Vertrag zur Auftrags­verarbeitung

Vertrag nach Art. 28 DSGVO zwischen zyntix und jedem Betrieb, der KREIS nutzt. Fassung 2026-11 vom 9. November 2026.

§ 1 Gegenstand und Parteien

1. Dieser Vertrag gilt zwischen der zyntix UG (haftungsbeschränkt), Torstraße 105-107, 10119 Berlin, Amtsgericht Charlottenburg, HRB 288348 B („zyntix“, Auftragsverarbeiter) und dem Unternehmen, das mit zyntix den Nutzungsvertrag über KREIS geschlossen hat (Name, Anschrift und Vertretung nach dem Nutzungsvertrag; „Betrieb“, Verantwortlicher).
2. zyntix stellt dem Betrieb die Software KREIS als Dienst über das Internet bereit. Grundlage sind der Nutzungsvertrag, auch für den unentgeltlichen Test (Ziffern 6.1 und 6.2 der AGB), und die AGB von zyntix. Im Sinne der AGB ist der Betrieb der „Auftraggeber“ und zyntix der „Auftragnehmer“. Dabei verarbeitet zyntix personenbezogene Daten im Auftrag des Betriebs; dieser Vertrag regelt die Pflichten nach Art. 28 DSGVO, wie Ziffer 2.1 der AGB es vorsieht.
3. Der Betrieb bleibt Verantwortlicher (Art. 4 Nr. 7 DSGVO). Er entscheidet, welche Daten er in KREIS erfasst. Er ist für die Rechtmäßigkeit der Verarbeitung und für die Rechte der betroffenen Personen zuständig. Er informiert die betroffenen Personen (Art. 13 und 14 DSGVO) und weist zyntix auf Fehler in seinen Weisungen hin, sobald er sie erkennt. Die Kontaktangaben seiner Betriebsleitungen und seiner Ansprechperson hält er aktuell. Betriebsleitung ist jedes Konto mit der Stufe „Betriebsleitung“ in KREIS. Mitteilungen von zyntix gehen in Textform an die Betriebsleitungen und die Ansprechperson (zusammen „Ansprechstellen“).
4. Nicht Gegenstand dieses Vertrags sind Daten, die zyntix als eigener Verantwortlicher verarbeitet: Anfragen über die Website zyntix-kreis.de und die Vertrags- und Abrechnungsdaten des Betriebs, auch soweit der Zahlungsdienstleister Stripe sie verarbeitet. Für sie gilt die Datenschutzerklärung von zyntix. Support-Anfragen des Betriebs gehören zu diesem Vertrag, soweit sie Daten aus KREIS enthalten.

§ 2 Art, Zweck und Dauer der Verarbeitung

1. zyntix betreibt KREIS für den Betrieb. Mit KREIS nimmt der Betrieb Aufträge an, plant Einsätze, erfasst Arbeitszeit, bucht Material, Geräte und Rückläufer, legt Fotos und Dokumente zu Aufträgen ab, sammelt und prüft seine Eingangsbelege und tauscht sich mit seinen Kunden aus. Dazu gehören die App für Monteure sowie der Versand von Mails und Push-Mitteilungen. Auf Wunsch des Betriebs kommen die Anbindung seines Postfachs, KI-Funktionen und das Abo des Kalenders aus KREIS in einer Kalender-App dazu.
2. zyntix speichert, sichert, ordnet, fragt ab, zeigt an, löscht und übermittelt an die Nutzer des Betriebs und an die Empfänger, die der Betrieb bestimmt. Dafür betreibt zyntix Server, Datenbank, Anmeldedienst und Dateispeicher (Anlage 2). Den Zugang von zyntix zu Inhalten regeln § 4 Abs. 8 und 9.
3. Welche Personen und Daten betroffen sind, steht in Anlage 1. Darunter können Gesundheitsdaten sein (Art. 9 DSGVO), etwa wenn der Betrieb „krank“ als Grund einer Abwesenheit einträgt.
4. Die Verarbeitung dauert vom Beginn des Nutzungsvertrags bis zur Löschung oder Rückgabe aller Daten nach § 11.

§ 3 Weisungen

1. zyntix verarbeitet die Daten nur auf dokumentierte Weisung des Betriebs (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Die Weisungen stehen in diesem Vertrag, im Nutzungsvertrag und in den Einstellungen, die der Betrieb in KREIS selbst vornimmt.
2. Weitere Weisungen erteilt der Betrieb in Textform an info@zyntix-kreis.de; eine E-Mail genügt. Weisungsberechtigt sind die aktiven Betriebsleitungen in KREIS und die im Nutzungsvertrag genannte Ansprechperson.
3. Eine Weisung, die den ganzen Datenbestand betrifft (Herausgabe, Löschung, Übertragung an Dritte), lässt zyntix zuerst von der Ansprechperson auf einem zweiten Weg bestätigen (etwa telefonisch) und führt sie danach unverzüglich aus. Ist die Ansprechperson nicht erreichbar, bestätigt eine andere Betriebsleitung.
4. Weisungen nach § 7 Abs. 3 und § 11 führt zyntix im üblichen Umfang ohne zusätzliche Vergütung aus. Verlangt eine Weisung darüber hinaus Aufwand, nennt zyntix vorab Aufwand und Preis und führt sie nach Bestätigung des Betriebs aus.
5. Hält zyntix eine Weisung für rechtswidrig, weist es den Betrieb unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO). zyntix darf die Ausführung aussetzen, bis der Betrieb die Weisung bestätigt oder ändert.
6. Ohne Weisung verarbeitet zyntix die Daten nur, wenn das Recht der Union oder Deutschlands es verlangt. zyntix teilt dem Betrieb das vorher mit, sofern das Recht die Mitteilung nicht verbietet.

