Datenschutzerklärung

1. Verantwortlicher

bms future energy GmbH, Freistädter Straße 217a, 4040 Linz, Österreich

E-Mail: future-energy@bmsystems.at

Ein Datenschutzbeauftragter ist derzeit nicht bestellt. Anfragen zum Datenschutz richten Sie bitte an die oben angegebene E-Mail-Adresse.

2. Welche Daten wir verarbeiten

Im Zusammenhang mit der Nutzung von bms ERP verarbeiten wir personenbezogene Daten teils in eigener datenschutzrechtlicher Verantwortlichkeit und teils als Auftragsverarbeiter für unsere Kunden.

2.1 Daten, die bms in eigener Verantwortlichkeit verarbeitet

Registrierungsdaten

Firmenname, USt-IdNr., Firmen-E-Mail, Vor- und Nachname der Kontaktperson sowie ein sechsstelliger E-Mail-Bestätigungscode (mit bcrypt gehasht, 15 Minuten gültig).

Kontaktdaten des Mandanten

Firmenanschrift, USt-IdNr., Firmenbuchnummer, Telefon, Website, Bankverbindung.

Zugangsdaten

E-Mail-Adresse als Benutzername, Passwort ausschließlich als bcrypt-Hash.

Zahlungsdaten

Nur die letzten vier Ziffern der Kreditkarte und die IBAN in maskierter Form. Vollständige Karten- und Kontodaten verarbeitet ausschließlich der Zahlungsdienstleister Stripe.

Technische Zugriffsdaten

IP-Adresse, Browserkennung und Zeitpunkt des Zugriffs zur Abwehr von Missbrauch und zur Fehlersuche.

2.2 Daten, die bms als Auftragsverarbeiter verarbeitet

Nutzungsdaten

Alle vom Kunden im ERP eingegebenen Daten — Belege, Rechnungen, Kunden- und Lieferantendaten, Aufträge, Projekte, Zeiterfassung und Daten des Energie-Moduls. Der Kunde bleibt jederzeit Inhaber dieser Daten.

Bankumsätze

Wenn der Kunde ein Bankkonto verbindet: Kontostand und Umsätze dieses Kontos (Datum, Betrag, Gegenpartei mit IBAN, Verwendungszweck), abgerufen über den Kontoinformationsdienst Enable Banking (Punkt 4). Die Freigabe erteilt der Kunde direkt bei seiner Bank; sie ist befristet und jederzeit widerrufbar.

Belege per E-Mail

E-Mails samt Anhängen, die an die Beleg-Adresse des Mandanten geschickt werden. Übernommen werden nur Nachrichten an die Adresse mit der Kennung des Mandanten.

Automatische Beleg-Erkennung

Hochgeladene oder per E-Mail eingegangene Rechnungen und Quittungen werden zum Auslesen von Lieferant, Datum, Beträgen und Steuersatz an Anthropic übermittelt (Punkt 4 und 5).

Online-Unterschrift unter Angeboten

Unterschreibt ein Kunde des Mandanten ein Angebot über den Unterschrifts-Link: Name, E-Mail-Adresse, der per E-Mail versandte Bestätigungscode (nur als Hash), das Unterschriftsbild, Zeitpunkt, IP-Adresse und Browser- bzw. Gerätekennung. Diese Angaben dienen als Nachweis der Annahme.

Versandprotokoll

Zu jeder aus bms ERP versandten Beleg-E-Mail: Empfänger, Betreff, Zeitpunkt, Absender und die Antwort des Mailservers.

KI-Chatverlauf

Fragen an den KI-Assistenten und dessen Antworten, gespeichert je Mandant.

Protokoll der KI-Aktionen

Welches Werkzeug der Assistent mit welchen Angaben und mit welchem Ergebnis ausgeführt hat, samt der auslösenden Eingabe. Dieses Protokoll dient der Nachvollziehbarkeit dessen, was der Assistent im System verändert hat.

