrücklich zulässig ist.
  6. Der Kunde darf Bilantio nicht als alleiniges Archiv für Unterlagen nutzen, wenn Gesetz oder seine Berufspflichten eine unabhängige Aufbewahrung oder Sicherung verlangen.

§20. Haftung

  1. Jede Partei ist für ihre eigene Einhaltung des Anwendbaren Datenschutzrechts verantwortlich.
  2. Die Haftung zwischen den Parteien aus diesem Vertrag unterliegt den Ausschlüssen und Beschränkungen des Hauptvertrages, ausgenommen soweit:
    1. das Anwendbare Datenschutzrecht etwas anderes verlangt;
    2. die Beschränkung die Rechte betroffener Personen unzulässig einschränken würde;
    3. die Haftung auf vorsätzlichem Fehlverhalten beruht; oder
    4. die Haftung rechtlich nicht beschränkt werden kann.
  3. Dieser Vertrag beschränkt keine Rechte betroffener Personen nach Anwendbarem Datenschutzrecht.
  4. Zahlt eine Partei Schadensersatz oder eine Geldbuße, die ganz oder teilweise auf einen Verstoß der anderen Partei zurückzuführen ist, bestimmen sich die Rückgriffsrechte nach:
    1. der jeweiligen Verantwortlichkeit;
    2. dem Hauptvertrag;
    3. dem Anwendbaren Datenschutzrecht; und
    4. der Entscheidung des zuständigen Gerichts oder der Aufsichtsbehörde.
  5. Der Kunde bleibt verantwortlich für Schäden, die verursacht werden durch:
    1. rechtswidrige Weisungen;
    2. das Fehlen einer Rechtsgrundlage;
    3. die Nichterteilung erforderlicher Datenschutzinformationen;
    4. das unbefugte Hochladen personenbezogener Daten;
    5. unzureichende Verwaltung von Nutzern oder Zugangsdaten;
    6. die Nichtbeantwortung von Anfragen betroffener Personen; oder
    7. den Missbrauch der Dienste.
  6. TAXNXT bleibt verantwortlich für Schäden, die durch eine Verarbeitung verursacht werden, die speziell für Auftragsverarbeiter geltende Pflichten verletzt oder außerhalb rechtmäßiger Weisungen des Kunden liegt.

§21. Laufzeit und Beendigung

  1. Dieser Vertrag tritt in Kraft, wenn:
    1. der Kunde den Hauptvertrag annimmt;
    2. der Kunde diesen Vertrag elektronisch annimmt;
    3. der Kunde eine Bestellung unterzeichnet, die diesen Vertrag einbezieht; oder
    4. TAXNXT mit der Verarbeitung personenbezogener Daten im Auftrag des Kunden beginnt.
  2. Dieser Vertrag bleibt in Kraft, solange TAXNXT personenbezogene Daten im Auftrag des Kunden verarbeitet.
  3. Die Beendigung des Hauptvertrages beendet automatisch diesen Vertrag, vorbehaltlich:
    1. der Abrufphasen;
    2. der Löschpflichten;
    3. rechtmäßiger Aufbewahrung;
    4. der Auditpflichten hinsichtlich früherer Verarbeitung;
    5. der Vertraulichkeit; und
    6. der Bestimmungen, die fortgelten sollen.
  4. Jede Partei kann diesen Vertrag beenden, wenn eine fortgesetzte Verarbeitung gegen Anwendbares Datenschutzrecht verstoßen würde.
  5. Ist nur eine bestimmte Verarbeitungstätigkeit rechtswidrig, versuchen die Parteien zunächst, diese auszusetzen oder anzupassen, ohne den gesamten Hauptvertrag zu beenden.