§ 4 Pflichten von zyntix

1. zyntix setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Zugang zu Daten der Betriebe haben nur Personen, die ihn für die Bereitstellung von KREIS brauchen (Anlage 2).
2. zyntix nutzt die Daten nicht für eigene Zwecke. Weiter gibt es sie nur an die Unterauftragsverarbeiter nach § 6 und an Empfänger, die der Betrieb in KREIS selbst bestimmt, außerdem in den Fällen von Absatz 7. Weder zyntix noch ein Unterauftragsverarbeiter verwendet sie zum Training von KI-Modellen.
3. Kopien legt zyntix nur an, soweit die Bereitstellung von KREIS sie erfordert (Sicherungen nach Anlage 2 und vor Änderungen an der Datenbank nach § 11 Abs. 4) oder das Recht es vorschreibt.
4. zyntix unterstützt den Betrieb bei seinen Pflichten aus Art. 32 bis 36 DSGVO, also bei der Sicherheit, bei Meldungen, bei einer Datenschutz-Folgenabschätzung und bei der vorherigen Konsultation der Aufsichtsbehörde. Maßstab sind die Art der Verarbeitung und die Informationen, die zyntix vorliegen.
5. zyntix führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
6. zyntix informiert den Betrieb unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie die Verarbeitung nach diesem Vertrag betreffen.
7. Verlangt eine Behörde oder ein Gericht Daten des Betriebs von zyntix, verweist zyntix sie an den Betrieb. zyntix gibt Daten nur heraus, wenn das Recht es zwingend verlangt. Soweit es zulässig ist, teilt zyntix das dem Betrieb vorher mit.
8. Im Support sieht zyntix Inhalte des Betriebs nur, wenn eine Betriebsleitung das für ein bestimmtes Anliegen freigibt. Der Zugang ist lesend und endet, wenn das Anliegen erledigt ist.
9. Für Bereitstellung, Sicherung und Störungsbeseitigung haben Administratoren von zyntix technischen Zugang zu den Servern. Sie greifen auf Inhalte nur zu, soweit diese Aufgaben es unumgänglich machen.

§ 5 Sicherheit der Verarbeitung

1. zyntix trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 2. Damit hält es unter Berücksichtigung des Stands der Technik ein dem Risiko angemessenes Schutzniveau.
2. Kern der Maßnahmen ist die Trennung der Betriebe (Anlage 2). Sie ist darauf ausgelegt, dass ein Konto eines Betriebs die Daten eines anderen nicht lesen kann. Automatische Tests prüfen sie bei jeder Änderung. Eine Garantie im Sinne von Ziffer 5.1 der AGB ist das nicht.
3. zyntix darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert zyntix und teilt sie den Ansprechstellen vorab in Textform mit.

§ 6 Unter­auftrags­verarbeiter

1. Der Betrieb genehmigt die Unterauftragsverarbeiter aus Anlage 3 (allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO).
2. Will zyntix einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, teilt es den Ansprechstellen mindestens vier Wochen vorher in Textform mit: Name und Anschrift, Leistung, betroffene Daten, Ort der Verarbeitung und die Grundlage einer Übermittlung in ein Drittland. Fällt ein Unterauftragsverarbeiter aus, darf zyntix sofort einen gleichwertigen Ersatz einsetzen und teilt das unverzüglich mit.
3. Der Betrieb kann innerhalb von zwei Wochen nach der Mitteilung aus datenschutzrechtlichen Gründen widersprechen. Finden die Parteien binnen zwei Wochen nach dem Widerspruch keine Lösung, kann der Betrieb den Nutzungsvertrag außerordentlich zum Zeitpunkt der Änderung kündigen.
4. zyntix verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO). Erfüllt ein Unterauftragsverarbeiter seine Pflichten nicht, haftet zyntix dem Betrieb dafür wie für eigenes Handeln.
5. Kein Unterauftrag sind Nebenleistungen ohne Zugriff auf Daten der Betriebe, etwa Telekommunikation oder das Hosting des Quellcodes.

