Zum Inhalt springen

DUNLIO / AGB

Allgemeine Geschäftsbedingungen

Fassung vom 21. Oktober 2026 · Auch verfügbar auf English, Français

Dies ist eine Übersetzung. Maßgeblich ist die englische Fassung.

Diese Allgemeinen Geschäftsbedingungen (AGB) regeln die Nutzung von Dunlio (dunlio.com), einem Online-Dienst, mit dem Sie Rechnungen erstellen und Rechnungen sowie Zahlungserinnerungen an Ihre Kunden senden. Anbieter ist GRIIKEN, Handelsname von Ujjwal Solanki EI (entrepreneur individuel), eingetragen in Frankreich unter SIREN 991 497 173 („wir“, „uns“). Kontakt: contact@griiken.com. Alle Angaben stehen im Impressum. Anlage 1, der Auftragsverarbeitungsvertrag (AVV), ist Teil dieser AGB.

1. Geltungsbereich und Annahme

Diese AGB gelten für jedes Dunlio-Konto und für alle Tarife, ob kostenlos oder kostenpflichtig. Sie nehmen sie an, wenn Sie bei der Registrierung das Kästchen im Formular anklicken oder wenn Dunlio Sie bittet, einer neuen Fassung zuzustimmen. Wir speichern die Fassung, Datum und Uhrzeit sowie die Art der Zustimmung. Diese elektronischen Aufzeichnungen dienen als Nachweis des Vertrags (Art. 1366 des französischen Code civil).

Ihre eigenen Geschäfts- oder Einkaufsbedingungen gelten nicht, auch wenn Sie auf sie verweisen.

2. Nur für Unternehmer

Dunlio richtet sich ausschließlich an Unternehmer: Freiberufler, Einzelunternehmer, Gesellschaften, Vereine und andere Organisationen, die Dunlio für ihre gewerbliche oder selbständige berufliche Tätigkeit nutzen. Verbraucher sind ausgeschlossen. Mit der Annahme dieser AGB bestätigen Sie, dass Sie als Unternehmer handeln. Nehmen Sie sie für eine Organisation an, bestätigen Sie, dass Sie diese vertreten dürfen; „Sie“ meint dann diese Organisation.

3. Leistungen

Mit Dunlio erstellen und verwalten Sie Rechnungen und Kunden, erzeugen Rechnungs-PDFs, versenden Rechnungen und Zahlungserinnerungen per E-Mail, planen automatische und wiederkehrende Erinnerungen, lassen Rechnungsentwürfe aus einem Satz erstellen („Rechnung beschreiben“) und sehen Auswertungen. Die aktuellen Funktionen und Tarifgrenzen stehen in der App und auf der Preisseite.

Wir entwickeln Dunlio laufend weiter und können Funktionen ändern, ergänzen oder entfernen. Eine Kernfunktion eines bezahlten Tarifs entfernen wir während eines bereits bezahlten Zeitraums nicht ohne vorherige Mitteilung und erstatten, wenn die Änderung für Sie ein wesentlicher Nachteil ist, den nicht genutzten Teil dieses Zeitraums.

Dunlio:

  • zieht keine Zahlungen für Sie ein und verbindet sich nicht mit Ihrer Bank (ein optionaler Zahlungslink öffnet einen Dienst Ihrer Wahl);
  • leistet keine Rechts-, Steuer- oder Buchhaltungsberatung: Vorlagen, Ratgeber, Verzugszinsberechnungen und Formulierungsvorschläge sind allgemeine Informationen, die Sie für Ihren Fall prüfen müssen;
  • ist keine zertifizierte E-Rechnungs-Plattform (etwa eine französische „plateforme agréée“) und kein Archivsystem, das gesetzliche Aufbewahrungspflichten (z. B. GoBD) erfüllt. Bewahren Sie Ihre Rechnungen selbst so lange auf, wie es das Gesetz verlangt.

