Datenschutzerklärung

Stand: 14. Oktober 2026 · Information nach Art. 13 DSGVO

Auf dieser Seite

1. Verantwortlicher

Henry Thedieck
Alto Media Management (Einzelunternehmen)
BelegHero
Hüfferstraße 76
48149 Münster
Deutschland
E-Mail: info@beleghero.com

Ein Datenschutzbeauftragter ist nicht bestellt. Anfragen zum Datenschutz richten Sie bitte an die oben genannte Adresse.

2. Verarbeitungen, Zwecke und Rechtsgrundlagen

2.1 Konto- und Vertragsdaten

Daten	Zweck	Rechtsgrundlage
Name, E-Mail-Adresse	Einrichtung und Betrieb des Zugangs, Kommunikation zum Vertrag	Art. 6 Abs. 1 lit. b DSGVO
Gewählter Tarif, Abo-Status	Bereitstellung der gebuchten Leistung, Steuerung des Kontingents	Art. 6 Abs. 1 lit. b DSGVO
Zahlungsdaten	Zahlungsabwicklung über den Zahlungsdienstleister Stripe. Kartendaten werden bei uns nicht gespeichert.	Art. 6 Abs. 1 lit. b DSGVO
Widerruf und Kündigung: Name, Angabe zur Identifizierung des Vertrags, E-Mail-Adresse für die Eingangsbestätigung, Zeitpunkt des Eingangs; bei außerordentlicher Kündigung zusätzlich der genannte Grund	Entgegennahme der Erklärung über die Schaltflächen Vertrag widerrufen und Verträge hier kündigen, Versand der vorgeschriebenen Eingangsbestätigung, Nachweis von Eingang und Zeitpunkt	Art. 6 Abs. 1 lit. c DSGVO (§ 356a Abs. 4, § 312k Abs. 4 BGB) und Art. 6 Abs. 1 lit. b DSGVO
Bestätigung der E-Mail-Adresse: ob sie aussteht, und je verschicktem Bestätigungslink ein Hashwert des Links, ein mit einem geheimen Zusatz gebildeter Hashwert der Adresse, an die er ging, sowie Zeitpunkte von Versand, Ablauf und Verwendung	Nachweis, dass die bei der Registrierung mit E-Mail-Adresse und Passwort angegebene Adresse der registrierenden Person gehört, bevor die kostenlosen Postfachsuchen freigegeben werden; Schutz dieser Suchen vor Missbrauch mit fremden oder erfundenen Adressen. Bei der Anmeldung mit Google gilt eine von Google bestätigte Adresse als bestätigt.	Art. 6 Abs. 1 lit. b und lit. f DSGVO
Ein mit einem geheimen Zusatz gebildeter Hashwert der IP-Adresse und der Zeitpunkt jedes Registrierungsversuchs und jeder Kontoanlage; ohne Personenbezug die Zahl der kostenlosen Postfachsuchen je Tag	Begrenzung der Registrierungen je Anschluss und je Tag und der kostenlosen Postfachsuchen je Tag; ohne diese Grenzen ließen sich Konten und kostenlose Suchen massenhaft auf unsere Kosten anlegen	Art. 6 Abs. 1 lit. f DSGVO

Beim Widerruf wird kein Grund abgefragt und keiner gespeichert. § 356a Abs. 2 BGB zählt die zulässigen Angaben abschließend auf; der Grund gehört nicht dazu.

2.1a Herkunft einer Registrierung

Bei einer Registrierung speichern wir am Konto, woher sie kam: die Kampagnenangaben aus dem Link, über den Sie zu uns gekommen sind (utm_source, utm_medium, utm_campaign, utm_content, utm_term), einen Aktionscode aus diesem Link, den Pfad der ersten aufgerufenen Seite unseres Angebots, die Bezeichnung der Schaltfläche, über die Sie die Registrierung geöffnet haben, den Namen der verweisenden Website (nur den Host, nicht die vollständige Adresse – aus ihr könnten Suchbegriffe hervorgehen), ob die Registrierung mit E-Mail-Adresse und Passwort oder mit Google erfolgte, und – falls Sie sie beantworten – die freiwillige Angabe „Woher kennst du uns?“. Zweck ist die Messung, welche Kampagnen und Beiträge zu Anmeldungen führen; ausgewertet wird in Summen je Kampagne, nicht je Person.

Daten	Zweck	Rechtsgrundlage
Kampagnenangaben und Aktionscode aus dem Link, erste Seite, verweisender Host, Bezeichnung der Schaltfläche, über die die Registrierung geöffnet wurde, Weg der Registrierung, freiwillige Angabe „Woher kennst du uns?“	Messung, welche Kampagnen Anmeldungen bringen	Art. 6 Abs. 1 lit. f DSGVO

Berechtigtes Interesse ist die wirtschaftliche Steuerung unserer Werbung. Dafür wird weder ein Cookie gesetzt noch etwas im Speicher Ihres Browsers abgelegt: die Angaben stehen in der Adresse der Links und werden beim Weiterklicken zu unserer Registrierungsseite mitgegeben. Gespeichert werden sie erst mit der Registrierung, am Konto, und solange das Konto besteht. Die Angabe „Woher kennst du uns?“ ist freiwillig. Zum Widerspruchsrecht siehe § 9.

2.2 Inhaltsdaten (Kontoumsätze, Kontoauszüge, Belege)

Daten	Zweck	Rechtsgrundlage
Aus hochgeladenen Kontoauszügen ausgelesene Buchungen (Händler, Betrag, Datum, Verwendungszweck) sowie die hochgeladene Auszugsdatei selbst	Abgleich mit Belegen (Hauptleistung); die Datei, damit Sie den Auszug aus jeder Buchung heraus öffnen können	Art. 6 Abs. 1 lit. b DSGVO
Über die optionale Bankverbindung abgerufene Kontostammdaten und gebuchte Umsätze (insbesondere Kontobezeichnung, maskierte IBAN, Währung, Händler beziehungsweise Gegenpartei, Betrag, Datum und Verwendungszweck)	Automatische Übernahme der Buchungen und Abgleich mit Belegen (Hauptleistung)	Art. 6 Abs. 1 lit. b DSGVO; die Freigabe des Kontozugriffs erfolgt zusätzlich ausdrücklich im Autorisierungsverfahren der Bank und des Kontoinformationsdienstes
Über die optionale Verbindung mit sevDesk abgerufene Zahlungskonten (Bezeichnung, Art) und deren offene Umsätze im Auftragszeitraum (Datum, Betrag, Name der Gegenpartei, Verwendungszweck, Bearbeitungsstand in sevDesk)	Übernahme als Buchungen und Abgleich mit Belegen (Hauptleistung); ein Umsatz, der in sevDesk inzwischen verbucht oder als privat markiert ist, wird in BelegHero als erledigt geführt	Art. 6 Abs. 1 lit. b DSGVO
Hochgeladene, per WhatsApp gesendete oder im Postfach gefundene Beleg-Dateien und die daraus ausgelesenen Werte	Zuordnung zu Buchungen, Vorlage zur Bestätigung	Art. 6 Abs. 1 lit. b DSGVO
An die persönliche Belegadresse eines Projekts weitergeleitete E-Mails: Absender, Betreff, Zeitpunkt, Kennung der Nachricht und die angehängten Beleg-Dateien	Belegeingang per E-Mail: die Anhänge werden dem Projekt zugeordnet und wie ein Upload ausgewertet. Der Text der Nachricht wird nicht gespeichert. Nachrichten ohne Anhang oder ohne gültige Belegadresse werden nicht verarbeitet. Eine Ausnahme ist die Bestätigungsnachricht, die Google beim Einrichten einer automatischen Weiterleitung an die Belegadresse schickt: aus ihr werden Bestätigungscode und Bestätigungslink ausgelesen und dem Nutzer sieben Tage lang in BelegHero angezeigt	Art. 6 Abs. 1 lit. b DSGVO
Kunden- und Artikelstammdaten für den Rechnungsteil (Name beziehungsweise Firma, Anschrift, E-Mail-Adresse, USt-IdNr. der Kunden; Bezeichnung, Preis und Steuersatz der Artikel) – von Hand angelegt oder aus dem Export eines anderen Programms (etwa sevDesk, Lexware Office, Accountable) übernommen. Die Exportdatei wird nur zum Auslesen verarbeitet und nicht gespeichert; Spalten, die BelegHero nicht kennt, werden verworfen. Ein Archiv mit Belegen und Rechnungen (ZIP) liegt für die Dauer des Imports, längstens drei Stunden, auf unserem Server; die enthaltenen Belege und Rechnungen werden danach wie selbst hochgeladene behandelt. Datum, Betrag und Aussteller stammen dabei aus dem Export – an das KI-Modell gehen sie nur, wenn Sie das Auslesen ausdrücklich wählen.	Schreiben von Rechnungen (Hauptleistung)	Art. 6 Abs. 1 lit. b DSGVO
Notizen, Antworten auf Rückfragen	Nachvollziehbarkeit des Abgleichs	Art. 6 Abs. 1 lit. b DSGVO

