Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Für alle Fragen zum Datenschutz erreichen Sie uns unter info@myrobotax.de.

MyRobotax ist eine Plattform für Unternehmen und Steuerberatungskanzleien zur Erfassung, Auslesung und Verbuchung von Belegen. Dabei nehmen wir zwei unterschiedliche Rollen ein:

• Als Verantwortlicher verarbeiten wir die Daten der Besucher unserer Website sowie die Konto-, Vertrags- und Abrechnungsdaten unserer Kunden und deren Nutzer.
• Als Auftragsverarbeiter (Art. 28 DSGVO) verarbeiten wir die Inhalte, die unsere Kunden in die Plattform hochladen oder dort erzeugen – insbesondere Rechnungen, Quittungen, Kontoauszüge, Z-Berichte und die daraus abgeleiteten Buchungsdaten. Diese Dokumente enthalten regelmäßig personenbezogene Daten Dritter (z. B. Lieferanten, Kunden oder Mitarbeitende unserer Kunden). Verantwortlicher für diese Daten ist der jeweilige Kunde; wir verarbeiten sie ausschließlich nach dessen Weisung und auf Grundlage eines Auftragsverarbeitungsvertrags.

Unsere Website und Anwendung werden über das Netzwerk der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA („Cloudflare“) ausgeliefert (Cloudflare Workers). Beim Aufruf verarbeitet Cloudflare technisch notwendige Verbindungsdaten:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene URL, HTTP-Methode und Statuscode
• Browsertyp und -version sowie Betriebssystem (User-Agent)

Zur Fehleranalyse und zum sicheren Betrieb protokollieren wir zusätzlich strukturierte Anwendungsereignisse (Request-ID, Route, Statuscode sowie – bei angemeldeten Nutzern – interne Nutzer- und Firmenkennungen). Request-Header und Inhalte von Anfragen werden dabei nicht protokolliert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der stabilen, sicheren und performanten Bereitstellung unseres Angebots sowie in der Abwehr von Angriffen. Die Logdaten werden nach 7 Tage gelöscht. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich haben wir mit Cloudflare einen Auftragsverarbeitungsvertrag einschließlich Standardvertragsklauseln geschlossen.

Die Datenbank, die Benutzerauthentifizierung und die Ablage hochgeladener Dateien betreiben wir bei der Supabase, Inc. („Supabase“). Die Daten werden ausschließlich in einem Rechenzentrum in Frankfurt am Main (Amazon Web Services, Region eu-central-1) gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. – für Kundeninhalte – der Auftragsverarbeitungsvertrag mit unserem Kunden. Mit Supabase besteht ein Auftragsverarbeitungsvertrag einschließlich Standardvertragsklauseln, da ein Zugriff aus den USA zu Support- und Wartungszwecken nicht vollständig ausgeschlossen werden kann.

Für die Nutzung der Plattform ist ein Benutzerkonto erforderlich. Dabei verarbeiten wir:

• Name, E-Mail-Adresse und Passwort (ausschließlich als kryptografischer Hash gespeichert)
• optional Telefonnummer und Profilbild
• Firmenzugehörigkeit und Rolle (z. B. Administrator, Mitarbeitende, Steuerberater:in, Mandantenportal)
• bei Steuerberatungskanzleien: DATEV-Beraternummer
• Zeitpunkt der letzten Anmeldung sowie Spracheinstellungen und weitere Präferenzen

Werden Sie von einem Kunden – etwa von Ihrem Arbeitgeber oder Ihrer Steuerberatungskanzlei – eingeladen oder für das Mandantenportal freigeschaltet, erhalten wir Ihren Namen und Ihre E-Mail-Adresse von diesem Kunden. Zugangsdaten für das Mandantenportal werden verschlüsselt (AES-256-GCM) gespeichert.

Anmeldung mit Google: Wählen Sie „Mit Google anmelden“, werden Sie zu Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) weitergeleitet. Nach Ihrer Bestätigung übermittelt Google uns über unseren Authentifizierungsdienst Supabase Ihren Namen und Ihre E-Mail-Adresse; Ihr Google-Passwort erhalten wir nicht. Für die Verarbeitung bei Google gilt dessen eigene Datenschutzerklärung. Die Nutzung ist freiwillig; die Anmeldung mit E-Mail-Adresse und Passwort steht immer zur Verfügung.

