Auftragsverarbeitungsvertrag KYTH.Kladde

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Abs. 3 DSGVO zwischen dem Kunden als Verantwortlichem und der KYTH. Systems UG (haftungsbeschränkt), Prof.-Mederer-Straße 4, 92348 Berg, Amtsgericht Nürnberg HRB 46313, vertreten durch die Geschäftsführer Stefan Grasse und Stephan Wittmann (im Folgenden KYTH), als Auftragsverarbeiter.

Dieser Vertrag ist Bestandteil des Nutzungsvertrags über KYTH.Kladde (im Folgenden Kladde) und kommt mit derselben Zustimmung in Kladde zustande, in einem elektronischen Format (Art. 28 Abs. 9 DSGVO). Er gilt je Mandant. Begriffe wie Mandant, Konto, Mitgliedschaft und Inhaber haben die Bedeutung aus dem Nutzungsvertrag. Was beim Einrichten eines Mandanten vor der ersten Zustimmung entsteht (etwa der Mandant, Mitgliedschaften und Einladungen, Einträge im Protokoll, Mails im Postausgang und Sitzungen für die Zustimmung), verarbeitet KYTH bis zur Zustimmung als Verantwortlicher, um den Vertrag anzubahnen; mit der Zustimmung gilt für diese Daten dieser Vertrag. Ansprechpartner bei KYTH für diesen Vertrag ist datenschutz@kyth.systems.

1. Gegenstand und Dauer

Gegenstand. KYTH betreibt Kladde für den Kunden. Dazu gehören insbesondere: Speichern und Verarbeiten der Daten, die in seinem Mandanten erfasst werden, und der Daten, die Kladde bei der Nutzung des Mandanten festhält; das Anzeigen dieser Daten für die Benutzer des Mandanten nach ihrer Rolle; das Pflegen der Kunden des Kunden, auch durch Einlesen einer CSV-Datei oder einer Datei mit Debitoren aus DATEV; das Speichern von Positionen zur Wiederverwendung; das Rechnen, Festschreiben und Korrigieren seiner Rechnungen und das Erzeugen ihrer PDF, auch als E-Rechnung mit eingebetteten Rechnungsdaten, und ihrer XRechnung; das Ausstellen von Angeboten und Auftragsbestätigungen und das Erstellen von Mahnschreiben, jeweils mit ihrer PDF; das Wiederholen von Rechnungen und, wenn ein Inhaber es für eine Wiederholung einschaltet, das selbsttätige Festschreiben und Senden der Rechnung am Termin; das Vermerken von Zahlungen und das Rechnen von Übersichten und Hinweisen aus Belegen und Zahlungen, etwa für das OSS-Verfahren; das Erstellen von Dateien für DATEV; das Anlegen der Systemmails des Mandanten (Abschnitt 2, dort auch zum Versand); das Senden seiner Belege, Angebote, Auftragsbestätigungen und Mahnschreiben per Mail über seinen Mailserver oder sein Postfach bei Microsoft 365, mit Versandnachweis (Abschnitt 2); die Ablage jedes festgeschriebenen Belegs im Archiv der Belege (Abschnitt 8); das Protokoll des Mandanten (Abschnitt 4); der Support-Zugang (Abschnitt 3); die Bereitstellung einer Kopie der Daten und ihre Löschung, beides von Hand (Abschnitte 9 und 11); die tägliche Sicherung der Daten, die Probe ihrer Wiederherstellung und ihre Wiederherstellung nach einer Störung (Abschnitt 8). Das Erzeugen von Dateien für SEPA-Lastschriften, die der Kunde selbst bei seiner Bank einreicht, gehört erst mit der Bereitstellung der Lastschriften in Kladde dazu; Kladde reicht nichts bei einer Bank ein. Ebenso gehören Funktionen dazu, um die KYTH Kladde nach Abschnitt 1 des Nutzungsvertrags im Rahmen des Zwecks von Kladde ergänzt, soweit sie nur Daten der Kategorien nach dem Absatz „Arten der Daten“ verarbeiten und keinen weiteren Auftragsverarbeiter brauchen.

Art der Verarbeitung. Erheben, Erfassen, Ordnen, Speichern, Anpassen (Logos werden für die Anzeige neu geschrieben), Auslesen, Abfragen, Abgleichen (etwa Suche im Kundenstamm, Vergleich der Preise eines Entwurfs mit den gespeicherten Positionen), Verwenden zur Anzeige in Kladde und zum Rechnen von Beträgen, Steuer, Arbeitskosten und Übersichten, Erzeugen der PDF und der XRechnung eines Belegs, der PDF eines Angebots, einer Auftragsbestätigung und eines Mahnschreibens, der Dateien für DATEV und, auf Abruf eines Inhabers, der Kopie aller Daten als ZIP-Datei (Nutzungsvertrag, Abschnitt 10), Offenlegen gegenüber den Benutzern des Mandanten, Übermitteln eines Belegs, Angebots, einer Auftragsbestätigung oder eines Mahnschreibens mit seiner PDF an die Empfänger, die ein Benutzer angibt, beim selbsttätigen Senden an die Adressen aus dem Empfänger der Rechnung, Einschränken (etwa Sperren von Mitgliedschaften, Archivieren von Kunden, Beenden von Wiederholungen, Markieren gespeicherter Positionen als gelöscht), Ablegen im Archiv der Belege, Sichern und Wiederherstellen (Abschnitt 8) und Löschen (Abschnitt 11).

Zweck. Die Bereitstellung von Kladde nach dem Nutzungsvertrag. Zu eigenen Zwecken verarbeitet KYTH diese Daten nur, soweit die Abschnitte 4, 5, 8, 11 und 13 es nennen; nach Abschnitt 13 sind das die Einladungsadressen der Inhaber für Mitteilungen nach diesem Vertrag und dem Nutzungsvertrag.

Kategorien betroffener Personen.

• Personen mit einer Mitgliedschaft im Mandanten, auch eingeladene und gesperrte (Inhaber, Mitarbeiter, Nur-Lesen);
• Kunden des Kunden, Unternehmer wie Verbraucher, und ihre Ansprechpersonen, auch Interessenten, denen der Kunde ein Angebot schreibt, Personen, deren Name oder Anschrift in einem Entwurf, auf einem Beleg, einem Angebot, einer Auftragsbestätigung oder einem Mahnschreiben steht, etwa als Empfänger oder am Ort der Leistung, und Personen, an deren Adresse ein Benutzer oder Kladde selbsttätig einen Beleg, ein Angebot, eine Auftragsbestätigung oder ein Mahnschreiben sendet; soweit der Kunde Lastschriften nutzt, auch die Personen, auf die die Bankverbindung eines seiner Kunden lautet;
• Personen, deren Angaben im Firmenprofil, in Rechnungsköpfen oder in den Einstellungen für den E-Mail-Versand stehen, etwa Einzelunternehmer, Geschäftsführer, Kontaktpersonen, die Personen, auf die das angegebene Bankkonto lautet, und die Person, deren Postfach bei Microsoft 365 mit Kladde verbunden ist;
• die Steuerberatung des Kunden, soweit ihre Berater- und Mandantennummer in den Einstellungen für DATEV stehen;
• sonstige Personen, die in Inhalten des Kunden genannt sind;
• die Geschäftsführer von KYTH als Betreiber, soweit ihre Kennung und ihre gekürzte Netzadresse im Protokoll des Mandanten stehen (Abschnitt 4) und ihre Support-Sitzungen beim Mandanten gespeichert sind (Abschnitt 3).

Arten der Daten. Kladde verarbeitet Daten dieser Kategorien: Stammdaten (Angaben zum Mandanten, zum Kunden in Firmenprofil, Rechnungsköpfen mit Logos und Einstellungen, etwa für DATEV und die Mahnungen, und zu seinen Kunden), Kontaktdaten (Namen, Anschriften, E-Mail-Adressen und Telefonnummern dieser Personen und der Benutzer), Rechnungsdaten (Nummernkreise, gespeicherte Positionen, Entwürfe, Belege, Angebote, Auftragsbestätigungen, Mahnschreiben und Wiederholungen mit ihren Dokumenten, PDF und Dateien, auch im Archiv der Belege und in den Dateien für DATEV), Zahlungsdaten (Zahlungen, die zu Belegen vermerkt sind, Bankverbindungen in Rechnungsköpfen und, soweit der Kunde Lastschriften nutzt, die Daten dafür), Kommunikationsdaten (Einstellungen für den E-Mail-Versand, Mails im Postausgang und Versandnachweise), Nutzungsdaten (Mitgliedschaften mit Rollen, Einladungslinks, Sitzungen, Support-Sitzungen und Support-Freigaben mit ihren Zeitpunkten) und Protokolldaten (Protokoll des Mandanten). In dieser Fassung sind das im Einzelnen:

