Allgemeine Geschäftsbedingungen

Inhalt: AGB · Vereinbarung zur Auftragsverarbeitung (AVV) · Technische und organisatorische Maßnahmen · Unterauftragsverarbeiter

§ 1 Anbieter und Geltungsbereich

(1) Anbieter von Taskurio ist Ioan-Florin Ciurusniuc, handelnd unter Beneclean ProServices, Perlacher Straße 118, 81539 München (im Folgenden „Anbieter“).

(2) Diese AGB gelten für alle Verträge über die Nutzung der Software Taskurio unter app.taskurio.com (im Folgenden „Dienst“).

(3) Der Dienst richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen (im Folgenden „Kunde“). Mit der Registrierung bestätigt der Kunde, dass er den Dienst für seine gewerbliche oder selbständige berufliche Tätigkeit nutzt. Mit Verbrauchern werden keine Verträge geschlossen.

(4) Abweichende Bedingungen des Kunden gelten nur, wenn der Anbieter ihnen ausdrücklich in Textform zustimmt.

(5) Bestandteil dieser AGB ist die Vereinbarung zur Auftragsverarbeitung (Anlage AVV). Individuelle Vereinbarungen, insbesondere Enterprise-Verträge, gehen diesen AGB vor.

§ 2 Leistungen

(1) Taskurio ist eine webbasierte Software für Reinigungs- und Gebäudedienstleister zur Kalkulation von Aufträgen und zur Erstellung von Angeboten. Der Funktionsumfang richtet sich nach dem gebuchten Plan (§ 4) und der Beschreibung auf taskurio.com zum Zeitpunkt der Bestellung.

(2) Der Dienst wird als Software as a Service über das Internet bereitgestellt.

(3) Die Kalkulationen beruhen auf den Eingaben des Kunden, seinen Einstellungen und hinterlegten Richtwerten. Der Kunde entscheidet selbst über seine Preise und prüft jedes Angebot vor der Verwendung. Der Anbieter schuldet eine Berechnung entsprechend der beschriebenen Rechenlogik, aber keinen wirtschaftlichen Erfolg.

(4) Der Anbieter darf den Dienst weiterentwickeln und Funktionen ändern, wenn der Kern der Leistung des gebuchten Plans erhalten bleibt und die Änderung für den Kunden zumutbar ist. Wesentliche Änderungen kündigt er vorab per E-Mail an.

§ 3 Registrierung und Vertragsschluss

(1) Für die Nutzung ist ein Firmenkonto nötig. Die Person, die das Konto anlegt, handelt für den Kunden und verwaltet Plan, Zahlung und Nutzer (im Folgenden „Hauptnutzer“). Der Kunde macht wahre und vollständige Angaben und hält sie aktuell.

(2) Mit Abschluss der Registrierung kommt ein Vertrag über den kostenlosen Plan Free zustande.

(3) Ein Vertrag über einen bezahlten Plan kommt zustande, wenn der Hauptnutzer den Bestellvorgang in der Anwendung abschließt und der Anbieter die Bestellung per E-Mail bestätigt oder den Plan freischaltet.

(4) Enterprise-Verträge werden individuell geschlossen.

§ 4 Pläne, Kontingente und Testzeitraum

(1) Die Pläne haben folgenden Umfang:

Enterprise nach Vereinbarung.

(2) Als ein Angebot zählt jede neu vergebene Angebotsnummer. Bearbeiten, neue Versionen, erneuter Versand und PDF-Download eines bestehenden Angebots verbrauchen kein Kontingent.

(3) Das Kontingent gilt je Monat ab einem festen Stichtag (Zeitzone Europe/Berlin). Bei Plus und Pro ist das der Tag der ersten Zahlung, bei einem Testzeitraum der erste Tag der bezahlten Laufzeit. Bei Free ist es der Tag der Registrierung. Danach beginnt das Kontingent jeden Monat am selben Kalendertag neu. Hat ein Monat diesen Tag nicht, beginnt es am letzten Tag des Monats. Ein Wechsel zwischen Plus und Pro ändert den Stichtag nicht. Ein Wechsel zwischen monatlicher und jährlicher Zahlung setzt ihn auf den Tag des Wechsels. Nicht genutzte Angebote verfallen am Ende des Monats. Der nächste Stichtag wird in der Anwendung angezeigt.

