Datenschutzerklärung

1. Verantwortlicher

ALPHA Counsel and Coaching UG (haftungsbeschränkt), Muthesiusstraße 6, 12163 Berlin, Deutschland, E-Mail: support@e-rechnung-autopilot.de (siehe Impressum).

2. Hosting und Speicherort der Daten

Die Anwendung wird auf Servern der STRATO GmbH in Berlin, Deutschland betrieben. Datenbank, Authentifizierung und Dateispeicher laufen bei Supabase in der AWS-Region eu-central-1 (Frankfurt am Main, Deutschland). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem, EU-residentem Betrieb).

3. KI-gestützte Rechnungserkennung (Anthropic, USA)

Zur automatischen Erkennung der Rechnungsfelder übermitteln wir die von Ihnen hochgeladene PDF-Rechnung an Anthropic PBC (USA) als Auftragsverarbeiter. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 DSGVO) bzw. des EU-US Data Privacy Framework, soweit anwendbar. Anthropic verwendet die übermittelten Daten gemäß seinen API-Bedingungen nicht zum Training von KI-Modellen. Eine Umstellung der Verarbeitung auf AWS Bedrock in der Region eu-central-1 (Frankfurt) ist geplant; diese Erklärung wird dann aktualisiert.

4. Automatische Löschung Ihrer Rechnungen

Hochgeladene PDF-Dateien, extrahierte Rechnungsdaten und erzeugte XML-Dateien werden nach Abschluss der Konvertierung automatisch und dauerhaft gelöscht — spätestens 24 Stunden nach Erzeugung der XML-Datei. Eine längere Aufbewahrung erfolgt ausschließlich, wenn Sie eine Rechnung ausdrücklich archivieren (GoBD-Archiv, Opt-in). Archivierte Rechnungen werden in Frankfurt am Main gespeichert und können jederzeit von Ihnen gelöscht werden. Nicht von dieser Löschung erfasst ist ausschließlich ein von Ihnen ausdrücklich gespeichertes Firmenprofil (Ziffer 5.3).

5. Konto und Anmeldung

5.1 E-Mail (Magic Link)

Bei der Registrierung verarbeiten wir Ihre E-Mail-Adresse zur Bereitstellung des Kontos (Art. 6 Abs. 1 lit. b DSGVO). Anmelde-E-Mails werden über die STRATO GmbH (Berlin, Deutschland) versendet.

5.2 Google OAuth

Optional können Sie sich mit Ihrem Google-Konto anmelden. Dabei erhalten wir von Google Ihre E-Mail-Adresse und Ihren Namen; Google erfährt, dass Sie unseren Dienst nutzen. Anbieter: Google Ireland Limited, Dublin. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Es gelten die Datenschutzhinweise von Google.

5.3 Firmenprofil (freiwillig, nur mit Einwilligung)

Nach einer erfolgreichen Konvertierung können Sie als angemeldeter Nutzer die Stammdaten Ihres eigenen Unternehmens als Firmenprofil speichern: Firmenname, Anschrift, USt-IdNr. bzw. Steuernummer, Bankverbindung (IBAN, BIC), E-Mail-Adresse sowie Ansprechpartner und Telefonnummer. Wir verwenden das Firmenprofil ausschließlich, um diese Felder bei künftigen Rechnungen vorauszufüllen und die automatische Erkennung damit abzugleichen (Hinweis bei Abweichungen). Daten von Rechnungsempfängern und Rechnungsinhalte (Positionen, Beträge, Rechnungsnummern) werden nicht in das Firmenprofil übernommen; für sie gilt unverändert die automatische Löschung nach Ziffer 4. Das Firmenprofil wird nicht an den KI-Dienst (Ziffer 3) übermittelt.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Speicherung ist freiwillig und für die Nutzung des Dienstes nicht erforderlich. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie das Firmenprofil unter „Konto“ löschen; dort können Sie es auch jederzeit einsehen und ändern. Das Firmenprofil wird bei Supabase in Frankfurt am Main gespeichert (Ziffer 2); die IBAN wird zusätzlich auf Anwendungsebene verschlüsselt. Wir speichern das Firmenprofil, bis Sie es oder Ihr Konto löschen; mit der Kontolöschung wird es unmittelbar und vollständig entfernt.

Für das erste vollständige Firmenprofil (Name, Anschrift und USt-IdNr. oder Steuernummer) schreiben wir Ihrem Konto einmalig ein kleines Guthaben an Konvertierungen gut. Der Dienst bleibt ohne Firmenprofil in vollem Umfang nutzbar. Das Guthaben bleibt Ihnen auch dann erhalten, wenn Sie Ihre Einwilligung widerrufen und das Firmenprofil löschen; aus dem Widerruf entstehen Ihnen keine Nachteile.

6. IP-basierte Zugriffsbegrenzung

Zum Schutz vor Missbrauch der kostenlosen Konvertierung speichern wir einen kryptografisch verschlüsselten Hash Ihrer IP-Adresse (keine Klartext-IP) für maximal 48 Stunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsprävention). Ein Rückschluss auf Ihre Person findet nicht statt; Fingerprinting setzen wir nicht ein.

7. Cookies und Analyse

Wir verwenden ausschließlich technisch notwendige First-Party-Cookies: ein Sitzungs-Cookie für die Anmeldung und ein signiertes Cookie zur Zählung der kostenlosen Konvertierung. Zur Reichweitenmessung setzen wir eine cookielose First-Party-Analyse ohne Tracking-Cookies und ohne Weitergabe an Werbenetzwerke ein. Da keine einwilligungspflichtigen Cookies gesetzt werden, ist kein Cookie-Banner erforderlich.

8. Zahlungsabwicklung (Stripe)

Kostenpflichtige Tarife werden über Stripe Payments Europe Ltd. (Dublin, Irland) abgewickelt. Stripe verarbeitet Ihre Zahlungs- und Rechnungsdaten als eigenständiger Verantwortlicher bzw. Auftragsverarbeiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Fehlerdiagnose (Sentry)

Zur Erkennung technischer Fehler setzen wir Sentry ein (Functional Software Inc., Datenverarbeitung in der EU-Region — de.sentry.io). Dabei können IP-Adresse und technische Metadaten verarbeitet werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

10. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch (Art. 15–21 DSGVO) und das Recht auf Beschwerde bei einer Aufsichtsbehörde. Soweit eine Verarbeitung auf Ihrer Einwilligung beruht (Firmenprofil, Ziffer 5.3), können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Bei Kontolöschung erhalten Sie zuvor einen Export Ihrer archivierten Rechnungen; danach werden alle Daten nach einer Übergangsfrist gelöscht.