Datenschutzerklärung – Bobits Flow (flow.bobits.at)

Stand: [[STAND-DATUM]]

1. Verantwortlicher

[[FIRMENNAME]]
[[ANSCHRIFT]]
E-Mail: [[E-MAIL]]
Kontakt für Datenschutzanfragen: [[DATENSCHUTZ-KONTAKT]]

Ein Datenschutzbeauftragter ist [[nicht bestellt / bestellt: NAME, KONTAKT]]. ⚠ zu prüfen (Art. 37 DSGVO: Pflicht hängt von Kerntätigkeit und Umfang ab).

2. Geltungsbereich und Rollenverteilung

Diese Erklärung gilt für die Webanwendung „Bobits Flow" unter flow.bobits.at einschließlich der installierbaren App-Version (PWA). Sie gilt nicht für andere Websites des Anbieters (z. B. bobits.at); dort gelten eigene Datenschutzhinweise.

Bobits Flow ist eine Buchhaltungs- und Verwaltungssoftware für Unternehmen („Kunden"). Wir verarbeiten personenbezogene Daten in zwei Rollen:

• Als Verantwortlicher (Art. 4 Z 7 DSGVO) für die Daten, die wir für Registrierung, Kundenkonto, Anmeldung, Abrechnung, Betrieb, Sicherheit und Support benötigen. Diese Verarbeitungen beschreibt diese Erklärung.
• Als Auftragsverarbeiter (Art. 28 DSGVO) für alle Inhalte, die Kunden in Bobits Flow speichern: Rechnungen, Belege, Kunden- und Lieferantendaten, Bankumsätze, Mitarbeiter- und Einsatzdaten, E-Mails und Dokumente im Posteingang. Verantwortlicher dafür ist der jeweilige Kunde. Grundlage ist der Auftragsverarbeitungsvertrag (AVV), der Bestandteil unserer AGB ist. Wenn Sie als Geschäftspartner oder Mitarbeiter eines Kunden betroffen sind, wenden Sie sich bitte an diesen Kunden.

⚠ zu prüfen: Ob die Benutzerkonten, die ein Kunde für seine eigenen Mitarbeiter anlegt, unserer Verantwortung oder der des Kunden (Auftragsverarbeitung) zuzuordnen sind. Dieser Entwurf behandelt die Anmeldedaten aller Benutzer als eigene Verarbeitung (Sicherheit, Anmeldung) und die übrigen Benutzerdaten innerhalb des Kundenkontos als Auftragsverarbeitung.

3. Verarbeitungen im Einzelnen

3.1 Aufruf der Anwendung (Server- und Sicherheitsprotokolle)

Beim Aufruf von flow.bobits.at verarbeitet unser Webserver technisch notwendig Ihre IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Statuscode, Browser-Kennung (User-Agent) und Referrer.

• Unsere Anwendung protokolliert jede Anfrage in strukturierter Form (Zeit, Pfad, Statuscode, Dauer, Anfrage-ID sowie – bei angemeldeten Benutzern – Kunden- und Benutzer-ID). Die IP-Adresse ist in diesen Protokollzeilen nicht enthalten.
• Für Anfragen innerhalb eines Kundenkontos speichert die Anwendung zusätzlich ein Anfrageprotokoll mit den Anfrage-Headern (dazu gehören IP-Adresse und User-Agent) und den Inhalten von Anfrage und Antwort. Passwörter, Zugangsdaten und Tokens werden davon ausgenommen bzw. geschwärzt. Es bleiben je Kundenkonto die jeweils letzten 1.000 Einträge gespeichert; ältere werden automatisch gelöscht.
• Zur Abwehr von Missbrauch zählen wir Anmelde-, Registrierungs- und sonstige Anfragen je IP-Adresse (Rate Limiting). Diese Zähler liegen nur im Arbeitsspeicher und verfallen nach kurzer Zeit (höchstens wenige Stunden).

