1. Verantwortlicher und Kontakt
Verantwortlicher: R. Redivo, dynafis / General Informatics, Fijewo 58a, 14-260 Lubawa, Polen. Büro Deutschland: Am Sandfeld 11, 76149 Karlsruhe, Deutschland.
E-Mail: support@dynafis.com · Internet: dynafis.com · REGON: 384103047 · USt-IdNr. / VAT ID: PL7441822686.
Datenschutzanfragen können an support@dynafis.com gerichtet werden. Ein Datenschutzbeauftragter ist derzeit nicht bestellt, soweit keine gesetzliche Bestellpflicht besteht.
2. Geltungsbereich und Datenschutzrollen
Diese Erklärung gilt für die öffentlichen Websites, Demo- und Kontaktfunktionen, Benutzerkonten, Vertrags- und Abrechnungsprozesse sowie die Nutzung der dynafis-Plattform.
Für Website-, Account-, Vertrags-, Zahlungs-, Sicherheits- und eigene Kommunikationsdaten ist dynafis Verantwortlicher. Für Rechnungen, Belege, Bankdaten, Mandanten-, Mitarbeiter- und Geschäftspartnerdaten, die Kunden in dynafis verarbeiten, handelt dynafis regelmäßig als Auftragsverarbeiter nach Art. 28 DSGVO. Der Kunde ist in diesem Fall Verantwortlicher und erste Anlaufstelle für Betroffenenrechte.
3. Datenquellen und Datenkategorien
Wir erhalten Daten von Nutzern, Workspace-Administratoren, Kunden, deren Beauftragten, verbundenen Behörden- und Providerdiensten sowie automatisch aus Endgeräten und Systemprotokollen.
Je nach Nutzung verarbeiten wir Stammdaten, Kontaktdaten, Login- und Rollendaten, Unternehmens- und Steuerkennungen, Vertrags- und Rechnungsdaten, Zahlungsstatus, Supportkommunikation, Geräte- und Protokolldaten, IP-Adresse, Consent-Informationen, Dokumentinhalte, Banktransaktionen, E-Rechnungsmetadaten, Audit- und Sicherheitsereignisse sowie vom Kunden konfigurierte Integrationsdaten.
4. Website, Server-Logs und Sicherheit
Beim Aufruf der Website verarbeiten wir insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte URL, Referrer, Browser- und Geräteinformationen, Antwortstatus und übertragene Datenmenge. Dies ist für Auslieferung, Fehleranalyse, Missbrauchsabwehr und Systemsicherheit erforderlich.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Sicherheitslogs werden grundsätzlich nur so lange gespeichert, wie dies für Analyse und Abwehr erforderlich ist; bei konkreten Vorfällen können sie bis zur Klärung und Durchsetzung von Ansprüchen aufbewahrt werden.
5. Registrierung, Vertrag, Abrechnung und Unternehmensprüfung
Für Registrierung und Vertrag verarbeiten wir Namen, geschäftliche Kontaktdaten, Organisation, Rolle, Rechtseinheit, Rechnungsadresse, Steuerkennungen, Tarif, Bestellungen, Rechnungen, Zahlungsstatus und Vertragskommunikation.
Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO für Steuer- und Buchführungspflichten sowie Art. 6 Abs. 1 lit. f DSGVO für Betrugsprävention, Unternehmensprüfung, Forderungsmanagement und sichere Kontoverwaltung.
6. Kundeninhalte und Auftragsverarbeitung
Kunden können Rechnungen, Belege, Finanz-, Bank-, Mitarbeiter-, Lieferanten-, Kunden- und Mandantendaten verarbeiten. Art, Zweck, Betroffenenkategorien und Dauer werden im Auftragsverarbeitungsvertrag und durch die Nutzungskonfiguration bestimmt.
dynafis verarbeitet diese Daten nur nach dokumentierten Weisungen, soweit keine gesetzliche Pflicht entgegensteht. Kunden müssen sicherstellen, dass Upload, Abruf, Verknüpfung, Speicherung, Weitergabe und Löschung rechtmäßig sind und Betroffene erforderliche Informationen erhalten.
7. OCR, KI und automatisierte Unterstützung
OCR-, Regel- und KI-Dienste können Dokumente analysieren, Felder extrahieren, Risiken markieren, Zuordnungen vorschlagen, Texte erzeugen oder Prozesse priorisieren. Hierbei können Inhaltsdaten an vertraglich gebundene Provider übermittelt werden, soweit die jeweilige Funktion dies erfordert.
Kundendaten werden nicht zum Training allgemein verfügbarer KI-Modelle verwendet, sofern der Kunde nicht ausdrücklich separat zustimmt. dynafis trifft keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO mit rechtlicher oder ähnlich erheblicher Wirkung über betroffene Personen. Fachliche Entscheidungen und Freigaben verbleiben beim Kunden.
