Auftragsverarbeitungsvereinbarung

Diese Vereinbarung nach Artikel 28 DSGVO gilt automatisch zwischen der kontoinhabenden Firma (der Verantwortliche) und Luxxow S.à r.l.-S (der Auftragsverarbeiter) ab Kontoerstellung, als Teil der Nutzungsbedingungen.

1. Gegenstand und Dauer. Die Verarbeitung der personenbezogenen Daten, die der Verantwortliche in Luxxow Invoice eingibt, für die Dauer des Kontos zuzüglich der Export- und Löschfristen der Nutzungsbedingungen.

2. Art und Zweck. Hosting, Speicherung, Anzeige, Dokumentenerzeugung (PDF, UBL, FAIA, CSV), Übermittlung per E-Mail und über das Peppol-Netzwerk, Empfang von E-Rechnungen, Bankabgleich und Sicherungen — ausschließlich zur Erbringung des Dienstes.

3. Daten und betroffene Personen. Identifikations- und Abrechnungsdaten der Kunden, Lieferanten und Ansprechpartner des Verantwortlichen: Namen, Adressen, E-Mail-Adressen, Telefonnummern, MwSt.-Nummern, auf Dokumenten erscheinende Bankverbindungen sowie der Inhalt von Rechnungen, Angeboten und Mahnungen.

4. Weisungen. Luxxow verarbeitet diese Daten nur auf dokumentierte Weisung des Verantwortlichen — praktisch: die in der Anwendung ausgeführten Aktionen — sofern nicht EU- oder luxemburgisches Recht anderes verlangt; in diesem Fall informiert Luxxow den Verantwortlichen vor der Verarbeitung, soweit rechtlich zulässig.

5. Vertraulichkeit. Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.

6. Sicherheit (Art. 32). TLS bei der Übertragung; Datenbankisolation je Firma; verschlüsselte Geheimnisse im Ruhezustand; optionale Zwei-Faktor-Authentifizierung; signierte Webhooks; nur anhängendes Aktivitätsprotokoll; nächtliche verschlüsselte Sicherungen; Zugriff beschränkt auf das für den Betrieb Erforderliche.

7. Unterauftragsverarbeiter. Der Verantwortliche genehmigt die in der Datenschutzerklärung genannten Unterauftragsverarbeiter (derzeit Hostinger, MXroute, Recommand und, ab Zahlungsstart, Stripe). Luxxow informiert Kontoinhaber über beabsichtigte Ergänzungen oder Ersetzungen und gibt Gelegenheit zum Widerspruch; jedem Unterauftragsverarbeiter werden dieselben Datenschutzpflichten auferlegt.

8. Unterstützung. Unter Berücksichtigung der Art der Verarbeitung unterstützt Luxxow den Verantwortlichen bei Betroffenenanfragen (die Exportwerkzeuge dienen Auskunft und Übertragbarkeit unmittelbar) und bei dessen Pflichten nach Artikel 32 bis 36 DSGVO.

9. Datenschutzverletzungen. Luxxow benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes der Daten des Verantwortlichen bekannt wurde, mit den für dessen eigene Meldungen erforderlichen Informationen.

10. Ende der Verarbeitung. Bei Ende des Dienstes exportiert der Verantwortliche seine Daten mit den eingebauten Werkzeugen; nach der 30-tägigen Exportfrist löscht Luxxow Datenbank und Dateien der Firma, und die Sicherungen laufen innerhalb weiterer 30 Tage aus, sofern nicht EU- oder luxemburgisches Recht eine längere Aufbewahrung verlangt.

11. Nachweis und Audit. Luxxow stellt die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen bereit und ermöglicht und unterstützt Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer, in angemessenen Abständen und mit angemessener Ankündigung.