Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO und anderer nationaler Datenschutzgesetze der EU-Mitgliedstaaten sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Daniel Haida
Roonstraße 23 a · 76137 Karlsruhe · Deutschland
Telefon (KI-Telefonassistent, siehe Abschnitt 14a): 0721 95279627
E-Mail: support@taxtello.de
Web: [taxtello.de]()

2. Grundsätze der Datenverarbeitung

taxtello verarbeitet personenbezogene Daten ausschließlich im Rahmen der geltenden Datenschutzgesetze, insbesondere der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG). Wir erheben und verarbeiten Daten nur soweit dies zur Bereitstellung des Dienstes erforderlich ist.

Grundsatz der Datensparsamkeit: Wir erheben nur die Daten, die für den jeweiligen Verarbeitungszweck tatsächlich erforderlich sind. Es findet keine Weitergabe an Dritte zu Werbezwecken statt.

Rechtsgrundlagen für die Datenverarbeitung sind je nach Verarbeitungskontext:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung der betroffenen Person

• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrages oder vorvertraglicher Maßnahmen

• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung einer rechtlichen Verpflichtung

• Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen des Verantwortlichen

3. Betriebsmodell: Cloud

taxtello wird als Cloud-Anwendung betrieben. Daten werden auf Servern des Anbieters (Mittwald, Deutschland) verarbeitet. Der Verantwortliche hat Zugang zur Infrastruktur, jedoch nicht aktiv zu Ihren inhaltlichen Buchungsdaten. Es gilt der vollständige Umfang dieser Datenschutzerklärung.

4. Hosting & Infrastruktur

Anwendung & Buchhaltungsdaten — Mittwald (Deutschland)

Die taxtello Cloud-Anwendung (app.taxtello.de) und sämtliche darin verarbeiteten Buchhaltungs- und Belegdaten werden gehostet bei:

Mittwald CM Service GmbH & Co. KG
Königsberger Straße 4–6 · 32339 Espelkamp
www.mittwald.de/datenschutz

Die Server befinden sich ausschließlich in Deutschland. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO wurde mit Mittwald geschlossen. Im Rahmen des von uns eingesetzten Mittwald-Hostings findet nach unserer aktuellen Konfiguration keine Übermittlung personenbezogener Daten in Drittländer statt. Mittwald ist nach ISO 27001 zertifiziert und betreibt seine Rechenzentren in Deutschland (Espelkamp).

Bereitstellung der öffentlichen Website durch Vercel

Für die Bereitstellung unserer öffentlichen Marketing-Website (taxtello.de) nutzen wir Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Beim Aufruf der Website werden insbesondere die IP-Adresse, Datum und Uhrzeit des Abrufs, die angeforderte Ressource sowie Browser-, Geräte-, System-, Protokoll- und Diagnosedaten verarbeitet.

Soweit Vercel personenbezogene Daten in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage eines Vertrags zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Bestimmte servicegenerierte Nutzungs- und Metadaten verarbeitet Vercel nach seinen Vertragsbedingungen in eigener datenschutzrechtlicher Verantwortlichkeit.

Rechtsgrundlage für die von uns veranlasste Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren, stabilen und effizienten Bereitstellung der Website sowie in der Erkennung und Abwehr von Missbrauch und Angriffen.

Für Übermittlungen personenbezogener Daten an Vercel Inc. in die USA stützen wir uns auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework gemäß Art. 45 DSGVO, solange Vercels Zertifizierung aktiv ist und die betreffenden Daten umfasst. Vercel ist derzeit nach dem EU-US Data Privacy Framework zertifiziert. Soweit dieser Übermittlungsmechanismus im Einzelfall nicht anwendbar ist, enthalten die Vertragsunterlagen von Vercel die Standardvertragsklauseln der Europäischen Kommission. Weitere Informationen: vercel.com/legal/privacy-policy · vercel.com/legal/dpa

Hinweis: Login, Buchhaltungs- und Belegdaten werden ausschließlich in der bei Mittwald in Deutschland gehosteten Anwendung (app.taxtello.de) verarbeitet und laufen nicht über Vercel. Über die öffentliche Website verarbeitete personenbezogene Daten (z. B. beim Kontaktformular oder dem Zugangsschutz) sind im jeweiligen Abschnitt dieser Erklärung beschrieben.

4a. Verschlüsselte Offsite-Backups bei Hetzner

Die produktive taxtello-Anwendung und die darin gespeicherten Buchhaltungsinhalte werden primär bei unserem Hosting-Anbieter in Deutschland verarbeitet. Zur Sicherstellung der Verfügbarkeit und Wiederherstellbarkeit unserer Systeme erstellen wir zusätzlich räumlich getrennte, verschlüsselte Sicherungskopien.

Für die Speicherung dieser Sicherungskopien nutzen wir eine Storage Box der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, am Produktstandort Helsinki in Finnland. Für standortbezogene Infrastruktur- und technische Unterstützungsleistungen setzt Hetzner die Hetzner Finland Oy, Tuusula, Finnland, ein.

Die Inhalte der Sicherungskopien werden vor der Übertragung auf unseren Systemen clientseitig verschlüsselt. Die zur Entschlüsselung erforderlichen Geheimnisse werden getrennt vom Backupziel verwaltet und nicht an Hetzner übermittelt. Unabhängig von der Inhaltsverschlüsselung kann Hetzner technisch erforderliche Account-, Verbindungs-, Zugriffs-, Speicher- und Betriebsmetadaten verarbeiten.

Die Sicherungskopien dienen ausschließlich der Notfallvorsorge, der Integritätsprüfung und der Wiederherstellung nach Datenverlust, Datenkorruption, technischen Störungen oder Sicherheitsvorfällen.

Soweit Hetzner personenbezogene Daten in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage eines Vertrages zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Soweit taxtello personenbezogene Daten im Auftrag seiner Kunden verarbeitet, wird Hetzner als weiterer Auftragsverarbeiter gemäß Art. 28 Abs. 4 DSGVO eingesetzt.

Die Verarbeitung dieses Backup-Pfades erfolgt innerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums. Nach der aktuellen Konfiguration findet für diesen Backup-Pfad keine Übermittlung personenbezogener Daten in ein Drittland statt.

Die Sicherungskopien werden automatisiert nach einem gestaffelten Aufbewahrungskonzept rotiert. Wiederherstellungspunkte können regelmäßig bis zu rund zwölf Monate vorgehalten werden. Zusätzlich können Daten bis zu ungefähr zehn weitere Tage in automatisch rotierenden technischen Snapshots der Storage Box enthalten sein.

Daten in Sicherungskopien werden nicht für den gewöhnlichen Geschäftsbetrieb verwendet. Nach einer Wiederherstellung stellen wir durch technische und organisatorische Verfahren sicher, dass zwischenzeitliche Löschungen, Berichtigungen, Einschränkungen und Berechtigungsänderungen erneut angewendet werden, bevor die Daten wieder produktiv verwendet werden.

Die Backupverarbeitung ist eine technisch-organisatorische Nebenverarbeitung der jeweils zugrunde liegenden Hauptverarbeitung und dient insbesondere der Erfüllung unserer Sicherheitsverpflichtungen gemäß Art. 32 DSGVO. Soweit taxtello als Auftragsverarbeiter handelt, erfolgt die Sicherung nach Maßgabe des jeweiligen Kundenvertrages, des Vertrages zur Auftragsverarbeitung und der dokumentierten Weisungen des Kunden.

5. Server-Logfiles

Bei jedem Aufruf unserer Webseite erfasst der Webserver automatisch Informationen, die Ihr Browser übermittelt (sogenannte Server-Logfiles). Folgende Daten werden dabei protokolliert:

• Browsertyp und Browserversion

• Verwendetes Betriebssystem

• Referrer-URL (zuvor besuchte Seite)

• Hostname des zugreifenden Rechners

• Datum und Uhrzeit der Serveranfrage

• IP-Adresse (wird nach spätestens 7 Tagen anonymisiert oder gelöscht)

Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem störungsfreien Betrieb und der Sicherheit des Dienstes). Logfiles werden nach spätestens 30 Tagen gelöscht.

6. Taxtello Cloud – Nutzerdaten

Wenn Sie taxtello als Cloud-Dienst nutzen, verarbeiten wir folgende Daten zum Betrieb des Dienstes:

Technische Zugangsdaten

• E-Mail-Adresse (für Konto und Kommunikation)

• Passwort (gespeichert als scrypt-gehashter Wert, niemals im Klartext)

• Session-Token (temporär, für Ihre aktive Sitzung)

• IP-Adresse des letzten Logins (für Sicherheitszwecke)

Buchhalterische Inhaltsdaten

• Buchungseinträge (Betrag, Datum, Kategorie, Beschreibung)

• Hochgeladene Belege als PDF-Dateien

• Unternehmensangaben (Name, Steuer-ID, Adresse)

• Auswertungen und Exporte (EÜR, DATEV, etc.)

Rechtsgrundlage für die Verarbeitung dieser Daten ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Buchhalterische Inhaltsdaten werden für die Dauer des Nutzungsverhältnisses und anschließend entsprechend den gesetzlichen Aufbewahrungsfristen gespeichert. Diese ergeben sich insbesondere aus § 147 AO und § 257 HGB und betragen je nach Unterlagenart derzeit in der Regel bis zu acht Jahre für bestimmte Buchungsbelege (z. B. Rechnungen, Zahlungsbelege nach § 147 Abs. 3 AO i.d.F. des Vierten Bürokratieentlastungsgesetzes, BGBl. 2024 I Nr. 323, in Kraft seit 1.1.2025) und bis zu zehn Jahre für Handelsbücher, Inventare, Jahresabschlüsse sowie die zu ihrem Verständnis erforderlichen Unterlagen. Soweit im Einzelfall längere gesetzliche Aufbewahrungsfristen gelten oder Daten noch für steuerliche Zwecke erforderlich sind, kann sich die Speicherfrist entsprechend verlängern.

Unabhängig von der Speicherung in taxtello bleibt der Kunde verpflichtet, die für ihn geltenden handels- und steuerrechtlichen Aufbewahrungspflichten eigenverantwortlich zu erfüllen. Die Nutzung von taxtello ersetzt keine gesetzlich vorgeschriebene Archivierungspflicht des Kunden.

7. Registrierung & Nutzerkonto

Für die Nutzung von taxtello Cloud ist ein Nutzerkonto erforderlich. Bei der Registrierung erheben wir:

• E-Mail-Adresse

• Passwort (wird unmittelbar gehasht, Klartext wird nicht gespeichert)

• Datum und Uhrzeit der Registrierung

Die Angabe weiterer Daten (z. B. Unternehmensname, Steuer-ID) erfolgt freiwillig und dient der Personalisierung Ihrer Auswertungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Sie können Ihr Konto jederzeit löschen. Buchhalterische Daten, die gesetzlichen Aufbewahrungspflichten unterliegen, werden nach Kontolöschung für den gesetzlich vorgeschriebenen Zeitraum archiviert und anschließend dauerhaft gelöscht.

Hinweis zur Löschung: Um Ihr Konto und alle Daten löschen zu lassen, wenden Sie sich an support@taxtello.de. Wir bearbeiten Löschanfragen innerhalb von 30 Tagen.

8. App-Daten (Buchungen, Belege, Exporte)

Alle Daten, die Sie in taxtello erfassen — Buchungseinträge, hochgeladene Belege (PDFs), Unternehmensangaben und generierte Exporte — werden ausschließlich zur Erbringung des Dienstes verarbeitet.

Beleg-Eingang per E-Mail: Belege können Sie in der App hochladen oder per E-Mail an eine persönliche, projektbezogene Eingangsadresse (auf der Subdomain belege.taxtello.de) senden. In diesem Fall verarbeiten wir die eingehende E-Mail (Absenderadresse, Betreff und Anhänge) zur Zuordnung des Belegs zu Ihrem Konto. Der E-Mail-Empfang erfolgt über die Infrastruktur unseres Hosters Mittwald in Deutschland. Für die technische Zustellung weitergeleiteter Nachrichten können zusätzlich Zustelldienste zum Einsatz kommen. Welche Dienste im Betrieb tatsächlich eingesetzt werden, hängt von der jeweiligen Eingangskonfiguration ab und ergibt sich nicht aus der Anwendung selbst. Die Zuordnung dieser Dienste in unserer Auftragsverarbeitungs-Dokumentation ist noch nicht abgeschlossen; wir ergänzen sie, sobald der Betrieb feststeht.