§ 7 Rechte der betroffenen Personen

1. zyntix unterstützt den Betrieb mit geeigneten technischen und organisatorischen Maßnahmen, damit er Anträge betroffener Personen nach Art. 12 bis 22 DSGVO beantworten kann (Art. 28 Abs. 3 Satz 2 lit. e DSGVO).
2. Vieles erledigt der Betrieb in KREIS selbst: Er berichtigt Stamm- und Kontaktdaten, sperrt Konten, zieht offene Einladungen zurück und gibt die verbuchten Stunden aus Rückläufern als Datei aus. Fotos und Dokumente löscht er selbst, solange ein Auftrag nicht erledigt ist.
3. Was KREIS nicht selbst kann, erledigt zyntix auf Weisung des Betriebs: die Auskunft über die Daten einer Person, ihre Herausgabe in einem maschinenlesbaren Format oder das Löschen einzelner Einträge. zyntix führt die Weisung innerhalb von zehn Arbeitstagen nach Eingang aus. Läuft die Frist des Betriebs nach Art. 12 Abs. 3 DSGVO früher ab, nennt der Betrieb das Datum in der Weisung. zyntix führt sie dann so früh aus, wie es technisch möglich ist.
4. Ob eine Löschung eine Aufbewahrungspflicht verletzt, etwa bei Arbeitszeit oder Belegen, prüft der Betrieb, bevor er sie anweist.
5. Wendet sich eine betroffene Person direkt an zyntix, leitet zyntix den Antrag unverzüglich an den Betrieb weiter und beantwortet sie nicht selbst in der Sache.

§ 8 Verletzungen des Schutzes personen­bezogener Daten

1. zyntix meldet dem Betrieb jede Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) unverzüglich, spätestens 24 Stunden, nachdem sie zyntix bekannt geworden ist (Art. 33 Abs. 2 DSGVO). Bekannt ist sie, sobald zyntix mit hinreichender Sicherheit weiß, dass Daten des Betriebs betroffen sind.
2. Die Meldung geht in Textform an die Ansprechstellen. Sie enthält, soweit bekannt: (a) was geschehen ist; (b) welche Gruppen von Personen und Daten betroffen sind und wie viele Personen und Datensätze ungefähr; (c) die wahrscheinlichen Folgen; (d) die ergriffenen und die vorgeschlagenen Maßnahmen; (e) eine Ansprechperson bei zyntix. Was noch nicht feststeht, reicht zyntix nach, sobald es bekannt ist.
3. zyntix ergreift unverzüglich die erforderlichen und zumutbaren Maßnahmen, um die Verletzung zu beenden und ihre Folgen zu mindern. Das weitere Vorgehen stimmt zyntix mit dem Betrieb ab.
4. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen (Art. 33 und 34 DSGVO) übernimmt der Betrieb. zyntix unterstützt ihn dabei mit allen Informationen, die zyntix vorliegen.

§ 9 Nachweise und Kontrollen

1. zyntix weist die Einhaltung seiner Pflichten nach (Art. 28 Abs. 3 Satz 2 lit. h DSGVO): auf Anfrage mit der aktuellen Fassung von Anlage 2, mit Nachweisen der Unterauftragsverarbeiter (etwa Zertifikaten ihrer Rechenzentren) und mit allen weiteren Informationen, die der Betrieb zum Nachweis der Pflichten nach Art. 28 DSGVO braucht.
2. Reichen diese Nachweise nach vernünftigem Ermessen des Betriebs nicht aus oder verlangt es eine Aufsichtsbehörde, darf der Betrieb zyntix kontrollieren, selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber von zyntix ist. Die Kontrolle wird mindestens zwei Wochen vorher angekündigt, findet während der Geschäftszeiten statt und darf die Bereitstellung von KREIS nicht stören.
3. Daten anderer Betriebe bleiben bei jeder Kontrolle verborgen. Der Betrieb behandelt vertraulich, was er bei einer Kontrolle erfährt.
4. Die Rechenzentren der Unterauftragsverarbeiter kontrolliert der Betrieb über deren Nachweise, nicht vor Ort.
5. Jede Partei trägt ihre eigenen Kosten. Braucht eine Kontrolle mehr als einen Arbeitstag von zyntix im Kalenderjahr, kann zyntix den Mehraufwand angemessen berechnen, es sei denn, die Kontrolle deckt einen Verstoß von zyntix gegen diesen Vertrag auf.

