Datenschutzerklärung

Fassung: 2026-08-11

Diese Erklärung sagt Ihnen, welche Daten wir verarbeiten, warum wir das dürfen, wie lange wir sie behalten und was Sie von uns verlangen können. Sie ist nach Art 13 und 14 der Datenschutz-Grundverordnung (DSGVO) geschrieben.

Sie gilt für die Website easyrechnung.at, auf der Sie lesen, was das Werkzeug kann und was es kostet, und für die Anwendung app.easyrechnung.at, in der Sie Ihre Buchhaltung führen. Wo sich die beiden unterscheiden, steht es im jeweiligen Abschnitt. Der wichtigste Unterschied gleich hier: Auf der Website wird die Reichweite gemessen, wenn Sie zustimmen. In der Anwendung wird nichts gemessen, und hinter der Anmeldung läuft kein Skript eines Dritten.

Wer für Ihre Daten verantwortlich ist

Florian Untermoser
Gartenweg 16, 9061 Klagenfurt am Wörthersee, Österreich
E-Mail: [email protected]

Datenschutzbeauftragte Stelle: offene Angabe: [? datenschutzbeauftragte Stelle – noch nicht festgelegt]

Für die Daten Ihrer Kunden und Lieferanten, die Sie in diese Anwendung eintragen, sind Sie verantwortlich, nicht wir. Wir verarbeiten sie ausschließlich in Ihrem Auftrag. Das regelt der Auftragsverarbeitungsvertrag, den Sie bei der Einrichtung geschlossen haben und der jederzeit unter „Datenschutz" abrufbar ist.

Zwei Rollen, zwei Regelwerke

Es ist wichtig, das auseinanderzuhalten, weil sich daraus unterschiedliche Rechte und Pflichten ergeben:

Wenn ein Kunde von Ihnen wissen will, welche Daten über ihn gespeichert sind, ist das Ihre Auskunft, nicht unsere. Sie können sie über den Vollexport oder direkt in der Anwendung erteilen.

Was beim Aufruf einer Seite anfällt

Jeder Aufruf – auf der Website wie in der Anwendung – hinterlässt in den Protokollen des Servers: IP-Adresse, Zeitpunkt, aufgerufene Adresse, die Seite, von der Sie kamen, den Statuscode der Antwort, die übertragene Datenmenge und die Kennung Ihres Browsers. Das lässt sich nicht abschalten, denn ohne diese Angaben kommt die Antwort nicht bei Ihnen an.

Wir verwenden diese Protokolle, um Störungen zu finden und Angriffe zu erkennen. Wir führen sie nicht mit anderen Daten zusammen und werten sie nicht nach Personen aus.

Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO – unser berechtigtes Interesse an einem erreichbaren und abgesicherten Auftritt. Ein entgegenstehendes Interesse Ihrerseits ist uns nicht erkennbar, weil die Protokolle nach 30 Tagen verfallen und dazwischen niemand sie durchsieht.

Aufbewahrung: 30 Tage.

Auslieferung über Cloudflare

Hier unterscheiden sich Website und Anwendung, und der Unterschied ist der wichtigste in dieser Erklärung.

Auf der Website steht Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, zwischen Ihrem Browser und unserem Server. Cloudflare nimmt Ihre Anfrage entgegen, liefert unveränderliche Inhalte aus einem Rechenzentrum in Ihrer Nähe aus und wehrt Überlastungs- und Missbrauchsangriffe ab. Dabei sieht Cloudflare dieselben Angaben wie unser Server: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung sowie technische Merkmale der verschlüsselten Verbindung. Für die Angriffserkennung setzt Cloudflare eigene Cookies; sie sind technisch notwendig und in der Aufstellung weiter unten genannt.

In der Anwendung übernimmt Cloudflare nur die Namensauflösung: Ihr Browser fragt dort nach, unter welcher Adresse app.easyrechnung.at zu erreichen ist, und verbindet sich dann unmittelbar mit unserem Server. Die verschlüsselte Verbindung endet bei uns. Ihre Anmeldung, Ihre Belege und Ihre Buchungen laufen daher über keinen fremden Server, und niemand außer uns sieht, dass und von wo Sie zugreifen.

Cloudflare ist unser Auftragsverarbeiter nach Art 28 DSGVO. Das Unternehmen betreibt ein weltweites Netz; Anfragen aus Europa werden im Regelfall in einem europäischen Rechenzentrum bearbeitet, ein Zugriff aus den Vereinigten Staaten ist aber nicht ausgeschlossen. Was das rechtlich bedeutet, steht unten unter „Übermittlung in Drittländer".

Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO.

Cookies und das Zustimmungsbanner

Ein Cookie ist eine kleine Datei, die eine Website in Ihrem Browser ablegt. Das Speichern von Informationen auf Ihrem Gerät und der Zugriff darauf brauchen nach § 165 Abs 3 TKG 2021 Ihre Zustimmung. Ausgenommen sind Cookies, die für die Übertragung der Nachricht oder für einen von Ihnen ausdrücklich angeforderten Dienst unbedingt erforderlich sind.

Danach richten wir uns:

• Ohne Ihre Zustimmung setzt die Website nur, was unbedingt erforderlich ist: die Sicherheits-Cookies von Cloudflare und einen Eintrag im lokalen Speicher Ihres Browsers, der Ihre Entscheidung über dieses Banner festhält. Ohne den müssten wir Sie bei jedem Seitenaufruf erneut fragen.
• Erst mit Ihrer Zustimmung wird die Reichweitenmessung geladen. Vorher wird kein Skript von Google angefordert, kein Cookie von Google gesetzt und keine Verbindung zu einem Server von Google hergestellt. Auch keine verkürzte, keine „cookielose".
• In der Anwendung gibt es kein Banner, weil es nichts zu fragen gibt: Dort werden nur die beiden Cookies gesetzt, die Sie angemeldet halten. Beide sind für den von Ihnen angeforderten Dienst unbedingt erforderlich und daher nach § 165 Abs 3 TKG 2021 zustimmungsfrei.

Das Banner bietet Zustimmen und Ablehnen mit demselben Aufwand an, auf derselben Ebene. Nichts ist vorausgewählt. Sie können Ihre Entscheidung jederzeit über „Cookie-Einstellungen" im Fußbereich jeder Seite ändern; der Widerruf gilt ab dem Zeitpunkt des Widerrufs und lässt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt (Art 7 Abs 3 DSGVO).

Ihre Entscheidung halten wir fest – Zeitpunkt, was Sie gewählt haben und in welcher Fassung Ihnen das Banner angezeigt wurde. Ohne diesen Nachweis könnten wir die Zustimmung nicht belegen (Art 7 Abs 1 DSGVO).

Reichweitenmessung: Google Tag Manager und Google Analytics 4

Nur mit Ihrer Zustimmung. Lehnen Sie ab oder entscheiden Sie gar nicht, unterbleibt dieser Abschnitt vollständig.

Was eingesetzt wird. Der Google Tag Manager lädt nach Ihrer Zustimmung Google Analytics 4. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, für uns tätig als Auftragsverarbeiter auf Grundlage der „Google Ads Data Processing Terms".

Was gemessen wird. Welche Seiten Sie aufrufen und in welcher Reihenfolge, über welchen Weg Sie zu uns gekommen sind, wie lange Sie bleiben, welches Gerät, welchen Browser und welches Betriebssystem Sie verwenden, und aus welcher Stadt der Aufruf ungefähr kommt. Dazu wird in Ihrem Browser eine zufällige Kennung abgelegt, an der wiederkehrende Besuche als derselbe Besuch erkannt werden.

Was nicht gemessen wird. Google Analytics speichert nach Angaben des Anbieters für Besucher aus dem Europäischen Wirtschaftsraum, der Schweiz und dem Vereinigten Königreich keine einzelnen IP-Adressen; sie werden auf europäischen Servern verworfen, bevor die Daten protokolliert werden. Wir übergeben an Google keinen Namen, keine E-Mail-Adresse und keine Kennung aus Ihrem Benutzerkonto. Die Verknüpfung mit angemeldeten Google-Konten („Google Signals") ist abgeschaltet, ebenso die Weitergabe an Google Ads und die Freigabe der Daten an Google zu eigenen Zwecken.

Wozu. Um zu sehen, welche Seiten gelesen werden und welche nicht, und ob Änderungen an der Website etwas bewirken. Wir bilden daraus keine Profile und richten keine Werbung danach aus.

Rechtsgrundlage: Art 6 Abs 1 lit a DSGVO und § 165 Abs 3 TKG 2021 – Ihre Zustimmung.

Aufbewahrung: Die Ereignisdaten werden bei Google nach zwei Monaten gelöscht. Die Cookies laufen nach zwei Jahren ab, sofern Sie sie nicht vorher löschen.

