BizFlow — Nutzungsbedingungen

inkl. Auftragsverarbeitungsvertrag (AVV) und technisch-organisatorischen Maßnahmen (TOM) · Fassung 1.0 · Stand: Oktober 2026

Aufbau dieses Dokuments

Dieses Dokument regelt die Nutzung von BizFlow zwischen vestIT und dem Nutzer. Es besteht aus:

• → Nutzungsbedingungen (§ 1 bis § 16)
• → Anlage 1: Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO
• → Anlage 2: Technisch-organisatorische Maßnahmen (TOM)

Informationen zur Verarbeitung Ihrer eigenen Kontodaten finden Sie in der Datenschutzerklärung.

Nutzungsbedingungen

§ 1 Geltungsbereich und Vertragspartner

(1) Diese Nutzungsbedingungen regeln die Nutzung der Webanwendung BizFlow (bizflow.vestit.dev) zwischen vestIT, Veljko Stanojević, Roth-Limanowa-Straße 2/2.ST 5, 4040 Linz, Österreich, E-Mail: office@vestit.at (im Folgenden „Anbieter“) und dem registrierten Nutzer (im Folgenden „Nutzer“).

(2) BizFlow richtet sich ausschließlich an Unternehmer im Sinne des § 1 KSchG. Mit der Registrierung bestätigt der Nutzer, die Anwendung ausschließlich für unternehmerische Zwecke zu nutzen.

(3) Abweichende oder ergänzende Bedingungen des Nutzers gelten nicht, es sei denn, der Anbieter stimmt ihnen ausdrücklich in Textform zu.

(4) Bestandteil des Vertrags sind Anlage 1 (Auftragsverarbeitungsvertrag) und Anlage 2 (technisch-organisatorische Maßnahmen).

§ 2 Leistungsbeschreibung

BizFlow ist eine Software-as-a-Service-Anwendung zur Erstellung und Verwaltung von Angeboten und Rechnungen. Der Funktionsumfang umfasst insbesondere: Angebote und Rechnungen mit Positionen, Umwandlung eines Angebots in eine Rechnung, Stornorechnungen, Kundenverwaltung, PDF-Erzeugung mit EPC-QR-Code, Auswertungen (Dashboard), CSV-Export für die Steuerberatung sowie die optionale KI-gestützte Übernahme von Positionen aus Dokumenten (KI-Import).

Der Funktionsumfang richtet sich nach den in der Anwendung jeweils verfügbaren Funktionen. Der Anbieter darf BizFlow weiterentwickeln und ändern, sofern der Vertragszweck dadurch nicht wesentlich beeinträchtigt wird.

§ 3 Vertragsabschluss und Lizenzschlüssel

(1) Der Zugang zu BizFlow erfolgt mit einem persönlichen Lizenzschlüssel, den der Anbieter dem Nutzer zur Verfügung stellt.

(2) Der Vertrag kommt zustande, wenn sich der Nutzer mit einem gültigen, noch nicht verwendeten Lizenzschlüssel registriert und diese Nutzungsbedingungen samt Anlagen akzeptiert.

(3) Ein Lizenzschlüssel berechtigt zur Anlage eines einzigen Benutzerkontos. Er ist nicht übertragbar und darf nicht an Dritte weitergegeben werden. Das Benutzerkonto darf nur für das Unternehmen des Nutzers verwendet werden.

(4) Der Nutzer macht bei der Registrierung wahrheitsgemäße Angaben und hält diese aktuell.

§ 4 Nutzungsrecht

(1) Der Anbieter räumt dem Nutzer für die Vertragsdauer das nicht ausschließliche, nicht übertragbare und nicht unterlizenzierbare Recht ein, BizFlow über das Internet zu nutzen. Es wird keine Software übergeben; alle Rechte an Software und Gestaltung verbleiben beim Anbieter.

(2) Untersagt ist insbesondere: die Umgehung technischer Schutzmaßnahmen einschließlich der Lizenzprüfung, die Überlastung der Anwendung durch automatisierte Massenabfragen, das Zurückentwickeln der Software (soweit nicht zwingend gesetzlich erlaubt), die Weitergabe des Zugangs an Dritte sowie das Hochladen rechtswidriger Inhalte oder Schadsoftware.

