# Datenschutzerklärung > **Entwurf — anwaltliche Prüfung ausstehend.** > Dieser Text ist ein interner Entwurf. Er wurde noch **nicht** anwaltlich geprüft und ist noch > nicht als verbindliche Datenschutzerklärung freigegeben. Angaben, die im Text als *zu ergänzen* > gekennzeichnet sind, müssen vor der Veröffentlichung belegt und vervollständigt werden. Stand: 31. Juli 2026 · Fassung 0.1 (Entwurf) Diese Datenschutzerklärung ist eine **Information nach Art. 13 DSGVO** und keine Einwilligungserklärung. Eine Zustimmung zu diesem Text ist weder erforderlich noch Voraussetzung für die Nutzung des Portals. ## 1. Verantwortlicher Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist: - W+L Consulting GbR - Markelsheimer Str. 69 - 70435 Stuttgart - Deutschland - Vertretungsberechtigte Gesellschafter: Dr. Holger Wildemann, Dipl.-Ing. (FH) Rene Lauenroth - Umsatzsteuer-Identifikationsnummer: DE456878090 - Telefon: 0711-28479230 - E-Mail für Datenschutzanfragen: info@pdf-in-zugferd.de *Hinweis (Entwurfsstand): Das Impressum weist derzeit `info@pdf-in-zugferd.de` als allgemeine Kontaktadresse aus. Für Datenschutzanfragen gilt `info@pdf-in-zugferd.de`. Die Vereinheitlichung beider Angaben steht aus.* ## 2. Datenschutzbeauftragter Ein Datenschutzbeauftragter ist nicht bestellt. Nach derzeitiger Einschätzung liegen die Voraussetzungen einer Benennungspflicht nach Art. 37 DSGVO in Verbindung mit § 38 BDSG nicht vor. Anfragen in Datenschutzangelegenheiten richten Sie bitte an die unter Ziffer 1 genannte Adresse. **[Zu ergänzen: anwaltliche Bestätigung, dass keine Benennungspflicht besteht — andernfalls sind hier Name und Kontaktdaten des Datenschutzbeauftragten aufzunehmen.]** ## 3. Reichweite dieser Erklärung — Abgrenzung zur Auftragsverarbeitung **3.1** Diese Erklärung beschreibt ausschließlich Verarbeitungen, für die der Anbieter **selbst Verantwortlicher** ist. Das sind: - Ihr Benutzerkonto und die Mandantenverwaltung, - Abrechnung, Guthabenkäufe und Zahlungsabwicklung, - Support- und Kontaktanfragen, - Betriebs-, Sicherheits- und Fehlerprotokolle, - der Aufruf der Website und des Portals. **3.2** Für die **Inhalte der von Ihnen hochgeladenen Rechnungsdokumente** und die daraus gewonnenen Rechnungsdaten ist der Anbieter **nicht Verantwortlicher, sondern Auftragsverarbeiter** nach Art. 28 DSGVO. Verantwortlicher für diese Daten sind **Sie** als Kunde. Sie entscheiden über Zwecke und Mittel dieser Verarbeitung; Sie schulden gegenüber den betroffenen Personen — etwa Ihren Kunden, Lieferanten oder deren Ansprechpartnern — die Information nach Art. 13 und Art. 14 DSGVO. **3.3** Die Regelungen zur Auftragsverarbeitung — insbesondere Weisungsbindung, Einsatz von Unterauftragnehmern, die Liste der Unterauftragnehmer, technische und organisatorische Maßnahmen sowie Löschung und Rückgabe — werden in einem **gesonderten Auftragsverarbeitungsvertrag** geregelt. Dieser ist nicht Bestandteil dieser Datenschutzerklärung. ## 4. Verarbeitungen im Einzelnen ### 4.1 Registrierung und Benutzerkonto - **Daten:** Name, geschäftliche E-Mail-Adresse, Passwort (nur als Hash gespeichert), Unternehmensdaten, Mandantenzuordnung, Rollen und Berechtigungen, gegebenenfalls Daten der Zwei-Faktor-Authentifizierung. - **Zweck:** Bereitstellung des Kontos, Authentifizierung, Zugriffssteuerung, Mandantentrennung. - **Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung beziehungsweise vorvertragliche Maßnahmen). ### 4.2 Abrechnung, Guthaben und Zahlung - **Daten:** Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer, Guthabenkäufe, Verbrauchsbuchungen, Rechnungen, Zahlungsstatus, Zahlungsreferenzen. - **Zweck:** Abwicklung von Guthabenkäufen, Rechnungsstellung, Buchführung. - **Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungs- und Aufzeichnungspflichten, insbesondere § 147 AO, § 257 HGB). - **Hinweis:** Vollständige Kreditkarten- oder Kontodaten werden vom Anbieter nicht gespeichert; die Zahlungsdaten werden unmittelbar beim Zahlungsdienstleister erhoben (Ziffer 5). ### 4.3 Support und Kontakt - **Daten:** Ihre Nachricht, Kontaktdaten, Vorgangsbezug. - **Zweck:** Bearbeitung Ihrer Anfrage, Nachweis des Bearbeitungsverlaufs. - **Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage das Vertragsverhältnis betrifft; im Übrigen Art. 6 Abs. 1 lit. f DSGVO. - **Berechtigtes Interesse (bei Art. 6 Abs. 1 lit. f):** effiziente Bearbeitung und Nachvollziehbarkeit von Anfragen. ### 4.4 Betriebs-, Sicherheits- und Fehlerprotokolle - **Daten:** IP-Adresse, Zeitpunkt, aufgerufene Ressource, Statuscode, Browser- und Geräteangaben, Benutzer- und Mandantenkennung, technische Fehlermeldungen. - **Zweck:** Betrieb und Stabilität, Fehlerdiagnose, Missbrauchs- und Angriffserkennung, Nachvollziehbarkeit sicherheitsrelevanter Vorgänge. - **Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO. - **Berechtigtes Interesse:** sicherer, störungsfreier und nachvollziehbarer Betrieb des Dienstes. ### 4.5 Aufruf der Website und des Portals - **Daten:** die in Ziffer 4.4 genannten Server-Protokolldaten sowie technisch notwendige Sitzungs-Cookies (Sitzungskennung, Schutz vor websiteübergreifender Anfragenfälschung). - **Zweck:** Auslieferung der Seiten, Sitzungsverwaltung, Sicherheit. - **Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO; für die Speicherung technisch notwendiger Cookies auf Ihrem Endgerät § 25 Abs. 2 Nr. 2 TDDDG (keine Einwilligung erforderlich). - Ein Einsatz von Analyse-, Tracking- oder Werbe-Cookies findet nicht statt. **[Zu ergänzen: vor Veröffentlichung gegen den tatsächlichen Produktionsstand prüfen.]** ### 4.6 Schutz vor automatisierten Zugriffen Zum Schutz von Formularen setzt das Portal ein Verfahren zur Unterscheidung menschlicher und automatisierter Zugriffe ein (hCaptcha). Dabei werden IP-Adresse und technische Angaben zu Ihrem Endgerät an den Anbieter dieses Dienstes übermittelt. - **Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO. - **Berechtigtes Interesse:** Abwehr von automatisiertem Missbrauch und Angriffen. ### 4.7 Einbindung externer Auslieferungsdienste Auf einzelnen Seiten des Portals (Anmeldung, Zwei-Faktor-Abfrage) wird eine JavaScript-Bibliothek von einem externen Auslieferungsnetz (jsDelivr) geladen. Dabei wird Ihre IP-Adresse an dessen Betreiber übermittelt. - **Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO. - **Berechtigtes Interesse:** zuverlässige und schnelle Auslieferung der Anwendung. ## 5. Empfänger und Kategorien von Empfängern Personenbezogene Daten werden nur weitergegeben, soweit dies zur Vertragserfüllung erforderlich ist, eine Rechtspflicht besteht oder ein überwiegendes berechtigtes Interesse vorliegt. Dienstleister werden, soweit sie weisungsgebunden für uns tätig werden, auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO eingebunden. Eingesetzte