• Mandant: Name (KYTH legt ihn beim Einrichten fest; in Kladde lässt er sich nicht ändern), Status, Zeitpunkte der Anlage und einer laufenden Sperre; Fassung und Zeitpunkt der jüngsten Zustimmung speichert Kladde an derselben Stelle, sie gehören zum Zustimmungsnachweis (Abschnitt 5);
• Mitgliedschaft: Name, Funktion, Einladungsadresse (verschlüsselt) und ihr Suchwert, Rolle, Status, Zeitpunkte von Anlage, Annahme und letzter Nutzung; Einladungslinks (nur als Hashwert, mit den Zeitpunkten von Anlage, Ablauf, Einlösung und Entwertung, bis 30 Tage nach ihrem Ende); Sitzungen (nur als Hashwert, mit Zeitpunkten);
• Support-Sitzungen von KYTH (nur als Hashwert, mit der Kennung des Betreibers und Zeitpunkten);
• Firmenprofil mit allen Fassungen: Firma, Rechtsform, Straße, Postleitzahl, Ort, Besteuerung, Beginn der Besteuerung, Steuernummer, Umsatzsteuer-Identifikationsnummer, Kennung als Kleinunternehmer, Art der Versteuerung, Registergericht, Registernummer, Vertretung, Sitz, Vorsitz des Aufsichtsrats, Angaben der Komplementärin, Beginn der Teilnahme am OSS-Verfahren; je Fassung Zeitpunkt und Kennung der Mitgliedschaft, die sie angelegt hat;
• Rechnungsköpfe (höchstens 20, auch archivierte) mit allen Fassungen: Bezeichnung, Absendername, Anschrift, E-Mail-Adresse, Telefon, Website, Kontoinhaber, IBAN (verschlüsselt), BIC, Bank, Akzentfarbe, Logo, Einleitung, Schlusstext, Zahlungsbedingungen, Zahlungsziel, Ansprechpartner, Skonto mit Satz und Frist, Gültigkeit von Angeboten in Tagen; Status (aktiv oder archiviert) und Vorgabe; je Fassung Zeitpunkt und Kennung der Mitgliedschaft, die sie angelegt hat;
• Logos (PNG oder JPEG, höchstens 512 KiB und 2000 Pixel) mit Medientyp, Maßen, Prüfsumme, Zeitpunkt und Kennung der Mitgliedschaft, die sie hochgeladen hat; Kladde bewahrt jedes hochgeladene Logo auf, auch eines, das kein Rechnungskopf verwendet oder mehr verwendet; die Logos der Rechnungsköpfe zeigt Kladde allen Benutzern des Mandanten in der Oberfläche, und jedes Logo des Mandanten liefert Kladde jedem seiner Benutzer auf Abruf aus;
• Kunden des Kunden (auch archivierte): Kundennummer, Status, Art (Firma im Inland, Firma im Ausland, Behörde, Privatperson), Name, Zusatz, Ansprechperson, Straße, Postleitzahl, Ort, Land, Umsatzsteuer-Identifikationsnummer, Steuernummer, Gültigkeit eines Nachweises nach § 13b Abs. 5 Satz 2 UStG (Vordruck USt 1 TG), bis zu drei E-Mail-Adressen für Rechnungen, Telefon, Käuferreferenz, Lieferantennummer, Zahlungsziel, Kennzeichen für den elektronischen Versand, Einleitung und interne Notiz; Zeitpunkte und die Kennung der Mitgliedschaft, die den Kunden angelegt hat;
• Nummernkreise: Art, Bezeichnung, Muster, nächste Nummer, Jahr des Zählers, Datum des zuletzt vergebenen Belegs, Zahl der vergebenen Nummern, Vorgabe, Status und ihre Zuordnung zu Rechnungsköpfen;
• gespeicherte Positionen: Name, Beschreibung, Einheit, Preis mit Preisart, Steuerfall, Status (auch als gelöscht markierte), Zeitpunkte und Kennung der Mitgliedschaft, die sie angelegt hat; das sind Texte und Preise des Betriebs, personenbezogen nur, wenn jemand einen Namen hineinschreibt;
• Entwürfe: Art (Rechnung, Rechnungskorrektur, Angebot oder Auftragsbestätigung), Kunde, Rechnungskopf, Name des Empfängers und Inhalt (Empfänger, Positionen mit Text, Menge, Einheit, Preis, Rabatt, Leistungsart, Steuerfall und Satz des Ziellands, Texte, Bezüge wie Bestellnummer, Leistungszeitraum, Angaben zur Zahlung, bei Kunden im Ausland die Wahl zwischen Lieferung und Leistung oder des OSS-Verfahrens, Kennzeichen für Arbeiten an einem Grundstück und für die Steuerschuldnerschaft des Leistungsempfängers); bei einer Rechnung aus einem Angebot oder einer Auftragsbestätigung dessen Kennung; Zeitpunkte und die Kennungen der Mitgliedschaften, die ihn angelegt und zuletzt geändert haben;
• Belege: Kennung, Art, Rechnungsart, Nummer, Ausstellungsdatum, Leistungszeitraum, Fälligkeit, Besteuerung, Beträge mit dem berichtigten Stand der Rechnung, Kunde und Name des Empfängers, bei einer Rechnungskorrektur der Bezug auf die Rechnung und der Grund; das Dokument des Belegs (Empfänger mit Art und Anschrift, Positionen, Steuergruppen, Arbeitskosten, Abzüge der Schlussrechnung, Auslandsfall, bei einer Wahl des OSS-Verfahrens Land und Stand der Steuersätze, Hinweise und Texte) mit Prüfsumme; die Fassungen von Firmenprofil und Rechnungskopf, auf die er verweist; seine PDF (höchstens 5 MiB) mit Prüfsumme und der erzeugenden Bibliothek, bei einer E-Rechnung mit denselben Angaben als eingebettete Rechnungsdaten; wo Kladde für eine Rechnung an eine Behörde eine XRechnung erzeugt, deren Datei mit denselben Angaben und Prüfsumme; die Bezüge einer Schlussrechnung auf ihre Abschlagsrechnungen; Zeitpunkt und Kennung der Mitgliedschaft, die ihn festgeschrieben hat;
• Angebote und Auftragsbestätigungen: Art, Nummer, Kunde, Name des Empfängers, Ausstellungsdatum, bei einem Angebot der Tag, bis zu dem es gilt, Beträge, Stand mit Datum, der Bezug einer Auftragsbestätigung auf ihr Angebot, der Bezug auf eine neue Fassung und die gemeinsame Kette; das Dokument mit Prüfsumme; die Fassungen von Firmenprofil und Rechnungskopf, auf die es verweist; die PDF mit Prüfsumme; Zeitpunkt und Kennung der Mitgliedschaft, die es ausgestellt hat; die Bezüge der Rechnungen, die aus ihnen entstanden sind;
• Mahnschreiben: Rechnung, Stufe (Zahlungserinnerung, Mahnung, letzte Mahnung), Datum, Frist, offener Betrag, Mahngebühr, Verzugspauschale, zu zahlender Betrag; das Dokument mit Prüfsumme; die PDF mit Prüfsumme; Zeitpunkt und Kennung der Mitgliedschaft, die es erstellt hat; die Einstellungen der Mahnstufen mit Abstand, Frist, Mahngebühr, Vorgabe der Verzugspauschale, Text des Schreibens und Vorlage für Betreff und Text der Mail;
• Zahlungen: Beleg, Datum, Betrag, Skonto, Notiz, bei einer Rücknahme die zurückgenommene Zahlung; Zeitpunkt und Kennung der Mitgliedschaft, die sie vermerkt hat;
• Wiederholungen: die Rechnung, aus der sie Positionen und Texte übernehmen, mit der Folge ihres Leistungszeitraums, Kunde, Rhythmus, Bezugstermin der Termine, Folge des nächsten Termins, Status, Versandart (Entwurf anlegen oder automatisch senden) mit der Kennung der Mitgliedschaft, die das automatische Senden eingeschaltet hat, und dem Zeitpunkt; Zeitpunkte und Kennung der Mitgliedschaft, die sie angelegt hat; ihre Termine mit Folge, Tag, Entwurf, der Angabe, ob Kladde den Termin selbsttätig bearbeitet hat, dem Grund eines Anhaltens, Kennung der Mitgliedschaft und Zeitpunkt;
• Einstellungen für DATEV: Berater- und Mandantennummer der Steuerberatung, Kontenrahmen, Länge der Sachkonten, Beginn des Wirtschaftsjahres, Debitorenkonto und Erlöskonten; Exporte mit Monat, Lauf, Zahl der Belege und Zeilen und der Datei (je Buchung unter anderem Belegnummer, Datum, Betrag, Name des Empfängers und seine Umsatzsteuer-Identifikationsnummer) mit Prüfsumme, Zeitpunkt und Kennung der Mitgliedschaft, die ihn erstellt hat; die Zuordnung der Belege zu Exporten;
• Einstellungen für den E-Mail-Versand: Server, Port, Benutzer, Passwort (verschlüsselt), Absenderadresse, Vorlagen für Betreff und Text je Art (Rechnung, Angebot, Auftragsbestätigung) und Zeitpunkt der letzten gelungenen Testmail; bei einer Verbindung mit Microsoft statt des Mailservers die Adresse des Postfachs (zugleich Absenderadresse), ein Refresh-Token (verschlüsselt) und die Zeitpunkte von Verbindung, letzter Erneuerung und Trennung durch Microsoft; begonnene Anmeldungen bei Microsoft (Zustand nur als Hashwert, Kennung der Sitzung und Prüfwert, dieser verschlüsselt; bis zu ihrer Löschung nach Abschnitt 11);
• Versandnachweise: je Empfänger und Ereignis (angefordert, übergeben, gescheitert) der Beleg, das Angebot, die Auftragsbestätigung oder das Mahnschreiben, die Adresse des Empfängers und der Zeitpunkt, bei einer Anforderung die Kennung der Mitgliedschaft, die gesendet hat, beim selbsttätigen Senden die des Inhabers, der es eingeschaltet hat, bei einem Scheitern die Fehlerkennung; Betreff und Text stehen nicht darin;
• Archiv der Belege (Abschnitt 8): je festgeschriebenem Beleg ein verschlüsseltes Objekt mit seiner PDF, seiner XRechnung, seinem Dokument und einem Verzeichnis der Teile mit Kennungen, Nummer, Ausstellungsdatum, Zeitpunkt des Festschreibens und Prüfsummen, benannt nach den Kennungen von Mandant, Nummernkreis und Beleg, Jahr, laufender Nummer und Ausstellungsdatum; dazu in der Datenbank je Beleg der Stand seiner Ablage mit Zeitpunkten, Zahl der Versuche, Name und Prüfsumme des Objekts, Frist und Fehlerkennung;
• Protokoll des Mandanten (Abschnitt 4);
• Support-Freigaben mit Beginn, Ende, Widerruf und der Kennung der Mitgliedschaft, die sie erteilt hat;
• Postausgang mit den Einladungsmails, den Hinweisen an die Inhaber über Handlungen von KYTH am Mandanten und an Konten seiner Mitglieder, den Hinweisen an die Inhaber über jeden Abruf der Kopie aller Daten und den Mails mit Belegen, Angeboten, Auftragsbestätigungen und Mahnschreiben ohne ihre PDF, erst mit ihrer Bereitstellung in Kladde auch mit Erinnerungsmails an Benutzer des Mandanten (Abschnitt 2): Empfänger und Text mit Betreff verschlüsselt, bis Kladde sie leert, spätestens 7 Tage nach dem Anlegen; danach bis 90 Tage nach dem Anlegen eine Zeile mit Art, Zeitpunkten, Zahl der Versuche, Fehlerkennung und dem Hashwert des Links;
• soweit der Kunde Lastschriften nutzt, erst mit ihrer Bereitstellung in Kladde: die Bankverbindungen seiner Kunden, ihre Lastschriftmandate, seine Gläubiger-Identifikationsnummer und die Dateien für die Lastschriften.

Anschrift und Ort der Leistung sind bei Verbrauchern meist die Wohnung.

Für besondere Kategorien nach Art. 9 DSGVO ist Kladde nicht bestimmt; der Kunde gibt sie nicht in Kladde ein, auch nicht in Positionen, Texten, Notizen, Gründen einer Korrektur oder im Text einer Mail. Rechnungen von Heilberufen an Patienten gehören deshalb nicht in Kladde, weil sie Gesundheitsdaten verraten (Nutzungsvertrag, Abschnitt 7). Für Daten, die einer beruflichen Schweigepflicht nach § 203 StGB unterliegen, ist Kladde nicht bestimmt, auch nicht für die Rechnungen eines Steuerberaters oder Rechtsanwalts an seine Mandanten; eine Verpflichtung nach § 203 Abs. 4 StGB, § 43e BRAO oder § 62a StBerG gibt KYTH nicht ab, und die Vertraulichkeit nach Abschnitt 7 ersetzt sie nicht (Nutzungsvertrag, Abschnitt 7). Gibt der Kunde solche Daten trotzdem ein, verarbeitet KYTH sie wie alle Daten in seinem Mandanten nur nach diesem Vertrag und auf Weisung des Kunden.

Dauer. Dieser Vertrag gilt, solange der Nutzungsvertrag läuft, und darüber hinaus, bis KYTH die Daten nach Abschnitt 11 gelöscht hat; für den Grundeintrag des Mandanten gilt danach Abschnitt 5.

2. Weitere Auftragsverarbeiter

Genehmigung. Der Kunde genehmigt mit diesem Vertrag die folgenden weiteren Auftragsverarbeiter (Art. 28 Abs. 2 Satz 1 DSGVO):

Systemmails. Kladde legt für den Mandanten drei Arten von Mails im Postausgang an:

• die Einladung an eine Person, die ein Inhaber oder KYTH einlädt, mit ihrem Namen aus der Mitgliedschaft, dem Namen des Mandanten, dem Link und der Adresse der Datenschutzerklärung;
• den Hinweis an die Inhaber, wenn KYTH als Betreiber einen Zugang angelegt, den Mandanten gesperrt oder entsperrt, das Konto einer Person mit aktiver Mitgliedschaft im Mandanten gesperrt oder entsperrt oder nach dem Ende des Vertrags den Abruf der Kopie aller Daten geöffnet hat (Nutzungsvertrag, Abschnitt 10). Der Hinweis nennt den Namen des Empfängers, den Namen des Mandanten und die Handlung, beim Konto auch den Namen der Person aus ihrer Mitgliedschaft in diesem Mandanten, beim Abruf seinen letzten Tag und den Weg zur Kopie, aber keine Gründe;
• den Hinweis an die Inhaber nach jedem Abruf der Kopie aller Daten (Nutzungsvertrag, Abschnitt 10). Er nennt den Namen des Empfängers, den Namen des Mandanten, wer die Kopie abgerufen hat und wann, aber keine Inhalte der Kopie.

Als vierte Art kommen Erinnerungsmails an Benutzer des Mandanten hinzu, nie an seine Kunden, etwa zu fälligen Terminen von Wiederholungen, erst mit der Bereitstellung dieser Erinnerungen in Kladde.

Die Mail mit dem Link zum Zurücksetzen, den Hinweis nach einer Passwortänderung und den Hinweis zum zweiten Faktor, wenn er eingerichtet, ausgeschaltet oder von KYTH zurückgesetzt wird, ein Wiederherstellungscode genutzt wird oder neue Codes entstehen, adressiert Kladde an die Adresse des Kontos. Diese drei Arten gehören zum Konto; für sie ist KYTH selbst verantwortlich (Abschnitt 5).

Jeden Hinweis an die Inhaber legt Kladde für jeden Inhaber an, der seine Einladung angenommen hat, auch für einen gesperrten, adressiert an dessen Einladungsadresse.