Angemeldete Geräte: Bei jeder Anmeldung speichern wir zur Sitzung den Browser- und Gerätetyp (User-Agent) sowie Stadt und Land, wie sie Cloudflare aus der Verbindung ableitet; eine separate IP-Geolokalisierung findet nicht statt. Sie sehen diese Sitzungen in Ihren Kontoeinstellungen und können sie dort beenden. Meldet sich jemand von einem bisher unbekannten Gerät an, informieren wir Sie per E-Mail. Die Einträge werden mit Ihrem Konto gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz Ihres Kontos vor unbefugtem Zugriff.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Angaben sind für den Abschluss und die Durchführung des Vertrags erforderlich; ohne sie ist eine Nutzung der Plattform nicht möglich.

Wir versenden E-Mails über die E-Mail-API der Hostinger International Ltd. (Larnaka, Zypern). Fällt dieser Dienst aus, kann der Versand ersatzweise über die Gmail-API von Google erfolgen (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; eine Verarbeitung durch die Google LLC in den USA ist möglich). Wir versenden:

• Bestätigung Ihrer E-Mail-Adresse und Zurücksetzen Ihres Passworts
• Sicherheitshinweise, z. B. bei einer Anmeldung von einem neuen Gerät (mit Gerätetyp, Ort und Zeitpunkt)
• Benachrichtigungen aus der Plattform, z. B. zu neuen oder zu prüfenden Belegen, periodische Übersichten und Hinweise bei niedrigem Credit-Guthaben – je nach Ihren Benachrichtigungseinstellungen
• auf Wunsch zusätzlich an weitere, von Ihnen hinterlegte und bestätigte Empfängeradressen

Dabei werden Name und E-Mail-Adresse der Empfänger sowie der Inhalt der Nachricht verarbeitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Hostinger verarbeitet die Daten in der Europäischen Union; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Werbe-E-Mails versenden wir nicht.

Push-Benachrichtigungen der mobilen App: Erlauben Sie in unserer mobilen App Benachrichtigungen, speichern wir eine Gerätekennung (Push-Token), die Plattform (iOS oder Android), den Gerätenamen und die App-Version. Die Benachrichtigungen werden über den Dienst Expo der 650 Industries, Inc. (USA) und von dort über den Apple Push Notification Service (Apple Inc.) bzw. Firebase Cloud Messaging (Google) an Ihr Gerät zugestellt. Übermittelt werden Titel und Text der Benachrichtigung, z. B. der Firmenname und die Zahl neuer Belege, Hinweise auf ein niedriges Credit-Guthaben oder Sicherheitshinweise; Dateinamen und Belegbeschreibungen enthalten Push-Benachrichtigungen nicht. Je nach Einstellung Ihres Geräts werden sie auf dem Sperrbildschirm angezeigt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sie können Push-Benachrichtigungen jederzeit in den Einstellungen Ihres Geräts abschalten. Die Gerätekennung wird gelöscht, wenn Sie sich in der App abmelden, das Gerät in Ihren Kontoeinstellungen entfernen, die Zustellung dauerhaft fehlschlägt oder Ihr Konto gelöscht wird.

Kern unseres Dienstes ist die Verarbeitung der Dokumente und Daten, die unsere Kunden hochladen oder eingeben, insbesondere:

• Rechnungen, Gutschriften, Quittungen, Kontoauszüge und Z-Berichte als Datei
• daraus ausgelesene Inhalte (Texterkennung) und strukturierte Belegdaten
• Stammdaten der Firmen sowie ihrer Geschäftspartner (z. B. Name, Anschrift, Steuernummer, USt-IdNr., IBAN)
• Buchungen, Zahlungen, Kontozuordnungen und Kommentare
• Nutzungs- und Abrechnungsereignisse für verbrauchte Credits

Diese Verarbeitung erfolgt im Auftrag und nach Weisung unseres Kunden (Art. 28 DSGVO). Die Rechtsgrundlage für die Verarbeitung ergibt sich aus dem Verhältnis zwischen unserem Kunden und den betroffenen Personen, in der Regel Art. 6 Abs. 1 lit. b, c oder f DSGVO.

