Auftragsverarbeitungsvereinbarung

Rechna. Anlage zu den AGB. Version 1.0 vom 6. November 2026.

Diese Vereinbarung ist der Vertrag nach Art 28 Abs 3 DSGVO zwischen Ihrem Unternehmen als Verantwortlichem (im Folgenden „Sie“) und der Football Path X GmbH als Auftragsverarbeiterin (im Folgenden „wir“). Sie ist Bestandteil der AGB und wird mit der Registrierung wirksam. Eine gesonderte Unterschrift ist nicht nötig. Haben wir mit Ihnen eine eigene, unterschriebene Vereinbarung geschlossen, gilt diese an Stelle dieser Anlage.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die Sie in Ihrem Rechna-Unternehmensbereich erfassen, hochladen oder über Rechna versenden, damit Sie Angebote, Rechnungen und weitere Belege erstellen und verwalten können.

Dauer. Die Vereinbarung gilt, solange wir Daten für Sie verarbeiten, also für die Laufzeit des Vertrags und bis zur Löschung nach Abschnitt 9.

2. Art, Zweck, Daten und Betroffene

Art der Verarbeitung: Erfassen, Speichern, Ordnen, Anzeigen, Erzeugen von PDF-Dokumenten, Exportieren, Versenden per E-Mail und Löschen.

Zweck: Bereitstellung der Funktionen von Rechna für Ihr Unternehmen.

Arten von Daten: Namen, Anschriften, E-Mail-Adressen und Telefonnummern; Umsatzsteuer-Identifikationsnummern und Firmenbuchdaten, soweit sie Personen betreffen; Ansprechpersonen; Inhalte von Angeboten, Rechnungen, Gutschriften und Lieferscheinen; Zahlungseingänge und offene Beträge; Ausgabenbelege und deren Dateien; Namen und E-Mail-Adressen der Personen, denen Sie Zugang zu Ihrem Unternehmensbereich geben.

Betroffene: Ihre Kundinnen und Kunden und deren Ansprechpersonen, Ihre Lieferanten und deren Ansprechpersonen, Ihre Mitarbeitenden mit Zugang zu Rechna sowie Personen, die in Belegen genannt sind.

Besondere Kategorien von Daten nach Art 9 DSGVO sind für Rechna nicht vorgesehen. Bitte erfassen Sie solche Daten nicht.

3. Weisungen

Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung. Ihre Weisung ist die Nutzung der Funktionen von Rechna; diese Vereinbarung und die AGB dokumentieren sie. Weitere Weisungen geben Sie schriftlich, auch per E-Mail. Für Weisungen, die über den normalen Betrieb hinausgehen, dürfen wir einen angemessenen Aufwandsersatz verlangen.

Halten wir eine Weisung für rechtswidrig, sagen wir Ihnen das und dürfen sie bis zur Klärung aussetzen. Verpflichtet uns Unionsrecht oder österreichisches Recht zu einer anderen Verarbeitung, teilen wir Ihnen das vorher mit, soweit das Gesetz es nicht verbietet.

4. Vertraulichkeit

Alle Personen, die bei uns Zugang zu Ihren Daten haben, sind schriftlich zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Diese Pflicht gilt über das Ende ihrer Tätigkeit hinaus. Zugang erhalten nur Personen, die ihn für den Betrieb oder für Unterstützung, die Sie anfordern, brauchen.

5. Sicherheit

Wir treffen die technischen und organisatorischen Maßnahmen nach Art 32 DSGVO, die in Anlage 1 beschrieben sind. Wir dürfen sie weiterentwickeln, wenn das Schutzniveau dabei nicht sinkt.

6. Unterauftragsverarbeiter

Sie erteilen uns die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die aktuell eingesetzten stehen in Anlage 2. Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf Pflichten, die dieser Vereinbarung entsprechen, und haften Ihnen für ihn wie für uns selbst.

Einen neuen oder ersetzten Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vorher per E-Mail an die Inhaberin oder den Inhaber Ihres Unternehmensbereichs an. Widersprechen Sie in dieser Frist aus berechtigten datenschutzrechtlichen Gründen und finden wir keine Lösung, können Sie den Vertrag zum Zeitpunkt der Änderung kündigen. Bereits bezahlte Entgelte für die Zeit danach erstatten wir anteilig.