Mails mit Belegen. In diesem Absatz meint Beleg auch ein Angebot, eine Auftragsbestätigung und ein Mahnschreiben. Jeden Versand eines Belegs, den ein Benutzer auslöst, versteht KYTH als Weisung des Kunden, ebenso jeden Versand, den Kladde für eine Wiederholung selbsttätig ausführt, weil ein Inhaber dort das automatische Senden eingeschaltet hat. Belege sendet Kladde nur über einen Zugang des Kunden: über einen Mailserver, dessen Zugang ein Inhaber eingetragen und mit einer Testmail an die dort eingetragene Absenderadresse geprüft hat, oder über ein Postfach bei Microsoft 365, das ein Inhaber mit Kladde verbunden hat. Ein Mandant hat höchstens einen dieser Zugänge. Kladde legt die Mail im Postausgang an und übergibt sie mit der PDF, die es dafür aus der Datenbank liest, bei einem Mahnschreiben mit dessen PDF und der PDF der Rechnung, an den Mailserver oder an Microsoft, von der Absenderadresse des Zugangs; für den Versand legt Kladde keine Kopie der PDF an. Weicht die E-Mail-Adresse des Rechnungskopfs von der Absenderadresse ab, ist sie die Antwortadresse. Den Zugang verwendet Kladde nur für diese Mails und für die Testmail; ein Postfach liest Kladde nicht.

Ein Postfach bei Microsoft 365 verbindet ein Inhaber, indem er sich bei Microsoft anmeldet; ein Passwort speichert Kladde dafür nicht. Kladde verlangt von Microsoft nur das Recht, in seinem Namen Mails zu senden und sein Profil zu lesen, und liest aus dem Profil nur die Adresse des Postfachs. Gespeichert werden diese Adresse, die zugleich die Absenderadresse ist, die Zeitpunkte von Verbindung, letzter Erneuerung und Trennung durch Microsoft und ein Refresh-Token, verschlüsselt (Abschnitt 8). Belege und Testmail sendet Kladde dann über Microsoft Graph; Microsoft legt eine Kopie jeder Mail unter Gesendete Elemente im Postfach ab. Eine Verbindung, deren letzte Erneuerung mehr als sieben Tage zurückliegt, erneuert Kladde beim Anmeldedienst von Microsoft, ohne auf das Postfach zuzugreifen. Lehnt Microsoft die Verbindung ab, löscht Kladde Token und Adresse und vermerkt die Trennung im Protokoll des Mandanten. Trennt ein Inhaber die Verbindung in Kladde, löscht Kladde sie ebenso; eine Freigabe für Kladde bei Microsoft widerruft der Kunde dort selbst.

Den Anbieter des Mailservers oder des Postfachs wählt und beauftragt der Kunde selbst; er ist kein weiterer Auftragsverarbeiter von KYTH, und die Regeln dieses Abschnitts zu weiteren Auftragsverarbeitern gelten für ihn nicht. Antworten und Unzustellbarkeitsmeldungen gehen an den Kunden; KYTH erhält sie nicht.

Bedingungen. KYTH verpflichtet jeden weiteren Auftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 Satz 1 DSGVO). Kommt einer von ihnen seinen Pflichten nicht nach, haftet KYTH gegenüber dem Kunden dafür wie für eigenes Handeln (Art. 28 Abs. 4 Satz 2 DSGVO).

Änderungen. Für spätere Änderungen erteilt der Kunde eine allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO): KYTH kündigt einen neuen oder ersetzten weiteren Auftragsverarbeiter mindestens 30 Tage vor dem Wechsel von Hand per Mail an die Inhaber an (Abschnitt 13), mit Name, Sitz, Ort der Verarbeitung, Zweck und betroffenen Daten und mit dem letzten Tag, an dem ein Verlangen nach Kopie und Löschung noch vor dem Wechseltermin erledigt wird. Der Kunde kann dem Wechsel bis zu seinem Termin in Textform widersprechen und den Nutzungsvertrag dann ohne Einhaltung einer Frist zum Wechseltermin kündigen. Muss KYTH einen weiteren Auftragsverarbeiter wegen eines Ausfalls oder einer Gefahr für die Sicherheit früher ersetzen, kündigt KYTH den Wechsel so früh wie möglich an, in jedem Fall vor dem Wechsel; der Kunde kann dann noch binnen 30 Tagen nach der Ankündigung widersprechen und den Nutzungsvertrag ohne Einhaltung einer Frist kündigen.

Widerspricht der Kunde, setzt KYTH den Wechsel für seine Daten nicht aus, weil alle Mandanten dieselbe Infrastruktur nutzen. Auf sein Verlangen in Textform stellt KYTH ihm eine Kopie seiner Daten bereit und löscht sie danach von Hand (Abschnitt 11): Verlangt er das spätestens zehn Arbeitstage vor dem Wechseltermin, erledigt KYTH beides noch vor dem Wechseltermin; verlangt er es später, stellt KYTH die Kopie binnen fünf Arbeitstagen bereit und löscht die Daten binnen fünf Arbeitstagen nach der Übergabe der Kopie. Übergangs- und Abrufzeitraum entfallen dann. Ohne dieses Verlangen verarbeitet der neue Auftragsverarbeiter die Daten des Kunden bis zu ihrer Löschung nach Abschnitt 11. Der Wechsel wirkt zum angekündigten Termin aufgrund der allgemeinen Genehmigung; die geänderte Liste und die Angaben zum Ort der Verarbeitung in diesem Abschnitt und in Abschnitt 8 trägt KYTH nach Abschnitt 13 des Nutzungsvertrags ohne Vorlage in diesen Vertrag ein, ebenso in den Nutzungsvertrag (Abschnitt 10). Kein Wechsel ist der Umzug auf einen anderen Server desselben Unternehmens am selben Ort der Verarbeitung.

Keine weiteren Auftragsverarbeiter sind:

• Cloudflare: Dort liegen die Nameserver von kyth.systems. Cloudflare beantwortet Namensabfragen nach kladde.kyth.systems, die in der Regel der Namensdienst des Internetanbieters stellt. Der Name zeigt auf eine Adresse außerhalb von Cloudflare; Inhalte der Verbindungen zu Kladde erreichen Cloudflare deshalb nicht.
• GitHub: Dort liegt der Quelltext von Kladde, ohne Daten des Kunden.
• der Anbieter eines Mailservers, den der Kunde für den Versand seiner Belege einträgt (Absatz „Mails mit Belegen“).
• Microsoft, wenn der Kunde ein Postfach bei Microsoft 365 mit Kladde verbindet (Absatz „Mails mit Belegen“): Microsoft arbeitet dafür aus dem Vertrag des Kunden über Microsoft 365. Für Kladde hat KYTH bei Microsoft nur die App „KYTH.Kladde“ registriert, über die sich ein Inhaber anmeldet; für sie gelten die Microsoft APIs Terms of Use.
• DATEV und die Steuerberatung des Kunden: Kladde erstellt nur Dateien, die der Kunde selbst herunterlädt und weitergibt; Kladde überträgt nichts an sie.
• GlitchTip und Coolify: die Fehlererfassung und die Verwaltung, mit der KYTH Kladde ausrollt und seine Einstellungen samt Schlüsseln hält. Beide betreibt KYTH selbst auf einem weiteren Server von KYTH bei der IONOS SE in Berlin (Abschnitt 8).
• Telegram: Darüber erhalten die Geschäftsführer von KYTH Hinweise auf Störungen des Betriebs und der Sicherung. Die Hinweise nennen Zeitpunkte, Pfade, Datei- und Containernamen, aber keine Daten des Kunden.

Ort der Verarbeitung. Kladde selbst öffnet außer zur Datenbank, zum Mailserver der Systemmails, zum Mailserver, den der Kunde für den Versand seiner Belege eintragen kann, zum Anmeldedienst und zur Schnittstelle von Microsoft (login.microsoftonline.com und graph.microsoft.com), wenn der Kunde ein Postfach bei Microsoft 365 verbindet oder verbunden hat, zum Objektspeicher des Archivs der Belege und zur eigenen Fehlererfassung von KYTH keine Verbindung nach außen; die Namen dieser Server fragt es beim Namensdienst des Servers ab, ohne weitere Daten des Kunden. In ein Drittland oder an eine internationale Organisation übermittelt KYTH Daten des Kunden nur auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO). Eine solche Weisung ist auch der Versand eines Belegs über einen Mailserver, über ein Postfach bei Microsoft 365 oder an einen Empfänger außerhalb der EU und des EWR; wo ein Mailserver oder ein Postfach des Kunden verarbeitet wird, bestimmen dessen Anbieter und der Vertrag des Kunden mit ihm, und ob eine Übermittlung dorthin zulässig ist, prüft der Kunde. Server, Datenbank, Sicherungen und Archiv der Belege von Kladde, die Fehlererfassung und die Verwaltung stehen in Rechenzentren in Berlin; die INWX GmbH verarbeitet laut Vertrag in der EU oder im EWR.

3. Support-Zugang

In Kladde sieht KYTH Firmenprofil, Rechnungsköpfe, Logos, Kunden, Nummernkreise, gespeicherte Positionen, Entwürfe, Belege mit ihrer PDF, ihrer XRechnung und ihren Versandnachweisen, Angebote, Auftragsbestätigungen und Mahnschreiben mit ihrer PDF und ihren Versandnachweisen, Zahlungen, Wiederholungen, die Exporte für DATEV mit ihren Dateien, die Einstellungen für DATEV, für Mahnungen und für den E-Mail-Versand und das Protokoll des Mandanten nur über die Support-Ansicht, und die nur nach Freigabe:

1. Ein Inhaber gibt den Support-Zugang in den Einstellungen frei, für 1, 3 oder 7 Tage. Er kann die Freigabe widerrufen, solange er im Mandanten arbeiten kann; der Widerruf wirkt sofort, weil Kladde die Freigabe bei jeder Anfrage prüft. Während einer Sperre des Mandanten oder einer ausstehenden Zustimmung lässt sich die Freigabe nicht widerrufen; die Support-Ansicht zeigt in dieser Zeit aber weder Firmenprofil, Rechnungsköpfe und Logos noch Kunden, gespeicherte Positionen, Entwürfe, Belege, Angebote, Auftragsbestätigungen, Mahnschreiben, Versandnachweise, Zahlungen, Wiederholungen und Exporte für DATEV noch die Einstellungen für DATEV, für Mahnungen und für den E-Mail-Versand noch Benutzer und Protokoll. Eine neue Freigabe ersetzt die laufende. Die Freigabe ist die dokumentierte Weisung des Kunden für den Support. Kladde bewahrt jede Freigabe mit Beginn, Ende, Widerruf und der Mitgliedschaft auf, die sie erteilt hat.
2. Solange sie gilt, kann KYTH eine Support-Ansicht öffnen. Sie gilt höchstens 60 Minuten und nie über das Ende der Freigabe hinaus und ist nur lesend: Außer der Protokollzeile nach Nummer 4 nimmt die Datenbank in ihr keine Änderung an, und senden kann KYTH in ihr nichts, auch keine Testmail. Solange der Kunde einer geltenden Fassung nicht zugestimmt hat, lässt sich auch die Support-Ansicht nicht nutzen.
3. KYTH sieht den Mandanten dabei, wie ihn ein Inhaber sieht, also auch die Benutzerliste mit den E-Mail-Adressen, das Protokoll, die Kunden mit allen Feldern, die Entwürfe mit ihrer Vorschau, die Belege mit ihrer PDF, in der die IBAN vollständig steht, ihrer XRechnung und ihren Versandnachweisen, die Angebote, Auftragsbestätigungen und Mahnschreiben mit ihrer PDF und ihren Versandnachweisen, die Zahlungen, die Wiederholungen, die gespeicherten Positionen, die Einstellungen und Exporte für DATEV mit ihren Dateien, die Einstellungen der Mahnstufen, die Übersichten, die Kladde aus Belegen und Zahlungen rechnet, und die Einstellungen für den E-Mail-Versand ohne das Passwort und ohne das Token, bei einer Verbindung zu Microsoft mit der Adresse des Postfachs, aber ohne die Konten der Personen und ohne andere Mandanten. Was eine Anfrage nur rechnet oder vorschauen lässt, ändert nichts.
4. Jede Anfrage an die Schnittstelle von Kladde in der Support-Ansicht schreibt eine Zeile in das Protokoll des Mandanten: Betreiber, Zeitpunkt, aufgerufene Funktion (als Vorlage des Pfads, ohne Kennungen) und gekürzte Netzadresse. Inhalte stehen nicht darin. Das Öffnen der Ansicht steht ebenfalls im Protokoll, ihr Ende nur, wenn KYTH sie ausdrücklich beendet. Endet sie anders (nach ihren höchstens 60 Minuten, durch Ablauf oder Widerruf der Freigabe, Abmeldung des Betreibers, Öffnen einer anderen Support-Ansicht, Sperre des Mandanten, Sperre, neues Passwort oder Zurücksetzen der zweiten Stufe des Betreiberkontos), entsteht dafür keine eigene Zeile.