§ 10 Ort der Verarbeitung und Übermittlung in Drittländer

1. zyntix speichert und verarbeitet die Daten grundsätzlich in Deutschland, in Rechenzentren in Nürnberg und Falkenstein (Anlage 3). Die Absätze 2 und 3 regeln die Ausnahmen.
2. In ein Land außerhalb der EU und des EWR übermittelt zyntix Daten nur auf Weisung des Betriebs, die mit Anlage 3 erteilt ist. Zusätzlich müssen die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sein. Das betrifft Push-Mitteilungen an iPhones über Apple und an Android-Telefone über Google. Sie enthalten derzeit keine Namen, Adressen oder Inhalte, sondern eine Gerätekennung, einen festen Satz wie „Neuer Einsatz für dich“ und die Kennung eines Auftrags.
3. Sind die KI-Funktionen eingeschaltet, verarbeitet der Anbieter der KI die Daten in Rechenzentren in der EU, nicht nur in Deutschland (Anlage 3). In einem Testbetrieb sind sie von Anfang an eingeschaltet, sonst schaltet zyntix sie auf Wunsch des Betriebs ein oder aus.
4. Schaltet der Betrieb „Kalender nach außen“ ein, kann eine Person ihren Kalender aus KREIS über einen persönlichen Link abonnieren, etwa bei Microsoft, Google oder Apple. Der Anbieter, den die Person wählt, ruft die Termine dann auf Weisung des Betriebs bei KREIS ab (Anlage 1). Empfänger sind bei diesen drei Anbietern ihre Gesellschaften in Irland (Anlage 3). Sie können die Daten auch außerhalb der EU verarbeiten; das regeln ihre Verträge mit der Person oder mit der Organisation, der das Konto gehört.
5. Will zyntix Daten an einem anderen Ort verarbeiten lassen, gilt das Verfahren aus § 6 Abs. 2 und 3.

§ 11 Laufzeit, Ende, Rückgabe und Löschung

1. Dieser Vertrag gilt, solange zyntix personenbezogene Daten des Betriebs verarbeitet, auch nach dem Ende des Nutzungsvertrags. Er endet, wenn zyntix alle Daten nach diesem Paragraphen gelöscht oder zurückgegeben hat.
2. Abweichend von Ziffer 6.7 der AGB stellt zyntix dem Betrieb auf Anforderung innerhalb von 30 Tagen nach dem Ende des Nutzungsvertrags einen Export seiner Daten in einem maschinenlesbaren Format bereit. Bis zum Vertragsende kann eine Betriebsleitung nach der Kündigung außerdem die Gesamtausgabe der Daten selbst in KREIS holen. Danach löscht zyntix die Daten und bestätigt die Löschung in Textform: was wann gelöscht wurde und was wo noch liegt (Absätze 4 bis 6). Seine Kopie des Exports löscht zyntix, sobald der Betrieb den Empfang bestätigt hat, spätestens 30 Tage nach der Bereitstellung. Was KREIS während der Laufzeit nach Fristen löscht, steht in Anlage 1.
3. Der Betrieb kann jederzeit verlangen, dass zyntix die Daten früher löscht oder an ihn herausgibt (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Die Aufbewahrungspflichten aus Abgabenordnung, Handelsgesetzbuch und Arbeitszeitgesetz treffen den Betrieb, nicht zyntix; was er aufbewahren muss, sichert er vor der Löschung mit der Gesamtausgabe oder dem Export.
4. Sicherungskopien löscht zyntix nicht einzeln. Sie laufen nach dem Plan in Anlage 2 aus: auf dem Server nach 36 Stunden, außer Haus nach 72 Stunden. So lange liegen dort auch Daten, die in KREIS schon gelöscht sind. Sicherungen, die zyntix vor Änderungen an der Datenbank anlegt, löscht es nach drei Tagen.
5. Eigene Aufbewahrungspflichten von zyntix bleiben unberührt. Sie betreffen nur Unterlagen von zyntix selbst, etwa Rechnungen über KREIS, nicht die Daten des Betriebs.
6. Eingangsbelege, die Dateien ausgehender Belege und Lohn-Ausgaben sperrt KREIS bis zum Ende ihrer Frist gegen Löschen (Anlage 1). Fest gesperrte Eingangsbelege, ausgehende Belege und Lohn-Ausgaben kann zyntix nach dem Ende des Nutzungsvertrags nicht löschen, auch nicht auf Weisung des Betriebs. Bei Eingangsbelegen, die noch nicht fest gesperrt sind (Anlage 1), hebt zyntix die Sperre nach dem Ende des Nutzungsvertrags nur auf Weisung des Betriebs auf. Die Weisung ergeht in Textform und benennt die Belege, einzelne oder ausdrücklich alle noch nicht fest gesperrten. Sie muss zyntix zugehen, bevor zyntix die Daten des Betriebs nach Absatz 2 oder 3 löscht. Danach stellt zyntix nicht mehr fest, welche dieser Eingangsbelege fest gesperrt sind; die Sicherungen nach Absatz 4 spielt zyntix dafür nicht zurück. Die Eingangsbelege bleiben dann alle bis zum Ende ihrer Frist nach Anlage 1 gesperrt. Für die Aufbewahrungspflichten des Betriebs gilt dabei Absatz 3. Was nicht auf eine solche Weisung gelöscht ist, bleibt als Ausnahme von der Löschpflicht bis zum Ende der Frist im gesperrten Speicher. zyntix verarbeitet sie in dieser Zeit nur, um sie aufzubewahren und dem Betrieb auf Anforderung herauszugeben. Für Betriebe im Test gilt die Ausnahme aus Anlage 1.

