Datenschutz

1. Verantwortlicher

Verantwortlicher für die in diesen Datenschutzhinweisen beschriebenen Verarbeitungen ist:

Born - Theoretical Software
Inhaber: Ardit Thaqi
Robert-Bosch-Straße 4
88427 Bad Schussenried
Deutschland
E-Mail: info@buchhaltiq.de

2. Geltungsbereich

Diese Datenschutzhinweise gelten für:

• die Website unter buchhaltiq.de,
• den externen B2B-Checkout und die Verwaltung kostenpflichtiger Abos,
• die BuchhaltIQ App einschließlich Testzugängen, Login- und Berechtigungsstatus,
• sowie die dazugehörigen Cloud-, Support- und Kommunikationsprozesse.

Die Hinweise unterscheiden bewusst zwischen Verarbeitungen in eigener datenschutzrechtlicher Verantwortlichkeit und Verarbeitungen, die innerhalb von BuchhaltIQ als Auftragsverarbeitung für Kunden erfolgen.

3. Website, Hosting und technische Bereitstellung

Beim Aufruf der Website verarbeitet unser Hosting- und CDN-Dienstleister Vercel Inc., Covina (Kalifornien), USA, technische Zugriffsdaten, insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte URL, Referrer, Browser- und Betriebssystemdaten. Die Verarbeitung erfolgt zur sicheren und stabilen Bereitstellung der Website auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Die Serverfunktionen der Website (Anmeldung und Kontobereich) werden in der Vercel-Region Frankfurt ausgeführt; das Content Delivery Network liefert statische Inhalte weltweit aus. Soweit dabei Daten in die USA übermittelt werden, stützt sich dies auf die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag mit Vercel.

Die Domain buchhaltiq.de wird über IONOS verwaltet. Soweit dabei technische Registrierungs-, DNS- oder Sicherheitsdaten verarbeitet werden, erfolgt dies ebenfalls auf Grundlage unseres berechtigten Interesses an einem sicheren und verlässlichen Website-Betrieb.

4. Kontaktanfragen und vorvertragliche Kommunikation

Wenn Sie uns per Formular, E-Mail oder auf anderem Weg kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage, zur vorvertraglichen Kommunikation, zur Vertragsanbahnung und zur Dokumentation. Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 lit. b DSGVO oder Art. 6 Abs. 1 lit. f DSGVO.

Anfragen über das Kontaktformular übermittelt Ihr Browser unmittelbar an Formspree, Inc., USA, die das Formular für uns technisch entgegennimmt und an uns weiterleitet; die Server von Formspree stehen in den USA. Übermittelt werden die Angaben, die Sie im Formular machen, der Zeitpunkt der Absendung sowie — weil Ihr Browser die Verbindung unmittelbar aufbaut — Ihre IP-Adresse und technische Angaben Ihres Browsers. Für diese Übermittlung greift kein Angemessenheitsbeschluss der EU-Kommission (Formspree ist nicht unter dem EU-US Data Privacy Framework zertifiziert), und Garantien nach Art. 46 DSGVO wie Standardvertragsklauseln haben wir mit Formspree nicht vereinbart. Die Übermittlung in die USA stützt sich auf Art. 49 Abs. 1 lit. b DSGVO, weil sie zur Durchführung der von Ihnen angefragten vorvertraglichen Maßnahmen erforderlich ist. Wenn Sie diese Übermittlung vermeiden möchten, erreichen Sie uns jederzeit per E-Mail an die in Abschnitt 12 genannte Adresse.

Rufen Sie uns an, verarbeiten wir Ihre Rufnummer und die Angaben aus dem Gespräch, soweit wir sie zur Bearbeitung Ihres Anliegens festhalten. Ein Mitschnitt findet nicht statt.