Im Betreiberbereich kann KYTH diese Inhalte ohne Freigabe nicht lesen: Die Rolle des Betreiberbereichs hat in der Datenbank kein Recht auf Firmenprofil, Rechnungsköpfe, Logos, Kunden, Nummernkreise, gespeicherte Positionen, Entwürfe, Belege, ihre Dateien, Angebote, Auftragsbestätigungen und ihre Bezüge zu Rechnungen, Mahnschreiben, Versandnachweise, Zahlungen, Wiederholungen mit ihren Terminen, Exporte für DATEV mit ihren Zuordnungen, die Einstellungen für DATEV, für Mahnungen und für den E-Mail-Versand, begonnene Anmeldungen bei Microsoft und Zustimmungsnachweise und darf das Protokoll des Mandanten nur ergänzen. Lesen darf sie den Stand der Ablage im Archiv der Belege (Abschnitt 1), der keine Inhalte der Belege trägt. Außerhalb von Kladde greift KYTH auf diese Inhalte nur durch die Geschäftsführer zu und nur, soweit es dafür nötig ist: für eine Kopie, eine Berichtigung, eine Einschränkung oder eine Löschung auf Weisung (Abschnitte 2, 9 und 11), für die Löschung nach den Fristen in Abschnitt 4, für die Prüfung eines Hinweises auf rechtswidrige Inhalte und deren Entfernung (Nutzungsvertrag, Abschnitt 7), für die Probe der Wiederherstellung einer Sicherung (Abschnitt 8), für einen Wechsel des Schlüssels der feldweisen Verschlüsselung (Abschnitt 8), für die Behebung einer Störung, für den Wiederanlauf nach einer Wiederherstellung (Abschnitt 8), für das Lesen eines Belegs aus dem Archiv, wenn er in Kladde fehlt, für das Entfernen von Objekten aus dem Archiv (Abschnitte 8 und 11) und soweit KYTH gesetzlich dazu verpflichtet ist (Abschnitt 6). In der Datenbank von Kladde verwendet KYTH dafür die Rolle, der die Tabellen gehören; beim Wiederanlauf aus einer Sicherung spielt KYTH die Sicherung mit dem Verwaltungskonto der Datenbankinstanz ein (Abschnitt 8). Davon getrennt sichert ein Lauf auf dem Server die Datenbank täglich selbsttätig (Abschnitt 8). Was der Betreiber ohne Freigabe sieht und tun darf, regelt Abschnitt 4 des Nutzungsvertrags. Im Betreiberbereich sieht KYTH:

• die Übersicht je Mandant: Name, Status, die Zahl aller Mitgliedschaften, gleich in welchem Status, deren jüngste Nutzung, Fassung und Zeitpunkt der Zustimmung und das Ende einer laufenden Support-Freigabe;
• die Liste der Mitgliedschaften eines Mandanten: Name, Funktion, E-Mail-Adresse, Rolle, Status, letzte Nutzung, offene Einladung, Kennung und Status des Kontos; dieses Ansehen hält Kladde in keinem Protokoll fest;
• ein Konto mit seinen Mitgliedschaften, nur mit einem Anlass (Abschnitt 5);
• auf der Startseite die Zahl der Belege aller Mandanten, die auf die Ablage im Archiv warten, und das Alter des ältesten, ohne Kennungen und Inhalte.

KYTH als Betreiber kann außerdem einen Mandanten anlegen und dabei die erste Person als Inhaber einladen, einen Mandanten sperren und entsperren, eine Einladung neu ausstellen (Kladde entwertet dabei die offenen Links und legt einen neuen Link und eine neue Einladungsmail an), das Zurücksetzen eines Passworts auslösen (Kladde legt die Mail an die Adresse des Kontos an), einen Zugang anlegen, ein Konto sperren und entsperren, eine Weiterarbeit bis zum Ende des Übergangszeitraums eintragen und aufheben (Nutzungsvertrag, Abschnitte 4 und 10) und die Support-Ansicht öffnen und beenden. Einen Zugang legt Kladde nur an, wenn der Mandant aktiv ist, das Konto zur Adresse nicht gesperrt ist, der Mandant keinen Inhaber mit aktiver Mitgliedschaft und aktivem Konto hat und die Person dort noch nicht Mitglied ist; die Rolle ist immer Inhaber. KYTH legt einen Zugang nur für eine Person an, die der Kunde benennt, nachdem KYTH geprüft hat, dass das Verlangen von jemandem kommt, der den Kunden vertreten darf. Diese Handlungen dienen der Bereitstellung von Kladde und sind mit dem Nutzungsvertrag angewiesen.

Jede dieser Handlungen steht im Protokoll von KYTH (Abschnitt 4), das Ansehen der Übersicht und der Mitgliedschaften nicht. Betrifft eine Handlung den Mandanten, steht sie auch in dessen Protokoll; betrifft sie ein Konto, steht sie in jedem Mandanten, in dem das Konto eine aktive Mitgliedschaft hat (Abschnitt 5). Das Ansehen eines Kontos steht nur im Protokoll von KYTH. Legt KYTH einen Zugang an oder sperrt oder entsperrt KYTH den Mandanten oder ein Konto, legt Kladde den Hinweis an die Inhaber nach Abschnitt 2 an.

4. Protokoll

Inhalt. Kladde führt für jeden Mandanten ein Protokoll, das sich nur ergänzen und nicht ändern lässt. Jede Zeile nennt den Zeitpunkt, wer gehandelt hat (eine Person über die Kennung ihrer Mitgliedschaft, KYTH als Betreiber über die Kennung des Betreiberkontos oder Kladde selbst), die Klasse, die Art der Handlung, soweit vorhanden ihr Ziel und bei geänderten Angaben alten und neuen Wert: bei Feldern von Firmenprofil, Rechnungskopf und Kunde; bei einem Nummernkreis Präfix, Startwert und Bezeichnung, bei seiner Anhebung die alte und die neue nächste Nummer mit dem Jahr des Zählers; bei Rolle und Status einer Mitgliedschaft, wenn ein Inhaber sie einlädt, sperrt, entsperrt oder ihre Rolle ändert; bei einem Logo nur Medientyp, Maße und Prüfsumme. Das Annehmen einer Einladung, einen Zugang, den KYTH anlegt, und das Archivieren oder Wiederherstellen eines Rechnungskopfs hält es nur mit der Art der Handlung fest. Von einem festgeschriebenen Beleg hält es Art, Rechnungsart, Nummer, Bruttobetrag und Prüfsummen fest, von einem Storno und einer Teilkorrektur zusätzlich den Grund, von einer Teilkorrektur auch den berichtigten Bruttobetrag, von einer Schlussrechnung je Abschlagsrechnung den abgezogenen Betrag, von einer Zahlung und ihrer Rücknahme Beleg, Datum, Betrag und Skonto und von einem Import nur die Zahl der angelegten und der fehlerhaften Zeilen. Von einem Versand per Mail hält es den Beleg und die Zahl der Empfänger fest, ohne Adressen, von einer Testmail nur ihr Ergebnis. Ändert ein Inhaber den Zugang zum Mailserver, stehen Server, Port, Benutzer und Absenderadresse als alter und neuer Wert darin und vom Passwort nur, dass es geändert wurde; entfernt er den Zugang, der alte Server und die alte Absenderadresse; ändert er eine Vorlage, nur ihre Art und ob Betreff oder Text geändert wurden. Von einer Wiederholung hält es beim Anlegen Rechnung, Kunde, Rhythmus und nächsten Termin fest, bei einer Änderung den alten und den neuen Tag des nächsten Termins, beim Beenden diesen Tag, beim Wechsel der Rechnung, aus der sie Positionen und Texte übernimmt, die alte und die neue Rechnung und beim Ein- und Ausschalten des automatischen Sendens die Versandart vorher und nachher; einen Entwurf aus einem fälligen Termin hält es nicht fest, ihn vermerkt Kladde mit der Kennung der Mitgliedschaft und dem Zeitpunkt bei den Terminen der Wiederholung. Von den Einstellungen für DATEV hält es Berater- und Mandantennummer, Kontenrahmen, Länge der Sachkonten, Beginn des Wirtschaftsjahres und die Konten als alten und neuen Wert fest, von einem Export Monat, Lauf und die Zahl der Belege und Zeilen; das Herunterladen einer Datei hält es nicht fest. Jeden Abruf der Kopie aller Daten (Nutzungsvertrag, Abschnitt 10) hält es mit Zeitpunkt und handelnder Person fest, ohne Inhalte der Kopie. Von einer gespeicherten Position hält es nur ihre Kennung fest. Von einem Angebot oder einer Auftragsbestätigung hält es beim Ausstellen Art, Nummer, Bruttobetrag und Prüfsumme fest, beim Ersetzen durch eine neue Fassung deren Nummer, bei einem neuen Stand eines Angebots den alten und den neuen Stand mit Datum und beim Versand die Zahl der Empfänger. Von einem Mahnschreiben hält es Rechnung, Stufe, Datum, Frist, offenen Betrag, Mahngebühr, Verzugspauschale und den zu zahlenden Betrag fest, beim Versand die Zahl der Empfänger, von der Einstellung einer Mahnstufe Abstand, Frist, Mahngebühr und die Vorgabe der Verzugspauschale als alten und neuen Wert und nur, ob Text und Mailvorlage vom Betrieb stammen. Von einer Verbindung zu Microsoft hält es nur fest, dass sie hergestellt wurde und ob sie einen Zugang zum Mailserver ersetzt hat, und von ihrer Trennung, ob ein Inhaber getrennt oder Microsoft die Verbindung beendet hat, ohne Adresse und ohne Token. Namen von Kunden, Positionen, Empfänger, Betreff und Texte stehen in keiner dieser Zeilen. Was Kladde für eine Wiederholung selbsttätig tut, weil ein Inhaber das automatische Senden eingeschaltet hat (Festschreiben und Senden der Rechnung mit Folge und Zahl der Empfänger, Anhalten eines Termins mit dem Grund und Zurückschalten der Versandart), steht als Handlung von Kladde mit der Kennung der Mitgliedschaft, die eingeschaltet hat, im Protokoll; die Trennung einer Verbindung, die Microsoft beendet hat, steht dort als Handlung von Kladde ohne diese Kennung. Entwürfe stehen nicht darin. Passwörter, Token, Links, Codes und andere Geheimnisse stehen nie darin, eine IBAN nur als „…“ mit ihren letzten vier Stellen; die übrigen alten und neuen Werte von Firmenprofil, Rechnungskopf, Kunde, Zugang zum Mailserver, den Einstellungen für DATEV und den Mahnstufen und die Gründe von Korrekturen stehen im Klartext darin; Betreff und Text einer Mail stehen nie darin. Zeilen, die KYTH nach einer Wiederherstellung aus einer Sicherung zurückschreibt (Abschnitt 8), tragen ihren ursprünglichen Zeitpunkt und zusätzlich den Zeitpunkt des Zurückschreibens. Zeilen zu Handlungen einer Person tragen die gekürzte Netzadresse (bei IPv4 die ersten drei Blöcke, bei IPv6 die ersten 64 Bit), Zeilen zu Handlungen von KYTH als Betreiber im Mandanten die ebenso gekürzte Netzadresse des Betreibers. Keine Netzadresse tragen Ereignisse am Konto einer Person (Abschnitt 5), die Anmeldung beim Wechsel aus einem anderen Mandanten und Handlungen von Kladde selbst. Fehlgeschlagene Anmeldungen stehen nicht im Protokoll; sie zählt das Konto.

Jede Zeile gehört zu einer von zwei Klassen: sicherheit für Anmeldung, Abmeldung, beendete Sitzungen, die Nutzung der Support-Ansicht (Öffnen, Anfragen, Beenden) und den Abruf der Kopie aller Daten, aenderung für alle übrigen, auch für Freigabe und Widerruf des Support-Zugangs.

Einsicht. Die Inhaber des Mandanten sehen das Protokoll in den Einstellungen. Die Seite zeigt je Zeile den Zeitpunkt, die handelnde Person mit dem Namen, den Kladde über ihre Mitgliedschaft im eigenen Mandanten auflöst (findet Kladde keinen, „Eine Person im Mandanten“), bei Handlungen von KYTH „Der Betreiber“, bei Handlungen von Kladde selbst „Das System“, und die Art der Handlung; die Schnittstelle von Kladde liefert den Inhabern alle Felder der Zeile. In Kladde sieht KYTH das Protokoll nur in der Support-Ansicht (Abschnitt 3); außerhalb von Kladde greift KYTH darauf nur in den Fällen nach Abschnitt 3 zu.

