Datenschutzerklärung

JPOS ist ein cloudbasiertes Kassen- und Warenwirtschaftssystem (Software as a Service), das von der Jantrah Tech (Pvt) Ltd betrieben wird, einer nach dem Companies Act 2017 in der Islamischen Republik Pakistan eingetragenen und bei der Securities and Exchange Commission of Pakistan (SECP) registrierten Gesellschaft mit beschränkter Haftung. Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) sowie dem Bundesdatenschutzgesetz (BDSG) darüber, welche personenbezogenen Daten wir bei der Nutzung von https://jpos.jantrah.com/de und des Dienstes verarbeiten, auf welcher Rechtsgrundlage dies geschieht, wie lange wir die Daten speichern und welche Rechte Ihnen zustehen. Sie gilt für Nutzer in Deutschland und ergänzt unsere Allgemeinen Geschäftsbedingungen.

1. Verantwortlicher und EU-Vertreter

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die in dieser Erklärung beschriebene Verarbeitung ist die Jantrah Tech (Pvt) Ltd, Pakistan, erreichbar über die in Abschnitt 14 genannten Kontaktdaten. Da wir keine Niederlassung in der Europäischen Union haben, aber Unternehmen in Deutschland unseren Dienst anbieten, findet die DSGVO nach Art. 3 Abs. 2 DSGVO auf uns Anwendung. Soweit nach Art. 27 DSGVO erforderlich, haben wir einen Vertreter in der Union benannt; dessen Kontaktdaten teilen wir Ihnen auf Anfrage per E-Mail mit. Sämtliche datenschutzrechtlichen Anfragen können Sie direkt an uns richten.

2. Verantwortlicher oder Auftragsverarbeiter – unsere Rollen

Ihre eigenen Kontodaten – wir sind Verantwortlicher

Für die Daten, die Sie bei der Registrierung und Verwaltung Ihres Unternehmenskontos angeben (z. B. Name des Inhabers, E-Mail-Adresse, Telefonnummer), sowie für die technischen Protokolldaten Ihrer Nutzung sind wir Verantwortlicher.

Daten Ihrer Kunden, Mitarbeiter und Lieferanten – Sie sind Verantwortlicher, wir Auftragsverarbeiter

• Alle personenbezogenen Daten, die Sie als Händler in JPOS über Ihre Kunden (einschließlich Kundenkonten und Anschreibbuch), Ihre Beschäftigten (Lohn- und Gehaltsdaten) und Ihre Lieferanten erfassen, verarbeiten wir ausschließlich in Ihrem Auftrag und nach Ihren Weisungen als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Verantwortlicher für diese Daten bleiben Sie.
• Sie sind damit selbst dafür verantwortlich, dass für diese Daten eine Rechtsgrundlage besteht, dass Sie Ihre Kunden und Beschäftigten nach Art. 13 DSGVO informieren und dass Sie Betroffenenanfragen beantworten. Wir unterstützen Sie dabei mit geeigneten technischen und organisatorischen Maßnahmen (Art. 28 Abs. 3 lit. e und f DSGVO).
• Einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 Abs. 3 DSGVO, einschließlich der Standardvertragsklauseln für die Übermittlung in Drittländer (siehe Abschnitt 8), stellen wir Ihnen auf Anfrage per E-Mail zur Verfügung. Wir setzen weitere Auftragsverarbeiter (Unterauftragsverarbeiter, Abschnitt 7) nur nach den Regeln des AVV ein.
• Wenden sich Kunden oder Beschäftigte eines Händlers mit Betroffenenrechten an uns, leiten wir die Anfrage an den Händler weiter, da nur er über die Daten entscheiden kann.

3. Welche Daten wir verarbeiten

Registrierungs- und Kontodaten

• Firmenname, Name des Inhabers, E-Mail-Adresse, Telefonnummer, Stadt sowie optional Geschäftsadresse, Steuernummer bzw. USt-IdNr. und Website.
• Mitarbeiterkonten, die Sie innerhalb Ihres Unternehmens anlegen (Name, Benutzername, Kontaktdaten, Rolle).
• Passwörter speichern wir ausschließlich als starke Einweg-Hashes; wir können Ihr Passwort nicht einsehen.