(4) Ist das Kontingent aufgebraucht, können bis zum nächsten Stichtag keine neuen Angebote erstellt werden. Bestehende Angebote bleiben im Rahmen von Absatz 5 zugänglich.

(5) Im Plan Free gibt es keine gespeicherte Kundenliste. Die Angaben zum Empfänger werden bei jedem Angebot eingegeben. Jedes Angebot wird 30 Tage nach seiner Erstellung automatisch gelöscht, einschließlich der zugehörigen PDFs und Versionen. Bis dahin kann der Kunde das PDF herunterladen. Das Löschdatum wird in der Anwendung angezeigt. Bearbeiten oder Herunterladen verlängert die Frist nicht. Eine Löschung stellt kein verbrauchtes Kontingent wieder her.

(6) Testzeitraum beim Jahresplan: Bei Bestellung eines Jahresplans (Plus oder Pro) sind die ersten 14 Tage ab Bestellung kostenlos. Der Kunde hat in dieser Zeit alle Funktionen des gewählten Plans. Er hinterlegt bei der Bestellung ein Zahlungsmittel. Kündigt er vor Ablauf des 14. Tages, fällt kein Entgelt an und das Konto wechselt zu Free (§ 7 Abs. 6 gilt). Kündigt er nicht, beginnt am 15. Tag die bezahlte Laufzeit von 12 Monaten und der Jahresbeitrag wird eingezogen. Ein Testzeitraum wird je Kunde einmal gewährt. Monatspläne haben keinen Testzeitraum.

(7) In Free und Plus enthalten Angebots-PDFs in der Fußzeile den Hinweis „Erstellt mit Taskurio“ mit einem Link auf www.taskurio.com. In Pro entfällt dieser Hinweis in PDFs und E-Mails. Wechselt der Kunde von Pro in einen anderen Plan, enthalten ab dann neu erzeugte PDFs wieder den Hinweis. Bereits erzeugte PDFs bleiben unverändert.

(8) Kostenlose Aktionen: Der Anbieter kann einen Plan für einen begrenzten Zeitraum kostenlos bereitstellen, zum Beispiel als Dankeschön für Teilnehmer der Beta. Das Enddatum wird in der App angezeigt. Bucht der Kunde bis dahin keinen Plan, wechselt das Konto danach zu Free. § 7 Abs. 6 gilt entsprechend. Ein Anspruch auf eine Aktion besteht nicht.

§ 5 Preise und Zahlung

(1) Es gelten die bei Bestellung angegebenen Preise. Alle Preise verstehen sich netto zuzüglich der gesetzlichen Umsatzsteuer (derzeit 19 %).

(2) Entgelte sind im Voraus fällig: bei Monatsplänen für den Abrechnungsmonat, bei Jahresplänen für 12 Monate.

(3) Die Zahlung erfolgt über den Zahlungsdienstleister Stripe per Kreditkarte oder SEPA-Lastschrift. Rechnungen erhält der Kunde elektronisch per E-Mail.

(4) Schlägt eine Zahlung fehl, fordert der Anbieter den Kunden per E-Mail zur Zahlung auf. Zahlt der Kunde nicht innerhalb von 14 Tagen, darf der Anbieter das Konto auf den Umfang von Free beschränken. Für die Daten gilt dann § 7 Abs. 6 Buchstabe a. Schlägt bereits die erste Zahlung eines Plans fehl (auch die erste Zahlung nach einem Testzeitraum), endet der Plan sofort und das Konto wechselt zu Free. § 7 Abs. 6 gilt. Der Kunde kann den Plan erneut bestellen. Kosten einer vom Kunden zu vertretenden Rücklastschrift trägt der Kunde.

(5) Registriert sich ein Kunde über einen Empfehlungslink, erhält er bei der ersten Buchung von Plus oder Pro 20 % Rabatt für die ersten 12 Monate. Der Rabatt wird bei der Bestellung angezeigt. Für Empfehlungen gelten die Teilnahmebedingungen des Empfehlungsprogramms.

§ 6 Support

(1) Im Plan Free steht eine Hilfeseite zur Verfügung.