Zweck. Das Protokoll dient der Sicherheit und der Nachvollziehbarkeit von Änderungen. KYTH wertet es nicht aus, um Leistung oder Verhalten von Personen zu kontrollieren. Ob und wie der Kunde es gegenüber seinen Beschäftigten verwendet, verantwortet er selbst, einschließlich der Rechte einer Arbeitnehmervertretung.

Aufbewahrung. Kladde selbst löscht keine Zeile des Protokolls. KYTH bewahrt Zeilen der Klasse sicherheit 12 Monate auf und löscht sie danach von Hand in einem monatlichen Durchgang, also spätestens 13 Monate nach dem Eintrag. Zeilen der Klasse aenderung bewahrt KYTH auf, bis KYTH die übrigen Daten des Mandanten nach Abschnitt 11 löscht, und löscht sie mit ihnen von Hand.

Einträge des Betreibers. Handlungen von KYTH als Betreiber stehen zusätzlich im eigenen Protokoll von KYTH. Kladde hält dort 22 Arten von Handlungen fest: Anlegen, Sperren und Entsperren eines Mandanten, Öffnen und Beenden des Abrufs der Kopie nach dem Ende des Vertrags, Eintragen und Aufheben einer Weiterarbeit, Anlegen eines Zugangs, Neuausstellen einer Einladung, Öffnen und Beenden der Support-Ansicht, Sperren und Entsperren eines Kontos, Auslösen des Zurücksetzens, Zurücksetzen des zweiten Faktors eines Kontos, Ansehen eines Kontos, die Anmeldung eines Betreibers nach der zweiten Stufe und, über die Kommandozeile auf dem Server, Anlegen, neues Passwort, Zurücksetzen der zweiten Stufe, Sperren und Entsperren eines Betreiberkontos. Jede Zeile nennt Zeitpunkt, Art der Handlung und die Kennungen von Mandant, Konto, Mitgliedschaft oder Betreiberkonto, beim Ansehen eines Kontos und beim Zurücksetzen seines zweiten Faktors auch den Anlass, beim Öffnen des Abrufs sein Enddatum und die Zahl der Tage, beim Eintragen einer Weiterarbeit ihr Enddatum. Zeilen aus dem Betreiberbereich nennen zudem den handelnden Betreiber und seine gekürzte Netzadresse; Zeilen aus der Kommandozeile tragen weder Person noch Netzadresse. Inhalte des Mandanten stehen nicht darin. Nicht festgehalten werden die Abmeldung eines Betreibers, gescheiterte Anmeldeversuche, eine Probemeldung an die Fehlererfassung ohne Daten des Kunden und das Ansehen von Übersicht, Mitgliedschaften und eigenem Protokoll; die einzelnen Anfragen in der Support-Ansicht stehen nur im Protokoll des Mandanten. Dieses Protokoll ist ein Nachweis von KYTH über das eigene Handeln (Art. 5 Abs. 2, Art. 28 Abs. 3 lit. h und Art. 32 DSGVO) und nicht Gegenstand dieses Vertrags (Abschnitt 5). Es bleibt bestehen, wenn KYTH die Daten des Mandanten löscht; KYTH bewahrt die Einträge bis zum Ende des dritten Kalenderjahres nach dem Eintrag auf und löscht sie im Januar des folgenden Jahres von Hand.

5. Konto und Mandanten

Eine Person kann mit einem Konto mehreren Mandanten angehören, auch Mandanten anderer Kunden. Kein einzelner Kunde bestimmt deshalb über das Konto. Daraus folgt diese Verteilung:

Lädt der Kunde eine Person ein, verwendet Kladde die eingegebene E-Mail-Adresse zugleich für das Konto dieser Person, für das KYTH selbst verantwortlich ist. Sieht KYTH ein Konto an, liest es dabei als Verantwortlicher auch dessen Mitgliedschaften mit Mandant, Rolle und Status. Wie KYTH die Daten der Konten verarbeitet, beschreibt die Datenschutzerklärung. Eine gemeinsame Verantwortung nach Art. 26 DSGVO besteht nicht.

Für den Kunden heißt das:

• Er sieht in seinem Mandanten die Mitgliedschaften, nie die Konten. Er erfährt nicht, ob eine Adresse schon ein Konto hat und welchen anderen Mandanten es angehört; vom Status des Kontos erfährt er nur über die Ereignisse nach dem nächsten Punkt.
• Ereignisse, die ein Konto als Ganzes betreffen (Passwort geändert oder zurückgesetzt und Sitzungen beendet durch die Person; Konto gesperrt oder entsperrt und Zurücksetzen ausgelöst durch KYTH), trägt Kladde in das Protokoll jedes Mandanten ein, in dem das Konto eine aktive Mitgliedschaft hat, ohne Netzadresse und ohne Angaben zu anderen Mandanten. Mit dem Eintrag werden sie Daten des Mandanten.
• Sperrt KYTH ein Konto, wirkt das in allen Mandanten der Person (Nutzungsvertrag, Abschnitt 3): Kladde beendet ihre Sitzungen in allen Mandanten und entwertet offene Links zum Zurücksetzen. Für die Inhaber jedes Mandanten, in dem die Person eine aktive Mitgliedschaft hat, legt Kladde den Hinweis nach Abschnitt 2 an, adressiert an die Einladungsadresse jedes Inhabers und mit dem Namen der gesperrten Person aus ihrer Mitgliedschaft in diesem Mandanten; ebenso bei der Entsperrung. Wie der Eintrag im Protokoll gehört dieser Hinweis zu den Daten des Mandanten.
• Sieht KYTH ein Konto mit seinen Mitgliedschaften an, steht das mit Anlass im Protokoll von KYTH und nicht im Protokoll des Mandanten.

6. Weisungen

KYTH verarbeitet die Daten des Kunden nur auf seine dokumentierte Weisung. Weisungen sind:

1. dieser Vertrag und der Nutzungsvertrag;
2. jede Handlung, die der Kunde und seine Benutzer mit den Funktionen von Kladde auslösen, auch was Kladde selbsttätig ausführt, weil ein Inhaber es eingeschaltet hat (automatisches Senden einer Wiederholung);
3. die Freigabe des Support-Zugangs (Abschnitt 3);
4. Einzelweisungen in Textform an datenschutz@kyth.systems, von einem Inhaber mit aktiver Mitgliedschaft von seiner Einladungsadresse aus oder von einer Person, die den Kunden vertreten darf oder die der Kunde dafür benannt hat; KYTH prüft vor der Ausführung, dass die Weisung von einer solchen Person kommt.

Ist KYTH der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, teilt KYTH das dem Kunden unverzüglich mit (Art. 28 Abs. 3 UAbs. 2 DSGVO) und darf die Weisung aussetzen, bis der Kunde sie bestätigt oder ändert. Ist KYTH gesetzlich zu einer Verarbeitung verpflichtet, teilt KYTH dem Kunden das vorher mit, soweit das Gesetz es nicht verbietet.

7. Vertraulichkeit

KYTH lässt die Daten des Kunden nur von Personen verarbeiten, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Zugang zum Server von Kladde, zum weiteren Server mit Fehlererfassung und Verwaltung (Abschnitt 8) und zum Betreiberbereich gibt KYTH derzeit nur den beiden Geschäftsführern. Betreiberkonten lassen sich nur über die Kommandozeile auf dem Server anlegen, sperren, entsperren und zurücksetzen (neues Passwort, zweite Stufe), nicht im Browser; den zweiten Faktor richtet der Betreiber nach dem Anlegen oder nach dem Zurücksetzen der zweiten Stufe bei der ersten Anmeldung im Browser ein.

8. Technische und organisatorische Maßnahmen

KYTH trifft die folgenden Maßnahmen nach Art. 32 DSGVO. Sie sind eine Beschreibung von KYTH, kein Prüfbericht; eine Zertifizierung besteht nicht.