§ 5 Pflichten des Nutzers

(1) Der Nutzer hält seine Zugangsdaten geheim und wählt ein sicheres Passwort. Bei Verdacht auf Missbrauch informiert er den Anbieter unverzüglich.

(2) Der Nutzer ist allein verantwortlich für den Inhalt seiner Angebote und Rechnungen (Leistungsbeschreibung, Preise, Steuersätze, UID- und Steuernummer, Kleinunternehmerstatus, Zahlungsdaten) und dafür, dass seine Rechnungen den gesetzlichen Anforderungen, insbesondere des UStG, entsprechen.

(3) Der Nutzer stellt sicher, dass er zur Erfassung der Daten seiner Kunden berechtigt ist, und erfüllt die ihn als Verantwortlichen treffenden datenschutzrechtlichen Pflichten (Anlage 1, Ziffer 9).

(4) Der Nutzer exportiert seine Daten regelmäßig (§ 12).

§ 6 Keine Rechts- oder Steuerberatung

BizFlow unterstützt bei der Erstellung von Geschäftsdokumenten, ersetzt aber keine Rechts- oder Steuerberatung. Voreinstellungen (z. B. Steuersätze, Texte zur Kleinunternehmerregelung, fortlaufende Nummern) sind Vorschläge, die der Nutzer für seinen Einzelfall auf Richtigkeit prüft. Bei steuerlichen Fragen wird die Rücksprache mit einem Steuerberater empfohlen.

§ 7 KI-Import

(1) Der KI-Import ist eine optionale Funktion. Bei Nutzung wird der hochgeladene Inhalt zur Auswertung an Anthropic PBC (USA) übermittelt (siehe Anlage 1, Ziffer 6).

(2) Ergebnisse des KI-Imports können unvollständig oder fehlerhaft sein. Der Nutzer prüft übernommene Positionen, Mengen und Preise vor der Verwendung.

(3) Der Nutzer lädt nur Dokumente hoch, zu deren Verarbeitung er berechtigt ist, und keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO.

(4) Der Anbieter darf die Nutzung des KI-Imports mengenmäßig begrenzen (Fair Use).

§ 8 Verfügbarkeit und Support

(1) Der Anbieter bemüht sich um eine hohe Verfügbarkeit von BizFlow, garantiert aber keine ununterbrochene Verfügbarkeit. Wartungsarbeiten und Updates können zu kurzen Unterbrechungen führen und werden nach Möglichkeit vorab angekündigt. Ausfälle, die der Anbieter nicht zu vertreten hat (z. B. Störungen von Internet oder Hoster, höhere Gewalt), begründen keine Ansprüche.

(2) Support erfolgt per E-Mail an office@vestit.at innerhalb angemessener Frist zu üblichen Geschäftszeiten. Ein Anspruch auf bestimmte Reaktionszeiten besteht nicht.

§ 9 Entgelt

(1) Ob und in welcher Höhe für die Nutzung ein Entgelt anfällt, ergibt sich aus dem Angebot bzw. der Preisliste des Anbieters. Ist kein Entgelt vereinbart, erfolgt die Nutzung unentgeltlich.

(2) Der Anbieter ist derzeit Kleinunternehmer im Sinne des § 6 Abs. 1 Z 27 UStG; solange dies gilt, wird keine Umsatzsteuer ausgewiesen.

(3) Rechnungen sind, sofern nicht anders angegeben, innerhalb von 14 Tagen ab Rechnungsdatum ohne Abzug zu bezahlen. Bei Zahlungsverzug gelten Verzugszinsen in gesetzlicher Höhe (§ 456 UGB).

§ 10 Sperre der Lizenz

(1) Der Anbieter darf die Lizenz vorübergehend deaktivieren („Sperre“), wenn der Nutzer trotz Mahnung mit fälligen Zahlungen in Verzug ist, gegen diese Bedingungen verstößt oder ein begründeter Verdacht auf Missbrauch oder ein Sicherheitsrisiko besteht.

