Datenschutzerklärung

1. Verantwortlicher

DeinHans wird von Ariel Ben Shushan ERP Consultant, Frankfurter Allee 108a/Fabrikgebäude 2. Hof, 10247 Berlin, Deutschland betrieben; Kontakt: hello@deinhans.de. Der Betreiber ist Verantwortlicher für eigene Website-, Anfrage-, Kontoverwaltungs-, Abrechnungs- und Plattform-Sicherheitsverarbeitung. Bei weisungsgebundener Verarbeitung von Kundenbuchhaltung handelt DeinHans grundsätzlich als Auftragsverarbeiter; der Kunde bleibt Verantwortlicher. Abschnitt 12 erläutert diese Rollen.

2. Geltungsbereich dieser Erklärung

Diese Erklärung beschreibt, wie wir personenbezogene Daten verarbeiten, wenn Sie öffentliche DeinHans-Seiten besuchen, eine Zugangsanfrage stellen, einen Termin buchen, mit uns kommunizieren oder das Produkt nach Annahme und Onboarding nutzen. Wenn eine unterschriebene Auftragsverarbeitungsvereinbarung oder Kundenvereinbarung gilt, kann diese produktbezogene Verarbeitung zusätzlich regeln.

3. Datenschutzkontakt

Derzeit wird kein separater Datenschutzbeauftragten-Kontakt veröffentlicht. Datenschutzanfragen können an den oben genannten Verantwortlichen-Kontakt gesendet werden. Wenn ein separater Datenschutzbeauftragten-Kontakt benannt oder rechtlich erforderlich wird, aktualisieren wir diese Seite. Wir leiten Anfragen intern weiter und beantworten sie nach geltendem Datenschutzrecht.

4. Welche Daten wir verarbeiten

Je nach Interaktion mit DeinHans können wir folgende Kategorien personenbezogener Daten verarbeiten.

• Kontakt- und Anfragedaten: Name, E-Mail, Telefonnummer, Unternehmensname, Rolle, Nachricht, gewählter Pfad, Quellenvolumen, Steuerberaterstatus, Dringlichkeit und gewähltes Paket.
• Unternehmens- und Buchhaltungskontext: Unternehmensprofil, Bank- und Zahlungskontext, Dokumente, Rechnungen, Belege, Verträge, Payout-Reports, Kommentare, Aufgaben, Ausnahmen und Monatsstatus nach dem Onboarding.
• Termindaten: Terminart, Zeitpunkt, Zeitzone, Buchungsstatus, Umbuchungs-/Stornodaten, Meeting-Link, Cal.com-Kennungen und Buchungs-Webhooks.
• Konto- und Authentifizierungsdaten: Login-Kennungen, Status von E-Mail-Code oder Google-Identitätsanbieter bei entsprechender Auswahl, Einladungsstatus, Organisationsbezug, Rolle, Zugangsstatus und Sicherheitsereignisse, soweit Produktzugang gewährt wird.
• Attributionsdaten: reiner Landing-Pfad ohne Query, bereinigter Referrer-Hostname, UTM Source, Medium, Campaign, Content und Term, Anmeldemethode, eine undurchsichtige Signup-Ereigniskennung, Einwilligungsstand zum Signup und Abschlusszeitpunkt. Im kanonischen Signup-Datensatz speichern wir keine Werbe-Click-IDs, vollständigen Referrer-URLs, Landing-Query-Strings oder vom Kunden bereitgestellten Trackingwerte.
• Kommunikationsdaten: E-Mails, Support-Nachrichten, Meeting-Notizen, interne CRM-Notizen, E-Mail-Versandstatus und Follow-up-Verlauf.
• Technische und Sicherheitsdaten: IP-Adresse, User Agent, Geräte-/Browserdaten, Logs, Cloudflare-Turnstile-Prüfergebnis, technische Request-Metadaten und Missbrauchsschutz-Signale.
• Optionale Analyse- und Kampagnendaten: Seiten- und Landingpage-Aufrufe, CTA-Klicks, Formularstarts, Events zu Leads und gebuchten Beratungsterminen sowie standardmäßige Geräte-, Browser- und Kampagnenmetadaten, die das direkte Google-Tag nach Einwilligung sendet.
• Personenbezogene Daten Dritter in Kundenmaterialien, etwa Namen, Kontaktdaten, Rechnungsbezüge, Mitarbeiter-/Lieferanten-/Kundendaten oder Transaktionsgegenparteien, die Kunden hochladen oder anbinden.
• Abrechnungs- und Zahlungsdaten: gewählter Tarif, Rechnungskontakt und -anschrift, Stripe-Customer-/Abo-/Rechnungsstatus, Zahlungsmittelstatus, Testzeiträume, Zahlungsereignisse, Gutschriften, Kündigungen und Anbieterkennungen. DeinHans speichert keine vollständigen Kartendaten.