4. Ihr Konto

Machen Sie zutreffende Angaben, bestätigen Sie Ihre E-Mail-Adresse und halten Sie sie aktuell. Halten Sie Ihr Passwort geheim und geben Sie Ihre Anmeldung nicht weiter. Sie sind für alles verantwortlich, was über Ihr Konto geschieht. Teilen Sie uns unter contact@griiken.com sofort mit, wenn Sie vermuten, dass jemand anderes Ihr Konto genutzt hat.

Sie dürfen nicht mehrere Konten eröffnen, um Grenzen, eine Zurückhaltung oder eine Sperre zu umgehen.

5. Tarife, Preise und Zahlung

Der Free-Tarif ist kostenlos. Bezahlte Tarife sind Monatsabonnements zu den Preisen, die beim Abschluss in der App angezeigt werden. Sie werden im Voraus per Karte über unseren Zahlungsdienstleister Stripe bezahlt und verlängern sich monatlich, bis Sie kündigen. Die Rechnung zu jeder Zahlung steht im Abrechnungsportal bereit.

Wir sind nicht umsatzsteuerlich registriert: Es wird keine Umsatzsteuer berechnet („TVA non applicable, art. 293 B du CGI“, französische Kleinunternehmerregelung). Werden wir umsatzsteuerpflichtig, teilen wir Ihnen das vorher mit und schlagen die Umsatzsteuer ab diesem Zeitpunkt wie gesetzlich vorgeschrieben auf. Andere Steuern, die Sie betreffen, etwa Quellensteuern, tragen Sie.

Schlägt eine Zahlung fehl, versucht Stripe es erneut. Kann sie weiterhin nicht eingezogen werden, können wir Ihr Konto nach Mitteilung per E-Mail auf den Free-Tarif umstellen; Ihre Daten bleiben erhalten. Nicht fristgerecht gezahlte Beträge sind mit Verzugszinsen in Höhe des Dreifachen des französischen gesetzlichen Zinssatzes zu verzinsen; zusätzlich ist eine Pauschale von 40 € für Beitreibungskosten fällig (Art. L441-10 und D441-5 des französischen Code de commerce). Für vorzeitige Zahlung wird kein Skonto gewährt.

Wir können die Preise ändern. Wir teilen Ihnen das mindestens 30 Tage vorher per E-Mail mit; der neue Preis gilt ab dem ersten Abrechnungszeitraum, der nach dieser Mitteilung beginnt. Wenn Sie nicht einverstanden sind, kündigen Sie vorher.

6. Tarif wechseln oder kündigen

Sie können Ihren Tarif jederzeit im Abrechnungsportal ändern oder kündigen (Tarife → Abrechnung verwalten). Eine Kündigung wird zum Ende des bereits bezahlten Zeitraums wirksam; bis dahin behalten Sie die bezahlten Funktionen. Bereits bezahlte Zeiträume werden nicht erstattet, außer das Gesetz oder diese AGB sehen es vor. Ein Upgrade gilt sofort; Stripe berechnet die Preisdifferenz für den laufenden Zeitraum.

Nach einem Downgrade gelten die Funktionen und Grenzen des neuen Tarifs. Ihre Rechnungen, Kunden und Vorlagen bleiben erhalten.

7. E-Mails an Ihre Kunden und ihre Prüfung

E-Mails an Ihre Kunden werden in Ihrem Namen von der Versandadresse von Dunlio gesendet, zeigen Ihren Firmennamen und leiten Antworten an die E-Mail-Adresse Ihres Kontos. Sie sind Absender dieser E-Mails und für sie verantwortlich. Bevor Sie Kunden anschreiben können, muss Ihr Konto für den Versand freigegeben sein; wir können begrenzen, wie viele E-Mails oder Empfänger ein Konto erreichen kann.

Sie dürfen nur Ihre eigenen Kunden zu echten Rechnungen und tatsächlich geschuldeten Beträgen anschreiben, mit einer Rechtsgrundlage für die Kontaktaufnahme und im Einklang mit den Vorschriften zu Rechnungen, Forderungseinzug, Datenschutz und unerwünschter E-Mail.