Schreiben Sie uns über WhatsApp, verarbeiten wir Ihre Rufnummer, Ihren dort hinterlegten Profilnamen und den Inhalt Ihrer Nachrichten. Wir nutzen dafür die WhatsApp Business App auf einem betrieblichen Gerät. Anbieter des Dienstes ist WhatsApp Ireland Limited, Merrion Road, Dublin 4, Irland. Die Inhalte Ihrer Nachrichten sind Ende-zu-Ende-verschlüsselt; Verbindungsdaten wie Rufnummer und Zeitpunkt verarbeitet der Anbieter jedoch eigenständig, und eine Übermittlung in Drittländer lässt sich dabei nicht ausschließen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO an einem schnell erreichbaren Kontaktweg. Wenn Sie das nicht möchten, nutzen Sie bitte E-Mail oder Telefon — beide Wege stehen gleichwertig zur Verfügung. Auf unserer Website ist WhatsApp ausschließlich als Verweis eingebunden; es werden keine Inhalte des Anbieters nachgeladen, solange Sie den Verweis nicht anklicken.

5. Rollenverteilung bei BuchhaltIQ

Born - Theoretical Software verarbeitet personenbezogene Daten in zwei datenschutzrechtlich unterschiedlichen Rollen:

• in eigener Verantwortlichkeit für Vertragsabschluss, Anlage und Verwaltung von Test- und Vertragsaccounts, Abrechnung, Support, Missbrauchsprävention, Sicherheitsprotokolle und technische Betriebsdaten sowie für pseudonymisierte und aggregierte Qualitätsdaten zur Verbesserung der KI-gestützten Kategorisierung (näher AVV Abschnitt 5 Nr. 4),
• als Auftragsverarbeiter für solche personenbezogenen Daten, die Kunden innerhalb von BuchhaltIQ für ihre eigenen geschäftlichen Zwecke eingeben, importieren, verarbeiten oder auswerten.

Für die Auftragsverarbeitung gilt der gesonderte AVV.

6. Kategorien verarbeiteter Daten

Je nach Nutzung können insbesondere folgende Datenkategorien verarbeitet werden:

• Stamm- und Kontaktdaten,
• Account-, Login-, Berechtigungs-, Trial- und Abonnementdaten,
• Vertrags-, Abrechnungs- und Zahlungsdaten,
• Support- und Kommunikationsdaten,
• Nutzungs-, Log- und Sicherheitsdaten,
• Buchungs-, Beleg-, Rechnungs- und Transaktionsdaten,
• Unternehmens-, Kunden-, Lieferanten- und Ansprechpartnerdaten,
• Mitarbeiter-, Lohn- und HR-Daten, insbesondere Stamm-, Steuer-, Sozialversicherungs-, Abwesenheits-, Bank- und Kommunikationsdaten,
• besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO, insbesondere Gesundheitsdaten oder Religionszugehörigkeit, soweit Kunden entsprechende Funktionen nutzen,
• Daten aus optionalen Integrationen, etwa Bank-, DATEV- oder sonstigen Schnittstellen,
• gegebenenfalls technische Qualitäts-, Fehler- und Feedbackdaten zu KI-gestützten Funktionen sowie ausschließlich in pseudonymisierter (gehashter) oder aggregierter Form verarbeitete Qualitätsdaten zur Verbesserung der Kategorisierung, soweit entsprechende Funktionen aktiviert sind.

Online-Banking-Zugangsdaten werden nicht unmittelbar in BuchhaltIQ eingegeben. Diese werden ausschließlich in den bereitgestellten, gesicherten Webflows des eingesetzten Banking-Dienstleisters erfasst. Soweit für den technischen Betrieb der Bankanbindung erforderlich, können wir jedoch von diesem Dienstleister bereitgestellte technische Zugangsdaten, Tokens oder Integrationskennungen verschlüsselt speichern.

Die Beleg- und Dokumenterkennung kann teilweise lokal auf dem Endgerät des Nutzers mit Google ML Kit erfolgen. Extrahierte Inhalte können anschließend innerhalb von BuchhaltIQ gespeichert und weiterverarbeitet werden.

