Podmienky spracúvania osobných údajov pre klientov

1.1 Sprostredkovateľom je: TOKOV Group s. r. o., so sídlom Stummerova 1941/6, 955 01 Topoľčany, IČO 52 283 542, zapísaná v obchodnom registri Okresného súdu Nitra, oddiel Sro, vložka č. 64129/N (ďalej „poskytovateľ“ alebo „my“). Prevádzkovateľom je klient, ktorý si u poskytovateľa objednal službu, pri ktorej sa spracúvajú osobné údaje tretích osôb (ďalej „klient“).

1.2 Tieto podmienky sa stávajú súčasťou zmluvy okamihom, keď klient odsúhlasí naše písomné potvrdenie objednávky služby, pri ktorej sa údaje tretích osôb spracúvajú (najmä Lohnsteuer-Anmeldung a mesačné hlásenie Bauabzugsteuer). Potvrdenie objednávky na ne odkazuje. Elektronická forma vrátane e-mailu spĺňa požiadavku písomnej formy podľa čl. 28 ods. 9 GDPR.

1.3 Vo veciach spracúvania osobných údajov v mene klienta majú tieto podmienky prednosť pred dokumentom Všeobecné obchodné podmienky. Údaje samotného klienta a osôb, ktoré za neho konajú, spracúvame ako prevádzkovateľ podľa dokumentu Podmienky ochrany a spracúvania osobných údajov; oprávnenie odovzdať nám údaje tretích osôb klient potvrdzuje dokumentom Vyhlásenie o oprávnení poskytnúť osobné údaje tretích osôb.

2.1 Predmetom spracúvania sú osobné údaje, ktoré klient poskytovateľovi odovzdá, aby v jeho mene pripravil a podal žiadosti a hlásenia nemeckým finančným úradom, Bundeszentralamt für Steuern alebo Finančnej správe SR a komunikoval s týmito úradmi.

2.2 Povaha spracúvania: prijatie údajov od klienta, ich usporiadanie a kontrola, uloženie, použitie na vyplnenie formulárov a hlásení, odovzdanie úradom (elektronicky cez portál ELSTER alebo listinne), uchovávanie počas trvania služby a vrátenie alebo vymazanie po jej skončení.

2.3 Účelom spracúvania je splnenie daňových povinností klienta v Nemecku, ktoré klientovi ukladajú nemecké predpisy, prostredníctvom objednanej služby. Poskytovateľ údaje nepoužíva na žiadny vlastný účel.

2.4 Spracúvanie trvá počas trvania zmluvy o službe, pri ktorej sa údaje spracúvajú, a po jej skončení do vrátenia alebo vymazania údajov podľa článku 10.

3.1 Zamestnanci klienta (pri službe Lohnsteuer-Anmeldung): meno a priezvisko, dátum narodenia, nemecké daňové identifikačné číslo, obdobia vyslania do Nemecka, mzdové údaje a ďalšie údaje, ktoré vyžaduje formulár úradu.

3.2 Subdodávatelia klienta (pri hlásení Bauabzugsteuer), ak sú živnostníkmi, a ich kontaktné osoby: názov alebo meno, sídlo alebo miesto podnikania, daňové číslo, údaje na faktúrach a údaje o platbách.

3.3 Ďalšie osoby, ktorých údaje sa nachádzajú v podkladoch k hláseniam podľa bodov 3.1 a 3.2 (napríklad kontaktné osoby subdodávateľov na faktúrach): identifikačné a kontaktné údaje v rozsahu, v akom sú v týchto podkladoch. Údaje ďalších osôb v podkladoch k ostatným službám (napríklad kontaktné osoby odberateľov klienta v zmluvách k žiadosti o Freistellung) spracúvame ako prevádzkovateľ podľa dokumentu Podmienky ochrany a spracúvania osobných údajov.

3.4 Osobitné kategórie osobných údajov podľa čl. 9 GDPR na služby nepotrebujeme a klient nám ich neodovzdáva. Ak by ich formulár úradu výnimočne vyžadoval, klient ich poskytne len v nevyhnutnom rozsahu a zodpovedá za splnenie podmienky podľa čl. 9 ods. 2 GDPR.

4.1 Údaje spracúvame len na základe zdokumentovaných pokynov klienta (čl. 28 ods. 3 písm. a) GDPR). Pokynmi sú tieto podmienky, potvrdená objednávka služby, plná moc a ďalšie pokyny, ktoré nám klient dá e-mailom. Súčasťou pokynu je aj odovzdanie údajov úradom v rozsahu, ktorý vyžaduje objednané podanie.

4.2 Ak sa domnievame, že pokyn porušuje GDPR, zákon č. 18/2018 Z. z. alebo iný právny predpis, bez zbytočného odkladu na to klienta upozorníme a pokyn nevykonáme, kým ho klient nepotvrdí alebo nezmení (čl. 28 ods. 3 GDPR, posledná veta). Pokyn, ktorý je zjavne protiprávny, odmietneme.

4.3 Údaje prenesieme do krajiny mimo Európskej únie alebo Európskeho hospodárskeho priestoru len na pokyn klienta alebo ak nám to ukladá právo Európskej únie alebo členského štátu; v takom prípade klienta pred spracúvaním informujeme, pokiaľ to predpis nezakazuje. Prenos, ktorý súvisí s používaním našich ďalších sprostredkovateľov, upravuje bod 7.4.

4.4 Ak by nám právo Európskej únie alebo členského štátu ukladalo spracúvať údaje inak, než znie pokyn klienta, spracúvame ich podľa predpisu a klienta o tom informujeme, pokiaľ to predpis nezakazuje.

5.1 K údajom majú prístup len osoby, ktoré ich potrebujú na plnenie zmluvy a ktoré sa zaviazali zachovávať mlčanlivosť alebo ju majú uloženú zákonom (čl. 28 ods. 3 písm. b) GDPR, § 79 zákona č. 18/2018 Z. z.).

5.2 Mlčanlivosť trvá aj po skončení zmluvy a nevzťahuje sa na informácie, ktoré musíme zo zákona alebo na pokyn klienta odovzdať úradom.

6.1 Prijali sme technické a organizačné opatrenia primerané rizikám podľa čl. 32 GDPR (čl. 28 ods. 3 písm. c) GDPR), najmä:

• údaje prijímame a odovzdávame len šifrovaným spojením (HTTPS, TLS); podania úradom idú cez portál ELSTER;
• údaje ukladáme len u poskytovateľov, s ktorými máme zmluvu podľa čl. 28 GDPR (článok 7), a v prostredí chránenom prístupovými údajmi;
• prístup majú len oprávnené osoby viazané mlčanlivosťou a len v rozsahu potrebnom na ich prácu;
• klientovi odporúčame posielať doklady totožnosti a mzdové podklady v archíve zabezpečenom heslom a heslo oznámiť iným kanálom (SMS); ak to klient urobí, archív ukladáme v zašifrovanej podobe;
• po skončení služby údaje vraciame a mažeme podľa článku 10.

6.2 Klient je zodpovedný za bezpečnosť údajov na svojej strane, najmä za spôsob, akým nám ich odovzdáva, a za zabezpečenie svojej e-mailovej schránky.

6.3 Opatrenia priebežne prehodnocujeme a prispôsobujeme vývoju techniky a rizikám; ich zníženie pod úroveň opísanú v bode 6.1 vopred oznámime klientovi.

7.1 Klient nám udeľuje všeobecné písomné povolenie zapojiť do spracúvania ďalších sprostredkovateľov (čl. 28 ods. 2 GDPR). V deň účinnosti týchto podmienok používame:

• Microsoft (služba Microsoft 365): e-mailová komunikácia a ukladanie dokumentov; prechádzajú ňou všetky podklady, ktoré nám klient pošle e-mailom;
• Cloudflare, Inc.: hosting a doručovanie webu nemeckedane.com; podklady klienta cez web neprechádzajú, kontaktný formulár otvorí e-mailový program odosielateľa.

7.2 Externý účtovník poskytovateľa nie je ďalším sprostredkovateľom klienta: dostáva len údaje na našich faktúrach, nie podklady s údajmi zamestnancov alebo subdodávateľov klienta. Nemecké a slovenské úrady nie sú sprostredkovateľmi, ale príjemcami, ktorým údaje odovzdávame v mene klienta na jeho pokyn.

7.3 O zámere pridať alebo nahradiť ďalšieho sprostredkovateľa informujeme klienta e-mailom najmenej 14 dní vopred (čl. 28 ods. 2 GDPR). Klient môže do tejto lehoty vzniesť odôvodnenú námietku. Ak námietku nevyriešime, môže klient vypovedať službu, pri ktorej sa údaje spracúvajú, ku dňu, keď by sa zmena stala účinnou, bez sankcie; rozpracované podanie dokončíme alebo odovzdáme podľa dokumentu Všeobecné obchodné podmienky.

7.4 Každému ďalšiemu sprostredkovateľovi ukladáme zmluvou rovnaké povinnosti ochrany údajov, aké máme podľa týchto podmienok (čl. 28 ods. 4 GDPR). Ak si ich neplní, zodpovedáme klientovi za jeho konanie, ako keby sme konali sami. Microsoft a Cloudflare sú spoločnosti so sídlom v USA; prenos údajov k nim sa zakladá na rozhodnutí Komisie o primeranosti (EU-US Data Privacy Framework, čl. 45 GDPR) a na štandardných zmluvných doložkách podľa čl. 46 ods. 2 písm. c) GDPR; kópiu záruk klientovi na požiadanie poskytneme.

8.1 Žiadosť dotknutej osoby o uplatnenie jej práv podľa čl. 15 až 22 GDPR, ktorá príde k nám, odovzdáme klientovi bez zbytočného odkladu, najneskôr do 5 pracovných dní, a bez pokynu klienta na ňu vecne neodpovedáme (čl. 28 ods. 3 písm. e) GDPR). Na pokyn klienta údaje opravíme, obmedzíme, vymažeme alebo poskytneme v strojovo čitateľnom formáte.

8.2 S prihliadnutím na povahu spracúvania a informácie, ktoré máme k dispozícii, pomáhame klientovi plniť povinnosti podľa čl. 32 až 36 GDPR: bezpečnosť spracúvania, oznamovanie porušení ochrany údajov dozornému orgánu a dotknutým osobám, posúdenie vplyvu na ochranu údajov a predchádzajúcu konzultáciu (čl. 28 ods. 3 písm. f) GDPR).

8.3 Bežnú pomoc podľa bodov 8.1 a 8.2 poskytujeme v rámci ceny služby. Ak klient požaduje pomoc nad bežný rámec (napríklad rozsiahle spracovanie podkladov pre posúdenie vplyvu, ktoré nesúvisí s naším spracúvaním), dohodneme sa vopred na primeranej odmene podľa času.

8.4 Vedieme záznamy o kategóriách spracovateľských činností vykonávaných v mene klienta podľa čl. 30 ods. 2 GDPR a na požiadanie ich klientovi sprístupníme.

9.1 Ak zistíme porušenie ochrany osobných údajov, ktoré sa týka údajov klienta, oznámime mu ho bez zbytočného odkladu, najneskôr do 48 hodín od zistenia, e-mailom na adresu, ktorú si strany oznámili (čl. 33 ods. 2 GDPR).

9.2 Oznámenie obsahuje informácie podľa čl. 33 ods. 3 GDPR v rozsahu, ktorý máme k dispozícii: povahu porušenia, kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné následky, prijaté a navrhované opatrenia a kontakt na osobu, ktorá poskytne ďalšie informácie. Informácie, ktoré nemáme hneď, doplníme postupne bez zbytočného odkladu.

9.3 Oznámenie dozornému orgánu do 72 hodín (čl. 33 ods. 1 GDPR) a informovanie dotknutých osôb (čl. 34 GDPR) je povinnosťou klienta; poskytneme mu k tomu všetku súčinnosť a bezodkladne prijmeme opatrenia na zmiernenie následkov.

10.1 Po skončení služby, pri ktorej sa údaje spracúvajú, odovzdáme klientovi podklady, ktoré nám poskytol, kópie podaní a potvrdení úradov, a prístupové údaje a certifikát do portálu ELSTER, ktoré patria klientovi. Odovzdanie nie je podmienené úhradou našich faktúr; pohľadávky riešime samostatne.

10.2 Podľa rozhodnutia klienta údaje po skončení služby vrátime alebo vymažeme vrátane všetkých kópií (čl. 28 ods. 3 písm. g) GDPR). Ak klient rozhodnutie neoznámi do 30 dní od skončenia služby, údaje vymažeme. Vymazanie vykonáme do 30 dní od pokynu alebo od uplynutia uvedenej lehoty a na požiadanie ho písomne potvrdíme.

10.3 Údaje uchováme dlhšie len vtedy a len v rozsahu, v akom nám ich uchovanie ukladá právo Európskej únie alebo členského štátu alebo v akom nám to klient prikáže; naše účtovné doklady (faktúry klientovi) údaje zamestnancov ani subdodávateľov klienta neobsahujú. Klient nám môže v potvrdení objednávky alebo neskôr e-mailom dať pokyn, aby sme kópie podaní s údajmi jeho zamestnancov alebo subdodávateľov uchovali dlhšie (napríklad počas lehoty, v ktorej môže úrad hlásenie preverovať); vtedy ich uchovávame v jeho mene podľa pokynu. Údaje uchované na základe predpisu alebo pokynu chránime rovnako ako počas zmluvy a po uplynutí určenej doby ich vymažeme.

11.1 Klientovi poskytneme všetky informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR (čl. 28 ods. 3 písm. h) GDPR). Prednostne odpovedáme písomne na otázky klienta a poskytujeme mu popis prijatých opatrení a zmluvy alebo záruky našich ďalších sprostredkovateľov.

11.2 Klient alebo ním poverený audítor viazaný mlčanlivosťou môže vykonať audit spracúvania, ktoré vykonávame v jeho mene. Audit sa oznamuje najmenej 14 dní vopred, prebieha v pracovnom čase, netýka sa údajov iných klientov a nenarúša neprimerane našu prevádzku. Bez osobitného dôvodu (porušenie ochrany údajov, dôvodné podozrenie z porušenia týchto podmienok alebo požiadavka dozorného orgánu) sa audit vykonáva najviac raz za kalendárny rok. Náklady auditu znáša klient, ak audit nepreukáže naše podstatné porušenie týchto podmienok.

11.3 Poskytneme súčinnosť aj dozornému orgánu pri výkone jeho právomocí podľa čl. 58 GDPR.

12.1 Klient ako prevádzkovateľ zodpovedá za zákonnosť spracúvania, právny základ, informovanie dotknutých osôb, správnosť údajov a za oprávnenosť ich odovzdania poskytovateľovi (čl. 5 ods. 2 a čl. 24 GDPR, dokument Vyhlásenie o oprávnení poskytnúť osobné údaje tretích osôb).

12.2 Poskytovateľ zodpovedá za škodu spôsobenú spracúvaním len vtedy, ak nesplnil povinnosti, ktoré GDPR ukladá osobitne sprostredkovateľom, alebo ak konal nad rámec alebo v rozpore s pokynmi klienta udelenými v súlade so zákonom (čl. 82 ods. 2 GDPR). Zodpovednosť voči dotknutým osobám podľa čl. 82 GDPR a jej rozdelenie medzi strany podľa čl. 82 ods. 4 a 5 GDPR týmito podmienkami nie je dotknuté.

12.3 Vzájomná zodpovednosť strán za škodu nad rámec čl. 82 GDPR sa riadi dokumentom Všeobecné obchodné podmienky a zákonom č. 513/1991 Zb. Obchodný zákonník.

13.1 Tieto podmienky platia po celý čas, keď pre klienta spracúvame údaje tretích osôb, a povinnosti mlčanlivosti, vrátenia a vymazania údajov trvajú až do ich splnenia.

13.2 Aktuálne znenie s číslom verzie a dátumom účinnosti je zverejnené na nemeckedane.com. Zmenu oznámime klientom, pre ktorých údaje spracúvame, e-mailom najmenej 14 dní pred jej účinnosťou. Ak klient so zmenou nesúhlasí, môže službu, pri ktorej sa údaje spracúvajú, vypovedať ku dňu účinnosti zmeny; inak sa zmena stáva súčasťou zmluvy. Zmeny, ktoré vyžaduje právny predpis alebo rozhodnutie dozorného orgánu, môžu nadobudnúť účinnosť skôr.

13.3 Podmienky sa riadia právom Slovenskej republiky. Ak by niektoré ustanovenie bolo neplatné, ostatné zostávajú v platnosti a strany ho nahradia ustanovením, ktoré najlepšie zodpovedá čl. 28 GDPR a jeho účelu.

13.4 Tieto podmienky nadobúdajú účinnosť 26. 9. 2026. Súvisiace dokumenty: Vyhlásenie o oprávnení poskytnúť osobné údaje tretích osôb, Podmienky ochrany a spracúvania osobných údajov a Všeobecné obchodné podmienky.