8. E-Rechnung, Behörden-, Bank- und Import-Connectoren
Bei Nutzung von KSeF, Peppol, EBICS, Bankimport, SFTP, Importpostfach, Webhooks oder ähnlichen Diensten verarbeiten wir Teilnehmer-, Sender-, Bank-, Transaktions-, Dokument-, Status- und Protokolldaten, um Authentifizierung, Übertragung, Empfang, Zuordnung, Fehlerbehandlung und Nachweisführung zu ermöglichen.
Je nach Connector sind Behörden, Banken, Access Points oder technische Provider eigene Verantwortliche oder Auftragsverarbeiter. Deren Datenschutzhinweise gelten zusätzlich. Zugangsdaten und Zertifikate werden nur in dem für die Verbindung erforderlichen Umfang verarbeitet und durch geeignete Geheimnis- und Zugriffskontrollen geschützt.
9. Zahlungsabwicklung
Für kostenpflichtige Leistungen werden Zahlungs- und Abrechnungsdaten an den ausgewählten Zahlungsanbieter, insbesondere Mollie oder PayPal, übermittelt. Zahlungsanbieter verarbeiten Daten regelmäßig in eigener datenschutzrechtlicher Verantwortung für Autorisierung, Betrugsprüfung und gesetzliche Pflichten.
dynafis speichert grundsätzlich keine vollständigen Karten- oder Onlinebanking-Zugangsdaten, sondern Zahlungsreferenzen, Status, Betrag, Währung, Rechnungsbezug und notwendige Nachweise. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO.
10. Anmeldung über Google oder Apple
Bei optionaler Anmeldung über Google oder Apple erhalten wir abhängig von Ihrer Freigabe eine Providerkennung, Name, E-Mail-Adresse und Authentifizierungsstatus. Der jeweilige Anbieter erfährt, dass sein Dienst für dynafis verwendet wird.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Verknüpfung kann im Konto oder beim Provider aufgehoben werden; bereits zur Vertragserfüllung oder Nachweisführung gespeicherte Daten bleiben hiervon unberührt.
11. Support, Kontaktformulare und B2B-Kommunikation
Bei Anfragen verarbeiten wir Kontaktdaten, Unternehmen, Betreff, Inhalt, Anhänge, technische Diagnoseinformationen und Bearbeitungsverlauf. Die Verarbeitung erfolgt zur Vertragsanbahnung oder -erfüllung sowie auf Grundlage unseres berechtigten Interesses an Support und Dokumentation.
Wir können Geschäftskunden über ähnliche eigene Leistungen, Sicherheits- oder Produktinformationen informieren, soweit dies rechtlich zulässig ist. Der Nutzung zu Direktwerbung kann jederzeit widersprochen werden. Newsletter oder weitergehende werbliche Kommunikation erfolgen bei erforderlicher Einwilligung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO.
12. Cookies, lokale Speicherwerte und Turnstile
Notwendige Cookies und lokale Speicherwerte dienen Sprache, Login, Session, Sicherheit, Lastverteilung, Consent-Status und Kernfunktionen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b oder f DSGVO sowie die jeweils anwendbare ePrivacy-Regelung.
Optionale Analyse- oder Komforttechnologien werden nur nach Einwilligung aktiviert. Zum Schutz von Formularen kann Cloudflare Turnstile Geräte-, Netzwerk- und Interaktionssignale zur Bot-Erkennung verarbeiten. Einwilligungen können über die Cookie-Einstellungen jederzeit mit Wirkung für die Zukunft geändert werden.
13. Rechtsgrundlagen im Überblick
Wir verarbeiten Daten auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), lit. b (Vertrag und vorvertragliche Maßnahmen), lit. c (gesetzliche Pflichten) und lit. f (berechtigte Interessen). Berechtigte Interessen sind insbesondere Betrieb und Sicherheit, Missbrauchs- und Betrugsprävention, Support, Produktverbesserung anhand aggregierter Daten, B2B-Kommunikation und Rechtsdurchsetzung.
Bei Auftragsverarbeitung richtet sich die Rechtmäßigkeit der Kundendatenverarbeitung nach dem Kunden; dynafis verarbeitet auf Grundlage von Art. 28 DSGVO und dokumentierten Weisungen.
14. Empfänger und Unterauftragsverarbeiter
Empfänger können Hosting-, Datenbank-, Objekt- und Backup-Speicheranbieter, E-Mail- und Supportdienste, Monitoring- und Sicherheitsanbieter, OCR- und KI-Provider, Zahlungsanbieter, Authentifizierungsdienste, Peppol- und E-Rechnungsprovider, Banken sowie Behörden sein.
Wir wählen Dienstleister sorgfältig aus, beschränken Zugriffe auf das Erforderliche und schließen Auftragsverarbeitungs- oder sonstige Datenschutzverträge. Eine aktuelle Übersicht wesentlicher Unterauftragsverarbeiter wird im Trust Center bereitgestellt oder auf Anfrage mitgeteilt. Behörden erhalten Daten nur bei gesetzlicher Grundlage oder wirksamer Anordnung.
