Datenschutzerklärung

§ 1 Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Zusammenhang mit der Anwendung KlaroFin ist:

Kay Maik Fotografie Kay Maikowske Tönisberger Str. 33 47509 Rheurdt Telefon: +49 176 42939687 E-Mail: info@kaymaikfotografie.de

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich.

§ 2 Allgemeines & Rechtsgrundlagen

KlaroFin ist eine webbasierte Finanz- und Buchhaltungsanwendung (u. a. Rechnungen, Angebote, Mahnungen, Ausgaben, Haushaltsbuch, Steuern). Wir verarbeiten Ihre personenbezogenen Daten ausschließlich zur Bereitstellung dieser Funktionen.

Rechtsgrundlagen sind die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), die Erfüllung gesetzlicher Pflichten (lit. c, z. B. steuerliche Aufbewahrung), Ihre Einwilligung (lit. a, z. B. bei optionalen Integrationen) sowie unsere berechtigten Interessen an einem sicheren, störungsfreien Betrieb und der Missbrauchsabwehr (lit. f).

§ 3 Ihre Rechte

Ihnen stehen als betroffene Person folgende Rechte zu:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

§ 4 Hosting & Infrastruktur (Auftragsverarbeiter)

Zur Bereitstellung von KlaroFin setzen wir folgende Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein:

• Supabase, Inc. — Datenbank, Authentifizierung und Server-Funktionen. Speicherort der Daten: EU (Region West-EU, Irland).
• Cloudflare, Inc. — Speicherung hochgeladener Dateien (Firmenlogos, Belege, Dokumente) über Cloudflare R2; Datenlokalisierung EU.
• Google Ireland Ltd. / Google LLC (Firebase Hosting) — Auslieferung der Anwendung; dabei fallen technische Zugriffsdaten an (siehe § 5).

§ 5 Server-Logfiles

Beim Aufruf der Anwendung werden automatisch technische Zugriffsdaten erhoben, die Ihr Browser übermittelt (Server-Logfiles). Zweck der Verarbeitung ist der technisch sichere und stabile Betrieb der Anwendung sowie die Erkennung und Abwehr von Missbrauch und Angriffen; Rechtsgrundlage ist unser berechtigtes Interesse hieran (Art. 6 Abs. 1 lit. f DSGVO). Die Auslieferung der Anwendung erfolgt über Firebase Hosting (Google Ireland Ltd. / Google LLC), wobei diese Zugriffsdaten anfallen. Die Logdaten werden gelöscht, sobald sie für die genannten Zwecke nicht mehr erforderlich sind, spätestens nach 30 Tagen. Im Einzelnen werden verarbeitet:

• IP-Adresse
• Browsertyp und -version
• verwendetes Betriebssystem
• Referrer-URL
• Datum und Uhrzeit des Zugriffs

§ 6 Registrierung & Nutzerkonto

Für die Nutzung legen Sie ein Konto an. Dabei verarbeiten wir Ihre E-Mail-Adresse, Ihr Passwort (nur verschlüsselt) sowie optional Firmenname, Anschrift, USt-IdNr., Steuernummer und Bankverbindung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zur Verhinderung des mehrfachen Missbrauchs der kostenlosen Testphase speichern wir zusätzlich einen kryptografischen Hash (SHA-256) Ihrer E-Mail-Adresse (Art. 6 Abs. 1 lit. f DSGVO). Dieser Hash wird – abweichend von der allgemeinen Löschfrist (§ 15) – zur Missbrauchsprävention für bis zu 24 Monate gespeichert und danach automatisch gelöscht, soweit ihm kein bestehendes Konto mehr zugeordnet ist.

§ 7 Ihre Inhaltsdaten in der Anwendung

In KlaroFin verarbeiten Sie eigene Geschäftsdaten. Dazu können auch personenbezogene Daten Dritter gehören (z. B. Ihrer Kunden). Verarbeitet werden insbesondere:

• Unternehmensdaten (Firmenname, Anschrift, Steuernummer, USt-IdNr.)
• Kunden-/Kontaktdaten (Name, Anschrift, USt-IdNr., Kontaktdaten)
• Rechnungs-, Angebots- und Mahnungsdaten
• Ausgaben, Einnahmen und hochgeladene Belege/Dokumente

§ 7a Feedback- und Roadmap-Board

Optional können Sie unser Feedback-/Roadmap-Board nutzen (Funktionswünsche, Fehlermeldungen, Kommentare, Abstimmungen). Von Ihnen dort erstellte Beiträge, Kommentare und Anhänge sind für alle angemeldeten Nutzer sichtbar. Bitte geben Sie dort keine vertraulichen Informationen oder personenbezogenen Daten Dritter ein. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO); die Beiträge werden gelöscht, sobald sie für diesen Zweck nicht mehr erforderlich sind oder Sie Ihr Konto löschen.