5. Quellen der Daten

Die meisten Daten stammen direkt von Ihnen oder Ihrer Organisation. Einige Daten entstehen durch Anbieter und Integrationen, die für den Workflow erforderlich sind.

• Sie stellen Daten über Formulare, E-Mail, Besprechungen, Produkteingaben, Uploads und Support bereit.
• Ihr Unternehmen, berechtigte Nutzer oder Ihre Kanzlei können Angaben für denselben Buchhaltungsablauf bereitstellen.
• Die in Abschnitt 9 genannten Anbieter erzeugen Betriebsstatus, Kennungen, Protokolle und Webhook-Ereignisse für genutzte Funktionen.
• UTM-Links und Verweisnavigation liefern begrenzten eigenen Kampagnenkontext. Optionale Werbeplattform-Messung benötigt die jeweilige Einwilligung.

6. Zwecke

Wir verarbeiten personenbezogene Daten für die folgenden betrieblichen Zwecke. Bei Kundenbuchhaltung im Auftrag bestimmen vereinbarte Weisungen und AVV den Zweck; die unten genannten Rechtsgrundlagen für eigene Verarbeitung ersetzen diese nicht.

• Öffentliche Seiten, Sprachwahl, Cookie-Auswahl, Sicherheitsprüfungen und Anfrageformulare betreiben.
• Prüfen, ob ein angefragter Buchhaltungsmonat oder Kanzlei-Workflow zum aktuellen Beta-Paket passt und entscheiden, ob Zugang angenommen, verschoben oder abgelehnt wird.
• Anfragebestätigungen, Terminlinks, Beta-Onboarding-Informationen, Servicemitteilungen und Follow-ups senden.
• Termine planen, Buchungsstatus aktualisieren und Anfrage-IDs mit Meetings und CRM-Status verbinden.
• Das DeinHans-Produkt nach dem Onboarding bereitstellen, absichern, unterstützen, debuggen und verbessern.
• Buchhaltungsarbeit vorbereiten, offene Geschäftsfragen trennen, Übergabestatus erzeugen und Kunden- oder Kanzlei-Review unterstützen.
• Bereinigte First-Party-Quelle und Medium eines Signups für operative Funnel-Auswertungen erhalten und anbieterbezogenes Seiten- oder Kampagnenverhalten nur nach Analyse- oder Marketing-Einwilligung messen.
• Rechtliche, steuerliche, handelsrechtliche, buchhalterische, sicherheitsbezogene und streitbezogene Pflichten erfüllen.
• Identität bestätigen, den gewählten Organisationsweg aktivieren, direkten Testzeitraum und Abonnement betreiben, das Abrechnungsportal bereitstellen, Zahlungen abstimmen sowie Betrug oder doppelte kommerzielle Objekte verhindern.