Zugriff durch den Anbieter: Im Cloud-Betrieb hat der technische Infrastrukturbetreiber (Mittwald) im Rahmen des Hostings theoretisch Zugang zu gespeicherten Daten. Der Anbieter (Daniel Haida) greift auf inhaltliche Buchungsdaten grundsätzlich nur zu, wenn dies zur Fehlerbehebung auf Ihren ausdrücklichen Wunsch hin erforderlich ist.

Datenweitergabe: Eine Weitergabe Ihrer Buchungs- und Belegdaten an Dritte findet ohne Ihre ausdrückliche Einwilligung nicht statt, es sei denn, wir sind gesetzlich hierzu verpflichtet. Über eine KI-Verbindung (Abschnitt 9a) gehen Daten nur an den Dienst, den Sie selbst verbinden, und nur im Umfang Ihrer Freigabe.

Exportfunktionen: Wenn Sie DATEV-, Steuerberater- oder Backup-Exporte nutzen, werden diese in der Cloud-Version serverseitig innerhalb unserer Infrastruktur erzeugt und anschließend direkt an Ihr Gerät ausgeliefert. Dabei werden keine Buchungs- oder Belegdaten an externe Dritte weitergegeben; die Verarbeitung erfolgt ausschließlich zur Bereitstellung der Exportfunktion.

Gmail als Belegquelle

Wenn die Gmail-Anbindung für Ihr Konto freigeschaltet ist, können Sie Ihr Google-Konto freiwillig verbinden, um Beleganhänge regelmäßig in Ihr taxtello-Belegarchiv zu übernehmen. Google erteilt dafür über OAuth Lesezugriff auf Ihr Postfach sowie Zugriff auf Ihre Google-Kontokennung und E-Mail-Adresse. Die Berechtigung gilt für das Postfach; die Auswahl eines Labels begrenzt die anschließende Verarbeitung durch taxtello. Über diese Verbindung versendet, verändert oder löscht taxtello keine E-Mails.

Die Verbindung allein startet keinen Import. Erst nach Ihrer Bestätigung von Label, Ablageziel und Importbeginn verarbeitet taxtello unterstützte Anhänge aus dieser Quelle und prüft sie anschließend regelmäßig auf neue Belege. Sie können den Import pausieren oder die Verbindung trennen.

Für die Zuordnung und Synchronisation verarbeitet taxtello Nachrichtenkennungen, Labels, Zeitangaben und die zum Erkennen geeigneter Anhänge erforderlichen Nachrichtendaten. E-Mail-Texte und Betreffzeilen werden nicht im Belegarchiv gespeichert. Übernommene Belegdateien, Herkunfts- und Importinformationen sowie gegebenenfalls Analyseergebnisse werden Ihrem Konto und dem gewählten Ablageziel zugeordnet. OAuth-Zugangstokens werden verschlüsselt gespeichert. Ihr Google-Passwort erhält taxtello nicht.

Strukturierte E-Rechnungen werden ohne KI ausgewertet. Für eine KI-Analyse von Gmail-Belegen ist zusätzlich eine wirksame KI-Zustimmung in taxtello erforderlich; die Google-Verbindung ersetzt diese Zustimmung nicht. Dabei werden die für die Beleganalyse erforderlichen Inhalte über den bestehenden Beleganalyse-Dienst an Mittwald AI Hosting übermittelt. Diese zusätzliche Voraussetzung für Gmail-Belege gilt auch dort, wo die folgenden Abschnitte die allgemeinen KI-Funktionen beschreiben.

taxtello verwendet Gmail-Daten ausschließlich für die von Ihnen aktivierte Belegübernahme und die damit verbundenen sichtbaren Funktionen. Sie werden weder verkauft noch für Werbung, das Training allgemeiner KI-Modelle, Evaluationen oder das Assistant Lab verwendet. Die Verwendung und Weitergabe der über Google-APIs erhaltenen Informationen erfolgt nach der Google API Services User Data Policy, einschließlich ihrer Anforderungen zur eingeschränkten Nutzung (Limited Use). Für menschliche Zugriffe gelten deren Beschränkungen, etwa Ihre ausdrückliche Zustimmung zur konkreten Unterstützung oder erforderliche Sicherheits- und gesetzliche Zwecke.

Beim Trennen stoppt taxtello den lokalen Import und veranlasst den Widerruf der Berechtigung bei Google. Sie können den Zugriff auch direkt in Ihrem Google-Konto widerrufen. Bereits übernommene Belege und ihre Importhistorie werden durch das Trennen nicht gelöscht; für ihre Aufbewahrung und Löschung gelten die oben beschriebenen Regeln für Buchungs- und Belegdaten. Auskunfts- und Löschanfragen können Sie an support@taxtello.de richten.

9. KI-gestützte Funktionen

Wir setzen KI ein zur (1) Beleg- und Rechnungserkennung (OCR), (2) Auslesung und Kategorisierung von Kontoauszügen, (3) Kategorie- und Buchungsvorschlägen sowie (4) unverbindlichen Steuerhinweisen. Verarbeitet werden die von Ihnen hochgeladenen Inhalte (Belege, Rechnungen, Kontoauszüge) sowie Buchungstexte.

Dieser Abschnitt betrifft die KI-Verarbeitung, die taxtello selbst veranlasst. Für externe KI-Assistenten, die Sie über KI-Verbindungen anbinden, gilt Abschnitt 9a.

Die KI-Funktionen sind Teil des Produkts und standardmäßig aktiv. Die Verarbeitung erfolgt auf Grundlage der Erfüllung unseres Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie unseres berechtigten Interesses an einer effizienten, automatisierten Buchhaltung (Art. 6 Abs. 1 lit. f DSGVO). Eine gesonderte Einwilligung ist hierfür nicht erforderlich; Sie können die KI-Funktionen jederzeit in den Einstellungen deaktivieren (Opt-out).

Die KI-Verarbeitung der in diesem Abschnitt beschriebenen App-Funktionen erfolgt ausschließlich auf Servern in Deutschland (Mittwald CM Service GmbH & Co. KG als Auftragsverarbeiter nach Art. 28 DSGVO; AI Hosting lokal im Rechenzentrum Espelkamp). Es findet keine Übermittlung in Drittländer statt. Ihre Daten werden nicht zum Training von KI-Modellen verwendet; Inhalte aus Eingaben werden nicht dauerhaft gespeichert, sondern nach der unmittelbaren Verarbeitung verworfen. Zu Abrechnungs- und Stabilitätszwecken werden lediglich inhaltslose Metadaten (z. B. Zeitstempel, Token-Anzahl) vorgehalten.

Für den KI-gestützten Telefonsupport gilt dies nicht; er nutzt zusätzlich externe Telefonie- und Sprach-KI-Dienstleister, auch außerhalb der EU (Abschnitt 14a).

Alle KI-Ergebnisse sind Vorschläge. Eine rechtlich oder steuerlich erhebliche Entscheidung wird niemals allein automatisiert getroffen — Sie prüfen und bestätigen jedes Ergebnis (keine automatisierte Entscheidung i. S. d. Art. 22 DSGVO).

Für Angehörige von Berufsgeheimnisträgern (§ 203 StGB, z. B. Steuerberater, Rechtsanwälte) gelten besondere Beschränkungen; hier sind die KI-Funktionen der App gesperrt bzw. nur nach gesonderter Vereinbarung nutzbar. Für den KI-gestützten Telefonsupport gilt diese Sperre nicht (siehe unten und Abschnitt 14a).

Sensible Inhalte: Kontoauszüge können besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) indirekt enthalten. Wir verarbeiten diese ausschließlich zum Zweck des Buchungsabgleichs und minimieren die Verarbeitung solcher Anteile technisch und organisatorisch.

Mittwald AI Hosting betreibt OpenAI-kompatible Sprach- und Bildverarbeitungsmodelle (LLMs) auf eigener Infrastruktur in Deutschland. Eine Übermittlung der KI-Eingaben in Drittstaaten (insbesondere USA) durch taxtello findet nicht statt. Dies gilt auch für die optionale Sprach-Eingabe: Die Audioverarbeitung erfolgt in allen Browsern über unsere Mittwald-Infrastruktur in Deutschland; die browser-eigene "Web Speech API" (die andernfalls Audio an Google bzw. Apple senden würde) wird bewusst nicht genutzt — Details im Abschnitt "Sprach-zu-Text-Eingabe".

Welche Verarbeitungen umfassen die KI-Funktionen?

Bei aktivierten KI-Funktionen werden die folgenden Verarbeitungen über Mittwald AI Hosting durchgeführt:

• Belegerkennung: Extraktion von Betrag, Datum, Lieferant, Kategorie und MwSt aus hochgeladenen PDF-/Bild-Belegen (Vision-Modell auf Mittwald AI Hosting).

• PDF-Kontoauszug-Import: Erkennung von Buchungen aus hochgeladenen Bank-PDF-Kontoauszügen zur Weiterverarbeitung als Buchungen.

• CSV-Fallback bei unbekannten Bankformaten: Bei CSV-Importen aus nicht-katalogisierten Bankformaten unterstützt ein Sprachmodell die Spalten-Erkennung.

• Belegzuordnung: Automatische Zuordnung hochgeladener Belege zu passenden Buchungen anhand Betrag, Datum und Kontext.

• Kategorie-Vorschläge: Empfehlung einer passenden SKR03-Kategorie basierend auf Buchungstext, Betrag und Kontext.

• Natürlich-Sprach-Rechnungserfassung: Wandelt einen freien Satz wie "Rechnung an Kunde X über 250 € am 14.06." in einen vorausgefüllten Rechnungsentwurf um.

• Interne Recherche-Hilfe bei Support-Anfragen: Wenn Sie uns eine Support-Anfrage senden, kann das KI-System im Hintergrund einen internen Antwort-Entwurf für den Betreiber vorbereiten. Wichtig: Antworten auf schriftliche Support-Anfragen werden zu keinem Zeitpunkt automatisch versendet. Die KI bereitet ausschließlich einen internen Antwort-Vorschlag vor, den der Betreiber persönlich prüft, anpasst oder verwirft. Die finale Antwort auf Ihre schriftliche Anfrage erfolgt stets manuell und persönlich per E-Mail. Beim KI-gestützten Telefonsupport beantwortet dagegen ein KI-Assistent Ihre Fragen direkt im Gespräch (Abschnitt 14a).

• Sprach-zu-Text (Voice-Input für Rechnungen): Wenn Sie in der Rechnungs-Erfassung das Mikrofon-Symbol aktivieren und einen Satz diktieren, wird die Sprachaufnahme in Text umgewandelt. Die Transkription erfolgt über ein Whisper-Sprachmodell, das ebenfalls auf Mittwald AI Hosting in Deutschland betrieben wird. Der erzeugte Text wird anschließend wie ein normal eingegebener Satz an die Rechnungs-Erkennung weitergegeben.

Welche Daten werden je Verarbeitung übermittelt?

• Beleg-, Kontoauszug- und Zuordnungs-Verarbeitungen: Der Inhalt des jeweiligen Dokuments (PDF, Bild) bzw. Buchungstexte und zugehörige Metadaten.

• Kategorie-Vorschläge: Buchungstext, Betrag und vergleichbare strukturelle Merkmale.

• Natürlich-Sprach-Rechnungserfassung: Der von Ihnen eingegebene Freitext sowie ggf. einfache Bezugs-Metadaten (z. B. aktuelles Datum).

• Support-Anfragen: Betreff, Nachricht und Kategorie des Tickets (der von Ihnen im Support-Formular eingegebene Text).

• Sprach-zu-Text: Eine kurze Audioaufnahme (Format webm/opus, max. ca. 60 Sekunden, max. 1 MB), die Sie aktiv durch Klick auf das Mikrofon-Symbol erzeugen. Die Aufnahme wird unmittelbar nach Transkription verworfen und nicht dauerhaft gespeichert.

Es werden keine weitergehenden Kontodaten, keine Zahlungsdaten und keine Stammdaten wie Name, Anschrift oder Steuernummer an Mittwald AI Hosting übertragen, die nicht direkt in den verarbeiteten Inhalten enthalten sind.

Anbieter und Verarbeitung — Mittwald AI Hosting (Deutschland)

• Anbieter: Mittwald CM Service GmbH & Co. KG · Königsberger Straße 4–6 · 32339 Espelkamp, Deutschland

• Verarbeitungsstandort: Rechenzentren in Espelkamp, Deutschland. ISO 27001-zertifiziert. Keine Drittlandsübermittlung.

