DSGVO & Auftragsverarbeitung

Ihre Rolle und unsere

Wenn Sie Zvitly nutzen, treffen zwei Rollen aufeinander. Für die Daten Ihrer eigenen Kunden, Lieferanten und Mitarbeiter sind Sie der Verantwortliche (розпорядник) im Sinne des Art. 4 Z 7 DSGVO: Sie entscheiden, welche Daten Sie erfassen und wozu. Zvitly ist dafür Auftragsverarbeiter (обробник) nach Art. 4 Z 8 DSGVO — wir speichern und verarbeiten diese Daten ausschließlich nach Ihren Weisungen und niemals für eigene Zwecke.

Diese Unterscheidung ist keine Formalität. Sie bestimmt, wer eine Auskunft beantworten muss, wer eine Datenschutzverletzung an die Behörde meldet und wer dafür haftet. Kurz gesagt: Bei den Daten in Ihrem Zvitly-Konto sitzen Sie am Steuer, wir sind der Motor.

Für die Zeilen 2 und 3 gilt nicht diese Seite, sondern die Datenschutzerklärung. Datenschutzerklärung

Der Auftragsverarbeitungsvertrag (AVV)

Art. 28 Abs 3 DSGVO verlangt, dass jede Auftragsverarbeitung auf einem Vertrag beruht. Fehlt er, ist bereits die Nutzung ein Verstoß — und zwar Ihrer, nicht unserer, denn die Pflicht trifft den Verantwortlichen. Der Auftragsverarbeitungsvertrag (Auftragsverarbeitungsvertrag, kurz AVV, international DPA) ist deshalb kein Zusatzprodukt, sondern Voraussetzung der Nutzung.

So schließen Sie ihn mit uns

1. Schreiben Sie an die unten genannte Adresse mit dem Betreff «AVV» und nennen Sie Firma, Anschrift und die E-Mail-Adresse Ihres Zvitly-Kontos.
2. Sie erhalten den AVV in der aktuellen Fassung als PDF zur Prüfung. Er ist inhaltsgleich mit dieser Seite — diese Seite ersetzt ihn jedoch nicht.
3. Der Vertrag kommt in Textform zustande. Art. 28 Abs 9 DSGVO lässt das elektronische Format ausdrücklich zu; eine Unterschrift auf Papier ist nicht erforderlich.

Der Abschluss ist in allen Tarifen kostenlos, auch bei kostenloser Nutzung. Ein Abschluss unmittelbar im Konto ist derzeit nicht vorgesehen — der Weg führt über E-Mail.

Inhalt des AVV nach Art. 28 Abs 3 DSGVO

Art. 28 Abs 3 DSGVO schreibt vor, was in einem AVV stehen muss. Die beiden folgenden Tabellen bilden diesen Katalog vollständig ab: zuerst die Eckdaten der Verarbeitung, dann die Pflichten nach lit a bis h.

Unterauftragsverarbeiter

Zvitly setzt die folgenden Unterauftragsverarbeiter ein. Die Liste ist vollständig und nennt nur Dienstleister, mit denen ein Vertrag nach Art. 28 DSGVO tatsächlich besteht.

Technische und organisatorische Maßnahmen (Art. 32)

Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind — und er verlangt, dass sie umgesetzt und nicht bloß geplant sind. Die folgende Aufstellung beschreibt deshalb ausschließlich das, was im Produkt tatsächlich in Betrieb ist.

Verletzung des Schutzes personenbezogener Daten

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die Ihre Daten betrifft, informieren wir Sie unverzüglich, wie es Art. 33 Abs 2 DSGVO verlangt. «Unverzüglich» heißt hier ohne schuldhaftes Zögern und in der Praxis innerhalb von 24 Stunden ab unserer Kenntnis — damit Ihnen von Ihrer eigenen Frist von 72 Stunden genug übrig bleibt.

