[{"data":1,"prerenderedAt":446},["ShallowReactive",2],{"anleitung-wo-liegen-meine-daten":3,"anleitung-siblings-wo-liegen-meine-daten":265},{"id":4,"title":5,"body":6,"description":252,"draft":253,"extension":254,"howToSteps":255,"kategorie":256,"meta":257,"navigation":258,"order":259,"path":260,"readingTime":261,"seo":262,"stem":263,"updated":255,"__hash__":264},"anleitungen\u002Fanleitungen\u002Fwo-liegen-meine-daten.md","Wo deine Daten liegen und was mit ihnen passiert",{"type":7,"value":8,"toc":239},"minimark",[9,17,20,25,31,37,43,47,52,56,62,68,74,79,101,107,111,116,119,123,128,132,138,148,154,159,163,205,209],[10,11,12,16],"p",{},[13,14,15],"strong",{},"Kurze Antwort:"," Deine Daten liegen bei Supabase in Frankfurt am Main, verschlüsselt in Datenbank und Storage. Rechnungsdaten werden zur Extraktion einmalig an einen KI-Anbieter (Anthropic oder OpenAI, je nach Konfiguration) geschickt, ohne Speicherung dort. Alle Verarbeitungen laufen unter Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.",[10,18,19],{},"Die kurze Antwort deckt 90% der Fragen. Die restlichen Details helfen dir, wenn dein Datenschutzbeauftragter oder ein Kunde nachfragt.",[21,22,24],"h2",{"id":23},"datenbank-und-belegspeicher","Datenbank und Belegspeicher",[10,26,27,30],{},[13,28,29],{},"Anbieter:"," Supabase Inc., mit Auftragsdatenverarbeitung im EU-Rechenzentrum in Frankfurt am Main. Datenbank ist PostgreSQL, Storage ist S3-kompatibel. Beides verschlüsselt at-rest (AES-256), TLS 1.2+ in transit.",[10,32,33,36],{},[13,34,35],{},"Was liegt dort:"," deine Nutzerdaten, deine Betriebsdaten, alle Rechnungen (ein- und ausgehend), alle Anhänge, das Ereignisprotokoll, die Freigabestände.",[10,38,39,42],{},[13,40,41],{},"Backups:"," täglich, Point-in-Time-Recovery über 7 Tage. Backups liegen im selben Rechenzentrum wie die Primärdaten.",[21,44,46],{"id":45},"mail-empfang-und-versand","Mail-Empfang und Versand",[10,48,49,51],{},[13,50,29],{}," Resend (Drape, Inc.). Server im EU-Rechenzentrum. Mail-Metadaten (Absender, Empfänger, Zeitstempel) sowie Anhänge werden für die Zeit der Zustellung von Resend verarbeitet und danach nicht dauerhaft gespeichert. Für den Rückkanal (Bounces, Zustellprobleme) hält Resend Ereignisse etwa 30 Tage vor.",[21,53,55],{"id":54},"ki-extraktion-aus-pdf-rechnungen","KI-Extraktion aus PDF-Rechnungen",[10,57,58,61],{},[13,59,60],{},"Anbieter (je nach Konfiguration):"," Anthropic PBC (Modell Claude) oder OpenAI L.L.C. (Modell GPT-4o oder GPT-5). Der aktive Anbieter steht in der Verfahrensdokumentation.",[10,63,64,67],{},[13,65,66],{},"Was wird gesendet:"," die eingegangene PDF-Rechnung als Bild plus ein kurzer Prompt, der beschreibt, welche Felder extrahiert werden sollen.",[10,69,70,73],{},[13,71,72],{},"Was nicht gesendet wird:"," deine Nutzerdaten, deine Betriebsdaten, andere Rechnungen. Die KI sieht nur die konkrete Rechnung, die verarbeitet wird, und nichts weiter.",[10,75,76],{},[13,77,78],{},"Schutzmechanismen beim KI-Anbieter:",[80,81,82,89,95],"ul",{},[83,84,85,88],"li",{},[13,86,87],{},"Kein Training"," auf den Eingaben. Der API-Vertrag mit beiden Anbietern schließt Training auf Kundendaten aus.",[83,90,91,94],{},[13,92,93],{},"Kein Logging bei OpenAI"," über die Zero-Retention-Option. Die Rechnung wird verarbeitet und danach beim Anbieter nicht mehr vorgehalten.",[83,96,97,100],{},[13,98,99],{},"Zero-Data-Retention bei Anthropic"," über den kommerziellen Vertrag (soweit für den Endpoint verfügbar).",[10,102,103,106],{},[13,104,105],{},"Rechtsgrundlage:"," SCC (Standard Contractual Clauses) plus DPF (Data Privacy