Zum Schutz der Empfänger und der gemeinsamen Versandadresse wird jede E-Mail automatisch auf Betrug und Missbrauch geprüft, bevor sie versendet wird, bei etablierten Konten unmittelbar danach. Die Prüfung verbindet Regeln (etwa zu verwechselbaren Markennamen und Link-Kürzern) mit Angaben zur bisherigen Nutzung des Kontos und, bei den meisten E-Mails, einer KI-Prüfung. Eine E-Mail mit Anzeichen von Betrug wird zurückgehalten und nicht gesendet. Sind die Anzeichen stark, wird der Versand für das ganze Konto pausiert. Sie erhalten per E-Mail und in der App eine Fallnummer und können eine zurückgehaltene E-Mail selbst abbrechen. Über zurückgehaltene E-Mails und pausierte Konten entscheidet abschließend ein Mensch.

Wir dürfen eine E-Mail nicht versenden, wenn wir begründet annehmen, dass sie rechtswidrig oder betrügerisch ist oder gegen diese AGB verstößt.

8. Zulässige Nutzung

Sie dürfen Dunlio nicht nutzen, um:

  • Phishing zu versenden oder durch Täuschung Passwörter, Kartendaten, Bankdaten oder Zahlungen zu erlangen;
  • sich als ein anderes Unternehmen, eine Marke, ein Marktplatz, eine Bank, eine Behörde oder eine Person auszugeben, auch durch verwechselbare Namen, Logos oder Webadressen;
  • Scheinrechnungen zu stellen oder Geld zu fordern, das nicht oder nicht Ihnen geschuldet ist;
  • irreführende Links, Links mit verborgenem Ziel (etwa Link-Kürzer) oder Schadsoftware einzufügen;
  • Werbung, Newsletter oder andere unerwünschte E-Mails zu senden: Dunlio ist nur für Rechnungen und Erinnerungen bestimmt;
  • Menschen zu belästigen, zu bedrohen oder unrechtmäßig unter Druck zu setzen oder verbotene Inkassopraktiken anzuwenden;
  • rechtswidrige Inhalte oder Inhalte zu veröffentlichen oder zu senden, die Rechte Dritter verletzen, einschließlich geistigen Eigentums und Persönlichkeitsrechten;
  • Grenzen, Zurückhaltungen, Sperren oder die Prüfung zu umgehen, etwa mit neuen Konten oder veränderten Formulierungen;
  • Dunlio ohne unsere schriftliche Erlaubnis zu testen, zu scannen, Lasttests auszuführen, zu kopieren, zurückzuentwickeln oder automatisiert abzurufen (Sicherheitslücken in gutem Glauben an contact@griiken.com zu melden, ist willkommen);
  • Dunlio ohne unsere schriftliche Erlaubnis an Dritte weiterzuverkaufen oder zu vermieten;
  • Dunlio zu nutzen, wenn Sie oder Ihre Organisation Sanktionen der EU oder Frankreichs unterliegen.

9. Zurückhaltung, Sperren und Widerspruch

Stellen wir einen Verstoß gegen Abschnitt 7 oder 8 fest oder vermuten ihn begründet, können wir je nach Schwere: eine E-Mail zurückhalten, Ihre Versandgrenzen senken, den Versand an Kunden pausieren, das Konto sperren oder den Vertrag beenden. Wir nutzen dafür die in Abschnitt 7 beschriebenen automatischen Prüfungen zusammen mit menschlicher Prüfung. Eine automatisch ausgelöste Pause zur Abwehr wahrscheinlichen Betrugs prüft so bald wie möglich ein Mensch.