Für die Daten nach Punkt 2.2 ist der jeweilige Kunde datenschutzrechtlich Verantwortlicher. Wir verarbeiten sie ausschließlich nach Maßgabe des mit dem Kunden abgeschlossenen Auftragsverarbeitungsvertrags.

3. Rechtsgrundlagen

Wir verarbeiten die unter Punkt 2 genannten Daten auf folgenden Rechtsgrundlagen:

Art. 6 Abs. 1 lit. b DSGVO

Erfüllung des Vertrags über die Bereitstellung und Nutzung von bms ERP.

Art. 6 Abs. 1 lit. c DSGVO

Erfüllung gesetzlicher Verpflichtungen, insbesondere der Aufbewahrungspflichten nach § 132 BAO und § 212 UGB sowie der Nachweispflicht für Einwilligungen nach Art. 7 Abs. 1 DSGVO.

Art. 6 Abs. 1 lit. f DSGVO

Berechtigtes Interesse an der sicheren Bereitstellung von bms ERP. Dazu zählen die Begrenzung von Anmeldeversuchen anhand der IP-Adresse, die Erkennung von Missbrauch sowie die Trial-Historie: Um zu verhindern, dass dieselbe Firma die kostenlose Testphase mehrfach in Anspruch nimmt, speichern wir einen SHA-256-Hash der verwendeten E-Mail-Adresse und die USt-IdNr. für 24 Monate ab Ende der Testphase und löschen sie danach. Ebenso die Zuordnung einer Registrierung zur Werbekampagne, über die sie zustande kam (Punkt 8).

Art. 6 Abs. 1 lit. a DSGVO

Einwilligung, soweit sie über den Cookie-Banner erteilt wurde (Statistik und Marketing).

4. Externe Empfänger, Dienstleister und Auftragsverarbeiter

Wir setzen die folgenden externen Dienstleister ein. Mit allen bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

Vercel Inc. (USA), Rechenzentrum Frankfurt am Main

Hosting der Anwendung (erp.bms-gruppe.at, demo.bms-gruppe.at). Übermittelt werden Zugriffsprotokolle und technische Betriebsdaten. Absicherung: EU-US Data Privacy Framework.

Vercel Blob (Vercel Inc., USA)

Dateiablage für Firmenlogos, Briefpapiervorlagen, Belege und Kontoauszüge, Unterschriften, Anhänge an den KI-Assistenten und die täglichen Datenbanksicherungen (diese zusätzlich mit eigenem Schlüssel verschlüsselt). Übermittelt werden hochgeladene Dateien sowie die Sicherungen. Verschlüsselung bei der Übertragung und im Ruhezustand. Absicherung: EU-US Data Privacy Framework.

Neon Inc. (USA), Rechenzentrum Frankfurt am Main

Datenbank-Hosting (PostgreSQL). Übermittelt werden alle im ERP eingegebenen Nutzungsdaten. Absicherung: Standardvertragsklauseln der Europäischen Kommission.

Anthropic PBC (USA)

KI-Assistent und automatische Beleg-Erkennung. Übermittelt werden die Eingaben des Benutzers, die zur Beantwortung erforderlichen Geschäftsdaten sowie Bilder und PDF-Dateien von Belegen, die ausgelesen werden sollen. Absicherung: Standardvertragsklauseln der Europäischen Kommission. Einzelheiten zur Aufbewahrung in Punkt 5.

Stripe Inc. (USA) / Stripe Payments Europe Ltd. (Irland)

Zahlungsabwicklung mit Kreditkarte und SEPA-Lastschrift. Übermittelt werden Zahlungsdaten, Firmenanschrift und USt-IdNr. Absicherung: EU-Vertragspartner in Irland, PCI-DSS Level 1, ergänzend Standardvertragsklauseln.

