1. Verantwortlicher
Verantwortlich im Sinne der DSGVO ist:
Emilio Irmscher
Max-Saupe-Straße 41
09131 Chemnitz
Deutschland
E-Mail: privacy@belegschmied.de
2. Welche Daten wir verarbeiten
Wenn Sie Belegschmied nutzen, verarbeiten wir folgende Daten:
- Stammdaten Ihres Workspaces: Firmenname, Anschrift, USt-IdNr., Steuer-Nr., IBAN, BIC, Logo (Sie geben sie selbst ein).
- Account-Daten: E-Mail-Adresse, Authentifizierungs-Token (Supabase Auth), optional Passwort-Hash, optional Google-OAuth-Identifier.
- Rechnungsdaten: Inhalte Ihrer ein- und ausgehenden Rechnungen (PDFs, XML, extrahierte Felder), Mail-Metadaten (Absender, Empfänger, Betreff, Zeitstempel).
- Bewegungsdaten: Aktionen in der App (Audit-Log), Statusänderungen, IP-Adresse + User-Agent beim Login (für Sicherheitsprüfung).
- Inhalte Ihrer Mails, die Sie an unsere Inbox-Adressen schicken – inklusive Empfänger- und Absender-Adressen Ihrer Geschäftspartner.
3. Rechtsgrundlagen
- Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Verarbeitung Ihrer Rechnungs- und Stammdaten zur Bereitstellung des Dienstes.
- Art. 6 Abs. 1 lit. c DSGVO – Gesetzliche Pflicht: 10-Jahres-Aufbewahrung nach §147 AO / GoBD.
- Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen: Sicherheits-Logging, Missbrauchs-Erkennung, Auswertung der Fragen an den KI-Assistenten (Abschnitt 7).
- Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: Reichweitenmessung mit Google Analytics auf den öffentlichen Seiten, zusammen mit § 25 Abs. 1 TDDDG für das Speichern der Cookies. Ohne Ihre Einwilligung findet sie nicht statt.
4. Auftragsverarbeiter
Wir nutzen folgende Dienstleister mit Auftragsverarbeitungs-Vertrag (Art. 28 DSGVO):
Bei Übermittlung in Drittländer (insb. USA) erfolgt der Schutz durch EU Standard Contractual Clauses bzw. das EU-US Data Privacy Framework.
5. Speicherdauer
- Account-Daten: bis zur Kündigung, danach 30 Tage Quarantäne, dann gelöscht.
- Rechnungsdaten und Audit-Log: 10 Jahre (handels- und steuerrechtliche Aufbewahrung nach §147 AO – für Rechnungen 8 Jahre, für sonstige Unterlagen bis zu 10 Jahre; wir halten einheitlich die längere Frist vor). Anschließend gelöscht.
- Roh-Mails im Eingang: 90 Tage für Fehler-Analyse, dann automatisch gelöscht (die erzeugte ZUGFeRD-PDF bleibt im 10-Jahres-Archiv).
- Login-/Security-Logs: 90 Tage.
- Fragen an den KI-Assistenten samt Antworten: 180 Tage, dann automatisch gelöscht.
6. KI-Verarbeitung
Zur Extraktion von Rechnungsdaten aus PDFs übertragen wir das PDF an Anthropic (Claude Sonnet). Anthropic verarbeitet die Daten ausschließlich zur Beantwortung der API-Anfrage und nutzt sie laut Datenschutzerklärung des Anbieters nicht zum Training. Sie können diese Verarbeitung nur durch Nicht-Nutzung von Belegschmied vermeiden – sie ist Teil der Vertragsleistung.
7. KI-Assistent auf unseren Webseiten
Auf unseren öffentlichen Seiten können Sie einem KI-Assistenten Fragen zu Belegschmied und zur E-Rechnung stellen. Für die Antwort übermitteln wir Ihre Frage und den bisherigen Gesprächsverlauf an Anthropic, PBC (USA). Anthropic verarbeitet die Daten als unser Auftragsverarbeiter, um die Anfrage zu beantworten, und nutzt sie laut eigener Datenschutzerklärung nicht zum Training. Für die Übermittlung in die USA gelten die in Abschnitt 4 genannten Garantien.
Was wir speichern. Wir speichern Ihre Fragen, die Antworten des Assistenten, die Seite, auf der Sie gefragt haben (nur den Pfad, etwa /preise), und den Zeitpunkt. Fragen aus demselben Gespräch verknüpfen wir über eine zufällige Gesprächsnummer. Diese Nummer vergibt unser Server. Ihr Browser hält sie nur, solange die Seite geöffnet ist, und legt sie weder in einem Cookie noch im lokalen Speicher ab; laden Sie die Seite neu, beginnt ein neues Gespräch. IP-Adresse, Browser- und Gerätedaten speichern wir zu den Fragen nicht. Zum Schutz vor Missbrauch zählen wir lediglich die Anfragen je IP-Adresse in einem Zwischenspeicher, der nach zehn Minuten verfällt.
Zweck. Wir werten die Gespräche aus, um Fehler und Lücken in den Antworten zu finden, den Assistenten und unser Angebot zu verbessern und zu erkennen, welche Themen Interessenten rund um die E-Rechnung beschäftigen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, richtige Antworten zu geben und unser Angebot am tatsächlichen Bedarf auszurichten. Ihre Interessen überwiegen nach unserer Abwägung nicht: Wir speichern von uns aus keine Kennung wie IP-Adresse oder Cookie, die Nutzung des Assistenten ist freiwillig, und Sie bestimmen selbst, was Sie eingeben.