§ 12 Haftung und Schluss­bestimmungen

1. Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Im Verhältnis zueinander gilt Ziffer 5 der AGB in der bei Vertragsschluss geltenden Fassung, auch für Ansprüche aus diesem Vertrag und für den Rückgriff nach Art. 82 Abs. 5 DSGVO, soweit das Gesetz es zulässt.
2. Soweit es um personenbezogene Daten geht, geht dieser Vertrag dem Nutzungsvertrag und den AGB vor; für die AGB folgt das auch aus Ziffer 1.3.
3. Verstößt zyntix wesentlich oder dauerhaft gegen diesen Vertrag und stellt den Verstoß nach einer angemessenen Frist nicht ab, kann der Betrieb die Verarbeitung aussetzen lassen und den Nutzungsvertrag außerordentlich kündigen.
4. Änderungen und Ergänzungen dieses Vertrags brauchen die Textform; ein elektronisches Format genügt (Art. 28 Abs. 9 DSGVO).
5. Der Vertrag kommt zustande, wenn eine vertretungsberechtigte Person des Betriebs ihn in Textform annimmt oder unterschrieben zurückgibt. zyntix speichert Fassung, Zeitpunkt und annehmende Person. Die angenommene Fassung schickt zyntix dem Betrieb auf Anfrage als Datei.
6. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.
7. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (Ziffer 8.1 der AGB). Unter den Voraussetzungen der Ziffer 8.4 der AGB ist Gerichtsstand Berlin, der Sitz von zyntix.
8. Arbeitstag ist jeder Tag außer Samstag, Sonntag und den gesetzlichen Feiertagen in Berlin.
9. Die Anlagen 1 bis 3 sind Teil dieses Vertrags.

Anlage 1: Betroffene Personen und Daten

Welche dieser Daten tatsächlich anfallen, bestimmt der Betrieb mit seiner Nutzung.

Gesundheitsdaten. Trägt der Betrieb „krank“ als Grund einer Abwesenheit ein, verarbeitet KREIS Gesundheitsdaten (Art. 9 DSGVO). KREIS fragt keine Diagnosen ab. Der Betrieb sorgt dafür, dass weder Diagnosen noch andere besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) in Freitextfeldern, Notizen, Beschreibungen oder Fotos stehen, auch nicht von Mietern und Bewohnern.

Postfach. Verbindet der Betrieb ein E-Mail-Postfach mit KREIS, verarbeitet zyntix in seinem Auftrag E-Mails aus diesem Postfach. KREIS liest dort nur die Kopfzeilen neuer Nachrichten. Übernommen werden nur Nachrichten im Ordner ‚KREIS‘, Antworten auf Nachrichten aus KREIS und Nachrichten von Absendern, die beim Betrieb als Kunden hinterlegt sind, jeweils mit ihren Anhängen. Mit dem Belegeingang per Mail kommt der Ordner ‚Belege‘ dazu. Anhänge prüft ein Virenscanner, bevor sie jemand öffnen kann. Alle anderen Nachrichten speichert KREIS nicht. Im Postfach verschiebt oder löscht KREIS nichts. Was KREIS über das Postfach sendet, legt es dort als gelesene Kopie im Ordner für gesendete Nachrichten ab. Die Zugangsdaten zum Postfach werden verschlüsselt gespeichert, nie angezeigt und nie protokolliert; sie werden nur für das Senden, das Ablegen dieser Kopie, das Abholen und die Prüfung der Verbindung verwendet. Gespeicherte Nachrichten, die keinem Vorgang zugeordnet, im Posteingang ausgeblendet oder als Eingangsbeleg übernommen oder verworfen sind, löscht KREIS nach 90 Tagen; ein übernommener Beleg bleibt im Speicher für Eingangsbelege. Die Aufbewahrung von Geschäftsbriefen erfüllt der Betrieb in seinem eigenen Postfach. Nutzt der Betrieb die KI-Funktionen, wird der Inhalt einer Nachricht erst dann an den genannten Unterauftragsverarbeiter für KI (Amazon Web Services, Verarbeitung in der EU) übermittelt, wenn eine berechtigte Person die Nachricht in KREIS öffnet.

Eingangsbelege. Eingangsbelege kommen per Upload in KREIS. Den Ordner ‚Belege‘ im angebundenen Postfach liest KREIS erst, wenn der Belegeingang per Mail startet. KREIS liest einen Beleg zuerst auf den eigenen Servern: aus der E-Rechnung, aus QR-Codes und mit einer Texterkennung. Die Belegdateien legt KREIS in einen eigenen Speicher, der jede Datei bis zum Ende des achten Jahres nach dem Jahr ihres Eingangs gegen Löschen und Ändern sperrt. Die Frist nach § 147 Abs. 4 AO zählt vom Belegjahr; stammt ein Beleg aus einem früheren Jahr als sein Eingang, ist die Sperre entsprechend länger. Fest gesperrt ist ein Beleg, sobald der Betrieb ihn freigibt oder eine Rechnung oder Gutschrift ohne Zahlung erledigt. Bis dahin kann zyntix eine Datei trotz der Sperre löschen, etwa wenn sie irrtümlich eingegangen ist; der Betrieb kann es nicht. Danach kann auch zyntix die Sperre nicht vorzeitig aufheben, auch wenn der Betrieb die Freigabe später zurücknimmt. Die Frist bleibt dabei dieselbe. Ausgenommen sind Betriebe im Test: Dort gilt die Sperre nur bis 30 Tage nach dem Ende des Tests, und zyntix kann sie für die Löschung nach Ziffer 6.1 der AGB aufheben.