Geschäftsdaten, die Sie eingeben

• Artikel, Preise, Bestände, Verkäufe, Einkäufe, Kunden- und Lieferantendaten (einschließlich Kundenkredit und Anschreibbuch), Ausgaben, Lohn- und Gehaltsabrechnungen und zugehörige Belege. Diese Daten gehören Ihnen; wir speichern und verarbeiten sie nur, um den Dienst zu erbringen (siehe Abschnitt 2).

Technische Daten und Protokolle

• IP-Adresse, Browsertyp und -version, aufgerufene Seiten, Zeitpunkte der Anmeldung sowie Sicherheitsereignisse (z. B. fehlgeschlagene Anmeldeversuche). Diese Protokolle dienen der Sicherheit, der Nachvollziehbarkeit und der Missbrauchsabwehr.

Wir erheben keine Zahlungsdaten: Der Dienst wird derzeit kostenlos bereitgestellt, und es werden zu keinem Zeitpunkt Karten-, Wallet- oder Bankdaten von Ihnen erfasst. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) fragen wir nicht ab. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

4. Zwecke und Rechtsgrundlagen

Wir verarbeiten Ihre personenbezogenen Daten nur, soweit eine der folgenden Rechtsgrundlagen des Art. 6 Abs. 1 DSGVO vorliegt:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Einrichtung und Betrieb Ihres Kontos, Bereitstellung aller Funktionen des Dienstes, Versand von Dienst-E-Mails (E-Mail-Bestätigung, Zurücksetzen des Passworts, wichtige Hinweise zum Dienst) sowie Support.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Erfüllung gesetzlicher Aufbewahrungs-, Auskunfts- und Mitwirkungspflichten gegenüber Behörden und Gerichten.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Sicherheit und Integrität der Plattform, Erkennung und Abwehr unbefugter Zugriffe und Missbrauch, Führung von Sicherheits- und Prüfprotokollen, Fehleranalyse und Weiterentwicklung des Dienstes sowie Geltendmachung oder Abwehr von Rechtsansprüchen. Unser Interesse liegt in einem sicheren, stabilen Betrieb; Ihre Interessen wahren wir durch Datensparsamkeit, Zugriffsbeschränkungen und kurze Speicherfristen.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): nur, soweit wir Sie im Einzelfall ausdrücklich um Ihre Einwilligung bitten. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Wir verwenden Ihre Geschäftsdaten nicht für Werbung, erstellen keine Nutzungsprofile und verkaufen keine Daten an Dritte.

5. Cookies und Sitzungen

• Wir setzen ausschließlich technisch notwendige Cookies ein: ein Sitzungs-Cookie, das Sie angemeldet hält, und ein CSRF-Token-Cookie, das Formulare gegen Fälschung schützt.
• Ein optionales Cookie „Angemeldet bleiben“ wird nur gesetzt, wenn Sie diese Funktion beim Anmelden selbst aktivieren; es hält Ihre Anmeldung zwischen Besuchen aufrecht und wird beim Abmelden gelöscht.
• Die Speicherung dieser Cookies auf Ihrem Endgerät ist nach § 25 Abs. 2 Nr. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) ohne Einwilligung zulässig, weil sie unbedingt erforderlich ist, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen. Aus diesem Grund zeigen wir kein Cookie-Banner an.
• Wir verwenden keine Werbe-, Tracking- oder Analyse-Cookies und keine Cookies von Drittanbietern.
• Sie können Cookies in Ihrem Browser löschen oder blockieren; ohne die technisch notwendigen Cookies ist eine Anmeldung jedoch nicht möglich.

6. Hosting, Speicherung und Sicherheit

• Anwendung und Datenbank werden auf Servern der Hetzner Online GmbH in Rechenzentren innerhalb der Europäischen Union betrieben. Hetzner handelt als Unterauftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.
• Die gesamte Kommunikation zwischen Ihrem Browser und dem Dienst ist per HTTPS/TLS verschlüsselt.
• Die Daten jedes Unternehmens sind logisch von denen aller anderen Unternehmen getrennt; unsere Zugriffskontrollen setzen diese Trennung bei jeder Anfrage durch.
• Sicherheits- und Prüfprotokolle zeichnen sicherheitsrelevante Aktionen nachvollziehbar auf; Zugriffe unseres Personals erfolgen rollenbasiert und nur, soweit sie zur Erbringung des Dienstes und des Supports erforderlich sind.
• Regelmäßige Sicherungskopien schützen vor Datenverlust.

Diese Maßnahmen entsprechen den Anforderungen des Art. 32 DSGVO an die Sicherheit der Verarbeitung. Kein System kann jedoch absolute Sicherheit garantieren. Sollte es zu einer Verletzung des Schutzes personenbezogener Daten kommen, informieren wir betroffene Händler als deren Auftragsverarbeiter unverzüglich (Art. 33 Abs. 2 DSGVO) und erfüllen unsere eigenen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

7. Empfänger der Daten

Wir geben personenbezogene Daten nur an folgende Empfänger weiter:

• Hosting-Anbieter: Hetzner Online GmbH (Deutschland/EU) für Server, Speicher und Datensicherung.
• E-Mail-Versanddienstleister: ein SMTP-Dienstleister, über den Dienst-E-Mails (Bestätigung, Passwort zurücksetzen, Hinweise) versendet werden; er erhält dazu nur Ihre E-Mail-Adresse und den Inhalt der jeweiligen Nachricht.
• Unser Support-Personal: Mitarbeiter der Jantrah Tech (Pvt) Ltd in Pakistan, die ausschließlich zur Bereitstellung des Dienstes und zur Bearbeitung Ihrer Support-Anfragen auf Daten zugreifen (siehe Abschnitt 8).
• Behörden und Gerichte: soweit wir nach dem Recht der EU oder eines Mitgliedstaats dazu verpflichtet sind oder eine rechtmäßige Anordnung vorliegt.
• Rechtsnachfolger: im Fall einer Verschmelzung oder Übernahme; diese Datenschutzerklärung gilt dann weiter für Ihre Daten.

Alle Dienstleister sind vertraglich verpflichtet, die Daten nur nach unseren Weisungen und nur für die Erbringung ihrer Leistung zu verwenden. Eine Weitergabe an andere Unternehmen, die den Dienst nutzen, findet nicht statt.

8. Datenübermittlung in Drittländer

• Ihre Daten werden in der Europäischen Union gespeichert. Eine Übermittlung im Sinne von Kapitel V DSGVO (Art. 44 ff.) findet statt, wenn unser Support-Personal aus Pakistan auf Daten zugreift. Für Pakistan liegt kein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO vor.
• Diese Übermittlung stützen wir auf die von der Europäischen Kommission erlassenen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss (EU) 2021/914), die Bestandteil des Auftragsverarbeitungsvertrags mit Ihnen als Händler sind. Eine Kopie erhalten Sie auf Anfrage.
• Ergänzend treffen wir zusätzliche Maßnahmen: Der Zugriff erfolgt ausschließlich verschlüsselt und rollenbasiert, ist auf das für Dienst und Support erforderliche Minimum beschränkt, wird protokolliert, und die Daten verbleiben dabei physisch auf den Servern in der EU. Wir haben die Rechtslage im Drittland bewertet (Transfer-Folgenabschätzung) und überprüfen diese Bewertung regelmäßig.
• Sollte ein weiterer Dienstleister Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, stellen wir ein angemessenes Datenschutzniveau durch einen Angemessenheitsbeschluss oder Standardvertragsklauseln sicher. Auf die Ausnahmen des Art. 49 DSGVO stützen wir uns nur in Einzelfällen, etwa wenn Sie ausdrücklich eingewilligt haben.

9. Speicherdauer und Löschung

• Konto- und Geschäftsdaten speichern wir, solange Ihr Konto aktiv ist, sowie für einen angemessenen Zeitraum danach, damit Sie den Dienst ohne Datenverlust wieder aufnehmen können.
• Schließen Sie Ihr Konto oder verlangen Sie die Löschung, löschen oder anonymisieren wir Ihre personenbezogenen Daten innerhalb eines angemessenen Zeitraums, es sei denn, eine gesetzliche Aufbewahrungspflicht oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erfordert eine längere Speicherung.
• Sicherheits- und Prüfprotokolle bewahren wir nur so lange auf, wie es für ihren Zweck erforderlich ist.
• Hinweis für Händler: Ihre in JPOS geführten Bücher, Aufzeichnungen, Kassendaten und Belege unterliegen Ihren eigenen handels- und steuerrechtlichen Aufbewahrungspflichten nach § 257 HGB und § 147 AO (in der Regel acht bzw. zehn Jahre). Exportieren und sichern Sie diese Daten daher vor einer Kontolöschung; eine Löschung auf Ihren Wunsch befreit Sie nicht von diesen Pflichten.

10. Ihre Rechte als betroffene Person

Nach der DSGVO stehen Ihnen uns gegenüber folgende Rechte zu:

• Auskunft (Art. 15 DSGVO) über die von uns verarbeiteten personenbezogenen Daten sowie eine Kopie dieser Daten;
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht oder ein anderer Ausnahmegrund entgegensteht;
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO): Erhalt der von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format;
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben;
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft;
• das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden (Art. 22 DSGVO) – eine solche findet bei uns nicht statt.

Ihre Profil- und Unternehmensdaten können Sie jederzeit selbst in der Anwendung einsehen und ändern. Für alle weiteren Anliegen genügt eine formlose E-Mail an die in Abschnitt 14 genannte Adresse. Wir beantworten Anfragen unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO); bei komplexen Anfragen kann diese Frist um zwei weitere Monate verlängert werden, worüber wir Sie informieren. Zum Schutz Ihrer Daten können wir einen Identitätsnachweis verlangen. Die Ausübung Ihrer Rechte ist für Sie kostenlos. Betrifft Ihr Anliegen Daten, die ein Händler über Sie in JPOS gespeichert hat, wenden Sie sich bitte an diesen Händler als Verantwortlichen.

11. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe haben Sie nach Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. In Deutschland sind für Unternehmen des privaten Sektors die Landesbeauftragten für den Datenschutz des jeweiligen Bundeslandes zuständig; eine Übersicht aller Aufsichtsbehörden veröffentlicht der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). Wir würden uns freuen, wenn Sie uns vorab die Gelegenheit geben, Ihr Anliegen direkt zu klären.

12. Minderjährige

Der Dienst ist ein Werkzeug für Unternehmen und richtet sich ausschließlich an volljährige Personen (18 Jahre und älter). Wir erheben wissentlich keine personenbezogenen Daten von Minderjährigen. Sollten Sie annehmen, dass uns ein Minderjähriger Daten übermittelt hat, kontaktieren Sie uns bitte; wir löschen die Daten umgehend.

13. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, etwa bei Änderungen des Dienstes oder der Rechtslage. Das Datum „Zuletzt aktualisiert“ am Seitenanfang kennzeichnet die jeweils gültige Fassung. Über wesentliche Änderungen informieren wir Sie per E-Mail oder durch einen Hinweis in der Anwendung, bevor sie wirksam werden.

14. Kontakt

Jantrah Tech (Pvt) Ltd – Pakistan

• E-Mail (auch für Datenschutzanfragen, AVV und Angaben zum EU-Vertreter): info@jantrah.com
• Website: https://jpos.jantrah.com/de