Bürofluss
Kostenlos testen

Rechtliches

Nutzungsbedingungen für Bürofluss

Fassung 1.0 · gültig ab 12.09.2026

Anbieter und Vertragspartner: Roth Systems, Einzelunternehmen, Köhlstraße 10, 65205 Wiesbaden-Erbenheim, Deutschland. Vertretungsberechtigt: Tobias Roth. E-Mail: kontakt@buerofluss.de. Telefon: +49 157 53211661.

Im Folgenden „Bürofluss" oder „wir". Nutzer des Dienstes im Folgenden „Kunde" oder „Sie".

§ 1 Verhältnis zu den Allgemeinen Geschäftsbedingungen

(1) Diese Nutzungsbedingungen regeln, wie Bürofluss im laufenden Betrieb zu benutzen ist. Sie regeln nicht den Vertragsrahmen. Vertragsschluss, Leistungsumfang, Preise, Testphase, Laufzeit, Kündigung, Verfügbarkeit und Haftung stehen in den Allgemeinen Geschäftsbedingungen (im Folgenden „AGB").

(2) Diese Nutzungsbedingungen sind Bestandteil des Vertrags zwischen Ihnen und uns. Sie ergänzen die AGB.

(3) Wo Sie die anderen Vertragsdokumente finden. Die AGB sind ohne Anmeldung unter https://bürofluss.de/agb.html abrufbar, die Datenschutzerklärung unter https://bürofluss.de/datenschutz.html. Den Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO senden wir Ihnen auf Anfrage vorab zu; nach Vertragsschluss ist er zusätzlich dauerhaft in Ihrem Kundenkonto abrufbar (§ 10 Abs. 1). Diese Dokumente ergeben den Vertrag nur zusammen: Wer nur diese Nutzungsbedingungen liest, kennt seine Rechte und Pflichten nicht vollständig. Wir stellen Ihnen alle drei Dokumente nach Vertragsschluss zusätzlich in Textform zur Verfügung.

(4) Bei Widersprüchen gilt die folgende Rangfolge, wobei die jeweils höhere Stufe der niedrigeren vorgeht:

  1. eine ausdrückliche Individualvereinbarung in Textform zwischen Ihnen und uns,
  2. der Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO in der bei Vertragsschluss geltenden Fassung (§ 10 Abs. 1), soweit es um die Verarbeitung personenbezogener Daten geht, die wir für Sie als Auftragsverarbeiter verarbeiten; das sind die Daten der von Ihnen betreuten Personen sowie die in § 10 Abs. 8 ausdrücklich als weisungsgebunden bezeichneten Daten,
  3. die AGB in der bei Vertragsschluss geltenden Fassung, abrufbar unter https://bürofluss.de/agb.html,
  4. diese Nutzungsbedingungen.

Weichen eine Regelung der AGB und eine Regelung dieser Nutzungsbedingungen voneinander ab, geht die AGB-Regelung vor. Abweichend davon gehen die folgenden Vorschriften dieser Nutzungsbedingungen den AGB stets vor: § 3 Abs. 6, § 8 Abs. 1 lit. f, § 13 Abs. 4 bis 6, § 14 Abs. 2 und 3 (zur Ausnahme bei Zahlungsverzug siehe § 13 Abs. 7), § 16 Abs. 4 sowie § 17. Diese Aufzählung ist abschließend und wird bei jeder Textänderung mitgepflegt. Dieser Vorrang gilt ausschließlich im Verhältnis zur AGB, also gegenüber Stufe 3 der obigen Rangfolge. Weicht daneben ausnahmsweise eine Regelung des Auftragsverarbeitungsvertrags von einer dieser Vorschriften ab, bleibt es bei der allgemeinen Rangfolge dieses Absatzes: Der Auftragsverarbeitungsvertrag als Stufe 2 geht vor. Insbesondere zu § 8 Abs. 1 lit. f stellen wir sicher, dass der Auftragsverarbeitungsvertrag Ihr Prüfrecht nach Art. 28 Abs. 3 Satz 2 lit. h DSGVO nicht einschränkt; ein Widerspruch ist deshalb nicht zu erwarten. Innerhalb ihres jeweiligen Anwendungsbereichs, also im Verhältnis zwischen AGB und diesen Nutzungsbedingungen, müssen Sie keinen Vergleich anstellen, welche Regelung im Einzelfall für Sie günstiger ist.

Im Klartext: Unabhängig davon, was die AGB regeln, gelten für Sie immer die Beweislastregel bei Missbrauch Ihrer Zugangsdaten (§ 3 Abs. 6), Ihr Prüfrecht als Verantwortlicher (§ 8 Abs. 1 lit. f), die abgestufte Sperrung und deren Aufhebung (§ 13 Abs. 4 bis 6) einschließlich Ihres Widerspruchsrechts gegen eine Sperrung (§ 13 Abs. 5), der lesende Notzugang zu Ihren Akten bei einer Sperrung (§ 14 Abs. 2), die Entgeltregelung bei einer Sperrung (§ 14 Abs. 3, mit der Ausnahme bei Zahlungsverzug nach § 13 Abs. 7), die Klarstellung, dass Ihre eigene Datensicherungspflicht unsere Pflicht zur ordnungsgemäßen Speicherung und Sicherung nicht mindert (§ 16 Abs. 4 letzter Satz vor § 254 BGB) und das Änderungsverfahren mit Widerspruchsrecht (§ 17). Dieser Vorrang gilt gegenüber der AGB; im Verhältnis zum Auftragsverarbeitungsvertrag bleibt es bei dessen ohnehin höherem Rang nach diesem Absatz.

(5) „Textform" bedeutet in diesen Nutzungsbedingungen eine lesbare Erklärung auf einem dauerhaften Datenträger, § 126b BGB. Eine E-Mail genügt, eine Unterschrift ist nicht erforderlich.

(6) „Unverzüglich" bedeutet in diesen Nutzungsbedingungen und im Gesetz nicht „sofort", sondern ohne schuldhaftes Zögern, § 121 Abs. 1 Satz 1 BGB. Maßgeblich ist, was Ihnen nach den Umständen zumutbar ist. Wo wir eine feste Höchstfrist meinen, nennen wir sie in Stunden oder Werktagen.

(7) Servicezeiten und Werktage. Servicezeiten sind Montag bis Freitag von 9:00 bis 17:00 Uhr, ausgenommen gesetzliche Feiertage am Sitz des Anbieters. Werktage im Sinne dieser Nutzungsbedingungen sind Montag bis Freitag mit Ausnahme gesetzlicher Feiertage am Sitz des Anbieters. Alle Stundenfristen in diesen Nutzungsbedingungen laufen nur während der Servicezeiten, soweit die jeweilige Vorschrift nichts anderes ausdrücklich bestimmt. Ausdrücklich abweichend geregelt sind die Meldung und die Erreichbarkeit nach einem Sicherheitsvorfall (§ 11 Abs. 3); dort laufen die Fristen auch außerhalb der Servicezeiten, weil auch Ihre Frist gegenüber der Aufsichtsbehörde an Wochenenden und Feiertagen läuft.

§ 2 Wer Bürofluss nutzen darf

(1) Bürofluss richtet sich ausschließlich an Unternehmer im Sinne des § 14 Abs. 1 BGB, also an Personen, die bei Abschluss des Vertrags in Ausübung ihrer selbstständigen beruflichen oder gewerblichen Tätigkeit handeln. Angesprochen sind berufliche Betreuerinnen und Betreuer, Betreuungsvereine und Betreuungsbüros.

(2) Ein Vertragsschluss mit Verbrauchern im Sinne des § 13 BGB findet nicht statt. Unser Angebot richtet sich nicht an Verbraucher. Erkennen wir eine Anmeldung als Verbraucheranmeldung, gehen wir nach Absatz 3 Buchstabe c vor. Alle Preisangaben verstehen sich als Nettopreise zuzüglich Umsatzsteuer und richten sich damit an Unternehmer.

(3) Dazu gilt Folgendes:

a) Das Angebot ist auf die berufliche Betreuung zugeschnitten. Bürofluss darf nur buchen, wer beruflich Betreuungen führt oder als Betreuungsverein oder Betreuungsbüro tätig ist. Ehrenamtliche Betreuerinnen und Betreuer, die keine berufliche Betreuung führen, sind vom Angebot ausgenommen. Wir können jederzeit einen Nachweis der beruflichen Tätigkeit verlangen. Bei selbstständigen beruflichen Betreuerinnen und Betreuern ist das die Registrierung nach § 24 Abs. 1 BtOG; bei Betreuungsvereinen der Bescheid über die Anerkennung nach § 14 Abs. 1 BtOG; ersatzweise genügt in beiden Fällen die Angabe einer Umsatzsteuer-Identifikationsnummer oder einer Steuernummer. Wir setzen Ihnen für den Nachweis eine Frist von mindestens 14 Tagen in Textform. Erbringen Sie den Nachweis nicht und bleiben konkrete Anhaltspunkte für eine nicht berufliche Nutzung bestehen, gilt Buchstabe c entsprechend.

b) Bei der Registrierung nehmen Sie diese Nutzungsbedingungen und die Datenschutzerklärung über ein nicht vorausgewähltes Auswahlfeld an. Eine gesonderte Erklärung über den von Ihnen verfolgten Vertragszweck holen wir bei der Registrierung derzeit nicht ein. Ihre Einordnung als Unternehmer oder Verbraucher bestimmt sich ohnehin objektiv nach dem erkennbaren Zweck des Geschäfts (§§ 13, 14 Abs. 1 BGB); sie kann durch eine Bestätigung weder begründet noch ausgeschlossen werden.

c) Ergeben sich für uns nach der Registrierung konkrete Anhaltspunkte, dass Sie tatsächlich als Verbraucher handeln, fordern wir Sie in Textform zur Klarstellung binnen 14 Tagen auf; dieser Aufforderung fügen wir die Widerrufsbelehrung nach Absatz 5 bei. Stellt sich heraus, dass Sie bei Vertragsschluss als Verbraucher gehandelt haben, sind wir berechtigt, den Vertrag mit einer Frist von 14 Tagen ordentlich zu kündigen. Vor der Wirksamkeit der Kündigung räumen wir Ihnen mindestens 30 Tage zum vollständigen Datenexport nach § 15 ein. Bis zur Wirksamkeit der Kündigung behandeln wir Sie in diesem Fall als Verbraucher. Zwingende Verbraucherschutzvorschriften, insbesondere Ihr Widerrufsrecht nach Absatz 5, bleiben unberührt.

d) Wir prüfen Ihre Registrierung nach § 24 Abs. 1 BtOG oder Ihre Anerkennung nach § 14 Abs. 1 BtOG nicht anlasslos. Ob Sie registriert oder anerkannt sind, liegt in Ihrer Verantwortung. Bei konkreten Anhaltspunkten können wir nach Buchstabe a einen Nachweis verlangen; über diese Nachweisanforderung hinaus prüfen wir Ihre Berechtigung zur beruflichen Betreuung nicht.