6.1 Optionale Google-Gmail-Postfachanbindung

Die Anbindung eines Google-Gmail-Postfachs ist optional. Sie wird nur aktiviert, wenn der Nutzer die Funktion in BuchhaltIQ auswählt und den Zugriff im Zustimmungsbildschirm von Google ausdrücklich freigibt. BuchhaltIQ fordert dafür die Bereiche openid, email und https://www.googleapis.com/auth/gmail.readonly an. openid und email dienen dazu, das verbundene Google-Konto eindeutig zu identifizieren und die verbundene E-Mail-Adresse anzuzeigen. gmail.readonly gewährt technisch einen Lesezugriff auf Gmail-Nachrichten und -Einstellungen. BuchhaltIQ verwendet diesen Bereich ausschließlich für die nachfolgend beschriebene Belegfunktion.

BuchhaltIQ sucht nach eingehenden, rechnungsbezogenen Nachrichten mit Anhängen und verarbeitet dafür insbesondere die Absenderadresse, den Betreff, den Empfangszeitpunkt, technische Nachrichten- und Anhangskennungen, Dateinamen und Dateitypen. Unterstützte Rechnungsanhänge im PDF-, XML-, PNG- oder JPEG-Format können abgerufen und in eine private Beleg-Prüfliste des jeweiligen Nutzers übernommen werden. Obwohl die Gmail API Nachrichten technisch im Format full bereitstellt, wird der Nachrichtentext nicht in den Produktdatenbestand von BuchhaltIQ übernommen oder dauerhaft gespeichert. Nicht als Belegkandidaten eingestufte Anhänge werden nicht importiert.

Die Gmail-Verbindung ist ausschließlich lesend. BuchhaltIQ versendet, verändert, löscht oder kennzeichnet keine E-Mails und ändert keine Gmail-Einstellungen. Die importierten Belege werden dem Nutzer zur Prüfung bereitgestellt und können anschließend mit eigenen Banktransaktionen verknüpft oder in die bestehende Buchhaltungs- und Exportfunktion übernommen werden.

Für den Betrieb der Verbindung speichern wir die verbundene E-Mail-Adresse, die Google-Kontokennung, notwendige Synchronisationsinformationen sowie OAuth-Zugriffs- und Aktualisierungstokens verschlüsselt. Importierte Belegkandidaten werden mit den erforderlichen Metadaten und dem jeweiligen Anhang im privaten Nutzerbereich gespeichert. Ungeprüfte Anhänge werden nicht über eine öffentliche URL bereitgestellt. Wir verkaufen Google-Nutzerdaten nicht, verwenden sie nicht für Werbung und nutzen sie nicht zum Trainieren oder Verbessern allgemeiner KI- oder Machine-Learning-Modelle. Eine Übermittlung erfolgt nur an die für den Betrieb erforderlichen Auftragsverarbeiter oder aufgrund einer vom Nutzer ausdrücklich ausgelösten Funktion, etwa eines Exports.

Der Nutzer kann das Postfach jederzeit in BuchhaltIQ trennen. Dabei wird die Google-Berechtigung widerrufen, die gespeicherten OAuth-Tokens werden gelöscht und die weitere Postfachüberwachung beendet. Bereits als Beleg importierte Dokumente bleiben als vom Nutzer veranlasste Buchhaltungsunterlagen bestehen, bis sie durch den Nutzer gelöscht werden oder gesetzliche bzw. vertragliche Aufbewahrungspflichten einer Löschung entgegenstehen. Der Zugriff kann zusätzlich in den Berechtigungseinstellungen des Google-Kontos widerrufen werden. Lösch- und Auskunftsanfragen können an info@buchhaltiq.de gerichtet werden.