Über jede Maßnahme informieren wir Sie per E-Mail und in der App mit Begründung: was wir getan haben, auf welche Tatsachen und Regeln wir uns stützen, ob automatisierte Mittel eingesetzt wurden und wie Sie widersprechen können. Einzelheiten können wir weglassen, wenn das Gesetz die Mitteilung verbietet oder sie helfen würde, die Betrugsabwehr zu umgehen.

Um einer Entscheidung zu widersprechen, schreiben Sie an contact@griiken.com und nennen Sie die Fallnummer. Die Prüfung übernimmt nach Möglichkeit eine Person, die die erste Entscheidung nicht getroffen hat; wir antworten in angemessener Frist. Ihr Recht, ein Gericht anzurufen, bleibt unberührt.

Verstößt ein Konto wiederholt oder schwer gegen diese AGB, beenden wir den Vertrag. Soweit das Gesetz es verlangt oder erlaubt, melden wir mutmaßliche Straftaten den Behörden und können Empfänger einer betrügerischen E-Mail warnen.

10. Missbrauch und rechtswidrige Inhalte melden

Jeder, auch wer eine über Dunlio versandte E-Mail erhalten hat, kann Betrug, Missbrauch oder Inhalte melden, die er für rechtswidrig hält. Schreiben Sie an contact@griiken.com mit dem Betreff „Abuse report“ und nennen Sie möglichst: warum Sie den Inhalt für rechtswidrig oder missbräuchlich halten; die E-Mail selbst oder Absender, Datum und Rechnungsnummer; Ihren Namen und Ihre E-Mail-Adresse; sowie die Erklärung, dass Ihre Meldung nach bestem Wissen richtig und vollständig ist. Betrifft die Meldung Darstellungen sexuellen Kindesmissbrauchs, müssen Sie Ihren Namen nicht angeben.

Wir bestätigen den Eingang, prüfen jede Meldung sorgfältig und ohne unnötige Verzögerung und teilen Ihnen unsere Entscheidung mit. Mehr auf der Hilfeseite.

Zentrale Kontaktstelle für Nutzer und Behörden nach dem EU-Gesetz über digitale Dienste (Art. 11 und 12 DSA): contact@griiken.com, auf Englisch, Französisch oder Deutsch.

11. Ihre Inhalte und personenbezogene Daten

Alle Rechte an den Inhalten, die Sie in Dunlio eingeben, bleiben bei Ihnen: Rechnungen, Kunden, Produkte, Vorlagen, Logo und Nachrichten. Sie räumen uns ein einfaches, weltweites, unentgeltliches Recht ein, diese Inhalte zu speichern, zu vervielfältigen, zu verarbeiten, anzuzeigen und zu übermitteln, soweit es für die Bereitstellung, Sicherheit und den Support des Dienstes nötig ist. Wir verkaufen Ihre Inhalte nicht, nutzen sie nicht für Werbung und nicht zum Training von KI-Modellen. Sie sind für ihre Richtigkeit und Rechtmäßigkeit verantwortlich und dafür, dass Sie sie nutzen dürfen.

Verarbeiten wir personenbezogene Daten Ihrer Kunden und anderer Personen in Ihrem Auftrag, tun wir das als Ihr Auftragsverarbeiter nach dem Auftragsverarbeitungsvertrag in Anlage 1. Für Ihr Konto, die Abrechnung, Sicherheit, Missbrauchs- und Betrugsabwehr (einschließlich der E-Mail-Prüfung), Nutzungsstatistiken und unsere gesetzlichen Pflichten sind wir Verantwortlicher, wie auf der Seite Daten und Datenschutz beschrieben.

12. KI-Funktionen

„Rechnung beschreiben“ macht aus einem Satz mithilfe eines KI-Modells von Anthropic einen Rechnungsentwurf. Entwürfe können falsch oder unvollständig sein: Prüfen Sie sie, bevor Sie sie ausstellen. Sie bleiben für jede Rechnung und jede E-Mail verantwortlich, die Sie senden. Die KI wird auch in der Prüfung nach Abschnitt 7 eingesetzt. Eingaben werden nicht zum Training von KI-Modellen genutzt.

