Vertrag über die Verarbeitung personenbezogener Daten

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die Dodana vrijednost d.o.o. für den Nutzer des Dienstes Puls durchführt. Er wird auf der Grundlage von Artikel 28 der Verordnung (EU) 2016/679, der Datenschutz-Grundverordnung, nachfolgend DSGVO, geschlossen. Wenn Ihr Unternehmen Puls nutzt, sind Sie der Verantwortliche, und wir sind der Auftragsverarbeiter, der die Daten nach Ihren Weisungen verarbeitet.

1. Vertragsparteien

Verantwortlicher ist der Nutzer des Dienstes Puls, die juristische Person, die in der Anwendung einen Arbeitsbereich eröffnet hat und die über die Zwecke und Mittel der Verarbeitung der Daten entscheidet, die sie in Puls eingibt.

Auftragsverarbeiter ist Dodana vrijednost d.o.o., Ribnjak 56, 10000 Zagreb, Kroatien, OIB 28795267248, eingetragen im Gerichtsregister des Handelsgerichts Zagreb. Die Adresse für Fragen zum Datenschutz lautet info@puls-value.com.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag des Verantwortlichen und ist nicht berechtigt, über die Zwecke der Verarbeitung zu entscheiden.

2. Gegenstand und Dauer der Verarbeitung

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die für die Erbringung des Dienstes Puls erforderlich ist, wie der Dienst in den Nutzungsbedingungen beschrieben ist.

Die Verarbeitung dauert so lange wie das Abonnement von Puls. Dies umfasst die Testphase und den Zeitraum, in dem der Zugang zum Arbeitsbereich gesperrt ist, das Benutzerkonto aber noch besteht. Nach Beendigung des Dienstes wird gemäß Artikel 13 dieses Vertrags verfahren.

3. Art und Zweck der Verarbeitung

Zweck der Verarbeitung ist die Erbringung des Dienstes Puls. Dies umfasst die Speicherung und Verarbeitung der Finanzzahlen, Benutzer und Dokumente des Verantwortlichen zur Darstellung von Plan und Ist, Kennzahlen, Kostenstruktur, monatlichem Kommentar und dem Dokument Geschäftsplan sowie zur Führung der Benutzerkonten, zur Abrechnung des Abonnements und für den technischen Support.

Wenn der Verantwortliche seine Bücher über e-Računi verbindet oder eine Liste offener Posten hochlädt, erstellt der Auftragsverarbeiter aus diesen offenen Posten die Altersstruktur der Schulden je Kunde und Lieferant bis auf Belegebene sowie eine Liste der Kunden, die mit der Zahlung im Verzug sind, für Zahlungserinnerungen. Bei der Verbindung mit e-Računi erstellt er aus denselben Posten auch eine Liste der größten Kunden und Lieferanten für das Bankpaket sowie eine Übersicht der Verpflichtungen und erwarteten Zuflüsse, die in den nächsten 14 Tagen fällig werden, mit der Summe je Tag und Art der Verpflichtung sowie den Namen der größten Kunden und Lieferanten.

Die Verarbeitungsvorgänge sind Erhebung, Erfassung, Speicherung, Einsichtnahme, Berechnung, Darstellung, Export auf Verlangen des Benutzers, Erstellung von Sicherungskopien und Löschung.

Der Auftragsverarbeiter verwendet die Daten des Verantwortlichen nicht für eigene Zwecke, verkauft sie nicht und verwendet sie nicht für Profiling.