§22. Änderungen dieses Vertrages

  1. TAXNXT kann diesen Vertrag aktualisieren, soweit dies erforderlich ist, um:
    1. Rechtsänderungen abzubilden;
    2. Anforderungen einer Aufsichtsbehörde zu erfüllen;
    3. Sicherheits- oder Betriebsvorkehrungen zu aktualisieren;
    4. Änderungen der Dienste abzubilden;
    5. Verfahren zu Unterauftragsverarbeitern zu aktualisieren;
    6. neue genehmigte Vertragsklauseln zu übernehmen; oder
    7. Datenschutzgarantien zu verbessern.
  2. TAXNXT kündigt wesentliche Änderungen angemessen an.
  3. Durch Gesetz, verbindliche behördliche Entscheidung oder ein dringendes Sicherheitsanliegen gebotene Änderungen können sofort wirksam werden.
  4. Eine Aktualisierung darf das Schutzniveau personenbezogener Daten ohne triftigen rechtlichen oder betrieblichen Grund und ohne angemessene Schutzmaßnahmen nicht wesentlich verringern.
  5. Ist der Kunde vernünftigerweise der Auffassung, dass eine wesentliche Änderung bei ihm zu einem Verstoß gegen Anwendbares Datenschutzrecht führt, kann er TAXNXT vor Wirksamwerden benachrichtigen.
  6. Die Parteien versuchen, das Anliegen nach Treu und Glauben zu klären.
  7. Ist keine zumutbare Lösung verfügbar, kann der Kunde die betroffenen Dienste kündigen.

§23. Anwendbares Recht und Streitigkeiten

  1. Dieser Vertrag unterliegt polnischem Recht, unbeschadet zwingenden Anwendbaren Datenschutzrechts.
  2. Die Parteien versuchen zunächst, Streitigkeiten durch Verhandlungen nach Treu und Glauben beizulegen.
  3. Soweit zwingendes Recht oder anwendbare Standardvertragsklauseln nichts anderes vorsehen, werden Streitigkeiten den für den Sitz von TAXNXT zuständigen Gerichten vorgelegt.
  4. Dieser Paragraf beschränkt nicht:
    1. die Befugnisse einer zuständigen Aufsichtsbehörde;
    2. die Rechte betroffener Personen;
    3. Rechte aus anwendbaren Standardvertragsklauseln; oder
    4. zwingende Rechte nach Anwendbarem Datenschutzrecht.

§24. Sonstige Bestimmungen

  1. Dieser Vertrag stellt den Auftragsverarbeitungsvertrag der Parteien für die von ihm erfasste Verarbeitung dar.
  2. Änderungen bedürfen der Schriftform oder eines elektronischen Verfahrens, das die Annahme dokumentiert.
  3. Die elektronische Annahme hat, soweit gesetzlich zulässig, dieselbe Wirkung wie eine handschriftliche Unterschrift.
  4. Ist eine Bestimmung unwirksam oder undurchsetzbar, bleiben die übrigen Bestimmungen wirksam.
  5. Die unwirksame Bestimmung ist so auszulegen oder zu ersetzen, dass ihr rechtmäßiger Zweck möglichst weitgehend erreicht wird.
  6. Die Nichtdurchsetzung einer Bestimmung stellt keinen Verzicht dar.
  7. Überschriften dienen der Übersichtlichkeit und beeinflussen die Auslegung nicht.
  8. Die Begriffe „einschließlich“ und „zum Beispiel“ beschränken die vorangehenden Formulierungen nicht.
  9. Dieser Vertrag kann in Ausfertigungen geschlossen oder elektronisch angenommen werden.
  10. Es können verschiedene Sprachfassungen veröffentlicht werden.
  11. Bei Abweichungen ist die im Hauptvertrag ausdrücklich als maßgeblich bezeichnete Fassung maßgebend.
  12. Ist keine Fassung ausdrücklich bezeichnet, ist die englische Fassung maßgebend, vorbehaltlich zwingenden polnischen Rechts.

§25. Kontakt

Datenschutzfragen und -anfragen zu diesem Vertrag können gerichtet werden an:

TAXNXT sp. z o.o.ul. Toruńska 15/7780-747 GdańskNIP: 6783218496REGON: 529197763KRS: 0001117478PolenE-Mail: support@taxnxt.eu

Der Kunde sollte aktuelle Kontaktinformationen bereitstellen und pflegen für seinen:

  • Kontoadministrator;
  • Datenschutzkontakt;
  • Sicherheitskontakt; und
  • Kontakt für rechtliche Mitteilungen.

Anlage I — Einzelheiten der Verarbeitung

1. Gegenstand

Verarbeitung personenbezogener Daten, die erforderlich ist, um Bilantio nach Weisung des Kunden bereitzustellen, zu betreiben, abzusichern, zu unterstützen, zu warten und zu verbessern.