Die Nutzung und Weitergabe von über Google APIs erhaltenen Informationen durch BuchhaltIQ erfolgt gemäß der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen. BuchhaltIQ's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

6.2 KI-gestützte Kategorisierung und Belegerkennung

BuchhaltIQ kann Banktransaktionen mit Hilfe eines Sprachmodells Buchungskategorien zuordnen, wiederkehrende Verträge erkennen und Angaben aus Belegen und Rechnungen erkennen. Diese Funktionen laufen über unser eigenes Backend auf Google Cloud Vertex AI in der Region europe-west1 (Belgien); eingesetzt werden Sprachmodelle des Herstellers Anthropic, die ausschließlich auf Google-Infrastruktur betrieben werden. Anthropic erhält keinen Zugriff auf Daten. Bei der automatischen Kategorisierung im Hintergrund (Sammelverarbeitung je Zahlungspartner) werden nur der Name des Zahlungspartners, bis zu drei Verwendungszwecke, Beträge und die Anzahl der Umsätze übermittelt; in den Verwendungszwecken werden zuvor Kontonummern, IBAN, E-Mail-Adressen, Telefonnummern, Datumsangaben und längere Ziffernfolgen entfernt oder maskiert; Nutzerkennungen werden nicht übermittelt. Zahlungen an Finanzbehörden, Sozialversicherungsträger und Beschäftigte werden ohne Sprachmodell regelbasiert zugeordnet. Löst der Nutzer eine KI-Funktion selbst aus — die Kategorie-Hilfe zu einer einzelnen Transaktion, die Erkennung wiederkehrender Verträge oder die Belegerkennung —, werden die dafür erforderlichen Angaben unverändert übermittelt; bei der Belegerkennung ist das das jeweilige Belegbild oder die Rechnungsdatei mit allen darin enthaltenen Angaben, und zwar nur für ein einzelnes Dokument oder für einen vom Nutzer gestarteten Prüflauf über die Belege eines Zeitraums.

Google verwendet die übermittelten Daten vertraglich nicht zum Training von Modellen und speichert Eingaben und Ausgaben nicht; von der Protokollierung von Eingaben zur Missbrauchskontrolle hat Google uns am 19.09.2026 befreit (Zero Data Retention). Die Ergebnisse werden in BuchhaltIQ als KI-Vorschlag mit Konfidenzwert angezeigt und können vom Nutzer jederzeit geändert werden; eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt. Soweit Kunden diese Funktionen für ihre eigenen Buchhaltungsdaten nutzen, verarbeiten wir die Daten als Auftragsverarbeiter nach dem AVV.

7. Zwecke und Rechtsgrundlagen

Die Verarbeitung in eigener Verantwortlichkeit erfolgt insbesondere:

• zur Durchführung vorvertraglicher Maßnahmen und zur Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO,
• zur Anlage und Verwaltung von Test- und Vertragsaccounts, Zugangs- und Berechtigungsstatus sowie zur Zuordnung von App-, Checkout- und Abonnementvorgängen auf Grundlage von Art. 6 Abs. 1 lit. b und lit. f DSGVO,
• zur Durchführung und Dokumentation des elektronischen B2B-Checkouts sowie zum Nachweis des Vertragsschlusses und der vorvertraglichen Kommunikation auf Grundlage von Art. 6 Abs. 1 lit. b und lit. f DSGVO,
• zur Erfüllung gesetzlicher Aufbewahrungs-, Nachweis- und steuerrechtlicher Pflichten nach Art. 6 Abs. 1 lit. c DSGVO,
• zur Systemsicherheit, Missbrauchsprävention, Fehleranalyse, technischen Betriebssteuerung sowie zur Qualitätssicherung optional aktivierter KI-Funktionen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Soweit wir Daten innerhalb von BuchhaltIQ im Auftrag unserer Kunden verarbeiten, richtet sich die Zulässigkeit der Verarbeitung nach den Weisungen des jeweiligen Kunden sowie nach Art. 28 DSGVO.