13. Verfügbarkeit und Support

Wir bemühen uns, Dunlio jederzeit verfügbar zu halten, garantieren aber keinen unterbrechungsfreien Betrieb. Wartung, Updates, Sicherheitsmaßnahmen und Ausfälle von Dienstleistern oder Netzen können zu Unterbrechungen führen; geplante Arbeiten legen wir nach Möglichkeit in ruhige Zeiten. Wir garantieren nicht, dass die E-Mail-Systeme der Empfänger jede E-Mail annehmen oder dass Kunden zahlen.

Support gibt es per E-Mail unter contact@griiken.com. Wir bemühen uns, innerhalb von zwei Werktagen zu antworten.

14. Unsere Rechte

Software, Gestaltung, Texte, Vorlagen und Marke von Dunlio gehören uns oder unseren Lizenzgebern. Solange Ihr Vertrag läuft, erhalten Sie ein einfaches, nicht übertragbares Recht, Dunlio nach diesen AGB für Ihr Unternehmen zu nutzen. Die Rechnungs- und E-Mail-Vorlagen dürfen Sie in den Dokumenten verwenden, die Sie mit Dunlio erstellen. Feedback und Ideen, die Sie uns senden, dürfen wir ohne Verpflichtung Ihnen gegenüber nutzen.

15. Haftung

Wir erbringen Dunlio mit angemessener Sorgfalt (Bemühenspflicht, „obligation de moyens“). Unbeschränkt haften wir bei Verletzung von Leben, Körper oder Gesundheit, bei Betrug, grober Fahrlässigkeit und Vorsatz sowie überall dort, wo das Gesetz keine Beschränkung zulässt.

Im Übrigen haften wir nicht für mittelbare Schäden wie entgangenen Gewinn, entgangene Umsätze, verlorene Kunden, entgangene Geschäftschancen oder Rufschäden. Unsere Gesamthaftung für alle Ansprüche, die in einem Zeitraum von 12 Monaten entstehen, ist auf den Betrag begrenzt, den Sie uns in den 12 Monaten vor dem schadensauslösenden Ereignis gezahlt haben, mindestens aber auf 100 €. Bei Datenverlust haften wir nur für den Aufwand der Wiederherstellung aus den auf der Seite Daten und Datenschutz beschriebenen Sicherungen.

Sie stellen uns von Ansprüchen Dritter und den angemessenen Kosten der Rechtsverteidigung frei, die aus Ihren Inhalten, den von Ihnen gesendeten E-Mails oder Ihrem Verstoß gegen Abschnitt 8 entstehen.

16. Laufzeit und Vertragsende

Der Vertrag beginnt mit der Erstellung Ihres Kontos und läuft, bis er beendet wird. Sie können ihn jederzeit beenden, indem Sie Ihr Konto unter Einstellungen → Konto und Sicherheit löschen; das Löschen kündigt auch einen bezahlten Tarif. Wir können ihn mit einer Frist von 30 Tagen per E-Mail beenden, oder sofort, wenn Sie schwer gegen diese AGB verstoßen (insbesondere Abschnitt 8), wenn das Gesetz es verlangt oder wenn Ihr Konto länger als 90 Tage unbestätigt bleibt.

Exportieren Sie Ihre Daten vor dem Ende (Einstellungen → Konto und Sicherheit → Meine Daten exportieren). Nach dem Ende löschen wir Ihre Daten wie auf der Seite Daten und Datenschutz beschrieben. Beenden wir den Vertrag mit Frist und ohne Ihr Verschulden, erstatten wir den nicht genutzten Teil eines bereits bezahlten Zeitraums.