4. Arten personenbezogener Daten

• Vor- und Nachname sowie geschäftliche E-Mail-Adresse der Benutzer des Arbeitsbereichs.
• Anmeldedaten und Zugriffsprotokolle.
• Daten über das Unternehmen und die Abrechnung, einschließlich Name, Anschrift, OIB und Angaben zu ausgestellten Rechnungen.
• Personenbezogene Daten, die in den Beschreibungen von Buchungsposten, in den Namen von Geschäftspartnern und in der Angabe zur Zahl der Beschäftigten vorkommen können.
• Die Namen von höchstens zehn größten Kunden und zehn größten Lieferanten je Jahr, mit Umsatz, Stand der offenen Posten und Fälligkeitsstruktur, für das laufende und das vorangegangene Jahr. Darunter können Einzelunternehmer und andere natürliche Personen sein. Gespeichert wird nur der Name, ohne Partnerschlüssel und ohne OIB, und nur der letzte Abruf.
• Die Namen der Kunden und Lieferanten des Verantwortlichen mit ihren offenen Posten, aus der Verbindung mit e-Računi oder aus der Liste offener Posten, die der Verantwortliche hochlädt. Darunter können Einzelunternehmer und andere natürliche Personen sein. Gespeichert wird nur der Name, ohne Partnerschlüssel und ohne OIB, und nur der letzte Abruf.
• E-Mail-Adressen der Kunden, an die der Benutzer eine Zahlungserinnerung sendet, und das Versandprotokoll.
• Inhalt der Dokumente und Dateien, die der Verantwortliche in Puls hochlädt oder in Puls erstellt.
• Fragen, die der Benutzer in den KI-Berater eingibt, und die Antworten des Beraters. Das Gespräch sieht nur der Benutzer, der gefragt hat, und es kann Finanzdaten des Unternehmens und personenbezogene Daten enthalten, die der Benutzer eingibt. Die Löschfristen stehen in Abschnitt 13.

5. Kategorien betroffener Personen

• Benutzer des Arbeitsbereichs des Verantwortlichen.
• Beschäftigte des Verantwortlichen.
• Kunden, Lieferanten und andere Geschäftspartner, die in den Büchern genannt sind.
• Personen, die in Dokumenten genannt sind, die der Verantwortliche in Puls hochlädt oder in Puls erstellt.

6. Dokumentierte Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf der Grundlage dokumentierter Weisungen des Verantwortlichen. Als Weisungen gelten dieser Vertrag, die Nutzungsbedingungen und jede Handlung, die der Benutzer selbst in der Anwendung auslöst, beispielsweise ein Datenimport, die Erstellung eines Plans, die Anforderung eines Kommentars oder ein Export. Die Weisungen umfassen auch die Übermittlung personenbezogener Daten an ein Drittland oder an eine internationale Organisation, die nur zulässig ist, wenn sie in diesem Vertrag vorgesehen ist oder eine Vorschrift der Europäischen Union oder der Republik Kroatien sie verlangt.

Verpflichtet eine Vorschrift der Europäischen Union oder eine Vorschrift der Republik Kroatien den Auftragsverarbeiter zu einer Verarbeitung außerhalb dieser Weisungen, teilt der Auftragsverarbeiter dies dem Verantwortlichen vor der Verarbeitung mit, sofern diese Vorschrift eine solche Mitteilung nicht ausdrücklich verbietet.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder eine andere Datenschutzvorschrift verstößt.

7. Vertraulichkeit

Zugang zu den Daten des Verantwortlichen haben nur Personen, für die der Zugang zur Erledigung ihrer Arbeit erforderlich ist. Alle diese Personen sind vertraglich oder durch eine gesetzliche Pflicht zur Vertraulichkeit verpflichtet, und diese Pflicht besteht auch nach dem Ende ihrer Tätigkeit fort.

8. Sicherheit der Verarbeitung gemäß Artikel 32 DSGVO

Der Auftragsverarbeiter wendet die folgenden technischen und organisatorischen Maßnahmen an.

• Der gesamte Datenverkehr zwischen Browser und Anwendung läuft über eine verschlüsselte Verbindung (TLS).
• Die Daten jedes Unternehmens sind so getrennt, dass ein Arbeitsbereich die Daten eines anderen nicht sehen kann, und Gespräche mit dem KI-Berater sieht nur der Benutzer, der gefragt hat.
• Passwörter werden in einer Form gespeichert, aus der sie nicht gelesen werden können. Zugangsschlüssel für verbundene Dienste werden verschlüsselt gespeichert.
• Die Daten werden auf Servern innerhalb der Europäischen Union gespeichert und verarbeitet.
• Die Datenbank verfügt über regelmäßige automatische Sicherungskopien und ein dokumentiertes Wiederherstellungsverfahren.
• Anmeldungen und Zugriffe auf Daten werden in Protokollen erfasst, die getrennt von diesen Daten geführt werden.
• Es gilt der Grundsatz der geringsten Berechtigung. Jede Person und jede Komponente des Systems erhält nur die Berechtigungen, die für die von ihr ausgeführte Arbeit erforderlich sind.
• Der Zugang zu den Servern ist auf befugte Personen beschränkt und geschützt.
• Die Entwicklung ist von der Produktion getrennt und berührt keine Produktionsdaten. Die Systeme erhalten regelmäßig Sicherheitsaktualisierungen.

9. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine vorherige Genehmigung für die Beauftragung von Unterauftragsverarbeitern. Die Liste der Unterauftragsverarbeiter, die am Tag der Fassung dieses Vertrags beauftragt sind, befindet sich in Anlage 1.

Mit jedem Unterauftragsverarbeiter vereinbart der Auftragsverarbeiter Datenschutzpflichten, die nicht weniger streng sind als die Pflichten aus diesem Vertrag, und er haftet dem Verantwortlichen für die Tätigkeit des Unterauftragsverarbeiters wie für seine eigene.

Über die Absicht, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage im Voraus, per E-Mail an die Adresse des Inhabers des Arbeitsbereichs und durch Veröffentlichung der geänderten Anlage 1 auf dieser Seite. Innerhalb dieser Frist kann der Verantwortliche einen begründeten Einspruch erheben. Bleibt der Einspruch ungelöst, kann der Verantwortliche das Abonnement kündigen, bevor die Änderung wirksam wird, und der Zugang bleibt bis zum Ende des bezahlten Zeitraums aktiv.

10. Übermittlungen außerhalb des Europäischen Wirtschaftsraums

Die Daten werden in der Europäischen Union verarbeitet. Eine Übermittlung in ein Drittland erfolgt nur an die in Anlage 1 genannten Unterauftragsverarbeiter und nur unter Verwendung der Standardvertragsklauseln der Europäischen Kommission.

Wenn diese Maßnahmen für eine Übermittlung nicht mehr ausreichen, setzt der Auftragsverarbeiter die Übermittlung aus und informiert den Verantwortlichen darüber.

11. Unterstützung des Verantwortlichen

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO, also von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

Geht ein Antrag einer betroffenen Person direkt beim Auftragsverarbeiter ein, leitet der Auftragsverarbeiter ihn unverzüglich an den Verantwortlichen weiter und bearbeitet ihn nicht selbstständig.

Der Auftragsverarbeiter unterstützt den Verantwortlichen auch bei der Erfüllung der Pflichten aus den Artikeln 32 bis 36 DSGVO, also bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde, soweit die Informationen dem Auftragsverarbeiter zur Verfügung stehen.

12. Verletzung des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, und zwar so rechtzeitig, dass der Verantwortliche seine Pflicht zur Meldung an die Aufsichtsbehörde erfüllen kann.

Die Meldung enthält eine Beschreibung der Art der Verletzung, die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie die Kontaktperson beim Auftragsverarbeiter, bei der weitere Informationen eingeholt werden können.

Der Auftragsverarbeiter führt ein Verzeichnis der Verletzungen und der ergriffenen Maßnahmen und stellt es dem Verantwortlichen auf Verlangen zur Einsicht zur Verfügung.

13. Löschung oder Rückgabe der Daten

Nach Beendigung des Dienstes gibt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen in maschinenlesbarer Form zurück oder löscht sie, zusammen mit vorhandenen Kopien.

Der Verantwortliche teilt seine Wahl innerhalb von 30 Tagen nach Beendigung des Dienstes mit. Nach Ablauf dieser Frist, spätestens jedoch 90 Tage nach Beendigung des Dienstes, löscht der Auftragsverarbeiter die Daten.

Solange das Benutzerkonto besteht, bleiben die Daten gespeichert, auch wenn der Zugang wegen Ablaufs der Testphase oder eines unbezahlten Abonnements gesperrt ist.

Gespräche mit dem KI-Berater warten nicht auf die Beendigung des Dienstes. Jede Nachricht eines Gesprächs wird 12 Monate nach ihrer Entstehung gelöscht, und der Benutzer kann sie auch früher löschen. Mit der Löschung des Benutzerkontos werden auch alle Gespräche dieses Benutzers gelöscht, und mit dem Ende seines Zugangs zu einem Unternehmen seine Gespräche über dieses Unternehmen.