2. Art der Verarbeitung

Die Verarbeitung kann umfassen:

  • Erhebung;
  • Empfang;
  • Erfassung;
  • Organisation;
  • Ordnung;
  • Speicherung;
  • Hosting;
  • Hoch- und Herunterladen;
  • Abruf;
  • Einsichtnahme;
  • Zugriff;
  • Extraktion;
  • optische Zeichenerkennung;
  • Klassifizierung;
  • Verschlagwortung;
  • Vergleich;
  • Berechnung;
  • Analyse;
  • Zusammenfassung;
  • Erzeugung von Entwurfsinhalten;
  • Übermittlung;
  • Offenlegung gegenüber berechtigten Empfängern;
  • Integration mit Systemen Dritter;
  • Einschränkung;
  • Export;
  • Sicherung;
  • Wiederherstellung;
  • Berichtigung;
  • Anonymisierung;
  • Pseudonymisierung, soweit anwendbar;
  • Löschung; und
  • Vernichtung.

3. Zwecke der Verarbeitung

Die Verarbeitung kann erfolgen, um:

  • Rechnungen zu erstellen und zu verwalten;
  • Rechnungsentwürfe vorzubereiten;
  • strukturierte Rechnungen zu senden oder zu empfangen;
  • KSeF-Prozesse zu unterstützen;
  • Buchhaltungsunterlagen zu speichern;
  • Informationen aus Dokumenten zu extrahieren;
  • Rechnungen und Belege zu klassifizieren;
  • Buchhaltungsunterlagen zu ordnen;
  • Auswertungen und Berichte zu erstellen;
  • Buchführungsprozesse zu unterstützen;
  • Umsatzsteuer- und steuerbezogene Prozesse zu unterstützen;
  • die Lohn-, Gehalts- und Personalverwaltung zu unterstützen;
  • KI-gestützte Funktionen bereitzustellen;
  • auf Eingaben des Kunden zu reagieren;
  • Integrationen zu verwalten;
  • Support zu leisten;
  • Sicherheits- und Auditprotokolle zu führen;
  • Missbrauch zu verhindern;
  • Backups durchzuführen;
  • die Verfügbarkeit der Dienste wiederherzustellen;
  • Datenexport und Anbieterwechsel zu erleichtern; und
  • sonstige dokumentierte Weisungen des Kunden im Rahmen der Dienste zu erfüllen.

4. Dauer

Für die Laufzeit des Hauptvertrages, einschließlich jeder anwendbaren Übergangs-, Abruf-, Backup-, gesetzlichen Aufbewahrungs- oder Löschphase.

5. Häufigkeit der Verarbeitung

Fortlaufend oder wiederkehrend, je nach Nutzung von Bilantio durch den Kunden.

6. Verarbeitungsorte

Die Verarbeitungsorte ergeben sich aus dem aktuellen Verzeichnis der Unterauftragsverarbeiter von Bilantio und der Infrastrukturdokumentation.

TAXNXT beabsichtigt, ihre wesentliche Datenbank- und Speicherinfrastruktur in europäischen Regionen zu konfigurieren, soweit verfügbar und geeignet.

Anlage II — Kategorien personenbezogener Daten und betroffener Personen

1. Kategorien betroffener Personen

Je nach Nutzung von Bilantio durch den Kunden können betroffene Personen sein:

  • Beschäftigte des Kunden;
  • Nutzer und Administratoren des Kunden;
  • Geschäftsführer und Vorstandsmitglieder;
  • Gesellschafter;
  • wirtschaftlich Berechtigte;
  • bevollmächtigte Vertreter;
  • Prokuristen;
  • Auftragnehmer;
  • Berater;
  • Bewerber;
  • ehemalige Beschäftigte;
  • Lohn- und Gehaltsempfänger;
  • Kunden und potenzielle Kunden;
  • Einzelunternehmer;
  • Lieferanten;
  • Dienstleister;
  • Subunternehmer;
  • Geschäftspartner;
  • Rechnungskontakte;
  • Zahlungsempfänger;
  • Schuldner und Gläubiger;
  • Kontoinhaber;
  • Mandanten von Buchhaltungsbüros;
  • Beschäftigte und Vertreter von Mandanten der Buchhaltungsbüros;
  • in Rechnungen, Belegen, Verträgen, Lohnunterlagen, Buchhaltungsunterlagen oder hochgeladenen Dateien genannte Personen; und
  • sonstige Personen, deren personenbezogene Daten der Kunde übermittelt.