(2) Bei einer Sperre ist keine Anmeldung möglich; die Daten des Nutzers bleiben unverändert gespeichert. Nach Wegfall des Grundes wird die Lizenz wieder aktiviert.

(3) Außer bei Gefahr im Verzug fordert der Anbieter den Nutzer vor der Sperre per E-Mail unter angemessener Fristsetzung zur Abhilfe auf.

(4) Auf Anfrage stellt der Anbieter dem Nutzer auch bei gesperrter Lizenz einen Export seiner Daten zur Verfügung, soweit dem keine Sicherheitsbedenken entgegenstehen.

§ 11 Laufzeit und Kündigung

(1) Der Vertrag wird auf unbestimmte Zeit geschlossen.

(2) Der Nutzer kann jederzeit in Textform (E-Mail genügt) kündigen; bei entgeltlicher Nutzung zum Ende des laufenden Abrechnungszeitraums.

(3) Der Anbieter kann mit einer Frist von einem Monat zum Monatsende kündigen.

(4) Beide Seiten können aus wichtigem Grund fristlos kündigen. Ein wichtiger Grund für den Anbieter liegt insbesondere bei schwerwiegenden Verstößen gegen §§ 4 und 5 oder bei Zahlungsverzug trotz Nachfrist vor.

(5) Nach Vertragsende kann der Nutzer innerhalb von 30 Tagen den Export seiner Daten verlangen. Danach werden die Daten gemäß Anlage 1, Ziffer 8 gelöscht.

§ 12 Aufbewahrungspflichten und Datenexport

Gesetzliche Aufbewahrungspflichten für Bücher, Aufzeichnungen und Belege (in Österreich in der Regel sieben Jahre, § 132 BAO) treffen den Nutzer selbst. BizFlow ist kein System zur Langzeitarchivierung. Der Nutzer exportiert seine Rechnungen (PDF, CSV) regelmäßig und jedenfalls vor Vertragsende und bewahrt sie außerhalb von BizFlow auf. Die Sicherungskopien des Anbieters (Anlage 2) dienen der Wiederherstellung im Störungsfall und ersetzen die Aufbewahrung durch den Nutzer nicht.

§ 13 Haftung

(1) Der Anbieter haftet für Schäden nur bei Vorsatz oder grober Fahrlässigkeit. Bei leichter Fahrlässigkeit haftet er nur für die Verletzung wesentlicher Vertragspflichten, und zwar beschränkt auf den typischerweise vorhersehbaren Schaden.

(2) Die Haftung für entgangenen Gewinn, ausgebliebene Einsparungen, Folgeschäden und reine Vermögensschäden ist außer bei Vorsatz oder grober Fahrlässigkeit ausgeschlossen.

(3) Für Schäden aus Datenverlust haftet der Anbieter nur, soweit der Nutzer seine Daten regelmäßig exportiert und damit gesichert hat, sodass sie mit vertretbarem Aufwand wiederhergestellt werden können.

(4) Der Anbieter haftet nicht für steuerliche oder rechtliche Folgen fehlerhafter Angaben des Nutzers oder unzutreffender Voreinstellungen im Einzelfall (§ 6), nicht für Ergebnisse des KI-Imports (§ 7) und für Leistungen Dritter (z. B. Hoster) nur bei Auswahlverschulden.

(5) Die Haftung für Personenschäden sowie zwingende gesetzliche Haftungstatbestände bleiben unberührt.

§ 14 Datenschutz und Auftragsverarbeitung

(1) Informationen zur Verarbeitung der Kontodaten des Nutzers enthält die Datenschutzerklärung.

(2) Soweit der Anbieter personenbezogene Daten im Auftrag des Nutzers verarbeitet, insbesondere Daten von Kunden des Nutzers, gilt der Auftragsverarbeitungsvertrag in Anlage 1. Für diese Daten ist der Nutzer Verantwortlicher.