Ausgehende Belege und Lohn-Ausgaben. Stellt der Betrieb ein Angebot, eine Rechnung, eine Stornorechnung oder eine Mahnung aus oder hält er eine Abnahme fest, legt KREIS die Dateien dazu in denselben Speicher. Er sperrt sie bis zum Ende des achten Jahres nach dem Jahr, auf das der Beleg datiert ist, gegen Löschen und Ändern. Eine Lohn-Ausgabe sperrt er bis zum Ende des sechsten Jahres nach dem Jahr, in dem sie entsteht. Auch zyntix kann diese Sperren nicht vorzeitig aufheben. Für Betriebe im Test gilt dieselbe Ausnahme wie bei den Eingangsbelegen.

KI-Funktionen. In einem Testbetrieb sind sie von Anfang an eingeschaltet, sonst schaltet zyntix sie auf Wunsch des Betriebs ein oder aus. Fragt eine berechtigte Person die KI, übermittelt KREIS die Frage und die Daten, die für die Antwort nötig sind und die diese Person sehen darf, an Amazon Web Services (Anlage 3). Gebucht wird nur, was eine Person bestätigt.

Lesen von Eingangsbelegen im Hintergrund. Sind die KI-Funktionen eingeschaltet, liest die KI jeden neuen Eingangsbeleg mit, ohne dass jemand sie fragt. KREIS übermittelt dafür den erkannten Text und Bilder des Belegs an Amazon Web Services: höchstens fünf Seiten oder Fotos je Beleg, auf höchstens 1.568 Pixel Kantenlänge verkleinert. Auf einem Bild sieht die KI auch, was der Text nicht wiedergibt: Handschrift, Unterschriften, Stempel und Logos, auf Fotos auch den Hintergrund mit anderen Papieren, Personen oder Kennzeichen. Gefragt wird nur nach Rechnungsnummer, Datum, Fälligkeit, Beträgen, Bestellnummer und Empfänger. Nach IBAN oder BIC fragt KREIS die KI nie. Die KI schlägt nur Werte vor; einen schon vorhandenen Wert überschreibt sie nie. Jeden Beleg prüft eine Person und gibt ihn frei. Bilder schreibt KREIS in kein Protokoll. Schaltet der Betrieb die KI-Funktionen aus, endet auch das Lesen im Hintergrund; einen eigenen Schalter nur für Bilder gibt es nicht.

Kalender-Abo. Das Abo ist in KREIS angelegt, aber noch nicht freigeschaltet: Die Einstellung „Kalender nach außen“ steht bei jedem Betrieb auf aus, und solange sie aus ist, liefert KREIS keine Einträge. Für die Zeit danach gilt: Schaltet der Betrieb sie ein, können seine Beschäftigten ihren Kalender aus KREIS über einen persönlichen Link in einer Kalender-App abonnieren, etwa bei Microsoft (Outlook), Google oder Apple (iCloud). Konten der Kunden im Portal können das nicht. Ob eine Person ein Abo anlegt, entscheidet sie selbst. Die Kalender-App ruft dann ihre Einsätze und die Termine, die für sie gelten oder die sie sehen darf, selbst bei KREIS ab: von einem Termin Zeit, Titel und Ort, die Notiz nur bei eigenen und für die Person eingetragenen Terminen; von einem Auftrag nur Auftragsnummer, Kurztitel, Postleitzahl, Ort und einen Link nach KREIS, keinen Kundennamen und keine Straße. Die App liest nur; was die Person dort ändert, kommt nicht nach KREIS zurück. Wer den Link kennt, kann die Einträge lesen. Vom Link speichert KREIS nur eine Prüfsumme. Einen neuen Link kann die Person jederzeit anlegen; der alte gilt dann nicht mehr. Eine Verbindung, über die KREIS selbst in ein Kalenderkonto schreibt, bietet KREIS nicht.

Ende eines Abos. Ist das Abo freigeschaltet, kann die Person es jederzeit beenden. Wird ihr Konto gesperrt oder schaltet der Betrieb „Kalender nach außen“ aus, liefert der Link keine Einträge mehr. Ein Abo, das durch das Ausschalten endet, liefert noch 14 Tage einen leeren Kalender, damit auf den Telefonen keine veralteten Einsätze stehen bleiben. Was die Anbieter mit den abgerufenen Einträgen tun, regeln ihre Verträge mit der Person oder mit der Organisation, der das Konto gehört. Für ein privates Konto gelten die Verträge des Betriebs nicht.