17. Änderungen dieser AGB

Wir können diese AGB aus triftigen Gründen ändern, etwa wegen neuer Gesetze oder Rechtsprechung, neuer oder geänderter Funktionen, Sicherheit oder Missbrauchsabwehr. Wir informieren Sie mindestens 30 Tage vor dem Inkrafttreten per E-Mail und in der App und bitten Sie, der neuen Fassung zuzustimmen. Stimmen Sie nicht zu, können Sie den Vertrag vor dem Inkrafttreten beenden; ein bereits begonnener bezahlter Zeitraum wird dann anteilig erstattet. Gesetzlich vorgeschriebene oder zur Betrugsabwehr dringend nötige Änderungen können früher gelten.

18. Allgemeine Bestimmungen

Jede Partei behandelt nicht öffentliche Informationen der anderen vertraulich. Keine Partei haftet für Ausfälle aufgrund höherer Gewalt (Art. 1218 des französischen Code civil). Sie dürfen den Vertrag nicht ohne unsere Zustimmung übertragen; wir dürfen ihn nach Mitteilung an Sie auf einen Nachfolger des Unternehmens übertragen. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Wer ein Recht nicht durchsetzt, verzichtet damit nicht darauf. Mitteilungen erfolgen per E-Mail: an die E-Mail-Adresse Ihres Kontos und an uns unter contact@griiken.com.

Diese AGB sind auf Englisch verfasst. Die deutsche und die französische Fassung sind Übersetzungen; bei Abweichungen gilt die englische Fassung.

19. Anwendbares Recht und Gerichtsstand

Es gilt französisches Recht unter Ausschluss des UN-Kaufrechts. Vor einem Gerichtsverfahren versuchen die Parteien, einen Streit innerhalb von 30 Tagen per E-Mail beizulegen. Soweit gesetzlich zulässig, sind die Gerichte in Créteil (Frankreich) ausschließlich zuständig; wir können auch an Ihrem Sitz klagen.

Anlage 1

Anlage 1: Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Dieser Vertrag gilt immer dann, wenn wir bei der Bereitstellung von Dunlio personenbezogene Daten in Ihrem Auftrag verarbeiten. Er ist Teil der AGB und wird mit ihnen angenommen; nach Art. 28 Abs. 9 DSGVO genügt diese elektronische Form, eine gesonderte Unterschrift ist nicht nötig. Für Ihre Unterlagen können Sie diese Seite als PDF speichern oder eine Kopie unter contact@griiken.com anfordern.

1. Rollen

Sie sind Verantwortlicher (oder Auftragsverarbeiter für Ihren eigenen Kunden), wir sind Ihr Auftragsverarbeiter. Unsere eigene Verarbeitung als Verantwortlicher beschreibt Ziffer 6; sie fällt nicht unter diesen Vertrag.

2. Gegenstand, Art, Zweck und Dauer

Wir speichern und verarbeiten Ihre Arbeitsbereichsdaten, um Dunlio bereitzustellen: Kunden, Produkte und Rechnungen verwalten, PDFs erzeugen, Rechnungen und Erinnerungen per E-Mail senden, die Zustellung verfolgen, auf Ihren Wunsch Rechnungsentwürfe erstellen und Support leisten. Die Verarbeitung dauert so lange wie die AGB und bis zur Löschung nach Ziffer 14.

3. Betroffene Personen und Datenarten

  • Betroffene: Ihre Kunden und deren Ansprechpartner, Ihre eigenen Mitarbeiter und Nutzer sowie andere Personen, die in Ihren Rechnungen und E-Mails genannt werden.
  • Datenarten: Namen und Firmennamen, E-Mail- und Postanschriften, USt-IdNr. und Registernummern, Rechnungsdaten (Positionen, Beträge, Daten, Zahlungsstatus, Notizen), von Ihnen hinterlegte Bankdaten und Zahlungslinks, E-Mail-Inhalte, Zustell- und Bounce-Informationen.
  • Geben Sie keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und keine Daten über Straftaten ein; Dunlio ist dafür nicht ausgelegt.