(4) Bürofluss ist ein Arbeitsmittel und keine berufsrechtliche Zulassung. Für Betreuungssoftware bestehen keine Zulassungs-, Zertifizierungs- oder Anerkennungsanforderungen. § 23 Abs. 1 BtOG stellt Anforderungen an die Person des Betreuers, nämlich persönliche Eignung und Zuverlässigkeit, ausreichende Sachkunde und eine Berufshaftpflichtversicherung mit mindestens 250.000 Euro je Versicherungsfall und 1 Million Euro für alle Versicherungsfälle eines Jahres, nicht an seine Arbeitsmittel; bei Betreuungsvereinen richten sich die Anforderungen nach § 14 BtOG, und die für den Verein tätigen Vereinsbetreuerinnen und Vereinsbetreuer sind ihrerseits nach §§ 19, 23 und 24 BtOG zu registrieren. Die Nutzung von Bürofluss ersetzt keine dieser Voraussetzungen und ersetzt auch keine der Nachweispflichten nach § 25 Abs. 1 und 2 BtOG.

(5) Widerrufsbelehrung für den Fall des Absatzes 3 Buchstabe c. Sollte sich entgegen Absatz 2 herausstellen, dass Sie bei Vertragsschluss tatsächlich als Verbraucher im Sinne des § 13 BGB gehandelt haben, steht Ihnen das gesetzliche Widerrufsrecht nach §§ 355, 356 BGB zu. Die folgende Belehrung entspricht dem gesetzlichen Muster nach Anlage 1 zu Art. 246a § 1 Abs. 2 EGBGB und geht Ihnen spätestens zusammen mit der Klarstellungsaufforderung nach Absatz 3 Buchstabe c in Textform zu.

Widerrufsrecht

Sie haben das Recht, binnen vierzehn Tagen ohne Angabe von Gründen diesen Vertrag zu widerrufen. Die Widerrufsfrist beträgt vierzehn Tage ab dem Tag des Vertragsschlusses.

Um Ihr Widerrufsrecht auszuüben, müssen Sie uns, Roth Systems, Köhlstraße 10, 65205 Wiesbaden-Erbenheim, E-Mail: kontakt@buerofluss.de, mittels einer eindeutigen Erklärung, zum Beispiel einem mit der Post versandten Brief oder einer E-Mail, über Ihren Entschluss, diesen Vertrag zu widerrufen, informieren. Sie können dafür das folgende Muster verwenden, das jedoch nicht vorgeschrieben ist:

„Hiermit widerrufe ich den von mir geschlossenen Vertrag über die Nutzung von Bürofluss. Bestellt am: [Datum]. Name des Verbrauchers: [Name]. Anschrift des Verbrauchers: [Anschrift]. Datum: [Datum]."

Zur Wahrung der Widerrufsfrist reicht es aus, dass Sie die Mitteilung über die Ausübung des Widerrufsrechts vor Ablauf der Widerrufsfrist absenden.

Folgen des Widerrufs

Wenn Sie diesen Vertrag widerrufen, haben wir Ihnen alle Zahlungen, die wir von Ihnen erhalten haben, unverzüglich und spätestens binnen vierzehn Tagen ab dem Tag zurückzuzahlen, an dem die Mitteilung über Ihren Widerruf dieses Vertrags bei uns eingegangen ist. Für diese Rückzahlung verwenden wir dasselbe Zahlungsmittel, das Sie bei der ursprünglichen Zahlung eingesetzt haben, es sei denn, mit Ihnen wurde ausdrücklich etwas anderes vereinbart; in keinem Fall werden Ihnen wegen dieser Rückzahlung Entgelte berechnet.

Haben Sie verlangt, dass die Nutzung von Bürofluss bereits während der Widerrufsfrist beginnen soll, so haben Sie uns einen angemessenen Betrag zu zahlen, der dem Anteil der bis zu dem Zeitpunkt, zu dem Sie uns von der Ausübung des Widerrufsrechts unterrichten, bereits erbrachten Leistungen im Vergleich zum Gesamtumfang der im Vertrag vorgesehenen Leistungen entspricht, § 357 Abs. 8 BGB.

Bis zur Wirksamkeit eines solchen Widerrufs gelten für Sie ergänzend die Regelungen des Absatzes 3 Buchstabe c.

§ 3 Zugangsdaten und deren Geheimhaltung

(1) Der Zugang zu Bürofluss erfolgt über persönliche Zugangsdaten, bestehend aus E-Mail-Adresse und Passwort sowie, wenn die Zwei-Faktor-Authentifizierung nach § 4 eingerichtet oder von Ihrer Organisation verpflichtend gestellt ist, dem zweiten Faktor.

(2) Zugangsdaten sind persönlich. Jede Person, die mit Bürofluss arbeitet, erhält ein eigenes Nutzerkonto. Gemeinsam genutzte Sammelkonten für mehrere Personen sind unzulässig. Das gilt auch für Vertretungssituationen; die Vertretung wird über die Rechtevergabe nach § 5 abgebildet, nicht über die Weitergabe eines Passworts.

(3) Sie und Ihre Nutzer bewahren Zugangsdaten vertraulich auf und geben sie nicht an Dritte weiter. Das Passwort wird nicht notiert, nicht per E-Mail versandt, nicht in Ticketsystemen hinterlegt und nicht in geteilten Dokumenten gespeichert. Ein Passwortmanager ist zulässig und empfohlen.

(4) Wir fragen Sie niemals nach Ihrem Passwort oder nach einem Einmalcode aus Ihrer Authentifizierungs-App, weder telefonisch noch per E-Mail noch im Support. Wer das tut, handelt nicht in unserem Auftrag. Melden Sie solche Kontaktversuche bitte an kontakt@buerofluss.de.

(5) Besteht der Verdacht, dass Zugangsdaten Unbefugten bekannt geworden sind, ändern Sie das Passwort unverzüglich, also ohne schuldhaftes Zögern (§ 121 Abs. 1 Satz 1 BGB), und informieren uns nach § 11.

(6) Wer für Handlungen über Ihre Zugangsdaten einsteht. Es gelten diese sechs Sätze:

  1. Sie stehen für Handlungen über Ihre Zugangsdaten ein, wenn Sie oder Ihre Nutzer die Pflichten aus den Absätzen 2, 3 und 5 verletzt haben.
  2. Maßstab dafür sind Vorsatz und Fahrlässigkeit (§ 276 Abs. 1 BGB).
  3. Dass eine solche Pflichtverletzung vorliegt, haben wir darzulegen und zu beweisen.
  4. Beruht der Missbrauch auf einem Umstand aus unserem Verantwortungsbereich, tragen wir ihn selbst.
  5. Das gilt vor allem, wenn Zugangsdaten bei uns bekannt geworden sind oder ein Zurücksetzen nach § 4 Abs. 5 fehlerhaft war.
  6. Zur Aufklärung eines Missbrauchsverdachts stellen wir Ihnen die uns vorliegenden Anmelde- und Zugriffsprotokolle zu Ihrem Konto in Textform zur Verfügung.

Der Haftungsmaßstab im Übrigen richtet sich nach den AGB (§ 18).

Was das für Sie bedeutet: Sie zahlen nur, wenn Sie oder Ihre Nutzer die Pflichten aus den Absätzen 2, 3 und 5 verletzt haben. Dass eine solche Verletzung vorliegt, müssen wir beweisen. Stammt der Missbrauch aus unserem Bereich, tragen wir ihn.

§ 4 Zwei-Faktor-Authentifizierung

(1) Zwei-Faktor-Authentifizierung bedeutet eine Anmeldung mit zwei voneinander unabhängigen Nachweisen: dem Passwort und einem zeitlich begrenzten Einmalcode, den eine Authentifizierungs-App auf einem Gerät des Nutzers erzeugt (zeitbasiertes Einmalpasswort, TOTP).

(2) Wir stellen die Zwei-Faktor-Authentifizierung für jedes Nutzerkonto bereit. Ihre Organisation legt in den Einstellungen fest, ob sie für alle Nutzerkonten Ihrer Organisation verpflichtend ist. Wir empfehlen die Aktivierung nachdrücklich, weil in Bürofluss Gesundheits- und Vermögensdaten besonders schutzbedürftiger Personen verarbeitet werden. Solange Ihre Organisation die Pflicht nicht aktiviert, entscheidet sie damit selbst über das Schutzniveau des Zugangs zu ihren Klientendaten.

(3) Hat Ihre Organisation die Pflicht aktiviert, richtet jeder Nutzer die Zwei-Faktor-Authentifizierung bei der ersten Anmeldung ein. Solange die Zwei-Faktor-Authentifizierung nicht eingerichtet ist, ist der Zugriff auf Klientendaten über die dafür vorgesehenen Programmfunktionen gesperrt. Ist die Pflicht nicht aktiviert, kann jeder Nutzer die Zwei-Faktor-Authentifizierung freiwillig einrichten.

(4) Die beim Einrichten angezeigten Wiederherstellungscodes bewahren Sie getrennt vom Anmeldegerät und getrennt vom Passwortmanager auf, in dem das Passwort liegt. Wer Passwort, zweiten Faktor und Wiederherstellungscodes am selben Ort speichert, hat faktisch nur einen Faktor.

(5) Wenn ein zweiter Faktor verloren geht. Für diesen Fall gilt ein festes Verfahren, weil er den Zugang zu Ihren Akten betrifft.

a) Zuerst innerhalb Ihrer Organisation: Verliert ein Nutzer den zweiten Faktor, setzt ihn ein Nutzer Ihrer Organisation mit Administratorrechten zurück.

b) Wenn kein Administrator verfügbar ist, etwa weil Sie allein arbeiten: Sie schreiben uns an kontakt@buerofluss.de. Wir setzen den zweiten Faktor dann nach einer Identitätsprüfung zurück. Wir verlangen ausschließlich die in Buchstabe c genannten Nachweise. Welche Nachweise wir verlangen, steht damit abschließend in Buchstabe c.

c) Welche Nachweise wir verlangen, abschließend:

  1. ein Verlangen in Textform von der Person, die im Konto als Kontoinhaber oder als vertretungsberechtigt hinterlegt ist,

  2. die Vorlage eines amtlichen Lichtbildausweises dieser Person in einer Video-Live-Schaltung unmittelbar mit uns, wobei wir keinen externen Identifizierungsdienstleister einsetzen, keine Ausweiskopie speichern und nur einen Prüfvermerk mit Datum und Ergebnis anlegen, und

  3. eine Rückbestätigung über einen zweiten, im Konto hinterlegten Kanal, der nicht die anfragende Adresse ist, hilfsweise über die im Konto hinterlegte Rechnungsanschrift oder Telefonnummer.