7. Unterstützung

Betroffenenrechte. Rechna ermöglicht es Ihnen, Daten selbst zu berichtigen, zu exportieren und Einträge in Verzeichnissen zu archivieren. Wo das nicht reicht, unterstützen wir Sie bei der Beantwortung von Anträgen nach Kapitel III DSGVO. Wendet sich eine betroffene Person direkt an uns, leiten wir den Antrag an Sie weiter und beantworten ihn nicht selbst.

Ausgestellte Belege sind festgeschrieben und können wegen der Aufbewahrungspflicht nach § 132 BAO nicht gelöscht werden. Das ist bei Löschanträgen zu berücksichtigen.

Weitere Pflichten. Wir unterstützen Sie bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen (Art 32 bis 36 DSGVO), soweit uns die nötigen Informationen vorliegen.

8. Datenschutzverletzungen

Wir informieren Sie unverzüglich, nachdem uns eine Verletzung des Schutzes Ihrer Daten bekannt geworden ist, an die E-Mail-Adresse der Inhaberin oder des Inhabers Ihres Unternehmensbereichs. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und ungefähre Anzahl von Personen und Datensätzen, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Informationen, die noch nicht vorliegen, reichen wir nach.

9. Rückgabe und Löschung

Während der Laufzeit können Sie Ihre ausgestellten Belege jederzeit als PDF und Ihre Listen von Kunden, Lieferanten und Rechnungen als CSV herunterladen. Dateien von Ausgabenbelegen können Sie einzeln öffnen und speichern.

Nach dem Vertragsende bleibt Ihr Zugang noch 30 Tage bestehen, damit Sie Ihre Daten herunterladen können. Innerhalb von weiteren 30 Tagen löschen wir die Daten Ihres Unternehmensbereichs, einschließlich der gespeicherten Dateien. Auf Wunsch bestätigen wir Ihnen die Löschung schriftlich. Sicherungskopien der Datenbank löschen wir spätestens 90 Tage nach ihrer Erstellung. Die Wiederherstellung zu einem früheren Zeitpunkt bei Cloudflare reicht höchstens 30 Tage zurück. Soweit uns das Gesetz eine Aufbewahrung vorschreibt, löschen wir nach Ablauf der Frist.

Die Aufbewahrungspflicht für Ihre eigenen Belege trifft Sie. Laden Sie Ihre Belege deshalb vor der Löschung herunter.

10. Nachweise und Kontrollen

Wir stellen Ihnen die Informationen zur Verfügung, die Sie zum Nachweis der Einhaltung von Art 28 DSGVO brauchen, und ermöglichen Überprüfungen durch Sie oder eine von Ihnen beauftragte, zur Verschwiegenheit verpflichtete Prüferin oder einen Prüfer. Bitte kündigen Sie eine Prüfung mindestens 30 Tage vorher schriftlich an. Sie findet höchstens einmal im Jahr statt, außer bei einem konkreten Anlass wie einer Datenschutzverletzung oder einer behördlichen Anordnung. Jede Seite trägt ihre eigenen Kosten. Wir können eine Prüfung durch aktuelle Berichte oder Zertifikate unserer Dienstleister beantworten, soweit sie die Frage beantworten.

11. Ihre Pflichten

Sie stellen sicher, dass Sie die Daten, die Sie in Rechna verarbeiten, rechtmäßig verarbeiten dürfen, und dass Sie die betroffenen Personen nach Art 13 und 14 DSGVO informiert haben. Sie versenden über Rechna nur Belege und Nachrichten, zu deren Versand Sie berechtigt sind.

12. Übermittlungen in Drittländer

Datenbank und Dateien des Produktivbetriebs liegen in der EU. Einzelne Unterauftragsverarbeiter haben ihren Sitz in den USA, siehe Anlage 2. Übermittlungen dorthin erfolgen auf Grundlage des EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, und im Übrigen der Standardvertragsklauseln der Europäischen Kommission. Mit dieser Vereinbarung genehmigen Sie diese Übermittlungen.