8. Eingesetzte Dienstleister und Empfänger

Als Dienstleister des Anbieters können je nach Funktionsumfang insbesondere folgende Stellen eingebunden sein:

• Google Cloud EMEA Limited, Dublin, Irland (Google Cloud Platform: Cloud Run, Firestore, Cloud Storage, Cloud Logging, Firebase Authentication) für Hosting, Datenbank, Dateispeicher, Sicherungskopien, Betriebsprotokolle und Anmeldung. Anwendungsserver, Datenbank (Firestore), Dateispeicher (Cloud Storage), deren Sicherungskopien und die Betriebsprotokolle der Anwendung (30 Tage) laufen ausschließlich in der EU in der Region Frankfurt (europe-west3). Firebase Authentication (Anmeldedaten: E-Mail-Adresse, Nutzerkennung, Anmeldezeitpunkte, Geräte-Token) betreibt Google nach eigener Angabe in Rechenzentren in den USA (Google LLC). Bis zur Umstellung am 20./21.09.2026 lagen Datenbank und Dateispeicher in Rechenzentren von Google in den USA und die Betriebsprotokolle in einem Protokollspeicher ohne regionale Festlegung; diese Kopien und Protokolleinträge werden schreibgeschützt vorgehalten und nach einer Übergangsfrist von 30 Tagen gelöscht. Grundlage für diese Verarbeitungen in den USA sind die EU-Standardvertragsklauseln im Cloud Data Processing Addendum von Google und die Zertifizierung von Google LLC unter dem EU-US Data Privacy Framework,
• Google Ireland Limited, Dublin, Irland (Firebase Crashlytics, Firebase Cloud Messaging) für Absturz- und Fehlerberichte der App und die Zustellung von Push-Nachrichten: Crashlytics (Absturz- und Fehlerberichte: Gerätemodell, Betriebssystem- und App-Version, Zeitpunkt, Fehlermeldung samt Aufrufpfad sowie die Nutzerkennung Ihres Kontos; eine Fehlermeldung kann im Einzelfall Angaben aus dem Vorgang enthalten, bei dem der Fehler aufgetreten ist, etwa den Namen eines Zahlungspartners oder einer hochgeladenen Datei; Aufbewahrung bei Google 90 Tage) sowie Cloud Messaging (Push-Zustelltoken); Verarbeitung an Google-Standorten weltweit, insbesondere in den USA (Google LLC), auf Grundlage der EU-Standardvertragsklauseln in den Firebase Data Processing and Security Terms und der Zertifizierung von Google LLC unter dem EU-US Data Privacy Framework,
• Twilio Inc., San Francisco, USA (Twilio SendGrid) für transaktionsbezogene E-Mails wie Anmeldecodes und Benachrichtigungen; Verarbeitung in der EU und in den USA auf Grundlage der EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag mit Twilio,
• Google Cloud EMEA Limited (Google Cloud Vertex AI, Region europe-west1/Belgien) für optionale KI-Funktionen; die dort eingesetzten Sprachmodelle von Anthropic laufen auf Google-Infrastruktur, Anthropic erhält keinen Zugriff auf Daten,
• Formspree, Inc., USA, für die Entgegennahme und Weiterleitung von Kontaktformularen (siehe Abschnitt 4),
• IONOS SE, Montabaur, und Vercel Inc., USA (siehe Abschnitt 3), für Domain-, Hosting- und Website-Betrieb,
• WhatsApp Ireland Limited, soweit Sie uns über WhatsApp kontaktieren,
• easybell GmbH als Anbieter unseres Telefonanschlusses.

Je nach Nutzung können zudem folgende Stellen als Empfänger, vom Kunden veranlasste Zielsysteme oder eigenständig Verantwortliche eingebunden sein:

• finAPI für optionale Bankdatenanbindungen,
• Mollie für die externe Zahlungsabwicklung und wiederkehrende Zahlungen,
• DATEV für angebundene Export- und Austauschprozesse.