2. Konto- und Identifikationsdaten

Dies kann umfassen:

  • Vor- und Nachname;
  • geschäftliche E-Mail-Adresse;
  • Telefonnummer;
  • Benutzername;
  • Login-Kennung;
  • Authentifizierungsinformationen;
  • Firmenname;
  • Rolle;
  • Funktionsbezeichnung;
  • Nutzerberechtigungen;
  • Spracheinstellung; und
  • Kontoeinstellungen.

3. Unternehmens- und Geschäftsinformationen

Dies kann umfassen:

  • Firmennamen;
  • Geschäftsanschriften;
  • Korrespondenzanschriften;
  • NIP- und USt-IdNr.;
  • REGON;
  • KRS-Informationen;
  • sonstige Registerkennungen;
  • geschäftliche Kontaktdaten;
  • Informationen zu Vorstandsmitgliedern;
  • Informationen zu Gesellschaftern;
  • Informationen zu wirtschaftlich Berechtigten;
  • Informationen zu Vertretern;
  • Informationen zu Vollmachten; und
  • organisatorische Beziehungen.

4. Rechnungs- und Buchhaltungsdaten

Dies kann umfassen:

  • Rechnungsnummern;
  • Rechnungsdaten;
  • Verkaufs- oder Lieferdaten;
  • Angaben zu Käufer und Verkäufer;
  • Anschriften;
  • NIP- und USt-IdNr.;
  • Beschreibungen von Waren und Dienstleistungen;
  • Mengen und Einheiten;
  • Nettobeträge;
  • Umsatzsteuersätze und -beträge;
  • Bruttobeträge;
  • Währungen;
  • Zahlungsbedingungen;
  • Zahlungsstatus;
  • Bankverbindungen;
  • Transaktionsreferenzen;
  • buchhalterische Klassifizierungen;
  • Kostenstellen;
  • Buchungsnotizen;
  • Belege;
  • Nachweisdokumente;
  • Buchführungsunterlagen;
  • Buchhaltungsregister;
  • Berichte; und
  • Finanzauswertungen.

5. KSeF- und steuerbezogene Daten

Dies kann umfassen:

  • strukturierte Rechnungsdaten;
  • XML-Rechnungsdateien;
  • KSeF-Kennungen;
  • amtliche Übermittlungsstatus;
  • amtliche Bestätigungen;
  • steuerliche Klassifizierungen;
  • Umsatzsteuerinformationen;
  • steuerliche Meldeinformationen;
  • Buchhaltungsregister; und
  • Daten, die für die Kommunikation mit Rechnungs- oder Steuersystemen erforderlich sind.

6. Lohn-, Gehalts- und Personaldaten

Dies kann umfassen:

  • Namen der Beschäftigten;
  • Kennungen der Beschäftigten;
  • Kontaktdaten;
  • Beschäftigungsinformationen;
  • Vertragsinformationen;
  • Gehaltsinformationen;
  • Lohnabrechnungen;
  • Prämien und Abzüge;
  • Steuerinformationen;
  • Sozialversicherungsinformationen;
  • Bankverbindungen;
  • Arbeitszeitinformationen;
  • Urlaubs- und Abwesenheitsinformationen;
  • Informationen zu Zusatzleistungen;
  • organisatorische Rolle;
  • Beschäftigungsdaten; und
  • sonstige für die Lohn- oder Personalverwaltung hochgeladene Informationen.

7. KI-Eingabe- und Ergebnisdaten

Dies kann umfassen:

  • Eingaben (Prompts);
  • Nutzeranweisungen;
  • in Eingaben enthaltene Dokumente;
  • geschäftliche Fragen;
  • erzeugte Antworten;
  • Rechnungsentwürfe;
  • Dokumententwürfe;
  • buchhalterische Zusammenfassungen;
  • Klassifizierungen;
  • extrahierte Informationen; und
  • technische Protokolle im Zusammenhang mit der KI-Verarbeitung.

