Allgemeine Geschäftsbedingungen für HEXLE Core - HEXLE Development & IT Solutions e.U.

Hinweis

Diese AGB für HEXLE Core ergänzen die Allgemeinen Geschäftsbedingungen (Rahmen-AGB) der HEXLE Development & IT Solutions und gelten ausschließlich für die Nutzung der Software HEXLE Core (im Folgenden „HEXLE Core” oder „Plattform”). Im Falle von Widersprüchen gehen die Regelungen dieser produktspezifischen AGB den Regelungen der Rahmen-AGB vor.

HEXLE Core ist die gemeinsame Grundlage der übrigen HEXLE-Produkte. Für die Nutzung eines einzelnen Produkts (z.B. HEXLE LZE, HEXLE Bookings, HEXLE Education) gelten zusätzlich dessen produktspezifische AGB, die diesen AGB im Konfliktfall vorgehen.

---

1. Leistungsumfang von HEXLE Core

HEXLE Core ist die cloudbasierte Basisplattform der HEXLE-Produktfamilie. Sie stellt das Benutzerkonto, die Unternehmensverwaltung, die Personen- und Berechtigungsverwaltung, die Adress- und Dateiverwaltung, das Rechnungswesen sowie die Zahlungsabwicklung bereit, auf denen die übrigen HEXLE-Produkte aufsetzen. Ein aktives Benutzerkonto in HEXLE Core ist Voraussetzung für die Nutzung der übrigen HEXLE-Produkte; für unternehmensbezogene Funktionen ist zusätzlich ein angelegtes Unternehmen erforderlich.

Der genaue Leistungsumfang, die verfügbaren Funktionen, Speicherkapazitäten und die Möglichkeiten der Nutzerverwaltung richten sich nach dem gewählten Kontotyp und dem vom Kunden gebuchten Tarif sowie nach den in der jeweiligen Leistungsbeschreibung oder dem individuellen Angebot festgelegten Spezifikationen. Nicht jede nachstehend beschriebene Funktion ist in jedem Tarif enthalten.

• Benutzerkonto: Registrierung mit Vorname, Nachname, Benutzername, E-Mail-Adresse und Passwort. Die Anmeldung erfolgt über ein OAuth2-Verfahren mit PKCE. Zur Verfügung stehen das Ändern und Zurücksetzen des Passworts, eine zweistufige Änderung der E-Mail-Adresse über einen Bestätigungslink sowie die Änderung des Benutzernamens; frühere Benutzernamen werden zu Nachvollziehbarkeitszwecken historisiert. Eine Zwei-Faktor-Authentifizierung mittels zeitbasierter Einmalkennwörter (TOTP) samt Backup-Codes kann aktiviert werden; eine Zustellung von Einmalkennwörtern per SMS wird nicht angeboten. Profilbilder werden nicht verarbeitet; die Darstellung erfolgt über Initialen.
• Kontotypen: HEXLE Core unterscheidet die Kontotypen BASIC (Einzelperson) und BUSINESS (Unternehmen). Die Umstellung eines Kontos auf den Typ BUSINESS setzt ein angelegtes Unternehmen voraus.
• Unternehmensverwaltung: Anlage und Pflege eines Firmenprofils mit Name, Beschreibung, UID-Nummer, Firmenbuchnummer, Rechtsform und Logo.
• Personen, Teams und Berechtigungen: Getrennte Verwaltung von Mitarbeitern als Stammdaten ohne Plattformzugang (Vorname, Nachname, E-Mail, Telefon, Personalnummer, Eintrittsdatum, Beschreibung) und von Benutzern mit Zugang, die per E-Mail eingeladen werden; der Einladungsstatus ist einsehbar. Benutzer können Teams mit den Rollen Mitglied und Leitung zugeordnet werden. Berechtigungen werden granular je Modul vergeben. Die Sonderrolle des Inhabers verfügt über uneingeschränkten Zugriff auf das Unternehmen.
• Adressverwaltung: Zentrale Verwaltung von Adressen mit den Typen Rechnung, Lieferung, Geschäft, Privat und Sonstige, jeweils mit Land, Bundesland, Ort, Postleitzahl, Straße, Hausnummer und Zusatz.
• Dateiverwaltung: Upload und Verwaltung von Kundendateien mit einer Größenbeschränkung von maximal 10 MB je Datei. Zulässig sind die Formate jpg, jpeg, png, gif, webp, svg, pdf, doc, docx, xls, xlsx, txt und csv. Hochgeladene Dateien sind stets privat und nicht öffentlich abrufbar. Für Dateien stehen die Workflow-Status „in Vorbereitung”, „an Kunden gesendet”, „von Kunden erhalten” und „unterzeichnet” zur Verfügung.
• Rechnungswesen: Erstellung und Verwaltung von Rechnungen, Gutschriften, Proformarechnungen, Korrekturrechnungen und wiederkehrenden Rechnungen, jeweils mit getrennter Führung von Netto-, Steuer- und Bruttobetrag sowie PDF-Download. Unterstützt werden Steuerarten einschließlich Reverse Charge, Ausfuhrlieferung und innergemeinschaftlicher Lieferung sowie die Kundentypen Privat, Unternehmen, Unternehmen EU, Unternehmen Nicht-EU, Behörde und Gemeinnützig.
• Rabattcodes: Anlage von Rabattcodes als Prozentsatz oder Fixbetrag mit Geltungsbereich Position, Bestellung oder Versand, Gültigkeitszeitraum, Nutzungslimits und Regelungen zur Kombinierbarkeit.
• Checkout und Zahlungsabwicklung: Gehosteter Checkout, bei dem der Browser auf eine serverseitig erzeugte Bezahlseite weitergeleitet wird. Als Zahlungsdienstleister stehen Stripe und PayPal zur Verfügung, die je Unternehmen konfiguriert werden können; zusätzlich kann die Zahlung vor Ort vorgesehen werden. Abrechnungsintervalle (monatlich, quartalsweise, jährlich) sowie eine automatische oder manuelle Verlängerung werden im Datenmodell abgebildet. Näheres regelt Abschnitt 10.
• Single-Sign-on und Integrationen: Je Unternehmen konfigurierbares externes Single-Sign-on über OIDC mit Domain-Verifizierung über einen DNS-TXT-Eintrag, ein vordefinierter institutioneller Anbieter (LBS Auth des Landes Vorarlberg) sowie frei konfigurierbare Gateways. Ergänzend können je Unternehmen Integrationen zu Drittsystemen (u.a. WebUntis) aktiviert werden. Näheres regelt Abschnitt 8.
• Benachrichtigungen: Zustellung per E-Mail, als Browser-Push über Web-Push je Gerät sowie als Anzeige innerhalb der Anwendung. Näheres regelt Abschnitt 9.
• Dashboard: Übersichtsseite mit konfigurierbaren Kennzahlen.