(2) In Plus und Pro erreicht der Kunde den Support per E-Mail an info@taskurio.com. Der Anbieter antwortet in der Regel innerhalb von 1 bis 5 Werktagen (Plus) und 1 bis 2 Werktagen (Pro). Werktage sind Montag bis Freitag außer bundeseinheitlichen und bayerischen Feiertagen. Diese Zeiten sind Zielwerte und keine zugesicherten Reaktionszeiten.

§ 7 Laufzeit, Kündigung und Planwechsel

(1) Free läuft unbefristet und endet durch Löschung des Kontos.

(2) Monatspläne verlängern sich jeweils um einen Monat, wenn der Kunde nicht vor Ablauf kündigt. Kündigung ist jederzeit zum Ende des bezahlten Monats möglich.

(3) Jahrespläne laufen 12 Monate ab Ende des Testzeitraums und verlängern sich um weitere 12 Monate, wenn der Kunde nicht vor Ablauf kündigt. Kündigung ist bis zum letzten Tag der Laufzeit möglich.

(4) Die Kündigung erfolgt in der Anwendung unter Abo und Abrechnung oder in Textform an info@taskurio.com. Bis zum Ende der bezahlten Laufzeit bleibt der gebuchte Plan vollständig nutzbar.

(5) Wechsel in einen höheren Plan gelten sofort. Der Preisunterschied für die restliche Abrechnungsperiode wird anteilig berechnet. Wechsel in einen niedrigeren Plan gelten zum Ende der laufenden Abrechnungsperiode.

(6) Folgen eines Wechsels in einen niedrigeren Plan, sobald er wirksam wird:

• a) Wechsel zu Free: Gespeicherte Kunden und bestehende Angebote bleiben 30 Tage nach dem Wechsel erhalten. In dieser Zeit kann der Kunde die Kunden exportieren und die Angebots-PDFs herunterladen. Danach werden sie gelöscht. Der Anbieter informiert den Kunden beim Wechsel und 7 Tage vor der Löschung per E-Mail. Bucht der Kunde vor Ablauf wieder Plus oder Pro, entfällt die Löschung der noch vorhandenen Daten. Bereits gelöschte Daten werden nicht wiederhergestellt. Für neue Angebote gilt § 4 Abs. 5.
• b) Wechsel von Pro zu einem anderen Plan: Neue PDFs enthalten wieder den Hinweis nach § 4 Abs. 7. Eigene Leistungswerte werden für neue Kalkulationen nicht mehr verwendet, der Dienst rechnet mit den Standardwerten. Bestehende Angebote werden nicht neu berechnet. Die eigenen Werte werden 30 Tage aufbewahrt und bei erneuter Buchung von Pro in dieser Zeit wieder verwendet. Links zum Angebotsportal funktionieren ab dem Ende von Pro nicht mehr, auch für bereits versendete Angebote. Die Angebote selbst bleiben erhalten.
• c) Übersteigt die Zahl der Nutzer den neuen Plan, verlieren die zuletzt hinzugefügten Nutzer den Zugang, bis die Zahl dem Plan entspricht. Der Hauptnutzer behält den Zugang immer. Für die Angebote dieser Nutzer gilt § 8 Abs. 5.

(7) Preisänderungen gelten nur für künftige Verlängerungen. Der Anbieter kündigt sie mindestens 6 Wochen vorher per E-Mail an. Der Kunde kann bis zum Beginn der neuen Laufzeit kündigen. Darauf weist der Anbieter in der Ankündigung hin.

(8) Das Recht zur Kündigung aus wichtigem Grund bleibt unberührt.

§ 8 Nutzer

(1) Der Hauptnutzer kann im Rahmen des Plans weitere Personen des Kunden als Nutzer einladen. Jeder Nutzer erhält einen eigenen Zugang und eine Nutzer-ID des Kunden (zum Beispiel T1042-02). Zugänge dürfen nicht geteilt werden. Eine Person kann nur einem Kunden als Nutzer angehören.

(2) Der Kunde ist für das Handeln seiner Nutzer verantwortlich und sorgt dafür, dass sie diese AGB einhalten.

(3) Zu jedem Angebot wird gespeichert, welcher Nutzer es erstellt hat. Der Kunde informiert seine Nutzer darüber. Ein Nutzer sieht die Kunden des Kunden und seine eigenen Angebote. Der Hauptnutzer sieht alle Angebote. Plan, Zahlung, Firmendaten, Leistungswerte und Nutzer verwaltet nur der Hauptnutzer. Auf den Angeboten eines Nutzers erscheinen sein Name und seine Kontaktdaten als Ansprechpartner. Antworten auf per E-Mail versendete Angebote gehen an seine E-Mail-Adresse.