§ 8 KI-gestützte Datenerkennung (optional)

Wenn Sie optionale KI-Funktionen nutzen, übertragen wir die jeweiligen Eingaben zur automatischen Auslesung an Google Cloud Vertex AI (Modell Gemini), Anbieter Google Ireland Ltd. / Google LLC. Die Verarbeitung erfolgt in der EU-Region europe-west4 (Niederlande). Die Daten werden ausschließlich zur Extraktion bzw. Strukturierung verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Betroffen sind insbesondere: „Beleg analysieren/scannen“ (Inhalte des hochgeladenen Belegs, z. B. Händlername, Beträge, Adressen, USt-IdNr.), die Kontakt-Erkennung (eingegebene oder eingelesene Kontaktdaten wie Name, Anschrift, Kontaktdaten, ggf. USt-IdNr.) sowie das Termin-/Kalender-Parsing (Termintexte und ggf. darin enthaltene Namen).

§ 9 Zahlungsabwicklung

Die Abwicklung kostenpflichtiger Abonnements erfolgt über Stripe Payments Europe, Ltd. (Irland). Dabei werden Ihre E-Mail-Adresse, eine Kundenkennung und der Zahlungsstatus verarbeitet. Zahlungsdaten (z. B. Kartennummer) geben Sie direkt bei Stripe ein; wir erhalten diese nicht.

Weitere Informationen: https://stripe.com/de/privacy

§ 10 Google-Kalender & Google-Anmeldung (optional)

Bei aktivierter Kalender-Synchronisation bzw. „Anmeldung mit Google“ verarbeiten wir Daten Ihres Google-Kontos (z. B. Termine, Teilnehmer-E-Mail-Adressen, Profil- und Anmeldedaten) über Dienste von Google. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit durch Trennen der Verbindung widerrufen können.

Die hierfür gespeicherten Zugriffstoken werden geschützt abgelegt und sind für die Anwendung selbst nicht im Klartext zugänglich.

§ 11 Börsen- und Marktdaten (Portfolio-Tool, optional)

Im optionalen Portfolio-Tool rufen wir Kursdaten über Finnhub bzw. Yahoo Finance (Anbieter mit Sitz in den USA) ab. Der Abruf erfolgt serverseitig; dabei werden weder personenbezogene Daten noch Ihre IP-Adresse übermittelt, sondern ausschließlich Wertpapierkennungen (z. B. ISIN/Ticker).

§ 12 Cookies & lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies bzw. lokale Speichertechniken ein — insbesondere zur Anmeldung/Sitzungsverwaltung sowie für die Offline-Funktion als installierbare App (Progressive Web App / Service Worker). Eine Einwilligung ist hierfür nicht erforderlich (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 TDDDG).

Tracking- oder Analyse-Tools (z. B. Google Analytics, Meta-Pixel) setzen wir nicht ein.

§ 13 Übermittlung in Drittländer

Die Speicherung Ihrer Konto-, Inhalts- und Belegdaten erfolgt innerhalb der EU. Bei den optionalen Google-Diensten (Kalender-Synchronisation, Anmeldung mit Google) sowie bei der Auslieferung über Firebase Hosting kann eine Verarbeitung auch in den USA erfolgen. Beim optionalen Portfolio-Tool werden Kursdaten von Finnhub/Yahoo Finance (USA) abgerufen; dabei werden ausschließlich Wertpapierkennungen und keine personenbezogenen Daten übermittelt (siehe § 11).

Soweit dort kein Angemessenheitsbeschluss greift, erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln bzw. einer Zertifizierung nach dem EU-US Data Privacy Framework. Es kann nicht ausgeschlossen werden, dass US-Behörden auf Daten zugreifen.

§ 14 Auftragsverarbeitung

Soweit Sie in KlaroFin personenbezogene Daten Dritter verarbeiten (siehe § 7), sind Sie dafür der Verantwortliche und wir handeln in Ihrem Auftrag. Wir stellen Ihnen hierfür einen Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO bereit, der mit Vertragsschluss Bestandteil der Nutzungsbedingungen wird und u. a. die eingesetzten Unterauftragsverarbeiter sowie die technisch-organisatorischen Maßnahmen regelt.

§ 15 Speicherdauer & Löschung

Wir speichern Ihre Daten, solange Ihr Konto besteht. Nach Kündigung werden Ihre Daten innerhalb von 30 Tagen gelöscht, soweit nachfolgend oder in § 6 (E-Mail-Hash zur Missbrauchsprävention) nichts Abweichendes geregelt ist.

Ausgenommen sind Unterlagen, die gesetzlichen Aufbewahrungspflichten unterliegen — insbesondere Rechnungen, die gemäß § 147 AO bzw. § 14b UStG für 10 Jahre aufzubewahren sind. Diese werden bis zum Ablauf der Frist gesperrt aufbewahrt und danach gelöscht.

§ 16 Datensicherheit

Die Übertragung Ihrer Daten erfolgt verschlüsselt über TLS/HTTPS. Der Zugriff auf Ihre Daten ist durch mandantengetrennte Zugriffsregeln auf Datenbankebene (Row Level Security) abgesichert; sensible Zugangstoken werden geschützt gespeichert.

§ 17 Minderjährige

Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB. Personen unter 18 Jahren dürfen den Dienst nicht nutzen.

§ 18 Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitungen ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

§ 19 Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen Kavalleriestraße 2-4 40213 Düsseldorf