Kategorien von Empfängern: | Empfänger / Kategorie | Zweck | Belegt durch | |---|---|---| | **IONOS** (Hosting, virtueller Server) | Betrieb der Anwendung, Speicherung, Protokolle | Deployment-Dokumentation des Portals | | **OpenRouter** (Vermittler für Sprachmodelle) | automatisierte Auslesung der Rechnungsdaten | `config/extraction.php` (`openrouter.ai/api/v1`) | | Über OpenRouter angebundene Modellanbieter: **Mistral**, **DeepInfra**, **Parasail**, **Venice** | Ausführung der Modellabfrage | `config/extraction.php` (`provider_diversity`) | | **Stripe** (Zahlungsdienstleister) | Zahlungsabwicklung für Guthabenkäufe | `laravel/cashier` in `composer.json`, `config/cashier.php` | | **Sentry** (Fehlerüberwachung), sofern aktiviert | Erfassung technischer Fehlermeldungen | `config/sentry.php` (nur bei gesetzter Konfiguration aktiv) | | **hCaptcha** (Missbrauchsschutz) | Unterscheidung Mensch/Automat | `config/captcha.php` | | **jsDelivr** (Auslieferungsnetz) | Auslieferung einer JavaScript-Bibliothek | `resources/views/auth/login.blade.php` | | **E-Mail-Versanddienstleister** | Versand von System- und Benachrichtigungs-E-Mails | `config/mail.php` — der produktiv eingesetzte Versandweg ist umgebungsabhängig konfiguriert | | Steuerberatung, Wirtschaftsprüfung, Rechtsberatung | gesetzliche Pflichten, Rechtsverfolgung | — | | Behörden und Gerichte | bei gesetzlicher Verpflichtung | — | **[Zu ergänzen: der produktiv eingesetzte E-Mail-Versanddienstleister sowie die vollständigen Firmierungen und Anschriften sämtlicher vorgenannter Empfänger sind vor Veröffentlichung verbindlich zu bestätigen. Die Angaben oben sind aus der technischen Konfiguration abgeleitet.]** Hinweis zu OpenRouter: In der Konfiguration sind Einstellungen zur Vermeidung einer Speicherung der übermittelten Inhalte durch die Modellanbieter (Zero Data Retention, Ausschluss der Datennutzung zu Trainingszwecken) vorgesehen. Diese Einstellungen sind umgebungsabhängig steuerbar. **[Zu ergänzen: verbindliche Bestätigung des Produktionsstands sowie der vertraglichen Zusicherung durch den Anbieter.]** ## 6. Übermittlung in Drittländer Ein Teil der unter Ziffer 5 genannten Empfänger hat seinen Sitz außerhalb der Europäischen Union beziehungsweise verarbeitet Daten außerhalb des Europäischen Wirtschaftsraums. Das betrifft insbesondere den Vermittler für Sprachmodelle und die über ihn angebundenen Modellanbieter, den Zahlungsdienstleister, den Missbrauchsschutz, die Fehlerüberwachung sowie das Auslieferungsnetz. **[Zu ergänzen: Übermittlungsgrundlage je Empfänger — Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO), Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) oder ein Ausnahmetatbestand nach Art. 49 DSGVO — sowie Verarbeitungsort und Bezugsquelle für eine Kopie der Garantien. Diese Angaben lassen sich aus der technischen Konfiguration nicht ableiten und sind vor Veröffentlichung verbindlich zu erheben.]** Für das Hosting wird ein virtueller Server bei IONOS eingesetzt. **[Zu ergänzen: Rechenzentrumsstandort zu bestätigen.]** ## 7. Speicherdauer - **Konto- und Stammdaten:** für die Dauer des Nutzungsverhältnisses; anschließend Löschung, soweit keine Aufbewahrungspflicht entgegensteht. - **Abrechnungs- und Rechnungsdaten:** entsprechend den handels- und steuerrechtlichen Aufbewahrungsfristen (regelmäßig sechs beziehungsweise zehn Jahre, § 147 AO, § 257 HGB). - **Support-Korrespondenz:** bis zur abschließenden Bearbeitung, danach im Rahmen der gesetzlichen Fristen. - **Protokolldaten:** kurzfristig, orientiert am Zweck der Fehler- und Missbrauchsanalyse. **[Zu ergänzen: konkrete Löschfrist der Protokolldaten festlegen und hier beziffern.]