(4) Der Hauptnutzer kann Nutzer jederzeit entfernen. Der Zugang endet sofort. Die Angebote des Nutzers bleiben beim Kunden und der Hauptnutzer kann sie weiter nutzen. Gespeichert bleibt, wer sie erstellt hat. Das gilt auch, wenn ein Nutzer sein Konto selbst löscht.

(5) Verliert ein Nutzer den Zugang, weil der Plan weniger Nutzer erlaubt (§ 7 Abs. 6 c), werden seine Angebote 30 Tage danach gelöscht, einschließlich der zugehörigen PDFs und Versionen. Bucht der Kunde in dieser Zeit wieder einen Plan mit genug Nutzern, erhält der Nutzer den Zugang zurück und die Löschung entfällt.

(6) Löscht der Hauptnutzer das Firmenkonto, werden auch die Zugänge aller Nutzer gelöscht.

§ 9 Pflichten des Kunden

(1) Der Kunde ist für die Inhalte verantwortlich, die er eingibt, insbesondere für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten seiner Kunden.

(2) Der Kunde prüft Angebote vor der Verwendung, insbesondere Preise, Umsatzsteuer und Empfänger.

(3) Missbrauch, das Umgehen von Sicherheitsmechanismen und automatisierte Zugriffe ohne Zustimmung sind untersagt.

(4) Der Kunde sichert wichtige Daten regelmäßig über die Exportfunktion und das Herunterladen der Angebots-PDFs.

(5) Bei erheblichen Verstößen darf der Anbieter den Zugang vorübergehend sperren, soweit erforderlich. Der Kunde wird informiert.

§ 10 Haftung

(1) Der Anbieter haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei Verletzung von Leben, Körper oder Gesundheit, nach dem Produkthaftungsgesetz und im Umfang einer übernommenen Garantie.

(2) Bei leichter Fahrlässigkeit haftet der Anbieter nur bei Verletzung einer wesentlichen Vertragspflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. Die Haftung ist dann auf den vorhersehbaren, vertragstypischen Schaden begrenzt.

(3) Für Datenverlust haftet der Anbieter nur in dem Umfang, der bei regelmäßiger Sicherung durch den Kunden nach § 9 Abs. 4 entstanden wäre.

(4) Art. 82 DSGVO bleibt unberührt.

§ 11 Verfügbarkeit, Daten, Export und Löschung

(1) Der Anbieter bemüht sich um eine möglichst unterbrechungsfreie Verfügbarkeit. Eine bestimmte Verfügbarkeit ist nur in Enterprise-Verträgen vereinbart.

(2) Die Daten des Kunden bleiben seine Daten. Personenbezogene Daten verarbeitet der Anbieter nach der AVV.

(3) Der Hauptnutzer kann jederzeit einen Export als ZIP-Datei mit drei CSV-Dateien herunterladen: Firmendaten, Kunden und Angebotsübersicht. Angebots-PDFs werden einzeln im Archiv heruntergeladen. Kalkulationsdetails, Versionsverlauf und Versandprotokolle sind im Export derzeit nicht enthalten.

(4) Die Kündigung eines bezahlten Plans beendet nur den bezahlten Umfang. Das Konto läuft danach als Free weiter. Es gelten § 4 Abs. 5 und § 7 Abs. 6.

(5) Löscht der Hauptnutzer das Firmenkonto, werden das Konto, alle Nutzer, Firmendaten, Kunden, Angebote und Dateien aus den produktiven Systemen gelöscht. Kopien bei Dienstleistern werden nach deren Fristen gelöscht (AVV, Anlage 3). Gesetzlich aufzubewahrende Daten, zum Beispiel Rechnungen über Taskurio-Entgelte, werden bis zum Fristablauf gesperrt aufbewahrt.

§ 12 Anbieterwechsel (Data Act)

(1) Der Kunde kann jederzeit mit einer Ankündigungsfrist von höchstens zwei Monaten den Wechsel zu einem anderen Anbieter oder auf eigene Systeme verlangen.