    Weitere Nachweise verlangen wir nicht.

d) Wie wir dabei vorgehen: Die Prüfung nimmt die vertretungsberechtigte Person vor. Sind bei uns mehrere Personen beschäftigt, erfolgt sie im Vier-Augen-Prinzip. Zeitgleich benachrichtigen wir alle Administratorkonten Ihrer Organisation und die hinterlegte Sicherheitsadresse. Den Vorgang protokollieren wir mit Zeitpunkt, handelnden Personen und Prüfnachweis; das Protokoll stellen wir Ihnen auf Verlangen in Textform zur Verfügung. Eine Rücksetzung allein aufgrund einer E-Mail oder eines Telefonats nehmen wir nicht vor.

e) Wie lange es dauert: Wir bearbeiten einen vollständigen Antrag innerhalb von zwei Werktagen nach Eingang der Nachweise. Können wir die Identität nicht feststellen, teilen wir Ihnen das innerhalb dieser Frist in Textform mit, benennen den fehlenden Nachweis und nennen Ihnen einen weiteren Weg zum Nachweis.

f) Damit keine Frist verfällt: Solange die Prüfung läuft, richten wir Ihnen auf Verlangen einen ausschließlich lesenden Zugang zu Ihrem Datenbestand nach § 14 Abs. 2 ein, damit Sie laufende gesetzliche und gerichtliche Fristen einhalten können.

g) Wenn zusätzlich die Wiederherstellungscodes verloren sind, ändert das am Verfahren nach den Buchstaben b) bis f) nichts. Die Wiederherstellungscodes sind ein zusätzlicher, kein alleiniger Weg zurück in Ihr Konto.

(6) Hat Ihre Organisation die Zwei-Faktor-Authentifizierung nach Absatz 2 verpflichtend gestellt, ist es unzulässig, sie zu umgehen, abzuschalten oder dauerhaft auszusetzen, auch nicht auf Wunsch einzelner Nutzer. Über die Aktivierung und Deaktivierung der Pflicht selbst entscheidet ausschließlich Ihre Organisation.

§ 5 Ihre Nutzer und deren Berechtigungen

(1) Sie legen die Nutzerkonten innerhalb Ihrer Organisation selbst an und verwalten sie eigenverantwortlich. Wir legen keine Nutzer für Sie an und ändern keine Berechtigungen, außer Sie weisen uns nach § 10 Abs. 5 ausdrücklich dazu an.

(2) Sie sind dafür verantwortlich,

a) dass jede Person, der Sie ein Nutzerkonto einrichten, für ihre Aufgabe zur Kenntnisnahme der jeweiligen Daten befugt ist,

b) dass jeder Nutzer nur die Rechte erhält, die er für seine tatsächliche Aufgabe braucht, und nicht pauschal Vollzugriff,

c) dass Nutzerkonten ausgeschiedener oder freigestellter Mitarbeiter unverzüglich, also ohne schuldhaftes Zögern (§ 121 Abs. 1 Satz 1 BGB), deaktiviert werden, spätestens am letzten Arbeitstag,

d) dass Sie die vergebenen Berechtigungen in regelmäßigen Abständen überprüfen, mindestens einmal jährlich, und

e) dass Ihre Nutzer auf das Datengeheimnis verpflichtet sind, also schriftlich oder in Textform zur Vertraulichkeit verpflichtet werden, Art. 29 und Art. 32 Abs. 4 DSGVO, und über diese Nutzungsbedingungen informiert werden. Die Verpflichtung erfolgt vor der ersten Anmeldung des Nutzers; Textform genügt. Sie gilt auch für externe Personen nach den Absätzen 3 und 4. Eine Mustervorlage stellen wir Ihnen in der Software unter Einstellungen, Datenschutz bereit.

(3) Handlungen Ihrer Nutzer werden Ihnen nach § 278 BGB zugerechnet, das heißt, Sie stehen dafür ein, als hätten Sie selbst gehandelt, soweit die Handlungen in Ausübung der ihnen von Ihnen übertragenen Aufgaben erfolgen. Das gilt auch für externe Personen, denen Sie Zugang einräumen, etwa Buchhaltungskräfte, Vertretungen oder Auszubildende. Vorsätzliche Handlungen eines Nutzers außerhalb seines Aufgabenkreises werden Ihnen nicht zugerechnet. Machen wir geltend, dass Sie Auswahl, Einweisung oder Rechtevergabe nach Absatz 2 verletzt haben, haben wir diese Verletzung darzulegen und zu beweisen.

(4) Praktikanten, freie Mitarbeiter und Vertretungen erhalten eigene Konten mit eigenen Rechten und einer erkennbaren Befristung, nicht das Konto einer festen Kraft.

(5) Für Nutzer, die über das im Tarif enthaltene Kontingent hinausgehen, gelten die Preise der AGB (§ 8). Das Anlegen zusätzlicher Nutzer ist keine Umgehung, sondern der vorgesehene Weg; unzulässig ist umgekehrt, ein Konto mehreren Personen zur Verfügung zu stellen, um Nutzerkosten zu sparen (siehe § 3 Abs. 2).

§ 6 Der eBO-Zugang ist personengebunden

(1) Dieser Paragraph gilt, sobald das Zusatzmodul für das elektronische Bürger- und Organisationenpostfach (eBO) verfügbar ist und Sie es gebucht haben. Das Modul ist derzeit geplant. Der technische Partner für die Anbindung an den elektronischen Rechtsverkehr ist noch nicht ausgewählt ([eBO-PARTNER]). Bis zur Freischaltung hat dieser Paragraph keinen Anwendungsbereich. Die in den Absätzen 3 bis 5 beschriebene technische Ausgestaltung steht unter dem Vorbehalt der Umsetzbarkeit mit dem ausgewählten Partner. Weicht die tatsächliche Umsetzung ab, teilen wir Ihnen das vor der Freischaltung in Textform mit.

(2) Ein eBO-Zugang ist an die Person des Postfachinhabers gebunden. Nach § 130a Abs. 4 Satz 1 Nr. 4 ZPO ist das eBO nur dann ein sicherer Übermittlungsweg, wenn das Postfach nach Durchführung eines Identifizierungsverfahrens eingerichtet worden ist. Nach § 11 Abs. 2 ERVV weist der Postfachinhaber bei der Identitätsfeststellung Namen und Anschrift nach, und nach § 11 Abs. 3 ERVV hat er sich beim Versand eines elektronischen Dokuments gesondert zu authentisieren. Nach § 130a Abs. 3 ZPO muss das Dokument zudem von der verantwortenden Person einfach signiert sein, also mit ihrem Namen am Ende des Dokuments.

(3) Sie stellen sicher, dass über einen eBO-Zugang ausschließlich Nachrichten versandt werden, die von der als Postfachinhaber identifizierten Person verantwortet und einfach signiert sind. Eine Nutzung des Zugangs durch andere Nutzer Ihrer Organisation ist unzulässig.

(4) Zur Durchsetzung ordnen wir einen eBO-Zugang technisch einem konkreten Nutzerkonto zu, nicht der Organisation. Beim Versand gleichen wir den handelnden Nutzer mit dem hinterlegten Postfachinhaber ab und protokollieren den Vorgang mit der Kennung des Nutzers. Weicht der handelnde Nutzer ab, wird der Versand blockiert und nicht nur mit einem Hinweis versehen.

(5) Der Grund für diese Strenge ist nicht technischer, sondern prozessualer Natur: Ein Versand durch eine andere Person als den Postfachinhaber kann dazu führen, dass ein Schriftsatz nicht formwirksam eingereicht ist. Eine Frist wäre dann versäumt, obwohl die Nachricht zugestellt wurde.

(6) Wenn die Sperre zu Unrecht auslöst. Löst die Prüfung nach Absatz 4 aus, obwohl der handelnde Nutzer tatsächlich der identifizierte Postfachinhaber ist, melden Sie das unverzüglich an kontakt@buerofluss.de. Wir prüfen die Zuordnung innerhalb von vier Stunden während unserer Servicezeiten nach § 1 Abs. 7 und stellen den Versand wieder her. Geht Ihre Meldung außerhalb der Servicezeiten ein, beginnt die Frist mit deren nächstem Beginn. Solange die Störung besteht, steht Ihnen der Versand über die von Ihnen selbst genutzten Wege außerhalb von Bürofluss offen; wir weisen Sie in der Fehlermeldung ausdrücklich darauf hin.

§ 7 Zulässige Nutzung

(1) Sie dürfen Bürofluss im vertraglich vereinbarten Umfang für Ihre eigene berufliche Betreuungstätigkeit und die Ihrer Organisation nutzen, insbesondere zur Aktenführung, zur Fristenverwaltung, zur Vermögensverwaltung, zur Abrechnung und zur Korrespondenz. Führen Sie neben Ihren beruflichen Betreuungen einzelne ehrenamtliche Betreuungen, dürfen Sie diese ebenfalls in Bürofluss verwalten.

(2) Zulässig ist auch, Bürofluss über die installierbare Web-Anwendung (Progressive Web App) auf Endgeräten Ihrer Organisation zu verwenden, einschließlich Tablets im Außendienst.

(3) Zulässig ist das Melden von Sicherheitslücken. Wenn Sie eine Schwachstelle entdecken, melden Sie sie bitte an kontakt@buerofluss.de, bevor Sie sie veröffentlichen oder weitergeben. Gegen Meldungen, die in gutem Glauben erfolgen, sich auf das für den Nachweis notwendige Maß beschränken und keine fremden Daten offenlegen, gehen wir nicht rechtlich vor.