2.3 Zugriffe auf Postfach, Cloud-Speicher, Bankkonto, Buchhaltung und WhatsApp

Beim Verbinden eines Postfachs oder eines Google-Drive-Ordners werden die dafür erforderlichen Zugriffs-Token verschlüsselt (AES) gespeichert, nicht das Passwort. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Vertragserfüllung, für die Erteilung des Zugriffs gegenüber Google, Microsoft beziehungsweise dem E-Mail-Anbieter die dort erklärte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Zum Umfang der Berechtigungen siehe § 3, zum Widerruf § 9.

Bei der optionalen Bankverbindung werden keine PIN, TAN oder Zugangsdaten zum Online-Banking an BelegHero übermittelt oder bei BelegHero gespeichert. Die Anmeldung und starke Kundenauthentifizierung erfolgen unmittelbar bei der ausgewählten Bank. BelegHero speichert die vom Kontoinformationsdienst ausgegebene Sitzungskennung, die zugeordneten Kontokennungen und das Ende der Freigabe, um die ausdrücklich freigegebenen Kontoinformationen und gebuchten Umsätze abrufen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Bankfreigabe kann jederzeit über „Bankverbindung“ getrennt werden.

Buchhaltung. Wer seine Buchhaltung in einem anderen Programm führt, kann es freiwillig mit BelegHero verbinden und je Projekt einschalten, dass die gefundenen Belege dorthin gehen. Gesendet werden dieselben Belege wie in der Übergabe an die Steuerkanzlei, je Buchung als ein Dokument. Bei sevDesk (sevDesk GmbH) hinterlegt der Nutzer seinen API-Token; BelegHero speichert ihn verschlüsselt (AES), liest damit die offenen Umsätze der ausgewählten Zahlungskonten (§ 2.2) und legt jeden Beleg in sevDesk als Entwurf an – mit der Datei, Datum, Betrag, Lieferant beziehungsweise Kunde und Rechnungsnummer. Ein Entwurf bucht nichts. Bei Lexware Office (Haufe-Lexware GmbH & Co. KG) und jedem anderen Belegpostfach hinterlegt der Nutzer die Adresse seines Belegempfangs; BelegHero speichert sie verschlüsselt. Bei Accountable (Accountable SA) erhält jedes Konto eine eigene Absenderadresse bei BelegHero, die der Nutzer in Accountable einträgt; von ihr gehen die Belege, mit dem Namen im Konto als Absendername, an die Belegadresse von Accountable. Auf beiden Wegen geht jeder Beleg als E-Mail mit einem Anhang. Betreff und Text nennen Lieferant, Datum, Betrag und Rechnungsnummer, beim Belegpostfach außerdem den Verwendungszweck der Zahlung, den Projektnamen und die E-Mail-Adresse des Kontos; sie ist auch die Antwortadresse. Die Bestätigungsmail, die Accountable an diese Absenderadresse schickt, liest BelegHero aus und zeigt den Bestätigungslink an; den übrigen Text speichert es nicht. Damit kein Beleg doppelt ankommt, merkt sich BelegHero je Verbindung, welche Belege mit welchem Ergebnis gesendet wurden (Prüfwert und Name der Datei, Zeitpunkt, Kennung beim Anbieter). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Verbindung lässt sich unter „Einstellungen“ → „Buchhaltung“ jederzeit trennen; was schon beim Anbieter angekommen ist, bleibt dort.

WhatsApp ist ein freiwilliger Eingangskanal. Beim Verbinden werden der Zeitpunkt und die Fassung der Einwilligung, ein mit einem geheimen Zusatz gebildeter Hashwert der Telefonnummer sowie deren letzte vier Ziffern gespeichert. Die vollständige Nummer, Nachrichten und gesendeten Dateien werden von WhatsApp an BelegHero übertragen; eine Beleg-Datei läuft danach durch dieselbe Auswertung wie ein manueller Upload. BelegHero sendet nur funktionsbezogene Antworten innerhalb des vom Nutzer eröffneten Chats und keine Werbung. Rechtsgrundlage für die Verbindung und Übertragung gegenüber WhatsApp ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, für die anschließende Belegverarbeitung Art. 6 Abs. 1 lit. b DSGVO. Die Verbindung kann in BelegHero oder mit „STOP“ im Chat getrennt werden.

2.4 Lokale Dateisuche (optionale Funktion)

Die Funktion „Computer durchsuchen“ ist ein eigenständiges Programm, das vom Nutzer selbst gestartet wird, und kein dauerhaft laufender Dienst. Es durchsucht die ausgewählten Ordner nach Dateien mit den Endungen PDF, JPG, PNG und HEIC sowie nach E-Rechnungen im XML-Format. Andere Dateitypen werden nicht erfasst.

Die Ein-Klick-Suche der BelegHero-App für macOS durchsucht ausschließlich die Ordner Schreibtisch, Dokumente, Downloads und iCloud Drive sowie Ordner, die der Nutzer in der App selbst hinzugefügt hat, und dort nur Dateien mit den Endungen PDF, JPG, PNG und HEIC. Ab Fassung 0.4.23 kommen E-Rechnungen im XML-Format hinzu: Von jeder XML-Datei liest die App auf dem Rechner den Anfang und prüft, ob es sich um eine E-Rechnung (XRechnung, ZUGFeRD) handelt. Nur dann wird die Datei übertragen; alle anderen XML-Dateien verlassen den Rechner nicht. Ab Fassung 0.4.20 der App kann der Nutzer einzelne der vier Standardorte abwählen; ältere Fassungen durchsuchen stets alle vier. System-, Programm- und Einstellungsordner (etwa Schlüsselbund oder Browserdaten) werden nicht betreten. Den Zugriff auf jeden dieser vier Ordner fragt macOS beim ersten Mal einzeln beim Nutzer ab; einen eigenen Ordner wählt der Nutzer im Auswahlfenster des Systems aus.

Der Text einer Datei wird zunächst ausschließlich auf dem Gerät des Nutzers gelesen – bei PDF-Dateien aus der Textebene, bei Bildern und PDF-Dateien ohne Textebene über die im Betriebssystem enthaltene Texterkennung (Apple Vision), die ohne Verbindung nach außen arbeitet. Dateien ohne beleg-typische Begriffe oder Beträge werden dort aussortiert und nicht übertragen; Bilder werden nur übertragen, wenn ihr Text nach einem Beleg aussieht. Der erkannte Text bleibt auf dem Gerät des Nutzers. Wer in der App die Option „auch Fotos ohne erkennbaren Belegtext hochladen“ wählt, überträgt Bilder unabhängig von dieser Vorprüfung.