Übermittlung in die Vereinigten Staaten: Google Ireland Limited setzt Google LLC in den Vereinigten Staaten als weiteren Auftragsverarbeiter ein. Lesen Sie dazu den Abschnitt „Übermittlung in Drittländer" – dort steht auch, warum diese Grundlage derzeit umstritten ist.

Welche Cookies gesetzt werden

Auf der Website:

In der Anwendung:

Beide sind vor dem Auslesen durch Skripte geschützt und werden nur an die Anmeldeschnittstelle mitgeschickt, nicht an jeden Aufruf.

Weitere Cookies gibt es nicht, und in der Anwendung gibt es keine Analysedienste, keine Werbenetzwerke und kein Tracking über andere Seiten hinweg. Es sind keine Schriftarten, Karten, Videos, Schaltflächen sozialer Netze und keine Bibliotheken von fremden Servern eingebunden; die Schriftdateien liegen auf unserem eigenen Server.

Wenn Sie uns schreiben

Schreiben Sie an [email protected], verarbeiten wir Ihre Nachricht samt Absenderadresse und allem, was Sie hineinschreiben, um sie zu beantworten.

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO, wenn es um einen Vertrag mit uns geht, sonst Art 6 Abs 1 lit f DSGVO – unser Interesse daran, auf Anfragen zu antworten.

Aufbewahrung: bis die Sache erledigt ist, danach längstens drei Jahre; entsteht daraus ein Vertrag oder ein Beleg, gilt § 132 BAO.

Das Postfach betreibt für uns die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (Microsoft 365, Exchange Online) als Auftragsverarbeiter. Sie setzt die Microsoft Corporation in den Vereinigten Staaten als weiteren Auftragsverarbeiter ein; die Inhalte des Postfachs werden nach der Zusage von Microsoft zur EU-Datengrenze in der Europäischen Union gespeichert, ein Zugriff aus den Vereinigten Staaten – etwa zur Fehlerbehebung – ist aber nicht ausgeschlossen. Näheres im Abschnitt „Übermittlung in Drittländer".

Ein Formular gibt es auf der Website nicht. Richten wir später eines ein, steht es hier, bevor es in Betrieb geht.

Die Registrierung findet nicht auf der Website statt, sondern in der Anwendung. Was dabei verarbeitet wird, steht weiter unten unter „Ihr Benutzerkonto".

Ihr Benutzerkonto

Name, E-Mail-Adresse, ein Passwort-Hash (nie das Passwort selbst), Ihre Rolle im Unternehmen sowie Zeitpunkt der letzten Anmeldung.

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO – ohne diese Daten gibt es keinen Zugang und damit keinen Vertrag.

System-E-Mails und bekannte Geräte

Die Anwendung schreibt Ihnen in wenigen, benannten Fällen: zur Bestätigung Ihrer E-Mail-Adresse, mit einem Anmeldecode, wenn Sie sich von einem unbekannten Gerät anmelden, bei Änderungen an Passwort oder Anmeldung, als Erinnerung an eine bevorstehende UVA-Frist und als monatliche Zusammenfassung Ihrer Zahlen. Erinnerung und Zusammenfassung lassen sich in den Einstellungen abschalten; die Nachrichten, die den Zugang zu Ihrem Konto sichern, nicht.

Zugestellt werden diese Nachrichten über Sendinblue SAS („Brevo"), Frankreich; die Verarbeitung findet in der Europäischen Union statt. Übermittelt werden dafür Ihre E-Mail-Adresse, Ihr Name und der Inhalt der jeweiligen Nachricht. Wir protokollieren zu jeder Nachricht Empfänger, Betreff und ob die Zustellung gelungen ist – nicht ihren Inhalt.

Damit die Anmeldung von einem unbekannten Gerät erkannt werden kann, merkt sich die Anwendung die Geräte, mit denen Sie sich angemeldet haben: eine zufällige Gerätekennung (als Prüfwert), die Browserkennung sowie die erste und die letzte IP-Adresse.

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO – die Nachrichten und die Geräteliste sichern den Zugang zu Ihrem Konto und gehören zum Dienst; die abschaltbaren Nachrichten versenden wir nur, solange Sie sie nicht abgeschaltet haben.

Ihre Firmendaten

Firmenwortlaut, Anschrift, UID-Nummer, Steuernummer, Finanzamt, Bankverbindung, Logo. Diese Daten stehen auf den Rechnungen, die die Anwendung für Sie erzeugt.