Vertraulichkeit

• Trennung der Mandanten in der Datenbank selbst: Jede Tabelle mit Mandantenbezug trägt erzwungenen Zeilenschutz. Für den Postausgang, den Stand der Ablage im Archiv und das Protokoll von KYTH gilt eine eigene Trennung: Den Postausgang arbeitet ein Lauf der Anwendung für alle Mandanten ab, und Empfänger und Text sind dort feldweise verschlüsselt; ebenso arbeitet ein Lauf die Belege ab, die auf die Ablage im Archiv warten, und liest den Beleg selbst danach mit gesetztem Mandanten; auf das Protokoll von KYTH greift nur der Betreiberbereich zu. Die Anwendung sieht die Zeilen des Mandanten, für den sie gerade arbeitet, dazu für die Auswahl des Mandanten die eigenen Mitgliedschaften der angemeldeten Person und die Mandanten, in denen sie eine aktive Mitgliedschaft hat. Konten sieht sie nur einzeln: das Konto der Person, die sich anmeldet oder angemeldet ist, ein neues Passwort anfordert oder einen Einladungs- oder Rücksetzlink einlöst, beim Einladen nur die Kennung des Kontos zur eingegebenen Adresse und beim automatischen Senden einer Wiederholung nur, ob das Konto des Inhabers, der es eingeschaltet hat, aktiv ist; das liest der Lauf über die Rolle des Betreiberbereichs.
• Drei Datenbankrollen mit getrennten Rechten: eine für die Anwendung, eine für den Betreiberbereich und eine, der die Tabellen gehören. Die Rolle des Betreiberbereichs hat keine Rechte auf Firmenprofil, Rechnungsköpfe, Logos, Kunden, Nummernkreise, gespeicherte Positionen, Entwürfe, Belege, ihre Dateien, Angebote, Auftragsbestätigungen, Mahnschreiben, Versandnachweise, Zahlungen, Wiederholungen, Exporte für DATEV, die Einstellungen für DATEV, für Mahnungen und für den E-Mail-Versand, begonnene Anmeldungen bei Microsoft und Zustimmungsnachweise und darf das Protokoll des Mandanten nur ergänzen, nicht lesen.
• Kladde lässt sich außerhalb der Entwicklung nur mit einer Adresse betreiben, die mit https beginnt, und setzt den Sicherheitskopf HSTS. Verbindungen zu Kladde laufen verschlüsselt über HTTPS; eine Anfrage über unverschlüsseltes HTTP leitet der vorgelagerte Proxy auf HTTPS um. Die Verschlüsselung endet an diesem Proxy auf demselben Server; von dort geht die Anfrage innerhalb des Servers an Kladde.
• Versand der Systemmails und der Mails mit Belegen über einen Mailserver nur per SMTP mit TLS; Kladde prüft dabei Zertifikat und Namen des Mailservers und versendet ohne TLS nichts. Am Mailserver des Kunden meldet sich Kladde erst nach dem Aufbau von TLS an. Mit ihm verbindet sich Kladde nur, wenn sein Name auf eine Adresse im öffentlichen Internet zeigt. Mit einem verbundenen Postfach bei Microsoft 365 spricht Kladde nur mit login.microsoftonline.com und graph.microsoft.com, über HTTPS mit Prüfung des Zertifikats, ohne Proxy und ohne Umleitung; beide Adressen stehen fest im Code. Die Anmeldung bei Microsoft läuft mit PKCE; ihren Code erhält Kladde im Fragment der Adresse, sodass er in kein Zugriffsprotokoll gelangt. Den Zustand einer begonnenen Anmeldung speichert Kladde nur als Hashwert; sie gilt einmal, nur für dieselbe Sitzung und höchstens zehn Minuten. Den Objektspeicher des Archivs erreicht Kladde nur über HTTPS.
• Feldweise Verschlüsselung (AES-256-GCM) für genau zwölf Spalten: die E-Mail-Adressen der Konten, der Mitgliedschaften und der Betreiberkonten, die Geheimnisse des zweiten Faktors der Konten (auch ein noch nicht bestätigtes) und der Betreiberkonten, Empfänger und Text im Postausgang, die IBAN, das Passwort für den Mailserver des Kunden, das Refresh-Token der Verbindung mit Microsoft und den Prüfwert einer begonnenen Anmeldung bei Microsoft. Passwort und Token zeigt Kladde niemandem an, auch nicht dem Inhaber und nicht in der Support-Ansicht, und das Token erreicht nie den Browser; Kladde entschlüsselt das Passwort nur für die Anmeldung am Mailserver und das Token nur für den Anmeldedienst von Microsoft und für den Abgleich vor einer Trennung. Suchwerte, Hashwerte von Sitzungen und Links und die Schlüssel der Zähler bildet Kladde mit geheimem Schlüssel (HMAC). In der Oberfläche zeigt Kladde die IBAN nur als „…“ mit den letzten vier Stellen. Vollständig steht sie in der PDF der Belege außer einer Rechnungskorrektur und in der PDF der Angebote, Auftragsbestätigungen und Mahnschreiben, die jede Rolle im Mandanten abrufen kann und die Kladde mit einer Mail an die Empfänger sendet, bei Rechnungen und Mahnschreiben auch im QR-Code für die Überweisung, und in der Vorschau eines Entwurfs; beide sieht auch die Support-Ansicht. Kladde entschlüsselt sie dafür beim Bau der PDF. Im Dokument eines Belegs steht sie nicht; der Beleg verweist auf die Fassung des Rechnungskopfs. Im Archiv steht sie mit der PDF, verschlüsselt wie das ganze Objekt. Wechselt KYTH diesen Schlüssel, schreibt ein Lauf von Hand alle verschlüsselten Felder mit dem neuen Schlüssel neu; dabei enden alle Sitzungen, und offene Einladungs- und Rücksetzlinks werden ungültig. Das Archiv lässt sich wegen seiner Sperre nicht neu verschlüsseln; einen alten Schlüssel bewahrt KYTH deshalb auf, solange im Archiv ein Objekt liegt, das mit ihm verschlüsselt ist.
• Passwörter nur als Prüfwert (PBKDF2-HMAC-SHA256, 600.000 Durchläufe, Salz), mindestens 12 Zeichen, Abgleich gegen eine Liste häufiger Passwörter.
• Sitzungen über Cookies mit dem Präfix __Host- und den Merkmalen Secure, HttpOnly und SameSite; Ende nach 7 Tagen ohne Nutzung, höchstens 30 Tage; Schutz gegen von fremden Seiten ausgelöste Anfragen durch einen eigenen Kopf und die Prüfung der Herkunft jeder ändernden Anfrage.
• Begrenzung der Versuche bei Anmeldung, Passwortänderung, Zurücksetzen, Einladungs- und Rücksetzlinks, zweitem Faktor und zweiter Stufe, je nach Fall je eingegebener E-Mail-Adresse, je Netz, je Konto oder je Betreiberkonto; Einladungen begrenzt Kladde je Mandant und Tag.
• Betreiberkonten nur mit zweitem Faktor (zeitbasierter Einmalcode; den QR-Code zum Einrichten erzeugt der Server selbst), Sitzung höchstens 12 Stunden, Ende nach 30 Minuten ohne Nutzung; anlegen, sperren, entsperren und zurücksetzen lassen sie sich nur über die Kommandozeile auf dem Server, den zweiten Faktor richtet der Betreiber nach dem Anlegen oder nach dem Zurücksetzen der zweiten Stufe bei der ersten Anmeldung im Browser ein.
• Konten, die in einem Mandanten die Rolle Inhaber haben, melden sich nur mit zweitem Faktor an (zeitbasierter Einmalcode; den QR-Code zum Einrichten erzeugt der Server selbst); für die übrigen Konten ist er wählbar. Kladde fragt ihn bei jeder Anmeldung ab, auch nach dem Zurücksetzen des Passworts, und jeder Code gilt nur einmal. Für den Verlust des Telefons gibt es acht Wiederherstellungscodes, die Kladde nur als Hashwert speichert und die je einmal gelten. Zurücksetzen kann den zweiten Faktor nur KYTH nach einer Prüfung der Identität; das steht im Protokoll von KYTH und im Protokoll jedes Mandanten, in dem das Konto eine aktive Mitgliedschaft hat.
• Die Datenbank liegt auf einem verschlüsselten Datenträger (LUKS2, AES-XTS mit 512-Bit-Schlüssel). Sein Schlüssel ist nicht auf dem Server gespeichert; ihn verwahren die beiden Geschäftsführer. Nach einem Neustart des Servers bleibt die Datenbank verschlossen, bis ein Geschäftsführer sie von Hand entsperrt; eine Prüfung auf dem Server meldet diesen Zustand. Der Datenträger schützt auch die Daten, die nicht feldweise verschlüsselt sind, gegen den Verlust der Platte oder einer Kopie davon.
• Den Schlüssel der feldweisen Verschlüsselung erhält die Anwendung aus ihrer Umgebung auf dem Server; in der Datenbank, in Auszügen und in Sicherungen liegt er nicht. Diese Umgebung verwaltet KYTH mit Coolify auf einem weiteren Server von KYTH bei der IONOS SE in Berlin, auf dem auch die Fehlererfassung läuft; dort liegen der Schlüssel und die übrigen Zugangsdaten von Kladde, und von dort erreicht Coolify den Server von Kladde über SSH. Benutzer in Coolify sind nur die beiden Geschäftsführer. Ohne feldweise Verschlüsselung speichert Kladde insbesondere Namen und Funktionen, den Namen des Mandanten, Firmenprofil, Rechnungsköpfe außer der IBAN (also auch deren E-Mail-Adresse, Telefon, Kontoinhaber, BIC und Bank), Logos, die Protokolle mit ihren alten und neuen Werten, Zustimmungsnachweise und Support-Freigaben, die Einstellungen für den E-Mail-Versand außer Passwort und Token (Server, Port, Benutzer, Absenderadresse, Adresse eines verbundenen Postfachs, Vorlagen), die gespeicherten Positionen, die Wiederholungen und die Einstellungen für DATEV und für Mahnungen, ebenso alle Daten der Kunden des Kunden, auch ihre E-Mail-Adressen, weil die Suche im Kundenstamm sie braucht. Diese stehen im Kundenstamm, in den Entwürfen, im Dokument und in der PDF jedes Belegs, Angebots, jeder Auftragsbestätigung und jedes Mahnschreibens, in den XRechnungen, in den Dateien für DATEV (Name und Umsatzsteuer-Identifikationsnummer des Empfängers je Buchung), in den Versandnachweisen (Adressen der Empfänger), im Protokoll des Mandanten (alte und neue Werte der Kundenfelder, Gründe von Korrekturen), in der Kopie für den Kunden und ihren Arbeitskopien und während eines Wiederanlaufs im Stand vor dem Einspielen. Geschützt sind sie durch den Zeilenschutz, den verschlüsselten Datenträger und die verschlüsselte Sicherung; das Archiv, die Kopie und den Stand vor dem Einspielen verwahrt KYTH nur verschlüsselt.
• Eine Kopie der Daten für den Kunden (Abschnitte 9 und 11; Nutzungsvertrag, Abschnitt 10) erstellt KYTH von Hand, mit allen PDF. Weil darin auch die IBAN und die Daten der Kunden des Kunden lesbar stehen, übergibt KYTH die Kopie nur verschlüsselt und teilt das Kennwort auf einem anderen Weg mit. Kopien, die dabei bei KYTH entstehen, auch ein Anhang in den Postfächern von KYTH, löscht KYTH von Hand, sobald der Kunde den Empfang bestätigt hat, spätestens 30 Tage nach der Übergabe; als Schriftwechsel bleibt nur die Mail ohne Anhang.
• Lädt ein Inhaber die Kopie selbst herunter (Nutzungsvertrag, Abschnitt 10), verlangt Kladde vorher sein Passwort und einen Code seines zweiten Faktors oder einen Wiederherstellungscode. Kladde liest die Daten in einer einzigen lesenden Transaktion mit einheitlichem Stand aus, prüft jede Datei gegen ihre gespeicherte Prüfsumme und sendet die ZIP-Datei beim Erzeugen über die verschlüsselte Verbindung (TLS) an den Browser. Auf dem Server entsteht keine Datei, und KYTH behält keine Kopie. Je Mandant entstehen höchstens fünf Kopien am Tag. Jeder Abruf steht im Protokoll des Mandanten (Abschnitt 4), und alle Inhaber, die ihre Einladung angenommen haben, erhalten eine Mail.

Integrität

• Firmenprofil, die Fassungen der Rechnungsköpfe, Logos, Zustimmungsnachweise und beide Protokolle lassen sich nur ergänzen; die Datenbank weist jede Änderung oder Löschung durch die Anwendung und den Betreiberbereich zurück. Ändern oder löschen kann diese Daten nur die Rolle, der die Tabellen gehören, und das Verwaltungskonto der Datenbankinstanz; für Berichtigungen und Löschungen von Hand verwendet KYTH die Rolle, der die Tabellen gehören. Festgeschriebene Belege, ihre PDF und XRechnungen, Zahlungen, die Bezüge der Schlussrechnungen, die Versandnachweise, die Termine der Wiederholungen, die Exporte für DATEV und ihre Zuordnung zu Belegen, die Bezüge der Rechnungen auf Angebote und Auftragsbestätigungen und die Mahnschreiben lassen sich ebenso nur ergänzen. Angebote und Auftragsbestätigungen lassen sich im Inhalt nicht ändern und nicht löschen; änderbar sind nur ihr Stand und der Verweis auf eine neue Fassung, die sie ersetzt. Ein Beleg lässt sich nur durch eine Rechnungskorrektur berichtigen, eine Zahlung nur durch ihre Rücknahme. Die PDF der Belege, Angebote, Auftragsbestätigungen und Mahnschreiben und die XRechnungen speichert Kladde in der Datenbank und legt jeden Beleg zusätzlich gesperrt im Archiv der Belege ab, wo Kladde selbst nichts löscht oder verändert (Absatz „Verfügbarkeit und Belastbarkeit“); die Datenbank rechnet die Prüfsumme des Dokuments eines Belegs und jeder gespeicherten Datei nach, auch der Dateien für DATEV, und prüft Nummer, Summen und die Kette der Korrekturen einer Rechnung. An einem Rechnungskopf selbst lassen sich nur Status (aktiv oder archiviert) und Vorgabe ändern; Name, Funktion und Einladungsadresse einer Mitgliedschaft lassen sich nicht ändern.
• Jede Änderung an Firmenprofil, Rechnungsköpfen, Logos, Kunden, Nummernkreisen, Belegen, Zahlungen, gespeicherten Positionen, den Einstellungen für den E-Mail-Versand, für DATEV und für Mahnungen, Mitgliedschaften, Einladungen und Support-Freigaben, jedes Ausstellen und jeder Stand eines Angebots oder einer Auftragsbestätigung, jedes Mahnschreiben, jeder Export für DATEV, das Anlegen, Ändern und Beenden einer Wiederholung, jede Verbindung zu Microsoft und ihre Trennung und jeder Versand per Mail, die eine Person, KYTH oder Kladde selbst (Abschnitt 4) in Kladde vornimmt, steht im Protokoll, Änderungen an Feldern und die Änderungen von Rolle und Status nach Abschnitt 4 mit altem und neuem Wert. Berichtigungen und Löschungen, die KYTH von Hand vornimmt, stehen nicht darin. Jeden Zugriff von Hand auf Daten des Kunden außerhalb von Kladde (Abschnitt 3) zeichnet KYTH deshalb von Hand auf, mit Zeitpunkt, handelnder Person, Anlass und der Weisung oder Bestimmung dieses Vertrags, auf der er beruht, und legt diese Aufzeichnung dem Kunden auf Anfrage vor (Abschnitt 12), soweit das Gesetz es nicht verbietet. KYTH bewahrt sie bis zum Ende des dritten Kalenderjahres nach dem Zugriff auf und löscht sie im Januar darauf von Hand. Die Aufzeichnung ist wie das Protokoll von KYTH als Betreiber ein Nachweis von KYTH über das eigene Handeln (Abschnitt 4) und nennt Daten des Kunden nur, soweit der Nachweis sie braucht. Sie bleibt bestehen, wenn KYTH die Daten des Mandanten löscht.
• Strenge Sicherheitsköpfe für jede Seite (Content Security Policy ohne fremde Quellen), Prüfung aller Eingaben. Logos schreibt Kladde beim Speichern neu: Kladde dreht sie nach ihren Aufnahmedaten und entfernt eingebettete Metadaten.

