Datenschutzerklärung

§ 1 Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Zusammenhang mit der Anwendung KlaroFin ist:

Kay Maik Fotografie Kay Maikowske Tönisberger Str. 33 47509 Rheurdt Telefon: +49 176 42939687 E-Mail: info@kaymaikfotografie.de

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich.

§ 2 Allgemeines & Rechtsgrundlagen

KlaroFin ist eine webbasierte Finanz- und Buchhaltungsanwendung (u. a. Rechnungen, Angebote, Mahnungen, Ausgaben, Haushaltsbuch, Steuern). Wir verarbeiten Ihre personenbezogenen Daten ausschließlich zur Bereitstellung dieser Funktionen.

Rechtsgrundlagen sind die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), die Erfüllung gesetzlicher Pflichten (lit. c, z. B. steuerliche Aufbewahrung), Ihre Einwilligung (lit. a, z. B. bei optionalen Integrationen) sowie unsere berechtigten Interessen an einem sicheren, störungsfreien Betrieb und der Missbrauchsabwehr (lit. f).

§ 3 Ihre Rechte

Ihnen stehen als betroffene Person folgende Rechte zu:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

§ 4 Hosting & Infrastruktur (Auftragsverarbeiter)

Zur Bereitstellung von KlaroFin setzen wir folgende Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein:

• Supabase, Inc. — Datenbank, Authentifizierung und Server-Funktionen. Speicherort der Daten: EU (Region West-EU, Irland).
• Cloudflare, Inc. — Speicherung hochgeladener Dateien (Firmenlogos, Belege, Dokumente) über Cloudflare R2; Datenlokalisierung EU.
• Google Ireland Ltd. / Google LLC (Firebase Hosting) — Auslieferung der Anwendung; dabei fallen technische Zugriffsdaten an (siehe § 5).

§ 5 Server-Logfiles

Beim Aufruf der Anwendung werden automatisch technische Zugriffsdaten erhoben, die Ihr Browser übermittelt (Server-Logfiles). Zweck der Verarbeitung ist der technisch sichere und stabile Betrieb der Anwendung sowie die Erkennung und Abwehr von Missbrauch und Angriffen; Rechtsgrundlage ist unser berechtigtes Interesse hieran (Art. 6 Abs. 1 lit. f DSGVO). Die Auslieferung der Anwendung erfolgt über Firebase Hosting (Google Ireland Ltd. / Google LLC), wobei diese Zugriffsdaten anfallen. Die Logdaten werden gelöscht, sobald sie für die genannten Zwecke nicht mehr erforderlich sind, spätestens nach 30 Tagen. Im Einzelnen werden verarbeitet:

• IP-Adresse
• Browsertyp und -version
• verwendetes Betriebssystem
• Referrer-URL
• Datum und Uhrzeit des Zugriffs

§ 6 Registrierung & Nutzerkonto

Für die Nutzung legen Sie ein Konto an. Dabei verarbeiten wir Ihre E-Mail-Adresse, Ihr Passwort (nur verschlüsselt) sowie optional Firmenname, Anschrift, USt-IdNr., Steuernummer und Bankverbindung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zur Verhinderung des mehrfachen Missbrauchs der kostenlosen Testphase speichern wir zusätzlich einen kryptografischen Hash (SHA-256) Ihrer E-Mail-Adresse (Art. 6 Abs. 1 lit. f DSGVO). Dieser Hash wird – abweichend von der allgemeinen Löschfrist (§ 15) – zur Missbrauchsprävention für bis zu 24 Monate gespeichert und danach automatisch gelöscht, soweit ihm kein bestehendes Konto mehr zugeordnet ist.