** - **Rechnungsdokumente und Rechnungsdaten des Kunden:** nach Maßgabe des Auftragsverarbeitungsvertrags und Ihrer Weisungen. ## 8. Erforderlichkeit der Bereitstellung Die Bereitstellung der Konto-, Stamm- und Abrechnungsdaten ist zum Abschluss und zur Durchführung des Vertrages erforderlich; teilweise besteht eine gesetzliche Pflicht zu ihrer Erhebung (steuer- und handelsrechtliche Pflichtangaben). Ohne diese Daten können ein Konto und eine Abrechnung nicht bereitgestellt werden. Eine darüber hinausgehende vertragliche oder gesetzliche Verpflichtung zur Bereitstellung besteht nicht. ## 9. Automatisierte Entscheidungsfindung und Profilbildung Eine automatisierte Entscheidungsfindung einschließlich Profilbildung im Sinne des Art. 22 Abs. 1 und Abs. 4 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Die automatisierte Auslesung der Rechnungsdaten durch Sprachmodelle ist eine rein technische Datenaufbereitung. Sie trifft keine Entscheidung über Personen; das Ergebnis wird Ihnen zur Prüfung und Korrektur angezeigt. ## 10. Ihre Rechte Sie haben nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte: - **Auskunft** über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO), - **Berichtigung** unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO), - **Löschung** (Art. 17 DSGVO), - **Einschränkung der Verarbeitung** (Art. 18 DSGVO), - **Datenübertragbarkeit** (Art. 20 DSGVO), - **Widerspruch** gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO). Zur Ausübung genügt eine formlose Mitteilung an die unter Ziffer 1 genannten Kontaktdaten. ## 11. Widerrufsrecht bei Einwilligungen Soweit eine Verarbeitung ausnahmsweise auf Ihrer Einwilligung beruht (Art. 6 Abs. 1 lit. a DSGVO), können Sie diese Einwilligung **jederzeit mit Wirkung für die Zukunft widerrufen**. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Der Widerruf ist formlos an die unter Ziffer 1 genannten Kontaktdaten möglich. ## 12. Beschwerderecht bei einer Aufsichtsbehörde Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Zuständig ist insbesondere die Aufsichtsbehörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für den Sitz des Verantwortlichen zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Stuttgart. **[Zu ergänzen: aktuelle Anschrift und Kontaktdaten der Aufsichtsbehörde vor Veröffentlichung prüfen.]** ## 13. Datensicherheit Der Anbieter trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere die Übertragungsverschlüsselung, die Verschlüsselung gespeicherter Rechnungsdaten sowie die technische Trennung der Daten unterschiedlicher Mandanten. ## 14. Maßgebliche Sprachfassung Diese Datenschutzerklärung wird in deutscher Sprache abgefasst. Allein die **deutsche Fassung ist maßgeblich**. Übersetzungen — insbesondere die englische Fassung — dienen ausschließlich der Verständlichkeit (Servicefassung). Bei Abweichungen geht die deutsche Fassung vor. ## 15. Änderungen dieser Erklärung Der Anbieter passt diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils im Portal veröffentlichte Fassung. Eine Zustimmung ist nicht erforderlich; über wesentliche Änderungen wird informiert.