Informationen gemäß Art. 26 Data Act beim Anbieterwechsel
Wechsel- und Übertragungsmethoden, Datenstrukturen und -formate, Beschränkungen und offene Interoperabilitätsspezifikationen
Im Folgenden informieren wir gemäß Art. 26 lit. a) und b) EU Data Act über die Möglichkeiten und technischen Voraussetzungen für einen Wechsel zu einem anderen Anbieter von Datenverarbeitungsdiensten, der die gleiche Dienstart abdeckt.
1, Public API (REST/JSON)
| Zweck im Anbieterwechsel | Zentrales Verfahren für strukturierten, interoperablen Anbieterwechsel |
| Wechsel- & Übertragungsmethode | |
| Übertragungs- / Datenformate | |
| Abgedeckte Daten (Auswahl) | |
| Einschränkungen | Technische Implementierung erforderlich; Daten in Paychex-Domänenlogik; Pagination & Rate Limits; fachliches Mapping notwendig |
2. Masterdaten- & Excel-Exporte
| Zweck im Anbieterwechsel | Ergänzendes Verfahren für nicht API-affine Kunden |
| Wechsel- & Übertragungsmethode | Manueller oder teilautomatisierter Export |
| Übertragungs- / Datenformate | Excel, CSV |
| Abgedeckte Daten (Auswahl) | Stammdaten, ausgewählte Bewegungs- und Auswertungsdaten |
| Einschränkungen | Nicht vollständig standardisiert; begrenzte Automatisierung; höherer manueller Aufwand |
3. DLS Export (Digitale LohnSchnittstelle)
| Zweck im Anbieterwechsel | Ggf. als Ergänzung für steuerlich relevante Daten, wenn der neue Anbieter die DLS unterstützt. |
| Wechsel- & Übertragungsmethode | Periodischer Export als Dokument (UI oder API) |
| Übertragungs- / Datenformate | Standardisiertes DLS-Textformat (zur aktuellen Version der DLS) |
| Abgedeckte Daten (Auswahl) | Arbeitgeber- & Arbeitnehmerstammdaten, Lohnarten, Lohnkonten, Abrechnungs- und Steuerdaten, SV-Daten |
| Einschränkungen | Primär Prüfungsformat der Finanzverwaltung; periodenbezogen; kein allgemeiner Importstandard zwischen Entgeltabrechnungssystemen |
4. euBP (eXTra)
| Zweck im Anbieterwechsel | Ggf. als Ergänzung für SV-relevante Daten, wenn der neue Anbieter euBP-Daten importieren kann. |
| Wechsel- & Übertragungsmethode | Elektronische Übermittlung im eXTra-Standard |
| Übertragungs- / Datenformate | Datensätze folgen einer positionellen Textstruktur mit fester Feldlänge |
| Abgedeckte Daten (Auswahl) | Arbeitgeber-/Betriebsdaten, Arbeitnehmerstammdaten, Beitragsnachweise, Lohn- & Beitragsdaten, optional Finanzbuchhaltung |
| Einschränkungen | Behörden- und Prüfungsformat, das von der DRV definiert wird; kein etablierter euBP-Importstandard; Konfigurationsdaten nur eingeschränkt enthalten |
Für den Fall, dass Sie einen Wechsel zu einem anderen Anbieter von Datenverarbeitungsdiensten, der die gleiche Dienstart abdeckt, wünschen, empfehlen wir grundsätzlich den Wechsel mittels unserer Public API.
Informationen gemäß Art. 28 EU Data Act
Angaben zu Gerichtsbarkeiten, denen unsere IKT-Infrastruktur unterliegt sowie zu Maßnahmen zur Vermeidung von Datenzugriffen ausländischer Behörden
1. Angaben zu Gerichtsbarkeiten, denen unsere IKT-Infrastruktur unterliegt
Die für die Bereitstellung der vertragsgegenständlichen Dienste eingesetzte IKT-Infrastruktur wird ausschließlich in Rechenzentren innerhalb der Europäischen Union, insbesondere in Deutschland und Dänemark, betrieben. Die Datenverarbeitung erfolgt ausschließlich auf Servern, die sich physisch in diesen Staaten befinden. Zugriffsrechte auf die Daten haben ausschließlich hiermit betraute Mitarbeiter in Deutschland und Dänemark, beschränkt auf das jeweils erforderliche Maß (Need-to-Know-Prinzip).
Aufgrund des physischen Standorts der Infrastruktur unterliegt deren Betrieb primär dem Recht der Europäischen Union sowie dem jeweils anwendbaren deutschen und dänischen Recht, einschließlich der Datenschutz-Grundverordnung (DSGVO) und der nationalen Vorschriften zur IT-Sicherheit.
2. Mittelbare Drittstaatenbezüge – Maßnahmen zur Vermeidung von Datenzugriffen ausländischer Behörden
Unsere Konzernobergesellschaft in den USA, die Paychex Inc., hat keinen Zugriff auf Daten, die Gegenstand der vertraglichen Leistungserbringung sind. Als Unternehmen mit Sitz in den USA kann Paychex Inc. aber theoretisch und in engen Grenzen von US-Behörden zu Zwecken der Strafverfolgung, der staatlichen Sicherheit oder Terrorismusabwehr verpflichtet werden, auch bei uns in Europa gespeicherte Daten an diese Behörden herauszugeben. Ein derartiger Fall ist bislang nicht vorgekommen.
Im Fall einer derartigen Anfrage würden wir auf unsere rechtlichen Verpflichtungen zum Schutz der Kundendaten sowie auf die der Auskunft entgegenstehenden europäischen und deutschen Rechtsvorschriften hinweisen und die anfragende Behörde auf die geltenden zwischenstaatlichen Rechtshilfeabkommen verweisen.
Soweit Kundendaten in unserer Entgeltabrechnungssoftware Paychex Europe Payroll DE verarbeitet werden, erfolgt dies ausschließlich auf Servern, die von Amazon Web Services (AWS) in Deutschland betrieben werden. Als Unternehmen mit Sitz in den USA kann auch AWS grundsätzlich Verpflichtungen nach US-Amerikanischem Recht zu Zwecken der Strafverfolgung, der staatlichen Sicherheit oder der Terrorismusabwehr unterliegen, auch im Hinblick auf in Europa gespeicherte Daten. AWS veröffentlicht regelmäßig aggregierte Transparenzberichte (Reports) zu empfangenen Behördenanfragen.
Zum Schutz unserer Kundendaten nutzen wir AWS-Services, die nach CISPE bzw. C5 zertifiziert sind, und setzen ergänzend technische Maßnahmen nach dem Stand der Technik ein, die darauf ausgerichtet sind, einen Zugriff des Hosting-Anbieters auf die gespeicherten Daten zu verhindern.
Hierzu zählen insbesondere die Verschlüsselung sämtlicher Daten im Ruhezustand („at rest“) und bei der Übertragung („in transit“) sowie der Einsatz des AWS-Nitro-Systems, einschließlich eines auf Hardwareebene implementierten Nitro-Hypervisors, der nach Angaben von AWS eine weitgehende Isolation der Kunden-Workloads vorsieht und administrative Zugriffsmöglichkeiten auf den Arbeitsspeicher beim Hosting-Anbieter technisch reduzieren soll. Nähere Informationen hierzu finden Sie unter https://aws.amazon.com/de/ec2/nitro/.
Verträge
Unsere Standardverträge variieren je nach Produkt, Leistungsumfang und Kundensegment. Gerne erläutern wir die für Sie relevanten vertraglichen Regelungen in einem persönlichen Gespräch und stellen die entsprechenden Vertragsunterlagen auf Anfrage zur Verfügung.
Der vertragliche Rahmen umfasst in der Regel:
- Nutzungsbedingungen für Software-as-a-Service (SaaS)
- Allgemeine Geschäftsbedingungen
- gegebenenfalls ergänzende Zusatzvereinbarungen (Assisted Services, Expert Services)
- Vereinbarung zur Auftragsverarbeitung (Data Processing Agreement, DPA)
- Data Act Addendum
Fortlaufende Beobachtung rechtlicher und regulatorischer Entwicklungen
Wir beobachten fortlaufend relevante rechtliche und regulatorische Entwicklungen, darunter die DSGVO, NIS2, DORA, den AI Act sowie den Data Act. Sofern neue oder geänderte Vorgaben eine Anpassung unserer vertraglichen Regelungen erfordern, werden entsprechende Prüfungen durchgeführt und Aktualisierungen vorgenommen.
So stellen wir sicher, dass unsere Verträge rechtskonform bleiben und stets den aktuellen Anforderungen entsprechen.
Rechtlicher Hinweis: Die Inhalte dieses Trust Centers dienen ausschließlich allgemeinen Informationszwecken und stellen keine Rechtsberatung dar. Sicherheits- und Compliance-Maßnahmen können sich im Zuge der Weiterentwicklung unserer Produkte und Services ändern.