§ 6a Schutz vor automatisierten Zugriffen (Cloudflare Turnstile)

Die Formulare für Anmeldung, Registrierung und Passwort-Zurücksetzen prüfen mit Cloudflare Turnstile, ob sie von einem Menschen bedient werden. Das verhindert, dass automatisierte Skripte massenhaft Konten anlegen, gestohlene Passwörter durchprobieren oder fremde E-Mail-Adressen mit Zurücksetzen-Nachrichten überfluten. Die Prüfung läuft in der Regel unbemerkt ab; nur bei auffälligem Verhalten erscheint eine zusätzliche Aufgabe.

Anbieter ist die Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Von Cloudflare erhalten wir ausschließlich das Ergebnis der Prüfung – bestanden oder nicht bestanden. Die dafür ausgewerteten Daten bekommen wir nicht.

Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit unserer Systeme und an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Ohne bestandene Prüfung lassen sich Anmeldung, Registrierung und Passwort-Zurücksetzen nicht abschließen.

Cloudflare hat seinen Sitz in den USA, sodass eine Verarbeitung außerhalb der EU möglich ist. Für die Rechtsgrundlage dieser Übermittlung gilt § 13 dieser Erklärung. Welche Daten Cloudflare im Einzelnen verarbeitet und wie lange sie gespeichert werden, ergibt sich aus der Datenschutzerklärung von Cloudflare unter https://www.cloudflare.com/privacypolicy/.

Beim Aufruf der genannten Formulare wird ein Skript von Cloudflare geladen. Ihr Browser übermittelt dabei an Cloudflare insbesondere:

• IP-Adresse
• Browsertyp und -version, Betriebssystem und Spracheinstellung
• Interaktionsmuster auf der Seite (z. B. Maus-, Tastatur- und Touch-Ereignisse)
• technisch notwendige Cookies bzw. Werte im lokalen Speicher des Browsers

§ 7 Ihre Inhaltsdaten in der Anwendung

In KlaroFin verarbeiten Sie eigene Geschäftsdaten. Dazu können auch personenbezogene Daten Dritter gehören (z. B. Ihrer Kunden). Verarbeitet werden insbesondere:

• Unternehmensdaten (Firmenname, Anschrift, Steuernummer, USt-IdNr.)
• Kunden-/Kontaktdaten (Name, Anschrift, USt-IdNr., Kontaktdaten)
• Rechnungs-, Angebots- und Mahnungsdaten
• Ausgaben, Einnahmen und hochgeladene Belege/Dokumente

§ 7a Feedback- und Roadmap-Board

Optional können Sie unser Feedback-/Roadmap-Board nutzen (Funktionswünsche, Fehlermeldungen, Kommentare, Abstimmungen). Von Ihnen dort erstellte Beiträge, Kommentare und Anhänge sind für alle angemeldeten Nutzer sichtbar. Bitte geben Sie dort keine vertraulichen Informationen oder personenbezogenen Daten Dritter ein. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO); die Beiträge werden gelöscht, sobald sie für diesen Zweck nicht mehr erforderlich sind oder Sie Ihr Konto löschen.

§ 8 KI-gestützte Datenerkennung (optional)

Wenn Sie optionale KI-Funktionen nutzen, übertragen wir die jeweiligen Eingaben zur automatischen Auslesung an Google Cloud Vertex AI (Modell Gemini), Anbieter Google Ireland Ltd. / Google LLC. Die Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union (EU-Multi-Region von Google Cloud). Die Daten werden ausschließlich zur Extraktion bzw. Strukturierung verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Betroffen sind insbesondere: „Beleg analysieren/scannen“ (Inhalte des hochgeladenen Belegs, z. B. Händlername, Beträge, Adressen, USt-IdNr.), die Kontakt-Erkennung (eingegebene oder eingelesene Kontaktdaten wie Name, Anschrift, Kontaktdaten, ggf. USt-IdNr.) sowie das Termin-/Kalender-Parsing (Termintexte und ggf. darin enthaltene Namen).