8. Technische und Sicherheitsdaten

Dies kann umfassen:

  • IP-Adressen;
  • Geräteinformationen;
  • Browserinformationen;
  • Betriebssysteminformationen;
  • Sitzungskennungen;
  • Login-Zeitstempel;
  • Zugriffsprotokolle;
  • Auditprotokolle;
  • API-Protokolle;
  • Fehlerprotokolle;
  • Sicherheitsereignisse;
  • Systemaktivität; und
  • Integrationskennungen.

9. Besondere Kategorien personenbezogener Daten

Bilantio ist nicht primär für die Verarbeitung besonderer Kategorien personenbezogener Daten ausgelegt.

Je nach Nutzung der Lohn-, Personal- oder Dokumentfunktionen durch den Kunden können hochgeladene Dokumente jedoch enthalten:

  • Gesundheitsinformationen;
  • Informationen zu Krankschreibungen;
  • Informationen zu Behinderungen;
  • Informationen zur Gewerkschaftszugehörigkeit;
  • biometrische Informationen in Ausweisdokumenten; oder
  • sonstige sensible Informationen.

Der Kunde muss sicherstellen, dass eine solche Verarbeitung erforderlich, rechtmäßig und angemessen geschützt ist.

10. Daten zu strafrechtlichen Verurteilungen und Straftaten

Bilantio ist nicht primär für die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten ausgelegt.

Der Kunde darf solche Informationen nur übermitteln, wenn die Verarbeitung rechtmäßig, erforderlich und ordnungsgemäß zulässig ist.

Anlage III — Technische und organisatorische Maßnahmen

TAXNXT unterhält technische und organisatorische Maßnahmen, die den mit den Diensten verbundenen Risiken angemessen sind.

Die Maßnahmen können bei sich ändernder Technik und Risikolage angepasst werden, sofern das Gesamtschutzniveau nicht wesentlich verringert wird.

1. Steuerung der Informationssicherheit

Die Maßnahmen umfassen, soweit angemessen:

  • festgelegte Verantwortung für Informationssicherheit;
  • interne Sicherheits- und Vertraulichkeitsregeln;
  • risikobasierte Sicherheitsüberprüfungen;
  • Verfahren zur Zugriffskontrolle;
  • Verfahren zur Reaktion auf Vorfälle;
  • Prüfung von Lieferanten und Unterauftragsverarbeitern;
  • sichere Entwicklungspraktiken;
  • Planung der Geschäftskontinuität; und
  • regelmäßige Überprüfung der Sicherheitsmaßnahmen.

2. Zugriffskontrolle

Die Maßnahmen umfassen:

  • individuelle Nutzerkonten;
  • rollenbasierte Berechtigungen;
  • Zugriff nach dem Prinzip der geringsten Rechte;
  • Beschränkung des Zugriffs auf Produktivsysteme;
  • regelmäßige Zugriffsüberprüfungen;
  • zügige Entfernung nicht erforderlicher Zugriffe;
  • Trennung administrativer Berechtigungen;
  • Authentifizierungskontrollen; und
  • Protokollierung relevanter administrativer Aktivitäten.

3. Authentifizierung

Die Maßnahmen umfassen:

  • Anforderungen an den Passwortschutz;
  • sichere Authentifizierungsmechanismen;
  • Sitzungskontrollen;
  • Schutz vor unbefugten Anmeldeversuchen;
  • sichere Handhabung von Zugangsdaten;
  • optionale oder verpflichtende Mehr-Faktor-Authentifizierung, soweit implementiert; und
  • Verfahren zum Widerruf kompromittierter Zugangsdaten.

4. Verschlüsselung und Übertragungssicherheit

Die Maßnahmen umfassen:

  • Verschlüsselung personenbezogener Daten bei der Übertragung mit geeigneten Transportsicherheitsprotokollen;
  • sichere API-Kommunikation;
  • sichere Authentifizierungstoken;
  • Beschränkungen unsicherer Übertragungsmethoden; und
  • Verschlüsselung im Ruhezustand, soweit von der jeweiligen Infrastruktur unterstützt und angemessen.

5. Datenspeicherung und Trennung

Die Maßnahmen umfassen:

  • logische Trennung von Kundenumgebungen oder -daten;
  • Zugriffskontrollen auf Anwendungs- und Datenbankebene;
  • kontrollierte Speicherberechtigungen;
  • Beschränkung des direkten Datenbankzugriffs;
  • Trennung von Produktiv- und Entwicklungsumgebungen, soweit angemessen; und
  • Verfahren zur Verhinderung unbefugter kundenübergreifender Zugriffe.