Individuelle Zusätze: Optionale, individuell vereinbarte Funktionen (z.B. spezielle Schnittstellen, Branding-Anpassungen) werden gesondert in der Leistungsbeschreibung oder dem individuellen Angebot festgehalten.

2. Nutzungsbedingungen

2.1 Pflichten des Kunden

Der Kunde verpflichtet sich, HEXLE Core ausschließlich bestimmungsgemäß und im Einklang mit den geltenden Gesetzen und diesen AGB zu nutzen. Insbesondere ist der Kunde verantwortlich für:

• Die Bereitstellung korrekter und vollständiger Daten bei der Registrierung und während der Nutzung der Plattform, insbesondere der Konto-, Unternehmens-, Adress- und Rechnungsdaten.
• Die Richtigkeit, Vollständigkeit und Aktualität aller Inhalte, die er selbst oder seine Benutzer in HEXLE Core eingeben. HEXLE übernimmt keine Haftung für Fehler oder Unstimmigkeiten in diesen vom Kunden bereitgestellten Inhalten.
• Die Verhinderung missbräuchlicher Nutzung von HEXLE Core, insbesondere das Hochladen oder Speichern von rechtswidrigen Inhalten, das Ausführen von schädlichem Code oder das Stören des Betriebs der Plattform.
• Die Einhaltung der Kompatibilitätsanforderungen für die Nutzung von HEXLE Core (z.B. Browserversionen, Internetverbindung). HEXLE übernimmt keine Verantwortung für Nutzungseinschränkungen, die auf einer Nichterfüllung dieser Anforderungen seitens des Kunden beruhen.

2.2 Zugangsdaten und Zwei-Faktor-Authentifizierung

Der Kunde ist verpflichtet, seine Zugangsdaten (Benutzernamen, Passwörter) geheim zu halten und vor dem unberechtigten Zugriff Dritter zu schützen. Er ist für alle Aktivitäten verantwortlich, die unter seinen Zugangsdaten erfolgen. Bei Verlust oder unbefugter Nutzung der Zugangsdaten hat der Kunde HEXLE unverzüglich zu informieren.

HEXLE empfiehlt die Aktivierung der Zwei-Faktor-Authentifizierung (TOTP), insbesondere für Konten mit weitreichenden Berechtigungen und für die Inhaberrolle. Die bei der Einrichtung ausgegebenen Backup-Codes sind vom Kunden sicher und getrennt vom zweiten Faktor zu verwahren. Der Kunde ist allein dafür verantwortlich, den Zugriff auf seinen zweiten Faktor und seine Backup-Codes sicherzustellen; HEXLE hat keine Kenntnis von diesen Codes.

2.3 Benutzer- und Berechtigungsverwaltung

Der Kunde verantwortet die Anlage, Änderung und Deaktivierung seiner Benutzer sowie die Vergabe von Berechtigungen, Team- und Rollenzuordnungen. Er hat die vergebenen Berechtigungen regelmäßig zu überprüfen und bei Änderungen in seiner Organisation – insbesondere beim Ausscheiden von Personen – unverzüglich anzupassen. Besondere Sorgfalt gilt der Inhaberrolle, die uneingeschränkten Zugriff auf das Unternehmen und dessen Daten einschließlich der Möglichkeit zur Unternehmenslöschung gewährt. Einladungen sind ausschließlich an E-Mail-Adressen zu versenden, die der eingeladenen Person tatsächlich zuzuordnen sind.