§ 8 Unzulässige Nutzung

(1) Unzulässig ist es,

a) Zugangsdaten weiterzugeben oder ein Nutzerkonto mehreren Personen zur Verfügung zu stellen,

b) eine von Ihrer Organisation nach § 4 Abs. 2 aktivierte Pflicht zur Zwei-Faktor-Authentifizierung zu umgehen oder für einzelne Nutzer auszusetzen,

c) Sicherheitsmaßnahmen zu umgehen, insbesondere die Trennung zwischen den Datenbeständen verschiedener Kunden (Mandantentrennung), die Rechteprüfung oder Protokollierungen,

d) auf Daten zuzugreifen oder zuzugreifen zu versuchen, die nicht Ihrer Organisation zugeordnet sind,

e) Bürofluss automatisiert abzufragen oder zu belasten, insbesondere durch eigene Skripte, Massenabfragen oder Lasttests, ohne unsere vorherige Zustimmung in Textform. Davon ausgenommen und ausdrücklich zulässig sind die Nutzung der von uns bereitgestellten Schnittstellen, die automatische Synchronisation der installierbaren Web-Anwendung und die Nutzung der von uns für Export und Datensicherung vorgesehenen Funktionen im vertragsgemäßen Umfang.

Unabhängig von allen veröffentlichten Grenzen sind stets vertragsgemäß: eine vollständige Sicherung Ihres gesamten Datenbestands je Kalendermonat und zusätzlich eine vollständige Sicherung vor jeder Rechnungslegung gegenüber dem Betreuungsgericht. Diese Sicherungen lösen keine Maßnahmen nach § 13 aus.

Für eine darüber hinausgehende automatisierte Nutzung gelten folgende Obergrenzen: höchstens 1.000 Abrufe je Stunde und höchstens 10 Gigabyte Exportvolumen je Kalendermonat. Einzelheiten zu diesen Grenzen veröffentlichen wir unter https://bürofluss.de/datenexport-verzeichnis.html. Eine Änderung dieser Grenzen zu Ihren Lasten wird erst wirksam, wenn wir sie Ihnen mit einem Vorlauf von mindestens sechs Wochen in Textform mitgeteilt haben; § 17 Abs. 2 und 3 gelten entsprechend. Überschreiten Sie eine dieser Grenzen an mehr als sieben aufeinanderfolgenden Tagen, weisen wir Sie darauf hin und stimmen das weitere Vorgehen mit Ihnen ab, bevor wir Maßnahmen nach § 13 ergreifen,

f) Sicherheitstests, Penetrationstests oder Schwachstellenscans gegen unsere Systeme durchzuführen, ohne dass wir dem vorher in Textform zugestimmt haben; hiervon unberührt bleibt die Meldung einer Schwachstelle nach § 7 Abs. 3, unabhängig davon, auf welchem Weg sie bemerkt wurde, solange die Voraussetzungen des § 7 Abs. 3 eingehalten sind.

Unberührt bleiben ferner Ihre Kontrollrechte aus Art. 28 Abs. 3 Satz 2 lit. h DSGVO und aus dem Auftragsverarbeitungsvertrag. Ihr Prüfrecht nach Art. 28 Abs. 3 Satz 2 lit. h DSGVO ist der Höhe und der Häufigkeit nach nicht beschränkt. Wir stellen Ihnen auf Verlangen die Nachweise nach dem Auftragsverarbeitungsvertrag bereit und ermöglichen Überprüfungen einschließlich eines von einem unabhängigen Prüfer durchgeführten Penetrationstests. Zur Wahrung der Sicherheit anderer Kunden stimmen wir mit Ihnen Zeitpunkt und Vorgehen ab; wir dürfen eine Prüfung nicht verweigern, sondern nur zeitlich koordinieren, und antworten auf Ihr Verlangen innerhalb von zehn Werktagen in Textform.

Auf Verlangen stellen wir Ihnen innerhalb von zwanzig Werktagen die aktuelle Dokumentation der technischen und organisatorischen Maßnahmen sowie vorhandene Prüfberichte und Zertifikate in Textform zur Verfügung. Eine Vor-Ort-Prüfung oder Fernprüfung führen wir innerhalb von acht Wochen nach Ihrem Verlangen durch. Kommt eine Verständigung über Form, Zeitpunkt oder Umfang nicht innerhalb von zwanzig Werktagen zustande, dürfen Sie einen unabhängigen, zur Vertraulichkeit verpflichteten und nicht mit uns im Wettbewerb stehenden Prüfer beauftragen; wir dulden dessen Prüfung im vereinbarten Rahmen. Die Kosten der Prüfung tragen Sie, es sei denn, die Prüfung stellt einen wesentlichen Mangel fest; in diesem Fall tragen wir sie,

g) die Software zurückzuentwickeln, zu dekompilieren oder zu disassemblieren, soweit dies nicht nach § 69d Abs. 2 und 3 sowie § 69e UrhG erlaubt ist; abweichende Vereinbarungen sind insoweit nach § 69g Abs. 2 UrhG nichtig,

h) Bürofluss Dritten außerhalb Ihrer Organisation zur Nutzung zu überlassen, weiterzuvermieten oder als eigene Leistung anzubieten,

i) Bürofluss als allgemeinen Datei- oder Medienspeicher zu verwenden, insbesondere durch das Einstellen von Dateien, die erkennbar keinen Bezug zu einer von Ihnen geführten Betreuung haben; wir prüfen den Inhalt Ihrer Dateien nicht anlasslos. Einen Verstoß gegen diesen Buchstaben stellen wir ausschließlich anhand von Metadaten (Dateityp, Dateigröße, Speichervolumen) oder aufgrund einer Meldung nach § 12 fest, nicht durch Einsicht in Inhalte. Eine Sperrung nach § 13 stützen wir auf diesen Buchstaben nur, wenn der Verstoß auf diesem Weg festgestellt wurde,

j) Inhalte einzustellen, deren Verarbeitung rechtswidrig ist, insbesondere Daten, für die Sie keine Rechtsgrundlage nach Art. 6 und, soweit einschlägig, Art. 9 DSGVO haben,

k) Schadsoftware einzustellen oder zu verbreiten, und

l) Bürofluss für Rechtsdienstleistungen gegenüber Dritten außerhalb der eigenen Betreuungstätigkeit zu nutzen, soweit dies nach dem Rechtsdienstleistungsgesetz unzulässig wäre.

(2) Verstöße gegen Absatz 1 berechtigen uns zur Sperrung nach § 13 und, bei erheblichen oder wiederholten Verstößen, zur außerordentlichen Kündigung nach den AGB (§ 12).

§ 9 Echte Klientendaten während der Testphase

(1) Die Testphase nach den AGB ist eine vollwertige, produktive Nutzung ohne Entgelt. Sie ist keine Vorschau und keine unverbindliche Demonstration.

(2) Echte Klientendaten dürfen Sie einstellen, sobald der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen ist. Der Abschluss erfolgt mit der Registrierung (§ 10 Abs. 1); ab diesem Zeitpunkt und damit während der gesamten Testphase gelten dieselben technischen und organisatorischen Maßnahmen wie im entgeltlichen Betrieb. Ein Unterschied im Schutzniveau besteht nicht. Für Inhalt und Zustandekommen des Auftragsverarbeitungsvertrags ist dessen Wortlaut maßgeblich.

(3) Bevor Sie echte Klientendaten einstellen, prüfen Sie bitte in eigener Verantwortung:

a) ob Sie als Verantwortlicher eine Rechtsgrundlage für die Verarbeitung dieser Daten in einer Cloud-Software haben,

b) ob Sie Ihr Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO um die Nutzung von Bürofluss ergänzt haben, und

c) ob Ihre eigenen Informationspflichten nach Art. 13 und Art. 14 DSGVO gegenüber den betreuten Personen erfüllt sind.

(4) Wenn Sie zunächst mit erfundenen Testdaten arbeiten möchten, ist das ebenfalls zulässig. Verwenden Sie in diesem Fall keine Namen und Daten realer Personen, auch nicht in abgewandelter Form.

(5) Endet die Testphase, ohne dass ein kostenpflichtiges Abonnement zustande kommt, gelten für Export und Löschung der von Ihnen eingestellten Daten dieselben Regeln wie bei einer Vertragsbeendigung. Maßgeblich sind die AGB (§ 20 und § 23) und § 15 dieser Nutzungsbedingungen. Ihre Daten werden nicht deshalb früher gelöscht, weil sie in der Testphase entstanden sind.

(6) Haftung in der Testphase. Für die Verarbeitung von Daten, die Sie während der Testphase einstellen, gelten dieselben Haftungsregeln wie im entgeltlichen Betrieb. Auf die Haftungserleichterungen für unentgeltliche Verträge, insbesondere nach den §§ 521 und 599 BGB, verzichten wir für die Testphase unwiderruflich.

§ 10 Datenschutzrollen und Ihre eigenen Datenschutzpflichten

(1) Auftragsverarbeitungsvertrag. Der Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO ist Bestandteil dieses Vertrags. Wir senden Ihnen seinen Wortlaut auf Anfrage bereits vor der Registrierung zu; er wird mit der Registrierung in elektronischer Form nach Art. 28 Abs. 9 DSGVO geschlossen. Nach der Registrierung ist die für Sie geltende Fassung mit Versionsnummer und Abschlussdatum dauerhaft in Ihrem Konto unter Einstellungen, Datenschutz hinterlegt und dort als PDF herunterladbar. Er enthält die Anlagen Verarbeitungsgegenstand und Datenkategorien, technische und organisatorische Maßnahmen nach Art. 32 DSGVO sowie die Liste der Unterauftragsverarbeiter mit Name, Anschrift, Leistung, Verarbeitungsort und, bei einer Verarbeitung außerhalb der Europäischen Union, Transfergrundlage.

(2) Daten der betreuten Personen. Für die Daten der von Ihnen betreuten Personen sind Sie der Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO, also die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet. Bürofluss ist insoweit Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO, also eine Stelle, die diese Daten ausschließlich nach Ihren Weisungen verarbeitet.