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO.

Das Änderungsprotokoll

Bei jeder Änderung an gebuchten Daten halten wir fest, wer sie wann und von welcher IP-Adresse vorgenommen hat, samt Vorher- und Nachher-Stand. Das ist keine Überwachung, sondern eine Auflage: § 131 BAO verlangt, dass Änderungen an Buchhaltungsdaten nachvollziehbar bleiben.

Das ist etwas anderes als die technischen Serverprotokolle oben: Diese hier gehören zu Ihren Büchern, werden mit ihnen aufbewahrt und nicht nach 30 Tagen gelöscht.

Rechtsgrundlage: Art 6 Abs 1 lit c DSGVO (§§ 131, 132 BAO).

Zustimmung zu den Vertragsdokumenten

Wenn Sie den Nutzungsbedingungen, dieser Erklärung oder dem Auftragsverarbeitungsvertrag zustimmen, speichern wir welches Dokument in welcher Fassung, den Prüfwert des genauen Textes, Zeitpunkt, IP-Adresse und Browserkennung.

Rechtsgrundlage: Art 6 Abs 1 lit c in Verbindung mit Art 5 Abs 2 DSGVO – wir müssen die Zustimmung nachweisen können.

Entgelt und Zahlung

Das Entgelt wickeln wir über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland ab.

Was Stripe bekommt: Ihren Namen und Firmenwortlaut, Ihre Anschrift, Ihre E-Mail-Adresse, den Betrag und den Zeitpunkt. Ihre Zahlungsdaten geben Sie bei Stripe ein, nicht bei uns. Kartennummern und Kontodaten erreichen unsere Server nicht; wir erfahren nur, ob eine Zahlung zustande gekommen ist.

Rollen: Für die Abwicklung in unserem Auftrag ist Stripe Auftragsverarbeiter. Für die Betrugserkennung, die Geldwäscheprävention und die Erfüllung eigener aufsichtsrechtlicher Pflichten ist Stripe eigener Verantwortlicher; diesen Teil können wir weder anweisen noch abstellen. Wie Stripe damit umgeht, steht in dessen eigener Datenschutzerklärung.

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO für die Abwicklung, Art 6 Abs 1 lit c DSGVO in Verbindung mit § 132 BAO und § 11 UStG für die Aufbewahrung der Rechnung, die wir Ihnen stellen.

Wo Ihre Daten liegen

Ihre Buchhaltung liegt auf Servern in Nürnberg, Deutschland, betrieben von der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland.

Die Reichweitenmessung, die weiter oben beschrieben ist, betrifft ausschließlich die Website. Hinter der Anmeldung wird kein Skript von Google geladen.

Ihre Buchungen, Auswertungen, Kontakte, Bankverbindungen und Belege verlassen den Europäischen Wirtschaftsraum nicht – mit einer einzigen Ausnahme, und die schalten Sie selbst ein: die KI-Belegerkennung im nächsten Abschnitt.

Welche Dienstleister an der Verarbeitung beteiligt sind, steht in Anlage 3 des Auftragsverarbeitungsvertrags. Alle sind vertraglich nach Art 28 DSGVO gebunden.

KI-Belegerkennung (nur wenn Sie sie einschalten)

Sie können Belege automatisch auslesen lassen. Diese Funktion ist ab Werk ausgeschaltet. Sie schalten sie unter „Einstellungen → Belegerkennung" ein, und Sie können sie dort jederzeit wieder ausschalten.

Was übermittelt wird. Solange die Funktion eingeschaltet ist, wird der Text jedes Belegs, den Sie hochladen, an Anthropic übermittelt und dort von einem Sprachmodell ausgelesen. Vertragspartner für Kunden im Europäischen Wirtschaftsraum ist Anthropic Ireland, Limited; die Verarbeitung selbst führt Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA durch. Enthält eine Datei keinen Text – etwa ein Foto oder ein eingescannter Beleg –, wird die Datei selbst übermittelt. Auf einem Beleg stehen regelmäßig auch Ihr Name, Ihre Anschrift, Ihre UID-Nummer und die Daten Ihres Geschäftspartners; sie werden mitübermittelt, weil sie Teil des Belegs sind.

Was nicht übermittelt wird. Ihre Buchungen, Auswertungen, Kontakte, Bankverbindungen, Kontoauszüge und Benutzerkonten. Belege, die Sie vor dem Einschalten hochgeladen haben, werden nicht nachträglich übermittelt.