Was wir tun

1. Den Vorfall eindämmen und seinen Umfang feststellen.
2. Sie als Verantwortlichen benachrichtigen — mit Art des Vorfalls, betroffenen Datenkategorien, ungefährer Zahl der betroffenen Personen, wahrscheinlichen Folgen und den ergriffenen Maßnahmen (Art. 33 Abs 3 DSGVO).
3. Angaben nachliefern, die zum Zeitpunkt der ersten Meldung noch nicht feststanden — eine gestufte Meldung ist zulässig und bei größeren Vorfällen der Regelfall.
4. Den Vorfall bei uns dokumentieren und die Ursache beheben.

Meldeweg in Österreich: Online-Formular oder PDF-Formular der Datenschutzbehörde, alternativ per E-Mail an dsb@dsb.gv.at oder postalisch an die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien.

Betroffenenrechte in der Praxis

Anfragen betroffener Personen richten sich an Sie, weil Sie der Verantwortliche sind. Unsere Aufgabe ist, Ihnen die Erfüllung möglich zu machen. Diese Tabelle sagt für jedes Recht, was Sie selbst im Konto tun können und wofür Sie uns brauchen.

Löschkonzept

Wie lange Daten bleiben, entscheidet nicht der Geschmack, sondern der Zweck und das Gesetz. Für Buchhaltungsdaten ist das Gesetz strenger als der Wunsch nach Löschung — und es geht vor.

Die Fristen für Daten, die Zvitly als Verantwortlicher verarbeitet — Konto, Kontakt, Website —, stehen in der Datenschutzerklärung. Datenschutzerklärung

Übermittlung in Drittländer

Ihre Buchhaltungsdaten verlassen die Europäische Union nicht. Datenbank und Dateien liegen in Frankfurt am Main, die Anwendung auf EU-Servern, die automatische Belegerkennung läuft über ein Inferenzprofil von Amazon Web Services, das die Verarbeitung auf Rechenzentren in der EU beschränkt, und Systemmails werden aus der EU-Region Irland (eu-west-1) versendet, in der die Domain zvitly.io verifiziert ist. Ein Drittlandbezug besteht ausschließlich für Betriebsdaten von Anbietern, die US-Gesellschaften sind oder einem US-Konzern angehören: bei Supabase und Amazon Web Services für den administrativen Zugriff des jeweiligen Anbieters auf die eigene Plattform, bei Resend für Kontodaten, Zustellmetadaten und Protokolle — also für die Angabe, DASS eine Nachricht zugestellt wurde, nicht für Belege, Rechnungen oder die Daten Ihrer Kunden.

Diese Übermittlungen sind auf Grundlage der DSGVO zulässig — nicht bloß geduldet. Resend ist unter dem EU-US Data Privacy Framework zertifiziert, für das die Europäische Kommission am 10. Juli 2023 einen Angemessenheitsbeschluss nach Art. 45 DSGVO gefasst hat; eine Übermittlung auf dieser Grundlage bedarf keiner zusätzlichen Genehmigung einer Aufsichtsbehörde. Unabhängig davon enthalten die Auftragsverarbeitungsverträge aller drei Anbieter die Standardvertragsklauseln der Kommission nach Art. 46 Abs 2 lit c DSGVO, ergänzt um technische Maßnahmen: erzwungene Transportverschlüsselung, Verschlüsselung im Ruhezustand sowie Speicherung und Verarbeitung in der EU. Für den Vertrag mit Resend gelten irisches Recht und irische Gerichtsstände.

Datenschutz-Folgenabschätzung (Art. 35)

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist nicht immer nötig. Erforderlich ist sie, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt — insbesondere bei systematischer und umfassender Bewertung persönlicher Aspekte, bei umfangreicher Verarbeitung besonderer Kategorien nach Art. 9 oder bei systematischer weiträumiger Überwachung öffentlich zugänglicher Bereiche.