13. Haftung und Rangfolge

Die Haftung richtet sich nach Abschnitt 13 der AGB. Die Haftung gegenüber betroffenen Personen und Behörden nach Art 82 und 83 DSGVO bleibt davon unberührt. Widersprechen sich diese Vereinbarung und die AGB in einer Frage des Datenschutzes, geht diese Vereinbarung vor.

14. Kontakt

Anfragen zu dieser Vereinbarung, Prüfungen, Widersprüche gegen Unterauftragsverarbeiter und Meldungen richten Sie an privacy@rechna.at.

Football Path X GmbH, Othmargasse 34/16, 1200 Wien, Österreich. FN 641126 h.

Anlage 1: Technische und organisatorische Maßnahmen

Verschlüsselung. Alle Verbindungen zu Rechna laufen über HTTPS mit TLS, auf den Produktivadressen mit HTTP Strict Transport Security. Datenbank und Dateispeicher werden von Cloudflare verschlüsselt gespeichert.

Speicherort. Datenbank und Dateispeicher des Produktivbetriebs sind bei Cloudflare in der EU-Jurisdiktion angelegt.

Zugangskontrolle für Benutzer. Anmeldung mit E-Mail-Adresse und Passwort mit mindestens 12 Zeichen. Passwörter werden mit scrypt und individuellem Salt gespeichert. Sitzungskennzeichen werden nur als Hashwert gespeichert und laufen nach 12 Stunden ab. Anmeldeversuche werden je E-Mail-Adresse und je IP-Adresse begrenzt. Das Zurücksetzen eines Passworts beendet alle bestehenden Sitzungen.

Berechtigungen. Rollen Inhaber, Büro und Lesen mit unterschiedlichen Rechten. Ein Unternehmensbereich behält immer mindestens eine aktive Inhaberin oder einen aktiven Inhaber.

Trennung der Unternehmensbereiche. Jeder Zugriff auf Daten wird serverseitig auf den Unternehmensbereich der angemeldeten Person beschränkt. Auch Dateien tragen eine Zuordnung zum Unternehmensbereich, die vor jedem Zugriff geprüft wird. Diese Trennung wird mit automatisierten Tests geprüft. Einzige Ausnahme ist eine Übersicht für namentlich benannte Administratoren von Rechna: Sie zeigt je Unternehmensbereich nur Name, Inhaber-E-Mail, Zugangs- und Abrechnungsstatus sowie die Anzahl der Benutzer und ausgestellten Rechnungen, nie Inhalte wie Kunden, Belege oder Dokumente. Sie ist nur lesend.

Trennung der Systeme. Der öffentlich erreichbare Teil von Rechna hat keinen direkten Zugriff auf Datenbank und Dateien. Er greift über einen getrennten, nicht öffentlich erreichbaren Dienst zu, der jede Anfrage selbst prüft. Test- und Produktivbetrieb haben getrennte Datenbanken und Dateispeicher. Die Anwendung verweigert den Zugriff, wenn Umgebung und Datenbank nicht zusammenpassen.

Schutz vor Angriffen. Prüfung der Herkunft von Anfragen, Größenbeschränkungen für Eingaben, signierte Zahlungsbenachrichtigungen, deren Signatur vor der Verarbeitung geprüft wird, sowie Sicherheits-Header gegen Einbettung in fremde Seiten.

Integrität. Ausgestellte Belege werden festgeschrieben und mit den Angaben zum Zeitpunkt der Ausstellung gespeichert. Belegnummern werden lückenlos vergeben.

Verfügbarkeit und Wiederherstellung. Cloudflare betreibt Datenbank und Dateispeicher redundant. Für die Datenbank steht die Wiederherstellung zu einem früheren Zeitpunkt von Cloudflare zur Verfügung. Vor jeder Änderung der Datenbankstruktur wird eine Sicherung erstellt.

Organisation. Zugang zu Produktivdaten haben nur namentlich bestimmte Personen, die zur Vertraulichkeit verpflichtet sind. Änderungen an der Software werden vor der Veröffentlichung mit automatisierten Tests geprüft.

Anlage 2: Unterauftragsverarbeiter

Stripe verarbeitet Zahlungen für Ihr Abonnement bei uns als eigene Verantwortliche und ist für Ihre Daten im Unternehmensbereich kein Unterauftragsverarbeiter.