• Zweck: KI-gestützte Metadaten-Extraktion (Belegerkennung, PDF-Kontoauszug-Import, CSV-Fallback, Belegzuordnung), Kategorie-Vorschläge, natürlich-sprachliche Rechnungserfassung, interne Recherche-Hilfe bei Support-Anfragen sowie Sprach-zu-Text-Eingabe.

• Eingesetzte Modelle: Mittwald AI Hosting betreibt mehrere Sprach- und Bildverarbeitungsmodelle (LLMs) auf eigener Infrastruktur in Deutschland — u. a. ein Vision-Modell für die Belegerkennung sowie kompakte Sprachmodelle für Kategorie-Vorschläge, Natürlich-Sprach-Rechnungserfassung und CSV-Fallback. Für die Sprach-zu-Text-Funktion wird ein Whisper-Modell (whisper-large-v3-turbo) eingesetzt. Die jeweils verwendeten Modelle können sich im Rahmen technischer Weiterentwicklung ändern; sämtliche Modelle laufen weiterhin auf Mittwalds Infrastruktur in Deutschland.

• Auftragsverarbeitung: Die KI-Verarbeitung erfolgt auf Grundlage des bestehenden Auftragsverarbeitungsvertrags (AVV) mit Mittwald gemäß Art. 28 DSGVO. Der AVV regelt Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Löschung und Unterauftragnehmer-Auswahl.

• Datenschutz Mittwald: mittwald.de/datenschutz

Speicherung und Verwendung durch Mittwald AI Hosting

KI-Eingaben werden nicht für das Training von KI-Modellen verwendet und nicht persistent gespeichert. Mittwald verarbeitet die übermittelten Inhalte ausschließlich zur Erbringung der angefragten KI-Verarbeitung und auf der Grundlage des AVV mit taxtello. Es findet keine eigenständige Nutzung der KI-Eingaben durch Mittwald statt. Die zur Verarbeitung übermittelten Inhalte verlassen die deutsche Infrastruktur nicht.

Nutzungs-Metadaten der KI-Funktionen

Unabhängig von den oben genannten KI-*Inhalten* (die nicht persistent gespeichert werden) protokolliert taxtello zu jedem KI-Aufruf technische Nutzungs-Metadaten zur Kostenkontrolle und zum stabilen Betrieb: das verwendete KI-Modell, die Anzahl verarbeiteter Tokens, geschätzte Kosten, Verarbeitungsdauer, Status (Erfolg/Fehler) sowie Zeitstempel und einen Bezug zum jeweiligen Arbeitsbereich. Diese Metadaten enthalten nicht den Inhalt Ihrer Eingaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kostentransparenz und Betriebssicherheit). Die Nutzungs-Metadaten werden durch einen automatisierten Löschprozess nach spätestens 180 Tagen gelöscht.

Sprach-zu-Text-Eingabe — einheitlich über Mittwald (Deutschland)

Wenn Sie in der Rechnungs-Erfassung das Mikrofon-Symbol aktivieren und einen Satz diktieren, wird die Sprachaufnahme in allen Browsern einheitlich verarbeitet: Die Audioaufnahme wird in Ihrem Browser erfasst und an unsere Server (Mittwald, Deutschland) übermittelt, wo sie von einem auf Mittwald AI Hosting betriebenen Whisper-Modell (whisper-large-v3-turbo) zu Text umgewandelt wird. Es findet keine Übermittlung in Drittstaaten statt. Der erzeugte Text wird anschließend wie ein normal eingegebener Satz an die Rechnungs-Erkennung weitergegeben.

Die browser-eigene "Web Speech API" (die in Google Chrome und Microsoft Edge Audiodaten an Google bzw. in Apple Safari an Apple senden würde) wird bewusst nicht genutzt, damit die Sprachverarbeitung ausschließlich auf deutscher Mittwald-Infrastruktur stattfindet. Die Audiodaten verlassen den EU-/Mittwald-Verarbeitungsrahmen daher zu keinem Zeitpunkt.

Hinweis zu biometrischen Daten: Die Sprach-zu-Text-Funktion dient ausschließlich der Umwandlung von Sprache in Text. Es findet keine biometrische Identifizierung oder Authentifizierung anhand Ihrer Stimme statt. Eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO ist mit dieser Funktion nicht beabsichtigt.

Support-AI: Was technisch garantiert ist

Die folgenden Zusagen gelten für die interne Recherche-Hilfe bei schriftlichen Support-Anfragen. Für den KI-gestützten Telefonsupport siehe Abschnitt 14a.

• Server-seitig wird vor jedem KI-Call (LLM oder Sprach-zu-Text) geprüft, ob die KI-Funktionen für das jeweilige Konto/Mandat aktiviert sind. Sind die KI-Funktionen deaktiviert, erfolgt keine Übermittlung an Mittwald AI Hosting.

• Das System hat keinen automatischen Mail-Versand-Pfad für KI-Antworten. Es ist technisch nicht möglich, dass eine KI-Antwort ohne manuelle Freigabe des Betreibers an Sie herausgeht.

• Jeder KI-Entwurf wird im Admin-Backend ausschließlich zur internen Ansicht angezeigt; der Betreiber kopiert die finale Antwort manuell.

Berufsgeheimnisträger (§ 203 StGB)

Wenn Sie in Ihrem Account eine Berufsgruppe mit besonderer Verschwiegenheitspflicht eingetragen haben (z. B. Steuerberater, Rechtsanwalt, Arzt, Psychotherapeut), sind Sie von allen KI-Funktionen der App hart ausgeschlossen — unabhängig von einer erteilten Einwilligung. Dies gilt für sämtliche KI-gestützten Verarbeitungen, einschließlich Belegerkennung, PDF-Kontoauszug-Import, CSV-Fallback, Belegzuordnung, Kategorie-Vorschlägen, natürlich-sprachlicher Rechnungserfassung, der internen Support-Recherche-Hilfe sowie der Sprach-zu-Text-Funktion. Insbesondere werden Support-Anfragen von Accounts mit einer dieser Berufsgruppen ausschließlich persönlich beantwortet, ohne dass Inhalte an Mittwald AI Hosting übermittelt werden. Der Ausschluss wird server-seitig vor jeder KI-Verarbeitung geprüft. Diese technische Sperre dient der Einhaltung der Verschwiegenheitspflichten gemäß § 203 StGB und der berufsrechtlichen Anforderungen, insbesondere für steuer- und rechtsberatende Berufe. Auch KI-Verbindungen zu externen KI-Diensten (Abschnitt 9a) sind für diese Accounts gesperrt.

Der Ausschluss betrifft die KI-Funktionen, die Sie angemeldet in Ihrem Account nutzen, sowie schriftliche Support-Anfragen aus diesen Accounts. Der Telefonassistent des KI-gestützten Telefonsupports (Abschnitt 14a) hat keinen Zugriff auf Ihren Account und Ihre Buchhaltungsdaten; ein Support-Vorgang kann anhand Ihrer Rufnummer Ihrem Konto zugeordnet werden. Im Telefonsupport findet keine Prüfung der Berufsgruppe statt, und die Gesprächsinhalte werden wie dort beschrieben verarbeitet, einschließlich der Wissenssuche in unserer Hilfe und der Gesprächszusammenfassung auf Servern von Mittwald. Wenn Sie einer Verschwiegenheitspflicht unterliegen, nennen Sie am Telefon bitte keine mandats- oder patientenbezogenen Angaben und nutzen Sie für solche Anliegen den schriftlichen Support.

Deaktivierung der KI-Funktionen

Sie können die KI-Funktionen jederzeit in den Einstellungen der App unter "KI-Funktionen" deaktivieren. Nach Deaktivierung werden keinerlei Inhalte mehr an Mittwald AI Hosting übermittelt. Bereits übermittelte Inhalte werden bei Mittwald nach Verarbeitungsende nicht weiter gespeichert. Die Deaktivierung gilt zugleich als Widerspruch im Sinne des Art. 21 DSGVO gegen die auf Art. 6 Abs. 1 lit. f DSGVO gestützte Verarbeitung.

Rechtsgrundlagen:

• Verarbeitung: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten, automatisierten Buchhaltung). Eine gesonderte Einwilligung ist nicht erforderlich; die KI-Funktionen sind standardmäßig aktiv und jederzeit in den Einstellungen deaktivierbar (Opt-out). Die Interessensabwägung berücksichtigt insbesondere Datensparsamkeit, die Verarbeitung ausschließlich auf Servern in Deutschland sowie besondere Vorsicht bei steuer- und buchhaltungsbezogenen Inhalten.

• Auftragsverarbeitung: Art. 28 DSGVO — geregelt durch den bestehenden Auftragsverarbeitungsvertrag (AVV) mit Mittwald CM Service GmbH & Co. KG.

• Internationale Datenübermittlung: Die von taxtello veranlasste KI-Verarbeitung über Mittwald erfolgt ausschließlich in Deutschland; insoweit findet keine Drittlandsübermittlung statt. Dies gilt auch für die optionale Sprach-Eingabe: Die Audioverarbeitung erfolgt in allen Browsern einheitlich über unsere Mittwald-Infrastruktur in Deutschland; die browser-eigene Web Speech API (die andernfalls Audiodaten an den Browser-Hersteller senden würde) wird bewusst nicht genutzt (siehe Abschnitt "Sprach-zu-Text-Eingabe — einheitlich über Mittwald (Deutschland)").

9a. KI-Verbindungen zu externen KI-Diensten (Beta)

Mit der Funktion KI-Verbindungen können Sie einen KI-Assistenten, den Sie selbst auswählen und nutzen (zum Beispiel Claude, ChatGPT, Codex oder einen eigenen Agenten), mit Ihrem taxtello-Konto verbinden. Der Assistent ruft dann über eine gesicherte Schnittstelle (Remote-MCP-Server unter app.taxtello.de/mcp) Daten aus taxtello ab, und zwar nur die Daten, die Sie vorher ausdrücklich freigegeben haben. Die Funktion ist als Beta gekennzeichnet und optional. Sie steht nur zur Verfügung, wenn sie für Ihr Konto freigeschaltet ist. Ohne Ihre Freigabe werden keine Daten an einen externen KI-Dienst übermittelt.

Die Zusagen aus Abschnitt 9 zur KI-Verarbeitung bei Mittwald in Deutschland (keine Drittlandübermittlung, kein Training, keine dauerhafte Speicherung der Eingaben) gelten nur für die KI-Verarbeitung, die taxtello selbst veranlasst. Auf externe KI-Dienste, die Sie über eine KI-Verbindung anbinden, lassen sie sich nicht übertragen.

Wie eine Verbindung entsteht

Eine Verbindung entsteht erst, wenn Sie sich bei taxtello anmelden und die Freigabe-Anfrage des Assistenten bestätigen. In dieser Freigabe legen Sie fest:

• welche Datenbereiche der Assistent lesen oder vorbereiten darf (siehe Tabelle unten); Bankumsätze, Kontaktdaten sowie Rechnungs- und Angebotsentwürfe sind nie vorausgewählt,
• für welche Geschäftsjahre die Freigabe gilt; für das Jahr, aus dem heraus Sie die Anfrage öffnen, können Sie den Zeitraum einschränken, jedes weitere gewählte Jahr geben Sie vollständig frei (1. Januar bis 31. Dezember), worauf die Freigabe vorher hinweist,
• wie lange die Freigabe gilt; nach Ablauf endet sie automatisch.

Ihre Einstellung zu den KI-Funktionen aus Abschnitt 9 erlaubt keine KI-Verbindung, und eine KI-Verbindung ändert an dieser Einstellung nichts. Weitere Datenbereiche erhält ein Assistent nur über eine neue Freigabe von Ihnen.

Welche Daten übermittelt werden

Je nach Freigabe erhält der Assistent folgende Daten:

• Grundinformationen (bei jeder Verbindung): Name und Geschäftsjahr des Arbeitsbereichs, die freigegebenen Datenbereiche und Zeiträume. Nicht enthalten: Rechnungs-, Beleg-, Bank- und Kontaktdaten.

• Finanzübersichten: Summen von Einnahmen, Ausgaben und Ergebnis, Anzahl der Buchungen sowie zusammengefasste Zähler offener Aufgaben aus den übrigen freigegebenen Bereichen. Nicht enthalten: Einzelbuchungen.

• Rechnungen ansehen: Rechnungsnummer, Datum, Art, Status, Beträge, Fälligkeit und Zahlungsstand, in der Detailansicht auch die Rechnungspositionen; Name und Firma des Kunden nur, wenn auch „Kontaktdaten" freigegeben ist. Nicht enthalten: Rechnungsdokumente, Anschriften, interne Zahlungs- und Prüfdaten.