Bitte geben Sie keine personenbezogenen Daten ein. Für Ihre Frage braucht der Assistent weder Ihren Namen noch Kunden- oder Rechnungsdaten. Was Sie trotzdem eingeben, speichern wir mit der Frage.
Speicherdauer. Fragen und Antworten löschen wir automatisch nach 180 Tagen.
Widerspruch. Sie können der Speicherung nach Art. 21 DSGVO jederzeit widersprechen. Schreiben Sie dazu an privacy@belegschmied.de und nennen Sie möglichst Zeitpunkt und Wortlaut Ihrer Frage. Da wir keine Kennung von Ihnen speichern, können wir Ihr Gespräch nur so finden und löschen. Nutzen Sie den Assistenten nicht, speichern wir nichts.
8. Reichweitenmessung mit Google Analytics
Auf unseren öffentlichen Seiten (Startseite, Blog, Anleitungen, Tools, Fehler-Lexikon und weitere Marketing-Seiten) setzen wir Google Analytics 4 ein, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Wir wollen damit erkennen, welche Inhalte gefunden und gelesen werden, um sie gezielt zu verbessern.
Nur mit Ihrer Einwilligung. Google Analytics wird erst geladen, nachdem Sie im Einwilligungsdialog zugestimmt haben. Lehnen Sie ab oder treffen Sie keine Entscheidung, wird kein Google-Skript geladen, es werden keine Analyse-Cookies gesetzt und es fließen keine Daten an Google. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.
Der eingeloggte Bereich ist ausgenommen. Alles unter /app und /auth wird nicht gemessen, auch nicht nach einer Einwilligung. Ihre Rechnungs-, Kunden- und Workspace-Daten erreichen Google zu keinem Zeitpunkt.
Erhoben werden bei erteilter Einwilligung: aufgerufene Seite und Seitentitel, verweisende Seite, ungefährer Standort auf Basis der gekürzten IP-Adresse, Gerätetyp, Browser und Betriebssystem sowie eine zufällige Kennung im Cookie _ga, die wiederkehrende Besuche demselben Browser zuordnet. Google verarbeitet diese Daten als unser Auftragsverarbeiter und kann sie dabei auch an Server in den USA übermitteln. Grundlage dafür sind die EU-Standardvertragsklauseln sowie die Zertifizierung von Google LLC unter dem EU-US Data Privacy Framework. Ein Restrisiko bleibt: US-Behörden können unter dortigem Recht Zugriff auf Daten verlangen, ohne dass Ihnen dieselben Rechtsmittel wie in der EU offenstehen. Mit Ihrer Einwilligung stimmen Sie auch dieser Übermittlung zu (Art. 49 Abs. 1 lit. a DSGVO).
Die Daten in Google Analytics werden nach 14 Monaten automatisch gelöscht. Weitere Informationen finden Sie in der Datenschutzerklärung von Google.
Widerruf jederzeit möglich. Sie können Ihre Entscheidung mit Wirkung für die Zukunft ändern. Beim Widerruf löschen wir die gesetzten Analyse-Cookies aus Ihrem Browser.
Unabhängig davon nutzen wir Vercel Analytics zur Messung von Seitenaufrufen und Ladezeiten. Dieser Dienst arbeitet ohne Cookies und ohne geräteübergreifende Kennung und ist deshalb nicht einwilligungspflichtig (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem funktionierenden und schnellen Angebot).
9. Cookies und lokale Speicherung
Technisch notwendig, ohne Einwilligung:
sb-access-token,sb-refresh-token– Authentifizierung (Session).workspace-redirect– kurzzeitige Redirect-Speicherung beim Login (max. 10 Minuten).belegschmied:consent– Ihre Entscheidung über die Reichweitenmessung. Liegt im lokalen Speicher Ihres Browsers, damit wir Sie nicht bei jedem Besuch erneut fragen.
Nur nach Einwilligung (siehe Abschnitt 8):
_ga– zufällige Kennung zur Unterscheidung von Besuchern, Laufzeit 2 Jahre._ga_<Stream-ID>– Sitzungsstatus für Google Analytics 4, Laufzeit 2 Jahre.
Werbe-Cookies setzen wir nicht. Die Werbe-Signale von Google Consent Mode (ad_storage, ad_user_data, ad_personalization) stehen dauerhaft auf abgelehnt.
10. Ihre Rechte
Gegenüber uns als Verantwortlichen haben Sie folgende Rechte:
- Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unzutreffender Daten (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO) – vorbehaltlich gesetzlicher Aufbewahrungspflichten
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch (Art. 21 DSGVO)
- Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 DSGVO)
Anfragen bitte an privacy@belegschmied.de.
11. Beschwerderecht
Sie können sich jederzeit bei der zuständigen Datenschutz-Aufsichtsbehörde beschweren:
Sächsischer Datenschutzbeauftragter
Bernhard-von-Lindenau-Platz 1
01067 Dresden
E-Mail: saechsdsb@slt.sachsen.de
Telefon: +49 351 85471-101
12. Datensicherheit
Die Übertragung erfolgt verschlüsselt (TLS 1.2+). Daten ruhen verschlüsselt im EU-Storage. Zugriff auf personenbezogene Daten nur auf Need-to-know-Basis, Logging über Zugriffe. Anhänge mit Schadcode werden gescannt und nicht verarbeitet.
13. Änderungen dieser Erklärung
Wir behalten uns vor, diese Erklärung anzupassen, wenn Funktionen oder Anbieter sich ändern. Wesentliche Änderungen kündigen wir mindestens 30 Tage vorab per E-Mail an.