Fristen, die ohne Zutun des Betriebs laufen. Server-Protokolle sieben Tage; gesendete E-Mails und Push-Mitteilungen im Ausgang 90 Tage; das Protokoll gesendeter Mails 24 Monate, Zeilen zum Versand einer Rechnung so lange wie die Rechnung; Postfach-Nachrichten ohne Zuordnung, ausgeblendet oder als Eingangsbeleg übernommen oder verworfen 90 Tage; eigene Kalendertermine 13 Monate nach ihrem Ende; Sicherungen nach § 11 Abs. 4.

Fristen nach Abschluss eines Auftrags. Diese Löschung läuft erst, wenn zyntix sie für den Betrieb freigegeben hat. Erledigte und stornierte Aufträge löscht KREIS dann nach den Fristen, die der Betrieb in KREIS einstellt: mit Rechnung frühestens acht Jahre nach Ablauf des Jahres der letzten Rechnung, Zahlung oder Mahnung, ohne Rechnung frühestens sechs Jahre nach Ablauf des Jahres des Abschlusses. Die Arbeitskopie der Mails löscht KREIS zwei Jahre nach dem Abschluss. Fotos und Anhänge löscht KREIS nur, wenn der Betrieb dafür eine Frist wählt, zwischen 2 und 30 Jahren nach dem Abschluss. Ein Löschstopp des Betriebs hält den Lauf an.

Was keine dieser Fristen nennt, löscht KREIS nicht von selbst. Es bleibt, bis der Betrieb es in KREIS löscht, bis zyntix es auf Weisung des Betriebs löscht (§ 7) oder bis § 11 greift.

Anlage 2: Technische und organi­satorische Maßnahmen

Stand: 9. November 2026. Die Maßnahmen gelten für alle Betriebe gleich. zyntix beschreibt hier, was besteht; Änderungen regelt § 5 Abs. 3.

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutritt: Die Server stehen in Rechenzentren der netcup GmbH in Nürnberg, die Sicherungskopien bei der Hetzner Online GmbH in Falkenstein. Den Zutritt kontrollieren diese Anbieter; zyntix hat keinen physischen Zugang.
• Zugang zu den Servern: Anmeldung nur mit SSH-Schlüssel, die Anmeldung mit Passwort ist abgeschaltet. Von außen sind nur die Ports 22, 80 und 443 offen, dazu die Antworten der Zeitserver. Die Verwaltungsoberfläche der Anmeldung ist von außen gesperrt; neue Programmversionen spielt zyntix nur über einen zentralen Verwaltungsserver ein, der sich mit einem eigenen, auf seine Adresse beschränkten Schlüssel anmeldet.
• Anmeldung in KREIS: Jeder Betrieb hat einen eigenen Anmeldebereich. Für Passwörter gilt in jedem Anmeldebereich: mindestens 12 Zeichen, darunter je ein Groß- und ein Kleinbuchstabe, eine Ziffer und ein Sonderzeichen. Das Passwort darf weder der Benutzername noch die E-Mail-Adresse sein. Der Anmeldedienst prüft das bei jedem Setzen eines Passworts, auch wenn die Verwaltung es setzt. Nach 30 Fehlversuchen wächst die Wartezeit je Versuch um 60 Sekunden, bis höchstens 15 Minuten. Eine Sitzung läuft nach sieben Tagen ohne Nutzung ab, spätestens nach 30 Tagen; eine Sperre wirkt beim nächsten Aufruf.
• Telefone der Monteure: Ein Telefon wird mit einem Einmal-Code eingerichtet, der 24 Stunden gilt. Gespeichert wird nur ein Hash des Geräteschlüssels; ohne Kontakt zum Server sperrt sich der Zugang nach sieben Tagen. Ist eine Abwesenheit eingetragen, etwa Urlaub, ruht diese Frist, höchstens 42 Tage lang. Eine Kontosperre widerruft alle Telefone des Kontos.
• Zugriff auf Daten: Stufen und Rechte legen fest, wer was sehen und ändern darf; die Datenbank setzt sie selbst durch (Row Level Security). Anfragen angemeldeter Nutzer laufen mit der Datenbankrolle ihres Betriebs. Die wenigen Vorgänge davor oder im Hintergrund, etwa die Prüfung der Sitzung, die Einladung und der Mail-Dienst, sind auf das Schema des jeweiligen Betriebs festgelegt. Rechte vergibt nur die Betriebsleitung.
• Trennung der Betriebe: eigenes Schema, eigene Datenbankrolle, eigener Anmeldebereich und eigener Dateispeicher je Betrieb. Automatische Tests prüfen die Trennung bei jeder Änderung.
• Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO): Alle Verbindungen von außen laufen über HTTPS (TLS, HSTS für ein Jahr). Sicherungen außer Haus sind verschlüsselt; der Schlüssel liegt nicht beim Speicheranbieter. Zugangsdaten zu Postfächern und Geheimnisse der Anmeldung liegen verschlüsselt in der Datenbank (AES-256-GCM). Vom Link eines Kalender-Abos speichert KREIS nur eine Prüfsumme. Datenbank und Dateispeicher liegen auf den Datenträgern nicht zusätzlich verschlüsselt; sie schützen die Zutritts- und Zugangskontrolle oben. Eine Pseudonymisierung ist nicht vorgesehen, weil die Anwendung den Personenbezug braucht.

Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Dateien kommen nur über die Anwendung in den Speicher: höchstens 8 MB je Datei, mit Prüfung des Dateityps und einer Virenprüfung. Fällt die Virenprüfung aus, bleibt die Datei gesperrt, bis sie nachgeholt ist. Der Dateispeicher ist von außen nicht erreichbar.
• Eingangsbelege, ausgehende Belege und Lohn-Ausgaben liegen in einem eigenen Speicher, der jede Datei bis zum Ende ihrer Frist gegen Löschen und Überschreiben sperrt; solange ein Eingangsbeleg nicht fest gesperrt ist, kann nur zyntix ihn löschen (Anlage 1).
• Rechtevergabe, Arbeitszeit und Rückläufer stehen in Journalen, die im regulären Ablauf nur fortgeschrieben werden, mit Urheber, Zeitpunkt und Grund. Löschungen nach § 7 Abs. 3 und § 11 führt zyntix auf Weisung des Betriebs aus und vermerkt sie.
• Server-Protokolle halten IP-Adresse, aufgerufene Adresse und Zeitpunkt sieben Tage lang fest.

Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Sicherung: stündlich auf dem Server (36 Sicherungen, also 36 Stunden) und alle sechs Stunden verschlüsselt außer Haus (12 Sicherungen, also 72 Stunden), jeweils Datenbank, Anmeldung und Dateien. Jede Sicherung prüft sich beim Anlegen selbst.
• Wiederherstellung: zyntix prüft sie, indem es Sicherungen in eine leere Umgebung zurückspielt.
• Überwachung: Eine Überwachung prüft stündlich, ob neue Sicherungen entstanden sind. Bleibt eine aus, alarmiert sie zyntix. Die Erreichbarkeit wird alle fünf Minuten geprüft.
• Belastbarkeit: Dienste starten nach einer Störung selbst neu. Anfragen je Konto und Gerät sind begrenzt; jeder Betrieb hat ein eigenes Kontingent für Dateien.

Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Jede Änderung durchläuft automatische Tests (darunter die Trennung der Betriebe) und eine Prüfung vor der Übernahme. Bei sicherheitsrelevanten Änderungen prüft zyntix zusätzlich gesondert die Sicherheit.
• Das Betriebssystem spielt Sicherheitsupdates täglich automatisch ein; die Programme laufen in festen Versionen, die zyntix gezielt aktualisiert.
• Änderungen an der Datenbank laufen nur nach Freigabe und nach einer frischen Sicherung. Anlage 2 selbst überprüft zyntix mindestens einmal im Kalenderjahr und nach jedem Vorfall.

Organisation

• Zugang zu den Servern haben nur Personen, die zyntix dafür benannt hat; zyntix führt eine Liste dieser Personen.
• Der Support sieht Inhalte eines Betriebs nur mit dessen Freigabe (§ 4 Abs. 8).
• Verletzungen des Schutzes meldet zyntix nach § 8.

Anlage 3: Unter­auftrags­verarbeiter

Stand: 9. November 2026. Der Betrieb genehmigt mit diesem Vertrag die folgenden Unterauftragsverarbeiter (§ 6 Abs. 1). Amazon Web Services setzt zyntix nur für Betriebe ein, bei denen die KI-Funktionen eingeschaltet sind.

Keine Unterauftragsverarbeiter sind Dienste, die der Betrieb selbst beauftragt und in KREIS anbindet: sein Postfachanbieter (auch Microsoft 365), sein Großhändler und ein eigener Dateispeicher. Dafür gelten seine eigenen Verträge.

Empfänger auf Weisung des Betriebs sind die Kalenderanbieter, wenn der Betrieb „Kalender nach außen“ einschaltet und eine Person ihren Kalender aus KREIS dort abonniert, etwa: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18; Google Ireland Limited, Gordon House, Barrow Street, Dublin 4; Apple Distribution International Limited, Hollyhill Industrial Estate, Hollyhill, Cork. zyntix beauftragt sie nicht. Für ein privates Konto gilt der Vertrag der Person mit dem Anbieter, für ein Firmenkonto (Microsoft 365, Google Workspace) der Vertrag der Organisation, der das Konto gehört.

Weitergabe an ein vom Betrieb benanntes Ziel (Export als Kopie) geschieht auf seine Weisung.

Ohne Zugriff auf Daten der Betriebe und deshalb nicht in dieser Liste: das Hosting des Quellcodes und der automatischen Tests (GitHub, Tests nur mit Testdaten), die Zertifikate (Let’s Encrypt) und die Verwaltung der Domains (INWX). Ebenso Cloudflare und Google bei der Prüfung einer eigenen Adresse: Trägt ein Betrieb für sein Kundenportal eine eigene Adresse ein, fragt KREIS beide, wohin dieser Name zeigt. Sie bekommen nur den Namen der Adresse, der ohnehin öffentlich im Internet steht. Karten und Adresssuche laufen auf den eigenen Servern von KREIS.