Sicherheit & Datenschutz
Ihre Mandantendaten. Klare Kontrollen.
Bevor eine Kanzlei Buchhaltung mit KI bearbeitet, muss sie wissen: Wohin gehen die Daten? Wer darf darauf zugreifen? Wie lässt sich ein Ergebnis prüfen? Hier erfahren Sie, wie DeinHans diese Fragen im Produkt berücksichtigt.
Stand: 7. Oktober 2026
Getrennte Mandantenbereiche
Der Server prüft den Zugriff auf jedes Unternehmen.
Belege hinter dem Ergebnis
Quelle, Vorschlag, Prüfung und Korrektur bleiben verbunden.
Die Kanzlei behält die Kontrolle
Prüfregeln und fachliche Abnahme sind klar getrennt.
01 · DSGVO & Berufsgeheimnis
Klare Verantwortung für jeden Datenweg.
Die Buchhaltung Ihrer Mandanten und unser eigener Geschäftsbetrieb sind unterschiedliche Verarbeitungszwecke. Dafür braucht es klare Rollen und Vereinbarungen.
Ihre Buchhaltungsdaten
Verarbeitet DeinHans Mandantenunterlagen auf Ihre Weisung, ist der beauftragende Kunde Verantwortlicher und DeinHans Auftragsverarbeiter. Der Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO muss Zweck, Datenarten, Dauer, Weisungen und Unterauftragsverarbeiter abdecken.
Ihre Geschäftsbeziehung mit DeinHans
Für eigene Anfragen, Kontoverwaltung, Abrechnung und die Sicherheit der Plattform handelt DeinHans als Verantwortlicher. Eine Steuerkanzlei bleibt für ihre Tätigkeit im eigenen Mandat grundsätzlich selbst datenschutzrechtlich verantwortlich.
Das Mandatsgeheimnis braucht eigenen Schutz.
Für Steuerkanzleien reicht die Prüfung des AVV allein nicht aus. Auch § 203 StGB und § 62a StBerG sind relevant: nur erforderlicher Zugriff, sorgfältige Dienstleisterauswahl, Verschwiegenheitsverpflichtungen und Regeln für weitere Dienstleister. Bei Leistungen im Ausland ist neben den DSGVO-Transferregeln auch der Schutz des Berufsgeheimnisses gesondert zu beurteilen.
Vor der Verarbeitung echter Mandantendaten müssen AVV, technische und organisatorische Maßnahmen (TOMs), Dienstleisterliste und Verschwiegenheitsregelungen vereinbart sein. Die Datenschutzerklärung informiert über die Verarbeitung; sie ersetzt diese Vereinbarungen nicht.
02 · GoBD & Nachvollziehbarkeit
GoBD unterstützen. Jeden Buchungsschritt nachvollziehen.
DeinHans unterstützt GoBD-konforme Buchführung mit verknüpften Originalbelegen, dokumentierten Entscheidungen, geschützten Buchungen und nachvollziehbaren Korrekturen. Ihre Kanzlei kann den Weg vom Beleg bis zum Monatsexport prüfen.
Originalnachweis
Beleg oder Bankquelle mit Datei-Prüfsumme und Unternehmenszuordnung.
Vorbereitete Behandlung
Ausgelesene Fakten, Zuordnungen, Buchungsvorschlag und offene Fragen.
Prüfung & Buchung
Dokumentierte Freigabe- und Buchungsaktionen im eingestellten Ablauf.
Korrektur & Export
Verknüpfte Stornos oder Berichtigungen und der Monatsexport zur Weiterverarbeitung.
Korrekturen hinterlassen eine Spur
Gebuchte Journaleinträge sind vor gewöhnlichem Überschreiben geschützt. Korrekturen erfolgen über kontrollierte Storno- oder Berichtigungswege. Prüfprotokolle halten Aktion, handelnde Person und Zeitpunkt fest.
Abgeschlossene Perioden sind geschützt
Buchungen und finanzielle Änderungen werden gegen Periodensperren geprüft. Ein ungelöster Fall bleibt von einem gebuchten Ergebnis unterscheidbar.
Exporte gehören zur Übergabe
DATEV-Exporte unterstützen die Weiterverarbeitung. Kontenzuordnung, Vollständigkeit, lesbare Belege und das Zielarchiv sollte die Kanzlei im vereinbarten Ablauf prüfen.
GoBD betreffen den gesamten Prozess.