Um Belege automatisch auszulesen und Buchungsvorschläge zu erstellen, setzen wir spezialisierte Unterauftragsverarbeiter ein:

• Datalab (datalab.to, USA): Texterkennung (OCR). Hierzu wird die hochgeladene Datei übermittelt und das erkannte Ergebnis zurückgegeben.
• Google Gemini API (Google Ireland Limited bzw. Google LLC, USA): Strukturierung der erkannten Texte, Klassifizierung von Belegen und Erstellung von Kontierungsvorschlägen. Hierzu werden der erkannte Text des Belegs sowie hierfür erforderliche Firmen- und Geschäftspartnerdaten übermittelt, nicht jedoch die Originaldatei. Lässt sich der Aussteller eines Belegs weder aus dem Text noch aus der Steuernummer ermitteln, wird zusätzlich ein kleiner Bildausschnitt aus dem Kopf des Belegs (in der Regel das Logo, höchstens 50 KB) übermittelt.

Die Anbieter verarbeiten die Daten ausschließlich zur Erbringung der jeweiligen Leistung für uns und nicht zum Training eigener Modelle. Grundlage sind Auftragsverarbeitungsverträge; zur Absicherung der Übermittlung in die USA siehe Abschnitt 14.

Keine automatisierte Einzelentscheidung: Die Ergebnisse der KI sind Vorschläge. Eine Entscheidung mit rechtlicher Wirkung gegenüber betroffenen Personen im Sinne von Art. 22 DSGVO findet nicht statt; Buchungen werden von unseren Kunden geprüft bzw. nach von ihnen festgelegten Regeln freigegeben.

Auf ausdrückliche Veranlassung eines Kunden übermitteln wir Buchungsstapel, Belege und Mandantenstammdaten an die DATEV eG, Paumgartnerstraße 6–14, 90429 Nürnberg, bzw. an Lexware Office der Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg. Die Übermittlung erfolgt ausschließlich auf Weisung des Kunden; für die weitere Verarbeitung ist der jeweilige Empfänger nach seinen eigenen Datenschutzbestimmungen verantwortlich.

Die hierfür erforderlichen Zugangstoken speichern wir verschlüsselt (AES-256-GCM). Im Rahmen der Anmeldung bei DATEV setzen wir kurzzeitig ein technisch notwendiges Cookie (siehe Cookie-Richtlinie).

Zur Nachvollziehbarkeit von Änderungen an Belegen, Buchungen und Berechtigungen sowie zur Aufklärung von Missbrauch protokollieren wir sicherheitsrelevante Aktionen innerhalb der Plattform. Gespeichert werden die handelnde Person, Zeitpunkt, Art der Aktion, betroffene Firma, die geänderten Werte sowie IP-Adresse und User-Agent.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO sowie – soweit Änderungen an Belegen und Buchungen nachvollziehbar bleiben müssen – Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 146 Abs. 4 und § 147 AO. Unser berechtigtes Interesse und das unserer Kunden liegt in der Revisionssicherheit der Buchhaltung und der Sicherheit der Plattform. IP-Adresse und User-Agent werden nach 12 Monate entfernt. Die übrigen Angaben bewahren wir auf, solange die zugehörigen Unterlagen gesetzlich aufzubewahren sind (höchstens zehn Jahre).

Zum Schutz vor automatisierten Angriffen (z. B. Passwort-Rateversuchen) begrenzen wir die Anzahl von Anmelde- und vergleichbaren Anfragen. Dazu speichern wir ausschließlich einen kryptografischen Hash aus IP-Adresse und Anfragetyp, niemals die IP-Adresse im Klartext. Diese Einträge werden spätestens nach zwei Stunden gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Wir verwenden ausschließlich technisch notwendige Cookies sowie Einträge im lokalen Speicher Ihres Browsers (Local Storage), z. B. für die Anmeldung, die gewählte Sprache und das Farbschema. Analyse-, Marketing- oder Tracking-Technologien setzen wir nicht ein. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b bzw. f DSGVO.