6. Protokollierung und Überwachung

Die Maßnahmen umfassen:

  • Zugriffsprotokolle;
  • Authentifizierungsprotokolle;
  • Auditprotokolle;
  • Fehlerprotokollierung;
  • Überwachung von Sicherheitsereignissen;
  • Überwachung relevanter Systemaktivität;
  • Untersuchung verdächtiger Ereignisse; und
  • Schutz von Protokollen vor unbefugter Veränderung, soweit angemessen.

7. Verfügbarkeit und Belastbarkeit

Die Maßnahmen umfassen:

  • Backups;
  • Wiederherstellungsverfahren;
  • Systemüberwachung;
  • Redundanz, soweit angemessen;
  • Verfahren des Vorfallmanagements;
  • Wiederherstellungstests, soweit angemessen;
  • Kapazitätsüberwachung; und
  • Maßnahmen zur Unterstützung fortlaufender Verfügbarkeit.

8. Sichere Softwareentwicklung

Die Maßnahmen umfassen:

  • kontrollierte Entwicklungsprozesse;
  • Beschränkungen des Quellcodezugriffs;
  • Code-Review, soweit angemessen;
  • Abhängigkeitsverwaltung;
  • Tests vor wesentlichen Releases;
  • Behebung von Schwachstellen;
  • Trennung von Entwicklungs- und Produktivzugriff, soweit angemessen;
  • Änderungsmanagementverfahren; und
  • sichere Handhabung von Geheimnissen und Zugangsdaten.

9. Schwachstellenmanagement

Die Maßnahmen umfassen:

  • Sicherheitsupdates;
  • Überwachung von Abhängigkeiten;
  • Schwachstellenbewertung;
  • risikogerechte Behebung;
  • beschränkter Zugang zu Schwachstelleninformationen;
  • Auswertung von Sicherheitsberichten; und
  • Penetrationstests oder gleichwertige technische Tests, soweit angemessen.

10. Reaktion auf Vorfälle

Die Maßnahmen umfassen:

  • Meldewege für Sicherheitsvorfälle;
  • Identifikation und Priorisierung von Vorfällen;
  • Eindämmung;
  • Untersuchung;
  • Behebung;
  • Wiederherstellung;
  • Verfahren zur Meldung von Datenschutzverletzungen;
  • Dokumentation; und
  • Nachbereitung nach Vorfällen.

11. Personelle Sicherheit

Die Maßnahmen umfassen:

  • Vertraulichkeitsverpflichtungen;
  • aufgabenbezogene Zugriffsgewährung;
  • Hinweise zu Datenschutz und Sicherheit;
  • Entzug des Zugriffs bei Rollenwechsel oder Ausscheiden;
  • Disziplinarmaßnahmen bei unbefugtem Zugriff; und
  • Zuverlässigkeitsüberprüfungen, soweit rechtmäßig, angemessen und verhältnismäßig.

12. Verwaltung von Unterauftragsverarbeitern

Die Maßnahmen umfassen:

  • Prüfung von Datenschutz und Sicherheit;
  • schriftliche Auftragsverarbeitungsbedingungen;
  • Vertraulichkeitsverpflichtungen;
  • Bewertung der Verarbeitungsorte;
  • Bewertung internationaler Übermittlungsmechanismen;
  • Beobachtung wesentlicher Änderungen;
  • Führung eines Verzeichnisses der Unterauftragsverarbeiter; und
  • Verfahren zum Austausch oder zur Beendigung von Unterauftragsverarbeitern.

13. Datenminimierung und Zweckbindung

Die Maßnahmen umfassen:

  • Beschränkung der Verarbeitung auf die vom Kunden gewählten Dienste;
  • Beschränkung interner Zugriffe;
  • Begrenzung der über Supportanfragen erhobenen Informationen;
  • Verwendung anonymisierter oder aggregierter Informationen, soweit angemessen;
  • Löschung oder De-Identifizierung, sobald Informationen nicht mehr erforderlich sind; und
  • Konfigurationsoptionen, mit denen Kunden die übermittelten Daten steuern können.