§ 15 Änderungen dieser Bedingungen

Der Anbieter teilt Änderungen dieser Bedingungen dem Nutzer per E-Mail oder in der Anwendung mindestens vier Wochen vor Inkrafttreten mit. Sie gelten als genehmigt, wenn der Nutzer nicht vor Inkrafttreten widerspricht; darauf weist der Anbieter in der Mitteilung besonders hin. Widerspricht der Nutzer, können beide Seiten den Vertrag zum Zeitpunkt des Inkrafttretens kündigen.

§ 16 Schlussbestimmungen

(1) Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen und des UN-Kaufrechts.

(2) Gerichtsstand ist das für Linz sachlich zuständige Gericht.

(3) Änderungen und Ergänzungen bedürfen der Textform; E-Mail genügt.

(4) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

(5) Der Nutzer darf Rechte und Pflichten aus diesem Vertrag nur mit Zustimmung des Anbieters übertragen.

Anlage 1 — Auftragsverarbeitungsvertrag (AVV)

AVV 1 Gegenstand und Dauer

Diese Anlage konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO. Der Nutzer ist Verantwortlicher („Auftraggeber“), der Anbieter ist Auftragsverarbeiter („Auftragnehmer“).

Der Anbieter verarbeitet im Auftrag des Nutzers personenbezogene Daten im Rahmen des Betriebs von BizFlow, ausschließlich zur Bereitstellung der vereinbarten Leistungen. Die Dauer entspricht der Laufzeit des Vertrags und endet mit Rückgabe bzw. Löschung der Daten (Ziffer 8).

Nicht Gegenstand dieser Anlage sind Daten, die der Anbieter als eigener Verantwortlicher verarbeitet (Benutzerkonto, Lizenz, Server-Logfiles); dafür gilt die Datenschutzerklärung.

AVV 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

Art und Zweck: Speicherung, Abruf, Anzeige, Verknüpfung, Erzeugung von PDF-Dokumenten, Export und Sicherung von Daten sowie – auf Veranlassung des Nutzers – KI-gestützte Auswertung hochgeladener Dokumente. Zweck ist die Erstellung und Verwaltung von Angeboten und Rechnungen des Nutzers.

Arten personenbezogener Daten:

• Personenstammdaten (z. B. Name, Firma, Anschrift)
• Kommunikationsdaten (z. B. E-Mail-Adresse, Telefonnummer)
• Vertragsstammdaten (z. B. Angebote, Rechnungen, Positionen, Notizen, Belegnummern)
• Vertragsabrechnungs- und Zahlungsdaten (z. B. IBAN, BIC, Beträge, Zahlungsstatus, UID- und Steuernummer)
• Protokolldaten (z. B. technische Zugriffsprotokolle, IP-Adressen)
• vom Nutzer hochgeladene Dokumente und Firmenlogos

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen und dürfen vom Nutzer nicht erfasst werden.

Kreis der Betroffenen:

• Kunden und Interessenten des Nutzers (Empfänger von Angeboten und Rechnungen) sowie deren Ansprechpartner
• Lieferanten und Geschäftspartner des Nutzers, soweit in Dokumenten genannt
• Mitarbeiter des Nutzers, soweit in Dokumenten genannt

AVV 3 Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Nutzers. Die Nutzung der Funktionen und Einstellungen von BizFlow gilt als Weisung. Weitere Weisungen erteilt der Nutzer in Textform an office@vestit.at.

Der Anbieter informiert den Nutzer unverzüglich, wenn er eine Weisung für rechtswidrig hält, und darf deren Ausführung bis zur Klärung aussetzen. Eine Verarbeitung für andere Zwecke erfolgt nur, wenn der Anbieter dazu durch Unionsrecht oder das Recht eines Mitgliedstaats verpflichtet ist; in diesem Fall informiert er den Nutzer vorab, sofern dies rechtlich zulässig ist.