Zweck: Bereitstellung, Stabilität und Sicherheit der Anwendung, Fehleranalyse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb); soweit für die Vertragserfüllung nötig, Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: Betriebsprotokolle 30 Tage (zentrale Protokollablage) bzw. bis zur Rotation der Container-Protokolle (begrenzt auf 250 MB). Webserver-Zugriffsprotokolle: [[NGINX-LOG-DAUER]].
Anfrageprotokoll im Kundenkonto: siehe oben (mengenbegrenzt, keine feste Frist). ⚠ zu prüfen: eine mengenbegrenzte statt zeitbegrenzte Speicherung erfüllt Art. 5 Abs. 1 lit. e DSGVO möglicherweise nicht; siehe README, Abschnitt „Code-Änderungen".

3.2 Registrierung und Kundenkonto

Bei der Registrierung verarbeiten wir: Firmenname, gewünschte Kontokennung (Subdomain-/Slug-Name), Name der verwaltenden Person, E-Mail-Adresse und Passwort. Das Passwort speichern wir nur als bcrypt-Hash. Zur Bestätigung senden wir einen Link an die E-Mail-Adresse; er ist 24 Stunden gültig und wir speichern nur einen Hash davon. Ohne Bestätigung ist keine Anmeldung möglich. Über neue Registrierungen werden wir intern per E-Mail informiert (Firmenname, Kennung, E-Mail-Adresse).

Im laufenden Betrieb speichern wir zu Benutzerkonten: Benutzername, Anzeigename, E-Mail-Adresse, Rolle, Aktiv-Status, Zeitpunkt der letzten Anmeldung und der E-Mail-Bestätigung sowie ein Aktivitätsprotokoll wichtiger Aktionen (z. B. „Benutzer angelegt"). Zum Kundenkonto speichern wir Tarif, Status und Verwaltungsvorgänge (z. B. Sperre mit Begründung, Upgrade-Anfragen).

Zweck: Vertragsanbahnung und -durchführung, Kontoverwaltung, Missbrauchsabwehr.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die interne Benachrichtigung und die Aktivitätsprotokolle Art. 6 Abs. 1 lit. f DSGVO.

Die Angabe dieser Daten ist für den Vertragsschluss erforderlich. Ohne sie können wir kein Konto einrichten.

3.3 Anmeldung und Sitzung

Nach der Anmeldung setzen wir zwei technisch notwendige Cookies (siehe Abschnitt 6). Die Sitzung wird serverseitig mit einem Erneuerungstoken verknüpft, das wir mit Ablaufdatum speichern. Fehlgeschlagene Anmeldeversuche protokollieren wir mit Benutzer-ID (falls bekannt) und Grund, nicht mit Benutzername oder Passwort.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos) und lit. f (Sicherheit).

3.4 Abrechnung kostenpflichtiger Tarife (Stripe)

Kostenpflichtige Tarife rechnen wir über den Zahlungsdienstleister Stripe ab. Für die Abrechnung übermitteln wir Stripe den Firmennamen, die E-Mail-Adresse des Kundenkontos und interne Kennungen (Kunden-ID, Kontokennung, gewählter Tarif). Zahlungsdaten (z. B. Kartendaten) geben Sie direkt auf der Bezahlseite von Stripe ein; wir erhalten und speichern sie nicht. Wir speichern die Stripe-Kunden- und Abonnement-ID sowie den Abonnementstatus. Rechnungs- und Zahlungsverwaltung erfolgt über das Kundenportal von Stripe.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Aufbewahrung von Buchhaltungsunterlagen: Art. 6 Abs. 1 lit. c DSGVO iVm § 132 BAO und § 212 UGB.

⚠ zu prüfen: Rolle von Stripe (eigener Verantwortlicher für Zahlungsabwicklung und Betrugsprävention oder Auftragsverarbeiter) und Übermittlung an Stripe, Inc. (USA).