Zu jeder übertragenen Datei übermittelt die App ihren Dateinamen und ihren Speicherort auf dem Gerät, ab Fassung 0.4.20 anstelle des Speicherorts nur eine Prüfsumme davon. BelegHero speichert den Speicherort nicht, sondern nur diese Prüfsumme, damit dieselbe Datei nicht zweimal geprüft wird; den Pfad selbst wertet BelegHero allein beim Eingang aus, um Dateien aus System- und Programmordnern auszusortieren. Die übertragene Datei wird als Beleg unverändert aufbewahrt. Bevor ein Foto (JPG, PNG, HEIC) an einen KI-Dienst geht, entfernt BelegHero daraus Standort-, Geräte- und sonstige eingebettete Metadaten; erhalten bleibt nur die Bildausrichtung. PDF-Dateien werden nicht verändert. Ab Fassung 0.4.20 löscht die App ihren lokalen Zwischenspeicher der Texterkennung nach 24 Stunden und vollständig, wenn ein Ordner aus der Suche entfernt wird.

Die App fragt regelmäßig bei beleghero.com an, ob eine neuere Fassung vorliegt. Dabei fallen die üblichen Verbindungsdaten an (IP-Adresse, Zeitpunkt, Fassung der App); ein Geräte- oder Systemprofil wird nicht übertragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.5 Nutzungs-, Protokoll- und Abrechnungsdaten

Daten	Zweck	Rechtsgrundlage
Protokoll der durchgeführten Postfach-Suchen (Suchbegriff, Zeitraum, zugehörige Buchung) und der Durchsichten des Postfachs über einen Zeitraum	Nachvollziehbarkeit für den Nutzer („Transparenz-Log“)	Art. 6 Abs. 1 lit. b DSGVO
Änderungsprotokoll: zu jeder Änderung an Kontoauszügen, Buchungen, Belegen, Zuordnungen, Übergaben und eigenen Ausgangsrechnungen der Zeitpunkt, der alte und der neue Wert (Dateien nur mit Prüfsumme und Größe), der Vorgang sowie der Handelnde – die Nummer des angemeldeten Kontos oder der Vermerk, dass ohne Anmeldung über einen Projektlink, durch unseren Support oder automatisch gehandelt wurde. Wird eine Belegdatei durch eine andere ersetzt, bleibt die vorige Fassung der Datei gespeichert	Nachvollziehbarkeit und Unveränderbarkeit der Belegverarbeitung, wie sie die Grundsätze ordnungsmäßiger Buchführung (GoBD) vom Nutzer als Unternehmen verlangen	Art. 6 Abs. 1 lit. b DSGVO
Postfach-Index: zu E-Mails mit Anhang oder Rechnungsbezug aus dem verbundenen Postfach Absender, Betreff, Datum, Namen der Anhänge sowie aus Rechnungen ausgelesene Beträge und Händlernamen (siehe § 3)	Schnelles und vollständiges Auffinden des Belegs zu einer Buchung, ohne das Postfach für jede Buchung neu zu durchsuchen	Art. 6 Abs. 1 lit. b DSGVO
Support-Anfragen per E-Mail an support@beleghero.com: E-Mail-Adresse, gegebenenfalls Name, Betreff und Inhalt der Anfrage sowie unsere Antworten	Bearbeitung und Beantwortung der Anfrage; eingehende Nachrichten werden automatisch aus dem Postfach abgerufen und mit einer Eingangsbestätigung beantwortet	Art. 6 Abs. 1 lit. b DSGVO, bei Anfragen ohne Vertrag Art. 6 Abs. 1 lit. f DSGVO
Verbrauch je Anfrage an das KI-Modell	Kostenbegrenzung und Steuerung des Kontingents je Tarif	Art. 6 Abs. 1 lit. f DSGVO
Server- und Zugriffsprotokolle, Fehlermeldungen	Betriebssicherheit, Fehlersuche, Abwehr von Missbrauch	Art. 6 Abs. 1 lit. f DSGVO

Berechtigte Interessen im Sinne von Art. 6 Abs. 1 lit. f DSGVO sind der wirtschaftliche Betrieb des Dienstes, der sichere und fehlerfreie Betrieb der Systeme und die Abwehr von Missbrauch. Zum Widerspruchsrecht gegen diese Verarbeitungen siehe § 9.

2.6 Cookies und Speicher im Browser

Für die Anmeldung wird ein Sitzungs-Cookie gesetzt. Er enthält eine zufällige Kennung, ist für JavaScript nicht auslesbar (HttpOnly), wird nur über verschlüsselte Verbindungen übertragen und läuft mit der Sitzung ab.

Daneben legt der Browser auf Ihrem Gerät nur das Folgende ab:

Eintrag	Inhalt und Zweck	Dauer
Cookie `bh_ui`	Merkt sich, welche Fassung der Oberfläche Sie gewählt haben. Er wird nur gesetzt, wenn Sie die Fassung ausdrücklich über einen entsprechenden Link umschalten.	ein Jahr
Lokaler Speicher `bh-einwilligung`	Ihre Entscheidung im Einwilligungsfenster, damit es nicht bei jedem Seitenaufruf erneut erscheint	bis Sie sie ändern oder den Speicher leeren
Lokaler Speicher `bh-aktion-gesehen`	Kennung eines Aktionshinweises, den Sie bereits gesehen oder geschlossen haben, damit er nicht erneut eingeblendet wird. Der Eintrag wird nicht an uns übertragen.	bis zur nächsten Aktion oder bis Sie den Speicher leeren
Lokaler Speicher in der angemeldeten Anwendung	Einstellungen der Oberfläche (eingeklappte Leisten, Sortierung, gewählte Ansicht, zuletzt geöffnetes Projekt) und Entwürfe noch nicht abgeschickter Eingaben. Diese Einträge werden nicht an uns übertragen.	bis Sie den Speicher leeren

Diese Einträge sind für den ausdrücklich gewünschten Dienst unbedingt erforderlich beziehungsweise halten eine von Ihnen selbst getroffene Einstellung fest und bedürfen deshalb nach § 25 Abs. 2 Nr. 2 TDDDG keiner Einwilligung. Rechtsgrundlage der zugehörigen Verarbeitung: Art. 6 Abs. 1 lit. b DSGVO. Die Reichweitenmessung nach § 2.6a verwendet den Sitzungsspeicher nur nach Ihrer Einwilligung.

Cookies zu Werbezwecken werden nicht gesetzt. Dienste Dritter, die dies für uns täten, sind nicht eingebunden. Zur Reichweitenmessung auf unseren öffentlichen Seiten siehe § 2.6a.

2.6a Reichweitenmessung auf den öffentlichen Seiten

Auf unseren öffentlichen Seiten (Startseite, Funktionen, Preise, Sicherheit, Für Kanzleien und die Rechtstexte) messen wir, welche Wege Besucherinnen und Besucher nehmen – ausschließlich, um diese Seiten zu verbessern. Das geschieht nur, wenn Sie vorher zugestimmt haben. Ohne Zustimmung wird dafür nichts in Ihrem Browser gespeichert und kein Ereignis übertragen.

Was gespeichert wird: eine zufällige Sitzungskennung, der aufgerufene Pfad, die Art des Ereignisses (Seitenaufruf, Klick auf eine Schaltfläche oder einen Verweis – gespeichert wird deren Bezeichnung bzw. Ziel, nie der Inhalt von Eingaben –, erreichte Scrolltiefe, Verweildauer beim Verlassen), ob ein kleiner oder großer Bildschirm verwendet wird, und der Herkunfts-Host, falls Sie über einen Verweis gekommen sind.

Was ausdrücklich nicht gespeichert wird: Ihre IP-Adresse, Ihre Browserkennung im Wortlaut, die vollständige Verweisadresse (aus ihr könnten Suchbegriffe hervorgehen – wir kürzen sie auf den Host) sowie Eingaben, die Sie in Formulare tippen.