• Belege ansehen: Dateiname des Belegs (er kann Namen enthalten), Einnahme oder Ausgabe, Zuordnungsstatus, Verknüpfung mit einer Buchung. Nicht enthalten: Originaldatei, OCR-Volltext, Daten aus E-Rechnungen.

• Bankumsätze: Buchungsdatum, Betrag, Währung, Name der Gegenpartei, Bezeichnung Ihres Kontos; zusammen mit „Rechnungen ansehen" auch Vorschläge, welche offene Rechnung zu einem Zahlungseingang passen könnte. Nicht enthalten: IBAN, Verwendungszweck, Rohdaten des Bankimports.

• Kontaktdaten: Ihr gesamtes Adressbuch (Kunden und Lieferanten) mit Name, Firma, Ort, Land und E-Mail-Adresse, unabhängig vom gewählten Geschäftsjahr und Zeitraum. Nicht enthalten: Straße, Postleitzahl, Telefonnummer, USt-IdNr., Notizen.

• Rechnungsentwürfe vorbereiten: Der Assistent kann Rechnungsentwürfe anlegen, ändern und vorab prüfen lassen. Er erhält dazu Status, Beträge und offene Punkte des Entwurfs; Name, Firma, Postleitzahl, Ort und Land des Kunden nur zusammen mit „Kontaktdaten". Versenden oder finalisieren kann er Rechnungen nicht, und die E-Mail-Adresse des Kunden erhält er nicht.

• Angebotsentwürfe vorbereiten: Der Assistent kann Angebotsentwürfe anlegen. Er erhält dazu Status, Datum, Gültigkeit, Beträge und den Link zum Entwurf; Name und Firma des Kunden nur zusammen mit „Kontaktdaten". Versenden, nummerieren, annehmen oder in eine Rechnung umwandeln kann er Angebote nicht, und Anschrift und E-Mail-Adresse des Kunden erhält er nicht.

Über eine KI-Verbindung sind ausgeschlossen: Originalbelege und OCR-Volltexte, Rechnungsversand, Stornierungen, Zahlungen und Steuerübermittlung. Entwürfe prüfen und versenden Sie weiterhin selbst in taxtello.

Rechnungen, Belege, Bankumsätze und Kontaktdaten können personenbezogene Daten Dritter enthalten, etwa Ihrer Kunden, Lieferanten und Ansprechpartner.

Empfänger: der von Ihnen gewählte KI-Dienst

Empfänger der freigegebenen Daten ist der KI-Dienst, den Sie verbinden. taxtello wählt diesen Dienst nicht aus, steht mit seinem Anbieter in keinem Vertragsverhältnis und setzt ihn nicht als eigenen Auftragsverarbeiter ein. Was der Anbieter mit den Daten macht, wo er sie verarbeitet, wie lange er sie speichert und ob er sie für das Training eigener Modelle nutzt, richtet sich nach seinen Bedingungen, Ihrem Tarif und Ihren Einstellungen dort. taxtello kann das weder prüfen noch beeinflussen. Auch bei einem Desktop-Programm kann die Verarbeitung auf den Servern des Anbieters stattfinden. Bitte lesen Sie vor der Verbindung die Datenschutzhinweise des jeweiligen Anbieters.

Viele KI-Anbieter verarbeiten Daten außerhalb der EU bzw. des EWR, insbesondere in den USA. Ob dafür ein Angemessenheitsbeschluss (Art. 45 DSGVO), Standardvertragsklauseln (Art. 46 DSGVO) oder andere Garantien greifen, hängt vom Anbieter und Ihrem Vertrag mit ihm ab. taxtello schließt mit dem Anbieter keine Vereinbarung über die Drittlandübermittlung (siehe Abschnitt 12).

Geben Sie über eine KI-Verbindung personenbezogene Daten Ihrer Kunden, Lieferanten oder sonstigen Kontakte frei, entscheiden Sie als Verantwortlicher über diese Weitergabe. Sie sind dann dafür verantwortlich, dass eine Rechtsgrundlage besteht und, soweit erforderlich, ein Auftragsverarbeitungsvertrag mit dem Anbieter sowie eine zulässige Grundlage für eine Drittlandübermittlung vorliegen.

Rechtsgrundlage

Soweit die freigegebenen Daten Sie selbst betreffen, übermitteln wir sie auf Ihre Anforderung zur Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO): Sie nutzen die Funktion und bestimmen mit Ihrer Freigabe, welche Daten an welchen Dienst gehen. Soweit die Daten Ihre Geschäftspartner betreffen, handeln wir als Ihr Auftragsverarbeiter. Ihre Freigabe ist insoweit Ihre dokumentierte Weisung (Art. 28 Abs. 3 lit. a DSGVO; siehe Abschnitt 15 und unseren Auftragsverarbeitungsvertrag).

Schutzmaßnahmen

• Der Assistent meldet sich über OAuth 2.1 mit PKCE an. Ihr taxtello-Passwort erhält er nicht.
• Zugangstoken speichert taxtello nur als Hashwert. Ein Zugriffstoken ist jeweils höchstens 60 Minuten gültig.
• Vor jeder Antwort prüft taxtello den Abruf gegen Ihre Freigabe, also gegen Datenbereich, Geschäftsjahr, Zeitraum und Laufzeit. Zusätzlich gelten Tages- und Mengenbegrenzungen je Arbeitsbereich und je Konto.
• Die Übertragung erfolgt verschlüsselt über HTTPS.

Zugriffsprotokoll

Zu jedem Abruf und jedem vorbereiteten Entwurf speichert taxtello einen Protokolleintrag mit Zeitpunkt, Konto, Arbeitsbereich und Nutzer, dem verbundenen Dienst (Client-Kennung), der aufgerufenen Funktion, dem Datenbereich, Anzahl und Umfang der ausgegebenen Datensätze, den internen Kennungen der ausgegebenen Datensätze (höchstens 200 je Abruf), dem abgefragten Zeitraum, der Version der Freigabe und der gekürzten IP-Adresse, von der der Abruf kam (bei IPv4 ohne den letzten Zahlenblock, bei IPv6 nur die ersten drei Blöcke). Abgelehnte Abrufe protokollieren wir ebenfalls mit der gekürzten IP-Adresse. Kennungen und IP-Adresse dienen der Aufklärung von Sicherheitsvorfällen und erscheinen nicht in der Aktivitätsansicht. Zu jeder Verbindung speichern wir außerdem den Namen des Dienstes, die Freigabe selbst (Datenbereiche, Jahre, Zeitraum, Laufzeit) und den Zeitpunkt der letzten Nutzung. Die Inhalte der ausgegebenen Daten sowie Ihre Prompts und Chatverläufe speichert taxtello nicht. Das Protokoll sehen Sie in den Einstellungen unter „KI-Verbindungen" im Bereich „Aktivität".

Das Protokoll dient dazu, nachvollziehen zu können, wer wann welche Daten abgerufen hat, und Missbrauch oder Fehlkonfigurationen zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und nachvollziehbaren Betrieb) in Verbindung mit Art. 32 DSGVO. Einträge zu einzelnen Abrufen und abgelehnten Abrufen löschen wir zwölf Monate nach dem Abruf. Einträge zu Freigaben, Widerrufen und zu Entwürfen, die ein Assistent angelegt oder geändert hat, sind Teil des manipulationsgeschützten Änderungsprotokolls Ihres Kontos. Sie belegen Ihre Weisungen und die Änderungshistorie der Entwürfe und werden wie die zugehörigen Buchhaltungsdaten aufbewahrt (siehe Abschnitt 6).

Widerruf und Ende der Verbindung

Sie können jede Verbindung jederzeit in den Einstellungen unter „KI-Verbindungen" widerrufen oder ihre Rechte verkleinern. Ein Widerruf stoppt neue Abrufe sofort und macht die Zugangstoken des Dienstes ungültig. Umfasst eine Freigabe mehrere Geschäftsjahre, beendet der Widerruf der Hauptverbindung die Freigabe für alle Jahre; welche Jahre betroffen sind, zeigt die Oberfläche beim Widerruf an. Nach Ablauf der gewählten Laufzeit endet die Verbindung automatisch. Wird die Funktion für Ihr Konto deaktiviert, sind bestehende Verbindungen ebenfalls gestoppt.

Der Widerruf wirkt nur für die Zukunft. Daten, die der KI-Dienst vorher abgerufen hat, liegen beim Anbieter und unterliegen dessen Regeln. taxtello kann sie dort nicht löschen; wenden Sie sich dafür an den Anbieter.

Berufsgeheimnisträger

Haben Sie in Ihrem Account eine Berufsgruppe mit besonderer Verschwiegenheitspflicht eingetragen (siehe Abschnitt 9), können Sie keine KI-Verbindung einrichten. taxtello prüft das bei der Freigabe und bei jedem Abruf. Tragen Sie eine solche Berufsgruppe während einer bestehenden Verbindung ein, endet die Übermittlung mit dem nächsten Abruf.

10. Zahlungsabwicklung (Stripe)

10.1 Abonnement-Zahlungen

Für die Abwicklung von Abonnement-Zahlungen (Vertragsverhältnis zwischen Ihnen als Nutzer und taxtello) nutzen wir den Zahlungsdienstleister Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland („Stripe") sowie ggf. weitere Stripe-Konzerngesellschaften, insbesondere in den USA (z. B. Stripe, Inc.). Details in der Datenschutzerklärung von Stripe.

Bei der Buchung eines kostenpflichtigen Plans werden folgende Daten an Stripe übermittelt:

• E-Mail-Adresse (zur Rechnungszustellung)

• Zahlungsinformationen (Kreditkarte o. Ä.) — diese werden ausschließlich von Stripe verarbeitet und erreichen unsere Server nicht

• Gewählter Tarif und Abrechnungszeitraum

Stripe verarbeitet Zahlungsdaten als eigenständiger Verantwortlicher gemäß eigener Datenschutzerklärung: stripe.com/de/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Für eine etwaige Datenübermittlung in die USA: Art. 45 DSGVO (Angemessenheitsbeschluss für das EU-US Data Privacy Framework) sowie EU-Standardvertragsklauseln. Stripe ist unter dem DPF zertifiziert.

10.2 Online-Zahlung im Rechnungsportal (Stripe Connect)

Für Kartenzahlungen im taxtello-Rechnungsportal setzen wir Stripe Connect Standard ein. Wenn Sie eine Rechnung über das Rechnungsportal bezahlen, wird die Zahlung unmittelbar an den jeweiligen Rechnungsaussteller als Inhaber des verbundenen Stripe-Kontos („Connected Account") geleistet. taxtello wird dabei weder selbst Zahlungsempfänger noch Verwahrer von Kundengeldern; wir stellen lediglich die technische Plattform und das Rechnungsportal bereit.

Primärer Zahlungsdienstleister ist Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland („Stripe"). Stripe kann im Rahmen der Zahlungsabwicklung weitere Stripe-Konzerngesellschaften als Auftragsverarbeiter einsetzen, einschließlich Gesellschaften in den USA. In diesen Fällen erfolgt die Übermittlung auf Grundlage geeigneter Garantien für den internationalen Datentransfer (z. B. Standardvertragsklauseln, Data Transfer Addendum und ggf. EU-US Data Privacy Framework), wie in der Stripe-Datenschutzinformation beschrieben (stripe.com/privacy).

Der jeweilige Rechnungsaussteller/Nutzer ist Verantwortlicher gegenüber seinen Rechnungsempfängern; er entscheidet über Inhalt der Rechnung, Leistungserbringung, steuerliche Behandlung und die Nutzung der Zahlungsoptionen. Stripe agiert für die technische Ausführung der Kartenzahlungen als Auftragsverarbeiter von taxtello bzw. des Rechnungsausstellers. Für Identitätsprüfungen (KYC), Geldwäscheprävention (AML), Sanktionslistenprüfungen und Betrugsprävention, die Stripe aufgrund eigener regulatorischer Pflichten durchführt, handelt Stripe als eigenständiger Verantwortlicher oder gegebenenfalls (Mit-)Verantwortlicher.

Welche Daten werden verarbeitet? Im Rahmen der Rechnungsportal-Zahlung verarbeiten wir nur die Daten, die zur Zahlungszuordnung erforderlich sind:

• Referenzen auf die Rechnung (z. B. Rechnungsnummer, Rechnungs-ID),
• Zahlungsbetrag, Währung und Zahlungszeitpunkt,
• Zahlungsstatus (z. B. „offen", „bezahlt", „fehlgeschlagen"),
• technische Referenzkennungen von Stripe (z. B. IDs für Checkout-Session, PaymentIntent, Charge, BalanceTransaction sowie die ID des verbundenen Stripe-Kontos) und
• optional die vom Rechnungsempfänger im Checkout angegebene E-Mail-Adresse für Zahlungsbestätigungen.