§ 9 Zahlungsabwicklung

Die Abwicklung kostenpflichtiger Abonnements erfolgt über Stripe Payments Europe, Ltd. (Irland). Dabei werden Ihre E-Mail-Adresse, eine Kundenkennung und der Zahlungsstatus verarbeitet. Zahlungsdaten (z. B. Kartennummer) geben Sie direkt bei Stripe ein; wir erhalten diese nicht.

Weitere Informationen: https://stripe.com/de/privacy

§ 10 Google-Kalender & Google-Anmeldung (optional)

Bei aktivierter Kalender-Synchronisation bzw. „Anmeldung mit Google“ verarbeiten wir Daten Ihres Google-Kontos (z. B. Termine, Teilnehmer-E-Mail-Adressen, Profil- und Anmeldedaten) über Dienste von Google. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit durch Trennen der Verbindung widerrufen können.

Die hierfür gespeicherten Zugriffstoken werden geschützt abgelegt und sind für die Anwendung selbst nicht im Klartext zugänglich.

§ 11 Börsen- und Marktdaten (Portfolio-Tool, optional)

Im optionalen Portfolio-Tool rufen wir Kursdaten über Finnhub bzw. Yahoo Finance (Anbieter mit Sitz in den USA) ab. Der Abruf erfolgt serverseitig; dabei werden weder personenbezogene Daten noch Ihre IP-Adresse übermittelt, sondern ausschließlich Wertpapierkennungen (z. B. ISIN/Ticker).

§ 11a Benachrichtigungen & Push-Mitteilungen

KlaroFin zeigt Ihnen Hinweise zu fälligen Rechnungen, Terminen und Systemereignissen innerhalb der Anwendung an. Zusätzlich können Sie Push-Mitteilungen aktivieren. Dafür erzeugt Ihr Browser eine geräteindividuelle Push-Adresse; wir speichern diese Adresse zusammen mit den zugehörigen Verschlüsselungsschlüsseln und der Browserkennung, um Ihnen Mitteilungen zustellen zu können.

Die Zustellung läuft technisch bedingt über den Push-Dienst Ihres Browser- bzw. Geräteherstellers — bei Chrome und Android über Google, bei Firefox über Mozilla, bei Safari und iOS über Apple. Diese Dienste können dabei auch außerhalb der EU verarbeiten. Der Inhalt der Mitteilung ist verschlüsselt und für den Push-Dienst nicht lesbar; ihm ist lediglich bekannt, dass an ein bestimmtes Gerät zugestellt werden soll.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Push-Benachrichtigungen in den Einstellungen deaktivieren oder die Berechtigung in Ihrem Browser entziehen. Die gespeicherte Push-Adresse wird dann gelöscht.

§ 12 Cookies & lokale Speicherung

Tracking- oder Analyse-Tools (z. B. Google Analytics, Meta-Pixel) setzen wir nicht ein. Schriftarten liefern wir von unserem eigenen Server aus; sie werden nicht von einem fremden Anbieter nachgeladen.

Wir setzen ausschließlich technisch notwendige Cookies bzw. lokale Speichertechniken ein. Eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage der damit verbundenen Verarbeitung ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Im Einzelnen handelt es sich um:

• Anmeldung und Sitzungsverwaltung: Nach dem Login speichert unser Authentifizierungsdienst Ihre Sitzungsdaten, damit Sie angemeldet bleiben. Ohne diese Speicherung ist der geschützte Bereich nicht nutzbar.
• Spracheinstellung: Wenn Sie die Sprache aktiv umstellen, merken wir uns Ihre Wahl lokal in Ihrem Browser. Ohne aktive Umstellung wird nichts gespeichert.
• Darstellungsmodus: Ihre Auswahl zwischen hellem und dunklem Erscheinungsbild wird lokal in Ihrem Browser gespeichert.
• Offline-Funktion (Progressive Web App / Service Worker): Im angemeldeten Bereich legt Ihr Browser Teile der Anwendung in einem lokalen Zwischenspeicher ab, damit KlaroFin als installierbare App und ohne durchgehende Verbindung funktioniert. Auf den öffentlich zugänglichen Seiten wird kein solcher Zwischenspeicher angelegt.
• Missbrauchsschutz der Formulare: Auf den Anmelde-, Registrierungs- und Passwort-Seiten wird Cloudflare Turnstile geladen, das zur Bot-Erkennung technische Angaben Ihres Geräts auswertet (Einzelheiten in § 6a). Dies dient der Sicherheit der Anmeldung.

