Datenschutzerklärung

Fassung: 2026-08-21

Diese Erklärung sagt Ihnen, welche Daten wir verarbeiten, warum wir das dürfen, wie lange wir sie behalten und was Sie von uns verlangen können. Sie ist nach Art 13 und 14 der Datenschutz-Grundverordnung (DSGVO) geschrieben.

Sie gilt für die Website easyrechnung.at, auf der Sie lesen, was das Werkzeug kann und was es kostet, und für die Anwendung app.easyrechnung.at, in der Sie Ihre Buchhaltung führen. Wo sich die beiden unterscheiden, steht es im jeweiligen Abschnitt. Der wichtigste Unterschied gleich hier: Auf der Website wird die Reichweite gemessen, wenn Sie zustimmen. In der Anwendung werden, wenn Sie auch dort zustimmen, zwei Ereignisse gemessen: dass eine Registrierung stattgefunden hat und dass ein Abo zustande gekommen ist. Ohne Ihre Zustimmung läuft hinter der Anmeldung kein Skript eines Dritten.

Wer für Ihre Daten verantwortlich ist

Florian Untermoser
Gartenweg 16, 9061 Klagenfurt am Wörthersee, Österreich
E-Mail: [email protected]

Eine datenschutzbeauftragte Stelle haben wir nicht bestellt. Art 37 Abs 1 DSGVO verlangt sie nur von Behörden und von Verantwortlichen, deren Kerntätigkeit die umfangreiche Überwachung von Personen oder die Verarbeitung besonderer Datenkategorien ist. Auf uns trifft beides nicht zu. Fragen zum Datenschutz beantworten wir unter der E-Mail-Adresse oben.

Für die Daten Ihrer Kunden und Lieferanten, die Sie in diese Anwendung eintragen, sind Sie verantwortlich, nicht wir. Wir verarbeiten sie ausschließlich in Ihrem Auftrag. Das regelt der Auftragsverarbeitungsvertrag, den Sie bei der Einrichtung geschlossen haben und der jederzeit unter „Datenschutz" abrufbar ist.

Zwei Rollen, zwei Regelwerke

Es ist wichtig, das auseinanderzuhalten, weil sich daraus unterschiedliche Rechte und Pflichten ergeben:

Wenn ein Kunde von Ihnen wissen will, welche Daten über ihn gespeichert sind, ist das Ihre Auskunft, nicht unsere. Sie können sie über den Vollexport oder direkt in der Anwendung erteilen.

Was beim Aufruf einer Seite anfällt

Jeder Aufruf – auf der Website wie in der Anwendung – hinterlässt in den Protokollen des Servers: IP-Adresse, Zeitpunkt, aufgerufene Adresse, die Seite, von der Sie kamen, den Statuscode der Antwort, die übertragene Datenmenge und die Kennung Ihres Browsers. Das lässt sich nicht abschalten, denn ohne diese Angaben kommt die Antwort nicht bei Ihnen an.

Wir verwenden diese Protokolle, um Störungen zu finden und Angriffe zu erkennen. Wir führen sie nicht mit anderen Daten zusammen und werten sie nicht nach Personen aus.

Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO – unser berechtigtes Interesse an einem erreichbaren und abgesicherten Auftritt. Ein entgegenstehendes Interesse Ihrerseits ist uns nicht erkennbar, weil die Protokolle nach 30 Tagen verfallen und dazwischen niemand sie durchsieht.

Aufbewahrung: 30 Tage.

Auslieferung über Cloudflare

Hier unterscheiden sich Website und Anwendung, und der Unterschied ist der wichtigste in dieser Erklärung.

Auf der Website steht Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, zwischen Ihrem Browser und unserem Server. Cloudflare nimmt Ihre Anfrage entgegen, liefert unveränderliche Inhalte aus einem Rechenzentrum in Ihrer Nähe aus und wehrt Überlastungs- und Missbrauchsangriffe ab. Dabei sieht Cloudflare dieselben Angaben wie unser Server: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung sowie technische Merkmale der verschlüsselten Verbindung. Für die Angriffserkennung setzt Cloudflare eigene Cookies; sie sind technisch notwendig und in der Aufstellung weiter unten genannt.