Functional Software, Inc. (Sentry, USA)

Fehlerüberwachung. Übermittelt werden Fehlerberichte, die die aufgerufene Adresse, eine Benutzerkennung und den technischen Kontext der Anfrage enthalten können. Absicherung: Standardvertragsklauseln der Europäischen Kommission.

world4you Internet Services GmbH (Österreich)

Postausgangsserver für Transaktions-E-Mails wie Bestätigungscodes, Passwort-Zurücksetzung und Rechnungsversand sowie Postfach für Belege, die Kunden an ihre Beleg-Adresse senden. Übermittelt bzw. gespeichert werden Absender- und Empfängeradresse und Inhalt der E-Mail samt Anhängen. Verarbeitung ausschließlich innerhalb der Europäischen Union.

Twilio SendGrid (Twilio Inc., USA)

Alternativer Versandweg für System-E-Mails wie Einladungen und Passwort-Zurücksetzung. Übermittelt werden Empfängeradresse und Inhalt der E-Mail. Absicherung: Standardvertragsklauseln der Europäischen Kommission.

Enable Banking Oy (Finnland)

Kontoinformationsdienst nach der EU-Zahlungsdiensterichtlinie (PSD2), nur wenn der Kunde ein Bankkonto verbindet. Übermittelt werden die Bankauswahl; Enable Banking liefert die Kontostände und Umsätze der freigegebenen Konten. Die Anmeldung und Freigabe erfolgt direkt bei der Bank des Kunden — Zugangsdaten zur Bank sieht bms nie. Verarbeitung innerhalb der Europäischen Union.

EU-VIES (Europäische Kommission)

Prüfung der USt-IdNr. bei der Registrierung. Übermittelt werden Ländercode und Umsatzsteuernummer. Es handelt sich um eine behördliche Auskunft und nicht um eine Auftragsverarbeitung; die Anfrage wird im System der Kommission protokolliert.

Für den Versand gilt folgende Reihenfolge: Hat der Kunde in seinem Mandanten einen eigenen Postausgangsserver hinterlegt, wird dieser verwendet — für diese Übermittlung ist der Kunde selbst verantwortlich, und der betreffende Anbieter ist nicht unser Auftragsverarbeiter. Andernfalls versenden wir über Twilio SendGrid. Der Postausgang bei world4you wird für jene E-Mails verwendet, die über unser eigenes Absenderkonto laufen.

Soweit personenbezogene Daten an Empfänger außerhalb des Europäischen Wirtschaftsraums übermittelt werden, erfolgt dies ausschließlich nach Maßgabe der Art. 44 ff DSGVO — gestützt auf einen Angemessenheitsbeschluss nach Art. 45 DSGVO, insbesondere das EU-US Data Privacy Framework, oder auf geeignete Garantien nach Art. 46 DSGVO in Gestalt der Standardvertragsklauseln der Europäischen Kommission. Die Nachweise der eingesetzten Dienstleister werden mindestens jährlich überprüft und auf Anfrage vorgelegt.

5. Der KI-Assistent im Einzelnen

Wenn Sie den KI-Assistenten verwenden, senden wir Ihre Anfrage und die zur Beantwortung erforderlichen Geschäftsdaten aus Ihrem Mandanten an Anthropic PBC als Auftragsverarbeiter.

5.1 Was der Assistent tut

Der Assistent ist nicht auf Textausgaben beschränkt. Er kann Daten in Ihrem Mandanten lesen, anlegen und Vorgänge auslösen. Die Funktionen gliedern sich in drei Gruppen:

Lesen und auswerten

Kunden, Lieferanten, Angebote, Aufträge, Rechnungen, Belege, Zahlungen, Projekte und Energieprojekte abfragen; betriebswirtschaftliche Auswertung, Gewinn- und Verlustrechnung, Umsatzsteuer-Übersicht, Liquiditäts- und Deckungsbeitragsauswertungen sowie offene Posten nach Fälligkeit. Diese Abfragen führt der Assistent unmittelbar aus.

Anlegen und zuordnen

Kunde oder Lieferant anlegen, Entwurf für Rechnung, Angebot oder Auftrag erzeugen, Projekt anlegen, Zahlung erfassen sowie Beleg- und Ausgabenkategorien setzen. Auch diese Schritte führt der Assistent unmittelbar aus; sie bleiben im System nachvollziehbar und können rückgängig gemacht werden.