Wir speichern keine vollständigen Kartennummern, keine CVC-Codes und keine sonstigen vollständigen Zahlungsinstrumentdaten in taxtello. Diese werden ausschließlich direkt von Stripe erhoben und verarbeitet.

Stripe kann zur Erfüllung eigener regulatorischer Pflichten technische Risiko-, Betrugs- und KYC-Daten verarbeiten (z. B. Sanktionslistenprüfung, Risikoscores, Auswertung von Transaktionsmustern). taxtello erhält diese Risikoscores und Prüfdetails nicht und führt selbst kein eigenes Scoring oder Profiling von Rechnungsempfängern durch. Insbesondere nutzen wir derzeit keine Stripe-Identity-Produkte und keine biometrischen Verfahren.

Zwecke und Rechtsgrundlagen: Gegenüber unseren Nutzern (Rechnungsausstellern) Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags); gegenüber Rechnungsempfängern Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags über die Begleichung der Rechnung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, effizienten und in die Buchhaltung integrierten Zahlungsabwicklung). Sie sind nicht verpflichtet, das Online-Zahlungsangebot zu nutzen; alternativ stehen die in der Rechnung angegebenen klassischen Zahlungswege (z. B. Banküberweisung) zur Verfügung. Stripe und die jeweilige Bank bzw. der Zahlungsdienstleister des Rechnungsempfängers verarbeiten Zahlungsdaten zudem zur Erfüllung gesetzlicher Pflichten, etwa nach Zahlungsdienste-, Geldwäsche- und Aufsichtsrecht.

Drittlandübermittlung: Stripe kann Daten in Länder außerhalb der EU (insb. USA) übermitteln und sichert ein angemessenes Datenschutzniveau u. a. über das EU-US Data Privacy Framework, EU-Standardvertragsklauseln und ein Data Transfer Addendum ab (stripe.com/legal/data-privacy-framework).

Speicherdauer: taxtello speichert die für die Zahlungszuordnung erforderlichen Metadaten (Rechnungsreferenz, Beträge, Status, Stripe-IDs, Zeitstempel) nur so lange, wie sie für die Durchführung und Dokumentation der Buchhaltung, für steuer- und handelsrechtliche Aufbewahrungspflichten sowie für Nachweis- und Audit-Zwecke erforderlich sind. Stripe speichert Zahlungsdaten nach Maßgabe der eigenen Datenschutzhinweise und gesetzlichen Pflichten als Zahlungsdienstleister; hierauf haben wir keinen Einfluss.

Cookies und Stripe-Skripte: Aktuell binden wir Stripe nur in Form einer Redirect- bzw. serverseitigen Checkout-Lösung ein, ohne Stripe.js oder eingebettete Stripe-Checkout-Widgets auf unseren Webseiten zu verwenden. Dadurch werden auf unseren Seiten derzeit keine Stripe-Cookies oder vergleichbare Stripe-Trackingtechnologien gesetzt. Sollten wir künftig Stripe.js oder eingebettete Checkout-Komponenten einsetzen, passen wir diesen Hinweis und unsere Cookie-Informationen entsprechend an und holen, soweit erforderlich, eine Einwilligung ein.

11. Bankkonto-Anbindung (PSD2 / Bank Account Data)

Sie können Ihr Geschäftskonto optional über unseren Partner Enable Banking mit taxtello verbinden, um Ihre Kontoumsätze automatisch und sicher in Ihre Buchhaltung zu importieren.

Was passiert: Es wird ausschließlich ein lesender Zugriff auf Ihre Kontoinformationen (Salden und Transaktionen) eingerichtet. Es können keine Überweisungen oder Lastschriften ausgelöst werden. Ihre Online-Banking-Zugangsdaten erhält taxtello nicht — die Anmeldung und Freigabe erfolgt ausschließlich bei Ihrer Bank bzw. bei Enable Banking (starke Kundenauthentifizierung nach PSD2).

Verarbeitete Daten: IBAN, Kontoinhaber, Saldo, Transaktionen (Betrag, Datum, Verwendungszweck, Gegenpartei). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags, soweit Sie die Bankkonto-Anbindung nutzen); ergänzend Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem effizienten und fehlerarmen Bankabgleich).

Empfänger: Enable Banking Oy, Helsinki, Finnland (EU) — ein lizenzierter Kontoinformationsdienst (AISP), beaufsichtigt durch die finnische Finanzaufsicht. Die Verarbeitung erfolgt innerhalb der EU/des EWR; eine Drittlandübermittlung findet insoweit nicht statt. Enable Banking ist für einen Teil der Verarbeitung (Erfüllung seiner gesetzlichen Pflichten als Zahlungsinstitut) eigener Verantwortlicher im Sinne der DSGVO; soweit Daten ausschließlich zur Übermittlung der Kontoinformationen an uns verarbeitet werden, handelt Enable Banking als Auftragsverarbeiter.

Ihre Bankdaten werden nicht zum Training von KI-Modellen verwendet. Enable Banking hat eine eigene Datenschutzerklärung: enablebanking.com/privacy.

Ihre Kontrolle: Sie können die Bankverbindung jederzeit in den Einstellungen trennen; die Zustimmung läuft zudem nach spätestens 180 Tagen automatisch ab und muss erneuert werden.

11a. Push-Benachrichtigungen

taxtello kann Sie auf Wunsch über Web-Push-Benachrichtigungen informieren (z. B. über Fälligkeiten oder den Abschluss von Verarbeitungen). Diese Funktion wird nur aktiv, wenn Sie sie im Browser bzw. in der App ausdrücklich erlauben; die Browser-Abfrage zur Erteilung der Benachrichtigungs-Berechtigung ist Teil dieses Vorgangs.

Technischer Ablauf (W3C-Web-Push-Standard / VAPID): taxtello nutzt den offenen Web-Push-Standard mit eigenen Schlüsseln (VAPID); ein Dienst von Google Firebase, ein Firebase-Projekt oder das Firebase-SDK kommen dabei nicht zum Einsatz. Aktivieren Sie Push-Benachrichtigungen, erzeugt Ihr Browser ein verschlüsseltes „Push-Abonnement" (Subscription) und legt dabei selbst fest, über welches Push-Gateway des Browser-/Geräteherstellers die Zustellung erfolgt. Unser Server übergibt die verschlüsselte Benachrichtigung anschließend an die vom Browser vorgegebene Gateway-Adresse. Diese Gateways sind kein von taxtello beauftragter Dienstleister und kein Auftragsverarbeiter, sondern fester, vom Browser bzw. Betriebssystem vorgegebener Bestandteil des Zustellwegs — ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) mit diesen Anbietern ist daher weder möglich noch erforderlich:

• Google-Push-Gateway (fcm.googleapis.com) — für Google Chrome und Chromium-basierte Browser; Google LLC, USA. (Die URL gehört zur Google-Infrastruktur; eine Nutzung von Google Firebase durch taxtello ist damit nicht verbunden.)
• Apple Push Notification service (web.push.apple.com) — für Safari/iOS; Apple Inc., USA.
• Mozilla autopush (push.services.mozilla.com) — für Firefox; Mozilla.
• Microsoft (Windows Notification Service, WNS) (notify.windows.com) — für Microsoft Edge unter Windows; Microsoft, USA.

Welche Daten dabei übermittelt werden: An das Push-Gateway werden der vom Browser vergebene Subscription-Endpoint sowie die für den Transport Ende-zu-Ende-verschlüsselte Benachrichtigung übergeben. Der Gateway-Betreiber kann den Inhalt der Benachrichtigung nicht im Klartext einsehen. Wir übermitteln zudem keine Buchhaltungs-, Beleg- oder Mandatsinhalte, sondern ausschließlich generische Benachrichtigungstexte (z. B. Titel und kurzer Hinweistext).

Rechtsgrundlage: Das Speichern bzw. Auslesen des Push-Abonnements auf Ihrem Endgerät erfolgt auf Grundlage Ihrer Einwilligung gemäß § 25 Abs. 1 TDDDG; die anschließende Verarbeitung der personenbezogenen Daten stützt sich auf Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Aktivierung der Benachrichtigungen). Push-Benachrichtigungen sind kein technisch notwendiger Bestandteil des Dienstes; ohne Ihre Aktivierung werden weder ein Push-Abonnement erstellt noch Daten an ein Push-Gateway übertragen. Sie können die Berechtigung jederzeit in den Browser- bzw. App-Einstellungen widerrufen; danach werden keine Push-Benachrichtigungen mehr zugestellt.

Drittlandübermittlung: Welches Push-Gateway genutzt wird, gibt Ihr Browser vor; bei Google, Apple und Microsoft werden diese Gateways (auch) in den USA betrieben, sodass mit der Zustellung eine Übermittlung in die USA verbunden sein kann. Soweit der jeweilige Betreiber unter dem EU-US Data Privacy Framework (DPF) zertifiziert ist — dies trifft auf Google LLC und Microsoft zu —, ist ein angemessenes Datenschutzniveau über den Angemessenheitsbeschluss nach Art. 45 DSGVO gewährleistet. Für das Apple-Gateway besteht derzeit keine DPF-Zertifizierung; die Übermittlung erfolgt hier auf Grundlage Ihrer Einwilligung und ist auf den verschlüsselten Transport beschränkt — taxtello tritt mit Apple in kein Vertragsverhältnis und übermittelt keine Inhalte im Klartext (nähere Informationen zur Datenverarbeitung durch Apple: apple.com/legal/privacy). Da taxtello mit den Gateway-Betreibern generell in kein Vertragsverhältnis tritt, beschränkt sich die Übermittlung in allen Fällen auf den verschlüsselten Transport; übertragen werden nur der Subscription-Endpoint und die verschlüsselte Benachrichtigung (siehe auch § 12).

12. Drittlandübermittlung

Eine Übermittlung personenbezogener Daten in Drittstaaten (Länder außerhalb der EU/EWR) findet nur in folgendem Fall statt:

• Stripe (Stripe Payments Europe Limited, Dublin, Irland, sowie ggf. weitere Stripe-Konzerngesellschaften, insbesondere Stripe, Inc., USA): Zahlungsabwicklung für kostenpflichtige Abonnements (§ 10.1) sowie für Online-Zahlungen im Rechnungsportal (§ 10.2). Rechtsgrundlage für eine etwaige Übermittlung in die USA: Angemessenheitsbeschluss gemäß Art. 45 DSGVO (EU-US Data Privacy Framework) sowie EU-Standardvertragsklauseln. Stripe ist unter dem DPF zertifiziert.

• Push-Gateways der Browser-/Gerätehersteller (Google, Apple, Microsoft — Betrieb auch in den USA): Zustellung optionaler Push-Benachrichtigungen über den offenen Web-Push-Standard (VAPID), sofern Sie diese aktiviert haben (§ 11a). Die Gateways sind kein von taxtello beauftragter Auftragsverarbeiter. Für Google und Microsoft ist ein angemessenes Datenschutzniveau über den Angemessenheitsbeschluss gemäß Art. 45 DSGVO (EU-US Data Privacy Framework) gewährleistet, da diese Betreiber unter dem DPF zertifiziert sind; für Apple besteht keine DPF-Zertifizierung, die Übermittlung stützt sich insoweit auf Ihre Einwilligung und beschränkt sich auf den verschlüsselten Transport. Es werden dabei keine Buchhaltungsinhalte übertragen, sondern nur der Subscription-Endpoint und die verschlüsselte Benachrichtigung.

• Google Workspace (Bearbeitung von E-Mails an support@taxtello.de, Abschnitt 14): Vertragspartner ist Google Cloud EMEA Ltd. (Dublin); soweit Daten an Google LLC in die USA gelangen, stützt sich dies auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO, Google LLC ist zertifiziert) sowie auf EU-Standardvertragsklauseln.

• KI-gestützter Telefonsupport (Abschnitt 14a): Die Sprachverarbeitung durch OpenAI erfolgt über eine globale Infrastruktur; Gesprächsinhalte können dabei auch in den USA verarbeitet werden. Vertragspartner ist OpenAI Ireland Ltd.; Übermittlungen an OpenAI-Gesellschaften außerhalb des EWR erfolgen auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) bzw. eines Angemessenheitsbeschlusses. Die Telefonverbindung läuft über Twilio in der Region Irland; soweit dabei Daten an Twilio Inc. in die USA gelangen, stützt sich dies auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO, Twilio Inc. ist zertifiziert), nachrangig auf Twilios Binding Corporate Rules bzw. Standardvertragsklauseln.