Wozu. Ausschließlich, um die Felder des Belegs auszulesen und Ihnen als Vorschlag anzuzeigen. Anthropic verwendet die übermittelten Belege nicht zum Trainieren von Modellen. Gebucht wird nichts ohne Ihre Bestätigung.

Rechtsgrundlage. Art 6 Abs 1 lit b DSGVO – die Verarbeitung erfolgt zur Erfüllung des Vertrags, den Sie mit uns geschlossen haben, in der von Ihnen gewählten Ausgestaltung.

Was wir protokollieren. Zu jedem Beleg, der ausgelesen wurde: Zeitpunkt, verwendetes Modell und die dabei angefallenen Kosten. Ihre Entscheidung selbst wird mit Zeitpunkt, Benutzerkonto und der Fassung des Hinweistextes festgehalten, den Sie dabei gesehen haben.

Wenn Sie keine Übermittlung in die Vereinigten Staaten wollen, lassen Sie die Funktion ausgeschaltet – die Anwendung ist ohne sie vollständig benutzbar.

Übermittlung in Drittländer

Vier der eingesetzten Dienstleister verarbeiten in den Vereinigten Staaten oder können es:

Worauf sich die Übermittlung stützt. Die Europäische Kommission hat am 10. Juli 2023 festgestellt, dass Unternehmen in den Vereinigten Staaten, die sich dem EU-US-Datenschutzrahmen unterworfen haben, ein angemessenes Schutzniveau bieten (Art 45 DSGVO). Google, Cloudflare und Microsoft sind danach zertifiziert. Ergänzend und für alle Fälle, die davon nicht erfasst sind, gelten die Standardvertragsklauseln der Europäischen Kommission (Art 46 Abs 2 lit c DSGVO); auf sie stützt sich auch die Übermittlung an Anthropic.

Was Sie dazu wissen sollten. Dieser Angemessenheitsbeschluss ist in Kraft, seine Grundlage ist aber seit Kurzem strittig, und wir halten es für richtig, das hier zu schreiben statt es wegzulassen:

• Der Beschluss beruft sich in weiten Teilen darauf, dass die US-Handelsbehörde FTC unabhängig von der Regierung arbeitet und die Zusagen der zertifizierten Unternehmen durchsetzt.
• Der Oberste Gerichtshof der Vereinigten Staaten hat am 29. Juni 2026 in der Sache Trump v. Slaughter entschieden, dass diese Unabhängigkeit nicht besteht.
• Der Europäische Datenschutzausschuss hat die Europäische Kommission am 31. Juli 2026 schriftlich um eine Überprüfung des Beschlusses ersucht.
• Die Kommission hat darüber nicht entschieden. Der Beschluss gilt, bis sie ihn aufhebt oder der Gerichtshof der Europäischen Union ihn für ungültig erklärt.

Unabhängig davon gilt, was für Drittländer allgemein gilt: ein Schutzniveau, das dem europäischen vollständig entspricht, lässt sich für sie nicht garantieren. Es bestehen dort Zugriffsbefugnisse von Behörden, gegen die europäische Rechtsbehelfe nur eingeschränkt wirken.

Wird der Beschluss aufgehoben oder ausgesetzt, prüfen wir jede dieser Übermittlungen neu und stellen um oder schalten ab. Bis dahin ist die Wahl in zwei Fällen Ihre: die Reichweitenmessung läuft nur mit Ihrer Zustimmung, die KI-Belegerkennung nur auf Ihre Einschaltung hin.

Innerhalb der Union bleibt außerdem das Bestätigungsverfahren für UID-Nummern (VIES) der Europäischen Kommission – kein Drittland; übermittelt werden nur die abzufragende UID-Nummer und Ihre eigene.

Wann wir Daten weitergeben

Nur in diesen Fällen:

• an die in Anlage 3 des Auftragsverarbeitungsvertrags genannten Dienstleister, soweit sie für den Betrieb nötig sind
• an Google Ireland Limited, wenn und solange Sie auf der Website der Reichweitenmessung zugestimmt haben
• an Stripe Payments Europe, Limited, soweit für die Abwicklung Ihrer Zahlung nötig
• an Sendinblue SAS („Brevo") zur Zustellung der System-E-Mails der Anwendung – übermittelt werden E-Mail-Adresse, Name und der Inhalt der jeweiligen Nachricht
• an Anthropic, wenn und solange Sie die KI-Belegerkennung eingeschaltet haben – und dann nur die Belege, die Sie hochladen
• wenn Sie uns dazu auffordern
• wenn wir gesetzlich dazu verpflichtet sind, etwa gegenüber einer Behörde mit gültiger Anordnung

Wir verkaufen keine Daten. Wir werten Ihre Buchhaltung nicht aus – weder für Statistik noch zum Training von Software.