2.4 Zulässige Inhalte in der Dateiverwaltung

Der Kunde darf ausschließlich Dateien in den in Abschnitt 1 genannten Formaten und bis zur dort genannten Größenbeschränkung von 10 MB je Datei hochladen. HEXLE ist berechtigt, Uploads abzulehnen, die diese technischen Grenzen überschreiten.

Der Kunde ist für die von ihm und seinen Benutzern hochgeladenen Inhalte sowie für deren Rechtmäßigkeit allein verantwortlich. Es dürfen insbesondere keine Inhalte hochgeladen werden, die gegen geltendes Recht verstoßen, Rechte Dritter (insbesondere Urheber-, Marken- oder Persönlichkeitsrechte) verletzen oder Schadcode enthalten. Der Kunde stellt sicher, dass er zur Speicherung und Verarbeitung der hochgeladenen Inhalte berechtigt ist und – soweit die Inhalte personenbezogene Daten enthalten – eine entsprechende Rechtsgrundlage vorliegt. Hochgeladene Dateien sind stets privat; eine öffentliche Bereitstellung von Dateien ist nicht Bestandteil der Leistung.

3. Konto- und Unternehmenslöschung

3.1 Löschung des Benutzerkontos

Die Löschung eines Benutzerkontos erfolgt zweistufig: Der Nutzer beantragt die Löschung in der Anwendung und bestätigt diese über einen ihm per E-Mail zugesandten Link. Der Löschvorgang kann bis zu seiner Ausführung jederzeit abgebrochen werden.

Es stehen zwei Varianten zur Verfügung:

• Vollständige Löschung: Ab der Bestätigung besteht eine Widerrufsfrist von 30 Tagen, während der das Konto weiter nutzbar bleibt. Anschließend wird der Zugang gesperrt; nach insgesamt 60 Tagen wird das Konto unkenntlich gemacht.
• Löschung ausschließlich der persönlichen Daten, sofern noch Unternehmenszugehörigkeiten bestehen, die einer vollständigen Löschung entgegenstehen: Die Umsetzung erfolgt 30 Tage nach der Bestätigung; der Zugang bleibt bestehen.

In beiden Fällen werden Benutzername und E-Mail-Adresse unkenntlich gemacht, Zugangsdaten, hinterlegte Adressen und Sicherheitsmerkmale (einschließlich der Zwei-Faktor-Authentifizierung) gelöscht und sämtliche Sitzungen beendet. Die Unkenntlichmachung ist nicht umkehrbar.

Unabhängig davon kann ein Benutzerkonto durch die HEXLE-Administration gelöscht werden; eine solche Zwangslöschung ist gegenüber dem betroffenen Nutzer zu begründen.

3.2 Löschung eines Unternehmens

Die Löschung eines Unternehmens kann durch den Inhaber beantragt werden. Sie wird nach Ablauf einer Frist von 60 Tagen wirksam. Innerhalb dieser Frist kann die Löschung jederzeit abgebrochen werden. Nach Ablauf der Frist werden die Mitarbeiter-, Kontakt- und Kundendaten des Unternehmens unkenntlich gemacht; der Datensatz selbst bleibt in anonymisierter Form bestehen. Rechnungs- und Buchhaltungsdaten bleiben aufgrund der gesetzlichen Aufbewahrungspflichten erhalten (siehe Abschnitt 3.3).

3.3 Folgen und gesetzliche Aufbewahrungspflichten

Mit der Löschung eines Benutzerkontos oder eines Unternehmens entfällt der Zugang zu HEXLE Core und damit auch zu den darauf aufsetzenden HEXLE-Produkten sowie zu den dort verwalteten Daten. Der Kunde ist gehalten, benötigte Daten und Dokumente vor Wirksamwerden der Löschung eigenständig zu sichern.

Gesetzliche Aufbewahrungspflichten – insbesondere für Rechnungs- und Buchhaltungsdaten nach den abgabenrechtlichen und unternehmensrechtlichen Vorschriften – können einer sofortigen und vollständigen Löschung entgegenstehen. Daten, die solchen Aufbewahrungspflichten unterliegen, werden bis zum Ablauf der jeweiligen Frist für den weiteren Zugriff gesperrt und erst danach gelöscht.

Für die Löschung und Rückgabe personenbezogener Daten nach Beendigung des Vertrages gilt ergänzend die Löschregelung des Auftragsverarbeitungsvertrages (siehe Abschnitt 15.4 Z 8).

4. Inhaberwechsel

Die Inhaberschaft eines Unternehmens kann auf einen anderen Benutzer übertragen werden. Die Übertragung erfordert die Bestätigung durch beide beteiligten Personen über einen jeweils per E-Mail zugesandten Link. Die Anfrage ist mit einem Ablaufdatum versehen und kann bis zum Wirksamwerden abgebrochen werden.

Mit Wirksamwerden der Übertragung gehen sämtliche Rechte der Inhaberrolle, insbesondere der uneingeschränkte Zugriff auf das Unternehmen und dessen Daten, auf den neuen Inhaber über. Der bisherige Inhaber ist dafür verantwortlich, die Übertragung nur an eine hierzu berechtigte Person vorzunehmen und die Berechtigungen des Unternehmens vor der Übertragung zu prüfen. HEXLE nimmt keine inhaltliche Prüfung der Berechtigung zum Inhaberwechsel vor und haftet nicht für Folgen einer vom Kunden veranlassten Übertragung.