GoBD gelten auch für Vorsysteme und ihre Schnittstellen. Vollständige und zeitgerechte Erfassung, gesetzliche Aufbewahrung, Datensicherung und Ihre Verfahrensdokumentation gehören deshalb zum vereinbarten Gesamtprozess. DeinHans ersetzt kein gesondert beauftragtes Langzeitarchiv. Ein DATEV-Export allein enthält nicht automatisch alle für eine Betriebsprüfung erforderlichen Daten und Historien. Die genannten Kontrollen sind keine amtliche Zertifizierung oder pauschale Zusage für jeden Kundenprozess.
03 · KI & fachliche Kontrolle
Die KI bereitet vor. Die fachlichen Entscheidungen trifft Ihre Kanzlei.
KI kann Belege lesen und bei der Klärung von Buchhaltungsfällen helfen. Das Ergebnis durchläuft einen geregelten Buchhaltungsprozess mit Validierung, sichtbaren Ausnahmen und Freigaberegeln. Es ist keine fachliche Abnahme.
Welche Daten erhält die KI?
Je nach Aufgabe Belegtexte, PDFs oder Bilder, Transaktionsdaten und relevanter Unternehmens- oder Fallkontext. Darin können personenbezogene Daten enthalten sein. Die KI-Verarbeitung ist nicht als anonym zu verstehen und ist von der Werbemessung getrennt.
Was sieht die prüfende Person?
Originalbeleg, Buchungsvorschlag, Zahlungszuordnung und Hinweise. Fälle zur Einzelprüfung sind von verwendbaren Vorschlägen zur Sammelbestätigung getrennt. Fehlende oder ungültige Ergebnisse müssen weiterhin geklärt werden.
OpenAI API
Für Belegauslesung und fachbezogene KI-Analyse über die direkte API. Freiwillige Freigaben für allgemeines Modelltraining sind deaktiviert. Die Protokollierung im verwendeten Produktionskonto ist nach Betreiberbestätigung deaktiviert. Verbleibende Speicherung hängt vom Endpunkt und von den Anbieterregeln ab; dies ist keine formelle Zusage vollständiger Speicherfreiheit oder ausschließlich europäischer Verarbeitung.
OpenAI: DatenkontrollenOpenRouter
Die zugehörige Accountant-Agent-Funktion ist derzeit deaktiviert. OpenRouter ist für den vereinbarten Kanzleibetrieb nicht als Empfänger von Mandantendaten freigegeben. Eine spätere Aktivierung erfordert die vorherige Einbeziehung der tatsächlichen Anbieter und Datenwege.
OpenRouter: AufbewahrungskontrollenDeinHans verwendet Buchhaltungsinhalte seiner Kunden weder zum Training allgemeiner KI-Modelle noch für sachfremde Werbung. Verarbeitungsergebnisse und relevanter Entscheidungsverlauf können innerhalb von DeinHans für den Buchhaltungsprozess gespeichert bleiben.
Was der EU AI Act hier bedeutet
Der vorgesehene Einsatz ist die Vorbereitung und Prüfung von Buchhaltung. Welche Pflichten aus dem AI Act gelten, hängt von diesem Zweck und der Rolle der Beteiligten ab. Ein externes Modell verlagert nicht alle Pflichten auf dessen Anbieter. Für die Kanzlei heißt das praktisch: KI-Einsatz kennen, Mitarbeitende angemessen schulen, Grenzen verstehen und fachkundige menschliche Kontrolle sichern.
Diese Seite behauptet weder eine AI-Act-Zertifizierung noch eine abgeschlossene Hochrisiko-Konformitätsbewertung. Ein wesentlich anderer Einsatz, etwa für Kredit- oder Personalentscheidungen, erfordert eine neue Prüfung. Vereinbarte Leistung bleibt Buchhaltungssoftware; Steuerberatung, Meldungen und fachliche Abnahme liegen bei den zuständigen Berufsträgern.
04 · Dienstleister & Datenwege
Welcher Dienst verarbeitet welche Informationen?