(3) Ihre eigenen Daten und die Daten Ihrer Beschäftigten. Je nachdem, um welche Daten es geht, sind wir für Ihre Daten in drei unterschiedlichen Rollen tätig:

a) Für Ihre Vertrags-, Rechnungs- und Websitedaten sowie für die Bestandsdaten der von Ihnen benannten Ansprechpartner ist Bürofluss selbst Verantwortlicher.

b) Die Daten der Nutzerkonten Ihrer Beschäftigten und der von Ihnen beauftragten Personen, insbesondere Stammdaten, Rechte, Anmelde- und Aktivitätsprotokolle einschließlich der Protokolle nach § 6 Abs. 4, verarbeiten wir grundsätzlich in Ihrem Auftrag; insoweit sind Sie Verantwortlicher und der Auftragsverarbeitungsvertrag gilt. Eine Auswertung dieser Protokolle zur Verhaltens- oder Leistungskontrolle Ihrer Beschäftigten nehmen wir nicht vor.

c) Soweit wir dieselben Daten für die Abrechnung nach § 5 Abs. 5, für den Versand vertragsnotwendiger Transaktions-E-Mails und für die Sicherheit unserer eigenen Systeme nach Art. 32 Abs. 1 DSGVO verwenden, sind wir für diese Zwecke Verantwortlicher; Rechtsgrundlage ist Art. 6 Abs. 1 Unterabs. 1 lit. b und lit. f DSGVO. Soweit wir Anmelde-, Zugriffs- und Administrationsprotokolle zur Abwehr von Missbrauch, zur Sicherheit unseres Dienstes und zur Durchsetzung dieses Vertrags auswerten (§ 3 Abs. 6, § 13 Abs. 1 lit. b und c, § 16 Abs. 3), sind wir insoweit ebenfalls selbst Verantwortlicher; Rechtsgrundlage ist Art. 6 Abs. 1 Unterabs. 1 lit. f DSGVO, und unser berechtigtes Interesse ist die Sicherheit des Dienstes und der Daten aller Kunden. Diese Protokolle löschen wir nach zwölf Monaten. Aggregierte, nicht auf einzelne Betreute bezogene Nutzungskennzahlen (Abrufhäufigkeit, übertragene Datenmenge, Fehlerraten) werten wir zur Sicherstellung von Verfügbarkeit und Betriebssicherheit ebenfalls in eigener Verantwortlichkeit nach Art. 6 Abs. 1 Unterabs. 1 lit. f DSGVO aus. Eine Auswertung von Inhalten Ihrer Akten oder eine Verhaltens- oder Leistungskontrolle Ihrer Beschäftigten findet dabei nicht statt.

Im Klartext: Für Ihre eigenen Vertrags- und Rechnungsdaten sind wir Verantwortlicher (Buchstabe a). Für die Stammdaten und Protokolle der Nutzerkonten Ihrer Beschäftigten sind Sie Verantwortlicher, wir verarbeiten sie nur in Ihrem Auftrag (Buchstabe b). Für Abrechnung, Transaktions-E-Mails, unsere eigene Systemsicherheit und die Abwehr von Missbrauch sind wir dagegen wieder selbst Verantwortlicher, auch wenn es teilweise dieselben Daten betrifft (Buchstabe c).

Support-Anfragen behandeln wir als Verantwortlicher, soweit sie nur die anfragende Person betreffen, und als Auftragsverarbeiter, soweit sie Inhalte Ihrer Mandantenumgebung betreffen.

Beispiel für Einzelbetreuerinnen und Einzelbetreuer: Arbeiten Sie allein, betrifft Sie beides. Für Ihre Rechnungsanschrift, Ihre Vertragsdaten und Ihre Kontaktdaten als Ansprechpartner sind wir Verantwortlicher. Für die Daten Ihres Nutzerkontos, also Anmeldezeitpunkte, Rechte und Aktivitätsprotokolle, sind Sie Verantwortlicher und wir verarbeiten sie in Ihrem Auftrag; für die oben genannten eigenen Zwecke sind wir daneben selbst Verantwortlicher.

Diese Rollen bestehen gleichzeitig nebeneinander. Näheres steht in der Datenschutzerklärung, abrufbar unter https://bürofluss.de/datenschutz.html, und im Auftragsverarbeitungsvertrag (Abs. 1); dort ist dieselbe Abgrenzung wortgleich aufgenommen.

(4) Als Verantwortlicher obliegen Ihnen insbesondere:

a) die Information der betreuten Personen oder ihrer Vertretung nach Art. 13 und Art. 14 DSGVO,

b) die Prüfung und Dokumentation der Rechtsgrundlage nach Art. 6 und, bei Gesundheitsdaten, nach Art. 9 Abs. 2 DSGVO,

c) das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO,

d) die Bearbeitung von Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO, und

e) die Prüfung, ob Sie nach Art. 37 DSGVO in Verbindung mit § 38 BDSG einen Datenschutzbeauftragten benennen müssen.

(5) Weisungen. Weisungen an uns erteilen Sie in Textform an kontakt@buerofluss.de oder durch Nutzung der dafür vorgesehenen Funktionen in der Software. Dafür gelten zwei getrennte Wege.

Erstens Weisungen in Textform. Für Weisungen in Textform an kontakt@buerofluss.de sind ausschließlich die Personen befugt, die Sie uns in Textform benannt haben; die Benennung hinterlegen Sie im Konto und halten sie aktuell. Weisungen anderer Personen in Textform führen wir nicht aus und teilen Ihnen das mit. Den Eingang einer Weisung in Textform bestätigen wir innerhalb von zwei Werktagen.

Zweitens Einstellungen in der Software. Einstellungen, die ein Nutzer Ihrer Organisation im Rahmen der ihm von Ihnen eingeräumten Rechte in Bürofluss vornimmt, etwa zu Löschfristen, Berechtigungen oder Exporten, gelten unabhängig von der Benennung nach dem vorstehenden Absatz als Weisung Ihrer Organisation. Die Beschränkung auf benannte weisungsbefugte Personen gilt also nur für Weisungen in Textform. Welche Nutzer Einstellungen vornehmen dürfen, steuern Sie über die Rechtevergabe nach § 5; Sie stellen sicher, dass nur dazu befugte Nutzer diese Rechte erhalten.

Einstellungen mit unumkehrbarer Wirkung, insbesondere die Verkürzung von Löschfristen und die endgültige Löschung von Datensätzen, stehen nur Nutzern mit Administratorrechten offen, verlangen eine gesonderte Bestätigung im jeweiligen Bildschirm und erscheinen im Weisungsprotokoll mit Nutzerkennung und Zeitpunkt. Eine Wiederherstellung endgültig gelöschter Datensätze ist nicht möglich. Enthalten die letzten 14 Tage zurückliegenden Sicherungskopien noch Kopien, werden diese nach Ablauf dieses Zeitraums überschrieben; ein gezielter Zugriff auf gelöschte Einzeldatensätze aus Sicherungskopien erfolgt nicht.

Wir weisen Sie in Textform hin, wenn eine von Ihnen vorgenommene Einstellung erkennbar zu einem Verlust von Daten führt, für die Sie gesetzliche Aufbewahrungspflichten haben.

Wir führen ein Weisungsprotokoll mit Datum, Inhalt, erteilender Person und Bearbeitungsstand und stellen es Ihnen auf Verlangen innerhalb von zehn Werktagen in Textform zur Verfügung.

Halten wir eine Weisung für rechtswidrig, teilen wir Ihnen das nach Art. 28 Abs. 3 Satz 3 DSGVO unverzüglich mit. Wir sind in diesem Fall vertraglich berechtigt, die Ausführung bis zu Ihrer Rückmeldung auszusetzen; bestätigen Sie die Weisung in Textform, führen wir sie aus, sofern die Ausführung nicht offensichtlich rechtswidrig wäre.

(6) Anträge betroffener Personen. Wendet sich eine betreute Person oder deren Vertretung mit einem Antrag nach Art. 15 bis 22 DSGVO direkt an uns, leiten wir den Antrag unverzüglich, spätestens innerhalb von 24 Stunden nach Eingang bei uns, an Sie weiter und beantworten ihn nicht selbst. Die Fristen laufen bei Ihnen. Art. 12 Abs. 3 DSGVO verlangt drei Dinge, die häufig verwechselt werden:

a) Die Antwort erfolgt unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags.

b) Die Frist kann um weitere zwei Monate verlängert werden. Die Mitteilung über diese Verlängerung samt Gründen muss aber selbst innerhalb des ersten Monats bei der betroffenen Person eingehen. Eine Verlängerung verschafft also keine drei Monate Ruhe; wer die Verlängerungsmitteilung erst im zweiten Monat versendet, hat die Frist versäumt, obwohl er verlängert hat.

c) Wollen Sie nicht tätig werden, unterrichten Sie die betroffene Person nach Art. 12 Abs. 4 DSGVO ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags, über die Gründe sowie über die Möglichkeit einer Beschwerde bei einer Aufsichtsbehörde und eines gerichtlichen Rechtsbehelfs.

Eine Identitätsprüfung nach Art. 12 Abs. 6 DSGVO ist zulässig, hemmt die Frist aber nicht und darf nicht als Verzögerungsinstrument dienen. Die Bearbeitung ist nach Art. 12 Abs. 5 DSGVO unentgeltlich; ein Entgelt kommt nur bei offenkundig unbegründeten oder exzessiven Anträgen in Betracht, und den Nachweis dafür müssen Sie führen. Stellt die betroffene Person den Antrag elektronisch, ist sie nach Möglichkeit auch elektronisch zu unterrichten. Diese Darstellung dient Ihrer Orientierung; die Prüfung im Einzelfall bleibt bei Ihnen.

(7) Wir unterstützen Sie bei diesen Pflichten nach Art. 28 Abs. 3 Satz 2 lit. e und f DSGVO mit den in Bürofluss vorhandenen Funktionen, insbesondere mit Export- und Löschfunktionen sowie Protokollen. Wir übernehmen die Pflichten nicht für Sie.

(8) Schnittstellen mit Ihren eigenen Zugangsdaten. Binden Sie ein E-Mail-Postfach (über Microsoft Graph oder IMAP) oder ein Bankkonto (über FinTS) an, geschieht das auf Ihre Weisung und mit Ihren eigenen Zugangsdaten zu diesen Diensten. Ihr E-Mail-Anbieter und Ihre Bank werden dadurch nicht zu Unterauftragsverarbeitern von Bürofluss; es besteht insoweit keine Vertragsbeziehung zwischen ihnen und uns. Für die Zulässigkeit der Anbindung, für die Auswahl des Postfachs und für die dort abgerufenen Inhalte sind Sie verantwortlich. Wir verarbeiten die abgerufenen Daten ausschließlich weisungsgebunden im Rahmen des Auftragsverarbeitungsvertrags.

(9) Unterauftragsverarbeiter und Verarbeitungsorte. Die von uns eingesetzten Unterauftragsverarbeiter nach Art. 28 Abs. 2 und 4 DSGVO sind mit Name, Anschrift, erbrachter Leistung, Verarbeitungsort und, bei einer Verarbeitung außerhalb der Europäischen Union, mit der Transfergrundlage in einer Liste aufgeführt, die Anlage des Auftragsverarbeitungsvertrags ist (Abs. 1) und die wir Ihnen auf Anfrage zusenden.