5. Service Level Agreements (SLA)

HEXLE ist bestrebt, eine hohe Verfügbarkeit und Performance von HEXLE Core sicherzustellen. Die nachfolgenden Regelungen definieren die vereinbarten Service Level:

• Verfügbarkeit (Uptime): HEXLE gewährleistet eine durchschnittliche jährliche Verfügbarkeit der HEXLE Core-Dienste von 99,0%. Ausgenommen hiervon sind geplante Wartungsfenster, die dem Kunden frühzeitig mitgeteilt werden, sowie Ausfälle, die außerhalb des Verantwortungsbereichs von HEXLE liegen (z.B. höhere Gewalt, Störungen des öffentlichen Internets, Handlungen Dritter).
• Support-Zeiten: Der Kundensupport ist werktags (Montag bis Freitag, ausgenommen österreichische Feiertage) von 08:00 Uhr bis 18:00 Uhr MESZ/MEZ erreichbar.
• Reaktionszeiten bei Störungen:
  • Kritische Störungen (Produktionseinstellung, Kernfunktionen nicht nutzbar): Reaktion innerhalb von 2 Stunden während der Support-Zeiten.
  • Wesentliche Störungen (Einschränkung der Nutzung, aber Kernfunktionen verfügbar): Reaktion innerhalb von 4 Stunden während der Support-Zeiten.
  • Geringfügige Störungen (Kosmetische Fehler, kleine Funktionsfehler): Reaktion innerhalb von 12 Stunden während der Support-Zeiten.
  • Lösungszeit: HEXLE wird sich bemühen, Störungen schnellstmöglich zu beheben. Es kann jedoch keine bestimmte Lösungszeit garantiert werden, da diese von der Art und Komplexität der Störung abhängt.

6. Lizenzbedingungen

HEXLE räumt dem Kunden ein nicht-ausschließliches, nicht übertragbares und zeitlich auf die Vertragslaufzeit beschränktes Recht zur Nutzung von HEXLE Core im Rahmen des gebuchten Tarifs und dieser AGB ein. Jegliche darüberhinausgehende Nutzung, insbesondere die Vervielfältigung, Verbreitung, öffentliche Zugänglichmachung oder Bearbeitung der Software, ist untersagt. Das Reverse Engineering oder die Dekompilierung der Software ist nicht gestattet.

7. Datenverarbeitung

HEXLE ist sich der Sensibilität der über HEXLE Core erfassten Daten bewusst. Die Speicherung und Verarbeitung der Daten erfolgt auf Servern in Österreich oder der Europäischen Union unter Einhaltung der Vorschriften der Datenschutz-Grundverordnung (DSGVO) und des österreichischen Datenschutzgesetzes (DSG).

• Verantwortlichkeit: Der Kunde ist der Verantwortliche im Sinne der DSGVO für die über HEXLE Core erfassten personenbezogenen Daten seiner Mitarbeiter, Benutzer, Kunden und Geschäftspartner. HEXLE agiert in diesem Verhältnis als Auftragsverarbeiter.
• Eigenes Benutzerkonto des Kunden: Für die Daten, die HEXLE zur Begründung und Abwicklung des Vertragsverhältnisses mit dem Kunden selbst verarbeitet (insbesondere Registrierungs-, Anmelde-, Rechnungs- und Kommunikationsdaten), ist HEXLE Verantwortlicher im Sinne der DSGVO. Einzelheiten hierzu enthält die Datenschutzerklärung.
• Auftragsverarbeitungsvertrag (AVV): Für die Verarbeitung personenbezogener Daten im Auftrag des Kunden wird ein gesonderter Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO zwischen HEXLE und dem Kunden abgeschlossen. Dieser AVV ist integraler Bestandteil des Vertrages über die Nutzung von HEXLE Core und detailliert die Pflichten und Verantwortlichkeiten beider Parteien hinsichtlich des Datenschutzes (siehe Abschnitt 15 dieser AGB).
• Verarbeitung: HEXLE verarbeitet die eingegebenen Daten ausschließlich im Rahmen der Leistungserbringung und nach Weisung des Kunden gemäß dem abgeschlossenen AVV.
• Datensicherung: HEXLE implementiert angemessene technische und organisatorische Maßnahmen zum Schutz der Daten vor Verlust, Zerstörung, unberechtigtem Zugriff oder Missbrauch. Regelmäßige Datensicherungen werden durchgeführt, um die Wiederherstellbarkeit der Daten im Falle eines technischen Fehlers zu gewährleisten. Die genauen Sicherungsintervalle und -maßnahmen sind im AVV detailliert beschrieben; die technischen und organisatorischen Maßnahmen sind unter TOM (Technische und organisatorische Maßnahmen) einsehbar.
• Sitzungsverwaltung: Der Access-Token wird ausschließlich im Arbeitsspeicher des Browsers gehalten, der Refresh-Token wird als HttpOnly-Cookie gespeichert.
• Cookies: Neben den für die Anmeldung technisch erforderlichen Cookies setzt HEXLE Core einen funktionalen Cookie (hexle-theme) zur Speicherung der Darstellungsvorliebe des Nutzers ein. Tracking-Cookies werden nicht eingesetzt. HEXLE Core bindet keine Analytics-, Error-Tracking- oder Captcha-Dienste ein. KI- bzw. LLM-Funktionen sind nicht Bestandteil von HEXLE Core.
• Protokollierung: Zur Absicherung des Betriebs und zur Nachvollziehbarkeit werden Zugriffe auf die Schnittstelle, Anmeldeereignisse und Änderungen an bestimmten Datensätzen protokolliert. Erfasst werden dabei unter anderem Zeitpunkt, Benutzer- und Unternehmenskennung, IP-Adresse und Browserkennung; bei der Änderungshistorie zusätzlich die alten und neuen Feldwerte. Die Aufbewahrungsfristen sind in der Datenschutzerklärung angegeben. Diese Protokolle dienen der Sicherheit, Fehleranalyse und Nachvollziehbarkeit; eine Verwendung zur Verhaltens- oder Leistungskontrolle von Beschäftigten durch HEXLE findet nicht statt.
• Lokaler Zwischenspeicher: Zur Unterstützung des Betriebs bei unterbrochener Verbindung hält die Anwendung einen Offline-Zwischenspeicher im Browser des jeweiligen Nutzers vor. Dieser enthält die Benutzer- und Unternehmenskennung, den Anzeigenamen und die Rollen des angemeldeten Nutzers. Der Kunde weist seine Benutzer darauf hin, Endgeräte entsprechend zu schützen.

