Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:

Emilio Irmscher
Max-Saupe-Straße 41
09131 Chemnitz
Deutschland
E-Mail: datenschutz@belegschmied.de

2. Welche Daten wir verarbeiten

Wenn Sie Belegschmied nutzen, verarbeiten wir folgende Daten:

• Stammdaten Ihres Workspaces: Firmenname, Anschrift, USt-IdNr., Steuer-Nr., IBAN, BIC, Logo (Sie geben sie selbst ein).
• Account-Daten: E-Mail-Adresse, Authentifizierungs-Token (Supabase Auth), optional Passwort-Hash, optional Google-OAuth-Identifier.
• Rechnungsdaten: Inhalte Ihrer ein- und ausgehenden Rechnungen (PDFs, XML, extrahierte Felder), Mail-Metadaten (Absender, Empfänger, Betreff, Zeitstempel).
• Bewegungsdaten: Aktionen in der App (Audit-Log), Statusänderungen, IP-Adresse + User-Agent beim Login (für Sicherheitsprüfung).
• Inhalte Ihrer Mails, die Sie an unsere Inbox-Adressen schicken – inklusive Empfänger- und Absender-Adressen Ihrer Geschäftspartner.

3. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Verarbeitung Ihrer Rechnungs- und Stammdaten zur Bereitstellung des Dienstes.
• Art. 6 Abs. 1 lit. c DSGVO – Gesetzliche Pflicht: 10-Jahres-Aufbewahrung nach §147 AO / GoBD.
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen: Sicherheits-Logging, Missbrauchs-Erkennung.
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: Reichweitenmessung mit Google Analytics auf den öffentlichen Seiten, zusammen mit § 25 Abs. 1 TDDDG für das Speichern der Cookies. Ohne Ihre Einwilligung findet sie nicht statt.

4. Auftragsverarbeiter

Wir nutzen folgende Dienstleister mit Auftragsverarbeitungs-Vertrag (Art. 28 DSGVO):

Bei Übermittlung in Drittländer (insb. USA) erfolgt der Schutz durch EU Standard Contractual Clauses bzw. das EU-US Data Privacy Framework.

5. Speicherdauer

• Account-Daten: bis zur Kündigung, danach 30 Tage Quarantäne, dann gelöscht.
• Rechnungsdaten und Audit-Log: 10 Jahre (handels- und steuerrechtliche Aufbewahrung nach §147 AO – für Rechnungen 8 Jahre, für sonstige Unterlagen bis zu 10 Jahre; wir halten einheitlich die längere Frist vor). Anschließend gelöscht.
• Roh-Mails im Eingang: 90 Tage für Fehler-Analyse, dann automatisch gelöscht (die erzeugte ZUGFeRD-PDF bleibt im 10-Jahres-Archiv).
• Login-/Security-Logs: 90 Tage.

6. KI-Verarbeitung

Zur Extraktion von Rechnungsdaten aus PDFs übertragen wir das PDF an Anthropic (Claude Sonnet). Anthropic verarbeitet die Daten ausschließlich zur Beantwortung der API-Anfrage und nutzt sie laut Datenschutzerklärung des Anbieters nicht zum Training. Sie können diese Verarbeitung nur durch Nicht-Nutzung von Belegschmied vermeiden – sie ist Teil der Vertragsleistung.

7. Reichweitenmessung mit Google Analytics

Auf unseren öffentlichen Seiten (Startseite, Blog, Anleitungen, Tools, Fehler-Lexikon und weitere Marketing-Seiten) setzen wir Google Analytics 4 ein, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Wir wollen damit erkennen, welche Inhalte gefunden und gelesen werden, um sie gezielt zu verbessern.

Nur mit Ihrer Einwilligung. Google Analytics wird erst geladen, nachdem Sie im Einwilligungsdialog zugestimmt haben. Lehnen Sie ab oder treffen Sie keine Entscheidung, wird kein Google-Skript geladen, es werden keine Analyse-Cookies gesetzt und es fließen keine Daten an Google. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Der eingeloggte Bereich ist ausgenommen. Alles unter /app und /auth wird nicht gemessen, auch nicht nach einer Einwilligung. Ihre Rechnungs-, Kunden- und Workspace-Daten erreichen Google zu keinem Zeitpunkt.