14. Löschung und Entsorgung

Die Maßnahmen umfassen:

  • Verfahren zur Kontolöschung;
  • Steuerung der Datenaufbewahrung;
  • Löschung nach den geltenden Abrufphasen;
  • sichere Löschung oder Überschreibung, soweit angemessen;
  • Verfahren zum Ablauf von Backups;
  • Beschränkung aufbewahrter Informationen; und
  • sichere Entsorgung von Speichermedien, soweit einschlägig.

15. Vom Kunden gesteuerte Maßnahmen

Bilantio stellt Maßnahmen bereit oder kann sie bereitstellen, die es Kunden ermöglichen:

  • Nutzer zu verwalten;
  • Berechtigungen zuzuweisen;
  • Nutzerzugriffe zu entfernen;
  • Daten zu exportieren;
  • Informationen zu berichtigen;
  • Informationen zu löschen, soweit die Funktionalität dies zulässt;
  • Protokolle oder Aktivitätsinformationen einzusehen, soweit im jeweiligen Plan enthalten;
  • Integrationen zu steuern; und
  • ihre Konten über Authentifizierungseinstellungen zu schützen.

Anlage V — Regelungen zu internationalen Übermittlungen

1. Verarbeitung im EWR

Werden personenbezogene Daten ausschließlich innerhalb des EWR verarbeitet und erfolgt kein Zugriff aus einem Drittland, ist kein Mechanismus für eine Eingeschränkte Übermittlung erforderlich.

2. Angemessenheitsbeschlüsse

Werden personenbezogene Daten in ein Land übermittelt, das von einem gültigen Angemessenheitsbeschluss erfasst ist, kann sich die Übermittlung auf diesen Beschluss stützen.

3. Standardvertragsklauseln

Greift kein Angemessenheitsbeschluss, kann TAXNXT die mit Durchführungsbeschluss (EU) 2021/914 der Kommission angenommenen Standardvertragsklauseln oder deren rechtmäßige Nachfolgeregelung verwenden.

4. Übermittlungen an Unterauftragsverarbeiter

Erhält ein genehmigter Unterauftragsverarbeiter personenbezogene Daten außerhalb des EWR, stellt TAXNXT sicher, dass:

  • ein rechtmäßiger Übermittlungsmechanismus greift;
  • die einschlägige Übermittlungsdokumentation vollständig ist;
  • der Unterauftragsverarbeiter vertraglich an angemessene datenschutzrechtliche Pflichten gebunden ist;
  • die Übermittlung im Verzeichnis der Unterauftragsverarbeiter beschrieben ist; und
  • ergänzende Schutzmaßnahmen umgesetzt werden, soweit vernünftigerweise erforderlich.

5. Übermittlungsfolgenabschätzungen

Soweit erforderlich, bewertet TAXNXT:

  • die Art der personenbezogenen Daten;
  • den Zweck der Übermittlung;
  • den Empfänger;
  • das Zielland;
  • einschlägige lokale Gesetze und Praktiken;
  • die Wahrscheinlichkeit behördlicher Zugriffe;
  • vertragliche Schutzmaßnahmen;
  • technische Schutzmaßnahmen; und
  • organisatorische Schutzmaßnahmen.

6. Ergänzende Schutzmaßnahmen

Ergänzende Schutzmaßnahmen können umfassen:

  • Verschlüsselung;
  • Zugriffsbeschränkungen;
  • Datenminimierung;
  • Pseudonymisierung;
  • vertragliche Zusagen;
  • Transparenzpflichten;
  • Verfahren für behördliche Ersuchen;
  • Beschränkungen von Weiterübermittlungen; und
  • erweiterte Audit- oder Überwachungsrechte.

7. Kollidierendes Recht

Kann TAXNXT oder ein Unterauftragsverarbeiter einen anwendbaren Übermittlungsmechanismus nicht mehr einhalten, wird TAXNXT:

  • den Kunden benachrichtigen, soweit rechtlich zulässig;
  • die betroffene Übermittlung aussetzen, soweit erforderlich;
  • nach Möglichkeit eine alternative rechtmäßige Garantie umsetzen; oder
  • die betroffene Verarbeitung beenden, wenn keine rechtmäßige Lösung verfügbar ist.