Start / Datenschutz / Geschäftsbetrieb
Art. 13, 14 DSGVO: Erweiterter Teil

Datenschutzerklärung, Erweiterter Teil: Geschäftsbetrieb & Leistungserbringung

Die allgemeinen Angaben, Verantwortlicher, Rechtsgrundlagen, Betroffenenrechte, enthält das Dokument ‚Datenschutzerklärung, Allgemeiner Teil' (Stand: 9. Juli 2026); die Nummerierung dieses Dokuments schließt daran an.

8 Geschäftskontakte und Kommunikation M365 / Exchange Online / Entra ID

Für die interne und externe Unternehmenskommunikation sowie das Identitäts- und Zugriffsmanagement setzt aretix Microsoft 365 ein. Auftragsverarbeiter ist die Microsoft Ireland Operations Limited auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.

Auftragsverarbeiter

Unternehmen
Microsoft Ireland Operations Limited
Anschrift
One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland
Rolle
EEA-Vertragspartner gem. Microsoft-Kundenvertrag; Auftragsverarbeiter i. S. d. Art. 28 DSGVO
Drittlandtransfer
Keiner: Verarbeitung und Speicherung ausschließlich innerhalb der EU Data Boundary (EU/EWR)

Verarbeitete Datenkategorien

  • E-Mail-Adressen und Namen der Kommunikationspartner (intern und extern)
  • Inhalte der elektronischen Kommunikation (E-Mails, Kalendereinträge, Aufgaben)
  • Metadaten der Kommunikation (Zeitstempel, Betreff, Absender, Empfänger)
  • Identitätsdaten, Entra ID: Benutzerkonto, Authentifizierungsprotokoll, Geräteinformationen
  • IP-Adressen beim Verbindungsaufbau zu Microsoft-Diensten

Verarbeitungsdetails

Beschreibung und Umfang
Einsatz von Microsoft 365 (Exchange Online, Entra ID) für die Unternehmenskommunikation per E-Mail und Kalender sowie das Identitäts- und Zugriffsmanagement der autorisierten Nutzer
Zweck
Aufrechterhaltung der Geschäftskommunikation; sicheres Identitäts- und Zugriffsmanagement; Erfüllung vertraglicher und vorvertraglicher Kommunikationspflichten
Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen); Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen an sicherem und dokumentiertem IT-Betrieb)
Speicherdauer
Dauer des jeweiligen Nutzungsverhältnisses; buchführungsrelevante E-Mails und Korrespondenz nach § 257 HGB (6 Jahre) bzw. § 147 AO (bis zu 10 Jahre)
Widerspruchs- und Beseitigungsmöglichkeit
Soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt wird, steht Ihnen das Widerspruchsrecht nach Art. 21 DSGVO zu. Bitte wenden Sie sich formlos an datenschutz@aretix.de. Datenschutzhinweise des Auftragsverarbeiters: privacy.microsoft.com
EU Data Boundary, kein Drittlandtransfer: Microsoft Ireland Operations Limited verarbeitet und speichert alle Daten ausschließlich innerhalb der EU Data Boundary (EU/EWR). Eine Übermittlung in Drittländer findet nicht statt.

9 Buchhaltung und Rechnungswesen DATEV

Für die Buchführung und das Rechnungswesen setzt aretix das DATEV Unternehmensportal ein. aretix handelt in dieser Verarbeitungsfunktion als Verantwortlicher (Controller-Rolle); DATEV eG ist Auftragsverarbeiter nach Art. 28 DSGVO.

Auftragsverarbeiter

Unternehmen
DATEV eG (DATEV Unternehmensportal)
Anschrift
Paumgartnerstr. 6–14, 90429 Nürnberg, Deutschland
Registrierung
Registergericht Nürnberg, GenReg Nr. 70
Drittlandtransfer
Keiner: Verarbeitung ausschließlich in Deutschland

Verarbeitete Datenkategorien

  • Rechnungs- und Buchungsdaten (Betrag, Datum, Leistungsbeschreibung, Umsatzsteueranteil)
  • Kunden- und Lieferantenstammdaten (Name, Anschrift, ggf. USt-ID, Steuernummer)
  • Zahlungsdaten (IBAN, Zahlungsdatum, -betrag)
  • Buchungsbelege und Kontoauszüge (soweit für die Buchführung erfasst)
  • Geschäftskorrespondenz mit buchführungsrechtlicher Relevanz

Verarbeitungsdetails

Beschreibung und Umfang
Nutzung des DATEV Unternehmensportals (SaaS) für Buchführung, Rechnungsstellung und steuerliche Aufzeichnungen; aretix handelt als Verantwortlicher, DATEV eG als Auftragsverarbeiter nach Art. 28 DSGVO
Zweck
Erfüllung gesetzlicher Buchführungs- und Aufzeichnungspflichten; Erstellung, Versand und Archivierung von Ausgangsrechnungen; Vorbereitung des Jahresabschlusses
Rechtsgrundlage
Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung nach §§ 238 ff. HGB und §§ 140 ff. AO); Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bei der Rechnungsstellung gegenüber Geschäftspartnern)
Speicherdauer
Handelsbriefe und sonstige buchführungsrelevante Unterlagen: 6 Jahre (§ 257 Abs. 1 HGB); Bücher, Inventare, Bilanzen und Buchungsbelege: 10 Jahre (§ 147 Abs. 1 AO); Löschung nach Fristablauf, soweit keine anderweitigen Aufbewahrungspflichten bestehen
Widerspruchs- und Beseitigungsmöglichkeit
Die Verarbeitung erfolgt überwiegend auf Grundlage einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO); ein Widerspruchsrecht nach Art. 21 DSGVO besteht insoweit nicht. Für Rückfragen: datenschutz@aretix.de. Datenschutzhinweise der DATEV eG: datev.de/datenschutz
Kein Drittlandtransfer: DATEV eG verarbeitet und speichert alle Daten ausschließlich in Deutschland.

10 Verarbeitung im Auftrag Art. 28 DSGVO

Für seine Maklerkunden erbringt aretix Leistungen als Auftragsverarbeiter im Sinne des Art. 28 DSGVO, insbesondere für Portfolioanalyse- und Datenmigrationsleistungen. Die Verarbeitung personenbezogener Daten erfolgt in diesem Kontext ausschließlich nach dokumentierter Weisung des jeweils verantwortlichen Maklerkunden.

Versicherungsgeheimnis und § 203 StGB

Soweit dem Berufsgeheimnis nach § 203 StGB unterliegende Daten verarbeitet werden, werden alle aretix-Mitarbeiter und Unterauftragsverarbeiter vor erstmaliger Kenntnisnahme in Textform zur Verschwiegenheit verpflichtet und über die Strafbarkeit nach § 203 Abs. 4 StGB belehrt. Die Belehrung wird dokumentiert und auf Anforderung des Verantwortlichen vorgelegt.

Vertragliche Grundlagen

Die datenschutzrechtliche Ausgestaltung der Auftragsverarbeitung ist in folgenden Dokumenten geregelt, die jeweils Bestandteil des Hauptvertrags sind:

  • „Auftragsverarbeitungsvereinbarung (Art. 28 DSGVO)“ (Stand: 9. Juli 2026), vertragliche Grundlage der Auftragsverarbeitung einschließlich Weisungsrecht, Kontrollrechten und Löschpflichten
  • „Technische und organisatorische Maßnahmen (Art. 32 DSGVO)“ (Stand: 9. Juli 2026), Dokumentation der implementierten Sicherheitsmaßnahmen im Sinne des Art. 32 DSGVO
  • „Liste der Unterauftragsverarbeiter“ (Stand: 9. Juli 2026), aktuelle Übersicht der eingesetzten Unterauftragsverarbeiter
Betroffene Personen, deren Daten aretix als Auftragsverarbeiter verarbeitet, richten Auskunfts- und sonstige Betroffenenrechte vorrangig an den jeweils verantwortlichen Maklerkunden. Anfragen, die direkt bei aretix eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet.
Stand: 9. Juli 2026