Versenden und Löschen

Rechnung, Angebot oder Mahnung per E-Mail versenden, Mahnlauf ausführen, wiederkehrende Rechnungen erzeugen, Angebot annehmen und Datensätze löschen. Diese Vorgänge führt der Assistent erst nach ausdrücklicher Bestätigung durch den Benutzer aus.

Der Assistent dient der Unterstützung des Benutzers. Es erfolgen keine ausschließlich automatisierten Entscheidungen im Sinne des Art. 22 DSGVO: Jede Ausgabe geht an den Benutzer, und jeder Vorgang mit Wirkung gegenüber Dritten — insbesondere der Versand von Rechnungen und Mahnungen — wird erst nach dessen ausdrücklicher Bestätigung ausgeführt. Die inhaltliche Prüfung der Antworten obliegt dem Benutzer.

5.2 Was bei Anthropic geschieht

Aufbewahrung

Nach den kommerziellen Bedingungen von Anthropic werden Eingaben und Ausgaben 30 Tage aufbewahrt und danach gelöscht. Inhalte, die von den automatischen Sicherheitssystemen von Anthropic als auffällig markiert werden, können darüber hinaus aufbewahrt werden.

Kein Training

Ihre Daten werden nicht für das Training von Modellen verwendet.

Verschlüsselung

Übertragung ausschließlich über TLS 1.3.

5.3 Was bei uns bleibt

Chatverlauf und das Protokoll der ausgeführten Aktionen speichern wir in unserer Datenbank in Frankfurt am Main, damit Sie darauf zurückgreifen und nachvollziehen können, was der Assistent verändert hat. Den Chatverlauf können Sie jederzeit selbst löschen; Chatverläufe samt hochgeladener Dateien, die zwölf Monate lang nicht mehr genutzt wurden, löschen wir automatisch. Nach Vertragsende halten wir die Daten für die vertraglich vorgesehene Exportfrist von 30 Tagen bereit und löschen sie danach, soweit keine gesetzliche Aufbewahrungspflicht besteht (§ 8 AGB). Das Protokoll der KI-Aktionen wird spätestens nach zwölf Monaten gelöscht.

6. Speicherdauer

Buchhaltungsdaten (Rechnungen, Belege)

Vertragslaufzeit zuzüglich sieben Jahre (§ 132 BAO).

Kontakt- und Firmenstammdaten

Vertragslaufzeit zuzüglich drei Jahre (Verjährungsfrist).

Änderungsprotokoll der Geschäftsdaten

Wie die zugehörigen Buchhaltungsdaten. Es hält fest, wer wann welchen Datensatz geändert hat, und enthält dabei auch die IP-Adresse; es dient der Nachvollziehbarkeit der Buchführung.

Passwort-Hash

Bis zur Änderung des Passworts oder zur Löschung des Kontos.

Signup-Verifikation

Der Code verfällt nach 15 Minuten; der Datensatz wird 24 Stunden nach Ablauf automatisch gelöscht.

Anmeldecodes des Kundenportals

Der Code verfällt nach 15 Minuten; der Datensatz mit E-Mail- und IP-Adresse wird 30 Tage nach Ablauf bzw. Verwendung automatisch gelöscht.

Sitzungen des Kundenportals

24 Stunden gültig; abgelaufene oder abgemeldete Sitzungen samt IP-Adresse und Browserkennung werden nach 30 Tagen automatisch gelöscht.

Versandprotokoll

Einträge zu Belegen 36 Monate (Nachweis des Versands, etwa einer Mahnung, für die dreijährige Verjährungsfrist), alle übrigen sechs Monate; danach automatische Löschung.

Zähler zur Begrenzung von Anmelde- und Code-Versuchen

In der Datenbank, nur als Hashwert der E-Mail- bzw. IP-Adresse (keine Klartext-Adresse) mit Anzahl und Ablaufzeit. Gültig je nach Zweck 15 Minuten bis 24 Stunden, danach automatisch gelöscht (tägliche Löschroutine).

