Datenschutzerklärung

Datenschutzerklärung von beleglos Stand: November 2026 Wir nehmen den Schutz deiner Daten ernst. Hier erfährst du, welche Daten beleglos verarbeitet, wozu, auf welcher Rechtsgrundlage und an wen sie gehen. 1. Verantwortlicher Dominik Herde beleglos – ein STAB-Produkt Bahnhofstraße 41/1 71063 Sindelfingen E-Mail: dominik@rocketai.cloud Ein Datenschutzbeauftragter ist nicht benannt, weil keine gesetzliche Pflicht dazu besteht. Fragen zum Datenschutz richtest du bitte an die oben genannte E-Mail-Adresse. 2. Hosting und Server-Protokolle beleglos läuft auf einem Server der Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaka, Zypern. Der Server steht in einem Rechenzentrum in Frankfurt am Main, Deutschland. Mit Hostinger besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Beim Aufruf der Website verarbeitet der Server technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser und Betriebssystem. Das ist nötig, um die Seite auszuliefern und ihre Sicherheit zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO). Diese Protokolldaten werden nur so lange gespeichert, wie es für Betrieb, Fehleranalyse und Missbrauchsabwehr erforderlich ist, und nicht mit anderen Daten zusammengeführt. Alle Verbindungen sind per TLS verschlüsselt. Schriften und Programmteile werden von unserem eigenen Server geladen; es werden keine Inhalte von Drittanbietern (etwa Google Fonts) nachgeladen. 3. Keine Analyse- und Werbe-Tracker beleglos setzt keine Analyse-, Tracking- oder Werbedienste ein und bindet keine Social-Media-Plugins ein. Wenn du über einen Kampagnenlink (zum Beispiel aus einem Newsletter oder einem Social-Media-Beitrag) auf unsere Seite kommst, enthält die Adresse eine Kennung wie „utm_source=newsletter“. Diese Kennung wird ohne Cookie über die Adresse an das Anmeldeformular weitergegeben und bei einer Registrierung an deinem Konto vermerkt. So erkennen wir, welche Kanäle für uns funktionieren (Art. 6 Abs. 1 lit. f DSGVO). Ohne Registrierung wird sie nicht gespeichert. 4. Cookies Wir verwenden ausschließlich technisch notwendige Cookies (§ 25 Abs. 2 Nr. 2 TDDDG): – bb_session: hält dich nach der Anmeldung angemeldet; Laufzeit bis zu 30 Tage oder bis zur Abmeldung. – bb_admin: nur für Administratoren der Plattform. Eine Einwilligung ist dafür nicht erforderlich; ohne diese Cookies ist eine Anmeldung nicht möglich. 5. Registrierung und Kundenkonto Für dein Konto verarbeiten wir Name, optional Firma, E-Mail-Adresse, Passwort (nur als sicherer Hash gespeichert), gewählten Tarif sowie Zeitpunkte von Registrierung und Anmeldungen. Zur Bestätigung deiner E-Mail-Adresse senden wir dir eine E-Mail. Rechtsgrundlage ist die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Zum Schutz vor Missbrauch begrenzen wir Anmelde- und Registrierungsversuche je IP-Adresse kurzzeitig (Art. 6 Abs. 1 lit. f DSGVO). 6. Deine Belege und Inhalte Kern von beleglos ist die Verarbeitung deiner Belege: hochgeladene oder fotografierte Dokumente, weitergeleitete E-Mails, Belege aus verbundenen Postfächern und daraus gelesene Angaben (Händler, Datum, Rechnungsnummer, Beträge, Steuer, Bankverbindung, Positionen), deine Zuordnungen, Spesenabrechnungen und Notizen. Belege können personenbezogene Daten Dritter enthalten, etwa Namen auf Bewirtungsbelegen. Nutzt du beleglos privat, verarbeiten wir diese Daten zur Erfüllung unseres Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO). Nutzt du beleglos für dein Unternehmen, verarbeiten wir die Inhalte als Auftragsverarbeiter in deinem Auftrag (Art. 28 DSGVO); es gilt der Vertrag zur Auftragsverarbeitung. Jedes Konto hat einen eigenen, von anderen Kunden getrennten Datenbereich. Zugangsdaten zu Postfächern, Bankverbindungen und angebundenen Diensten speichern wir verschlüsselt. 7. KI-Auswertung (Anthropic) Um Belege auszulesen, zuzuordnen und Duplikate zu erkennen, übermitteln wir Belegtexte und -bilder an die Claude-Schnittstelle der Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA. Anthropic verarbeitet die Daten in unserem Auftrag und verwendet sie nach seinen Bedingungen für kommerzielle Kunden nicht zum Training seiner Modelle. Da die Verarbeitung in den USA stattfinden kann, erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die KI trifft keine Entscheidungen mit rechtlicher Wirkung für dich (Art. 22 DSGVO); alle Vorschläge kannst du prüfen und ändern. 