In der Anwendung übernimmt Cloudflare nur die Namensauflösung: Ihr Browser fragt dort nach, unter welcher Adresse app.easyrechnung.at zu erreichen ist, und verbindet sich dann unmittelbar mit unserem Server. Die verschlüsselte Verbindung endet bei uns. Ihre Anmeldung, Ihre Belege und Ihre Buchungen laufen daher über keinen fremden Server, und niemand außer uns sieht, dass und von wo Sie zugreifen.

Cloudflare ist unser Auftragsverarbeiter nach Art 28 DSGVO. Das Unternehmen betreibt ein weltweites Netz; Anfragen aus Europa werden im Regelfall in einem europäischen Rechenzentrum bearbeitet, ein Zugriff aus den Vereinigten Staaten ist aber nicht ausgeschlossen. Was das rechtlich bedeutet, steht unten unter „Übermittlung in Drittländer".

Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO.

Cookies und das Zustimmungsbanner

Ein Cookie ist eine kleine Datei, die eine Website in Ihrem Browser ablegt. Das Speichern von Informationen auf Ihrem Gerät und der Zugriff darauf brauchen nach § 165 Abs 3 TKG 2021 Ihre Zustimmung. Ausgenommen sind Cookies, die für die Übertragung der Nachricht oder für einen von Ihnen ausdrücklich angeforderten Dienst unbedingt erforderlich sind.

Danach richten wir uns:

• Ohne Ihre Zustimmung setzt die Website nur, was unbedingt erforderlich ist: die Sicherheits-Cookies von Cloudflare und ein Cookie, das Ihre Entscheidung über dieses Banner festhält. Ohne dieses Cookie müssten wir Sie bei jedem Seitenaufruf erneut fragen. Es liegt auf easyrechnung.at und gilt damit auch für die Anwendung unter app.easyrechnung.at: Wir fragen einmal, nicht zweimal.
• Erst mit Ihrer Zustimmung wird die Reichweitenmessung geladen. Vorher wird kein Skript von Google angefordert, kein Cookie von Google gesetzt und keine Verbindung zu einem Server von Google hergestellt. Auch keine verkürzte, keine „cookielose".
• In der Anwendung werden ohne Ihre Zustimmung nur die beiden Cookies gesetzt, die Sie angemeldet halten. Beide sind für den von Ihnen angeforderten Dienst unbedingt erforderlich und daher nach § 165 Abs 3 TKG 2021 zustimmungsfrei. Nach der Messung fragen wir auch dort – dass Sie angemeldet sind und für den Dienst bezahlen, ändert daran nichts. Gefragt wird aber nur, wenn Sie noch nicht entschieden haben: Ihre Antwort auf der Website gilt in der Anwendung und umgekehrt. Lehnen Sie ab oder antworten Sie nicht, wird auch dort nichts geladen und nichts gemessen.

Das Banner bietet Zustimmen und Ablehnen mit demselben Aufwand an, auf derselben Ebene. Nichts ist vorausgewählt. Der Wortlaut ist auf der Website und in der Anwendung derselbe. Sie können Ihre Entscheidung jederzeit ändern: auf der Website über „Cookie-Einstellungen" im Fußbereich jeder Seite, in der Anwendung unter Einstellungen → Daten und Datenschutz. Eine Änderung gilt für beides; der Widerruf gilt ab dem Zeitpunkt des Widerrufs und lässt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt (Art 7 Abs 3 DSGVO).

Ihre Entscheidung halten wir fest – Zeitpunkt, was Sie gewählt haben und in welcher Fassung Ihnen das Banner angezeigt wurde. Ohne diesen Nachweis könnten wir die Zustimmung nicht belegen (Art 7 Abs 1 DSGVO). In der Anwendung ändern Sie die Entscheidung unter Einstellungen → Daten und Datenschutz.

Messung von Reichweite und Werbeerfolg: Google Analytics, Tag Manager und Google Ads

Nur mit Ihrer Zustimmung. Lehnen Sie ab oder entscheiden Sie gar nicht, unterbleibt dieser Abschnitt vollständig.

Was eingesetzt wird. Auf der Website werden nach Ihrer Zustimmung Google Analytics 4 und der Google Tag Manager geladen, in der Anwendung nur Google Analytics 4. Gemessen wird an beiden Stellen mit Google Analytics 4; der Erfolg unserer Anzeigen wird an Google Ads gemeldet. Anbieter von allem ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, für uns tätig als Auftragsverarbeiter auf Grundlage der „Google Ads Data Processing Terms".