Eine vollständige Übersicht finden Sie in unserer Cookie-Richtlinie.

Wenn Sie uns per E-Mail (z. B. an info@myrobotax.de) kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage mit einem Vertrag zusammenhängt, andernfalls Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Daten, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Wir setzen die folgenden Dienstleister als Auftragsverarbeiter ein:

Bei einer Übermittlung in die USA stützen wir uns auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger zertifiziert ist, und im Übrigen auf die von der EU-Kommission erlassenen Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien können Sie unter den oben genannten Kontaktdaten anfordern.

Darüber hinaus geben wir Daten nur weiter, wenn Sie oder unser Kunde dies veranlassen (z. B. Export an DATEV), wenn wir gesetzlich dazu verpflichtet sind oder wenn dies zur Durchsetzung unserer Rechte erforderlich ist. Wechselkurse beziehen wir von der Europäischen Zentralbank; dabei werden keine personenbezogenen Daten übermittelt.

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

• Kontodaten: für die Dauer des Vertragsverhältnisses; nach Vertragsende werden sie gelöscht, soweit keine Aufbewahrungspflichten bestehen.
• Von Kunden archivierte (aussortierte) oder gelöschte Dokumente: endgültige Löschung von Datei und Datensatz 30 Tage nach der Archivierung. Ausgenommen sind freigegebene oder an DATEV bzw. Lexware Office übergebene Dokumente (Buchungsbelege): Sie werden aus der Ansicht entfernt, aber für die gesetzliche Aufbewahrungsfrist gespeichert (§ 147 AO, § 257 HGB). Änderungen an bereits übergebenen Belegen werden mit ihrem vorherigen Stand protokolliert und ebenso lange aufbewahrt.
• Zwischendateien aus Massen-Uploads: Löschung nach 30 Tagen.
• Kundeninhalte im Übrigen: für die Dauer des Vertrags bzw. bis zur Löschung durch den Kunden; nach Vertragsende gemäß Auftragsverarbeitungsvertrag.
• Audit-Log: IP-Adresse und User-Agent 12 Monate, übrige Angaben für die Dauer der gesetzlichen Aufbewahrungsfristen (höchstens zehn Jahre). Request-Logs: 7 Tage. Missbrauchsschutz: höchstens zwei Stunden.
• Unterlagen zu unseren eigenen Leistungen: Rechnungen und sonstige Buchungsbelege acht Jahre, Handelsbücher und Jahresabschlüsse zehn Jahre, Handels- und Geschäftsbriefe sechs Jahre (§ 147 AO, § 257 HGB); die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die letzte Eintragung in das Buch gemacht, der Jahresabschluss aufgestellt, der Brief empfangen oder abgesandt bzw. der Buchungsbeleg entstanden ist (§ 147 Abs. 4 AO, § 257 Abs. 5 HGB).

Ihnen stehen gegenüber uns die folgenden Rechte zu:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), z. B. bei der für uns zuständigen Behörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an info@myrobotax.de. Anträge auf Löschung Ihres Kontos oder auf Herausgabe Ihrer Daten bearbeiten wir innerhalb der gesetzlichen Frist von einem Monat. Wie Sie die Löschung Ihrer Daten beantragen, beschreibt die Seite Datenlöschung.

Die Bereitstellung der als Pflichtangaben gekennzeichneten Daten ist für den Vertragsschluss und die Nutzung der Plattform erforderlich. Ohne diese Daten können wir Ihnen kein Benutzerkonto einrichten. Unser Angebot richtet sich an Unternehmen und nicht an Kinder.

Wir treffen technische und organisatorische Maßnahmen, um Ihre Daten zu schützen, insbesondere:

• durchgehende Transportverschlüsselung (TLS)
• strikte Trennung der Daten verschiedener Kunden auf Datenbankebene (Row Level Security)
• nicht öffentliche Dateiablage mit zeitlich begrenzten, signierten Zugriffslinks
• Verschlüsselung besonders sensibler Zugangsdaten (AES-256-GCM)
• rollenbasierte Berechtigungen, Begrenzung von Anmeldeversuchen und Protokollierung sicherheitsrelevanter Vorgänge

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung; das Datum des letzten Stands finden Sie oben.