Die Liste der größten Kunden und Lieferanten führt keine Historie. Bei jeder Synchronisierung mit e-Računi wird sie durch den neuen Abruf ersetzt, und sie wird zusammen mit den übrigen Daten des Unternehmens gelöscht.

Die offenen Posten der Kunden und Lieferanten führen keine Historie. Jeder neue Abruf, aus der Verbindung mit e-Računi oder aus einer hochgeladenen Liste, ersetzt den vorherigen, und sie werden zusammen mit den übrigen Daten des Unternehmens gelöscht.

Ausgenommen von der Löschung sind Daten, die der Auftragsverarbeiter nach Rechtsvorschriften aufbewahren muss, vor allem ausgestellte Rechnungen und Fiskaldaten. Diese bewahrt der Auftragsverarbeiter bis zum Ablauf der gesetzlichen Frist auf und verarbeitet sie für keinen anderen Zweck.

Daten in Sicherungskopien werden im regulären Rotationszyklus dieser Kopien gelöscht.

14. Überprüfung und Kontrolle

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Artikel 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder von einem vom Verantwortlichen beauftragten Prüfer durchgeführt werden.

Eine Überprüfung wird mindestens 30 Tage im Voraus angekündigt und während der Arbeitszeit sowie auf eine Weise durchgeführt, die den Betrieb des Dienstes nicht stört. Eine Überprüfung darf keine Daten anderer Nutzer erfassen. Die Kosten der Überprüfung trägt der Verantwortliche, sofern die Überprüfung keinen wesentlichen Verstoß gegen diesen Vertrag feststellt.

15. Haftung

Die Haftung der Vertragsparteien richtet sich nach den Nutzungsbedingungen des Dienstes Puls und nach zwingenden Rechtsvorschriften. Dieser Vertrag erweitert die Haftungsbeschränkung aus den Nutzungsbedingungen weder, noch schränkt er sie ein, außer dort, wo die DSGVO etwas anderes bestimmt.

16. Anwendbares Recht

Auf diesen Vertrag finden das Recht der Republik Kroatien und die DSGVO Anwendung. Für Streitigkeiten ist das sachlich zuständige Gericht in Zagreb zuständig.

17. Annahme, Änderungen und Fassung

Dieser Vertrag gilt mit der Annahme der Nutzungsbedingungen des Dienstes Puls. Der Verantwortliche nimmt ihn bei der Eröffnung des Kontos durch eine Bestätigung an, die das Datum der Fassung trägt, und wir zeichnen auf, wer welche Fassung wann angenommen hat. Eine gesonderte Unterschrift ist nicht erforderlich, und es gibt kein gesondertes Unterzeichnungsverfahren.

Eine neue Fassung dieses Vertrags ist ab dem Tag der Veröffentlichung in Kraft, der zugleich das Datum der Fassung ist. Den Verantwortlichen benachrichtigen wir am selben Tag per E-Mail und durch Veröffentlichung auf dieser Seite darüber, und bei der ersten Anmeldung ab diesem Tag verlangt Puls die Bestätigung der neuen Fassung. Die Mitteilung über eine Änderung der Unterauftragsverarbeiter regelt Abschnitt 9.

Steht eine Bestimmung dieses Vertrags im Widerspruch zu den Nutzungsbedingungen, gilt in Fragen der Verarbeitung personenbezogener Daten dieser Vertrag.

Fassung: 6. Oktober 2026. In dieser Fassung wurde die Beschreibung der Verarbeitung offener Posten von Kunden und Lieferanten ergänzt (Abschnitte 3, 4 und 13), die Listen der Datenarten und der Personen wurden geändert (Abschnitte 4 und 5), und Anlage 1 wurde aktualisiert. Die Beschreibung der Sicherheitsmaßnahmen ist nun allgemeiner gefasst, die Maßnahmen sind dieselben (Abschnitt 8). Abschnitt 10 über Übermittlungen wurde gekürzt. Der übrige Text ist derselbe wie in der Fassung vom 5. Oktober 2026. Die neue Fassung folgt einer Änderung der Nutzungsbedingungen, da beide Dokumente zusammen angenommen werden.

Anlage 1. Liste der Unterauftragsverarbeiter

Die Liste gilt am Tag der Fassung dieses Vertrags. Änderungen werden gemäß Artikel 9 dieses Vertrags angekündigt.