Framework) für den Transfer in die USA. Beides steht im Auftragsverarbeitungsvertrag.",[21,108,110],{"id":109},"zahlungsanbieter","Zahlungsanbieter",[10,112,113,115],{},[13,114,29],{}," Stripe Payments Europe Ltd. (irische Tochter der Stripe Inc.). Deine Zahlungsdaten (Kreditkarten, IBAN) liegen ausschließlich bei Stripe, wir sehen nur die Rechnungs-Metadaten (Betrag, Fälligkeit, Zahlungsstatus).",[10,117,118],{},"Stripe ist rechtlich gesehen kein Auftragsverarbeiter für deine Rechnungsdaten, sondern eigenverantwortlich für die Abrechnung deines Belegschmied-Abos. Die Datenschutzerklärung deckt das ab.",[21,120,122],{"id":121},"hosting-infrastruktur","Hosting-Infrastruktur",[10,124,125,127],{},[13,126,29],{}," Vercel Inc. für das Frontend (statische Seiten und Server-API), Railway Corp. für den Worker (Hintergrund-Jobs für Extraktion und Versand). Beide sind Auftragsverarbeiter und im AVV gelistet. Server-Standort für die relevanten Prozesse: EU (bei beiden über die europäische Instanz).",[21,129,131],{"id":130},"wenn-daten-gelöscht-werden-sollen","Wenn Daten gelöscht werden sollen",[10,133,134,137],{},[13,135,136],{},"Belegdaten:"," Belegdaten unterliegen §147 AO (10 Jahre Aufbewahrungspflicht) und dürfen erst danach gelöscht werden. Zwischenzeitliche Löschung würde die Ordnungsmäßigkeit der Buchführung stören.",[10,139,140,143,144,147],{},[13,141,142],{},"Nutzerdaten:"," Personenbezogene Daten (Login-Daten, Nutzerprofil), die nicht Teil der Belegdaten sind, kannst du jederzeit über ",[13,145,146],{},"Einstellungen → Konto → Konto löschen"," entfernen lassen. Die Löschung bezieht sich auf dein Nutzerkonto, der Workspace-Zugang wechselt an den nächsten Owner.",[10,149,150,153],{},[13,151,152],{},"Workspace-Löschung:"," ein Workspace wird auf Antrag komplett gelöscht (Belegdaten und alle abgeleiteten Daten), sobald die 10-Jahres-Frist abgelaufen ist oder du eine Ausnahme erklärst (etwa Betriebsaufgabe mit anderweitiger Archivierung).",[10,155,156,158],{},[13,157,41],{}," archivierte Backups werden im Backup-Zyklus überschrieben (7 Tage bei Supabase). Eine vollständige Löschung inklusive aller Backup-Bestände dauert also etwa 7 Tage nach dem Löschauftrag.",[21,160,162],{"id":161},"deine-rechte-als-betroffener","Deine Rechte als Betroffener",[80,164,165,175,181,187,199],{},[83,166,167,170,171,174],{},[13,168,169],{},"Auskunft"," (Art. 15 DSGVO): welche Daten von dir gespeichert sind. Über ",[13,172,173],{},"Einstellungen → Konto → Auskunft"," kannst du einen Export anfordern.",[83,176,177,180],{},[13,178,179],{},"Berichtigung"," (Art. 16): über die App selbstständig.",[83,182,183,186],{},[13,184,185],{},"Löschung"," (Art. 17): siehe oben, mit Rücksicht auf §147 AO.",[83,188,189,192,193,198],{},[13,190,191],{},"Widerspruch"," (Art. 21): über ",[194,195,197],"a",{"href":196},"mailto:support@belegschmied.de","support@belegschmied.de"," mit Bezug auf die konkrete Verarbeitung.",[83,200,201,204],{},[13,202,203],{},"Datenübertragbarkeit"," (Art. 20): ZIP-Export im Standardformat (JSON, CSV, PDF).",[21,206,208],{"id":207},"wenn-etwas-nicht-klappt","Wenn etwas nicht klappt",[80,210,211,221,227,233],{},[83,212,213,216,217,220],{},[13,214,215],{},"„Ich will einen Auftragsverarbeitungsvertrag\"."," Er ist Bestandteil deines Vertrags und liegt in der App unter ",[13,218,219],{},"Einstellungen → AVV",". Zum Ausdruck als PDF verfügbar.",[83,222,223,226],{},[13,224,225],{},"„Ich will die Sub-Auftragsverarbeiter im Detail\"."," In der AVV-Seite in der App, Anlage 3.",[83,228,229,232],{},[13,230,231],{},"„Datenschutzbeauftragter des Kunden fragt nach TOMs\"."," In der AVV-Seite, Anlage 2.",[83,234,235,238],{},[13,236,237],{},"„Wo ist der Datenschutzbeauftragte von Belegschmied?