8. Postfächer verbinden Du kannst E-Mail-Postfächer verbinden, damit beleglos Rechnungen automatisch findet: – Gmail / Google Workspace über die Anmeldung bei Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). – Outlook / Microsoft 365 über die Anmeldung bei Microsoft (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland). – Andere Anbieter über IMAP mit deinen Zugangsdaten. beleglos liest neue Nachrichten und prüft, ob sie Rechnungen oder Belege enthalten. Als Beleg erkannte Nachrichten und ihre Anhänge werden gespeichert. Von anderen Nachrichten speichern wir nur Absender, Betreff und Datum, damit sie nicht erneut geprüft werden. Fehlt zu einer Abbuchung der Beleg, sucht beleglos gezielt nach passenden Nachrichten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Du kannst die Verbindung jederzeit in den Einstellungen trennen und den Zugriff zusätzlich in deinem Google- oder Microsoft-Konto widerrufen. Die Nutzung von Daten, die beleglos über Google-Schnittstellen erhält, entspricht der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Diese Daten werden nur für die Belegfunktionen von beleglos verwendet, nicht für Werbung, und nicht an Dritte weitergegeben – außer an die hier genannten Dienstleister, soweit für die Funktion erforderlich. Rechnungen, die nur über einen Link oder ein Kundenportal erreichbar sind, ruft beleglos auf deinen Wunsch beim jeweiligen Anbieter ab. Dabei erhält dieser Anbieter die IP-Adresse unseres Servers. 9. Ablage in Google Drive (optional) Wenn du Google Drive verbindest, legt beleglos Kopien deiner Belege in einem Ordner deines Drive ab. Anbieter ist Google Ireland Limited (Adresse siehe oben). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. 10. Bankanbindung (optional) Verbindest du ein Bankkonto, rufen wir Kontoumsätze lesend ab, um Zahlungen Belegen zuzuordnen, fehlende Belege zu erkennen und Spesen-Erstattungen abzuhaken. Dafür nutzen wir den Open-Banking-Dienst der YAXI GmbH, Deutschland. Die Anmeldung bei deiner Bank erfolgt direkt über diesen Dienst; Zahlungen werden über beleglos nicht ausgelöst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. 11. E-Mail-Versand Bestätigungs-, Hinweis- und Erinnerungs-E-Mails sowie Spesenabrechnungen, die du an Arbeitgeber oder Buchhaltung schickst, versenden wir über die E-Mail-Server der Hostinger International Ltd. (Adresse siehe oben). Empfänger einer Spesenabrechnung erhalten die von dir ausgewählten Belege und Angaben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. 12. Zahlungsabwicklung (Stripe) Kostenpflichtige Tarife bezahlst du über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Deine Zahlungsdaten gibst du direkt bei Stripe ein; wir erhalten nur Angaben zum Zahlungsstatus, zum Tarif und zur Rechnung. Stripe kann Daten auch in die USA übermitteln; Stripe ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO. 13. Zoho Invoice / Books (optional) Verbindest du Zoho, überträgt beleglos auf deinen Wunsch Belege und Buchungsdaten an dein Zoho-Konto bei der Zoho Corporation B.V., Beneluxlaan 4B, 3527 HT Utrecht, Niederlande. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. 14. Mitteilungen aufs Handy (optional) Erlaubst du Mitteilungen im Browser oder in der App, speichern wir eine Push-Adresse deines Geräts. Mitteilungen werden über den Push-Dienst deines Browser- bzw. Geräteherstellers zugestellt (etwa Google, Apple, Mozilla oder Microsoft). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit in den Einstellungen oder im Browser widerrufen kannst. 15. Speicherdauer Wir speichern deine Daten, solange dein Konto besteht. Belege und Inhalte kannst du jederzeit selbst löschen oder exportieren. Nach Ende des Vertrags löschen wir dein Konto und deine Inhalte, sobald sie nicht mehr benötigt werden, spätestens nach 90 Tagen – vorher kannst du alles exportieren. Daten, die wir aus steuer- und handelsrechtlichen Gründen aufbewahren müssen (etwa unsere Rechnungen an dich), speichern wir für die gesetzliche Frist von bis zu zehn Jahren (§ 147 AO, § 257 HGB). 16. Deine Rechte Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Eine formlose E-Mail an dominik@rocketai.cloud genügt. Widerspruchsrecht: Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart. 17. Pflicht zur Bereitstellung Für Registrierung und Nutzung brauchen wir Name, E-Mail-Adresse und Passwort. Ohne diese Angaben können wir kein Konto anlegen. Alle Verbindungen zu Postfächern, Banken und weiteren Diensten sind freiwillig. 18. Änderungen Wir passen diese Erklärung an, wenn sich beleglos oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.