Verfügbarkeit und Belastbarkeit

• Kladde meldet über zwei Statusadressen, ob die Anwendung läuft und ob die Datenbank mit dem erwarteten Stand erreichbar ist.
• Tägliche Sicherung der vollständigen Datenbank. Der Server verschlüsselt sie mit AES-256, bevor sie ihn verlässt, an einen öffentlichen Schlüssel, dessen privaten Teil nur die beiden Geschäftsführer außerhalb des Servers verwahren; eine Datei im Klartext entsteht dabei nicht, und entschlüsseln kann der Server sie nicht. Ablage in einem eigenen Eimer im Objektspeicher (Abschnitt 2) in Berlin: 90 Tage für niemanden löschbar (Object Lock im Modus COMPLIANCE); nach 95 Tagen löscht der Objektspeicher sie selbsttätig. Als gelungen gilt eine Sicherung erst, wenn der Objektspeicher sie in voller Größe und mit dieser Sperre bestätigt hat. Danach löscht der Server alle älteren Sicherungen und behält nur diese, ebenso verschlüsselt; scheitert die Ablage, bleibt die neue Sicherung bis zur nächsten gelungenen zusätzlich auf dem Server. Im Objektspeicher löscht das Sicherungsskript nichts. Die Sicherung umfasst auch die Daten, die nicht feldweise verschlüsselt sind. Eine Zweitkopie des Schlüssels der feldweisen Verschlüsselung verwahren die beiden Geschäftsführer außerhalb des Servers.
• Archiv der Belege: Wenige Minuten nach dem Festschreiben legt Kladde jeden Beleg ein zweites Mal außerhalb der Datenbank ab, als Paket aus PDF, XRechnung, Dokument und einem Verzeichnis der Teile mit ihren Prüfsummen, in einem eigenen Eimer im Objektspeicher (Abschnitt 2) in Berlin, je Umgebung getrennt. Kladde verschlüsselt das Paket, bevor es den Server verlässt (AES-256-GCM, mit einem Schlüssel, der aus dem Schlüssel der feldweisen Verschlüsselung abgeleitet ist), und sperrt jedes Objekt bis zum 1. Januar des neunten Jahres nach dem Ausstellungsjahr, also bis zum Ende der acht Jahre nach dem Schluss des Ausstellungsjahres (Object Lock im Modus GOVERNANCE). Der Zugang, mit dem Kladde dort ablegt, hat beim Anbieter technisch alle Rechte an den Eimern des Objektspeicher-Vertrags, in dem das Archiv liegt, auch das Aufheben der Sperre, weil der Anbieter für diesen Speicher keine engeren Zugänge vorsieht. Kladde selbst löscht und verändert dort nichts und hebt keine Sperre auf; die Anwendung hat dafür keine Funktion. Lädt Kladde unter einem belegten Namen erneut hoch, bleibt die erste Fassung gesperrt erhalten. Ohne ausdrückliches Aufheben der Sperre lehnt der Objektspeicher das Löschen einer gesperrten Fassung ab. Gegen Verlust schützt zusätzlich die tägliche Sicherung nach dem vorigen Punkt. Anders als die Sicherung lässt sich das Archiv mit dem Schlüssel der feldweisen Verschlüsselung lesen, den die Anwendung hat; ein Objekt liest KYTH nur von Hand in den Fällen nach Abschnitt 3. Vorzeitig entfernen Objekte nur die beiden Geschäftsführer gemeinsam, unter Aufhebung der Sperre, und nur bei einer Ablage am falschen Ort, etwa von Testdaten, zur Löschung nach Abschnitt 11 oder auf behördliche oder gerichtliche Anordnung; jedes Entfernen zeichnet KYTH auf (Absatz „Integrität“). Angebote, Auftragsbestätigungen und Mahnschreiben legt Kladde nicht im Archiv ab.
• Tägliche Prüfung auf dem Server, mit Hinweis an die Geschäftsführer bei jedem Befund: ob in den letzten 26 Stunden eine Sicherung gelungen ist, ob Sperre und Löschregel des Objektspeichers stimmen und keine Sicherung länger als 99 Tage dort liegt, ob der verschlüsselte Datenträger eingehängt ist, ob ein Neustart des Servers aussteht und ob der Platz knapp wird. Einmal in der Woche geht eine Testmeldung hinaus. Von außerhalb des Servers prüft KYTH regelmäßig, ob Kladde und seine Datenbank antworten, und erhält bei einem Ausfall einen Hinweis.
• Probe der Wiederherstellung mindestens halbjährlich, einmal im Jahr mit einer Sicherung, die älter als eine Woche ist, jeweils mit Protokoll. Ein Geschäftsführer entschlüsselt die Sicherung dafür auf seinem Rechner, ohne sie dort unverschlüsselt zu speichern, und spielt sie über eine verschlüsselte Verbindung in eine Wegwerf-Datenbank auf dem Server ein. Diese hat keine Verbindung nach außen, hält ihre Daten nur im Arbeitsspeicher und wird nach der Probe gelöscht; bleibt sie stehen, meldet das die tägliche Prüfung. Bestanden ist die Probe erst, wenn Schema, Zeilenschutz und Rechte der Datenbankrollen stimmen und sich mit der Zweitkopie des Schlüssels der feldweisen Verschlüsselung ein Feld entschlüsseln und ein Konto finden lässt.
• Für einen Wiederanlauf sichert KYTH zuerst den Stand der Datenbank vor dem Einspielen, soweit er sich lesen lässt, verschlüsselt in einem eigenen Ordner auf dem Server, und löscht ihn mit der ersten gelungenen Sicherung nach dem Start. Dann spielt KYTH die Sicherung mit dem Verwaltungskonto der Datenbankinstanz ein und gibt die Tabellen danach der Rolle zurück, der sie gehören. Vor dem Start der Anwendung löscht KYTH von Hand alle Sitzungen, auch die der Betreiber und der Support-Ansicht, und alle offenen Einladungs- und Rücksetzlinks, beendet laufende Freigaben des Support-Zugangs und gibt die Mails mit Belegen, Angeboten, Auftragsbestätigungen und Mahnschreiben auf, die zum Zeitpunkt der Sicherung auf den Versand warteten, damit keine ein zweites Mal hinausgeht. Soweit der Stand vor dem Einspielen lesbar ist, schreibt KYTH die Zeilen seit dem Zeitpunkt der Sicherung zurück: in das Protokoll von KYTH alle, in die Protokolle der Mandanten die Zeilen zu Handlungen von KYTH, jeweils nur anhängend und mit ihrem ursprünglichen Zeitpunkt (Abschnitt 4). Ebenso hebt KYTH die Nummernkreise jedes Mandanten auf diesen Stand und hinter die höchste Nummer im Archiv der Belege, wo das höher ist, ohne einen Wert zu senken; jede Anhebung steht im Protokoll des Mandanten. Belege, Zahlungen, Kunden und Entwürfe seit dem Zeitpunkt der Sicherung schreibt KYTH nicht zurück; die Belege bleiben im Archiv lesbar. Dann wiederholt KYTH die Löschungen, die KYTH seit dem Zeitpunkt der Sicherung von Hand vorgenommen hat. Bis KYTH danach im Betreiberbereich nachgeholt hat, was KYTH seit dem Zeitpunkt der Sicherung getan hat, soweit KYTH es kennt (Sperren von Konten und Mandanten, ausgelöstes Zurücksetzen, angelegte Mandanten und Zugänge, eingetragene oder aufgehobene Weiterarbeit), ist Kladde nur für den Betreiberbereich und die Rechtstexte erreichbar und sendet nichts selbsttätig für Wiederholungen. In dieser Zeit gleicht KYTH die Termine, die Kladde danach selbsttätig senden würde, mit den Terminen und Versandnachweisen im Stand vor dem Einspielen ab und vermerkt jeden Termin, der dort schon gesendet ist, ohne lesbaren Stand jeden dieser Termine, als gesendet, ohne die Rechnung zurückzuschreiben, damit keine Rechnung ein zweites Mal mit neuer Nummer hinausgeht; ältere offene Termine davor legt KYTH dabei als Entwürfe an, wie Kladde es getan hätte. Danach informiert KYTH alle Inhaber mit aktiver Mitgliedschaft über den Zeitpunkt der Sicherung und ihre Folgen (Nutzungsvertrag, Abschnitt 8).

Datensparsamkeit und Betrieb

• Kein Tracking und keine Inhalte fremder Server: Schriften, Skripte und Stile kommen vom eigenen Server, die Content Security Policy lässt keine fremden Quellen zu. Kladde selbst öffnet außer zur Datenbank, zum Mailserver der Systemmails, zum Mailserver, den der Kunde für den Versand seiner Belege eintragen kann, zum Anmeldedienst und zur Schnittstelle von Microsoft (login.microsoftonline.com und graph.microsoft.com), wenn der Kunde ein Postfach bei Microsoft 365 verbindet oder verbunden hat, zum Objektspeicher des Archivs der Belege und zur eigenen Fehlererfassung von KYTH keine Verbindung nach außen; die Namen dieser Server fragt es beim Namensdienst des Servers ab, ohne weitere Daten des Kunden.
• Eine CSV-Datei mit Kunden, auch eine Datei mit Debitoren aus DATEV, liest Kladde nur im Arbeitsspeicher und speichert sie nicht; gespeichert werden die angelegten Kunden und im Protokoll die Zahl der Zeilen. Aus einer Datei aus DATEV übernimmt Kladde nur Debitoren und von ihnen keine Bankverbindungen.
• Eine Mail mit einem Beleg, einem Angebot, einer Auftragsbestätigung oder einem Mahnschreiben trägt außer Absender, Antwortadresse, Empfängern, Betreff, Text und PDF (bei einem Mahnschreiben dessen PDF und die der Rechnung, bei einer E-Rechnung mit den eingebetteten Rechnungsdaten) nur die üblichen Kopfzeilen, ohne Kennung des Mandanten. Beim Versand über einen Mailserver nennt Kladde in der Kennung der Mail und bei der Anmeldung den Namen seines Servers; Empfänger können daran sehen, dass die Mail über Kladde gesendet wurde. Je Mandant und Tag führt Kladde höchstens 200 Versände aus, Belege, Angebote, Auftragsbestätigungen und Mahnschreiben zusammen. Die Testmail läuft nicht über den Postausgang und hinterlässt keinen Versandnachweis.
• Kein Zugriffsprotokoll, weder in Kladde noch im vorgelagerten Proxy.
• Kladde schreibt in sein Betriebsprotokoll Art und Ort von Fehlern (Art der Ausnahme, Vorlage der Route), Namen von Läufen und Schritten, Kennungen interner Datensätze (etwa einer Mail im Postausgang oder eines Betreiberkontos) und Meldungen der Hintergrundläufe. Die Kennung eines Mandanten schreibt Kladde nicht hinein. Kladdes eigener Code schreibt nie Passwörter, Token, Links, Adressen oder Mailtexte hinein; von Microsoft schreibt er nur dessen Fehlerkennung hinein, nie Code, Prüfwert, Zustand oder Antworten im Wortlaut. Hinzu kommen Meldungen verwendeter Bibliotheken ab der Stufe Warnung und vom Anwendungsserver nur Meldungen zu Start, Ende und Arbeitsprozessen sowie ab der Stufe Warnung; den Wortlaut dieser fremden Meldungen legt nicht Kladde fest. Die Datenbank schreibt bei einem Fehler weder den Befehl noch die betroffene Zeile in ihr Protokoll. Ein Lauf auf dem Server löscht stündlich jeden Eintrag beider Protokolle, der älter als 14 Tage ist.
• Unerwartete Fehler meldet Kladde über eine verschlüsselte Verbindung an die eigene Fehlererfassung von KYTH (GlitchTip) auf einem weiteren Server von KYTH bei der IONOS SE in Berlin. Eine Meldung enthält Art und Programmstelle des Fehlers ohne den Text der Fehlermeldung und ohne Werte aus dem laufenden Programm, die Vorlage der aufgerufenen Funktion, Zeitpunkt und Fassung von Kladde und von der Anfrage nur Methode, Browserkennung, Inhaltstyp und Länge; Formularinhalte, Parameter der Adresse, Cookies und Angaben zur angemeldeten Person enthält sie nicht. Löschung nach 90 Tagen.
• Mails im Postausgang verschlüsselt; Kladde leert Empfänger und Text spätestens 7 Tage nach dem Anlegen und löscht die übrige Zeile nach 90 Tagen.

Überprüfung

• Automatische Tests, darunter Prüfungen der Mandantentrennung, der Kontotrennung, der Rechte jeder Datenbankrolle und der Sicherheitsköpfe. KYTH lässt sie vor jeder Auslieferung laufen.
• Bei jedem Start prüft Kladde Eigenschaften und Rechte seiner drei Datenbankrollen gegen die Vorgabe und startet bei einer Abweichung nicht.
• KYTH sieht Kladde vor der ersten Auslieferung und bei wesentlichen Änderungen auf Sicherheit durch.
• KYTH überprüft diese Maßnahmen mindestens einmal im Jahr und bei jeder wesentlichen Änderung des Betriebs.