\""," Aktuell besteht keine Pflicht zur Bestellung (weniger als 20 Personen mit personenbezogener Verarbeitung). Sobald wir die Schwelle überschreiten, wird ein DSB benannt und in der Datenschutzerklärung veröffentlicht.",{"title":240,"searchDepth":241,"depth":241,"links":242},"",3,[243,245,246,247,248,249,250,251],{"id":23,"depth":244,"text":24},2,{"id":45,"depth":244,"text":46},{"id":54,"depth":244,"text":55},{"id":109,"depth":244,"text":110},{"id":121,"depth":244,"text":122},{"id":130,"depth":244,"text":131},{"id":161,"depth":244,"text":162},{"id":207,"depth":244,"text":208},"Standort der Server, verwendete Auftragsverarbeiter, wie die Rechnungsdaten in der KI-Extraktion behandelt werden und wie du deine Rechte ausübst.",false,"md",null,"Datenschutz",{},true,20,"\u002Fanleitungen\u002Fwo-liegen-meine-daten","5 Min.",{"title":5,"description":252},"anleitungen\u002Fwo-liegen-meine-daten","x9CdZzWetYbmcPXQPiowJOckoOaR1ZRNzrJY4H6GsEs",[266],{"id":267,"title":268,"body":269,"description":438,"draft":253,"extension":254,"howToSteps":255,"kategorie":256,"meta":439,"navigation":258,"order":440,"path":441,"readingTime":442,"seo":443,"stem":444,"updated":255,"__hash__":445},"anleitungen\u002Fanleitungen\u002Fwer-nutzt-meine-adressen.md","Wer darf meine Empfangs- und Versand-Adressen nutzen?",{"type":7,"value":270,"toc":430},[271,285,288,292,301,309,313,316,347,350,354,357,361,364,384,388,395,398,400,424],[10,272,273,275,276,280,281,284],{},[13,274,15],{}," Deine Empfangsadresse (",[277,278,279],"code",{},"\u003Ckürzel>@in.belegschmied.de",") ist öffentlich in dem Sinne, dass jeder ihr eine Mail schicken kann. Deine Versand-CC-Adresse (",[277,282,283],{},"versand-\u003Ckürzel>@in.belegschmied.de",") auch. Belegschmied filtert Spam, prüft Anhänge und kann Absender sperren. Für deine echten Adressen wählt du selbst, wem du sie gibst.",[10,286,287],{},"Die Adressen funktionieren wie normale E-Mail-Adressen: technisch kann jeder eine Mail dahin schicken. Der Schutz kommt über mehrere Ebenen zusammen.",[21,289,291],{"id":290},"wer-darf-schreiben","Wer darf schreiben",[10,293,294,297,298,300],{},[13,295,296],{},"Empfangsadresse"," (",[277,299,279],{},"): typischerweise deine Lieferanten. Du gibst die Adresse aktiv weiter, sie taucht auch auf deinen eigenen Bestellungen und Aufträgen auf, damit Lieferanten wissen, wo ihre Rechnung hin soll.",[10,302,303,297,306,308],{},[13,304,305],{},"Versand-CC-Adresse",[277,307,283],{},"): nur du und dein Team. Sie steht in eurer eigenen Mail-Vorlage als CC, sonst nirgendwo. Wenn sie dennoch Fremd-Mails bekommt, ist das entweder ein Versehen oder ein Adress-Leak.",[21,310,312],{"id":311},"was-passiert-wenn-fremde-schreiben","Was passiert, wenn Fremde schreiben",[10,314,315],{},"Belegschmied prüft jede eingehende Mail:",[317,318,319,325,331,337],"ol",{},[83,320,321,324],{},[13,322,323],{},"Spam-Filter"," in der Providerkette (Resend). Bekannte Spam-Absender werden vor der Zustellung verworfen.",[83,326,327,330],{},[13,328,329],{},"Anhang-Filter",": ausführbare Dateien (.exe, .bat, .scr) werden abgelehnt. PDF und XML werden verarbeitet.",[83,332,333,336],{},[13,334,335],{},"Absender-Rate-Limit",": schickt ein Absender in kurzer Zeit sehr viele Mails, wird die Rate begrenzt.",[83,338,339,342,343,346],{},[13,340,341],{},"Manuelle Sperre",": du kannst in ",[13,344,345],{},"Einstellungen → Empfang → Absender sperren"," Adressen oder Domains hinterlegen, die abgelehnt