AVV 4 Pflichten des Anbieters

• Vertraulichkeit: Der Anbieter verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit.
• Sicherheit: Der Anbieter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und entwickelt sie weiter.
• Betroffenenrechte: Anfragen Betroffener leitet der Anbieter unverzüglich an den Nutzer weiter und beantwortet sie nicht selbst. Er unterstützt den Nutzer im Rahmen des Zumutbaren bei der Erfüllung der Rechte der Betroffenen.
• Unterstützung: Der Anbieter unterstützt den Nutzer bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
• Verletzungen des Schutzes personenbezogener Daten: Der Anbieter informiert den Nutzer unverzüglich, nach Möglichkeit innerhalb von 48 Stunden nach Kenntnis, und stellt die für eine Meldung erforderlichen Informationen bereit.
• Verzeichnis: Der Anbieter führt ein Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO.

AVV 5 Unterauftragsverarbeiter

Der Nutzer erteilt dem Anbieter die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Zum Zeitpunkt dieser Fassung sind eingesetzt:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Hosting der Anwendung und Datenbank, Server-Sicherungen sowie Speicherplatz (Storage Box) für verschlüsselte Datenbanksicherungen; Standort innerhalb der EU. Hetzner setzt seinerseits Subunternehmer gemäß der von Hetzner veröffentlichten Übersicht ein.
• Anthropic PBC, San Francisco, USA: ausschließlich für den KI-Import und nur, wenn der Nutzer diese Funktion verwendet; verarbeitet wird der Inhalt des hochgeladenen Dokuments (siehe Ziffer 6).

Über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) informiert der Anbieter den Nutzer rechtzeitig in Textform, in der Regel mindestens 14 Tage im Voraus; bei Änderungen, von denen der Anbieter selbst erst kurzfristig erfährt (z. B. bei Unterauftragnehmern des Hosters), unverzüglich nach Kenntnis. Der Nutzer kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, haben beide Seiten ein Sonderkündigungsrecht zum Zeitpunkt der Änderung. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, die in dieser Anlage festgelegt sind.

AVV 6 Übermittlung in Drittländer (KI-Import)

Eine Übermittlung personenbezogener Daten in ein Drittland findet nur statt, wenn der Nutzer den KI-Import verwendet: Der Inhalt des hochgeladenen Dokuments wird an Anthropic PBC in den USA übermittelt. Grundlage sind geeignete Garantien gemäß Art. 46 DSGVO (insbesondere EU-Standardvertragsklauseln).

Der Nutzer entscheidet selbst und im Einzelfall, ob er diese Funktion verwendet. Ohne Nutzung des KI-Imports erfolgt keine Übermittlung in Drittländer.

AVV 7 Nachweise und Kontrollen

Der Anbieter stellt dem Nutzer auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung dieser Anlage zur Verfügung (z. B. Beschreibung der Maßnahmen, Nachweise des Hosters, soweit verfügbar).

Überprüfungen einschließlich Inspektionen sind nach Anmeldung mindestens vier Wochen im Voraus während der üblichen Geschäftszeiten möglich, ohne den Betriebsablauf unverhältnismäßig zu stören. Die Vertraulichkeit der Daten anderer Nutzer und die Sicherheit des Systems sind zu wahren. Die Kosten trägt der Nutzer. Ein Zutritt zu den Rechenzentren des Hosters ist nicht möglich; hierfür gelten dessen Nachweise.

AVV 8 Rückgabe und Löschung

Nach Vertragsende kann der Nutzer innerhalb von 30 Tagen den Export seiner Daten (PDF, CSV) verlangen. Danach löscht der Anbieter die Daten aus der produktiven Datenbank.

Sicherungskopien werden im Rahmen ihres Rotationszyklus automatisch gelöscht: Server-Sicherungen bei Hetzner nach 7 Tagen, verschlüsselte Datenbanksicherungen spätestens nach sechs Monaten. Bis dahin werden sie nicht für andere Zwecke verwendet. Gesetzliche Aufbewahrungspflichten des Anbieters bleiben unberührt. Auf Verlangen bestätigt der Anbieter die Löschung in Textform.