4. Weisungen

Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung: Diese AGB, Ihre Einstellungen und Ihre Aktionen in der App sind Ihre Weisungen; weitere Weisungen können Sie per E-Mail erteilen. Anders verarbeiten wir Daten nur, wenn EU- oder französisches Recht es verlangt, und teilen Ihnen das vorher mit, sofern dieses Recht es nicht verbietet. Halten wir eine Weisung für datenschutzwidrig, weisen wir Sie darauf hin.

5. Vertraulichkeit

Alle Personen, die bei uns Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet. Der Zugriff ist auf das beschränkt, was Support, Sicherheit und Missbrauchsabwehr erfordern.

6. Eigene Zwecke

Zum Schutz der Empfänger und der gemeinsamen Versandadresse prüfen wir E-Mails vor oder unmittelbar nach dem Versand auf Betrug, prüfen Anträge auf Versandfreigabe und speichern minimale Aufzeichnungen über Bounces, Beschwerden und Prüffälle. Außerdem führen wir Nutzungsstatistiken auf Kontoebene (nie Rechnungs- oder E-Mail-Inhalte), Abrechnungsunterlagen und die gesetzlich vorgeschriebenen Aufzeichnungen. Für diese Zwecke sind wir eigenständig Verantwortlicher auf Grundlage unseres berechtigten Interesses oder gesetzlicher Pflichten (Art. 6 Abs. 1 lit. c und f DSGVO), wie auf der Seite Daten und Datenschutz beschrieben.

7. Sicherheit

Wir treffen die in Anhang B aufgeführten technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und passen sie an den Stand der Technik und neue Risiken an, ohne das Schutzniveau zu senken.

8. Unterauftragsverarbeiter

Sie genehmigen die in Anhang A aufgeführten Unterauftragsverarbeiter. Bevor wir einen hinzufügen oder ersetzen, informieren wir Sie mindestens 30 Tage vorher per E-Mail oder in der App. Sie können innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen; finden wir keine gemeinsame Lösung, können Sie den Vertrag beenden, und wir erstatten im Voraus gezahlte Entgelte für den restlichen Zeitraum. Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten und bleiben für ihn verantwortlich.

9. Übermittlungen außerhalb des EWR

Daten werden nur mit Garantien nach Kapitel V DSGVO außerhalb des Europäischen Wirtschaftsraums übermittelt: auf Grundlage eines Angemessenheitsbeschlusses (etwa des EU-US Data Privacy Framework für zertifizierte Unternehmen) oder der EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914). Anhang A nennt die Garantie für jeden Unterauftragsverarbeiter.

10. Anfragen betroffener Personen

In der App können Sie die Daten Ihres Arbeitsbereichs einsehen, berichtigen, exportieren und löschen. Wendet sich eine betroffene Person wegen Daten an uns, die wir für Sie verarbeiten, leiten wir die Anfrage unverzüglich an Sie weiter und unterstützen Sie bei der Antwort.

11. Weitere Unterstützung

Unter Berücksichtigung der Art der Verarbeitung und der uns verfügbaren Informationen unterstützen wir Sie bei Ihren Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation).

12. Verletzungen des Schutzes personenbezogener Daten

Wir informieren Sie unverzüglich, möglichst innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes Ihrer Daten bekannt wird, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen, und ergreifen die nötigen Maßnahmen, um die Folgen zu begrenzen.

13. Informationen und Kontrollen

Wir stellen Ihnen die Informationen bereit, die zum Nachweis der Einhaltung von Art. 28 DSGVO nötig sind, darunter diesen Vertrag, Anhang B sowie die von unseren Unterauftragsverarbeitern veröffentlichten Zertifikate und Berichte. Sie oder ein zur Verschwiegenheit verpflichteter unabhängiger Prüfer können uns einmal jährlich kontrollieren, außerdem nach einer Verletzung oder auf Verlangen einer Aufsichtsbehörde, mit 30 Tagen Vorankündigung, zu Geschäftszeiten, auf Ihre Kosten und ohne Zugriff auf Daten anderer Kunden.