(2) Der Anbieter unterstützt den Wechsel während eines Übergangszeitraums von höchstens 30 Kalendertagen und stellt die exportierbaren Daten in einem strukturierten, gängigen und maschinenlesbaren Format bereit.

(3) Nach Ablauf des Übergangszeitraums kann der Kunde seine Daten noch mindestens 30 Kalendertage abrufen. Danach werden sie gelöscht.

(4) Die Fristen dieses Paragraphen gehen den Löschfristen nach § 4 Abs. 5, § 7 Abs. 6 und § 8 Abs. 5 vor, solange ein Wechsel nach Absatz 1 läuft.

§ 13 Vertraulichkeit

Beide Parteien behandeln nicht öffentliche Informationen der anderen Partei vertraulich, auch nach Vertragsende. Das gilt nicht für öffentlich bekannte, rechtmäßig von Dritten erlangte, unabhängig entwickelte oder gesetzlich offenzulegende Informationen.

§ 14 Änderungen dieser AGB

Der Anbieter kann diese AGB aus sachlichen Gründen mit Wirkung für die Zukunft ändern. Er teilt Änderungen mindestens 6 Wochen vorher per E-Mail mit. Der Kunde kann bis zum Inkrafttreten widersprechen oder kündigen. Darauf weist der Anbieter in der Mitteilung hin.

§ 15 Schlussbestimmungen

(1) Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts.

(2) Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand München.

(3) Textform genügt, soweit nichts anderes bestimmt ist.

(4) Sind einzelne Bestimmungen unwirksam, bleiben die übrigen wirksam. Es gilt dann die gesetzliche Regelung.

Anlage: Vereinbarung zur Auftragsverarbeitung (AVV)

zwischen dem Kunden (Verantwortlicher) und Ioan-Florin Ciurusniuc, handelnd unter Beneclean ProServices, Perlacher Straße 118, 81539 München (Auftragsverarbeiter, im Folgenden „Anbieter“). Die AVV wird mit den AGB bei der Registrierung durch den Hauptnutzer für den Kunden geschlossen.

§ 1 Gegenstand und Dauer

(1) Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit der Kunde bei der Nutzung von Taskurio Daten seiner Kunden und seiner Nutzer eingibt oder empfängt. Einzelheiten stehen in Anlage 1.

(2) Die AVV gilt bis zur vollständigen Löschung nach § 9, unabhängig vom Plan.

(3) Daten, die der Anbieter für eigene Zwecke verarbeitet (Anmeldung, Vertragsabwicklung, Abrechnung, Sicherheit), sind nicht Gegenstand dieser AVV. Dafür gilt die Datenschutzerklärung.

§ 2 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer, außer er ist gesetzlich dazu verpflichtet. Dann informiert er den Kunden vorher, soweit zulässig.

(2) Die Weisungen sind durch die AGB, diese AVV und die Nutzung der Funktionen des gebuchten Plans festgelegt. Dazu gehören auch die Löschungen nach § 4 Abs. 5, § 7 Abs. 6 und § 8 Abs. 5 AGB. Weitere Weisungen erteilt der Kunde in Textform an info@taskurio.com.

(3) Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich.

§ 3 Vertraulichkeit

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Derzeit hat nur der Inhaber Zugriff auf die Produktivsysteme.

§ 4 Sicherheit

Der Anbieter trifft die Maßnahmen nach Art. 32 DSGVO aus Anlage 2 und darf sie anpassen, wenn das Schutzniveau nicht sinkt.

§ 5 Unterauftragsverarbeiter

(1) Der Kunde genehmigt die Unterauftragsverarbeiter aus Anlage 3.

(2) Der Anbieter informiert per E-Mail über Änderungen, in der Regel mindestens 14 Tage vorher und in jedem Fall unverzüglich, nachdem er selbst davon erfahren hat. Der Kunde kann aus wichtigem datenschutzrechtlichen Grund widersprechen und bei fehlender Einigung zum Zeitpunkt der Änderung kündigen. Im Voraus gezahlte Entgelte für die Zeit danach werden anteilig erstattet.

(3) Unterauftragsverarbeiter werden vertraglich entsprechend verpflichtet (Art. 28 Abs. 4 DSGVO).