• KI-Verbindungen zu externen KI-Diensten (Abschnitt 9a): Verbinden Sie einen KI-Dienst, der Daten außerhalb der EU bzw. des EWR verarbeitet (etwa in den USA), gelangen die von Ihnen freigegebenen Daten auf Ihre Veranlassung dorthin. Den Empfänger wählen Sie selbst. taxtello setzt ihn nicht als Auftragsverarbeiter ein und schließt mit ihm keine Vereinbarung über die Drittlandübermittlung. Welche Garantien gelten (etwa ein Angemessenheitsbeschluss nach Art. 45 DSGVO oder Standardvertragsklauseln nach Art. 46 DSGVO), richtet sich nach dem Anbieter und Ihrem Vertrag mit ihm.

(Vercel Web Analytics und Vercel Speed Insights auf der öffentlichen Webseite arbeiten cookielos, bilden keine Nutzerprofile und werden erst nach Ihrer Einwilligung geladen — Einzelheiten einschließlich der dabei in die USA übermittelten technischen Daten finden Sie in den Abschnitten "Vercel Web Analytics" und "Vercel Speed Insights".)

Für das Hosting und sämtliche von taxtello veranlasste KI-Verarbeitung über Mittwald (Deutschland) findet keine Drittlandübermittlung statt. Ausgenommen ist der KI-gestützte Telefonsupport (Abschnitt 14a), der zusätzlich Twilio und OpenAI einsetzt. Insbesondere die optionalen KI-Funktionen (Belegerkennung, PDF-Kontoauszug-Import, CSV-Fallback, Belegzuordnung, Kategorie-Vorschläge, natürlich-sprachliche Rechnungserfassung, interne Recherche-Hilfe bei Support-Anfragen sowie die server-seitige Sprach-zu-Text-Verarbeitung) werden ausschließlich auf Mittwald AI Hosting in Deutschland ausgeführt. Dies gilt auch für die optionale Sprach-Eingabe, die in allen Browsern einheitlich über die Mittwald-Infrastruktur in Deutschland verarbeitet wird; die browser-eigene Spracherkennung (Web Speech API), die andernfalls Audiodaten an den Browser-Hersteller senden würde, wird bewusst nicht genutzt (siehe § 9). Für KI-Verbindungen zu externen Diensten, die Sie selbst anbinden, gilt diese Aussage nicht (siehe Abschnitt 9a).

13. Cookies & lokale Speicherung (TDDDG)

Gemäß § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) informieren wir Sie über den Einsatz von Cookies und ähnlichen Technologien:

Technisch notwendige Cookies

Für die Nutzung der App (taxtello Cloud) setzen wir folgende technisch notwendige Cookies, ohne die der Dienst nicht funktionieren kann:

• __Host-taxtello_session – Session-Token zur Authentifizierung eingeloggter Nutzer (Sitzungscookie, wird beim Logout oder nach 24 Stunden gelöscht)

• __Host-taxtello_mfa_pending – Zwischenspeicher zwischen Passwort-Eingabe und Zwei-Faktor-Code-Eingabe beim MFA-Login. Enthält eine signierte, verschlüsselte User-ID, Zeitstempel und Zufallswert — keine personenbezogenen Inhalte im Klartext. Wird nach erfolgreichem Login oder automatisch nach 5 Minuten gelöscht.

• csrf_token – CSRF-Schutz-Token zur Sicherung von Formulardaten (Sitzungscookie)

• taxtello_theme – Speichert die von Ihnen aktiv gewählte Darstellung (light oder dark) und synchronisiert diese Präferenz zwischen taxtello.de und app.taxtello.de. Das Cookie wird nur gesetzt, wenn Sie das Erscheinungsbild aktiv umstellen, und dient ausschließlich der Darstellung der Oberfläche.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch unbedingt erforderlich) in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO. Eine Einwilligung ist für technisch notwendige Cookies nicht erforderlich.

localStorage (Browser-Speicher)

Auf der Landingpage (taxtello.de) kann im localStorage Ihres Browsers eine Einstellung zur Einwilligung unter dem Schlüssel taxtello_consent gespeichert werden. Zusätzlich können zur technischen Kompatibilität lokale Theme-Präferenzen unter den Schlüsseln theme, taxtello_theme oder euer_theme gespiegelt werden. Diese Einträge verlassen Ihren Browser nicht und werden nicht zu Analyse- oder Marketingzwecken verwendet. Zum lokalen Speicher des Tools „E-Rechnung prüfen“ siehe Abschnitt 14b.

Analyse- und Marketing-Cookies

Wir setzen keine Analyse-, Tracking- oder Marketing-Cookies ein. Es gibt kein Google Analytics, kein Hotjar, kein Meta Pixel o. ä.

Cookielose Webanalyse (Umami)

Auf der öffentlichen Webseite (taxtello.de) nutzen wir Umami Analytics zur anonymen Auswertung der Seitennutzung (Seitenaufrufe, Verweisquellen, Gerätetypen). Umami arbeitet vollständig ohne Cookies und erhebt keine personenbezogenen Daten — es werden keine IP-Adressen gespeichert, keine Geräte-Fingerprints erstellt und keine Nutzerprofile gebildet.

Da keine Cookies gesetzt und keine personenbezogenen Daten verarbeitet werden, ist keine Einwilligung gemäß § 25 TDDDG oder Art. 6 DSGVO erforderlich.

Umami wird als Cloud-Dienst betrieben von Umami Software, Inc. Weitere Informationen: umami.is/privacy

Einwilligungsbasierte Reichweiten- und Performance-Messung (Vercel)

Auf der öffentlichen Webseite setzen wir zusätzlich Vercel Web Analytics (Reichweitenmessung) und Vercel Speed Insights (Performance-Messung der Core Web Vitals) ein. Beide arbeiten ebenfalls ohne Cookies und ohne dauerhafte Kennung auf Ihrem Gerät, werden jedoch — anders als Umami — erst nach Ihrer aktiven Einwilligung über den Cookie-/Tracking-Hinweis geladen. Ohne Einwilligung werden diese Skripte nicht ausgeführt und es findet keine Erhebung statt. Einzelheiten zu den erhobenen Daten, zur Rechtsgrundlage (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO) und zur Übermittlung in die USA finden Sie in den Abschnitten "Vercel Web Analytics" und "Vercel Speed Insights".

Wichtig: In der App (app.taxtello.de) findet kein Tracking statt — Umami sowie die Vercel-Messdienste sind ausschließlich auf der öffentlichen Webseite aktiv.

Vercel Web Analytics

Auf der öffentlichen Webseite (taxtello.de) nutzen wir zusätzlich Vercel Web Analytics zur aggregierten, anonymen Auswertung der Seitennutzung (z. B. Seitenaufrufe und herkunftsbezogene Kennzahlen). Vercel Web Analytics arbeitet vollständig ohne Cookies und ohne dauerhafte Kennung auf Ihrem Gerät; es findet keine Profilbildung statt, und es werden keine personenbezogenen Profile oder Nutzerkennungen gespeichert. Beim Erfassen der Aufrufe verarbeitet Vercel als technische Übertragungsinformation kurzzeitig Ihre IP-Adresse; eine Speicherung der IP-Adresse zu Profilzwecken erfolgt nicht.

Auch Vercel Web Analytics wird erst nach Ihrer Einwilligung über den Cookie-/Tracking-Hinweis geladen. Rechtsgrundlage ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG sowie Art. 6 Abs. 1 lit. a DSGVO, die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.

Anbieter: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Eine Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework, unter dem Vercel zertifiziert ist (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO); ergänzend bestehen Standardvertragsklauseln. Weitere Informationen: vercel.com/legal/privacy-policy

Vercel Speed Insights

Zur Messung der tatsächlichen Ladegeschwindigkeit und Bedienbarkeit unserer Seiten bei echten Aufrufen (sogenannte Core Web Vitals wie Largest Contentful Paint, Cumulative Layout Shift und Interaction to Next Paint) nutzen wir zusätzlich Vercel Speed Insights. Erhoben werden dabei ausschließlich technische Leistungsmesswerte sowie grobe Kontextangaben zur Einordnung (z. B. aufgerufener Seitenpfad, Gerätekategorie und ungefähre Verbindungsqualität). Diese Werte werden bei Vercel aggregiert ausgewertet; es findet keine Profilbildung statt, und es werden keine personenbezogenen Profile oder Nutzerkennungen gespeichert.

Speed Insights arbeitet ohne Cookies und ohne dauerhafte Kennung auf Ihrem Gerät. Beim Senden der Messwerte verarbeitet Vercel als technische Übertragungsinformation kurzzeitig Ihre IP-Adresse; eine Speicherung der IP-Adresse zu Profilzwecken erfolgt nicht.

Speed Insights wird — wie Vercel Web Analytics — erst nach Ihrer Einwilligung über den Cookie-/Tracking-Hinweis geladen. Ohne Einwilligung findet keine Erhebung statt. Rechtsgrundlage für die Speicherung bzw. den Zugriff auf Informationen in Ihrem Endgerät ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Anbieter: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Eine Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework, unter dem Vercel zertifiziert ist (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO); ergänzend bestehen Standardvertragsklauseln. Weitere Informationen: vercel.com/legal/privacy-policy

14. Kontaktaufnahme & E-Mail

Wenn Sie uns per E-Mail oder über das Kontaktformular kontaktieren, werden die von Ihnen übermittelten Daten (Ihr Name, Ihre E-Mail-Adresse sowie der Inhalt Ihrer Nachricht) bei uns gespeichert und verarbeitet, um Ihr Anliegen zu bearbeiten.

Zusätzlich kann bei Nutzung des Kontaktformulars Ihre IP-Adresse technisch verarbeitet werden, soweit dies zur Abwehr von Missbrauch, Spam und technischen Angriffen sowie zur Durchsetzung von Anfragelimits erforderlich ist. Die IP-Adresse wird nicht in routinemäßige Antwort- oder Benachrichtigungs-E-Mails an unser Support-Postfach übernommen.

Der Versand von Kontaktformular-Anfragen auf der öffentlichen Webseite (taxtello.de) erfolgt über unsere Hosting-Infrastruktur bei Mittwald CM Service GmbH & Co. KG (Deutschland) per SMTP. E-Mails an support@taxtello.de, einschließlich dieser Anfragen, gehen in ein Postfach bei Mittwald und werden zusätzlich an ein Postfach bei Google Workspace weitergeleitet, mit dem wir sie bearbeiten. Google kann diese E-Mails auch in den USA verarbeiten (siehe Abschnitte 12 und 15).

Telefonischer Support: Anrufe unter unserer Telefonnummer nimmt ein KI-Assistent entgegen. Die Einzelheiten dazu beschreibt Abschnitt 14a.

Diese Daten werden ohne Ihre Einwilligung nicht an Dritte weitergegeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) bzw. Art. 6 Abs. 1 lit. b DSGVO, sofern die Kontaktaufnahme einem vertraglichen Verhältnis dient.

Speicherdauer (Art. 13 Abs. 2 lit. a DSGVO): Anfragen und der zugehörige Bearbeitungsverlauf werden gelöscht, sobald Ihr Anliegen abschließend bearbeitet wurde und keine gesetzliche Aufbewahrungspflicht entgegensteht. Spätestens erfolgt die Löschung nach Ablauf der folgenden Fristen, durch die ein automatisierter Löschprozess sicherstellt, dass keine Daten unbegrenzt vorgehalten werden:

• Support-Anfragen aus der App (Support-Tickets eingeloggter Nutzer, inklusive Antwortverlauf und etwaiger Anhänge): Löschung 12 Monate nach Abschluss der Anfrage.

• Kontaktanfragen über das Kontaktformular auf taxtello.de (von Personen ohne Nutzerkonto): Löschung 12 Monate nach Eingang der Anfrage.