Wie lange wir Daten behalten

Nach einer Kündigung wird nichts sofort gelöscht. Der Zugang wird auf Lesen umgestellt, die Daten bleiben abrufbar und exportierbar, und erst nach Ablauf der Aufbewahrungsfrist werden sie endgültig entfernt. Beides ist Absicht: früher zu löschen würde Ihnen Unterlagen nehmen, die Sie dem Finanzamt schulden; später zu löschen wäre ohne Rechtsgrundlage.

Nach der endgültigen Löschung bleibt von Ihrem Mandanten nur eine Kennung ohne Personenbezug samt Löschdatum übrig – damit wir belegen können, dass fristgerecht gelöscht wurde.

Ihre Rechte

Sie können jederzeit verlangen:

• Auskunft darüber, welche Daten wir über Sie verarbeiten (Art 15 DSGVO). Den größten Teil bekommen Sie sofort selbst: der Vollexport unter „Einstellungen → Daten und Datenschutz" enthält alles.
• Berichtigung unrichtiger Daten (Art 16 DSGVO). Ihre Stammdaten können Sie selbst ändern.
• Löschung (Art 17 DSGVO). Sie geht der gesetzlichen Aufbewahrungspflicht nach: solange § 132 BAO die Aufbewahrung verlangt, können wir Buchhaltungsdaten nicht löschen – Art 17 Abs 3 lit b DSGVO sieht das ausdrücklich so vor. Nach Ablauf der Frist löschen wir ohne weiteres Zutun.
• Einschränkung der Verarbeitung (Art 18 DSGVO).
• Datenübertragbarkeit (Art 20 DSGVO). Der Vollexport enthält alle Daten in einem gängigen, maschinenlesbaren Format samt Beschreibung.
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art 21 DSGVO).
• Widerruf einer Zustimmung (Art 7 Abs 3 DSGVO). Für die Reichweitenmessung über „Cookie-Einstellungen" im Fußbereich der Website, für die KI-Belegerkennung unter „Einstellungen → Belegerkennung". Der Widerruf wirkt ab sofort, nicht rückwirkend.

Schreiben Sie dazu an [email protected]. Wir antworten innerhalb eines Monats.

Beschwerde: Sie können sich jederzeit bei der Österreichischen Datenschutzbehörde beschweren (Barichgasse 40–42, 1030 Wien, [email protected]).

Wie wir die Daten schützen

• Übertragung ausschließlich verschlüsselt (TLS)
• Passwörter mit scrypt gehasht, niemals im Klartext gespeichert
• Sitzungen über kurzlebige Zugriffstokens und ein Cookie, das bei jeder Erneuerung wechselt
• Jede Datenbankabfrage ist auf einen Mandanten eingeschränkt; Daten verschiedener Kunden können einander nicht sehen
• Verschlüsselte Sicherungen, regelmäßig auf Wiederherstellbarkeit geprüft
• Zugriff durch Mitarbeitende des Betreibers nur, soweit für Betrieb und Fehlersuche nötig, und protokolliert

Die vollständige Aufstellung steht in Anlage 2 des Auftragsverarbeitungsvertrags.

Wenn etwas schiefgeht

Wird bekannt, dass Daten unbefugt eingesehen, verändert oder verloren wurden, melden wir das innerhalb von 72 Stunden der Datenschutzbehörde (Art 33 DSGVO) und benachrichtigen Sie unverzüglich, wenn ein hohes Risiko für Sie besteht (Art 34 DSGVO). Betrifft der Vorfall Daten, für die Sie verantwortlich sind, informieren wir Sie ohne schuldhaftes Zögern, damit Sie Ihrer eigenen Meldepflicht nachkommen können.

Änderungen dieser Erklärung

Ändert sich etwas Wesentliches, bekommen Sie eine neue Fassung zur Kenntnis, bevor sie gilt. Die jeweils gültige Fassung ist oben datiert. Frühere Fassungen und der Zeitpunkt Ihrer Zustimmung bleiben bei uns gespeichert.