Die Sitzungskennung wird im Sitzungsspeicher Ihres Browsers abgelegt und endet, wenn Sie den Tab schließen. Eine Wiedererkennung über Besuche hinweg findet nicht statt.

Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; für die Speicherung im Endgerät § 25 Abs. 1 TDDDG. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – der Widerruf ist so einfach wie die Erteilung (Art. 7 Abs. 3 DSGVO):

Empfänger: keine. Die Daten bleiben auf demselben Server in der EU wie der übrige Dienst; es ist kein Analysedienst eines Dritten eingebunden. Speicherdauer: die Ereignisse werden spätestens nach zwölf Monaten gelöscht.

Tageszahlen ohne Einwilligung. Unabhängig davon zählt unser Server, wie oft jede öffentliche Seite an einem Tag abgerufen wurde und über welche Schaltfläche die Registrierungsseite geöffnet wurde (die Bezeichnung der Schaltfläche steht dafür in der Adresse des Verweises). Ebenso zählt der Server, wie oft an einem Tag die Schritte der Registrierung vorkamen und wie sie ausgingen: das abgeschickte Formular (Konto angelegt oder abgelehnt, mit dem Grund der Ablehnung – etwa „zu dieser Adresse gibt es schon ein Konto“), die Anmeldung mit Google (begonnen, abgebrochen, gescheitert oder abgeschlossen), der Versand der Bestätigungsmail und der Bestätigungslink (geöffnet, eingelöst oder ohne Wirkung). Gespeichert wird nur die Tagessumme je Seite, Schaltfläche und Schritt der Registrierung – kein Cookie, kein Eintrag in Ihrem Browser, keine IP-Adresse, keine Browserkennung, keine Uhrzeit. Einzelne Besuche oder Personen lassen sich daraus weder erkennen noch wiedererkennen. Abrufe durch Programme (etwa Suchmaschinen) werden anhand der Browserkennung ausgefiltert, die dafür nur gelesen und nicht gespeichert wird. Rechtsgrundlage ist unser berechtigtes Interesse, unsere Seiten und unsere Registrierung zu verbessern (Art. 6 Abs. 1 lit. f DSGVO); da nichts in Ihrem Endgerät gespeichert oder daraus ausgelesen wird, bedarf es keiner Einwilligung nach § 25 TDDDG. Die Tagessummen löschen wir nach zwei Jahren.

2.7 Hilfe-Fenster auf diesen Seiten

Das Hilfe-Fenster unten rechts wird von einem KI-Sprachmodell beantwortet (Anthropic Claude). Übermittelt wird ausschließlich die eingegebene Frage. Kein Verlauf, keine Angaben zur Person und keine Daten aus einem BelegHero-Konto werden mitgeschickt; das Modell hat auf Konten keinen Zugriff.

Daten	Zweck	Rechtsgrundlage
Der eingegebene Fragetext	Beantwortung der Frage	Art. 6 Abs. 1 lit. f DSGVO
Ein Hashwert der IP-Adresse und der Zeitpunkt der Frage	Begrenzung der Anzahl der Fragen je Anschluss; ohne diese Begrenzung ließe sich der Dienst auf unsere Kosten missbrauchen	Art. 6 Abs. 1 lit. f DSGVO

Berechtigtes Interesse ist die Beantwortung von Fragen zum eigenen Angebot und der Schutz vor missbräuchlicher Nutzung. Die IP-Adresse selbst wird nicht gespeichert, sondern nur ein mit einem geheimen Zusatz gebildeter Hashwert, aus dem sich die Adresse nicht zurückrechnen lässt. Er wird gelöscht, sobald das Zeitfenster abgelaufen ist. Die Fragen selbst werden nicht gespeichert.

3. Umfang der erteilten Berechtigungen

Dieser Abschnitt benennt, was die erteilten Zugriffe technisch zulassen und was nicht.

Berechtigung	Was sie zulässt	Was sie nicht zulässt
`gmail.readonly`	Lesen von Nachrichten und Anhängen im verbundenen Postfach	Löschen, Verschieben, Verändern oder Versenden von Nachrichten
`Mail.Read` (Microsoft Graph)	Lesen von Nachrichten und Anhängen im verbundenen Outlook.com- oder Microsoft-365-Postfach	Löschen, Verschieben, Verändern oder Versenden von Nachrichten; Zugriff auf Kalender, Kontakte oder OneDrive
`User.Read`, `openid`, `email`, `profile`, `offline_access` (Microsoft)	Name, Adresse und Kontokennung des angemeldeten Microsoft-Kontos; weiterlesen ohne erneute Anmeldung, bis der Zugriff getrennt oder widerrufen wird	Lesen anderer Konten der Organisation
`Mail.Read.Shared` (Microsoft, nur wenn eingeschaltet)	Lesen eines gemeinsamen Postfachs, auf das der angemeldete Nutzer selbst Zugriff hat und das er ausdrücklich hinzufügt	Zugriff auf Postfächer, die dem Nutzer nicht freigegeben sind
`drive.file`	Zugriff auf die Dateien, die BelegHero selbst in Google Drive anlegt	Auflisten oder Lesen bestehender Dateien und Ordner, die BelegHero nicht selbst angelegt hat
IMAP-Postfächer	Lesen über ein gesondertes App-Passwort	Verwendung des regulären Kontopassworts; ein App-Passwort ist einzeln widerrufbar
Kontoinformationsdienst (Enable Banking)	Lesen der vom Nutzer bei seiner Bank ausdrücklich freigegebenen Kontostammdaten und gebuchten Umsätze; regelmäßiger Abruf während der befristeten Freigabe	Zahlungen auslösen, Überweisungen erstellen oder ändern; PIN, TAN oder sonstige Online-Banking-Zugangsdaten erhalten
Bankanbindung (BANKSapi)	Lesen der bei der Bank freigegebenen Kontostammdaten und Umsätze für bestehende Bankverbindungen	Zahlungen auslösen oder Online-Banking-Zugangsdaten bei BelegHero speichern
WhatsApp Business Platform	Empfangen der vom Nutzer an BelegHero gesendeten Textnachrichten, Fotos und PDF-Dateien sowie Senden funktionsbezogener Bestätigungen	Andere WhatsApp-Chats lesen, Kontakte auslesen oder selbständig auf Inhalte außerhalb des BelegHero-Chats zugreifen
API-Token von sevDesk	Technisch die Rechte des sevDesk-Benutzers, dem der Token gehört. BelegHero liest damit Zahlungskonten, deren Umsätze und die Buchungskonten und legt Belege als Entwurf an	Zugriff auf andere sevDesk-Konten. BelegHero bucht nicht, ändert oder löscht keine vorhandenen Belege und Umsätze und löst keine Zahlungen aus
Belegempfang per E-Mail (Lexware Office, Accountable, Belegpostfach)	Senden von Belegen an die hinterlegte Adresse beziehungsweise an die Belegadresse von Accountable	Lesen oder Ändern von Daten in der Buchhaltung des Nutzers

Im verbundenen Postfach arbeitet BelegHero auf drei Wegen, alle ausschließlich lesend und ausschließlich, um Rechnungen und Belege zu finden:

Gezielte Suche je Buchung nach dem Händlernamen, eingegrenzt auf ein Zeitfenster um das Buchungsdatum. Bei einem Zahlungseingang wird nach der eigenen Rechnung an den Zahler gesucht (Name des Zahlers oder Rechnungsnummer), dann auch im Ordner „Gesendet“.
Durchsicht über einen Zeitraum (Postfach-Index). Damit Belege vollständig und ohne wiederholte Einzelsuchen gefunden werden, sieht BelegHero die E-Mails der letzten 450 Tage durch, die einen Anhang haben oder nach Betreff und Absender eine Rechnung sein können (je Durchlauf höchstens 600 Nachrichten mit Anhang und 600 ohne). Gespeichert werden dazu Absender, Betreff, Datum, die Namen der Anhänge sowie aus Rechnungen ausgelesene Beträge und Händlernamen – nicht der Text der Nachricht. Kleine PDF-Anhänge werden dafür geöffnet und maschinell gelesen. Andere Nachrichten werden nicht ausgewertet.
Eigene Rechnungen zu Zahlungseingängen. Damit ein Zahlungseingang der Rechnung zugeordnet werden kann, die er bezahlt, sieht BelegHero gezielt auch den Ordner „Gesendet“ durch – nur E-Mails, die ein Rechnungswort enthalten (etwa „Rechnung“ oder „Invoice“), je Durchlauf höchstens 200. Gelesen werden davon nur PDF- und XML-Anhänge (E-Rechnung), und aufgenommen wird eine Nachricht nur, wenn Betreff, Dateiname oder Rechnungstext nach einer Rechnung aussehen. Gespeichert werden dazu Betreff, Datum, die Namen der Anhänge, die erkannten Beträge und Rechnungsnummern sowie Namenswörter aus Betreff, Dateiname und dem Anfang des Rechnungstexts (etwa der Name des Rechnungsempfängers) – nicht die E-Mail-Adressen von Absender und Empfängern und nicht der Text der Nachricht. Von einer gesendeten E-Mail, die keine eigene Rechnung ist, speichert diese Durchsicht nur einen internen Vermerk, dass sie schon angesehen wurde. Gesucht wird damit nur zu Zahlungseingängen; zu Ausgaben werden diese Einträge nie herangezogen.

Microsoft-Postfächer (Outlook.com, Microsoft 365). Verbindet der Nutzer ein Microsoft-Postfach, meldet er sich bei Microsoft an und stimmt dort den oben genannten Berechtigungen zu; bei Firmenkonten verlangt Microsoft meist die einmalige Freigabe durch einen Administrator der Organisation. BelegHero greift über die Schnittstelle Microsoft Graph ausschließlich lesend zu, auf denselben drei Wegen und zu demselben Zweck wie oben. Gespeichert werden die Zugriffs- und Erneuerungs-Token (verschlüsselt), die Kennung des Kontos (Organisation und Objekt-ID) und die E-Mail-Adresse. Bittet der Nutzer einen Administrator per E-Mail um die Freigabe, speichern wir dessen Adresse und den Zeitpunkt bis zur Löschung des Projekts. Die Grundsätze aus § 4 (Zweckbindung, keine Weitergabe außer an die genannten Auftragsverarbeiter, keine Werbung, kein Training von KI-Modellen, kein Zugriff durch Menschen) gelten für Daten aus Microsoft-Postfächern ebenso.

Bei der automatischen KI-Prüfung über einen Zeitraum kommen nur Nachrichten mit Anhang und einem Beleg- oder Transaktionsbegriff oder entsprechend vorgefilterte Belegtexte in Betracht. Der Prüfaufruf ist an einen Treffer der aktuellen Suche und die aktuelle Auftragsfassung gebunden.

Gezielte Suchen werden mit Suchbegriff, Zeitraum und zugehöriger Buchung, Durchsichten über einen Zeitraum mit Zeitraum und Anzahl der erfassten Nachrichten protokolliert; beides ist im Bereich „Transparenz-Log“ einsehbar. Einträge des Postfach-Index werden nach 450 Tagen gelöscht, beim Widerruf des Postfach-Zugriffs und beim Löschen des Projekts sofort.

Die optionale Bankverbindung wird je nach Verbindung über Enable Banking Oy oder BANKSapi Technology GmbH hergestellt. Bestehende BANKSapi-Verbindungen können in BelegHero getrennt werden; beim Löschen des Kontos werden auch Kundendaten und technische Nutzer beim Anbieter entfernt. Die Freigabe gilt nur für die im Bankdialog ausgewählten Konten und ist zeitlich befristet. Unabhängig davon können Kontoauszüge weiterhin als Datei hochgeladen werden.

Jeder Kundenzugang ist über einen langen, zufälligen Zugriffsschlüssel abgesichert. Er lässt sich unter „Einstellungen“ → „Deine Daten“ jederzeit erneuern; der bisherige Schlüssel und alle damit gebildeten Links gelten dann sofort nicht mehr. Eine gemeinsame Ansicht oder Überschneidung von Daten zwischen Kunden besteht nicht.

4. Nutzung von Google-Nutzerdaten (Limited Use)

Die Nutzung und Weitergabe von Informationen, die BelegHero über Google-Programmierschnittstellen erhält, erfolgt im Einklang mit der Google API Services User Data Policy einschließlich der darin enthaltenen Limited-Use-Anforderungen. Im Einzelnen:

Zweckbindung. Die Daten aus dem verbundenen Postfach werden ausschließlich dazu verwendet, Rechnungen und Belege zu finden und deren Inhalte auszulesen. Das ist die Hauptfunktion des Dienstes und in der Anwendung an prominenter Stelle sichtbar. Eine andere Verwendung findet nicht statt.
Weitergabe. Eine Weitergabe an Dritte erfolgt nur, soweit sie für die Erbringung dieser Funktion erforderlich ist. Das betrifft die in § 6 genannten Auftragsverarbeiter. Belege, die der Nutzer an seine Steuerkanzlei übergibt oder in seine eigene Buchhaltung senden lässt (§ 2.3), gehen auf seine Veranlassung dorthin. Ein Verkauf oder eine Weitergabe an Werbenetzwerke, Datenhändler oder Informationsanbieter findet nicht statt.
Keine Werbung. Eine Verwendung für Werbung, insbesondere für personalisierte, interessenbezogene oder erneut ausgespielte Werbung, findet nicht statt. Der Dienst enthält keine Werbung.
Kein Training von KI-Modellen. Diese Daten werden nicht verwendet, um Modelle des maschinellen Lernens oder der künstlichen Intelligenz zu entwickeln, zu trainieren oder zu verbessern. Auch die eingesetzten Anbieter Anthropic PBC und OpenAI verwenden die über ihre Programmierschnittstellen übermittelten Inhalte nach ihren Bedingungen nicht zum Training ihrer Modelle.
Kein Zugriff durch Menschen. Beschäftigte lesen die Inhalte des Postfachs nicht. Ausgenommen sind ausschließlich diese Fälle: Der Nutzer hat für einen bestimmten Vorgang ausdrücklich darum gebeten, der Zugriff ist zur Abwehr eines Sicherheitsvorfalls erforderlich, oder es besteht eine gesetzliche Verpflichtung.

5. Automatisierte Verarbeitung

Der Belegabgleich wird durch KI-Sprachmodelle unterstützt. Werte aus Belegen (Fotos, PDF-Dateien, Belege im Text einer E-Mail) liest in erster Linie ein Sprachmodell von OpenAI aus. Jedes Ergebnis durchläuft feste Prüfregeln (unter anderem Datum, Betrag und Summe der Einzelbeträge); besteht es sie nicht, liest das Modell Claude von Anthropic denselben Beleg erneut, und dessen Ergebnis gilt. Über Anthropic Claude laufen außerdem das Auslesen von Kontoauszügen, die Suche im Postfach nach Belegen zu einzelnen Buchungen samt Vorschlägen für Zuordnungen, das Gespräch „Auftrag klären“ zu Beginn eines Projekts, der Hilfe-Assistent in der angemeldeten Anwendung und das Hilfe-Fenster auf diesen Seiten (§ 2.7).

Wo eine KI antwortet – im Gespräch „Auftrag klären“, im Hilfe-Assistenten und im Hilfe-Fenster –, steht das dort ausdrücklich dabei (Art. 50 Abs. 1 der KI-Verordnung (EU) 2024/1689). KI-erzeugte Bilder und Filme auf unseren Seiten tragen das EU-Icon „AI GENERATED“.

Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 Abs. 1 DSGVO findet nicht statt. Zuordnungen, die nicht eindeutig sind, werden zur Bestätigung vorgelegt und können abgelehnt oder geändert werden.

6. Empfänger

Eine Weitergabe an Dritte über das Folgende hinaus findet nicht statt. Daten werden nicht verkauft. Eingesetzt werden:

Anbieter	Rolle	Grundlage
Anthropic Ireland, Limited, Irland; die Verarbeitung erfolgt durch Anthropic PBC, USA	Auslesen von Kontoauszügen und von Belegen, die OpenAI nicht liest oder deren Ergebnis die Prüfregeln nicht besteht (§ 5), Suche im Postfach nach Belegen zu einzelnen Buchungen samt Vorschlägen für Zuordnungen, das Gespräch „Auftrag klären“, der Hilfe-Assistent in der Anwendung sowie Beantwortung der Fragen im Hilfe-Fenster (§ 2.7). Ein Teil der Auswertungen läuft zeitversetzt über die Stapelverarbeitung des Anbieters; Anfragen und Ergebnisse liegen dort, bis sie abgeholt sind, längstens für die vom Anbieter genannte Dauer (derzeit 29 Tage). Im Übrigen speichert der Anbieter Ein- und Ausgaben nach seinen Bedingungen nur befristet und verwendet sie nicht zum Training seiner Modelle.	Auftragsverarbeitung, Art. 28 DSGVO (Data Processing Addendum als Bestandteil der Commercial Terms of Service; das Verbot, Kundeninhalte zum Training zu verwenden, ergibt sich aus den Commercial Terms)
OpenAI Ireland Ltd., Irland; die Verarbeitung erfolgt auch durch OpenAI OpCo, LLC, USA	Auslesen von Belegen (Fotos, PDF-Dateien, Belege im Text einer E-Mail), siehe § 5. Ein Teil der Auswertungen läuft zeitversetzt über die Stapelverarbeitung des Anbieters; die dafür hochgeladenen Dateien und die Ergebnisse löschen wir dort nach der Abholung. Einzelanfragen stellen wir ohne Ablage beim Anbieter; zur Missbrauchskontrolle hält OpenAI Anfragen nach seinen Bedingungen bis zu 30 Tage vor. Daten aus der Schnittstelle verwendet OpenAI nicht zum Training seiner Modelle.	Auftragsverarbeitung, Art. 28 DSGVO (Data Processing Addendum des Anbieters)
STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland	Betrieb und Speicherung auf einem dedizierten Server in einem Rechenzentrum in Deutschland	Auftragsverarbeitung, Art. 28 DSGVO (Vertrag zur Auftragsverarbeitung mit dem Anbieter)
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Speicherung der Sicherungskopien der Datenbank (Standort Falkenstein). Jede Sicherungskopie wird vor dem Hochladen verschlüsselt; der Anbieter hat den Schlüssel nicht	Auftragsverarbeitung, Art. 28 DSGVO
Fly.io, Inc., USA	Bisheriger Betreiber, seit dem Umzug nur noch Weiterleitung (Rechenzentrum Frankfurt am Main): Anfragen, die noch bei Fly.io ankommen – an die frühere Adresse belegpilot.fly.dev, etwa von älteren Fassungen der Mac-App, oder über einen veralteten Adresseintrag –, werden ohne Speicherung der Inhalte an unseren Server bei STRATO durchgeleitet. Außerdem liegt dort bis zu seiner Löschung nach Abschluss des Umzugs der stillgelegte frühere Datenbestand.	Auftragsverarbeitung, Art. 28 DSGVO (Data Processing Addendum des Anbieters)
Stripe Payments Europe, Ltd., Irland (Stripe, Inc., USA)	Zahlungsabwicklung	Stripe verarbeitet Zahlungsdaten je nach Tätigkeit als Auftragsverarbeiter (Data Processing Agreement von Stripe) und als eigenständig Verantwortlicher nach eigenen Datenschutzbedingungen. Belege und Kontoumsätze erhält Stripe nicht.
Google Ireland Ltd., Irland (Google LLC, USA)	Zugriff auf Postfach und Drive-Ordner	Der Zugriff erfolgt auf Grundlage der gegenüber Google erteilten Berechtigung gegenüber dem eigenen Konto des Nutzers, nicht im Wege der Auslagerung
Microsoft Ireland Operations Ltd., Irland (Microsoft Corporation, USA)	Zugriff auf Outlook.com- und Microsoft-365-Postfächer über Microsoft Graph	Der Zugriff erfolgt auf Grundlage der gegenüber Microsoft erteilten Berechtigung gegenüber dem eigenen Konto des Nutzers, nicht im Wege der Auslagerung
Enable Banking Oy, Otakaari 5, 02150 Espoo, Finnland (Unternehmens-ID 2988499-7)	Technische Bankanbindung und Durchleitung der vom Nutzer freigegebenen Kontoinformationen; Enable Banking handelt dabei als zugelassener Kontoinformationsdienst	Auftragsverarbeitung, Art. 28 DSGVO, sowie die im Bankdialog ausdrücklich erteilte PSD2-Freigabe; Kontoinformationen werden nach Angaben des Anbieters in Echtzeit durchgeleitet und dort nicht dauerhaft gespeichert
BANKSapi Technology GmbH, Deutschland	Technische Bankanbindung für bestehende Verbindungen; Übermittlung der vom Nutzer freigegebenen Kontoinformationen	Bankzugriff ausschließlich mit der ausdrücklich erteilten Freigabe des Nutzers im Bankdialog
WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland (Meta-Unternehmensgruppe)	Übertragung der freiwillig an BelegHero gesendeten WhatsApp-Nachrichten und Beleg-Dateien sowie Zustellung der Bestätigungen	Auftragsverarbeitung für Kundendaten nach den WhatsApp Business Data Processing Terms, Art. 28 DSGVO; für eigene Betriebs-, Sicherheits- und Nutzungsdaten handelt WhatsApp nach den eigenen Business Terms
united-domains GmbH, Gautinger Straße 10, 82319 Starnberg, Deutschland	(1) Versand der vertragsbezogenen E-Mails: Begrüßung nach der Registrierung, Zurücksetzen des Passworts, Bestätigung von Kündigung, Widerruf und Postfach-Widerruf, Benachrichtigung über Zusatzpakete, Hinweis bei fehlgeschlagener Zahlung und bei fast aufgebrauchtem Kontingent, Eingangsbestätigung im Support. (2) Empfang der an eine Belegadresse weitergeleiteten E-Mails samt Beleg-Anhängen in einem Sammelpostfach, aus dem BelegHero sie abruft. (3) Postfach für Support-Anfragen. (4) Versand der Belege an die Buchhaltung des Nutzers (Lexware Office, Accountable, Belegpostfach) und Empfang der Bestätigungsmail von Accountable (§ 2.3).	Auftragsverarbeitung, Art. 28 DSGVO; Verarbeitung nach dem Vertrag ausschließlich in der Europäischen Union. Beim Versand der vertragsbezogenen E-Mails werden E-Mail-Adresse, Name und Nachrichteninhalt übermittelt, keine Belegdaten und keine Kontoumsätze; beim Versand an die Buchhaltung des Nutzers die Beleg-Datei und die Angaben zur Zahlung. Im Sammelpostfach für den Belegeingang liegen die weitergeleiteten Nachrichten mit ihren Anhängen.
Die vom Nutzer benannte Steuerkanzlei	Empfang der Übergabe: Buchungen, Belege und Auswertungen als DATEV-Export, Belegpaket oder über einen befristeten, widerrufbaren Kanzlei-Link. Die Weitergabe löst ausschließlich der Nutzer aus.	Art. 6 Abs. 1 lit. b DSGVO; die Kanzlei ist eigenständig Verantwortliche, keine Auftragsverarbeiterin von BelegHero
Die vom Nutzer verbundene Buchhaltung: sevDesk GmbH, Im Unteren Angel 1, 77652 Offenburg; Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg (Lexware Office); Accountable SA Deutschland, Pappelallee 78–79, 10437 Berlin; oder ein anderes Belegpostfach, dessen Adresse der Nutzer angibt	Empfang der Belege, die der Nutzer in seine Buchhaltung senden lässt; bei sevDesk außerdem Abruf seiner Zahlungskonten und offenen Umsätze (§ 2.3). Verbindung und Versand richtet ausschließlich der Nutzer ein.	Art. 6 Abs. 1 lit. b DSGVO; der Anbieter verarbeitet die Daten nach dem Vertrag, den der Nutzer mit ihm geschlossen hat, nicht als Auftragsverarbeiter von BelegHero

Der Auftragsverarbeitungsvertrag, den wir Kunden anbieten, samt der vollständigen Liste der Unterauftragsverarbeiter steht unter Auftragsverarbeitung.

7. Übermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in die Vereinigten Staaten findet statt. Anthropic bietet für die eingesetzte Schnittstelle keine Verarbeitung ausschließlich in der Europäischen Union an und ist nicht unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich dort auf Standardvertragsklauseln. Dasselbe gilt für OpenAI: Die Verarbeitung erfolgt in den USA, OpenAI ist nicht unter dem EU-US Data Privacy Framework zertifiziert, die Übermittlung stützt sich auf Standardvertragsklauseln. Der Server, auf dem die Daten bei uns gespeichert sind, steht in einem Rechenzentrum der STRATO GmbH in Deutschland.

Empfänger	Garantie nach Kapitel V DSGVO
Anthropic PBC (über Anthropic Ireland, Limited)	Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Module 2 und 3), enthalten im Data Processing Addendum - Art. 46 Abs. 2 lit. c DSGVO
OpenAI OpCo, LLC (über OpenAI Ireland Ltd.)	Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914), die OpenAI Ireland Ltd. nach Ziffer 4.1 ihres Data Processing Addendum für die Weiterübermittlung an die OpenAI-Gesellschaften in den USA einsetzt - Art. 46 Abs. 2 lit. c DSGVO
Fly.io, Inc.	EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO), ergänzend Standardvertragsklauseln. Betrifft nur noch die Weiterleitung und den stillgelegten früheren Datenbestand (§ 6); beides liegt in Frankfurt am Main, ein Zugriff aus den USA ist nur zu Verwaltungs- und Supportzwecken möglich.
Stripe, Inc.	EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO), ergänzend Standardvertragsklauseln
Google LLC	EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO), ergänzend Standardvertragsklauseln
Microsoft Corporation	EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO)
WhatsApp Ireland Limited / Meta-Unternehmen	EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) für Übermittlungen an WhatsApp LLC und Meta Platforms, Inc.; hilfsweise die in den WhatsApp Business Data Processing Terms vorgesehenen EU-Standardvertragsklauseln

Eine Kopie der Standardvertragsklauseln beziehungsweise der jeweiligen Datenschutzbedingungen wird auf Anfrage an die in § 1 genannte Adresse zur Verfügung gestellt. Welche Unternehmen unter dem EU-US Data Privacy Framework zertifiziert sind, ist der Liste des US-Handelsministeriums unter dataprivacyframework.gov/list zu entnehmen.

8. Speicherdauer

Daten	Dauer
Konto- und Inhaltsdaten	für die Dauer des Vertragsverhältnisses. Die steuerlichen Aufbewahrungspflichten für Belege und Bücher treffen den Nutzer als Unternehmen selbst; BelegHero ist kein Archiv im Sinne dieser Pflichten. Vor einer Löschung lässt sich der gesamte Bestand exportieren (§ 9).
Herkunft einer Registrierung (§ 2.1a)	solange das Konto besteht; mit der Löschung des Kontos gelöscht
Bestätigungslinks für die E-Mail-Adresse	sieben Tage gültig, danach noch einen Tag, damit ein alter Link „abgelaufen“ sagen kann; dann gelöscht
Hashwert der IP-Adresse und Zeitpunkt von Registrierungsversuchen und Kontoanlagen	25 Stunden
Bankfreigabe und zugehörige Sitzungs-/Kontokennungen	bis zur Trennung durch den Nutzer, zum Ablauf oder zur Beendigung des Vertragsverhältnisses; bereits übernommene Buchungen bleiben als Inhaltsdaten erhalten
Von der lokalen Dateisuche übertragene Beleg-Dateien	bis zur Ablage im Google-Drive-Ordner des Nutzers; danach Löschung aus unserer Datenbank. Ausgenommen sind Belege, die zu einer Rückfrage manuell hochgeladen wurden.
WhatsApp-Verbindung und Eingangsprotokoll	Die Projektzuordnung bis zur Trennung oder Vertragsbeendigung; Nachrichten-ID und Verarbeitungsstatus höchstens 90 Tage als Schutz gegen doppelte Zustellung; Verbindungscodes höchstens 30 Tage. Beleg-Dateien werden anschließend wie sonstige Inhaltsdaten behandelt. Für Kopien bei WhatsApp gelten die dortigen Business Terms.
Weitergeleitete E-Mails des Belegeingangs (Absender, Betreff, Kennung, Verarbeitungsstand)	548 Tage als Schutz gegen doppelte Verarbeitung; die Beleg-Dateien werden wie sonstige Inhaltsdaten behandelt. Der Bestätigungscode einer Gmail-Weiterleitung wird sieben Tage angezeigt.
Verbindung zur Buchhaltung (verschlüsselter Token beziehungsweise Adresse, ausgewählte Zahlungskonten, Zuordnung übernommener Umsätze, Protokoll der gesendeten Belege)	bis zur Trennung durch den Nutzer oder zur Löschung des Kontos; was zu einem Projekt gehört, auch mit dem Projekt. Übernommene Buchungen bleiben als Inhaltsdaten erhalten. Der Bestätigungslink von Accountable wird höchstens 14 Tage angezeigt. Was beim Anbieter angekommen ist, löscht BelegHero dort nicht.
Postfach-Index	450 Tage; beim Widerruf des Postfach-Zugriffs und beim Löschen des Projekts sofort
Transparenz-Log (Suchprotokolle, Ereignisse)	zwei Jahre; Protokolle der Postfach-Durchläufe und einzelne Verarbeitungsschritte der KI-Auswertung 90 Tage
Änderungsprotokoll und vorige Fassungen ersetzter Belegdateien	solange das Projekt besteht (bei eigenen Ausgangsrechnungen: solange das Konto besteht) – ohne Frist nach Zeit, weil das Protokoll so lange vorhanden sein muss wie die Aufzeichnungen, von denen es handelt. Gelöscht mit dem Projekt beziehungsweise dem Konto; vorige Fassungen außerdem mit dem Beleg, zu dem sie gehören. Im Datenexport enthalten
Verlauf abgeschlossener Suchagentenläufe (Fragen, Antworten, Mailtreffer) und Werkzeugprotokolle	90 Tage nach Abschluss; danach bleibt bis zur Löschung des Projekts nur ein Vermerk ohne Inhalt, dass zu einer Buchung gesucht wurde
Zwischenergebnisse der Beleg-Auswertung	90 Tage
Verlauf des Hilfe-Assistenten in der angemeldeten Anwendung (Ihre Fragen und die Antworten)	ein Jahr
Support-Anfragen	drei Jahre nach der letzten Nachricht des Vorgangs (§§ 195, 199 BGB)
Löschung durch den Nutzer	Einzelne Projekte und das gesamte Konto lassen sich in BelegHero unter „Einstellungen“ → „Deine Daten“ selbst löschen; die Löschung wirkt sofort. Dabei widerruft BelegHero die Google-Freigabe bei Google, sofern kein anderes Projekt dasselbe Google-Konto nutzt, löscht die Zugriffsdaten verbundener Microsoft-Postfächer (die Freigabe selbst entfernt bei Microsoft nur der Nutzer, siehe § 9; BelegHero nennt dafür den Link) und entfernt Bankzugänge bei BANKSapi, beim Konto auch den dortigen Kundendatensatz. Ist Google oder BANKSapi gerade nicht erreichbar, bricht die Löschung ab, bevor die Daten des Projekts gelöscht sind, und kann wiederholt werden; bestätigt der Anbieter das Entfernen dauerhaft nicht, wird lokal gelöscht und BelegHero zeigt einen Hinweis, was beim Anbieter bleiben kann. Nach der Löschung des Kontos bleiben nur der Nachweis der erteilten Zustimmungen (Auftragsverarbeitungsvertrag, Bestätigung der Unternehmereigenschaft) für höchstens vier Jahre und die unten genannten Abrechnungsunterlagen.
Alle bei uns gespeicherten Daten nach Vertragsende oder auf Verlangen	Nach Vertragsende kündigen wir die Löschung per E-Mail an und löschen 30 Tage später das Konto mit allen Projekten, Belegen und Buchungen; eine Woche vorher erinnern wir. Wer bis dahin wieder einen Tarif bucht, behält alles. Auf Verlangen löschen wir sofort (Einstellungen → „Deine Daten“). Jeweils soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Bestehende Sicherungskopien, sofern vorhanden, werden im Rahmen ihres jeweiligen Aufbewahrungszyklus überschrieben; sie werden dort nicht mehr verarbeitet.
Rechnungs- und zahlungsbezogene Daten, die wir selbst für unsere Buchführung benötigen	gesetzliche Aufbewahrungsfristen nach § 257 HGB und § 147 AO (sechs, acht beziehungsweise zehn Jahre), unabhängig von einer Löschung des Kontos
Widerrufs- und Kündigungserklärungen	bis zum Ablauf der Verjährungsfrist für Ansprüche aus dem beendeten Vertrag, längstens drei Jahre ab dem Schluss des Jahres des Eingangs (§§ 195, 199 BGB)