15. Internationale Datenübermittlungen
Wir bevorzugen Verarbeitung in der EU oder im EWR. Soweit Anbieter Daten in Drittländern verarbeiten oder administrativ darauf zugreifen können, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss, EU-Standardvertragsklauseln oder eine andere zulässige Garantie und prüfen erforderliche Zusatzmaßnahmen.
Bei zertifizierten US-Anbietern kann das EU-US Data Privacy Framework genutzt werden. Informationen zu konkreten Garantien können unter support@dynafis.com angefordert werden, soweit dadurch keine Sicherheits- oder Geschäftsgeheimnisse offengelegt werden.
16. Speicherdauer und Löschfristen
Wir speichern Daten nur so lange, wie Zweck, Vertrag, Sicherheit oder gesetzliche Pflichten dies erfordern. Danach werden sie gelöscht oder anonymisiert. Insbesondere gelten derzeit folgende operative Richtwerte, sofern kein Vertrag oder Gesetz eine andere Dauer verlangt:
• anonyme Rechnungsprüfungen: regelmäßig bis zu 24 Stunden; Prüfungen mit E-Mail-Bezug: bis zu 14 Tage; bezahlte Berichte: bis zu 365 Tage;
• rohe Bankimportdateien: regelmäßig bis zu 90 Tage; Bank-Webhookdaten: bis zu 30 Tage;
• Support- und Kontaktanfragen: regelmäßig bis zu 180 Tage, als Spam erkannte Formulare bis zu 30 Tage;
• Peppol-Transport- und Nachweisdaten: je nach gesetzlicher und vertraglicher Erforderlichkeit bis zu 10 Jahre;
• Vertrags-, Rechnungs- und steuerrelevante Unterlagen: nach den anwendbaren gesetzlichen Aufbewahrungsfristen;
• Kontodaten und Kundeninhalte: für die Vertragsdauer, anschließendes Exportfenster und danach nach Löschkonzept. Backups werden rollierend überschrieben und nur zur Wiederherstellung genutzt.
17. Technische und organisatorische Maßnahmen
Zu den Maßnahmen gehören je nach Risiko Mandantentrennung, Rollen- und Rechtekonzepte, Zwei-Faktor-Authentifizierung, Transportverschlüsselung, Geheimnisverwaltung, Audit-Logs, Backup- und Wiederherstellungsprozesse, Monitoring, Schwachstellen- und Abhängigkeitsprüfungen, Zugriffsbeschränkung und Incident-Response.
Absolute Sicherheit kann nicht garantiert werden. Sicherheitsvorfälle werden bewertet, dokumentiert und nach den gesetzlichen Vorgaben an Kunden, Behörden oder Betroffene gemeldet.
18. Rechte betroffener Personen
Betroffene haben nach den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf einer Einwilligung. Ein Widerruf berührt die Rechtmäßigkeit der vorherigen Verarbeitung nicht.
Bei Daten, die dynafis im Auftrag verarbeitet, richten Betroffene ihre Anfrage grundsätzlich an den jeweiligen Kunden. dynafis unterstützt den Kunden gemäß Auftragsverarbeitungsvertrag. Zur Vermeidung unbefugter Offenlegung kann eine Identitätsprüfung erforderlich sein.
19. Beschwerderecht
Betroffene können sich bei einer Datenschutzaufsichtsbehörde beschweren. Zuständige polnische Aufsichtsbehörde ist insbesondere der Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stanisława Moniuszki 1A, 00-014 Warszawa, Polen.
Das Beschwerderecht kann auch bei einer anderen nach Art. 77 DSGVO zuständigen Behörde am gewöhnlichen Aufenthaltsort, Arbeitsplatz oder Ort des mutmaßlichen Verstoßes ausgeübt werden.
20. Pflichtangaben, Minderjährige und Profiling
Als erforderlich gekennzeichnete Vertrags- und Kontodaten werden für Abschluss und Nutzung benötigt. Ohne diese Daten können bestimmte Leistungen nicht bereitgestellt werden. Freiwillige Angaben sind entsprechend gekennzeichnet oder aus dem Kontext erkennbar.
dynafis richtet sich an Unternehmen und nicht an Minderjährige. Wir betreiben kein Profiling für Werbezwecke und keine ausschließlich automatisierte Entscheidungsfindung nach Art. 22 DSGVO. Risiko- oder Priorisierungshinweise innerhalb der Software dienen der Unterstützung autorisierter Nutzer.
21. Änderungen dieser Datenschutzerklärung
Wir aktualisieren diese Erklärung, wenn sich Funktionen, Anbieter, Rechtslage oder Verarbeitungen ändern. Das Aktualisierungsdatum wird oben angezeigt. Wesentliche Änderungen für registrierte Nutzer teilen wir über die Anwendung, per E-Mail oder auf anderem geeigneten Weg mit.
Diese Fassung beschreibt den derzeit vorgesehenen produktiven Betrieb. Die tatsächlich aktivierten Provider, Unterauftragsverarbeiter, Löschfristen und Länderfunktionen müssen fortlaufend mit dem Trust Center und dem Auftragsverarbeitungsvertrag übereinstimmen.