AVV 9 Pflichten des Nutzers als Verantwortlicher

• Der Nutzer ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für eine Rechtsgrundlage der Datenerfassung, verantwortlich.
• Der Nutzer erfüllt gegenüber seinen Kunden und sonstigen Betroffenen die Informationspflichten nach Art. 13 und 14 DSGVO und beantwortet deren Anfragen.
• Der Nutzer erfasst keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und keine Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO).
• Der Nutzer beschränkt Freitextfelder auf das erforderliche Maß (Datenminimierung).
• Ansprechpartner des Anbieters für Datenschutzfragen: office@vestit.at.

AVV 10 Haftung und Schlussbestimmungen

Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gilt § 13 der Nutzungsbedingungen.

Bei Widersprüchen zwischen dieser Anlage und den übrigen Bedingungen gehen die Regelungen dieser Anlage in Fragen des Datenschutzes vor. Die Anlage teilt das rechtliche Schicksal des Hauptvertrags.

Anlage 2 — Technisch-organisatorische Maßnahmen (TOM)

TOM 1 Vertraulichkeit

• Physischer Zutritt: Die Server stehen in Rechenzentren der Hetzner Online GmbH in der EU; es gelten die Zutrittskontrollen von Hetzner.
• Zugang: individuelle Benutzerkonten; Passwörter werden ausschließlich als bcrypt-Hashwert gespeichert; Zugang zur Anwendung nur mit gültiger, aktiver Lizenz; zeitlich begrenzte Anmelde-Token; administrativer Zugang zum Server ausschließlich durch den Anbieter; automatische Sperre bei wiederholten Fehlversuchen (fail2ban).
• Zugriff und Mandantentrennung: Alle Datenbankabfragen der Anwendung sind auf das jeweilige Benutzerkonto beschränkt. Die Datenbank ist aus dem Internet nicht erreichbar, sondern nur im internen Netz der Anwendung.
• Organisatorisch: Der Anbieter greift auf Inhaltsdaten des Nutzers nur zu, soweit dies für Wartung, Fehlerbehebung oder auf Anweisung des Nutzers erforderlich ist.

TOM 2 Integrität

• Weitergabe: Übertragung ausschließlich verschlüsselt (HTTPS/TLS mit HSTS); Datenbanksicherungen werden verschlüsselt gespeichert.
• Eingabe und Nachvollziehbarkeit: Ausgestellte Rechnungen können nicht gelöscht, sondern nur storniert werden; fortlaufende Belegnummern; Erstellungs- und Änderungszeitpunkte werden gespeichert.

TOM 3 Verfügbarkeit und Belastbarkeit

• Datensicherung: tägliche verschlüsselte Datenbanksicherung auf getrenntem Speicher (Storage Box; 7 tägliche, 4 wöchentliche und 6 monatliche Stände) sowie Server-Sicherungen des Hosters (7 Tage).
• Wiederherstellung: Die Wiederherstellbarkeit der Datenbanksicherungen wird getestet und in regelmäßigen Abständen wiederholt.
• Ausfallsicherheit: automatischer Neustart der Dienste nach einem Ausfall.
• Schutz vor Angriffen: Web Application Firewall (ModSecurity mit OWASP Core Rule Set), Ratenbegrenzung (Rate Limiting), automatische Sperre auffälliger Zugriffe (fail2ban).
• Aktualität: regelmäßige Einspielung von Sicherheitsupdates des Betriebssystems.

TOM 4 Überprüfung und Weiterentwicklung

• Protokolle (Server-Logfiles) werden maximal 14 Tage aufbewahrt und zur Erkennung und Aufklärung von Sicherheitsvorfällen ausgewertet.
• Die Maßnahmen werden bei wesentlichen Änderungen der Anwendung oder der Risikolage überprüft und angepasst.
• Der KI-Import wird nur auf aktive Auslösung durch den Nutzer ausgeführt (Datenminimierung).

Weitere Maßnahmen des Rechenzentrumsbetreibers (Hetzner Online GmbH) ergeben sich aus dessen technischen und organisatorischen Maßnahmen, die Hetzner veröffentlicht.