werden.",[10,348,349],{},"Rechnungen fremder Firmen, die versehentlich bei dir landen (Vertipper einer ähnlichen Adresse), landen im Eingang mit einem klaren Absender-Hinweis. Du kannst sie mit einem Klick als „Nicht für mich\" markieren, sie werden dann automatisch gelöscht und im Ereignisprotokoll dokumentiert.",[21,351,353],{"id":352},"deine-adresse-als-öffentliche-adresse-behandeln","Deine Adresse als „öffentliche\" Adresse behandeln",[10,355,356],{},"Als Faustregel: gib deine Belegschmied-Empfangsadresse in Formulare und Portale ein, die Rechnungen automatisiert versenden (z. B. Anmeldung beim Baustoffhändler, im Kundenportal deines IT-Anbieters). Nicht sinnvoll: Belegschmied-Adresse als allgemeine Firmenmail-Adresse angeben. Dafür haben Marketing-Mails und Newsletter nichts zu suchen.",[21,358,360],{"id":359},"kann-jemand-meine-adresse-missbrauchen","Kann jemand meine Adresse missbrauchen?",[10,362,363],{},"Missbrauchsszenarien im Detail:",[80,365,366,372,378],{},[83,367,368,371],{},[13,369,370],{},"Rechnungs-Fake",": jemand fingiert eine Rechnung mit falscher IBAN und schickt sie an deine Empfangsadresse. Das passiert, weil deine Adresse öffentlich ist. Belegschmied kennzeichnet nicht sofort, ob ein Absender „echt\" ist. Deine Freigabe-Prüfung (durch dich oder deine Buchhaltung) ist der Punkt, an dem so ein Versuch auffällt.",[83,373,374,377],{},[13,375,376],{},"Spam-Flut",": theoretisch möglich, praktisch begrenzt durch Rate-Limits und Spam-Filter.",[83,379,380,383],{},[13,381,382],{},"Newsletter-Anmeldungen",": jemand nutzt deine Adresse für Newsletter-Anmeldungen. Nutz die Absender-Sperre und melde dich per Reply beim Newsletter ab.",[21,385,387],{"id":386},"wenn-adressen-ausgetauscht-werden-sollen","Wenn Adressen ausgetauscht werden sollen",[10,389,390,391,394],{},"Du kannst deine Empfangsadresse jederzeit ändern (",[13,392,393],{},"Einstellungen → Empfang → Adresse ändern","). Belegschmied hält die alte Adresse noch 30 Tage aktiv, damit noch offene Rechnungen ankommen können, danach wird sie deaktiviert.",[10,396,397],{},"Wichtig: nur der Owner darf die Empfangsadresse ändern, weil das Auswirkung auf alle Lieferanten hat.",[21,399,208],{"id":207},[80,401,402,412,418],{},[83,403,404,407,408,411],{},[13,405,406],{},"„Ich bekomme Spam\"."," Absender-Sperre nutzen. Bei einem Domain-übergreifenden Absender (",[277,409,410],{},"*@spamdomain.tld",") reicht die Domain-Sperre.",[83,413,414,417],{},[13,415,416],{},"„Ein Lieferant meldet, er könne meine Adresse nicht erreichen\"."," Sehr selten, meist ein Missverständnis in der Schreibweise. Bitte, uns die genaue Fehlermeldung des Mailservers zu schicken (Bounce-Message). Damit finden wir sofort raus, wo es klemmt.",[83,419,420,423],{},[13,421,422],{},"„Eine Rechnung fremder Firma taucht bei mir auf\"."," Als „Nicht für mich\" markieren. Belegschmied löscht sie und dokumentiert die Löschung.",[10,425,426,427,429],{},"Weiter: ",[194,428,5],{"href":260},".",{"title":240,"searchDepth":241,"depth":241,"links":431},[432,433,434,435,436,437],{"id":290,"depth":244,"text":291},{"id":311,"depth":244,"text":312},{"id":352,"depth":244,"text":353},{"id":359,"depth":244,"text":360},{"id":386,"depth":244,"text":387},{"id":207,"depth":244,"text":208},"Wer schreibt an deine Belegschmied-Adressen und wer darf das? Was passiert bei Missbrauch, wie schützt Belegschmied deine Inbox.",{},10,"\u002Fanleitungen\u002Fwer-nutzt-meine-adressen","4 Min.",{"title":268,"description":438},"anleitungen\u002Fwer-nutzt-meine-adressen","zUIVBoIJ-WZYcXdmQI74ZECRDhTcH8qbg7PgPLZdGC0",1785113575902]