§ 13 Übermittlung in Drittländer

Die Speicherung Ihrer Konto-, Inhalts- und Belegdaten erfolgt innerhalb der EU. Bei den optionalen Google-Diensten (Kalender-Synchronisation, Anmeldung mit Google) sowie bei der Auslieferung über Firebase Hosting kann eine Verarbeitung auch in den USA erfolgen. Dasselbe gilt für den Spam- und Missbrauchsschutz der Anmelde-, Registrierungs- und Passwort-Formulare über Cloudflare Turnstile (§ 6a). Beim optionalen Portfolio-Tool werden Kursdaten von Finnhub/Yahoo Finance (USA) abgerufen; dabei werden ausschließlich Wertpapierkennungen und keine personenbezogenen Daten übermittelt (siehe § 11).

Soweit dort kein Angemessenheitsbeschluss greift, erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln bzw. einer Zertifizierung nach dem EU-US Data Privacy Framework. Es kann nicht ausgeschlossen werden, dass US-Behörden auf Daten zugreifen.

§ 14 Auftragsverarbeitung

Soweit Sie in KlaroFin personenbezogene Daten Dritter verarbeiten (siehe § 7), sind Sie dafür der Verantwortliche und wir handeln in Ihrem Auftrag. Wir stellen Ihnen hierfür einen Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO bereit, der mit Vertragsschluss Bestandteil der Nutzungsbedingungen wird und u. a. die eingesetzten Unterauftragsverarbeiter sowie die technisch-organisatorischen Maßnahmen regelt.

§ 15 Speicherdauer & Löschung

Wir speichern Ihre Daten, solange Ihr Konto besteht. Eine Kündigung beendet die Abrechnung, nicht die Speicherung: Konto und Daten bleiben erhalten, bis Sie die Löschung auslösen. Sie können Ihr Konto jederzeit selbst in den Einstellungen löschen; alternativ genügt eine formlose Nachricht an die in § 1 genannte Adresse — dann löschen wir innerhalb von 30 Tagen.

Die Löschung erfolgt vollständig: Es werden auch festgeschriebene Rechnungen, Belege und hochgeladene Dokumente entfernt. Bitte beachten Sie, dass die steuerlichen Aufbewahrungspflichten (§ 147 AO, § 14b UStG — in der Regel 10 Jahre) Sie als Unternehmer treffen und nicht uns; wir bewahren nach der Löschung nichts für Sie auf. Exportieren Sie Ihre steuerrelevanten Daten daher vor der Löschung über die Exportfunktion in den Einstellungen.

Unabhängig von der Kontolöschung löschen wir automatisiert: Protokolldaten zur Kontoaktivität nach 180 Tagen, Ereignisse unseres Zahlungsdienstleisters nach 90 Tagen, gelesene Benachrichtigungen nach 90 Tagen, Server-Logfiles nach 30 Tagen sowie den E-Mail-Hash zur Missbrauchsprävention nach 24 Monaten (§ 6).

§ 16 Datensicherheit

Die Übertragung Ihrer Daten erfolgt verschlüsselt über TLS/HTTPS. Der Zugriff auf Ihre Daten ist durch mandantengetrennte Zugriffsregeln auf Datenbankebene (Row Level Security) abgesichert; sensible Zugangstoken werden geschützt gespeichert.

§ 17 Minderjährige

Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB. Personen unter 18 Jahren dürfen den Dienst nicht nutzen.

§ 18 Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitungen ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

§ 19 Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen Kavalleriestraße 2-4 40213 Düsseldorf