Mollie verarbeitet Daten für die Zahlungsabwicklung des Vertrags des Anbieters regelmäßig in eigener datenschutzrechtlicher Rolle. DATEV und vergleichbare Zielsysteme können je nach Nutzung als durch den Kunden veranlasste Empfänger oder als eigenständig Verantwortliche eingebunden sein. finAPI kann für einzelne Verarbeitungsschritte, insbesondere innerhalb eigener Webflows, ebenfalls in eigener Rolle handeln.

Soweit Dienstleister außerhalb der EU oder des EWR eingebunden werden oder ein Zugriff von dort nicht ausgeschlossen werden kann, erfolgt dies nur auf Grundlage einer gesetzlichen Übermittlungsgrundlage. Die derzeit bestehenden Übermittlungen in die USA an Google LLC (Firebase Authentication, Crashlytics, Cloud Messaging sowie übergangsweise die schreibgeschützt vorgehaltenen Kopien und Protokolleinträge aus der Zeit vor dem Umzug nach Frankfurt), Twilio Inc. und Vercel Inc. stützen sich auf die EU-Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 und, soweit der Empfänger zertifiziert ist, auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework; für das Kontaktformular gilt Abschnitt 4. Eine Kopie der Garantien erhalten Sie auf Anfrage an die in Abschnitt 12 genannte E-Mail-Adresse; das Cloud Data Processing Addendum von Google ist unter cloud.google.com/terms/data-processing-addendum abrufbar, die Firebase Data Processing and Security Terms unter firebase.google.com/terms/data-processing-terms und die Liste der zertifizierten Unternehmen unter dataprivacyframework.gov.

9. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungs-, Nachweis-, Prüfungs-, Sicherheits- oder Rechtsverteidigungspflichten eine weitere Speicherung rechtfertigen.

Für die wichtigsten Datenbereiche gelten insbesondere folgende Grundsätze:

Nach Ende des produktiven Zugriffs können Kundendaten gelöscht oder in einen gesperrten Archivstatus überführt werden. Archivierte Daten werden nicht mehr für die laufende Nutzung bereitgestellt und nur noch für Archiv-, Nachweis-, Prüfungs-, Sicherheits- oder Rechtsverteidigungszwecke verarbeitet.

Soweit wir Daten innerhalb von BuchhaltIQ als Auftragsverarbeiter verarbeiten, richtet sich die Rückgabe, Löschung oder Archivierung nach dem SaaS-Vertrag, dem AVV und den dokumentierten Weisungen des jeweiligen Kunden. Daten, die wir in eigener Verantwortlichkeit verarbeiten, insbesondere Test-, Checkout-, Vertrags-, Rechnungs-, Zahlungs-, Support- und Sicherheitsdaten, bleiben hiervon unberührt.

10. Sicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen ein, um Daten gegen Verlust, Manipulation und unbefugten Zugriff zu schützen. Dazu gehören insbesondere rollenbasierte Zugriffe, verschlüsselte Datenübertragung, Protokollierung sicherheitsrelevanter Ereignisse sowie Backup- und Wiederherstellungsverfahren.

11. Ihre Rechte

Betroffenen Personen stehen im Rahmen der gesetzlichen Voraussetzungen insbesondere folgende Rechte zu:

• Recht auf Auskunft gemäß Art. 15 DSGVO,
• Recht auf Berichtigung gemäß Art. 16 DSGVO,
• Recht auf Löschung gemäß Art. 17 DSGVO,
• Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO,
• Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO,
• Widerspruchsrecht gemäß Art. 21 DSGVO,
• Recht auf Beschwerde bei einer Aufsichtsbehörde gemäß Art. 77 DSGVO.

Soweit eine Verarbeitung auf einer Einwilligung beruht, kann diese mit Wirkung für die Zukunft widerrufen werden.

12. Kontakt und Aufsichtsbehörde

Datenschutzanfragen können an info@buchhaltiq.de gerichtet werden.

Zuständige Aufsichtsbehörde ist derzeit:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de