§ 6 Betroffenenrechte

Der Anbieter unterstützt den Kunden bei Anfragen nach Art. 15 bis 22 DSGVO. Der Kunde kann Daten selbst einsehen, ändern, exportieren und löschen. Direkte Anfragen leitet der Anbieter unverzüglich weiter.

§ 7 Unterstützung nach Art. 32 bis 36 DSGVO

Der Anbieter unterstützt den Kunden, soweit Daten aus dieser AVV betroffen sind und ihm Informationen vorliegen.

§ 8 Verletzungen des Schutzes personenbezogener Daten

Der Anbieter meldet Verletzungen unverzüglich nach Kenntnis per E-Mail an den Hauptnutzer, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit vorhanden.

§ 9 Löschung und Rückgabe

(1) Der Kunde kann seine Daten jederzeit exportieren und löschen.

(2) Der Anbieter löscht Daten nach den Fristen aus § 4 Abs. 5, § 7 Abs. 6 und § 8 Abs. 5 AGB.

(3) Bei Löschung des Firmenkontos löscht der Anbieter alle Daten aus dieser AVV aus den produktiven Systemen. Kopien bei Unterauftragsverarbeitern werden nach deren Fristen gelöscht (Anlage 3).

(4) Eine Aufbewahrung erfolgt nur, soweit das Gesetz dazu verpflichtet.

§ 10 Zugriff durch den Anbieter

(1) Der Anbieter greift auf Daten aus dieser AVV nur zu, wenn dies für Support auf Anfrage des Kunden, zur Fehlerbehebung oder zur Abwehr von Missbrauch und Sicherheitsvorfällen erforderlich ist.

(2) In der Verwaltungsoberfläche von Taskurio sieht der Anbieter nur Konto- und Nutzungsangaben, zum Beispiel Firmenname, E-Mail-Adresse des Hauptnutzers, Plan und die Anzahl erstellter und versendeter Angebote. Angebotsinhalte, Empfänger und Daten der Kunden des Kunden werden dort nicht angezeigt.

(3) Als Betreiber hat der Inhaber technisch über die Verwaltung der Datenbank beim Hoster Zugriff auf alle Daten. Er nutzt diesen Zugriff nur in den Fällen nach Absatz 1.

§ 11 Nachweise und Kontrollen

Der Anbieter stellt die Informationen zum Nachweis nach Art. 28 DSGVO zur Verfügung, vorrangig durch Unterlagen und Berichte. Kontrollen vor Ort sind mit mindestens 4 Wochen Ankündigung, in der Regel einmal jährlich, während der Geschäftszeiten möglich.

§ 12 Ort der Verarbeitung

Datenbank und Dateien werden in Irland (EU) gespeichert. Drittlandübermittlungen erfolgen nur nach Art. 44 ff. DSGVO und wie in Anlage 3 angegeben.

§ 13 Vorrang

Bei Widersprüchen geht für den Datenschutz diese AVV den AGB vor.

Anlage 1: Gegenstand

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Verschlüsselung

• Alle Verbindungen zu Website, Anwendung, Datenbank und Serverfunktionen laufen über HTTPS (TLS). Für app.taskurio.com ist HSTS gesetzt.
• Gespeicherte Daten sind beim Hoster Supabase laut Anbieter mit AES-256 verschlüsselt.
• Links zum Angebotsportal enthalten ein zufälliges Token mit 256 Bit. Technische Kennungen von Kunden und Angeboten sind zufällig und nicht fortlaufend.
• PDFs im Portal werden nur über kurzlebige, signierte Links ausgeliefert.