8. Einmeldung, Single-Sign-on und Integrationen

Sofern angeboten und vom Kunden aktiviert, kann je Unternehmen ein externes Single-Sign-on über OIDC eingerichtet werden. Zur Verfügung stehen ein vordefinierter institutioneller Anbieter (LBS Auth des Landes Vorarlberg) sowie frei konfigurierbare Gateways. Die Zuordnung einer E-Mail-Domain zu einem Unternehmen setzt eine Domain-Verifizierung über einen DNS-TXT-Eintrag voraus.

• Verantwortung des Kunden: Der Kunde verantwortet die Konfiguration seines Identitätsanbieters, die Durchführung und Aufrechterhaltung der Domain-Verifizierung sowie die Richtigkeit und Aktualität der über das Single-Sign-on übermittelten Identitätsdaten. Er stellt sicher, dass er zur Verfügung über die verifizierte Domain berechtigt ist und dass nur berechtigte Personen über den Identitätsanbieter Zugang erhalten.
• Integrationen: Je Unternehmen können Integrationen zu Drittsystemen (u.a. WebUntis) aktiviert werden. Der Kunde verantwortet seinen Zugang zum jeweiligen Drittsystem, die dafür erforderlichen Zugangsdaten und Berechtigungen sowie die Einhaltung der Nutzungsbedingungen des Drittanbieters.
• Keine Verfügbarkeitszusage für Drittsysteme: HEXLE schuldet keine Verfügbarkeit, Funktionsfähigkeit oder inhaltliche Richtigkeit von Drittsystemen und Identitätsanbietern. Ausfälle, Änderungen oder Einschränkungen auf Seiten des Drittanbieters liegen außerhalb des Verantwortungsbereichs von HEXLE und stellen keinen Mangel der Leistung von HEXLE Core dar. Die in Abschnitt 5 vereinbarten Service Level beziehen sich ausschließlich auf die Dienste von HEXLE Core.

9. Benachrichtigungen

HEXLE Core stellt Benachrichtigungen per E-Mail, als Browser-Push (Web-Push) je registriertem Gerät sowie als Anzeige innerhalb der Anwendung bereit.

• Verpflichtende Mitteilungen: Betriebs- und sicherheitsrelevante Mitteilungen (z.B. Bestätigungslinks, Hinweise zu Anmeldungen, Passwort- und E-Mail-Änderungen, Einladungen, Konto- und Unternehmenslöschungen, Inhaberwechsel sowie sonstige vertrags- und sicherheitsbezogene Informationen) werden per E-Mail versendet und können nicht abbestellt werden, solange das Konto besteht. Der Kunde hat dafür Sorge zu tragen, dass die hinterlegte E-Mail-Adresse jederzeit gültig und erreichbar ist.
• Optionale Benachrichtigungen: Sonstige Benachrichtigungen können vom Nutzer je Kanal aktiviert oder deaktiviert werden.
• Browser-Push: Die Zustellung von Browser-Push-Benachrichtigungen erfolgt technisch über die Push-Infrastruktur des jeweiligen Browserherstellers. Dabei kann eine Übermittlung an Anbieter außerhalb der EU nicht ausgeschlossen werden. Die Aktivierung von Browser-Push ist freiwillig; der Nutzer kann sie im Browser und in der Anwendung jederzeit widerrufen.

10. Zahlungsabwicklung und Rechnungen

10.1 Gehosteter Checkout

Zahlungen werden über einen gehosteten Checkout abgewickelt: Der Browser wird auf eine serverseitig erzeugte Bezahlseite des jeweiligen Zahlungsdienstleisters weitergeleitet. In der Oberfläche von HEXLE Core werden keine Karten- oder IBAN-Daten erfasst oder verarbeitet.

