Datenschutzhinweise zur Software RIFA

1. Rollen

• Verantwortlicher für die in RIFA verarbeiteten Daten (inkl. Daten seiner Endkunden und – soweit genutzt – Beschäftigten): der jeweilige RIFA-Kunde.
• Auftragsverarbeiter: Stefan Drews / ESHO, An der Küchenbreite 18, 06311 Helbra („ESHO"), E-Mail kontakt@esho.de.
• Die Auftragsverarbeitung erfolgt auf Grundlage des AVV nach Art. 28 DSGVO und des Hauptvertrags. Der Kunde stellt die Rechtsgrundlage gegenüber Betroffenen sicher.

Der AVV wird vor Beginn der Auftragsverarbeitung zwischen den Parteien abgeschlossen. Die konkrete Form der Annahme (z. B. elektronische Annahme bei Bestellung oder vor Produktivfreischaltung) wird im Bestell- bzw. Freischaltprozess dokumentiert.

ESHO als eigener Verantwortlicher: Daten, die ESHO zur Abwicklung des RIFA-Vertrags verarbeitet (Ansprechpartner, Vertrags-, Abrechnungs- und Supportdaten des Kunden), verarbeitet ESHO als Verantwortlicher nach Art. 6 Abs. 1 lit. b und c DSGVO. Sie werden nach Vertragsende gelöscht, soweit keine handels- oder steuerrechtlichen Aufbewahrungspflichten (§ 257 HGB, § 147 AO) bestehen. Kontakt: kontakt@esho.de. Ihre Rechte nach Art. 15–21 DSGVO und das Beschwerderecht bei der Landesbeauftragten für den Datenschutz Sachsen-Anhalt gelten entsprechend; im Übrigen gilt die Datenschutzerklärung der Webseite.

2. Gegenstand und Zwecke

ESHO verarbeitet personenbezogene Daten im Auftrag, soweit dies für den Betrieb von RIFA erforderlich ist, insbesondere:

• Bereitstellung und Betrieb der Anwendung und Datenbank,
• Datensicherung und Wiederherstellung,
• Support nach Anforderung des Kunden,
• technische Protokollierung zur Sicherheit und Störungsbeseitigung,
• bei gebuchten Funktionen: Integrationen und Automatisierung.

E-Mails aus RIFA werden über den vom Kunden hinterlegten SMTP-Server versandt; für diesen Dienst ist der Kunde verantwortlich.

3. Kategorien von Daten und Betroffenen

Je nach Nutzung u. a.: Stammdaten von Kunden/Lieferanten/Kontakten des RIFA-Kunden, Beleg- und Auftragsdaten, Kommunikationsdaten, Benutzerkennungen und Berechtigungen, technische Protokolldaten, Dateien in Ablage und Belegarchiv.

Personalmodul: nur soweit vom Kunden gebucht und genutzt. Dann können Beschäftigtendaten verarbeitet werden; besondere Kategorien personenbezogener Daten nur, soweit der Kunde dafür eine geeignete Rechtsgrundlage hat und die Funktion aktiviert.

4. Hosting und Speicherorte

• Anwendung und Datenbank: Server-Infrastruktur der Contabo GmbH, Welfenstraße 22, 81541 München, in Rechenzentren der Contabo-Gruppe in Deutschland und Frankreich (EU). Auch der Standort in Frankreich wird von Contabo betrieben; ein weiterer Anbieter ist dafür nicht eingebunden.
• Datensicherungen von Datenbank und Dateien: Objektspeicher der IONOS Cloud GmbH (Elgendorfer Str. 57, 56410 Montabaur) in einem Bucket in Frankfurt (deutsche Region). Es gilt ein AVV mit der IONOS Cloud GmbH.
• Belegarchiv: Objektspeicher der IONOS Cloud GmbH in Deutschland (Berlin bzw. Frankfurt am Main).
• Dateiablage (produktiv): Objektspeicher der IONOS Cloud GmbH, Rechenzentrum Berlin. Die Datensicherungen (Backups von Datenbank und Dateien) liegen weiterhin im Rechenzentrum Frankfurt.

5. Datensicherung – Häufigkeit, Verschlüsselung, Aufbewahrung

• Häufigkeit: in allen Paketen einmal täglich (Datenbank und Dateien). Zusätzlich werden für die Datenbank fortlaufend Transaktionsprotokolle (WAL) archiviert, soweit technisch eingerichtet.
• Verschlüsselung: Sicherungskopien werden vor dem Upload clientseitig mit AES-256 verschlüsselt; der Speicheranbieter erhält kryptografisch geschützte Daten (Ciphertext).
• Sicherungskopien werden verschlüsselt und getrennt vom Produktivsystem gespeichert.
• Sicherungskopien werden in regelmäßiger Rotation gelöscht, spätestens nach zwölf Monaten. Das Belegarchiv wird so lange aufbewahrt, wie es gesetzlich erforderlich oder mit dem Kunden vereinbart ist.

Die genaue technische Ausgestaltung kann sich mit dem Betrieb weiterentwickeln; maßgeblich bleiben AVV und die tatsächlich eingesetzte Konfiguration.