3.5 System-E-Mails

Wir versenden E-Mails zur Bestätigung der E-Mail-Adresse und interne Registrierungsmeldungen über [[E-MAIL-DIENSTLEISTER]].
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

E-Mails, die Kunden aus Bobits Flow an ihre eigenen Kunden senden (z. B. Rechnungen), laufen über den vom Kunden selbst hinterlegten Mailserver und sind Teil der Auftragsverarbeitung.

3.6 Fehlerberichte aus dem Browser

Tritt in der Anwendung ein Fehler auf, sendet Ihr Browser einen Fehlerbericht an uns: Fehlerart und -meldung, technischer Stacktrace, Name der Programmkomponente, aufgerufene Seite und Adresse sowie bei fehlgeschlagenen Serveranfragen Methode, Pfad, Status und Anfrage-ID. Die Berichte landen in unserer zentralen Protokollablage (30 Tage).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Fehlerbehebung).

3.7 KI-gestützte Belegerkennung (OpenAI)

In bestimmten Tarifen kann ein Kunde Belege automatisch auslesen lassen: Eingangs- und Ausgangsrechnungen, Angebote und Kontoauszüge. Dazu übermitteln wir das Dokument (Bild, PDF oder extrahierten Text), die Firmendaten des Kunden (zur Unterscheidung „eigene Firma" vs. Geschäftspartner) und bis zu fünf frühere Korrekturen des Kunden als Beispiele an die API von OpenAI. Das Ergebnis ist ein Vorschlag, den der Benutzer prüfen und bestätigen muss. Es findet keine automatisierte Entscheidung im Sinn von Art. 22 DSGVO statt.

Diese Verarbeitung betrifft Inhalte des Kunden und erfolgt in seinem Auftrag (AVV). Der Kunde kann die Funktion in den Einstellungen abschalten.

Empfänger: OpenAI (siehe Abschnitt 4). Die Verarbeitung findet in den USA statt. ⚠ zu prüfen: Übermittlungsgrundlage, Vertragspartner (OpenAI Ireland Ltd. oder OpenAI, L.L.C.) und Speicherdauer bei OpenAI (nach unserem Kenntnisstand bis zu 30 Tage zur Missbrauchskontrolle, sofern keine „Zero Data Retention"-Vereinbarung besteht).

3.8 Telegram (optional)

Kunden können einen Telegram-Chat mit unserem Bot verknüpfen und Belege, Fotos, PDFs und Sprachnachrichten an den Bot senden. Diese Nachrichten verarbeitet zunächst Telegram; wir laden die Dateien über die Telegram-Bot-Schnittstelle herunter und speichern sie im Posteingang des Kunden. Wir speichern die Telegram-Chat-ID und die Zuordnung zum Benutzer.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vom Nutzer gewählte Funktion).
⚠ zu prüfen: Telegram hat seinen Sitz außerhalb der EU (Vereinigte Arabische Emirate bzw. Britische Jungferninseln); es besteht kein Angemessenheitsbeschluss. Die Nutzung ist freiwillig.

3.9 Weitere Integrationen (optional, vom Kunden aktiviert)

• Tesla: Ein Kunde kann sein Tesla-Konto verbinden (OAuth). Wir rufen dann die Ladehistorie (Ladevorgänge mit Zeit, Ort, Fahrzeug-Identifikationsnummer, Energie, Kosten, Rechnungen) ab. Wir speichern die von Tesla ausgestellten Zugangs-Tokens.
• Eigener Mailserver (IMAP/SMTP): Hinterlegt ein Kunde ein Postfach, rufen wir dort regelmäßig E-Mails ab und übernehmen Anhänge in den Posteingang; ausgehende E-Mails versenden wir über den hinterlegten SMTP-Server.
• Rechnungsexport per FTP/SFTP: Ein Kunde kann einen eigenen Server angeben, an den Rechnungsdokumente übertragen werden.

