Zusatzbedingungen Team

1. Geltung

Diese Zusatzbedingungen gelten für das Team-Abo von tripfix. Sie ergänzen die AGB; wo sie etwas anderes regeln, gehen sie den AGB vor. Teil dieser Zusatzbedingungen ist die Vereinbarung zur Auftragsverarbeitung in Abschnitt 6.

Kunde ist, wer das Team anlegt und bezahlt (nachfolgend "Verwalter", auch wenn er für ein Unternehmen handelt). Das Team-Abo richtet sich an Unternehmer im Sinne des § 14 BGB. Der Verwalter stimmt diesen Zusatzbedingungen vor der Zahlung zu.

2. Leistung

Das Team-Abo umfasst eine vom Verwalter gewählte Zahl von Plätzen. Jede eingeladene Person nutzt tripfix mit ihrem eigenen Konto und rechnet ihre Reisen selbst ab. Solange das Team-Abo aktiv ist, haben alle Mitglieder den vollen Funktionsumfang ohne eigenes Abo.

Der Verwalter sieht von jedem Mitglied die Abrechnungen, die es nach dem Beitritt abschließt (Titel, Zeitraum, Ziel, Auftraggeber, Beträge, PDF) und kann sie gesammelt exportieren. Entwürfe, Profilangaben außerhalb der Abrechnung und Einstellungen der Mitglieder sieht er nicht. Jedes Mitglied bestätigt diese Einsicht ausdrücklich, bevor es dem Team beitritt.

3. Preise, Plätze und Zahlung

Der Preis je Platz entspricht dem Preis des Einzelabos zum Zeitpunkt des Abschlusses, wahlweise monatlich oder jährlich im Voraus. Der Verwalter kann die Zahl der Plätze jederzeit ändern, mindestens auf die Zahl der Mitglieder. Mehr oder weniger Plätze rechnet Stripe für den laufenden Zeitraum anteilig ab. Im Übrigen gelten die Zahlungsbedingungen der AGB.

4. Mitglieder

Der Verwalter lädt Mitglieder per E-Mail ein und darf nur Personen einladen, die tripfix für Reisen im Zusammenhang mit seinem Unternehmen nutzen sollen. Er kann Mitglieder jederzeit aus dem Team entfernen, und jedes Mitglied kann das Team jederzeit verlassen. Danach endet die Einsicht des Verwalters sofort; das Konto und die Abrechnungen des Mitglieds bleiben bei ihm.

Abrechnungen, die der Verwalter bereits heruntergeladen hat, liegen in seiner Verantwortung.

5. Laufzeit und Ende

Für Laufzeit und Kündigung gelten die Regeln der AGB; gekündigt wird über das Kundenportal auf der Teamseite. Endet das Team-Abo, verlieren die Mitglieder den Zugang über das Team. Ihre Konten und Abrechnungen bleiben erhalten und können weiter als PDF oder DATEV-Datei exportiert werden; für neue Abrechnungen brauchen sie dann ein eigenes Abo. Löscht der Verwalter sein Konto, endet das Team-Abo zum selben Zeitpunkt.

6. Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Soweit der Verwalter tripfix für die Reisekostenabrechnung von Beschäftigten oder anderen für ihn tätigen Personen einsetzt, verarbeitet der Anbieter die Daten der Mitglieder, die der Verwalter über das Team einsieht und exportiert, als Auftragsverarbeiter des Verwalters nach Art. 28 DSGVO. Für die Konten der Mitglieder selbst (Anmeldung, eigene Nutzung) bleibt der Anbieter Verantwortlicher; dafür gilt die Datenschutzerklärung.

6.1 Gegenstand, Dauer, Art und Zweck

Gegenstand ist die Bereitstellung der nach dem Beitritt abgeschlossenen Reisekostenabrechnungen der Mitglieder an den Verwalter (Anzeige, PDF, Export) zur Erstattung und Buchung von Reisekosten. Die Vereinbarung gilt, solange das Team besteht.

6.2 Art der Daten und Kreis der Betroffenen

Betroffen sind die Mitglieder des Teams. Verarbeitet werden E-Mail-Adresse, Name und Anschrift sowie IBAN und Firma, soweit das Mitglied sie für seine Abrechnung hinterlegt hat, und die Inhalte der abgeschlossenen Abrechnungen (Reisezeitraum, Ziele, Fahrten, Verpflegungstage, Belegpositionen mit Beträgen, Auftraggeber). Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen.

6.3 Pflichten des Anbieters

• Er verarbeitet die Daten nur auf dokumentierte Weisung des Verwalters. Die Weisungen sind durch diese Vereinbarung und die Bedienung der Teamfunktionen festgelegt; weitere Weisungen erteilt der Verwalter in Textform an hallo@tripfix.de. Hält der Anbieter eine Weisung für rechtswidrig, teilt er das unverzüglich mit.
• Personen, die beim Anbieter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
• Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Abschnitt 6.5).
• Er unterstützt den Verwalter bei Anfragen betroffener Personen (Kapitel III DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit ihm das mit den ihm vorliegenden Informationen möglich ist.
• Er meldet dem Verwalter Verletzungen des Schutzes personenbezogener Daten, die das Team betreffen, unverzüglich nach Bekanntwerden.
• Endet das Team, endet die Bereitstellung an den Verwalter sofort. Die Daten der Mitglieder bleiben in deren eigenen Konten, für die der Anbieter Verantwortlicher ist; eine Rückgabe an den Verwalter findet darüber hinaus nicht statt.
• Er stellt dem Verwalter auf Anfrage die Informationen zum Nachweis dieser Pflichten zur Verfügung und ermöglicht Überprüfungen nach vorheriger Abstimmung.

6.4 Unterauftragsverarbeiter

Der Verwalter erlaubt den Einsatz folgender Unterauftragsverarbeiter:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Server und Datenbank, Standort Deutschland
• Resend Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA: Versand der Einladungs-E-Mails (E-Mail-Adresse der eingeladenen Person, Teamname, E-Mail-Adresse des Verwalters). Grundlage der Übermittlung ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), zusätzlich die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Über neue oder ersetzte Unterauftragsverarbeiter informiert der Anbieter den Verwalter vorab per E-Mail. Der Verwalter kann innerhalb von 14 Tagen widersprechen; dann kann er das Team-Abo zum Zeitpunkt der Änderung beenden. Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten.

6.5 Technische und organisatorische Maßnahmen

• Übertragung ausschließlich verschlüsselt (TLS)
• Server und Datenbank in Deutschland, die Datenbank ist aus dem Internet nicht direkt erreichbar
• Zugriffstrennung in der Datenbank: Jedes Konto sieht nur die eigenen Reisen; die Einsicht des Verwalters läuft ausschließlich über geprüfte Funktionen, die nur abgeschlossene Abrechnungen von Mitgliedern seines Teams liefern
• Passwörter nur als Hash, Einladungslinks nur als Prüfwert gespeichert
• Administrativer Zugang zu den Servern nur für den Anbieter über verschlüsselte Verbindungen
• Regelmäßige Sicherung der Datenbank