7. Rechtsgrundlagen

Für Verarbeitungen, bei denen DeinHans Verantwortlicher ist, hängt die DSGVO-Rechtsgrundlage vom Vorgang ab. Art. 6 Abs. 1 lit. b gilt, soweit die betroffene Person selbst Vertragspartei ist oder vorvertragliche Schritte anfragt; die Betreuung von Kontaktpersonen juristischer Personen stützt sich grundsätzlich auf das entsprechende berechtigte Interesse. Kundenbuchhaltung auf Weisung folgt der Rechtsgrundlage des Verantwortlichen und dem AVV.

• Art. 6 Abs. 1 lit. b DSGVO für notwendige vorvertragliche Schritte und Vertragserfüllung, soweit Sie Vertragspartei sind, einschließlich Zugang, Abrechnung und Support.
• Art. 6 Abs. 1 lit. f DSGVO für erforderliche B2B-Kontaktbetreuung, Sicherheit, Betrugsprävention, Zuverlässigkeit, interne Verwaltung, begrenzte eigene Herkunftsauswertung und angemessene Anfragenachverfolgung nach Abwägung Ihrer Interessen und Rechte.
• Art. 6 Abs. 1 lit. a DSGVO für optionale Analyse, Werbe-Tags und einwilligungsbedürftige Kommunikation. Ein Widerruf gilt für die Zukunft. Speicherung oder Zugriff auf Endgeräte richtet sich zusätzlich nach den einschlägigen Einwilligungsregeln des § 25 TDDDG.
• Art. 6 Abs. 1 lit. c DSGVO für geltende gesetzliche Pflichten, etwa die Aufbewahrung unserer eigenen Steuer- und Geschäftsunterlagen.
• Art. 6 Abs. 1 lit. f DSGVO zur erforderlichen Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen; im Einzelfall können auch gesetzliche Pflichten greifen.

8. Erforderliche und freiwillige Daten

Einige Angaben sind erforderlich, um den Dienst zu bewerten und bereitzustellen. Optionale Angaben ergeben sich aus dem Kontext oder können weggelassen werden, sofern sie nicht für den angefragten Workflow benötigt werden.

• Pflichtangaben hängen vom Zugangsweg ab: Kontakt- und Eignungsangaben für eine Anfrage; Identität, Unternehmen, Berechtigung, Leistungsauswahl und Annahme einschlägiger Vereinbarungen für die Produktaktivierung.
• Fehlen für die gewünschte Leistung notwendige Angaben, können wir die Anfrage, Terminvereinbarung oder Aktivierung möglicherweise nicht bearbeiten.
• Optionale Analyse- und Werbeeinwilligungen sind für Website und Anfrage nicht erforderlich. Die Kenntnisnahme einer Datenschutzerklärung ist keine Einwilligung in sachfremde Werbung.

9. Empfänger und Auftragsverarbeiter

Die folgenden Dienste erhalten die für ihren Zweck benötigten Daten, wenn die jeweilige Funktion genutzt wird. Unterauftragsverarbeiter des Produkts, ausführende Anbieter und Verarbeitungsorte müssen in der einschlägigen AVV-Anlage benannt sein. Diese öffentliche Übersicht belegt nicht den Abschluss einer konkreten Vertragsvereinbarung oder regionalen Konfiguration.