Kontakt:
E-Mail: support@taxtello.de
Telefon (KI-Telefonassistent, siehe Abschnitt 14a): 0721 95279627

14a. KI-gestützter Telefonsupport

Unter der Telefonnummer 0721 95279627 bieten wir einen KI-gestützten Telefonsupport an. Anrufe nimmt ein Sprachassistent auf Basis künstlicher Intelligenz entgegen. Er beantwortet Fragen zur Nutzung von taxtello und kann ungelöste Anliegen zur weiteren Bearbeitung an unser Support-Team weitergeben. Zu Beginn des Gesprächs weisen wir darauf hin, dass Sie mit einem KI-Assistenten sprechen. Eine Weitervermittlung an Mitarbeitende ist nicht möglich; per E-Mail erreichen Sie uns jederzeit unter support@taxtello.de.

Verarbeitete Daten und Zwecke: Bei einem Anruf verarbeiten wir die übermittelte Telefonnummer, Zeitpunkt und Dauer des Anrufs, die im Gespräch gesprochenen Inhalte, Ihr geschildertes Anliegen sowie freiwillig genannte Kontaktdaten (Name, Rückrufnummer und, nur wenn Sie lieber per E-Mail Antwort möchten, Ihre E-Mail-Adresse). Zweck ist die Beantwortung von Produktfragen, die technische Unterstützung und die Bearbeitung offener Supportanfragen. Für Produktfragen ruft der Assistent passende Auszüge unserer öffentlichen Hilfe ab.

Eingesetzte Dienstleister:

• Twilio (Telefonverbindung): Die eingehenden Anrufe werden über die Twilio-Region Irland (IE1) geleitet. Twilio verarbeitet dabei insbesondere Rufnummern, Verbindungsdaten und den Sprachstrom.
• OpenAI (Spracherkennung und Antworten, Modell GPT-Live; Vertragspartner OpenAI Ireland Ltd.): Sprachdaten und Gesprächsinhalte werden während des Gesprächs an OpenAI übertragen und dort verarbeitet. Die Verarbeitung erfolgt derzeit über eine globale Infrastruktur, eine Verarbeitung außerhalb des EWR, insbesondere in den USA, ist daher möglich.
• Mittwald (Deutschland): Anwendungsserver, die Wissenssuche in unserer Hilfe, die Erstellung der Gesprächszusammenfassung, die Speicherung der Support-Vorgänge und das Support-Postfach support@taxtello.de.
• Google Workspace (Google Cloud EMEA Ltd., Dublin; Verarbeitung auch durch Google LLC, USA): Die Benachrichtigungs-E-Mails an unser Support-Team werden aus dem Support-Postfach an ein Google-Workspace-Postfach weitergeleitet und dort gespeichert (siehe Abschnitt 14).

Mit diesen Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Zu Drittlandübermittlungen siehe Abschnitt 12. Die ausschließlich in Deutschland betriebenen KI-Funktionen unserer Buchhaltungs-App (Abschnitt 9) sind von diesem Telefonsupport zu unterscheiden.

Aufzeichnung und Speicherung: Wir zeichnen Gespräche nicht auf und speichern kein vollständiges Gesprächstranskript. Während des Gesprächs werden die Inhalte nur vorübergehend im Arbeitsspeicher unserer Anwendung verarbeitet. Nach Gesprächsende erstellen wir auf Servern von Mittwald in Deutschland automatisiert eine kurze Zusammenfassung und speichern sie als Support-Vorgang bzw. senden sie per E-Mail an unser Support-Team, auch wenn Ihre Frage bereits beantwortet wurde. Bei offenen Anliegen speichern wir zusätzlich Ihre Kontaktdaten und Ihren Rückrufwunsch. OpenAI verwendet über die API übertragene Inhalte standardmäßig nicht zum Training von Modellen; im Rahmen der Missbrauchsüberwachung kann OpenAI Inhalte bis zu 30 Tage aufbewahren. Twilio und OpenAI verarbeiten technische Nutzungsdaten im Übrigen nach ihren jeweiligen Datenschutzbedingungen.

Rechtsgrundlagen: Bei Anliegen bestehender Kundinnen und Kunden Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Vertragsdurchführung erforderlich ist; im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem effizienten, zuverlässigen und leicht erreichbaren Support.

Speicherdauer: Support-Vorgänge mit Gesprächszusammenfassung löschen wir automatisiert 12 Monate nach Abschluss des Vorgangs. Die Benachrichtigungs-E-Mails zu Anrufen im Support-Postfach löschen wir, sobald sie für die Bearbeitung nicht mehr erforderlich sind, in der Regel ebenfalls 12 Monate nach Abschluss; eine automatische Löschung besteht dafür derzeit nicht. Soweit Inhalte gesetzlichen Aufbewahrungspflichten unterliegen (etwa als Geschäftsbrief oder steuerlich relevante Unterlage nach § 147 AO, sechs bzw. acht Jahre), bewahren wir die betreffenden Unterlagen für diese Dauer auf.

Hinweis: Bitte nennen Sie dem Assistenten keine Passwörter, Bankdaten, Steuernummern oder sonstigen für die Bearbeitung nicht erforderlichen sensiblen Angaben. Der Assistent erteilt keine individuelle Steuer- oder Rechtsberatung.

14b. Kostenlose Online-Tools (Beleg-Scanner, E-Rechnung prüfen)

Auf taxtello.de bieten wir kostenlose Tools an, die ohne Nutzerkonto funktionieren. Über die Verarbeitung beim allgemeinen Aufruf der Website (Abschnitte 4 und 5) hinaus gilt für sie Folgendes.

Beleg-Scanner

Im Beleg-Scanner können Sie fiktive Beispielbelege ansehen oder einen eigenen Beleg (Foto oder PDF) auswählen. Ein eigener Beleg wird ausschließlich in Ihrem Browser gelesen. Fotos liest eine Texterkennung (tesseract.js), die in Ihrem Browser läuft. Bei PDFs wird die enthaltene Textebene ausgewertet (pdf.js). Fehlt sie, wird die Seite in Ihrem Browser als Bild dargestellt und ebenfalls per Texterkennung gelesen. Von PDFs wird nur die erste Seite gelesen.

Die Datei und die erkannten Angaben werden weder an uns noch an Dritte übertragen und nicht gespeichert, auch nicht im lokalen Speicher Ihres Browsers. Sie existieren nur im Arbeitsspeicher der geöffneten Seite und werden verworfen, wenn Sie einen anderen Beleg wählen oder die Seite schließen.

Für die Erkennung lädt Ihr Browser die Erkennungssoftware und das deutsche Sprachmodell von taxtello.de. Dabei entstehen nur die beim Aufruf der Website üblichen Zugriffsdaten (Abschnitte 4 und 5), die keine Belegdaten enthalten. Server Dritter oder fremde Content-Delivery-Netzwerke werden dafür nicht eingebunden. Darüber hinaus verarbeiten wir bei der Nutzung des Beleg-Scanners keine personenbezogenen Daten.

E-Rechnung prüfen: Prüfung im Browser

Wenn Sie eine E-Rechnung (XML- oder PDF-Datei) prüfen, wird die Datei ausschließlich in Ihrem Browser gelesen und ausgewertet. Die Datei und ihr Inhalt werden dabei weder an uns noch an Dritte übertragen und nicht gespeichert.

Im localStorage Ihres Browsers speichern wir unter dem Schlüssel taxtello:e-rechnung-pruefer lediglich, wie viele eigene Prüfungen Sie durchgeführt haben und ob Sie Ihre E-Mail-Adresse für den Prüfbericht bestätigt haben. Der Eintrag enthält weder Ihre E-Mail-Adresse noch Rechnungsdaten und verlässt Ihren Browser nicht. Er ist erforderlich, damit das Tool wie beschrieben funktioniert (erste Prüfung direkt sichtbar, ab der zweiten Prüfbericht per E-Mail), § 25 Abs. 2 Nr. 2 TDDDG. Sie können ihn jederzeit über die Einstellungen Ihres Browsers löschen.

Prüfbericht per E-Mail (Double-Opt-In)

Ab der zweiten eigenen Prüfung können Sie den Prüfbericht per E-Mail anfordern. Dabei verarbeiten wir:

• Ihre E-Mail-Adresse,

• ein reduziertes Analyseergebnis: Dateiname und Dateiformat, die Befunde, Rechnungsnummer und -datum, die Namen von Rechnungssteller und -empfänger, Netto-, Steuer- und Bruttobetrag, Währung sowie die Anzahl der Positionen. Nicht übertragen werden die Rechnungsdatei selbst, Bankverbindungen (IBAN), Steuernummern und USt-IdNrn., Anschriften, Leitweg-ID und Positionsbezeichnungen. Diese Begrenzung erfolgt bereits in Ihrem Browser und wird von unserem Server zusätzlich durchgesetzt. Ausnahme sind die Befundtexte: Ist eine Angabe fehlerhaft, kann der Befund sie zur Erläuterung wiedergeben, etwa eine falsch formatierte USt-IdNr., ein ungültiges Datum, einen abweichenden Betrag oder bei einer ungültigen IBAN die Länderkennung und die letzten vier Stellen,

• Ihre IP-Adresse, um die Zahl der Anfragen je Absender zu begrenzen,

• Ihre optionale Angabe, ob Sie zusätzlich für die Taxtello-Beta vorgemerkt werden möchten.

Ablauf: Nach dem Absenden erhalten Sie eine Bestätigungs-E-Mail. Wir legen die Angaben dabei nicht in einer Datenbank ab, sondern führen sie verschlüsselt im Bestätigungslink mit. Der Link ist 48 Stunden gültig. Erst wenn Sie ihn aufrufen, senden wir den Prüfbericht an die bestätigte Adresse. Ohne Bestätigung wird kein Prüfbericht verschickt. Die Bestätigungs-E-Mail selbst enthält keine Rechnungsdaten.

Keine Werbung ohne Einwilligung: Ohne das Beta-Häkchen verwenden wir Ihre E-Mail-Adresse ausschließlich für den Versand der Bestätigungs-E-Mail und des angeforderten Prüfberichts, nicht für Werbung. Der Prüfbericht selbst enthält keine Werbung.

Optionale Beta-Vormerkung: Wenn Sie das Häkchen „Merkt mich auch für die Taxtello-Beta vor“ setzen, übergeben wir nach Ihrer Bestätigung des Prüfberichts Ihre E-Mail-Adresse, die Herkunftsangabe (Quelle „E-Rechnung prüfen“) und Ihre IP-Adresse an die Beta-Warteliste in unserer Anwendung (app.taxtello.de, gehostet bei Mittwald in Deutschland, Abschnitt 4). Von dort erhalten Sie eine eigene Bestätigungs-E-Mail. Erst wenn Sie diese bestätigen, werden Sie für die Beta vorgemerkt und erhalten Informationen zur Beta von uns. Ohne diese zweite Bestätigung erfolgt keine Vormerkung. Rechnungsdaten und Prüfbericht werden nicht an die Warteliste übergeben. Alles Weitere zur Warteliste, auch zu Speicherdauer und Widerruf, beschreibt Abschnitt 14c.

Interne Nutzungsmeldung: Nach Ihrer Bestätigung erhalten wir eine Meldung, dass ein Prüfbericht verschickt wurde, mit Zeitpunkt, Dateiformat, zusammengefasstem Ergebnis (z. B. „2 Fehler gefunden“) und der Angabe, ob eine Beta-Vormerkung übergeben wurde. Sie enthält weder Ihre E-Mail-Adresse noch Rechnungsinhalte.

Dienstleister und Empfänger: Die Anfrage wird über die bei Vercel bereitgestellte Website verarbeitet (Abschnitt 4). Die E-Mails versenden wir per SMTP über unsere Hosting-Infrastruktur bei Mittwald (Deutschland). Der Prüfbericht geht ausschließlich an Ihre bestätigte Adresse. Die interne Nutzungsmeldung geht an unser Support-Postfach (Abschnitt 14).

Rechtsgrundlagen:

• Versand der Bestätigungs-E-Mail und des Prüfberichts: Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von Ihnen angeforderten Leistung).

• Bestätigungsverfahren, Anfragebegrenzung und Missbrauchsabwehr: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, den Versand an fremde Adressen und massenhafte Anfragen zu verhindern.

• Beta-Vormerkung: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO.

Speicherdauer: Unsere Anwendung legt die Angaben nicht dauerhaft ab. Für die Anfragebegrenzung hält sie IP-Adresse und E-Mail-Adresse nur flüchtig im Arbeitsspeicher und schreibt sie nicht in eigene Protokolle. Unabhängig davon können bei Vercel und Mittwald technische Server- und Versandprotokolle entstehen (Abschnitte 4 und 5). Der Bestätigungslink verliert nach 48 Stunden seine Gültigkeit. Den Prüfbericht in Ihrem Postfach verwalten Sie selbst.