Erhoben werden bei erteilter Einwilligung: aufgerufene Seite und Seitentitel, verweisende Seite, ungefährer Standort auf Basis der gekürzten IP-Adresse, Gerätetyp, Browser und Betriebssystem sowie eine zufällige Kennung im Cookie _ga, die wiederkehrende Besuche demselben Browser zuordnet. Google verarbeitet diese Daten als unser Auftragsverarbeiter und kann sie dabei auch an Server in den USA übermitteln. Grundlage dafür sind die EU-Standardvertragsklauseln sowie die Zertifizierung von Google LLC unter dem EU-US Data Privacy Framework. Ein Restrisiko bleibt: US-Behörden können unter dortigem Recht Zugriff auf Daten verlangen, ohne dass Ihnen dieselben Rechtsmittel wie in der EU offenstehen. Mit Ihrer Einwilligung stimmen Sie auch dieser Übermittlung zu (Art. 49 Abs. 1 lit. a DSGVO).

Die Daten in Google Analytics werden nach 14 Monaten automatisch gelöscht. Weitere Informationen finden Sie in der Datenschutzerklärung von Google.

Widerruf jederzeit möglich. Sie können Ihre Entscheidung mit Wirkung für die Zukunft ändern. Beim Widerruf löschen wir die gesetzten Analyse-Cookies aus Ihrem Browser.

Unabhängig davon nutzen wir Vercel Analytics zur Messung von Seitenaufrufen und Ladezeiten. Dieser Dienst arbeitet ohne Cookies und ohne geräteübergreifende Kennung und ist deshalb nicht einwilligungspflichtig (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem funktionierenden und schnellen Angebot).

8. Cookies und lokale Speicherung

Technisch notwendig, ohne Einwilligung:

• sb-access-token, sb-refresh-token – Authentifizierung (Session).
• workspace-redirect – kurzzeitige Redirect-Speicherung beim Login (max. 10 Minuten).
• belegschmied:consent – Ihre Entscheidung über die Reichweitenmessung. Liegt im lokalen Speicher Ihres Browsers, damit wir Sie nicht bei jedem Besuch erneut fragen.

Nur nach Einwilligung (siehe Abschnitt 7):

• _ga – zufällige Kennung zur Unterscheidung von Besuchern, Laufzeit 2 Jahre.
• _ga_<Stream-ID> – Sitzungsstatus für Google Analytics 4, Laufzeit 2 Jahre.

Werbe-Cookies setzen wir nicht. Die Werbe-Signale von Google Consent Mode (ad_storage, ad_user_data, ad_personalization) stehen dauerhaft auf abgelehnt.

9. Ihre Rechte

Gegenüber uns als Verantwortlichen haben Sie folgende Rechte:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unzutreffender Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) – vorbehaltlich gesetzlicher Aufbewahrungspflichten
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 DSGVO)

Anfragen bitte an datenschutz@belegschmied.de.

10. Beschwerderecht

Sie können sich jederzeit bei der zuständigen Datenschutz-Aufsichtsbehörde beschweren:

Sächsischer Datenschutzbeauftragter
Bernhard-von-Lindenau-Platz 1
01067 Dresden
E-Mail: saechsdsb@slt.sachsen.de
Telefon: +49 351 85471-101

11. Datensicherheit

Die Übertragung erfolgt verschlüsselt (TLS 1.2+). Daten ruhen verschlüsselt im EU-Storage. Zugriff auf personenbezogene Daten nur auf Need-to-know-Basis, Logging über Zugriffe. Anhänge mit Schadcode werden gescannt und nicht verarbeitet.

12. Änderungen dieser Erklärung

Wir behalten uns vor, diese Erklärung anzupassen, wenn Funktionen oder Anbieter sich ändern. Wesentliche Änderungen kündigen wir mindestens 30 Tage vorab per E-Mail an.