9. Rechte der betroffenen Person

Es bestehen die folgenden Rechte:

Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO); welche das sind, steht in § 2.1, § 2.1a und § 2.5

Auskunft, Herausgabe und Löschung in BelegHero selbst. Unter „Einstellungen“ → „Deine Daten“ laden Sie jederzeit eine vollständige Kopie Ihrer bei uns gespeicherten Daten herunter (alle Projekte, Buchungen und Belege im Original, in einem gängigen maschinenlesbaren Format) und löschen einzelne Projekte oder das gesamte Konto. Passwörter und Zugangsschlüssel sind im Export nicht enthalten.

Widerruf einer Einwilligung. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Den Postfach-Zugriff (Gmail, Microsoft und IMAP) widerrufen Sie in BelegHero unter „E-Mail-Postfächer verbinden“ mit dem Knopf „Postfach-Zugriff widerrufen“; wir entfernen dann den Gmail-Lesezugriff, die Microsoft-Verbindungen samt Token, die IMAP-Konten und den Postfach-Index des Projekts und bestätigen den Widerruf per E-Mail an Sie und an info@beleghero.com. Anmeldung und Google-Drive bleiben davon unberührt. Zusätzlich verbundene einzelne Postfächer lassen sich dort auch einzeln trennen. Eine Bankfreigabe lässt sich unter „Bankverbindung“ trennen; BelegHero beendet dabei auch die Sitzung beim Kontoinformationsdienst, soweit die Bank dies unterstützt. Eine verbundene Buchhaltung lässt sich unter „Einstellungen“ → „Buchhaltung“ trennen; BelegHero löscht dann Token beziehungsweise Adresse und sendet und liest dort nichts mehr. Den Zugriff auf WhatsApp trennst du unter „WhatsApp verbinden“ oder mit „STOP“ im BelegHero-Chat; danach nimmt BelegHero von dieser Nummer keine weiteren Belege für das Projekt an. Den Zugriff auf das Google-Konto, mit dem die Anmeldung erfolgt, beenden Sie im Google-Konto unter myaccount.google.com/permissions - denselben Link zeigt BelegHero nach dem Postfach-Widerruf. Die Freigabe für ein Microsoft-Konto beenden Sie bei Microsoft: für ein privates Konto (Outlook.com, Hotmail, Live) unter account.live.com/consent/Manage, für ein Arbeits- oder Schulkonto unter myapps.microsoft.com; in einer Organisation kann außerdem ein Administrator BelegHero in Microsoft Entra unter „Unternehmensanwendungen“ entfernen. BelegHero nennt diese Links beim Trennen eines Microsoft-Postfachs und nach dem Postfach-Widerruf.

Beschwerderecht. Es besteht das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf. Die Beschwerde kann ebenso bei der Aufsichtsbehörde des eigenen Wohnorts oder Arbeitsplatzes erhoben werden.

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an die in § 1 genannte Adresse.

10. Sicherheit der Verarbeitung

Nach Art. 32 DSGVO sind diese Maßnahmen umgesetzt:

Übertragung ausschließlich über TLS-verschlüsselte Verbindungen
Verschlüsselte Speicherung der Zugriffs-Token für Postfach, Cloud-Speicher und Buchhaltung sowie der Adresse eines Belegempfangs (AES)
Der private RSA-Schlüssel der Bankanbindung liegt ausschließlich im serverseitigen Geheimnisspeicher; Browser und Mac-App erhalten weder diesen Schlüssel noch Anbieter-JWTs
Keine Speicherung von Online-Banking-PIN oder TAN; die Anmeldung bei der Bank erfolgt ausschließlich im Dialog der Bank
Verschlüsselung des Datenbereichs auf dem Server im Ruhezustand
Gespiegelte Festplatten im Server (RAID 1)
Trennung der Kundendaten; Zugang ausschließlich über einen langen, zufälligen Zugriffsschlüssel
Sitzungs-Cookie mit HttpOnly und Secure
Getrennter, gesondert geschützter Verwaltungszugang
Laufende Sicherung der Datenbank bei einem anderen Anbieter in der Europäischen Union als dem Betreiber des Servers; jede Sicherungskopie wird vor dem Hochladen verschlüsselt. Vorhaltezeit höchstens 30 Tage.
Gelöschte Inhalte werden in der Datenbank überschrieben, nicht nur als frei markiert

Eine Zertifizierung nach ISO 27001 oder ein SOC-2-Bericht liegt nicht vor.

11. Erforderlichkeit der Bereitstellung

Die Angabe von Name und E-Mail-Adresse ist für den Abschluss und die Durchführung des Vertrags erforderlich. Ohne sie kann kein Zugang eingerichtet werden. Ohne bestätigte E-Mail-Adresse bleiben die kostenlosen Postfachsuchen gesperrt; die Angabe „Woher kennst du uns?“ ist freiwillig und ohne Folgen, wenn sie fehlt.

Die Verbindung eines Postfachs, Bankkontos, einer Buchhaltung oder WhatsApp und das Hochladen von Kontoauszügen sind nicht verpflichtend. Ohne Bankverbindung können Buchungen weiterhin über Kontoauszüge übernommen werden; ohne Postfach können Belege manuell hochgeladen werden; ohne WhatsApp bleiben alle anderen Eingangswege verfügbar.

12. Verarbeitung zu einem anderen Zweck

Ist beabsichtigt, die Daten für einen anderen als den in dieser Erklärung genannten Zweck zu verarbeiten, wird darüber vor dieser Weiterverarbeitung informiert (Art. 13 Abs. 3 DSGVO).

13. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich die beschriebenen Verarbeitungen oder die rechtlichen Anforderungen ändern. Maßgeblich ist die jeweils unter dieser Adresse veröffentlichte Fassung. Das Datum des jeweiligen Standes steht am Anfang der Seite.