14c. Beta-Warteliste und Vormerkung

Für die Beta von taxtello führen wir eine Warteliste. Sie können sich über das Beta-Formular auf taxtello.de eintragen oder sich beim Prüfbericht des Tools „E-Rechnung prüfen“ zusätzlich vormerken lassen (Abschnitt 14b). In beiden Fällen leitet die Website Ihre Angaben direkt an unsere Anwendung (app.taxtello.de, gehostet bei Mittwald in Deutschland, Abschnitt 4) weiter. Dort wird die Warteliste geführt; die Website selbst speichert die Angaben nicht.

Verarbeitete Daten:

• Ihre E-Mail-Adresse.

• Freiwillige Angaben aus dem Beta-Formular: Art Ihrer Tätigkeit, Ihr Umsatzsteuer-Status, wie Sie Ihre Buchhaltung bisher erledigen, und Ihr Freitext. Bei einer Vormerkung über „E-Rechnung prüfen“ entfallen diese Angaben.

• Herkunftsangaben: über welchen Kanal, welche Kampagne (UTM-Parameter) und welche Einstiegsseite Sie zu uns gekommen sind sowie die Domain einer verweisenden Website. Bei einer Vormerkung über „E-Rechnung prüfen“ ist das die Quelle „E-Rechnung prüfen“.

• Empfehlungsdaten: Haben Sie sich über den Empfehlungslink einer anderen Person eingetragen, speichern wir deren Empfehlungscode und nach Ihrer Bestätigung die Verknüpfung mit dieser Person. Nach Ihrer Bestätigung erhalten Sie per E-Mail einen eigenen Empfehlungslink. Die Verknüpfung dient nur dazu, gemeinsam Empfohlene in der Warteliste weiter vorne einzusortieren. Keine Seite sieht die E-Mail-Adresse der anderen, nur wir.

• Nachweis- und Sicherheitsdaten: Fassung und Zeitpunkt Ihrer Einwilligung, Zeitpunkt der Bestätigung, ein nur als Prüfwert gespeicherter Bestätigungscode und ein Hashwert Ihrer IP-Adresse. Anmeldung und Bestätigung protokollieren wir außerdem mit Ihrer IP-Adresse, einem Hashwert Ihrer E-Mail-Adresse, deren Domain und den Herkunftsangaben.

Double-Opt-In: Nach der Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink, der 48 Stunden gültig ist und bei Bedarf neu angefordert werden kann. Erst mit Ihrer Bestätigung wird der Eintrag aktiv. Unbestätigte Einträge nutzen wir nur für die Bestätigungs-E-Mail, nicht für sonstige Nachrichten.

Zwecke: Wir verwenden die Angaben, um die Beta-Plätze zu vergeben, Sie über den Stand der Beta zu informieren, Ihnen nach Freischaltung einen Zugang einzurichten und auszuwerten, über welche Wege Interessierte zu uns finden. Werden Sie freigeschaltet, legen wir für Sie ein Nutzerkonto an und vermerken in der Warteliste, welchem Konto der Eintrag zugeordnet ist; für das Konto gilt Abschnitt 7.

Empfänger: Die E-Mails versendet unsere Anwendung über unsere E-Mail-Infrastruktur bei Mittwald (Deutschland). Nach Ihrer Bestätigung erhält unser Team eine interne Benachrichtigung mit Ihrer E-Mail-Adresse, Ihren freiwilligen Angaben und den Herkunftsangaben. Eine Weitergabe an Dritte zu deren eigenen Zwecken findet nicht statt.

Rechtsgrundlagen:

• Eintrag in die Warteliste, Informationen zur Beta und Auswertung der freiwilligen Angaben: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO.

• Bestätigungsverfahren, Einwilligungsnachweis (Art. 7 Abs. 1 DSGVO), Anfragebegrenzung und Missbrauchsabwehr: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, Eintragungen fremder Adressen und massenhafte Anmeldungen zu verhindern und Einwilligungen belegen zu können.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen und sich von der Warteliste abmelden: über die Abmeldeseite mit Bestätigung per E-Mail oder formlos per E-Mail an support@taxtello.de. Wir löschen Ihren Wartelisteneintrag und senden Ihnen danach keine weiteren Informationen zur Beta. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Speicherdauer: Unbestätigte Einträge löschen wir spätestens 30 Tage nach der Anmeldung. Bestätigte Einträge speichern wir, bis Sie widerrufen, längstens bis zum Ende der Beta-Phase. Die Protokolleinträge zu Anmeldung und Bestätigung bewahren wir als Nachweis der Einwilligung auf, solange Ansprüche daraus geltend gemacht werden können, in der Regel bis zum Ablauf der regelmäßigen Verjährungsfrist von drei Jahren (§ 195 BGB). Unbestätigte Wartelisteneinträge werden durch einen täglichen Bereinigungslauf automatisiert gelöscht. Widerrufe werden nach Bestätigung des Abmeldelinks oder durch den Support bearbeitet.

15. Auftragsverarbeitung (Art. 28 DSGVO)

Rollenverteilung: Im Verhältnis zu Ihren eigenen Kunden, Lieferanten und sonstigen Geschäftspartnern sind Sie Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die in taxtello verarbeiteten Buchungs-, Beleg- und Stammdaten. Wir verarbeiten diese Daten in der Rolle des Auftragsverarbeiters gemäß Art. 28 DSGVO ausschließlich auf Ihre dokumentierte Weisung und zur Erbringung der vertraglich vereinbarten Leistungen. Die einschlägigen Pflichten (Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, Kategorien betroffener Personen, technische und organisatorische Maßnahmen, Löschung oder Rückgabe nach Auftragsende) werden in einem gesonderten Auftragsverarbeitungsvertrag (AV-Vertrag) geregelt, den wir Ihnen auf Anfrage zur Verfügung stellen.

KI-Verbindungen: Richten Sie eine KI-Verbindung ein (Abschnitt 9a), stellen wir die freigegebenen Daten auf Ihre Weisung dem von Ihnen gewählten KI-Dienst bereit. Ihre Freigabe legt Datenbereiche, Geschäftsjahre, Zeitraum und Laufzeit dieser Weisung fest. Der KI-Dienst ist kein Unterauftragsverarbeiter von taxtello. Die Verarbeitung dort richtet sich nach Ihrem Vertragsverhältnis mit dessen Anbieter.

Für den Betrieb von taxtello Cloud und der öffentlichen Webseite setzen wir folgende Dienstleister ein:

• Mittwald CM Service GmbH & Co. KG (Hosting, Infrastruktur)

Königsberger Str. 4–6 · 32339 Espelkamp · mittwald.de
Vertragliche Grundlage: Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO, Bestandteil des Hosting-Vertrags. Die Verarbeitung erfolgt ausschließlich in Deutschland; keine Drittlandsübermittlung.

• Mittwald AI Hosting (KI-Verarbeitung bei aktivierten KI-Funktionen — Belegerkennung, PDF-Kontoauszug-Import, CSV-Fallback, Belegzuordnung, Kategorie-Vorschläge, natürlich-sprachliche Rechnungserfassung, Sprach-zu-Text via Whisper sowie interne Recherche-Hilfe bei Support-Anfragen; jeweils optional)

Mittwald CM Service GmbH & Co. KG · Königsberger Str. 4–6 · 32339 Espelkamp · mittwald.de
Vertragliche Grundlage: Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO mit Mittwald. Mittwald AI Hosting betreibt mehrere Sprach- und Bildverarbeitungsmodelle (LLMs) auf eigener Infrastruktur in Deutschland, darunter ein Vision-Modell für die Belegerkennung sowie ein Whisper-Modell (whisper-large-v3-turbo) für die Sprach-zu-Text-Funktion. Die KI-Verarbeitung erfolgt ausschließlich in Deutschland — keine Drittlandsübermittlung, keine Verwendung der Eingaben für KI-Training. Die KI-Funktionen sind bei Nutzung aktiv und können jederzeit in den Einstellungen deaktiviert werden.

• Google Workspace (Bearbeitung von E-Mails an support@taxtello.de, Abschnitt 14)

Google Cloud EMEA Ltd. · 70 Sir John Rogerson's Quay · Dublin 2 · Irland · workspace.google.com
Vertragliche Grundlage: Google Cloud Data Processing Addendum. Drittlandübermittlung: siehe Abschnitt 12.

• Twilio (Telefonverbindung des KI-gestützten Telefonsupports, Abschnitt 14a; Region Irland)

Twilio Inc. · 101 Spear Street, Fifth Floor · San Francisco, CA 94105 · USA · twilio.com
Vertragliche Grundlage: Twilio Data Protection Addendum (Bestandteil des Vertrags mit Twilio). Drittlandübermittlung: siehe Abschnitt 12.

• OpenAI (Sprach-KI des KI-gestützten Telefonsupports, Abschnitt 14a)

OpenAI Ireland Ltd. · 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper · Dublin 1, D01 YC43 · Irland · openai.com
Vertragliche Grundlage: OpenAI Data Processing Addendum (Bestandteil der OpenAI-Dienstvereinbarung). Verarbeitung über eine globale Infrastruktur, auch in den USA; Drittlandübermittlung: siehe Abschnitt 12.

Eine Weitergabe von Daten an weitere Dritte zu anderen Zwecken findet nicht statt. Übermittlungen, die Sie über eine KI-Verbindung selbst veranlassen, beschreibt Abschnitt 9a.

16. Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten gegen Manipulation, Verlust, Zerstörung oder unberechtigten Zugriff zu schützen. Unsere Sicherheitsmaßnahmen umfassen:

• Verschlüsselte Übertragung: Alle Verbindungen zur taxtello-Anwendung erfolgen ausschließlich über HTTPS (TLS 1.2/1.3).

• Passwort-Hashing: Passwörter werden mit dem modernen scrypt-Algorithmus gehasht und gesalzen. Klartextpasswörter werden nie gespeichert.

• CSRF-Schutz: Formulare und API-Endpunkte sind durch CSRF-Token geschützt.

• Automatische Sicherheits-Backups: Buchungsdaten werden regelmäßig automatisch gesichert und für einen definierten Zeitraum vorgehalten.

• Brute-Force-Schutz: Nach mehreren fehlgeschlagenen Anmeldeversuchen wird das Konto temporär gesperrt.

• Session-Management: Sessions laufen nach 24 Stunden automatisch ab.

Unsere Sicherheitsmaßnahmen werden kontinuierlich überprüft und dem Stand der Technik angepasst.

17. Externe Links

Unsere Webseite enthält Links zu externen Webseiten Dritter (z. B. Mittwald, Stripe). Auf diese externen Inhalte haben wir keinen Einfluss. Für die Inhalte der verlinkten Seiten ist stets der jeweilige Anbieter verantwortlich. Die verlinkten Seiten wurden zum Zeitpunkt der Verlinkung auf mögliche Rechtsverstöße geprüft; eine permanente Überprüfung ist ohne konkrete Anhaltspunkte jedoch nicht zumutbar.

Bei Bekanntwerden von Rechtsverletzungen werden wir entsprechende Links unverzüglich entfernen.

18. Ihre Rechte als betroffene Person

Ihnen stehen gegenüber dem Verantwortlichen folgende Rechte zu, sofern die jeweiligen gesetzlichen Voraussetzungen erfüllt sind:

• Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, Auskunft über die von uns verarbeiteten personenbezogenen Daten zu erhalten.

• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder unvollständiger Daten verlangen.

• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer personenbezogenen Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter bestimmten Voraussetzungen verlangen, dass die Verarbeitung Ihrer Daten eingeschränkt wird.

• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie können verlangen, dass wir Ihnen Ihre Daten in einem strukturierten, maschinenlesbaren Format bereitstellen.

• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) jederzeit widersprechen.

• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit die Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich an: support@taxtello.de oder an die oben genannte Postanschrift. Wir bearbeiten Anfragen innerhalb von 30 Tagen.

19. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe haben Sie das Recht, bei einer zuständigen Aufsichtsbehörde Beschwerde einzulegen, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt (Art. 77 DSGVO).

Die zuständige Aufsichtsbehörde für den Verantwortlichen ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20 · 70173 Stuttgart
Telefon: +49 711 615541-0
E-Mail: poststelle@lfdi.bwl.de
Web: www.baden-wuerttemberg.datenschutz.de

20. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die Rechtslage, unser Dienst oder die Art der Datenverarbeitung ändert. Die aktuelle Version ist stets abrufbar unter:

taxtello.de/datenschutz

Bei wesentlichen Änderungen werden registrierte Nutzer (Cloud) per E-Mail informiert.

Stand: Oktober 2026