KYTH darf Maßnahmen durch gleichwertige oder bessere ersetzen, trägt die geänderte Beschreibung dieses Abschnitts dann nach Abschnitt 13 des Nutzungsvertrags ohne Vorlage ein und teilt sie den Inhabern von Hand per Mail mit. Eine Änderung, die das Schutzniveau senkt, nimmt KYTH nicht vor.

9. Unterstützung des Kunden

Rechte betroffener Personen. Für Anträge betroffener Personen nach Kapitel III DSGVO (Art. 12 bis 23) gibt Kladde dem Kunden diese Mittel: Inhaber sehen die Mitgliedschaften mit Name, Funktion, E-Mail-Adresse, Rolle und Status, das Protokoll (Abschnitt 4) sowie Firmenprofil und Rechnungsköpfe mit allen Fassungen; sie sperren Mitgliedschaften und legen für Firmenprofil und Rechnungsköpfe neue Fassungen an. Was der Kunde mit diesen Mitteln nicht erfüllen kann, erledigt KYTH auf seine Weisung von Hand: KYTH stellt ihm eine Kopie der Daten in einem strukturierten, gängigen und maschinenlesbaren Format bereit, binnen fünf Arbeitstagen, berichtigt oder löscht Daten und schränkt ihre Verarbeitung ein. Erreicht ein solcher Antrag KYTH, leitet KYTH ihn unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst, außer auf Weisung.

Sicherheit, Folgenabschätzung, Konsultation. KYTH unterstützt den Kunden bei seinen Pflichten nach Art. 32 bis 36 DSGVO mit den Informationen, die KYTH dazu hat.

Für diese Unterstützung berechnet KYTH nichts.

10. Verletzungen des Schutzes personenbezogener Daten

Stellt KYTH eine Verletzung des Schutzes personenbezogener Daten des Kunden fest, meldet KYTH sie dem Kunden unverzüglich in Textform, von Hand per Mail an seine Inhaber (Abschnitt 13), mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen; was noch fehlt, reicht KYTH nach. KYTH ergreift die nötigen Maßnahmen, um die Daten zu sichern und Folgen zu mindern, unterstützt den Kunden bei seiner Meldung an die Aufsichtsbehörde und der Benachrichtigung betroffener Personen und dokumentiert die Verletzung. Selbst meldet KYTH für Daten des Kunden nichts an Behörden oder Betroffene, außer auf Weisung.

11. Löschung und Rückgabe

Während des Vertrags löscht Kladde selbsttätig nur: Sitzungen nach ihrem Ablauf oder nach 7 Tagen ohne Nutzung, Einladungslinks 30 Tage nach Ablauf, Einlösung oder Entwertung, im Postausgang Empfänger und Text spätestens 7 Tage, die übrige Zeile 90 Tage nach dem Anlegen, begonnene Anmeldungen bei Microsoft beim Einlösen oder bei der nächsten Anmeldung des Mandanten, sonst im täglichen Lauf, sobald sie älter als eine Stunde sind, und Token und Adresse einer Verbindung zu Microsoft, die Microsoft ablehnt (Abschnitt 2). Sofort löscht Kladde Sitzungen bei der Abmeldung, beim Wechsel in einen anderen Mandanten (die bisherige), wenn eine Person ihre Sitzungen beendet oder ihr Passwort ändert (alle übrigen) oder es über einen Link neu setzt (alle), und bei der Sperre einer Mitgliedschaft, eines Kontos oder des Mandanten. Eine Support-Sitzung löscht Kladde außerdem sofort, wenn KYTH die Ansicht ausdrücklich beendet oder eine andere öffnet, wenn sich der Betreiber abmeldet und wenn sein Betreiberkonto gesperrt wird, ein neues Passwort bekommt oder seine zweite Stufe zurückgesetzt wird; nach einem Widerruf der Freigabe löscht Kladde sie bei der nächsten Anfrage aus ihr. Die Fristen für das Protokoll (Abschnitt 4) setzt KYTH von Hand um.

In Kladde kann der Kunde nur Sitzungen, Entwürfe und die Zuordnung eines Nummernkreises zu einem Rechnungskopf löschen, den Zugang zu seinem Mailserver entfernen und die Verbindung zu Microsoft trennen. Gespeicherte Positionen markiert er nur als gelöscht, Wiederholungen beendet er nur. Firmenprofil und Rechnungsköpfe mit allen Fassungen, Logos, Kunden, Nummernkreise, gespeicherte Positionen, auch als gelöscht markierte, festgeschriebene Belege mit ihrer PDF, ihrer XRechnung und ihren Versandnachweisen, Angebote, Auftragsbestätigungen und Mahnschreiben mit ihrer PDF und ihren Versandnachweisen, die Bezüge der Rechnungen auf Angebote und Auftragsbestätigungen, Zahlungen, die Bezüge der Schlussrechnungen, Wiederholungen mit ihren Terminen, die Einstellungen für DATEV und für Mahnungen, die Exporte für DATEV mit ihren Dateien und Zuordnungen, das Archiv der Belege, Mitgliedschaften, Support-Freigaben und das Protokoll bleiben gespeichert; Rechnungsköpfe, Kunden und Nummernkreise lassen sich archivieren und wiederherstellen. Ein Beleg lässt sich nur durch eine Rechnungskorrektur berichtigen, eine Zahlung nur durch ihre Rücknahme. Name, Funktion und Einladungsadresse einer Mitgliedschaft lassen sich nicht ändern. Steht das einem Antrag nach Art. 16 oder 17 DSGVO entgegen, berichtigt oder löscht KYTH die Daten auf Weisung des Kunden von Hand (Abschnitt 9); löscht KYTH so einen festgeschriebenen Beleg, entfernen die beiden Geschäftsführer auch sein Objekt im Archiv (Abschnitt 8). Ob einer Löschung eine Pflicht des Kunden zur Aufbewahrung entgegensteht (Art. 17 Abs. 3 lit. b DSGVO, etwa § 147 AO und § 14b UStG), entscheidet der Kunde.

Nach dem Ende der Kündigungsfrist stellt KYTH dem Kunden im Übergangszeitraum und im Abrufzeitraum nach Abschnitt 10 des Nutzungsvertrags auf Anfrage von Hand eine Kopie seiner Daten bereit, binnen fünf Arbeitstagen. Daneben laden Inhaber die Kopie im Übergangszeitraum und, solange KYTH den Abruf geöffnet hat, im Abrufzeitraum selbst herunter (Abschnitt 8). Nach Ablauf des Abrufzeitraums löscht KYTH die Daten des Mandanten von Hand, binnen 30 Tagen, einschließlich der Arbeitskopien auf dem Server und der Kopien, die bei KYTH für die Übergabe entstanden sind (Abschnitt 8); verlangt der Kunde in Textform eine frühere Löschung, löscht KYTH früher. Mit diesen Daten entfernen die beiden Geschäftsführer gemeinsam die Objekte des Mandanten im Archiv der Belege, unter Aufhebung ihrer Sperre (Abschnitt 8); hat der Kunde eine Kopie verlangt, erst nachdem KYTH sie ihm vollständig mit allen PDF übergeben hat. Über das Vertragsende hinaus hält KYTH keine Daten für den Kunden, auch nicht im Archiv. Festgeschriebene Belege, Angebote, Auftragsbestätigungen, Mahnschreiben und Zahlungen bleiben bis zu dieser Löschung gespeichert; seine Aufbewahrung sichert der Kunde über die Kopie mit allen PDF (Nutzungsvertrag, Abschnitte 7 und 10). Mit der Löschung geht der Grundeintrag des Mandanten (Name, Kennung, Status, Fassung der Zustimmung und Zeitpunkte) in die Verantwortung von KYTH über, weil der Zustimmungsnachweis auf ihn verweist; KYTH bewahrt ihn nur zusammen mit dem Nachweis auf und löscht ihn mit ihm (Nutzungsvertrag, Abschnitt 5). In den Sicherungen bleiben die Daten bis zum Ablauf ihrer Frist von 95 Tagen; bis dahin verwendet KYTH sie nur zur Wiederherstellung nach einer Störung und zur Probe der Wiederherstellung nach Abschnitt 8. Muss KYTH Kladde in dieser Zeit aus einer Sicherung wiederherstellen, löscht KYTH die Daten danach erneut von Hand. Eine Pflicht von KYTH, Daten des Kunden länger aufzubewahren (Art. 28 Abs. 3 lit. g DSGVO), besteht nicht. Auf Anfrage bestätigt KYTH die Löschung in Textform.

12. Nachweise und Kontrollen

KYTH stellt dem Kunden auf Anfrage alle Informationen bereit, die er braucht, um die Einhaltung dieses Vertrags nachzuweisen. Der Kunde oder ein von ihm beauftragter Prüfer, der zur Verschwiegenheit verpflichtet ist und nicht im Wettbewerb mit KYTH steht, kann die Einhaltung überprüfen, auch vor Ort (Art. 28 Abs. 3 lit. h DSGVO). Eine Prüfung vor Ort kündigt der Kunde mindestens 14 Tage vorher in Textform an; sie findet zu üblichen Geschäftszeiten statt, ohne den Betrieb mehr als nötig zu stören und ohne Einblick in Daten anderer Kunden. Rechenzentren der weiteren Auftragsverarbeiter prüft der Kunde über deren Nachweise, die KYTH ihm auf Anfrage vorlegt. Prüfungen der Aufsichtsbehörde duldet KYTH.

13. Pflichten des Kunden

• Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die Daten seiner Benutzer und der Personen, deren Angaben er in Kladde erfasst, dort verarbeiten darf, und für deren Information nach Art. 13 und 14 DSGVO. Die Einladungsmail, die Kladde anlegt, enthält die Adresse der Datenschutzerklärung von KYTH (Abschnitt 2, dort auch zum Versand); die Information über seine eigene Verarbeitung gibt der Kunde selbst. Das gilt auch für seine Kunden und für Interessenten, denen er ein Angebot schreibt: Über die Verarbeitung ihrer Daten in Kladde informiert der Kunde sie selbst und nennt KYTH dabei, soweit er Empfänger angibt, als seinen Auftragsverarbeiter.
• Sendet er Belege, Angebote, Auftragsbestätigungen oder Mahnschreiben per Mail, auch selbsttätig über eine Wiederholung, sorgt er dafür, dass die Adressen stimmen und er die Empfänger so anschreiben darf; was Kladde selbsttätig sendet, verantwortet er wie einen Versand von Hand. Mit dem Anbieter seines Mailservers oder, bei einem verbundenen Postfach, mit Microsoft schließt er selbst die nötigen Verträge, auch über die Verarbeitung im Auftrag, und prüft, ob eine Übermittlung in ein Drittland zulässig ist (Abschnitt 2). Eine Freigabe für Kladde bei Microsoft widerruft er dort selbst; Trennen in Kladde löscht nur die Verbindung in Kladde.
• Er vergibt Rollen und Zugänge mit Bedacht und sperrt Mitgliedschaften von Personen, die nicht mehr für ihn arbeiten. Kladde legt die Hinweise nach Abschnitt 2 für jede Mitgliedschaft mit der Rolle Inhaber an, deren Einladung angenommen ist, auch wenn sie gesperrt ist. Soll das für eine gesperrte Mitgliedschaft enden, weist der Kunde KYTH an, ihre Rolle von Hand zu ändern (Abschnitte 6 und 9).
• Er hält mindestens einen Inhaber mit gültiger E-Mail-Adresse bereit. Weil sich Name, Funktion und Adresse an einer Mitgliedschaft in Kladde nicht ändern lassen, lädt er einen Inhaber, dessen Adresse sich ändert, mit der neuen Adresse neu ein und sperrt die alte Mitgliedschaft; ändern sich nur Name oder Funktion, berichtigt KYTH sie auf Weisung von Hand (Abschnitt 9). Meldungen nach diesem Vertrag und Mitteilungen nach dem Nutzungsvertrag an den Kunden richtet KYTH von Hand an die Einladungsadressen der Inhaber mit aktiver Mitgliedschaft, soweit der Nutzungsvertrag nichts anderes bestimmt.
• Er teilt KYTH unverzüglich mit, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

14. Haftung und Schlussbestimmungen

Für die Haftung gilt Abschnitt 12 des Nutzungsvertrags; die Haftung nach Art. 82 DSGVO gegenüber betroffenen Personen bleibt unberührt. Bei Widersprüchen geht dieser Vertrag dem Nutzungsvertrag vor, soweit es um die Verarbeitung im Auftrag geht. Änderungen, Laufzeit, anwendbares Recht und Gerichtsstand richten sich nach dem Nutzungsvertrag. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.