Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist die bms Gruppe GmbH, Adresse siehe Impressum. Bei Fragen zum Datenschutz: datenschutz@bms-gruppe.at

2. Zweck der Verarbeitung & Rechtsgrundlage

Diese Anwendung (BMS ERP) ist ein internes Buchhaltungs- und Planungssystem. Personenbezogene Daten werden zum Zweck der Auftragsabwicklung, Rechnungsstellung, Wirtschaftlichkeitsberechnungen, Mahnwesen und gesetzlicher Aufbewahrungspflichten verarbeitet. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), lit. c DSGVO (rechtliche Verpflichtungen wie UStG, BAO, Buchhaltungsgesetz) sowie lit. f DSGVO (berechtigte Interessen).

3. Verarbeitete Datenkategorien

• Stammdaten: Name, Adresse, Kontaktdaten, UID/Firmenbuch
• Vertragsdaten: Aufträge, Rechnungen, Lieferscheine, Belege
• Zahlungsdaten: IBAN, Kontoauszüge (Open Banking via Salt Edge)
• Nutzungsdaten: Login-Zeitpunkt, Audit-Log (wer hat was wann geändert)
• Technische Daten: Browser, Sitzung, IP (anonymisiert nach 7 Tagen)

4. Empfänger / Auftragsverarbeiter

• Vercel Inc. (USA) — Hosting der Anwendung. EU-Standardvertragsklauseln (SCC).
• Vercel Postgres (EU-Region Frankfurt) — Datenbankhosting.
• Anthropic PBC (USA) — KI-Funktionen (OCR, Chat). Nur bei aktiver Nutzung. SCC.
• Salt Edge Ltd. (UK/EU) — Open-Banking, falls aktiviert.
• SendGrid / Resend — Versand transaktionaler E-Mails (optional).
• Steuerberater — DATEV/BMD-Exporte gemäß BAO.

5. Speicherdauer

Buchhaltungsrelevante Daten werden gemäß § 132 BAO mindestens 7 Jahre aufbewahrt. Nicht buchhaltungs- relevante Daten werden gelöscht, sobald der Zweck der Verarbeitung entfällt. Audit-Logs werden 5 Jahre vorgehalten.

6. Ihre Rechte

Ihnen stehen die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) zu. Beschwerden können bei der österreichischen Datenschutzbehörde (dsb.gv.at) eingereicht werden.

7. Cookies & Tracking

Diese Anwendung verwendet ausschließlich technisch notwendige Cookies (Session-Cookie für die Anmeldung). Kein Tracking, kein Marketing, keine Analytics. Damit ist keine Einwilligung gemäß §96 TKG erforderlich.

8. Datenübermittlung in Drittländer

Soweit Daten an Anbieter in den USA übermittelt werden (Vercel, Anthropic, ggf. SendGrid), erfolgt dies auf Grundlage der Standardvertragsklauseln (Art. 46 DSGVO) sowie ergänzender technischer Maßnahmen (Verschlüsselung in Transit & at rest).