Die von Ihnen in Bürofluss eingestellten Inhalte, also die Akten-, Gesundheits-, Vermögens- und Korrespondenzdaten der von Ihnen betreuten Personen einschließlich aller Dokumente und Buchungen, werden ausschließlich auf einem Server der Hetzner Online GmbH in Deutschland (Falkenstein) gespeichert und verarbeitet. Dort laufen Anwendung, Datenbank und Dateispeicher.

Für den Versand von Transaktions- und Benachrichtigungs-E-Mails, etwa zur Registrierung, zur Passwort-Rücksetzung und zu Hinweisen aus der Software, setzen wir Resend als Unterauftragsverarbeiter ein. Dabei werden die E-Mail-Adresse und der Name des empfangenden Nutzerkontos sowie Zustellprotokolle und weitere Metadaten in den Vereinigten Staaten von Amerika gespeichert. Grundlage dieser Übermittlung nach Kapitel V der DSGVO sind die EU-Standardvertragsklauseln in Verbindung mit dem EU-U.S. Data Privacy Framework, dem sich Resend (Plus Five Five, Inc.) unterworfen hat; sie ist zusätzlich in der Liste nach Absatz 9 mit Verarbeitungsort ausgewiesen. Die Inhalte dieser E-Mails halten wir personenbezugsarm; Namen, Gesundheits- und Vermögensangaben der von Ihnen betreuten Personen werden nicht in den Nachrichtentext aufgenommen.

Änderungen der Liste kündigen wir mindestens sechs Wochen vorher in Textform an. Sie können der Änderung innerhalb von vier Wochen nach Zugang der Ankündigung aus datenschutzrechtlichen Gründen in Textform widersprechen. Im Fall des Widerspruchs setzen wir den neuen Unterauftragsverarbeiter für Ihre Organisation nicht ein, oder Sie können den Vertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich kündigen; bis zur Wirksamkeit der Kündigung bleibt es bei dem bisherigen Unterauftragsverarbeiter, Sie erhalten Gelegenheit zum Datenexport nach § 15, und wir erstatten vorausbezahlte Entgelte für den nicht genutzten Zeitraum anteilig. Dieselbe Regelung ist wortgleich in den Auftragsverarbeitungsvertrag aufgenommen.

(10) Keine Auswertung durch uns, keine KI. Wir werten die von Ihnen eingestellten Inhalte nicht für eigene Zwecke aus. Es findet keine Verarbeitung durch Dienste künstlicher Intelligenz statt. Alle zuvor vorhandenen KI-Funktionen wurden am 22.07.2026 vollständig aus Code und Datenbank entfernt. Ihre Daten werden nicht zum Training von Modellen verwendet, weder von uns noch von Dritten. Diese Grenze ist nicht nur eine Zusage an Sie, sondern die Voraussetzung dafür, dass wir hinsichtlich Ihrer Klientendaten ausschließlich als Auftragsverarbeiter handeln. Die in Absatz 3 beschriebene eigene Verantwortlichkeit betrifft ausschließlich Konto-, Vertrags-, Abrechnungs- und Sicherheitsdaten, niemals Inhalte Ihrer Akten.

(11) Fehler-Telemetrie. In der Software ist eine Komponente zur automatisierten Übermittlung von Fehlerberichten vorhanden. Sie ist abgeschaltet. Es werden keine Fehlerberichte an Dritte übermittelt. Vor einer Aktivierung informieren wir Sie mindestens sechs Wochen vorher in Textform unter Angabe des eingesetzten Dienstleisters, des Verarbeitungsorts, der übermittelten Datenkategorien und der Transfergrundlage. Sie können der Änderung innerhalb von vier Wochen aus datenschutzrechtlichen Gründen in Textform widersprechen; im Fall des Widerspruchs wird die Komponente für Ihre Organisation nicht aktiviert oder Sie können den Vertrag zum Zeitpunkt des Wirksamwerdens außerordentlich kündigen. Mit der Aktivierung passen wir die Datenschutzerklärung und die Liste der Unterauftragsverarbeiter nach Absatz 9 an.

(12) Vertraulichkeit auf unserer Seite. Alle Personen, die auf unserer Seite befugt sind, die für Sie verarbeiteten personenbezogenen Daten zu verarbeiten, haben sich zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht, Art. 28 Abs. 3 Satz 2 lit. b DSGVO. Die Verpflichtung erfolgt vor dem ersten Zugriff und wirkt über das Ende der Tätigkeit hinaus.

(13) Zahlungsabwicklung. Die Zahlungsabwicklung Ihres Abonnements erfolgt über Stripe. Stripe ist insoweit kein Auftragsverarbeiter, sondern für Betrugsprävention, Identitäts- und Geldwäscheprüfung sowie Produktverbesserung eigener Verantwortlicher und damit eigenständiger Empfänger der Zahlungsdaten. Daten der von Ihnen betreuten Personen werden dabei nicht verarbeitet.

§ 11 Sicherheitsvorfälle: Meldung in beide Richtungen

(1) Was Sie uns melden. Sie informieren uns unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, bei Kenntnis an einem Samstag, Sonntag oder gesetzlichen Feiertag spätestens am folgenden Werktag, über kontakt@buerofluss.de, wenn

a) der Verdacht besteht, dass Zugangsdaten zu Bürofluss Unbefugten bekannt geworden sind,

b) ein Endgerät mit aktiver Bürofluss-Sitzung verloren gegangen oder gestohlen worden ist,

c) Sie in Bürofluss Daten sehen, die nicht zu Ihrer Organisation gehören,

d) Sie eine Sicherheitslücke entdecken, oder

e) Ihre Organisation von einem Sicherheitsvorfall betroffen ist, der Auswirkungen auf die in Bürofluss gespeicherten Daten haben kann, etwa ein Verschlüsselungstrojaner in Ihrem Büronetz.

(2) Ihre Meldung sollte enthalten: was passiert ist, wann es bemerkt wurde, welche Nutzerkonten betroffen sind und was Sie bereits unternommen haben. Melden Sie lieber zu früh und unvollständig als zu spät. Eine Meldung im Verdachtsfall ist ausdrücklich erwünscht und wird Ihnen nicht nachteilig ausgelegt.

(3) Was wir Ihnen melden. Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt oder besteht ein begründeter Verdacht, die Daten betrifft, die wir für Sie verarbeiten, melden wir Ihnen das nach Art. 33 Abs. 2 DSGVO unverzüglich. Diese Meldung läuft abweichend von § 1 Abs. 7 unabhängig von unseren Servicezeiten, weil auch Ihre Frist gegenüber der Aufsichtsbehörde an Wochenenden und Feiertagen läuft. Reichen die Informationen zu diesem Zeitpunkt nicht aus, melden wir zunächst den bekannten Sachstand und ergänzen ihn ohne unangemessene weitere Verzögerung; die Erstmeldung nach Art. 33 Abs. 2 DSGVO wird dadurch nicht verzögert.

Wir benennen in der Meldung eine Person für Rückfragen. Sie antwortet unverzüglich, auch an Wochenenden und an Feiertagen.

Wir melden an Ihre im Konto hinterlegte Kontaktadresse und, sofern hinterlegt, zusätzlich an eine von Ihnen benannte Sicherheitsadresse. Unsere Meldung enthält entsprechend Art. 33 Abs. 3 DSGVO, soweit uns bekannt: die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Maßnahmen.

(4) Ihre eigene Meldepflicht. Führt die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen, obliegt Ihnen als Verantwortlichem die Meldung an die Aufsichtsbehörde nach Art. 33 Abs. 1 DSGVO und, bei voraussichtlich hohem Risiko, die Benachrichtigung der betroffenen Personen nach Art. 34 Abs. 1 DSGVO. Uns obliegen diese Meldungen nicht. Sie melden unverzüglich und möglichst binnen 72 Stunden, nachdem Ihnen die Verletzung bekannt geworden ist; erfolgt die Meldung später, ist ihr nach Art. 33 Abs. 1 Satz 2 DSGVO eine Begründung für die Verzögerung beizufügen. Unsere Meldung nach Absatz 3 setzt Ihre Kenntnis und damit den Fristlauf in Gang, sobald sie Ihnen tatsächlich zugegangen ist. Wir unterstützen Sie bei Ihrer Meldung mit den uns vorliegenden Informationen.

(5) Ihre Sicherheitsadresse. Halten Sie bitte im Konto eine Kontaktadresse für Sicherheitsmeldungen aktuell, die auch außerhalb Ihrer üblichen Bürozeiten gelesen wird. Wir senden unsere Meldung nach Absatz 3 an die zuletzt von Ihnen hinterlegte Adresse. Erhalten wir eine Unzustellbarkeitsmeldung oder scheitert die Zustellung sonst erkennbar, versuchen wir unverzüglich, Sie über die im Konto hinterlegten weiteren Kontaktdaten zu erreichen, insbesondere über die Rechnungsadresse und die hinterlegte Telefonnummer, und dokumentieren diese Versuche. Einmal jährlich erinnern wir Sie per E-Mail daran, die Sicherheitsadresse zu überprüfen.

Was das für Sie bedeutet: Ihre Frist gegenüber der Aufsichtsbehörde beginnt erst, wenn unsere Meldung Ihnen tatsächlich zugeht. Kommt eine Meldung deshalb verspätet bei Ihnen an, weil Sie eine veraltete Adresse hinterlegt hatten, kann dies bei einem Schadensersatzanspruch nach § 254 BGB (Mitverschulden) berücksichtigt werden. Der Zugang unserer Meldung wird dadurch nicht fingiert.

(6) Was wir Ihnen zusagen. Meldungen an die Sicherheitsadresse bestätigen wir innerhalb von 24 Stunden und teilen Ihnen innerhalb von fünf Werktagen mit, wie wir mit der Meldung umgehen. Eine verspätete Meldung nach Absatz 1 führt für sich genommen nicht zur Sperrung oder Kündigung; sie kann im Rahmen des § 254 BGB (Mitverschulden) berücksichtigt werden, soweit sie den Schaden vergrößert hat.

§ 12 Meldung rechtswidriger Inhalte und Kontaktstellen

(1) Soweit auf Bürofluss die Verordnung (EU) 2022/2065 über einen Binnenmarkt für digitale Dienste (Gesetz über digitale Dienste, DSA) Anwendung findet, gilt Folgendes.

Ob der DSA auf Bürofluss anwendbar ist, ist rechtlich nicht abschließend geklärt. Wir wenden das in diesem Paragraphen beschriebene Verfahren unabhängig davon an. Sie können sich also auf die Absätze 2 bis 7 berufen, auch wenn sich herausstellt, dass der DSA nicht gilt.

(2) Meldeverfahren. Sie und jede andere Person können uns Inhalte melden, die in Bürofluss gespeichert sind und die Sie für rechtswidrig halten. Für Meldungen steht Ihnen ein vollständig elektronischer Weg zur Verfügung, Art. 16 Abs. 1 DSA: kontakt@buerofluss.de oder das dort verlinkte Formular. Meldungen, die uns auf einem anderen Weg erreichen, bearbeiten wir ebenfalls. Diese Adresse ist nicht die allgemeine Supportadresse.

(3) Eine Meldung nach Art. 16 Abs. 2 DSA soll enthalten:

a) eine hinreichend begründete Erklärung, warum der Inhalt rechtswidrig sein soll,

b) eine genaue Angabe des Speicherorts des Inhalts,

c) Name und E-Mail-Adresse der meldenden Person; das gilt nach Art. 16 Abs. 2 lit. c DSA nicht bei Meldungen zu Informationen, die mit einer der in den Art. 3 bis 7 der Richtlinie 2011/93/EU genannten Straftaten in Verbindung stehen, also mit sexuellem Missbrauch oder sexueller Ausbeutung von Kindern, und

d) die Erklärung, dass die Angaben nach bestem Wissen richtig und vollständig sind.

(4) Wie wir damit umgehen. Wir bestätigen den Eingang. Wir entscheiden über die Meldung zeitnah, sorgfältig, frei von Willkür und objektiv. Wir teilen der meldenden Person unsere Entscheidung mit und weisen dabei auf mögliche Rechtsbehelfe hin, Art. 16 Abs. 5 und 6 DSA. Eine inhaltliche Kenntnisnahme der von Ihnen gespeicherten Daten nehmen wir dabei nicht vor. Betrifft eine Meldung Inhalte innerhalb Ihrer Mandantenumgebung, leiten wir sie unverzüglich an Sie als Verantwortlichen weiter und teilen der meldenden Person mit, dass wir insoweit als Auftragsverarbeiter ohne eigene Prüfungsbefugnis handeln. Eine Beschränkung solcher Inhalte durch uns erfolgt ausschließlich auf Ihre Weisung oder aufgrund einer an uns gerichteten behördlichen oder gerichtlichen Anordnung; im zweiten Fall unterrichten wir Sie unverzüglich, soweit uns das rechtlich erlaubt ist. Beschränken wir daraufhin einen Inhalt oder ein Konto, erhält der betroffene Kunde eine Begründung nach Art. 17 DSA.

(5) Vertraulichkeit Ihrer Akten bleibt gewahrt. Damit kein Zweifel entsteht: Eine Meldung nach Absatz 2 gibt uns kein Recht, in Ihre Klientenakten zu sehen. Wir entscheiden über eine solche Meldung ausschließlich anhand der Angaben der meldenden Person, der bei uns vorhandenen Bestands- und Protokolldaten und Ihrer Rückmeldung als Verantwortlicher. Benötigen wir für die Beurteilung Einsicht in einen konkreten Datensatz, holen wir dafür Ihre Weisung in Textform ein, wie in § 16 Abs. 3 beschrieben. Wir unterrichten Sie vor jeder solchen Einsicht und protokollieren jede Einsicht mit Zeitpunkt, Person und Anlass; das Protokoll stellen wir Ihnen auf Verlangen in Textform zur Verfügung. Die Einsicht nimmt die vertretungsberechtigte Person vor. Sind bei uns mehrere Personen beschäftigt, erfolgt sie im Vier-Augen-Prinzip.

(6) Angaben nach Art. 14 Abs. 1 DSA. Die Nutzungsregeln, an die Sie sich halten müssen, ergeben sich abschließend aus § 8 dieser Nutzungsbedingungen. Beschränkungen können wir Ihnen daneben nach § 4 Abs. 3 (gesperrter Zugriff auf Klientendaten, solange kein zweiter Faktor eingerichtet ist), nach § 6 Abs. 4 (blockierter eBO-Versand bei abweichendem Nutzer) und nach § 13 Abs. 1 auferlegen. Nach § 13 Abs. 1 lit. b bis d können wir also auch ohne Verstoß gegen § 8 sperren, wenn ein Missbrauchsverdacht, eine Gefahr für den Betrieb oder eine behördliche Anordnung vorliegt. Diese Aufzählung ist abschließend. Die Verfahren, mit denen wir über solche Beschränkungen entscheiden, stehen in § 13; Widerspruch können Sie nach § 13 Abs. 5 einlegen. Wir setzen zur Moderation von Inhalten keine automatisierten Verfahren und keine algorithmische Entscheidungsfindung ein; über jede Beschränkung entscheidet eine Person. Wir sehen Inhalte nicht anlasslos ein. Eine Prüfung erfolgt nur nach einer Meldung nach Absatz 2, nach einer behördlichen oder gerichtlichen Anordnung oder bei einem konkreten Sicherheitsvorfall, und sie erfolgt in diesen Fällen durch Menschen unter den Voraussetzungen des Absatzes 5. Wir wenden diese Beschränkungen nach Art. 14 Abs. 4 DSA sorgfältig, objektiv und verhältnismäßig an und berücksichtigen dabei die Rechte und berechtigten Interessen aller Beteiligten, einschließlich der Grundrechte der von Ihnen betreuten Personen.

(7) Kontaktstellen. Zentrale Kontaktstelle für Behörden nach Art. 11 DSA: kontakt@buerofluss.de. Kommunikationssprachen: Deutsch und Englisch. Kontaktstelle für Nutzer nach Art. 12 DSA: kontakt@buerofluss.de. Die Kontaktstelle ist unmittelbar und schnell auf elektronischem Weg erreichbar. Sie können sie per E-Mail oder telefonisch unter +49 157 53211661 erreichen und daneben den Postweg an die oben genannte Anschrift wählen. Die Bearbeitung stützt sich nicht ausschließlich auf automatisierte Instrumente; jede Anfrage wird von einer Person bearbeitet, Art. 12 Abs. 1 DSA.

(8) Transparenzbericht. Solange wir als Kleinstunternehmen oder kleines Unternehmen im Sinne der Empfehlung 2003/361/EG gelten und keine sehr große Online-Plattform betreiben, sind wir nach Art. 15 Abs. 2 DSA von der Pflicht zur Veröffentlichung eines Transparenzberichts nach Art. 15 Abs. 1 DSA ausgenommen und veröffentlichen deshalb keinen. Entfällt diese Voraussetzung, nehmen wir die Veröffentlichung auf.

(9) Praktische Einordnung. Bürofluss ist keine öffentliche Plattform. Inhalte, die Sie einstellen, sind ausschließlich für Ihre eigene Organisation sichtbar. Meldungen Dritter sind deshalb praktisch kaum zu erwarten. Das Verfahren wird dennoch vorgehalten, weil die Pflicht nicht an der Wahrscheinlichkeit einer Meldung hängt.

§ 13 Sperrung bei Missbrauch

(1) Voraussetzungen. Wir dürfen einzelne Nutzerkonten, einzelne Funktionen oder den gesamten Zugang Ihrer Organisation sperren, wenn

a) ein Verstoß gegen § 8 vorliegt,

b) ein konkreter Verdacht besteht, dass Zugangsdaten missbraucht werden,

c) von Ihrem Zugang eine Gefahr für die Sicherheit oder Verfügbarkeit des Dienstes oder für die Daten anderer Kunden ausgeht, oder

d) wir gesetzlich oder durch behördliche oder gerichtliche Anordnung dazu verpflichtet sind.

Für die Sperrung wegen Zahlungsverzugs gilt Absatz 7.

(2) Ankündigung als Regelfall. Vor einer Sperrung fordern wir Sie in Textform auf, den Verstoß innerhalb einer angemessenen Frist von mindestens sieben Tagen abzustellen, und kündigen die Sperrung für den Fall des Fristablaufs an. Die Aufforderung benennt den konkreten Verstoß.

(3) Ausnahmen von der Ankündigung. Ohne vorherige Ankündigung dürfen wir sperren, wenn

a) unmittelbare Gefahr für die Daten anderer Kunden oder für den Betrieb des Dienstes besteht, insbesondere bei laufendem Angriff oder aktiver Schadsoftware,

b) ein Nutzerkonto erkennbar übernommen wurde,

c) eine behördliche oder gerichtliche Anordnung eine sofortige Sperrung verlangt, oder

d) der Verstoß so schwer wiegt, dass ein Zuwarten uns unzumutbar ist, insbesondere bei vorsätzlichem Zugriff auf Daten anderer Kunden.

In diesen Fällen unterrichten wir Sie unverzüglich nach der Sperrung, spätestens innerhalb von 24 Stunden, über die Sperrung und ihre Gründe.

(4) Verhältnismäßigkeit. Wir sperren so eng wie möglich. Ein einzelnes betroffenes Nutzerkonto geht der Sperrung der gesamten Organisation vor. Eine Sperrung einzelner Funktionen geht der Sperrung des gesamten Zugangs vor. Der Grund für diese Abstufung ist nicht bloß Kulanz: Sie führen gerichtlich überwachte Betreuungen mit gesetzlichen Fristen. Ein pauschaler Vollentzug kann Fristversäumnisse zulasten der von Ihnen betreuten Personen auslösen, die nicht am Verstoß beteiligt sind.

(5) Begründung und Widerspruch. Jede Sperrung wird Ihnen in Textform mit Angabe des Grundes mitgeteilt. Sie können der Sperrung innerhalb von 14 Tagen in Textform an kontakt@buerofluss.de widersprechen. Wir prüfen den Widerspruch vorrangig und antworten innerhalb von fünf Werktagen. Halten wir die Sperrung aufrecht, begründen wir das.

(6) Aufhebung. Ist der Grund für die Sperrung entfallen, heben wir sie unverzüglich auf, ohne dass Sie das gesondert verlangen müssen.

(7) Zahlungsverzug. Befinden Sie sich in Zahlungsverzug, richten sich Voraussetzungen, Fristen und Ankündigung bis zur Sperrung nach den AGB (§ 9), nicht nach den Absätzen 2 und 3. Die Absätze 4 bis 6 dieses Paragraphen und der lesende Notzugang nach § 14 Abs. 2 gelten dagegen auch für eine Sperrung wegen Zahlungsverzugs. Auch bei berechtigtem Verzug entziehen wir Ihnen also nicht ohne Lesemöglichkeit den Zugang zu Ihren Akten. Die Entgeltminderung nach § 14 Abs. 3 gilt für eine Sperrung wegen Zahlungsverzugs dagegen nicht; das Entgelt bleibt in diesem Fall in voller Höhe geschuldet.