6. Unterauftragsverarbeiter

Als Unterauftragsverarbeiter im Sinne von Art. 28 DSGVO werden eingesetzt:

• Contabo GmbH, Welfenstraße 22, 81541 München – Server für RIFA-Anwendung und -Datenbank sowie Webspace und E-Mail, Standorte Deutschland und Frankreich (EU);
• IONOS Cloud GmbH, Elgendorfer Str. 57, 56410 Montabaur – Objektspeicher für Dateiablage, Belegarchiv und Datensicherungen (Berlin und Frankfurt am Main);
• Schlund Technologies GmbH, Johanna-Dachs-Str. 55, 93055 Regensburg – DNS-/Nameserverleistungen, soweit dabei personenbezogene Daten im Auftrag verarbeitet werden;
• AnyDesk Software GmbH, Türlenstraße 2, 70191 Stuttgart – Fernwartung über AnyDesk-Server, nur nach Freigabe durch den Kunden je Sitzung. Die Verarbeitung erfolgt grundsätzlich in der EU bzw. im EWR. Soweit AnyDesk oder dessen Unterauftragsverarbeiter Daten in Drittländer übermitteln, geschieht dies nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage von Standardvertragsklauseln.

Ticket-, E-Mail- und Push-Systeme betreibt ESHO auf eigener Infrastruktur. Weitere Unterauftragsverarbeiter setzt ESHO derzeit nicht ein. Für Drittanbieter-Anbindungen, die der Kunde aktiviert, gilt Abschnitt 12. Änderungen teilt ESHO nach dem Verfahren im AVV mit.

7. Anmeldung und Zwei-Faktor-Authentifizierung (2FA)

• Die Zwei-Faktor-Anmeldung ist für Konten mit administrativen oder zahlungsrelevanten Rechten standardmäßig verpflichtend und für alle weiteren Benutzer aktivierbar.
• Verarbeitet werden können: Benutzerkennung, Passwort-Hash, 2FA-Geheimnisse/Gerätebindung, Wiederherstellungscodes, Anmelde- und Fehlversuchsprotokolle.
• Zweck: Schutz vor unbefugtem Zugriff. Verarbeitung durch ESHO: AVV / Art. 28 und Art. 32 DSGVO.

8. Speicherdauer, Abruf nach Vertragsende, Löschung

• Während der Vertragslaufzeit: nach Weisung des Kunden und unter Beachtung der vom Kunden einzuhaltenden gesetzlichen Aufbewahrungspflichten.
• Nach Vertragsende: Abrufphase von 30 Kalendertagen (gemäß AGB/AVV). In dieser Zeit können Sie Ihre Daten direkt in RIFA herunterladen; ohne aktiven Zugang stellt ESHO den Export auf Anfrage bereit.
• Anschließend werden die Daten gelöscht. Sicherungskopien laufen in der regulären Rotation aus, spätestens nach zwölf Monaten; Unveränderbarkeitssperren können die endgültige Löschung verzögern. Belegarchiv-Kopien bleiben nur, soweit gesetzlich erforderlich oder vereinbart.

9. Sicherheit (TOM – Auszug)

• Transportverschlüsselung (HTTPS) für den Zugang zur Anwendung,
• clientseitige AES-256-Verschlüsselung der Sicherungskopien vor dem Upload,
• Mandantentrennung: eigene Datenbank je Betrieb,
• Rollen und Berechtigungen,
• Sperre des Kontos für 15 Minuten nach 5 Fehlversuchen,
• automatische Abmeldung nach 60 Minuten Inaktivität und Sitzungsdauer von höchstens 12 Stunden,
• Zwei-Faktor-Anmeldung, für Konten mit administrativen oder zahlungsrelevanten Rechten standardmäßig verpflichtend, für weitere Benutzer aktivierbar.

Einzelheiten: AVV Anlage 2 (TOMs).

10. Betroffenenrechte

Betroffene wenden sich an den RIFA-Kunden als Verantwortlichen. ESHO unterstützt den Kunden bei Auskunft, Berichtigung, Löschung und Einschränkung im Rahmen des AVV. Gesetzliche Aufbewahrungsfristen und technische Restlaufzeiten von Backups/Archiven können einer sofortigen vollständigen Löschung entgegenstehen. RIFA stellt Funktionen zur Unterstützung von Auskunft und Export bereit.

11. Kontakt Auftragsverarbeiter

Stefan Drews / ESHO, An der Küchenbreite 18, 06311 Helbra, kontakt@esho.de, Tel. +49 34772 989001.

12. Schnittstellen zu Drittanbietern

Aktiviert der Kunde eine Anbindung (z. B. PayPal, Lexware Office), übermittelt RIFA die dafür erforderlichen Daten auf Veranlassung des Kunden an den jeweiligen Anbieter; der Anbieter verarbeitet sie auf Grundlage seines Vertrags mit dem Kunden in eigener Verantwortung.

13. Stand

Stand: 18. Oktober 2026. Maßgeblich ist die mit dem Kunden vereinbarte AVV-Fassung einschließlich Anlagen.