• Supabase: Anmeldung, Produktdatenbank und Dateispeicher einschließlich Konto- und Zugehörigkeitsdaten, Buchhaltungsunterlagen, Originalbelegen und Verarbeitungsverlauf.
• Vercel: öffentliche Website, Webanwendung und Transport über Serverrouten einschließlich Anfragemetadaten und dort durchlaufender Anwendungsdaten.
• Cloudflare Turnstile: Bot-Schutz und Missbrauchssignale auf öffentlichen Anfrageformularen.
• Cal.com: Terminvereinbarung, Kontakt- und Termindaten, Besprechungslinks, Buchungsstatus und Webhook-Aktualisierungen.
• Notion: CRM und Anfrageverwaltung, soweit eingerichtet, einschließlich Kontaktdaten, Angaben zur Produkteignung, übermittelter Nachrichten und interner Notizen. Notion ist nicht der Buchhaltungsspeicher des Produkts.
• Resend: Empfänger, Nachrichteninhalte und Zustellstatus für Anfragebestätigungen, Buchungslinks, Einladungen, Konto-E-Mails und Servicenachrichten.
• Google Analytics und Google Ads über das direkte Google-Tag sowie Meta Pixel: optionale Messung auf öffentlichen Seiten nur nach entsprechender Einwilligung und soweit eingerichtet. Buchhaltungsbelege und freie Formulartexte sind keine Kampagnen-Nutzdaten.
• Vom Kunden gewählte und berechtigte Steuerberater, Buchhalter oder andere fachliche Beteiligte für Prüfung, Abnahme, Meldungen oder Onboarding. Eigene fachliche Mandate können eine eigenständige Verantwortlichkeit begründen.
• Behörden, Gerichte und fachliche Berater, soweit eine Offenlegung gesetzlich erforderlich oder für Rechtsansprüche oder Sicherheit gerechtfertigt ist.
• Stripe: Rechnungskontakte, Erfassung von Zahlungsmitteln, Abonnements, Rechnungen, Kundenportal und Abrechnungs-Webhooks. DeinHans speichert keine vollständigen Kartendaten. Stripes Rolle kann zwischen Zahlungsabwicklung und eigenen gesetzlichen oder Betrugspräventionspflichten abweichen.
• Google als Identitätsanbieter nur bei aktivierter und gewählter Google-Anmeldung. Dieser Weg ist von optionaler Google-Analytics- und Google-Ads-Messung getrennt.
• Railway: Backend-API und Hintergrundverarbeitung von Produktanfragen, hochgeladenen Belegen, Buchhaltungskontext, Auftragsstatus und Betriebsprotokollen.
• OpenAI: API-gestützte Belegauslesung und fachbezogene Analyse mit relevanten Quelltexten, PDFs, Bildern und Buchhaltungskontext; siehe Abschnitt 11.
• OpenRouter ist derzeit nicht für Kundenunterlagen aktiviert. Eine spätere Aktivierung und etwaige ausführende Modellanbieter werden vor ihrem Einsatz nach den vereinbarten und gesetzlichen Informations- und Genehmigungsregeln behandelt.
• Google Drive bei gewähltem Dokumentenimport: Ordner- und Dateikennungen, Metadaten und ausgewählte Dateien aus der vom Kunden bereitgestellten Quelle. Quellenfreigaben und die eigene Vereinbarung mit Google sind gesondert zu prüfen; vertrauliche Ordner dürfen für den Import nicht öffentlich zugänglich gemacht werden.

10. Cookies, Local Storage und Kampagnen-Tags

Essenzielle Speicherung wird für Websitebetrieb, Sprache, Sicherheit, Anmeldung und Einwilligungsnachweise genutzt. Optionale Analyse- und Marketing-Tags laufen nur nach Einwilligung. Weitere Details und Steuerungsmöglichkeiten stehen in der Cookie-Richtlinie.

• Essenzielle Speicherung ist für Website und Produkt erforderlich und kann im Cookie-Panel nicht deaktiviert werden.
• Analyse-Speicherung hilft uns nach Einwilligung, Performance und Seitenverhalten zu verstehen.
• Google-Ads- und Meta-Kampagnen- und Conversion-Tags laden nur nach Marketing-Einwilligung.
• Optionale Einwilligungen können jederzeit in der Cookie-Richtlinie geändert oder widerrufen werden.