Eine Terminanfrage und eine hochgeladene Mandantenrechnung nehmen nicht denselben Weg. Diese Übersicht trennt Produktverarbeitung, Abrechnung, Kommunikation und Website-Betrieb. Sie ersetzt nicht die auf Ihren Einsatz bezogene Anlage zu Unterauftragsverarbeitern.
| Dienst | Zweck | Betroffene Daten |
|---|---|---|
| Supabase | Produktdatenbank, Anmeldung und Dateispeicher | Konten, Unternehmenszugehörigkeit, Buchhaltungsdaten, hochgeladene Belege und Verarbeitungsverlauf. |
| Railway | Backend-API und Hintergrundverarbeitung | Im Produkt verarbeitete Dokumente und Buchhaltungskontext, Auftragsstatus und Betriebsprotokolle. |
| Vercel | Website, Webanwendung und Weiterleitung von Anfragen | Seitenaufrufe, Anfragemetadaten und Anwendungsdaten, die Serverrouten durchlaufen. |
| OpenAI | Belegauslesung und fachbezogene KI-Analyse | Aufgabenbezogene Dokumente, Bilder, ausgelesene Texte und Buchhaltungskontext. |
| Stripe | Abrechnung des DeinHans-Abonnements | Rechnungskontakt, Erfassung von Zahlungsmitteln, Rechnungen und Abostatus. DeinHans speichert keine vollständigen Kartendaten. |
| Cal.com | Terminvereinbarung | Kontaktdaten, Termindetails, Besprechungslinks und Buchungsstatus. |
| Notion | Anfragen- und Kontaktverwaltung | Kontaktdaten, Angaben zur Produkteignung, übermittelte Nachrichten und CRM-Notizen. Kein Buchhaltungsspeicher des Produkts. |
| Resend | Transaktions- und Service-E-Mails | Empfänger, Nachrichteninhalt und Zustellstatus für Konto-, Einladungs- und Servicekommunikation. |
Cloudflare schützt öffentliche Formulare. Google-Anmeldung ist optional, sofern aktiviert; Google- und Meta-Messung auf öffentlichen Seiten setzt die jeweilige Einwilligung voraus. Diese Website-Funktionen erläutern die Datenschutz- und Cookie-Hinweise.
Ihre verbundenen Quellen
Bei einem gewählten Google-Drive-Import werden Ordner- und Dateikennungen, Metadaten und ausgewählte Dateien zwischen Google und DeinHans verarbeitet. Die Freigaben der Quelle sind gesondert zu prüfen. Machen Sie vertrauliche Mandantenordner nicht öffentlich zugänglich, um einen Import zu ermöglichen.
Wo werden die Daten verarbeitet?
Unsere primäre Produktionsdatenbank wird in Frankfurt am Main betrieben. Dieser Standort gilt nicht für jeden Verarbeitungsschritt: KI-Dienste, Support und Protokolle können weitere Länder einbeziehen. Das am 28. September 2026 geprüfte OpenAI-Projekt nutzt die Datenregion „Global“. Die Dienstleisteranlage muss die Dienste, Verarbeitungsorte und Transfergarantien für die vereinbarte Leistung benennen.
05 · Zugriff & Betrieb
Zugriff folgt einer Rolle und einem Unternehmen.
Serverseitige Berechtigungsprüfung
Das Backend prüft Anmeldung, Unternehmenszugehörigkeit und die Berechtigung für eine Aktion. Die Auswahl eines Unternehmens in der Oberfläche allein gewährt keinen Zugriff auf dessen Daten.
Geschützte Belegvorschau
Vor der Erstellung zeitlich begrenzter, signierter Links prüft die Belegvorschau den Zugriff. Solche Links bleiben während ihrer Gültigkeit vertraulich und dürfen nicht außerhalb des berechtigten Teams weitergegeben werden.
Supportzugriff unter Ihrer Kontrolle
Der Produktzugriff über support@deinhans.de setzt aktivierten Supportzugriff für die betreffende Organisation voraus. Berechtigte Personen Ihrer Organisation oder Kanzlei können ihn verwalten und entziehen. Support kann die eigene Freigabe nicht erteilen. Autorisierte Mitarbeitende greifen nur für den vereinbarten Supportzweck und unter Verschwiegenheit auf Unterlagen zu. Technische Infrastrukturzugänge werden davon getrennt verwaltet. Bei neuen Organisationen ist diese Beta-Supporteinstellung derzeit standardmäßig aktiviert; berechtigte Personen können sie ausschalten.
Betriebliche Schutzmaßnahmen
Transportverschlüsselung, beschränkte Dienstzugänge, unternehmensbezogene Berechtigungsprüfungen und Betriebsprotokolle unterstützen den Schutz. Wiederherstellungsziele und Vorfallkontakte gehören in die vereinbarten Leistungsunterlagen.
Datenbanksicherung und Wiederherstellung von Belegen
Unsere Produktionsdatenbank wird täglich gesichert; der aktuelle Supabase-Pro-Tarif bietet sieben Tage Wiederherstellungshistorie. Diese Sicherungen enthalten keine hochgeladenen PDF-, Bild- oder XML-Dateien. Eine regelmäßig ausgeführte separate Dateisicherung mit geprüftem Wiederherstellungsweg ist noch nicht nachgewiesen. Gesetzliche Langzeitaufbewahrung und ein Wiederherstellungs-SLA sind damit nicht zugesagt.