14. Löschung und Rückgabe

Sie können Ihre Daten jederzeit exportieren. Löschen Sie Daten oder Ihr Konto, werden sie sofort aus dem laufenden System und durch die Rotation der Sicherungen innerhalb von 8 Tagen aus diesen entfernt, sofern nicht EU- oder französisches Recht eine Aufbewahrung verlangt. Daten, die wir nach Ziffer 6 als Verantwortlicher speichern, folgen den Fristen auf der Seite Daten und Datenschutz.

15. Haftung und Vorrang

Die Haftung richtet sich nach Art. 82 DSGVO und, soweit dieser es zulässt, nach Abschnitt 15 der AGB. Für die Verarbeitung personenbezogener Daten in Ihrem Auftrag hat dieser Vertrag Vorrang vor den übrigen AGB.

Anhang A: Unterauftragsverarbeiter

UnterauftragsverarbeiterLeistungOrt und Garantie
Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, IrelandHosting, Datenbank und Sicherungen (Cloud Run, Cloud SQL)EU (Belgien, Region europe-west1). Google Cloud Data Processing Addendum, mit Standardvertragsklauseln für einen etwaigen Zugriff von außerhalb des EWR.
Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USAVersand von Rechnungen, Erinnerungen und Konto-E-Mails; ZustellereignisseVerarbeitung in der EU-Region von Resend; US-Unternehmen: EU-US Data Privacy Framework und Standardvertragsklauseln (DPA von Resend).
Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, IrelandRechnungsentwürfe auf Ihren Wunsch; KI-Teil der Betrugsprüfung (als eigene Verarbeitung, Ziffer 6)Anfragen können in den USA, Europa, Asien oder Australien verarbeitet werden; Speicherung in den USA. Standardvertragsklauseln (DPA von Anthropic). Kein Training von Modellen.

Anhang B: Technische und organisatorische Maßnahmen

  • Hosting in Rechenzentren von Google Cloud in der EU (Region europe-west1, Belgien); Googles Infrastruktur ist nach ISO/IEC 27001 zertifiziert und nach SOC 2 geprüft.
  • Verschlüsselung bei der Übertragung (nur HTTPS/TLS, HSTS) und im Ruhezustand (Datenbank und Sicherungen von Google Cloud verschlüsselt).
  • Zugriff nur nach Anmeldung; Passwörter mit gesalzenem, iteriertem Einweg-Hashing gespeichert; Sitzungscookies sicher und HttpOnly; CSRF-Schutz; Drosselung von Anmelde-, Registrierungs- und Wiederherstellungsversuchen; Bestätigungs- und Rücksetzlinks laufen ab und gelten nur einmal.
  • Jede Anfrage prüft, dass die Daten zum angemeldeten Konto gehören; Arbeitsbereiche bleiben getrennt.
  • Betreiberzugriff nur durch den Inhaber, über persönliche Konten mit minimalen Rechten; jedes Öffnen eines Kontos durch einen Admin wird protokolliert.
  • Schlüssel und Passwörter für Dienstleister liegen im Google Secret Manager und werden nie an den Browser gesendet.
  • Tägliche automatische, verschlüsselte Sicherungen, 7 Tage in derselben EU-Region aufbewahrt; verwaltete Infrastruktur, die ausgefallene Teile automatisch neu startet.
  • Datenminimierung gegenüber dem KI-Anbieter: Bankdaten werden entfernt, von Empfängeradressen wird nur die Domain übermittelt.
  • Betrugsprüfung, Versandgrenzen und Sperre von Empfängern nach Bounce oder Beschwerde zum Schutz der Empfänger.
  • Strenge Content Security Policy, Eingabeprüfung und Escaping aller Nutzerinhalte in E-Mails und PDFs.
  • Automatische Tests vor jeder Veröffentlichung, regelmäßige Aktualisierung von Abhängigkeiten, Protokollierung und Alarme sowie ein dokumentiertes Verfahren für Datenschutzverletzungen (Ziffer 12).