Für den typischen Einsatz von Zvitly — die Buchhaltung eines Einzel- oder Kleinunternehmens — ist nach unserer Einschätzung keine DSFA erforderlich:

• Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung und kein Profiling im Sinne des Art. 22 DSGVO statt.
• Besondere Kategorien nach Art. 9 sind nicht vorgesehen und werden nicht abgefragt.
• Die Verarbeitung ist auf die Geschäftsvorfälle eines einzelnen Unternehmens beschränkt und damit nicht «umfangreich» im Sinne des Erwägungsgrundes 91.

Verarbeitungsverzeichnis (Art. 30 Abs 2)

Als Auftragsverarbeiter führen wir ein eigenes Verzeichnis aller Verarbeitungstätigkeiten, die wir im Auftrag von Verantwortlichen ausführen (Art. 30 Abs 2 DSGVO). Es enthält:

Die Ausnahme des Art. 30 Abs 5 DSGVO für Unternehmen unter 250 Beschäftigten greift hier nicht: Die Verarbeitung erfolgt nicht nur gelegentlich. Auf Anfrage stellen wir das Verzeichnis der Aufsichtsbehörde und Ihnen zur Verfügung.

Nachweis und Kontrolle

Art. 28 Abs 3 lit h DSGVO gibt Ihnen das Recht, die Einhaltung dieses Vertrags zu überprüfen. Wir erfüllen es in dieser Reihenfolge — von der leichtesten zur eingreifendsten Form:

1. Selbstauskunft: Diese Seite und der AVV beschreiben Verarbeitung und Maßnahmen. Für die meisten Prüfungen genügt das.
2. Schriftliche Auskunft: Auf konkrete Fragen antworten wir innerhalb von 30 Tagen in Textform, einschließlich Nachweisen zu einzelnen Maßnahmen.
3. Vor-Ort-Prüfung: nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten, höchstens einmal jährlich und ohne Störung des Betriebs — durch Sie oder einen von Ihnen beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber von uns ist. Anlassbezogene Prüfungen nach einem Vorfall bleiben davon unberührt.

Zertifikate Dritter — etwa ISO 27001 oder ein SOC-2-Bericht — liegen für Zvitly selbst nicht vor. Für die eingesetzten Dienstleister sind sie über deren Vertrauensportale einsehbar.

Ihre eigenen Pflichten als Unternehmer

Der AVV mit uns ist ein Baustein Ihrer Compliance, nicht die ganze. Die folgenden sechs Fragen sind die, die uns tatsächlich gestellt werden — mit den Antworten, die für ein österreichisches Klein- oder Einzelunternehmen gelten.

Kurze Checkliste

• AVV mit Zvitly geschlossen.
• AVVs mit allen weiteren Dienstleistern geschlossen.
• Eigenes Verarbeitungsverzeichnis nach Art. 30 Abs 1 angelegt.
• Eigene Datenschutzerklärung nach Art. 13 veröffentlicht.
• Geprüft, ob ein Datenschutzbeauftragter oder eine DSFA nötig ist — und das Ergebnis notiert.
• Festgelegt, wer bei einem Vorfall was tut, und die Frist von 72 Stunden notiert.

Diese Übersicht ist eine Orientierung und ersetzt keine Rechtsberatung. Zvitly ist weder Steuerberater noch Rechtsanwalt.

Kontakt und Stand

Fragen zur Auftragsverarbeitung, Anforderung des AVV, Meldung eines Vorfalls oder Unterstützung bei einer Betroffenenanfrage richten Sie bitte an die unten genannte Adresse, mit dem Stichwort «Datenschutz» im Betreff. Einen Datenschutzbeauftragten hat Zvitly nicht bestellt — die Voraussetzungen des Art. 37 Abs 1 DSGVO liegen nicht vor. Anfragen beantwortet die Geschäftsführung.

Diese Fassung gilt ab dem oben genannten Stand und ersetzt alle früheren. Rechtlich verbindlich ist die deutsche Fassung.