KI-Chatverlauf

Vertragslaufzeit, jederzeit selbst löschbar, zuzüglich 30 Tage Exportfrist.

Protokoll der KI-Aktionen

Zwölf Monate.

Nachweis der Cookie-Einwilligung

36 Monate.

Cookie-Auswahl im Browser

Längstens 13 Monate, danach erneute Abfrage.

Trial-Historie

24 Monate ab Ende der Testphase.

Zugriffsprotokolle von Vercel

30 Tage.

Datenbanksicherungen

30 Tage rollierend, verschlüsselt. Fällt die Sicherung aus, bleiben die letzten sieben bis zur nächsten gelungenen erhalten.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Beschwerden können Sie bei der österreichischen Datenschutzbehörde einbringen (dsb.gv.at).

Anfragen richten Sie bitte an future-energy@bmsystems.at. Wir bearbeiten sie innerhalb von 30 Tagen. Für die Identifikation genügt uns grundsätzlich die Antwort von der bei uns hinterlegten E-Mail-Adresse.

8. Cookies und lokale Speicherung

Wir setzen Cookies und lokale Speicherung in drei getrennten Kategorien ein. Beim ersten Besuch fragen wir Sie über einen Consent-Banner (§ 165 Abs. 3 TKG 2021). Ihre Auswahl können Sie jederzeit über den Link „Cookie-Einstellungen“ im Fußbereich ändern oder widerrufen.

Technisch notwendig, immer aktiv:

next-auth.session-token

Anmeldesitzung, längstens 30 Tage.

next-auth.csrf-token

Schutz vor Cross-Site-Request-Forgery.

bms-tenant-id

Aktiver Mandant im Mehrmandantenbetrieb.

bms-cookie-consent

Ihre Cookie-Auswahl im lokalen Speicher des Browsers, längstens 13 Monate.

Statistik, nur nach Zustimmung: Derzeit setzen wir keine Statistik-Dienste ein.

Marketing, nur nach Zustimmung: Derzeit setzen wir keine Werbe-Cookies und keine Retargeting-Pixel ein.

Herkunft der Registrierung: Kommen Sie über einen Link mit Kampagnen-Angaben zu uns (utm-Parameter, etwa aus einer Anzeige oder einem Newsletter), geben wir diese Angaben in der Adresse an die Registrierung weiter und speichern sie beim angelegten Firmenkonto — ebenso, aus welchem Werbenetzwerk der Klick kam (z. B. Google oder Meta). Die Klick-Kennung der Anzeige reicht die Adresse nur an die Registrierung weiter; gespeichert wird sie nicht. Dafür wird nichts in Ihrem Browser gespeichert. Zweck ist die Messung, welche Kampagnen zu Registrierungen führen; Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Angaben werden mit dem Firmenkonto gelöscht.

Nachweis der Einwilligung: Ihre Auswahl wird im Browser gespeichert und zusätzlich bei uns als Nachweis festgehalten — mit Zeitpunkt, getroffener Auswahl, der Fassung dieses Banners, einer gekürzten Browserkennung und einem mit einem geheimen Zusatz gebildeten Hashwert Ihrer IP-Adresse. Die IP-Adresse selbst speichern wir dabei nicht. Festgehalten werden auch die Ablehnung und der Widerruf. Rechtsgrundlage ist die Nachweispflicht nach Art. 7 Abs. 1 DSGVO.

9. Datensicherheit

Die technischen und organisatorischen Maßnahmen sind im TOM-Anhang zum Auftragsverarbeitungsvertrag beschrieben. Im Überblick: TLS 1.3 für alle Verbindungen, AES-256 im Ruhezustand, Passwörter ausschließlich als bcrypt-Hash, Zwei-Faktor-Anmeldung für alle Konten (für Konten des Plattform-Betreibers verpflichtend), Begrenzung von Anmeldeversuchen anhand der IP-Adresse sowie tägliche automatische Sicherungen mit 30 Tagen Aufbewahrung.