Was die Website misst. Welche Seiten Sie aufrufen und in welcher Reihenfolge, über welchen Weg Sie zu uns gekommen sind, wie lange Sie bleiben, welches Gerät, welchen Browser und welches Betriebssystem Sie verwenden, und aus welcher Stadt der Aufruf ungefähr kommt. Dazu wird in Ihrem Browser eine zufällige Kennung abgelegt, an der wiederkehrende Besuche als derselbe Besuch erkannt werden.

Was die Anwendung misst. Zwei Ereignisse, und nur wenn Sie in der Anwendung zugestimmt haben:

1. Eine Registrierung hat stattgefunden. Ohne jede weitere Angabe – nicht Ihr Name, nicht Ihre E-Mail-Adresse, nicht der Name Ihres Unternehmens.
2. Ein Abo wurde abgeschlossen. Dazu der Jahrespreis – der Betrag, der auch auf easyrechnung.at steht – und die Kennung des Bezahlvorgangs bei Stripe. Diese Kennung benennt die Zahlung, nicht Sie; sie ist dafür da, dass ein Abo nicht doppelt gezählt wird.

Mit beiden geht die Adresse der Seite mit, auf der sie ausgelöst wurden – die Registrierungsseite und die Abo-Seite. Nicht übermittelt werden Ihr Name, Ihre E-Mail-Adresse, die Kennung Ihres Zugangs oder Ihres Mandanten und nichts aus Ihrer Buchhaltung. Welche Seiten Sie sonst in der Anwendung aufrufen, was Sie dort erfassen und wie lange Sie bleiben, wird nicht gemessen. Gemessen wird mit derselben Property wie auf der Website, damit ein Besuch und das Abo, zu dem er führt, nicht als zwei getrennte Vorgänge erscheinen.

Werbeerfolg. Wir schalten Anzeigen bei Google. Kommen Sie über eine solche Anzeige zu uns, bringt der Aufruf eine Kennung dieser Anzeige mit; mit Ihrer Zustimmung wird sie im Cookie _gcl_au abgelegt. Registrieren Sie sich später oder schließen Sie ein Abo ab, erfährt Google Ads, dass diese Anzeige zu einem Abschluss geführt hat. Ohne dieses Cookie könnten wir nicht unterscheiden, welche Anzeige etwas bewirkt und welche nur Geld kostet.

Was daraus nicht wird. Keine Zielgruppe und keine personalisierte Werbung: Die Einstellung dafür bleibt auch nach Ihrer Zustimmung abgeschaltet, ebenso die Verknüpfung mit angemeldeten Google-Konten („Google Signals") und die Freigabe der Daten an Google zu eigenen Zwecken. Wir bilden keine Profile, und Sie sehen wegen dieser Messung anderswo im Netz keine Anzeigen von uns.

Was nicht gemessen wird. Google Analytics speichert nach Angaben des Anbieters für Besucher aus dem Europäischen Wirtschaftsraum, der Schweiz und dem Vereinigten Königreich keine einzelnen IP-Adressen; sie werden auf europäischen Servern verworfen, bevor die Daten protokolliert werden. Wir übergeben an Google keinen Namen, keine E-Mail-Adresse und keine Kennung aus Ihrem Benutzerkonto.

Wozu. Um zu sehen, welche Seiten gelesen werden und welche nicht, ob Änderungen an der Website etwas bewirken, wie viele Besucher sich registrieren, wie oft aus einer Testphase ein Abo wird und welche unserer Anzeigen daran beteiligt war.

Rechtsgrundlage: Art 6 Abs 1 lit a DSGVO und § 165 Abs 3 TKG 2021 – Ihre Zustimmung. Sie umfasst beides, die Reichweitenmessung und die Messung des Werbeerfolgs; das Banner nennt beides, und ohne Ihr Ja unterbleibt beides.

Aufbewahrung: Die Ereignisdaten werden bei Google nach zwei Monaten gelöscht. Die Cookies von Google Analytics laufen nach zwei Jahren ab, _gcl_au nach 90 Tagen, sofern Sie sie nicht vorher löschen.