11. Automatisierung, KI-Anbieter und menschliche Prüfung

DeinHans nutzt automatisierte Auslesung, Zuordnung, Klassifizierung und KI-gestützte Analyse zur Vorbereitung und Verarbeitung von Buchhaltungsdaten. OpenAI erhält aufgabenbezogene Belegtexte, PDFs oder Bilder und Buchhaltungskontext. OpenRouter ist derzeit nicht für die Verarbeitung von Kundenunterlagen aktiviert. DeinHans verwendet Kundenbuchhaltungsinhalte weder zum Training allgemeiner KI-Modelle noch für sachfremde Werbung. Laut OpenAI werden API-Daten standardmäßig nicht zum Training verwendet. Aufbewahrung ist davon getrennt: Antwortspeicherung, Missbrauchsprotokolle und endpunktspezifische Ausnahmen hängen von Dienst und Kontoeinstellungen ab. Einige Auslesewege nutzen Anbietervorgaben; wir versprechen weder durchgehende Speicherfreiheit noch ausschließlich europäische KI-Verarbeitung. Relevante Ergebnisse und Entscheidungsverläufe werden für den Arbeitsablauf in DeinHans gespeichert. KI-Ergebnisse können fehlerhaft sein und unterliegen Validierung, eingestellter Prüfung und Korrektur. Der Dienst dient der Buchhaltungsunterstützung, nicht ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Personen nach Art. 22 DSGVO. Ein solcher Einsatz benötigt eine gesonderte Prüfung und wird durch diese Erklärung nicht gestattet.

12. Kundendaten und Rollen

Kunden benötigen eine Rechtsgrundlage für bereitgestellte personenbezogene Daten und müssen betroffene Personen entsprechend informieren. Die Rolle ergibt sich aus dem tatsächlichen Datenweg. Art. 28 DSGVO regelt die weisungsgebundene Verarbeitung; er ist selbst keine Rechtsgrundlage nach Art. 6. Besondere Kategorien personenbezogener Daten benötigen gegebenenfalls zusätzlich eine Voraussetzung nach Art. 9 und angemessene Schutzmaßnahmen. Laden Sie keine Daten außerhalb des vereinbarten Zwecks hoch.

• DeinHans ist grundsätzlich Verantwortlicher für eigene Website, Anfragen, Termine, CRM, Abrechnung, Kontoverwaltung, Plattform-Sicherheit und Kampagnendaten.
• Für Buchhaltungsunterlagen auf Kundenweisung handelt DeinHans grundsätzlich als Auftragsverarbeiter unter dem AVV. Die eigenständige Berufstätigkeit einer Kanzlei bleibt in deren Verantwortung.
• Der AVV muss Weisungen, Vertraulichkeit, TOMs, genehmigte Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Vorfallbehandlung, Rückgabe oder Löschung sowie die Informations- und Kontrollrechte nach Art. 28 DSGVO abdecken.
• Soweit Berufsgeheimnisse betroffen sind, muss die Vereinbarung auch § 203 StGB und § 62a StBerG berücksichtigen: erforderlicher Zugriff, Verschwiegenheit, weitere Dienstleister und Verarbeitung im Ausland.
• Vor der Verarbeitung echter Mandantenunterlagen müssen einschlägiger AVV, TOMs sowie Anbieter- und Transferregelungen Teil der Kundenvereinbarung oder deren Anlage sein. Diese Erklärung ersetzt die Unterlagen nicht.
• Öffentliche Anfrage-, CRM- und Terminfelder dienen der Kontaktaufnahme und Eignungsprüfung. Übermitteln Sie darüber keine Rechnungen, Bankexporte, Beschäftigten- oder Kundendatensätze oder vertrauliche Buchhaltungsunterlagen.