Als Zahlungsdienstleister stehen Stripe und PayPal zur Verfügung; die Auswahl und Konfiguration erfolgt je Unternehmen durch den Kunden. Zusätzlich kann eine Zahlung vor Ort vorgesehen werden. Bei Nutzung von Stripe oder PayPal kann eine Verarbeitung personenbezogener Daten in den USA erfolgen; die Übermittlung erfolgt auf Grundlage der Art. 44–49 DSGVO. Für die Nutzung der Zahlungsdienste gelten ergänzend die Allgemeinen Geschäftsbedingungen und Datenschutzbestimmungen des jeweiligen Zahlungsdienstleisters. Der Kunde ist dafür verantwortlich, diese Bedingungen zu akzeptieren und die betroffenen Personen über die Einbindung des Zahlungsdienstleisters zu informieren. Transaktionsgebühren der Zahlungsdienstleister werden direkt gegenüber dem Kunden verrechnet und sind nicht Bestandteil der HEXLE-Leistung.

Sofern für ein Produkt oder eine Leistung Abrechnungsintervalle (monatlich, quartalsweise oder jährlich) sowie eine automatische oder manuelle Verlängerung vereinbart sind, richten sich Laufzeit und Kündigung nach Abschnitt 3.2 der Rahmen-AGB sowie nach der jeweiligen produktspezifischen Vereinbarung.

10.2 Rechnungen und Steuerdaten

HEXLE Core unterstützt die Erstellung von Rechnungen, Gutschriften, Proformarechnungen, Korrekturrechnungen und wiederkehrenden Rechnungen mit getrennter Führung von Netto-, Steuer- und Bruttobetrag sowie den Download als PDF. Unterstützt werden Steuerarten einschließlich Reverse Charge, Ausfuhrlieferung und innergemeinschaftlicher Lieferung sowie die Kundentypen Privat, Unternehmen, Unternehmen EU, Unternehmen Nicht-EU, Behörde und Gemeinnützig.

Der Kunde ist allein verantwortlich für die Richtigkeit, Vollständigkeit und Aktualität seiner Rechnungs- und Steuerdaten, insbesondere der UID-Nummer, der Zuordnung des Kundentyps, der gewählten Steuerart und der Voraussetzungen für die Anwendung des Reverse-Charge-Verfahrens oder einer Steuerbefreiung. HEXLE stellt lediglich die technischen Funktionen zur Erstellung und Verwaltung dieser Belege bereit und schuldet keine steuerliche oder rechtliche Beratung sowie keine Prüfung der vom Kunden erfassten Angaben.

11. Preise

Die Preise für die Nutzung von HEXLE Core richten sich nach dem vom Kunden gewählten Tarifmodell. Die jeweils gültigen Preise sind in der aktuellen Preisliste auf der HEXLE Website oder im individuellen Angebot aufgeführt. Alle Preise verstehen sich in Euro (EUR) und, soweit nicht anders angegeben, zuzüglich der gesetzlichen Umsatzsteuer. Das Zahlungsziel beträgt, sofern nicht anders vereinbart, 14 Tage ab Rechnungsdatum. Im Übrigen gelten die Regelungen zu Preisen und Zahlung in Abschnitt 4 der Rahmen-AGB. Abweichungen hiervon sind gesondert in der Leistungsbeschreibung oder dem individuellen Angebot zu regeln.

12. Widerrufsrecht für Verbraucher

Ist der Kunde ein Verbraucher im Sinne des KSchG und erfolgte der Vertragsschluss im Fernabsatz, steht ihm gemäß § 11 FAGG ein gesetzliches Widerrufsrecht zu. Die Widerrufsbelehrung ist in Abschnitt 7 der Rahmen-AGB enthalten und gilt ergänzend.

Erlöschen des Widerrufsrechts: Das Widerrufsrecht erlischt, wenn HEXLE die Dienstleistung vollständig erbracht hat und mit der Ausführung erst begonnen hat, nachdem der Verbraucher dazu seine ausdrückliche Zustimmung gegeben und gleichzeitig seine Kenntnis davon bestätigt hat, dass er sein Widerrufsrecht bei vollständiger Vertragserfüllung verliert (§ 18 Abs 1 Z 1 FAGG). Hat der Verbraucher verlangt, dass HEXLE Core während der Widerrufsfrist bereitgestellt wird, hat er für den bis zum Widerruf erbrachten Teil der Leistung einen angemessenen Betrag zu zahlen.

13. Gewährleistung

Gegenüber Verbrauchern gelten die gesetzlichen Gewährleistungsbestimmungen des Verbrauchergewährleistungsgesetzes (VGG) für digitale Leistungen. Die Gewährleistungsfrist beträgt 2 Jahre. Innerhalb von zwei Jahren ab Bereitstellung wird vermutet, dass ein Mangel bereits bei Bereitstellung vorhanden war (Beweislastumkehr gemäß § 11 VGG).

HEXLE ist verpflichtet, notwendige Aktualisierungen (insbesondere Sicherheitsupdates) für den gesetzlich vorgesehenen Zeitraum bereitzustellen (§§ 6, 7 VGG).

Der Verbraucher hat bei Mängeln zunächst das Wahlrecht zwischen Verbesserung und Herstellung des vertragsgemäßen Zustands. Ist dies unmöglich oder für HEXLE mit unverhältnismäßigem Aufwand verbunden, kann der Verbraucher Preisminderung verlangen oder vom Vertrag zurücktreten (§§ 12–15 VGG).

Gegenüber Unternehmern wird die Beweislastumkehr des § 924 ABGB ausgeschlossen.

14. Wechsel von Datenverarbeitungsdiensten (Data Act)

HEXLE Core ist ein Datenverarbeitungsdienst im Sinne der Verordnung (EU) 2023/2854 (Data Act). Kündigungsfrist zur Einleitung des Wechsels, Übergangszeitraum, Unterstützungspflichten von HEXLE, die übertragbaren Datenkategorien, Abrufzeitraum und Löschung sowie die Wechselentgelte regelt Abschnitt 13 der Rahmen-AGB.

---

15. Auftragsverarbeitungsvertrag (AVV) für HEXLE Core

nach Art. 28 der Datenschutz-Grundverordnung (DSGVO)

15.1 Gegenstand, Dauer und Leistungsumfang des Auftrags

1. Gegenstand: Die vorliegende Vereinbarung regelt die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Erbringung der Dienstleistung HEXLE Core (Basisplattform mit Benutzerkonto, Unternehmens-, Personen- und Berechtigungsverwaltung, Adress- und Dateiverwaltung, Rechnungswesen und Zahlungsabwicklung) durch den Auftragnehmer (HEXLE) für den Auftraggeber. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich nach dokumentierter Weisung des Auftraggebers.
2. Leistungsumfang: Die Verarbeitung umfasst alle Tätigkeiten, die zur Bereitstellung, Wartung und Pflege der Softwarelösung HEXLE Core als Basisplattform der HEXLE-Produkte für den Auftraggeber notwendig sind.
3. Dauer: Diese Vereinbarung tritt mit Vertragsabschluss in Kraft und endet automatisch mit Beendigung der Leistungsvereinbarung (Hauptvertrag) über die Nutzung von HEXLE Core.

15.2 Art und Zweck der Verarbeitung, Kategorien betroffener Personen und Daten

1. Zweck: Erfassung, Verwaltung, Speicherung und Auswertung von Konto-, Unternehmens-, Personen- und Abrechnungsdaten zur Erfüllung von:
   • Bereitstellung und Verwaltung von Benutzerkonten einschließlich Authentifizierung und Zwei-Faktor-Authentifizierung,
   • Verwaltung von Unternehmen, Mitarbeitern, Benutzern, Teams, Rollen und Berechtigungen,
   • Verwaltung von Adressen und hochgeladenen Dateien,
   • Rechnungsstellung, Zahlungsabwicklung und Rabattverwaltung,
   • Versand von betriebs- und sicherheitsrelevanten sowie optionalen Benachrichtigungen,
   • Support und Wartung (Der Auftragsverarbeiter darf zur Bearbeitung von Supportfällen Einsicht in personenbezogene Daten nehmen, sofern dies zur Behebung technischer Probleme erforderlich ist).
2. Kategorien betroffener Personen:
   • Mitarbeiter und Benutzer des Auftraggebers.
   • Kunden und Geschäftspartner des Auftraggebers.
3. Kategorien personenbezogener Daten:
   • Kontodaten: Benutzername (einschließlich historisierter früherer Benutzernamen), Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Geschlecht, Sprache, Anmeldezeitpunkte.
   • Mitarbeiterstammdaten: Vor- und Nachname, E-Mail, Telefon, Personalnummer, Eintrittsdatum, Beschreibung.
   • Adressdaten: Land, Bundesland, Ort, Postleitzahl, Straße, Hausnummer, Zusatz, jeweils nach Adresstyp.
   • Rechnungs- und Zahlungsstatusdaten: Rechnungs- und Belegdaten, Kundentyp, UID-Nummer, Netto-, Steuer- und Bruttobeträge, Zahlungsstatus.
   • Hochgeladene Dateien und deren Inhalte einschließlich des jeweiligen Workflow-Status. (Hinweis: Der Auftraggeber entscheidet allein über Art und Umfang der hochgeladenen Inhalte – einschließlich gegebenenfalls besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO – und ist allein für das Vorliegen einer entsprechenden Rechtsgrundlage verantwortlich.)
   • Berechtigungs- und Rollenzuordnungen: Team- und Rollenzugehörigkeiten, modulbezogene Berechtigungen, Inhaberschaft, Einladungsstatus.
   • Organisationsdaten: Details über das Unternehmen des Auftraggebers (Name, Beschreibung, UID-Nummer, Firmenbuchnummer, Rechtsform, Logo).

15.3 Pflichten und Weisungsrecht des Auftraggebers (Verantwortlicher)

Der Auftraggeber ist für die Einhaltung der gesetzlichen Bestimmungen der DSGVO, insbesondere hinsichtlich der Rechtmäßigkeit der Verarbeitung (z.B. Vorliegen einer Rechtsgrundlage gemäß Art. 6 DSGVO) und der Wahrung der Rechte der betroffenen Personen, verantwortlich. Er hat insbesondere:

1. Die Überprüfung der Rechtmäßigkeit der Verarbeitung, inkl. Informationspflichten (Art. 12 ff. DSGVO) sicherzustellen.
2. Alle Weisungen zu erteilen und zu dokumentieren.
3. Den Auftragnehmer unverzüglich bei Fehlern oder Unregelmäßigkeiten zu informieren.

15.4 Pflichten des Auftragnehmers (Auftragsverarbeiter)

Der Auftragnehmer verpflichtet sich insbesondere:

1. Verarbeitung nur auf Weisung: Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten, es sei denn, eine gesetzliche Verpflichtung zwingt ihn dazu (Art. 28 Abs. 3 lit. a DSGVO).
2. Informationspflicht bei rechtswidrigen Weisungen: Den Auftraggeber unverzüglich zu informieren, falls eine Weisung nach Auffassung des Auftragnehmers gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).
3. Vertraulichkeit: Sicherzustellen, dass zur Verarbeitung der Daten befugte Personen zur Vertraulichkeit verpflichtet wurden (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).
4. Sicherheit der Verarbeitung (TOMs): Geeignete technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO zu treffen. Die konkreten Maßnahmen sind unter TOM (Technische und organisatorische Maßnahmen) detailliert festgehalten (z.B. Verschlüsselung, Zugangskontrolle, Pseudonymisierung).
5. Unterauftragsverhältnisse (Subunternehmer):
   • Der Auftragnehmer ist berechtigt, die unter Genehmigte Unterauftragsverarbeiter gelisteten Unternehmen, insbesondere für Hosting- und Wartungsleistungen, als Subunternehmer (weitere Auftragsverarbeiter) hinzuzuziehen. Die Beauftragung dieser gelisteten Unternehmen gilt mit Abschluss dieses Vertrages als genehmigt.
   • Der Auftragnehmer hat Subunternehmer vertraglich zur Einhaltung der gleichen Datenschutzpflichten zu verpflichten, die zwischen dem Auftraggeber und dem Auftragnehmer gelten (Art. 28 Abs. 4 DSGVO).
   • Beabsichtigt der Auftragnehmer, einen neuen Subunternehmer hinzuzuziehen oder einen bestehenden zu ersetzen, muss er dies dem Auftraggeber 14 Tage vor der beabsichtigten Hinzuziehung schriftlich oder in Textform anzeigen. Der Auftraggeber hat das Recht, innerhalb dieser Frist begründeten Einspruch zu erheben (Art. 28 Abs. 2 DSGVO). Erhebt der Auftraggeber begründeten Einspruch, wird HEXLE den betreffenden Unterauftragsverarbeiter nicht einsetzen. Können sich die Parteien nicht auf eine alternative Lösung einigen, steht dem Auftraggeber ein Sonderkündigungsrecht für den betroffenen Dienst zu.
   • Der Auftragnehmer haftet gegenüber dem Auftraggeber für die Einhaltung der Bestimmungen dieses Vertrages durch seine Subunternehmer.
6. Unterstützungspflichten:
   • Unterstützung des Auftraggebers bei der Beantwortung von Anträgen Betroffener (Art. 12-22 DSGVO).
   • Unterstützung bei der Einhaltung der Pflichten gem. Art. 32-36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
7. Meldepflicht bei Datenschutzverletzungen: Unverzügliche Meldung, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden, von Verletzungen des Schutzes personenbezogener Daten des Auftraggebers an diesen (Art. 33, 34 DSGVO).
8. Löschung und Rückgabe: Nach Beendigung des Vertrages die Daten innerhalb von 90 Tagen nach Wahl des Auftraggebers zu löschen oder zurückzugeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 28 Abs. 3 lit. g DSGVO).
9. Drittlandtransfer: Eine Verarbeitung personenbezogener Daten in Drittländern außerhalb der EU/des EWR erfolgt nur, sofern die Voraussetzungen der Art. 44–49 DSGVO erfüllt sind (insbesondere Angemessenheitsbeschluss oder Standardvertragsklauseln). Die aktuell genehmigten Unterauftragsverarbeiter und deren Drittlandsgarantien sind unter Genehmigte Unterauftragsverarbeiter einsehbar.

15.5 Kontrollrechte des Auftraggebers

1. Kontrollrecht: Der Auftraggeber hat das Recht, die Einhaltung dieser Vereinbarung und der getroffenen TOMs in angemessenem Umfang zu überprüfen, etwa durch Audits oder die Einsichtnahme in Nachweise des Auftragnehmers (Art. 28 Abs. 3 lit. h DSGVO).
2. Nachweispflicht: Der Auftragnehmer verpflichtet sich, dem Auftraggeber alle zur Einhaltung seiner Pflichten notwendigen Informationen zur Verfügung zu stellen und Nachweise zu erbringen.

15.6 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Jede Partei haftet gegenüber betroffenen Personen für den gesamten Schaden, der durch eine nicht DSGVO-konforme Verarbeitung verursacht wurde (Art. 82 Abs. 2 DSGVO). Im Innenverhältnis trägt jede Partei den Anteil am Schaden, der ihrem Verschulden entspricht. Der Auftragnehmer haftet insbesondere für Schäden, die aus einer Verarbeitung resultieren, die nicht den Weisungen des Auftraggebers oder seinen eigenen Pflichten aus der DSGVO entspricht.

---

Stand: September 2026