Übermittlung in die Vereinigten Staaten: Google Ireland Limited setzt Google LLC in den Vereinigten Staaten als weiteren Auftragsverarbeiter ein. Lesen Sie dazu den Abschnitt „Übermittlung in Drittländer" – dort steht auch, warum diese Grundlage derzeit umstritten ist.

Welche Cookies gesetzt werden

Auf der Website:

In der Anwendung:

Die beiden Anmelde-Cookies sind vor dem Auslesen durch Skripte geschützt und werden nur an die Anmeldeschnittstelle mitgeschickt, nicht an jeden Aufruf. Die beiden Google-Cookies setzt die Anwendung erst, wenn Sie dort zugestimmt haben.

Weitere Cookies gibt es nicht. Ein Tracking über fremde Seiten hinweg gibt es weder auf der Website noch in der Anwendung: _gcl_au misst den Erfolg unserer eigenen Anzeigen und wird für keine Werbung verwendet, die Ihnen anderswo angezeigt wird. Es sind keine Schriftarten, Karten, Videos, Schaltflächen sozialer Netze und keine Bibliotheken von fremden Servern eingebunden; die Schriftdateien liegen auf unserem eigenen Server.

Wenn Sie uns schreiben

Schreiben Sie an [email protected], verarbeiten wir Ihre Nachricht samt Absenderadresse und allem, was Sie hineinschreiben, um sie zu beantworten.

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO, wenn es um einen Vertrag mit uns geht, sonst Art 6 Abs 1 lit f DSGVO – unser Interesse daran, auf Anfragen zu antworten.

Aufbewahrung: bis die Sache erledigt ist, danach längstens drei Jahre; entsteht daraus ein Vertrag oder ein Beleg, gilt § 132 BAO.

Das Postfach betreibt für uns die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (Microsoft 365, Exchange Online) als Auftragsverarbeiter. Sie setzt die Microsoft Corporation in den Vereinigten Staaten als weiteren Auftragsverarbeiter ein; die Inhalte des Postfachs werden nach der Zusage von Microsoft zur EU-Datengrenze in der Europäischen Union gespeichert, ein Zugriff aus den Vereinigten Staaten – etwa zur Fehlerbehebung – ist aber nicht ausgeschlossen. Näheres im Abschnitt „Übermittlung in Drittländer".

Ein Formular gibt es auf der Website nicht. Richten wir später eines ein, steht es hier, bevor es in Betrieb geht.

Die Registrierung findet nicht auf der Website statt, sondern in der Anwendung. Was dabei verarbeitet wird, steht weiter unten unter „Ihr Benutzerkonto".

Ihr Benutzerkonto

Name, E-Mail-Adresse, ein Passwort-Hash (nie das Passwort selbst), Ihre Rolle im Unternehmen sowie Zeitpunkt der letzten Anmeldung.

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO – ohne diese Daten gibt es keinen Zugang und damit keinen Vertrag.

System-E-Mails und bekannte Geräte

Die Anwendung schreibt Ihnen in wenigen, benannten Fällen: zur Bestätigung Ihrer E-Mail-Adresse, mit einem Anmeldecode, wenn Sie sich von einem unbekannten Gerät anmelden, bei Änderungen an Passwort oder Anmeldung, als Erinnerung an eine bevorstehende UVA-Frist und als monatliche Zusammenfassung Ihrer Zahlen. Erinnerung und Zusammenfassung lassen sich in den Einstellungen abschalten; die Nachrichten, die den Zugang zu Ihrem Konto sichern, nicht.

Zugestellt werden diese Nachrichten über Sendinblue SAS („Brevo"), Frankreich; die Verarbeitung findet in der Europäischen Union statt. Übermittelt werden dafür Ihre E-Mail-Adresse, Ihr Name und der Inhalt der jeweiligen Nachricht. Wir protokollieren zu jeder Nachricht Empfänger, Betreff und ob die Zustellung gelungen ist – nicht ihren Inhalt.

Damit die Anmeldung von einem unbekannten Gerät erkannt werden kann, merkt sich die Anwendung die Geräte, mit denen Sie sich angemeldet haben: eine zufällige Gerätekennung (als Prüfwert), die Browserkennung sowie die erste und die letzte IP-Adresse.

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO – die Nachrichten und die Geräteliste sichern den Zugang zu Ihrem Konto und gehören zum Dienst; die abschaltbaren Nachrichten versenden wir nur, solange Sie sie nicht abgeschaltet haben.

Ihre Firmendaten

Firmenwortlaut, Anschrift, UID-Nummer, Steuernummer, Finanzamt, Bankverbindung, Logo. Diese Daten stehen auf den Rechnungen, die die Anwendung für Sie erzeugt.

Dazu kommt, nur wenn Sie es selbst angeben, das Bruttojahresgehalt aus einer Anstellung neben dem Unternehmen. Es dient allein den Steuer- und Beitragsschätzungen in der Anwendung, erscheint auf keiner Rechnung und keiner Meldung, wird an niemanden übermittelt und lässt sich jederzeit wieder entfernen.

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO.

Das Änderungsprotokoll

Bei jeder Änderung an gebuchten Daten halten wir fest, wer sie wann und von welcher IP-Adresse vorgenommen hat, samt Vorher- und Nachher-Stand. Das ist keine Überwachung, sondern eine Auflage: § 131 BAO verlangt, dass Änderungen an Buchhaltungsdaten nachvollziehbar bleiben.

Das ist etwas anderes als die technischen Serverprotokolle oben: Diese hier gehören zu Ihren Büchern, werden mit ihnen aufbewahrt und nicht nach 30 Tagen gelöscht.

Rechtsgrundlage: Art 6 Abs 1 lit c DSGVO (§§ 131, 132 BAO).

Zustimmung zu den Vertragsdokumenten

Wenn Sie den Nutzungsbedingungen, dieser Erklärung oder dem Auftragsverarbeitungsvertrag zustimmen, speichern wir welches Dokument in welcher Fassung, den Prüfwert des genauen Textes, Zeitpunkt, IP-Adresse und Browserkennung.

Rechtsgrundlage: Art 6 Abs 1 lit c in Verbindung mit Art 5 Abs 2 DSGVO – wir müssen die Zustimmung nachweisen können.

Entgelt und Zahlung

Das Entgelt wickeln wir über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland ab.

Was Stripe bekommt: Ihren Namen und Firmenwortlaut, Ihre Anschrift, Ihre E-Mail-Adresse, den Betrag und den Zeitpunkt. Ihre Zahlungsdaten geben Sie bei Stripe ein, nicht bei uns. Kartennummern und Kontodaten erreichen unsere Server nicht; wir erfahren nur, ob eine Zahlung zustande gekommen ist.

Rollen: Für die Abwicklung in unserem Auftrag ist Stripe Auftragsverarbeiter. Für die Betrugserkennung, die Geldwäscheprävention und die Erfüllung eigener aufsichtsrechtlicher Pflichten ist Stripe eigener Verantwortlicher; diesen Teil können wir weder anweisen noch abstellen. Wie Stripe damit umgeht, steht in dessen eigener Datenschutzerklärung.

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO für die Abwicklung, Art 6 Abs 1 lit c DSGVO in Verbindung mit § 132 BAO und § 11 UStG für die Aufbewahrung der Rechnung, die wir Ihnen stellen.

Wo Ihre Daten liegen

Ihre Buchhaltung liegt auf Servern in Nürnberg, Deutschland, betrieben von der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland.

Die Reichweitenmessung, die weiter oben beschrieben ist, betrifft ausschließlich die Website. Hinter der Anmeldung wird kein Skript von Google geladen.

Ihre Buchungen, Auswertungen, Kontakte, Bankverbindungen und Belege verlassen den Europäischen Wirtschaftsraum nicht – mit einer einzigen Ausnahme, und die schalten Sie selbst ein: die KI-Belegerkennung im nächsten Abschnitt.

Welche Dienstleister an der Verarbeitung beteiligt sind, steht in Anlage 3 des Auftragsverarbeitungsvertrags. Alle sind vertraglich nach Art 28 DSGVO gebunden.

KI-Belegerkennung (nur wenn Sie sie einschalten)

Sie können Belege automatisch auslesen lassen. Diese Funktion ist ab Werk ausgeschaltet. Sie schalten sie unter „Einstellungen → Belegerkennung" ein, und Sie können sie dort jederzeit wieder ausschalten.

Was übermittelt wird. Solange die Funktion eingeschaltet ist, wird der Text jedes Belegs, den Sie hochladen, an Anthropic übermittelt und dort von einem Sprachmodell ausgelesen. Vertragspartner für Kunden im Europäischen Wirtschaftsraum ist Anthropic Ireland, Limited; die Verarbeitung selbst führt Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA durch. Enthält eine Datei keinen Text – etwa ein Foto oder ein eingescannter Beleg –, wird die Datei selbst übermittelt. Auf einem Beleg stehen regelmäßig auch Ihr Name, Ihre Anschrift, Ihre UID-Nummer und die Daten Ihres Geschäftspartners; sie werden mitübermittelt, weil sie Teil des Belegs sind.

Kontoauszüge, deren Spalten wir nicht kennen. Jede Bank baut ihre CSV-Datei anders. Kommt eine Datei, deren Spalten die Anwendung nicht zuordnen kann, werden bei eingeschalteter Funktion die Spaltenüberschriften und drei Beispielzeilen an Anthropic übermittelt. In den Beispielzeilen ist jede Ziffer durch 9, jeder Großbuchstabe durch X und jeder Kleinbuchstabe durch x ersetzt: aus „31.12.2026" wird „99.99.9999", aus „Miete Jänner" wird „Xxxxx Xxxxxx". Übermittelt wird damit die Form der Tabelle, nicht ihr Inhalt – Namen, IBANs, Beträge und Verwendungszwecke Ihrer Umsätze bleiben hier. Zurück kommt nur, welche Spalte welches Feld trägt; Sie bestätigen die Zuordnung, bevor eine Zeile eingelesen wird, und sie wird gespeichert, damit dieselbe Bank kein zweites Mal angefragt werden muss.

Kontoauszüge als PDF (eine eigene Entscheidung). Manche Banken geben Kontoauszüge nur als PDF heraus. Ein PDF ist für Menschen gesetzt und nicht für ein Programm, weshalb die Anwendung es nicht selbst lesen kann. Sie können es von einem Sprachmodell ablesen lassen; auch das ist ab Werk ausgeschaltet und wird unter „Einstellungen → Belegerkennung" getrennt von der KI-Belegerkennung eingeschaltet. Wer Belege auslesen lässt, hat damit nicht auch den Kontoauszügen zugestimmt, und umgekehrt.

Ist diese Funktion eingeschaltet, wird der gesamte Text des hochgeladenen Auszugs an Anthropic übermittelt. Das ist erheblich mehr als bei einem einzelnen Beleg: Auf einem Kontoauszug stehen alle Zahlungen eines Zeitraums, mit Datum, Betrag, Verwendungszweck und dem Namen und der IBAN jedes Empfängers. Deshalb wird sie getrennt gefragt. Zurück kommen die abgelesenen Umsätze; die Anwendung rechnet sie gegen die Salden des Auszugs und übernimmt sie nur, wenn Anfangssaldo, Gutschriften und Belastungen auf den Cent den Endsaldo ergeben. Wer stattdessen eine CSV-, CAMT.053- oder MT940-Datei seiner Bank verwendet, übermittelt nichts: diese Formate liest die Anwendung selbst.

Was nicht übermittelt wird. Ihre Buchungen, Auswertungen, Kontakte, Bankverbindungen und Benutzerkonten. Die Umsätze Ihrer Kontoauszüge bleiben ebenfalls hier, solange Sie Ihre Auszüge als CSV-, CAMT.053- oder MT940-Datei einspielen – auch beim eben beschriebenen Zuordnen der Spalten. Sie verlassen die Anwendung nur, wenn Sie einen Auszug als PDF hochladen und die Funktion dafür eingeschaltet haben. Belege, die Sie vor dem Einschalten hochgeladen haben, werden nicht nachträglich übermittelt.

Wozu. Ausschließlich, um die Felder des Belegs auszulesen und Ihnen als Vorschlag anzuzeigen. Anthropic verwendet die übermittelten Belege nicht zum Trainieren von Modellen. Gebucht wird nichts ohne Ihre Bestätigung.

Rechtsgrundlage. Art 6 Abs 1 lit b DSGVO – die Verarbeitung erfolgt zur Erfüllung des Vertrags, den Sie mit uns geschlossen haben, in der von Ihnen gewählten Ausgestaltung.

Was wir protokollieren. Zu jedem Beleg und zu jedem Kontoauszug, der ausgelesen wurde: Zeitpunkt, verwendetes Modell und die dabei angefallenen Kosten. Jede Ihrer beiden Entscheidungen wird mit Zeitpunkt, Benutzerkonto und der Fassung des Hinweistextes festgehalten, den Sie dabei gesehen haben.

Wenn Sie keine Übermittlung in die Vereinigten Staaten wollen, lassen Sie die Funktion ausgeschaltet – die Anwendung ist ohne sie vollständig benutzbar.

Übermittlung in Drittländer

Vier der eingesetzten Dienstleister verarbeiten in den Vereinigten Staaten oder können es:

Worauf sich die Übermittlung stützt. Die Europäische Kommission hat am 10. Juli 2023 festgestellt, dass Unternehmen in den Vereinigten Staaten, die sich dem EU-US-Datenschutzrahmen unterworfen haben, ein angemessenes Schutzniveau bieten (Art 45 DSGVO). Google, Cloudflare und Microsoft sind danach zertifiziert. Ergänzend und für alle Fälle, die davon nicht erfasst sind, gelten die Standardvertragsklauseln der Europäischen Kommission (Art 46 Abs 2 lit c DSGVO); auf sie stützt sich auch die Übermittlung an Anthropic.

Was Sie dazu wissen sollten. Dieser Angemessenheitsbeschluss ist in Kraft, seine Grundlage ist aber seit Kurzem strittig, und wir halten es für richtig, das hier zu schreiben statt es wegzulassen:

• Der Beschluss beruft sich in weiten Teilen darauf, dass die US-Handelsbehörde FTC unabhängig von der Regierung arbeitet und die Zusagen der zertifizierten Unternehmen durchsetzt.
• Der Oberste Gerichtshof der Vereinigten Staaten hat am 29. Juni 2026 in der Sache Trump v. Slaughter entschieden, dass diese Unabhängigkeit nicht besteht.
• Der Europäische Datenschutzausschuss hat die Europäische Kommission am 31. Juli 2026 schriftlich um eine Überprüfung des Beschlusses ersucht.
• Die Kommission hat darüber nicht entschieden. Der Beschluss gilt, bis sie ihn aufhebt oder der Gerichtshof der Europäischen Union ihn für ungültig erklärt.

Unabhängig davon gilt, was für Drittländer allgemein gilt: ein Schutzniveau, das dem europäischen vollständig entspricht, lässt sich für sie nicht garantieren. Es bestehen dort Zugriffsbefugnisse von Behörden, gegen die europäische Rechtsbehelfe nur eingeschränkt wirken.

Wird der Beschluss aufgehoben oder ausgesetzt, prüfen wir jede dieser Übermittlungen neu und stellen um oder schalten ab. Bis dahin ist die Wahl in zwei Fällen Ihre: die Reichweitenmessung läuft nur mit Ihrer Zustimmung, die KI-Belegerkennung nur auf Ihre Einschaltung hin.

Innerhalb der Union bleibt außerdem das Bestätigungsverfahren für UID-Nummern (VIES) der Europäischen Kommission – kein Drittland; übermittelt werden nur die abzufragende UID-Nummer und Ihre eigene.

Wann wir Daten weitergeben

Nur in diesen Fällen:

• an die in Anlage 3 des Auftragsverarbeitungsvertrags genannten Dienstleister, soweit sie für den Betrieb nötig sind
• an Google Ireland Limited, wenn und solange Sie auf der Website der Reichweitenmessung zugestimmt haben
• an Stripe Payments Europe, Limited, soweit für die Abwicklung Ihrer Zahlung nötig
• an Sendinblue SAS („Brevo") zur Zustellung der System-E-Mails der Anwendung – übermittelt werden E-Mail-Adresse, Name und der Inhalt der jeweiligen Nachricht
• an Anthropic, wenn und solange Sie die KI-Belegerkennung eingeschaltet haben – und dann nur die Belege, die Sie hochladen, sowie beim Import eines Kontoauszugs mit unbekannten Spalten dessen Überschriften und drei maskierte Beispielzeilen
• wenn Sie uns dazu auffordern
• wenn wir gesetzlich dazu verpflichtet sind, etwa gegenüber einer Behörde mit gültiger Anordnung

Wir verkaufen keine Daten. Wir werten Ihre Buchhaltung nicht aus – weder für Statistik noch zum Training von Software.

Wie lange wir Daten behalten

Nach einer Kündigung wird nichts sofort gelöscht. Der Zugang wird auf Lesen umgestellt, die Daten bleiben abrufbar und exportierbar, und erst nach Ablauf der Aufbewahrungsfrist werden sie endgültig entfernt. Beides ist Absicht: früher zu löschen würde Ihnen Unterlagen nehmen, die Sie dem Finanzamt schulden; später zu löschen wäre ohne Rechtsgrundlage.

Nach der endgültigen Löschung bleibt von Ihrem Mandanten nur eine Kennung ohne Personenbezug samt Löschdatum übrig – damit wir belegen können, dass fristgerecht gelöscht wurde.

Ihre Rechte

Sie können jederzeit verlangen:

• Auskunft darüber, welche Daten wir über Sie verarbeiten (Art 15 DSGVO). Den größten Teil bekommen Sie sofort selbst: der Vollexport unter „Einstellungen → Daten und Datenschutz" enthält alles.
• Berichtigung unrichtiger Daten (Art 16 DSGVO). Ihre Stammdaten können Sie selbst ändern.
• Löschung (Art 17 DSGVO). Sie geht der gesetzlichen Aufbewahrungspflicht nach: solange § 132 BAO die Aufbewahrung verlangt, können wir Buchhaltungsdaten nicht löschen – Art 17 Abs 3 lit b DSGVO sieht das ausdrücklich so vor. Nach Ablauf der Frist löschen wir ohne weiteres Zutun.
• Einschränkung der Verarbeitung (Art 18 DSGVO).
• Datenübertragbarkeit (Art 20 DSGVO). Der Vollexport enthält alle Daten in einem gängigen, maschinenlesbaren Format samt Beschreibung.
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art 21 DSGVO).
• Widerruf einer Zustimmung (Art 7 Abs 3 DSGVO). Für die Reichweitenmessung über „Cookie-Einstellungen" im Fußbereich der Website, für die KI-Belegerkennung unter „Einstellungen → Belegerkennung". Der Widerruf wirkt ab sofort, nicht rückwirkend.

Schreiben Sie dazu an [email protected]. Wir antworten innerhalb eines Monats.

Beschwerde: Sie können sich jederzeit bei der Österreichischen Datenschutzbehörde beschweren (Barichgasse 40–42, 1030 Wien, [email protected]).

Wie wir die Daten schützen

• Übertragung ausschließlich verschlüsselt (TLS)
• Passwörter mit scrypt gehasht, niemals im Klartext gespeichert
• Sitzungen über kurzlebige Zugriffstokens und ein Cookie, das bei jeder Erneuerung wechselt
• Jede Datenbankabfrage ist auf einen Mandanten eingeschränkt; Daten verschiedener Kunden können einander nicht sehen
• Verschlüsselte Sicherungen, regelmäßig auf Wiederherstellbarkeit geprüft
• Zugriff durch Mitarbeitende des Betreibers nur, soweit für Betrieb und Fehlersuche nötig, und protokolliert

Die vollständige Aufstellung steht in Anlage 2 des Auftragsverarbeitungsvertrags.

Wenn etwas schiefgeht

Wird bekannt, dass Daten unbefugt eingesehen, verändert oder verloren wurden, melden wir das innerhalb von 72 Stunden der Datenschutzbehörde (Art 33 DSGVO) und benachrichtigen Sie unverzüglich, wenn ein hohes Risiko für Sie besteht (Art 34 DSGVO). Betrifft der Vorfall Daten, für die Sie verantwortlich sind, informieren wir Sie ohne schuldhaftes Zögern, damit Sie Ihrer eigenen Meldepflicht nachkommen können.

Änderungen dieser Erklärung

Ändert sich etwas Wesentliches, bekommen Sie eine neue Fassung zur Kenntnis, bevor sie gilt. Die jeweils gültige Fassung ist oben datiert. Frühere Fassungen und der Zeitpunkt Ihrer Zustimmung bleiben bei uns gespeichert.