13. Internationale Übermittlungen

Der Dienst gibt keine pauschale Zusage einer Verarbeitung ausschließlich in Deutschland oder im EWR. Hosting, KI-Berechnung, Protokolle, Support und weitere Verarbeitung können Länder außerhalb des EWR betreffen. Vor solcher Verarbeitung müssen die Beteiligten den einschlägigen Mechanismus nach Kapitel V DSGVO sicherstellen: einen anwendbaren Angemessenheitsbeschluss, gegebenenfalls mit bestätigter EU-US-Data-Privacy-Framework-Abdeckung der konkreten Einheit, oder Garantien wie Standardvertragsklauseln mit erforderlicher Transferprüfung und ergänzenden Maßnahmen. AVV oder Anbieter-Datenschutzerklärung allein sind kein Transfermechanismus. Die Produktanlage muss aktive Anbieterkette, Orte und Garantien ausweisen; einschlägige Informationen und Kopien erhalten Sie über hello@deinhans.de. Berufsgeheimnisse erfordern eine zusätzliche Prüfung.

14. Aufbewahrung

Anfrage-, CRM- und Kommunikationsdaten bleiben gespeichert, solange sie zur Bearbeitung, Pflege der Geschäftsbeziehung oder für eine dokumentierte Pflicht beziehungsweise Rechtsansprüche benötigt werden; Daten ohne weiteren Zweck unterliegen einer Löschprüfung. Nicht mehr berechtigte Kontozugänge werden entfernt. Buchhaltungsaufbewahrung folgt unterlagenbezogenen Pflichten und Kundenweisungen: Üblich sind zehn Jahre für Bücher und Jahresunterlagen, acht Jahre für Buchungsbelege und sechs Jahre für relevante Korrespondenz nach AO/HGB, grundsätzlich ab Ende des maßgeblichen Kalenderjahres, vorbehaltlich Sonderregeln und Sperren. Diese Fristen rechtfertigen nicht die Aufbewahrung aller Uploads, KI-Versuche oder Marketingdaten und sind keine Speicherzusage eines Tarifs. Betroffenenanfragen trennen Löschung und begründete Einschränkung; die Entfernung eines Nutzers löscht nicht die Bücher eines gemeinsam genutzten Unternehmens. Zur Beachtung eines Werbewiderspruchs kann ein minimaler, nicht rückrechenbarer E-Mail-Prüfwert verbleiben. Ausstiegsbedingungen müssen Export, Löschung aktiver Daten und Sicherungszyklus festlegen. Dienstleistermaßnahmen werden gesondert verfolgt; eine sofortige Entfernung aus jeder Sicherung oder bei jedem Anbieter wird nicht zugesagt. Fragen Sie uns nach den Kriterien für Ihren Datensatz oder Dienst.

15. Sicherheit

Der Dienst nutzt Anmeldung und unternehmensbezogene Berechtigungen, beschränkte Dienstzugänge, Transportverschlüsselung, zeitlich begrenzte Belegvorschau-Links und protokollierte Buchhaltungsaktionen. Berechtigte Support- oder Beta-Qualitätsmitarbeitende können Kundenunterlagen im erforderlichen Umfang unter den vertraglichen Verschwiegenheits- und Need-to-know-Grenzen prüfen. Verdachtsfälle einer Datenschutzverletzung werden nach geltenden DSGVO-Pflichten und AVV bewertet und bearbeitet; als Auftragsverarbeiter informieren wir den Verantwortlichen unverzüglich. Sicherungsumfang, Wiederherstellungszusagen, Unterauftragskontrollen und Vorfallkontakte müssen für die vereinbarte Leistung dokumentiert werden. Diese Erklärung enthält keine Zertifizierung, Wiederherstellungs-SLA oder Zusage vollständiger Risikofreiheit.

16. Ihre Rechte

Soweit die DSGVO gilt, können Sie Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf von Einwilligungen verlangen. Sie können außerdem Verarbeitungen auf Grundlage berechtigter Interessen widersprechen. Wir beantworten Betroffenenanfragen innerhalb der gesetzlichen Frist, in der Regel innerhalb eines Monats, sofern keine Verlängerung oder rechtmäßige Ablehnung greift. Sie können sich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren, insbesondere soweit einschlägig bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit.