Datenschutzerklärung

1. Verantwortliche Stelle

2. Verarbeitete Daten

Wir verarbeiten nur die Daten, die zur Erbringung unserer Dienste notwendig sind:

3. Zweck und Rechtsgrundlage der Verarbeitung

4. Drittanbieter

Zur Bereitstellung unserer Dienste arbeiten wir mit folgenden Dienstleistern zusammen. Mit allen Dienstleistern bestehen Auftragsverarbeitungsverträge oder geeignete Schutzgarantien gemäß DSGVO.

5. Cookies

Wir verwenden zwei Kategorien von Cookies:

6. Speicherdauer

7. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, insbesondere: SSL/TLS-Verschlüsselung für alle Datenübertragungen, AES-256-Verschlüsselung gespeicherter Daten, Zwei-Faktor-Authentifizierung für administrative Zugänge, Zugriffskontrolle nach dem Prinzip der minimalen Berechtigung sowie regelmäßige automatisierte Backups.

8. Ihre Rechte

Nach der DSGVO stehen Ihnen folgende Rechte zu. Zur Ausübung wenden Sie sich an support@rechnungsmagier.de:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem maschinenlesbaren Format (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung auf Basis berechtigter Interessen (Art. 21 DSGVO)

Sie haben zudem das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren:

9. Internationale Datenübermittlung

RunPod, Inc. hat seinen Sitz in den USA. Die Datenübertragung erfolgt ausschließlich verschlüsselt. Wir stellen durch geeignete Schutzgarantien (EU-Standardvertragsklauseln gemäß Art. 46 DSGVO) sicher, dass ein dem EU-Niveau entsprechendes Datenschutzniveau gewährleistet ist. Google LLC verarbeitet Daten in EU-Rechenzentren.

10. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen der Rechtslage oder unserer Dienste anzupassen. Bei wesentlichen Änderungen informieren wir Sie per E-Mail. Die jeweils aktuelle Version ist stets auf unserer Website abrufbar.

1. Verarbeitung von Rechnungsdaten

Hochgeladene Rechnungen — sowohl PDF-Rechnungen als auch E-Rechnungen (strukturierte Formate wie XRechnung/ZUGFeRD) — werden ausschließlich zu folgenden Zwecken verarbeitet:

• Automatisierte Extraktion relevanter Rechnungsdaten — bei PDF-Rechnungen mittels KI-Modellen, bei E-Rechnungen durch automatisiertes Auslesen der bereits enthaltenen strukturierten Datenfelder ohne KI/ML-Einsatz
• Übertragung der extrahierten Daten und der Rechnungsdatei an Ihre Buchhaltungssoftware via API
• Verbesserung unserer KI-Modelle durch Analyse gespeicherter Rechnungsdaten (Einzelheiten im AVV)

2. Verarbeitung im Detail

1. Verarbeitung von ERPNext-Instanzdaten

Für das Hosting von ERPNext-Instanzen werden die vom Nutzer in seiner ERPNext-Instanz gespeicherten Daten ausschließlich zur Bereitstellung und zum Betrieb der Instanz verarbeitet. Art und Inhalt dieser Daten liegen allein im Verantwortungsbereich des Nutzers.

2. Infrastruktur und Datenisolierung

Jede ERPNext-Instanz wird auf dedizierter AWS-Infrastruktur betrieben:

• Dedizierte EC2-Instanz pro Nutzer (Anwendungsserver)
• Dediziertes EFS-Dateisystem pro Nutzer (Datenspeicher)
• Separate Datenbanktabelle in einer gemeinsam genutzten RDS-Instanz, logisch isoliert pro Nutzer

Instanzen können vom Nutzer eigenständig gestartet und gestoppt werden. Im gestoppten Zustand werden EC2 und EFS angehalten; die Datenbankdaten bleiben erhalten. Eine Datenweitergabe zwischen verschiedenen Nutzerinstanzen ist technisch ausgeschlossen.

3. Datensicherung (Backups)

Für pausierte Instanzen kann der Nutzer manuell Backups erstellen. Backups werden verschlüsselt in einem vom Instanzspeicher getrennten Cloud-Speicher abgelegt, sodass sie unabhängig vom Zustand der Instanz verfügbar bleiben.

• Es kann maximal ein Backup pro Kalendertag erstellt werden
• Es werden maximal vier Backups je Instanz vorgehalten; bei Erreichen dieser Grenze wird automatisch das älteste Backup gelöscht
• Jedes Backup ist ab Erstellung 30 Tage lang zum Download und zur Wiederherstellung verfügbar. Nach Ablauf dieser Frist wird das Backup automatisch und endgültig gelöscht

Die Backup-Funktion dient der Absicherung gegen Datenverlust im laufenden Betrieb und ersetzt keine eigenständige, dauerhafte Datensicherung durch den Nutzer. Für Backups, die dauerhaft aufbewahrt werden sollen, obliegt es dem Nutzer, diese innerhalb der 30-Tage-Frist herunterzuladen und selbst zu archivieren.

Bei der Wiederherstellung eines Backups werden sämtliche seit dessen Erstellung hinzugekommenen oder geänderten Daten der Instanz vollständig und unwiderruflich entfernt und durch den Stand des wiederhergestellten Backups ersetzt. Eine teilweise oder selektive Wiederherstellung einzelner Datensätze ist nicht möglich.

4. Drittanbieter

5. Löschung

Das Löschen einer ERPNext-Instanz durch den Nutzer führt zur unwiederbringlichen Löschung aller zugehörigen Daten (EC2, EFS, Datenbankeinträge). Der Nutzer ist für die Sicherung seiner Daten vor der Löschung eigenverantwortlich. Nach Vertragsbeendigung werden alle Instanzdaten spätestens 30 Tage nach Vertragsende gelöscht.

1. Parteien

2. Gegenstand und Zweck der Verarbeitung

Gegenstand: Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen Rechnungen in unterschiedlichen Formaten: PDF-Rechnungen mittels eines proprietären NER-Modells zur Amazon-Rechnungsverarbeitung und mittels Google Document AI zur universellen PDF-Rechnungsverarbeitung, sowie E-Rechnungen in strukturierten Formaten wie XRechnung/ZUGFeRD durch automatisiertes Auslesen der bereits enthaltenen strukturierten Daten ohne KI/ML-Einsatz. Dies umfasst die Extraktion relevanter Rechnungsdaten, deren Zuordnung zu den entsprechenden Buchungskonten im Buchhaltungssystem des Verantwortlichen sowie die Übertragung an dieses System.

Primärer Zweck: Automatisierung der Buchhaltungsprozesse des Verantwortlichen – Vereinfachung der Rechnungsverarbeitung, Reduktion manueller Eingaben, Vermeidung von Übertragungsfehlern.

Sekundärer Zweck – Modellverbesserung:

Zweck und eigene Verantwortlichkeit: Der Verantwortliche gestattet dem Auftragsverarbeiter, extrahierte Textinhalte und Feldplatzierungen (ausdrücklich nicht die Original-PDF-Dateien) zur kontinuierlichen Verbesserung, zum Training und zur Validierung seiner KI-Modelle zur automatisierten Rechnungsverarbeitung zu nutzen. Für diesen spezifischen Zweck agiert der Anbieter als eigenständiger Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO auf Basis seines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) an der Produktoptimierung. Die gespeicherten Daten werden ausschließlich für diesen Zweck verwendet; eine Weitergabe an Dritte erfolgt nicht.

Verfremdung (Anonymisierung): Der Anbieter verpflichtet sich, die Daten technisch zu verfremden. Hierbei werden direkte Identifikatoren automatisiert durch generische, realistisch aussehende synthetische Daten ersetzt, um die strukturelle Integrität für das KI-Training zu wahren, ohne einen Rückschluss auf die echten Personen zuzulassen.

3. Kategorien verarbeiteter Daten und betroffener Personen

Daten: Personenstammdaten (Name, Anschrift), Vertragsdaten (Bestellnummer), Abrechnungsdaten (Rechnungsbeträge, Steuersätze, Zahlungsarten), Bestelldaten (Artikel, Preise, Mengen), zeitliche Daten (Rechnungs- und Lieferdaten).

Betroffene Personen: Kunden und Geschäftspartner des Verantwortlichen, deren Daten auf Rechnungen enthalten sind.

4. Pflichten des Auftragsverarbeiters

• Weisungsgebundenheit: Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen.
• Vertraulichkeit: Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.
• Technisch-organisatorische Maßnahmen: Umsetzung der in Ziffer 6 beschriebenen Maßnahmen.
• Unterstützung bei Betroffenenrechten: Unterstützung des Verantwortlichen bei der Erfüllung von Auskunfts-, Berichtigungs-, Einschränkungs- und Löschungsanfragen gemäß Art. 12–23 DSGVO.
• Meldepflicht: Unverzügliche Meldung von Datenschutzverletzungen und Unterstützung bei der Meldung an Aufsichtsbehörden gemäß Art. 33 DSGVO.
• Löschung nach Vertragsende: Nach Beendigung des Vertrags werden alle personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

5. Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter sind genehmigt:

• Amazon Web Services EMEA SARL – Dokumentenspeicherung sowie automatisierte Verarbeitung von E-Rechnungen via Lambda (EU, Frankfurt)
• RunPod, Inc. – GPU-Computing für das NER-Modell zur Verarbeitung von Amazon-Rechnungen (verschlüsselt, keine Dauerspeicherung)
• Google LLC – Document AI für die Verarbeitung universeller PDF-Rechnungen (EU-Rechenzentren)
• Hetzner Online GmbH – Hosting der Anwendung (Deutschland)

Änderungen im Unterauftragsverhältnis werden dem Verantwortlichen mitgeteilt. Der Verantwortliche hat das Recht, innerhalb von 4 Wochen nach Mitteilung Einspruch zu erheben.

6. Technisch-organisatorische Maßnahmen (TOM)

7. Haftung und Schlussbestimmungen

Der Auftragsverarbeiter haftet gegenüber betroffenen Personen entsprechend Art. 82 DSGVO. Änderungen dieses AVV bedürfen der Textform.

Dieser AVV wird automatisch mit Nutzung des Dienstes geschlossen und ist rechtlich bindend gemäß Art. 28 DSGVO. Stand: 31.07.2026.

1. Parteien

2. Gegenstand und Zweck der Verarbeitung

Gegenstand: Der Auftragsverarbeiter stellt dem Verantwortlichen eine dedizierte ERPNext-Instanz auf AWS-Infrastruktur bereit und betreibt diese. Art, Umfang und Inhalt der vom Verantwortlichen in der ERPNext-Instanz gespeicherten Daten liegen ausschließlich im Verantwortungsbereich des Verantwortlichen; der Auftragsverarbeiter nimmt keine inhaltliche Auswertung dieser Daten vor.

Zweck: Bereitstellung, Betrieb und Aufrechterhaltung der Verfügbarkeit der ERPNext-Instanz, einschließlich Start/Stopp der Instanz durch den Verantwortlichen, Backups sowie technischer Support bei Betriebsstörungen.

3. Kategorien verarbeiteter Daten und betroffener Personen

Daten: Sämtliche vom Verantwortlichen in der ERPNext-Instanz gespeicherten Daten, deren Art und Umfang sich nach der individuellen Nutzung durch den Verantwortlichen richten (z. B. Kunden-, Lieferanten-, Personal-, Vertrags- und Buchungsdaten).

Betroffene Personen: Vom Verantwortlichen bestimmt; typischerweise dessen Kunden, Lieferanten, Mitarbeiter und sonstige Geschäftspartner.

4. Pflichten des Auftragsverarbeiters

• Weisungsgebundenheit: Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen.
• Vertraulichkeit: Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.
• Technisch-organisatorische Maßnahmen: Umsetzung der in Ziffer 6 beschriebenen Maßnahmen.
• Unterstützung bei Betroffenenrechten: Unterstützung des Verantwortlichen bei der Erfüllung von Auskunfts-, Berichtigungs-, Einschränkungs- und Löschungsanfragen gemäß Art. 12–23 DSGVO.
• Meldepflicht: Unverzügliche Meldung von Datenschutzverletzungen und Unterstützung bei der Meldung an Aufsichtsbehörden gemäß Art. 33 DSGVO.
• Löschung nach Vertragsende: Nach Beendigung des Vertrags werden alle Instanzdaten (EC2, EFS, Datenbankeinträge) spätestens 30 Tage nach Vertragsende unwiederbringlich gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

5. Unterauftragsverarbeiter

Folgender Unterauftragsverarbeiter ist genehmigt:

• Amazon Web Services EMEA SARL – EC2 (Anwendungsserver), EFS (Dateispeicher), RDS (Datenbank) sowie S3 (Speicherung manuell erstellter Backups) für die ERPNext-Instanz (EU, Frankfurt)

Änderungen im Unterauftragsverhältnis werden dem Verantwortlichen mitgeteilt. Der Verantwortliche hat das Recht, innerhalb von 4 Wochen nach Mitteilung Einspruch zu erheben.

6. Technisch-organisatorische Maßnahmen (TOM)

7. Haftung und Schlussbestimmungen

Der Auftragsverarbeiter haftet gegenüber betroffenen Personen entsprechend Art. 82 DSGVO. Änderungen dieses AVV bedürfen der Textform.

Dieser AVV wird automatisch mit Nutzung des Dienstes geschlossen und ist rechtlich bindend gemäß Art. 28 DSGVO. Stand: 31.07.2026.