Ein Verdacht auf unberechtigten Zugriff?
Schreiben Sie an hello@deinhans.de: betroffenes Konto, ungefährer Zeitpunkt und kurze Beschreibung. Senden Sie zunächst keine Passwörter oder Mandantenbelege mit. Bei Datenschutzverletzungen richten sich Meldepflichten nach DSGVO und AVV; der Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren.
hello@deinhans.de06 · Aufbewahrung, Löschung & Ausstieg
Pflichtunterlagen bewahren. Daten ohne weiteren Zweck löschen.
Eine Kontokündigung macht nicht jeden Buchhaltungsbeleg löschbar. Umgekehrt rechtfertigen die GoBD keine unbegrenzte Speicherung aller Daten. Entscheidend sind Unterlagenart, geltende Pflicht und Weisung des Verantwortlichen.
Bücher und Jahresunterlagen
Etwa Handelsbücher, Inventare, Eröffnungsbilanzen und Jahresabschlüsse.
Buchungsbelege
Etwa Rechnungen und Quittungen, die Buchungen belegen.
Relevante Korrespondenz
Handels- oder Geschäftsbriefe und weitere Unterlagen, soweit die gesetzliche Regel greift.
Das sind übliche gesetzliche Fristen, keine Speicherzusage eines DeinHans-Tarifs. Der Fristbeginn liegt grundsätzlich am Ende des maßgeblichen Kalenderjahres; Prüfungen, Aufbewahrungssperren und Sonderregeln können die Dauer verlängern.
Der Datenschutzprozess trennt Löschung und begründete Zugriffsbeschränkung: Anfrage prüfen, betroffene Daten ermitteln, Aufbewahrungsgründe bewerten, Maßnahmen freigeben und das Ergebnis kontrollieren. Unverwendete Uploads, Kontodaten und Marketingdaten brauchen eigene Entscheidungen. Die Entfernung eines Nutzers darf nicht die Bücher eines gemeinsam genutzten Unternehmens löschen.
Den Ausstieg vorab regeln.
Vereinbaren Sie Exportumfang und -frist, Archivverantwortung, Löschung aktiver Daten und den Sicherungszyklus. Maßnahmen bei Dienstleistern sind getrennt von der Löschung in unserer Datenbank nachzuverfolgen. Diese Seite verspricht keine sofortige Löschung bei allen Anbietern oder aus allen Sicherungen.
Anfragen zu Auskunft, Berichtigung, Löschung oder Widerspruch richten Sie an hello@deinhans.de. Die Antwort erfolgt grundsätzlich innerhalb eines Kalendermonats, vorbehaltlich gesetzlicher Verlängerungen. Handelt DeinHans als Auftragsverarbeiter, unterstützen wir den zuständigen Verantwortlichen.
07 · Vor dem produktiven Einsatz
Unterlagen und einen vollständigen Ablauf prüfen.
Prüfen Sie DeinHans anhand dieser vier Punkte für Ihre Kanzlei. Aktuelle Demos verwenden synthetische Beispielbelege, während wir die vertraglichen und betrieblichen Voraussetzungen für echte Mandantenunterlagen abschließen.
Verarbeitungsbedingungen vereinbaren
AVV, TOMs, Verschwiegenheit, aktive Unterauftragsverarbeiter, Verarbeitungsorte und Drittlandgarantien.
Kanzleikontrollen festlegen
Wer darf hochladen, Sachfragen beantworten, Regeln ändern, freigeben, exportieren und Zugriffe verwalten?
Einen vollständigen Fall prüfen
Verfolgen Sie Quelle, Vorschlag, Ausnahme, Freigabe und Korrektur. Prüfen Sie den Monatsexport in Ihrem bisherigen Buchhaltungsprozess.
Aufbewahrung und Vorfälle regeln
Fristen, Archiv- und Sicherungsverantwortung, Ausstieg sowie Kontaktwege für Vorfälle und Betroffenenanfragen dokumentieren.
Wir besprechen mit Ihnen die einschlägigen Unterlagen und offenen Fragen, bevor Sie über den Einsatz mit echten Mandantendaten entscheiden. Öffentliche Produktbeschreibungen ersetzen weder Leistungsvereinbarung und AVV noch die dokumentierte Bewertung Ihrer Kanzlei.