Diese Integrationen verarbeiten Inhalte des Kunden in seinem Auftrag; die genannten Dienste sind vom Kunden gewählte Gegenstellen.

3.10 Wechselkurse

Zur Umrechnung von Fremdwährungen rufen wir Referenzkurse der Europäischen Zentralbank ab. Dabei werden keine personenbezogenen Daten Ihrerseits übermittelt (der Abruf erfolgt durch unseren Server).

3.11 Support- und sonstige Anfragen

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsbezug) bzw. lit. f (sonstige Anfragen).

4. Empfänger und Auftragsverarbeiter

Wir betreiben die zentrale Protokollablage (Grafana/Loki) und den Webserver selbst auf demselben Hetzner-Server; dafür werden keine weiteren Dienstleister eingesetzt. Wir binden keine Analyse- oder Tracking-Dienste, Werbenetzwerke, Social-Media-Plugins oder externen Schriftarten in die Anwendung ein.

Eine Ausnahme ist die API-Dokumentation (nur für angemeldete Benutzer in bestimmten Tarifen): Diese Seite lädt Programmdateien von unpkg.com. Dabei wird Ihre IP-Adresse an den Betreiber von unpkg.com übermittelt. ⚠ zu prüfen / besser technisch beheben (siehe README).

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. an Behörden oder Gerichte).

5. Übermittlung in Drittländer

Bei OpenAI (USA), ggf. Stripe (USA), Telegram und Tesla können Daten in Länder außerhalb des EWR gelangen. Wir stützen solche Übermittlungen, soweit verfügbar, auf einen Angemessenheitsbeschluss (für die USA: EU-US Data Privacy Framework, sofern der Empfänger zertifiziert ist) oder auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). ⚠ zu prüfen für jeden Empfänger einzeln; eine Kopie der Garantien erhalten Sie auf Anfrage unter [[DATENSCHUTZ-KONTAKT]].

6. Cookies und lokale Speicherung im Browser

Wir verwenden ausschließlich Cookies und Speichertechniken, die für die von Ihnen gewünschte Funktion erforderlich sind oder eine von Ihnen gewählte Einstellung speichern (§ 165 Abs. 3 TKG 2021). Wir setzen keine Analyse-, Marketing- oder Drittanbieter-Cookies. Eine Einwilligung ist daher nach unserer Einschätzung nicht erforderlich. ⚠ zu prüfen (insbesondere für Sprach- und Tabellen-Einstellungen).

7. Speicherdauer

• Kontodaten: für die Dauer des Vertrags; danach Löschung innerhalb von [[LÖSCHFRIST]], soweit keine gesetzliche Aufbewahrungspflicht besteht.
• Abrechnungsunterlagen: 7 Jahre ab Ende des Kalenderjahres (§ 132 BAO, § 212 UGB), länger, wenn sie für ein anhängiges Abgaben- oder Gerichtsverfahren von Bedeutung sind.
• Betriebsprotokolle: 30 Tage; Anfrageprotokolle im Kundenkonto: siehe 3.1.
• Datensicherungen: 30 Tage rollierend ([[BESTÄTIGEN: Backup-Cron produktiv aktiv]]).
• E-Mail-Bestätigungslinks: 24 Stunden gültig.
• Inhalte der Kunden (Auftragsverarbeitung): nach Weisung des Kunden und nach dem AVV.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Wenden Sie sich dazu an [[DATENSCHUTZ-KONTAKT]].

Betreffen Ihre Daten Inhalte, die ein Kunde in Bobits Flow gespeichert hat, wenden Sie sich bitte an diesen Kunden. Wir leiten Anfragen, die uns erreichen, an ihn weiter.

9. Beschwerderecht

Sie können sich bei der Österreichischen Datenschutzbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at.

10. Änderungen

Wir passen diese Erklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Es gilt die jeweils unter [[DATENSCHUTZ-URL]] veröffentlichte Fassung.