2. Vertraulichkeit

• Zutritt: Der Anbieter betreibt keine eigenen Server. Die Rechenzentren gehören zu den Unterauftragsverarbeitern (Anlage 3).
• Zugang: Jeder Nutzer hat einen eigenen Zugang mit E-Mail und Passwort mit mindestens 8 Zeichen. Die E-Mail-Adresse muss bestätigt werden. Eine Änderung der E-Mail-Adresse muss an beiden Adressen bestätigt werden. Eine Passwortänderung erfordert eine aktuelle Anmeldung. Anmeldungen und E-Mail-Versand sind je IP-Adresse begrenzt. Vor der Kontolöschung wird das Passwort erneut abgefragt. Eine Zwei-Faktor-Anmeldung ist derzeit nicht verfügbar.
• Zugriff: Berechtigungen werden in der Datenbank selbst geprüft (Row Level Security). Nutzer sehen nur die Daten ihrer Firma. Kritische Vorgänge laufen nur über serverseitige Funktionen, zum Beispiel Vergabe der Angebotsnummer, Kontolöschung, Versand und Portal. Geheime Serverschlüssel gelangen nie in den Browser.
• Rollen: Hauptnutzer und Nutzer. Entfernte Nutzer verlieren den Zugang sofort. Die Administratorrolle wird in einer eigenen Tabelle geführt und hat nur der Inhaber. Gesperrte Konten verlieren sofort alle Sitzungen.
• Verwaltung: Die Verwaltungsoberfläche zeigt keine Angebotsinhalte und keine Daten der Kunden des Kunden (§ 10 AVV).
• Trennung: Daten und Dateien sind je Firma getrennt, in der Datenbank über die Firmenzuordnung mit Row Level Security, im Dateispeicher über einen eigenen Pfad je Firma. Die Speicherbereiche für Angebots-PDFs und Logos sind nicht öffentlich.
• Angebotsportal: Die Annahme erfordert zusätzlich die Postleitzahl des Empfängers. Nach 5 falschen Eingaben wird der Link für 15 Minuten gesperrt.

3. Integrität

• Angebots-E-Mails werden nur über den Dienstleister Resend versandt, ausschließlich über TLS-verschlüsselte Verbindungen. Ist keine verschlüsselte Verbindung möglich, wird die E-Mail nicht zugestellt. Die Antwortadresse ist die des Kunden. Öffnungs- und Klick-Tracking ist nicht eingerichtet.
• Für die Absenderdomain sind SPF, DKIM und DMARC eingerichtet.
• In der Produktanalyse gibt es keine Bildschirmaufzeichnung. Texte und Eingaben werden maskiert. Die Analyse läuft nur nach Einwilligung.
• Versendete Angebote werden als unveränderliche Version gespeichert. Nur der Status darf sich danach ändern.
• Versand, Annahme und Ablehnung werden mit Zeitpunkt protokolliert. Zu jedem Angebot wird gespeichert, wer es erstellt hat.
• Die Zustimmung zu AGB und AVV wird mit Zeitpunkt und Version gespeichert.

4. Verfügbarkeit und Wiederherstellung

• Datenbank, Dateien und Serverfunktionen laufen bei Supabase in der Region eu-west-1 (Irland). Die Anwendung wird über das Netz von Vercel ausgeliefert.
• Eine automatische tägliche Datensicherung beim Hoster ist derzeit nicht gebucht. Vor Änderungen an der Datenbank erstellt der Anbieter eine Sicherung. Die Sicherung wird verschlüsselt auf einem Gerät des Inhabers gespeichert und nach 30 Tagen gelöscht.
• Kunden können ihre Daten jederzeit selbst exportieren.

5. Überprüfung

• Änderungen an Berechtigungen und Datenbank werden als versionierte Migrationen im Code-Repository geführt.
• Abhängigkeiten werden regelmäßig auf bekannte Sicherheitslücken geprüft und aktualisiert.
• Mindestens einmal jährlich prüft der Anbieter diese Maßnahmen und aktualisiert diese Anlage.

6. Auftragskontrolle

• Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO (Anlage 3). Der Anbieter prüft deren Nachweise, zum Beispiel Auftragsverarbeitungsverträge und Prüfberichte, vor dem Einsatz und danach jährlich.
• Bei Vercel liegen nur öffentliche Konfigurationswerte. Geheime Schlüssel liegen ausschließlich in den Serverfunktionen bei Supabase.

7. Organisation

• Zugriff auf Produktivsysteme hat nur der Inhaber. Weitere Personen erhalten Zugriff nur nach schriftlicher Verpflichtung zur Vertraulichkeit.
• Bei Sicherheitsvorfällen dokumentiert der Anbieter den Verdacht, sperrt betroffene Zugänge, informiert betroffene Kunden unverzüglich per E-Mail (§ 8 AVV), prüft eigene Meldepflichten innerhalb von 72 Stunden (Art. 33 DSGVO) und behebt die Ursache.
• In der Anwendung werden keine Marketing-Werkzeuge eingesetzt. Die Produktanalyse läuft nur nach Einwilligung.

Anlage 3: Unterauftragsverarbeiter