§ 14 Folgen der Sperrung

(1) Während einer Sperrung ist die Nutzung der gesperrten Konten oder Funktionen nicht möglich. Ihre Daten bleiben gespeichert. Eine Sperrung ist keine Löschung.

(2) Lesender Notzugang. Bei einer Sperrung des gesamten Zugangs bieten wir Ihnen den lesenden Zugang oder den vollständigen Datenexport unaufgefordert mit der Sperrmitteilung an und richten ihn spätestens am nächsten Werktag nach Ihrem Verlangen ein, damit Sie laufende gesetzliche und gerichtliche Fristen einhalten können. Wir dürfen ihn nur ablehnen, wenn eine behördliche oder gerichtliche Anordnung entgegensteht oder wenn ein lesender Zugriff selbst die Gefahr fortsetzt, die zur Sperrung geführt hat; im zweiten Fall begründen wir die Ablehnung in Textform, benennen die betroffenen Konten und stellen Ihnen stattdessen einen Datenexport über einen anderen Weg bereit, sofern das ohne die genannte Gefahr möglich ist.

(3) Entgelt während einer Sperrung. Bei einer Sperrung einzelner Nutzerkonten oder einzelner Funktionen besteht die Zahlungspflicht fort. Bei einer Sperrung des gesamten Zugangs mindert sich das Entgelt für die Dauer der Sperrung anteilig, es sei denn, wir haben Ihnen den lesenden Zugang nach Absatz 2 tatsächlich eingerichtet. Haben wir die Sperrung zu Unrecht vorgenommen, erstatten wir das Entgelt für den Zeitraum der Sperrung in vollem Umfang anteilig. Ist zwischen uns streitig, ob Sie die Sperrung zu vertreten haben, stunden wir das Entgelt für die Dauer der Sperrung bis zur Klärung, das heißt, es wird bis zur Klärung nicht fällig.

(4) Eine Sperrung beendet den Vertrag nicht. Sie kann aber zugleich Anlass für eine außerordentliche Kündigung nach den AGB (§ 12) sein. Ob und wann gekündigt wird, richtet sich nach den AGB.

§ 15 Datenexport und Anbieterwechsel

(1) Datenexport und Löschung nach Vertragsende richten sich nach den AGB (§ 20 und § 23). Zusammengefasst: Sie erhalten Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format; die Löschung erfolgt danach, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die dort genannten Fristen gehen dieser Zusammenfassung vor.

(2) Informationen zum Wechsel zu einem anderen Anbieter, zu den verfügbaren Exportformaten je Datenkategorie sowie zu bekannten technischen Beschränkungen des Wechsels stellen wir Ihnen ohne Anmeldung unter https://bürofluss.de/datenexport-verzeichnis.html bereit. Dort stehen auch die Einzelheiten zu den Grenzen für wiederkehrende Sicherungen nach § 8 Abs. 1 lit. e; der dort im Vertragstext genannte Mindestumfang gilt unabhängig von diesen Angaben.

§ 16 Verfügbarkeit, Wartung und Support im Alltag

(1) Umfang und Grenzen der Verfügbarkeit regeln die AGB (§ 15). Dieser Paragraph regelt nur, was Sie im Alltag beachten sollten.

(2) Planmäßige Wartungsarbeiten kündigen wir mit dem in den AGB genannten Vorlauf an (§ 15). Bitte halten Sie im Konto eine E-Mail-Adresse aktuell, die diese Ankündigungen erreicht.

(3) Support erreichen Sie über support@buerofluss.de. Bitte übermitteln Sie in Supportanfragen keine Klartextdaten der von Ihnen betreuten Personen, insbesondere keine Gesundheitsdaten. Beschreiben Sie den Vorgang stattdessen über die Kennung des Datensatzes oder über einen Bildschirmfoto-Ausschnitt ohne personenbezogene Inhalte. Wenn wir für die Fehlersuche Einsicht in einen konkreten Datensatz benötigen, holen wir dafür Ihre Weisung in Textform ein.

Unabhängig davon können Beschäftigte von uns aus technischen Gründen administrativen Zugriff auf die Systeme haben, auf denen Ihre Daten liegen. Dieser Zugriff ist auf namentlich benannte Personen beschränkt, die zur Vertraulichkeit verpflichtet sind, erfordert eine gesonderte Anmeldung mit zweitem Faktor und wird mit Zeitpunkt, Person und Anlass protokolliert. Die Protokolle bewahren wir mindestens zwölf Monate auf und stellen Ihnen die Sie betreffenden Einträge auf Verlangen in Textform zur Verfügung. Einzelheiten regeln die technischen und organisatorischen Maßnahmen des Auftragsverarbeitungsvertrags.

(4) Eigene Datensicherung. Sichern Sie Ihre Daten zusätzlich außerhalb von Bürofluss. Das gilt besonders für Unterlagen, die nur hier gespeichert sind, also insbesondere für Ihre Betreuungsakten. Die Sicherung erfolgt über den Exportbereich der Software, der die dafür nötigen Formate bereitstellt. Wir empfehlen einen Export mindestens einmal im Monat sowie zusätzlich vor jeder Rechnungslegung gegenüber dem Betreuungsgericht; in genau diesem Umfang haben Sie nach § 8 Abs. 1 lit. e einen Anspruch auf den Export, unabhängig von den dort veröffentlichten Grenzen. Diese Obliegenheit, also eine Pflicht gegen sich selbst, deren Verletzung keine Schadensersatzpflicht auslöst, aber Ihre eigenen Ansprüche mindern kann, ergibt sich auch aus den AGB (§ 15); dort ist geregelt, welche Folgen es hat, wenn Sie sie nicht erfüllen. Ihre Obliegenheit lässt unsere Pflicht zur ordnungsgemäßen Speicherung und Sicherung Ihrer Daten unberührt. Bei einem von uns zu vertretenden Datenverlust kann uns Ihre unterlassene eigene Sicherung nur im Rahmen des § 254 BGB (Mitverschulden) entgegengehalten werden.

§ 17 Änderungen dieser Nutzungsbedingungen

(1) Wir dürfen diese Nutzungsbedingungen mit Wirkung für die Zukunft ändern, soweit dies zur Anpassung an eine geänderte Rechtslage, an die höchstrichterliche Rechtsprechung oder an eine behördliche Anordnung erforderlich ist, die Änderung das Verhältnis von Leistung und Gegenleistung unberührt lässt, keine wesentliche Vertragspflicht betrifft und Sie nicht unangemessen benachteiligt. Nicht änderbar sind nach dieser Vorschrift der Leistungsumfang, das Entgelt, die Haftung sowie die Zusagen in § 10 Abs. 10 und § 10 Abs. 11. Deren Änderung bedarf Ihrer ausdrücklichen Zustimmung in Textform; eine Zustimmungsfiktion genügt dafür nicht.

(2) Änderungen teilen wir Ihnen mindestens sechs Wochen vor dem geplanten Inkrafttreten in Textform mit und stellen den vollständigen geänderten Text zur Verfügung. Sie können der Änderung bis zum Zeitpunkt ihres Inkrafttretens in Textform an kontakt@buerofluss.de widersprechen. In der Änderungsmitteilung weisen wir Sie gesondert auf Ihr Widerspruchsrecht, auf die Widerspruchsfrist und darauf hin, dass Ihr Schweigen bis zum Ablauf der Frist als Zustimmung gilt (Zustimmungsfiktion, also die Regelung, dass eine Änderung als angenommen gilt, wenn Sie ihr nicht innerhalb der Frist widersprechen). Unterbleibt dieser Hinweis, tritt die Zustimmungswirkung nicht ein.

(3) Wenn Sie widersprechen: Widersprechen Sie fristgerecht, gilt für Sie bis auf Weiteres die bisherige Fassung. Wir können den Vertrag in diesem Fall unter Einhaltung der in den AGB vereinbarten ordentlichen Kündigungsfrist und frühestens zum Ende der vereinbarten Mindestlaufzeit kündigen; bis zur Wirksamkeit der Kündigung bleibt es bei der bisherigen Fassung, und Sie erhalten Gelegenheit zum Datenexport nach § 15. Eine Kündigung nach diesem Absatz wird frühestens zum Ablauf der bereits bezahlten Vertragsperiode wirksam. Kündigen wir vor deren Ablauf, erstatten wir das für den nicht genutzten Zeitraum vorausbezahlte Entgelt anteilig innerhalb von 14 Tagen nach Wirksamwerden der Kündigung.

(4) Änderungen wegen einer Fortentwicklung der Software. Folgt eine Änderung dieser Nutzungsbedingungen aus einer Änderung des Funktionsumfangs der Software, bedarf sie Ihrer ausdrücklichen Zustimmung in Textform. Eine Zustimmungsfiktion nach Absatz 2 findet auf solche Änderungen keine Anwendung.

(5) Die jeweils aktuelle Fassung ist unter der Adresse dieser Seite abrufbar. Das Datum der Fassung steht am Anfang des Dokuments.

§ 18 Schlussbestimmungen

(1) Sollte eine Bestimmung dieser Nutzungsbedingungen unwirksam oder undurchführbar sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(2) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(3) Gerichtsstand, Rechtswahl im Übrigen und Textformerfordernis richten sich nach den AGB (§ 28 Abs. 5).

(4) Die Pflichten nach § 312i Abs. 1 Satz 1 Nr. 1 bis 3 BGB werden abbedungen (§ 312i Abs. 2 Satz 2 BGB). Das betrifft drei Pflichten: die Pflicht, Ihnen vor der Bestellung die technischen Schritte zum Vertragsschluss zu erläutern; die Pflicht, Ihnen Eingabefehler vor dem Absenden anzuzeigen und deren Berichtigung zu ermöglichen; und die Pflicht, den Eingang Ihrer Bestellung gesondert elektronisch zu bestätigen. Diese Abbedingung ist zwischen Unternehmern zulässig (§ 312i Abs. 2 Satz 2 BGB). Die Speicherung des Vertragstextes und der Zugang zu den Vertragsbedingungen bleiben davon unberührt; wir stellen Ihnen diese Nutzungsbedingungen, die AGB und den Auftragsverarbeitungsvertrag nach Vertragsschluss in Textform zur Verfügung.