Datenschutzerklärung

2. Unsere zwei Rollen

• Als Verantwortlicher verarbeiten wir die Daten Ihres Benutzerkontos, Ihre persönlichen Aufenthaltstage, die Daten der Website, die Daten zur Abrechnung des Abonnements und die Daten, die wir für die Sicherheit des Dienstes benötigen. Dafür gilt diese Erklärung.
• Als Auftragsverarbeiter verarbeiten wir die Buchhaltungsdaten, die ein Unternehmen in SelbstFinanz erfasst – einschließlich der Daten seiner Kunden und Lieferanten und der Personen, die in Belegen oder E-Mails genannt sind. Verantwortlich dafür ist das jeweilige Unternehmen; wir verarbeiten diese Daten nur nach seiner Weisung auf Grundlage des Auftragsverarbeitungsvertrags. Mit Anliegen zu diesen Daten wenden Sie sich bitte an das Unternehmen; wir unterstützen es dabei.

3. Welche Daten wir verarbeiten

• Konto: E-Mail-Adresse, Passwort (nur als Hash gespeichert), gegebenenfalls ein Faktor der Zwei-Faktor-Authentifizierung, Sprache und Einstellungen, Ihre Mitgliedschaften und Rollen in Unternehmen sowie die Nachweise der von Ihnen akzeptierten Rechtstexte (Version und Zeitpunkt). Lädt Sie ein Administrator in ein Unternehmen ein, erhalten wir Ihre E-Mail-Adresse von ihm.
• Unternehmensdaten (als Auftragsverarbeiter): Name, Anschrift, UID, Bankverbindung, Kontaktdaten und Logo des Unternehmens; Rechnungen, Stornorechnungen, Zahlungen, Ausgaben, Reisen (mit der reisenden Person), Fahrten und Umsatzsteuerwerte; Belege und Dokumente; Daten der Kunden und Lieferanten des Unternehmens.
• Persönliche Aufenthaltstage (als Verantwortlicher): Nutzen Sie „Meine Aufenthaltstage“, verarbeiten wir Ihr Heimatland, die Länder, deren Tagesgrenzen Sie verfolgen, mit dem gewählten Regelwerk und dem Datum, seit dem Sie dort nicht mehr ansässig sind, Ihre Hinweisschwelle, die Aufenthalte, die Sie selbst erfassen (Land, Zeitraum – auch geplante – und eine Notiz), und die Hinweise, die wir Ihnen dazu gesendet haben. Aus den Reisen der Unternehmen, denen Sie angehören und bei denen Sie als reisende Person eingetragen sind, zeigen wir Ihnen dort nur Land, Zeitraum und den Namen des Unternehmens. Endet eine solche Mitgliedschaft – weil Sie austreten, entfernt werden oder das Unternehmen geschlossen oder gelöscht wird –, bewahren wir diese drei Angaben als Kopie in Ihren Aufenthaltstagen auf, auch wenn Sie „Meine Aufenthaltstage“ bis dahin nicht genutzt haben; löschen Sie Ihr eigenes Konto, entsteht keine Kopie. Wir erfassen keinen Standort Ihres Geräts und importieren keinen Standortverlauf. Ihre Aufenthaltstage werden weder den Unternehmen, denen Sie angehören, noch deren Mitgliedern, Administratoren oder Steuerberatung angezeigt – auch nicht bei einem Supportzugriff und nicht in unserer Verwaltungskonsole.
• Postfach-Import (optional): Verbindet ein Unternehmen ein Postfach, speichern wir das App-Passwort verschlüsselt und lesen alle 10 Minuten neu eingegangene E-Mails (Absender, Betreff, Inhalt, Anhänge), um Belege zu importieren. Postfach und Anbieter wählt das Unternehmen selbst.
• Nutzung: das Aktivitätsprotokoll des Unternehmens (wer wann welche Änderung vorgenommen hat) und die Zahl der Nutzungen einzelner Funktionen je Unternehmen und Person (etwa KI-Belegerkennungen oder versendete E-Mails) für die Fair-Use-Limits.
• Technische Daten: IP-Adresse, Browser- und Geräteinformationen, aufgerufene Adressen und Zeitpunkte in den Serverprotokollen; Zustellereignisse versendeter E-Mails (zugestellt, unzustellbar, Spam-Meldung) samt Empfängeradresse.
• Push-Mitteilungen (iOS, optional): Erlauben Sie in der iOS-App Mitteilungen, speichern wir die Gerätekennung (Push-Token) zu Ihrem Konto.
• Abrechnung: für das Abonnement eines Unternehmens dessen Name, Rechnungs-E-Mail-Adresse und -Anschrift, UID, Sprache, Status des Abonnements, Rechnungen und Zahlungen. Kartendaten geben Sie nur auf den Seiten von Stripe ein; wir erhalten sie nicht.
• Kontakt: Inhalt und Absender Ihrer Nachrichten an uns.
• Face ID und Touch ID: Die optionale App-Sperre der iOS-App wird vollständig auf Ihrem Gerät ausgeführt; wir erhalten keine biometrischen Daten.

4. Zwecke und Rechtsgrundlagen

• Bereitstellung von SelbstFinanz, Ihres Kontos und des Abonnements: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Verarbeitung der Unternehmensdaten: im Auftrag und nach Weisung des Unternehmens (Art. 28 DSGVO); die Rechtsgrundlage bestimmt das Unternehmen als Verantwortlicher.
• Aufbewahrung unserer Abrechnungsunterlagen: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO, § 132 BAO).
• Sicherheit des Dienstes, Schutz vor Missbrauch und automatisierten Zugriffen, Fair-Use-Limits, Fehleranalyse und Serverprotokolle: berechtigtes Interesse an einem sicheren und wirtschaftlich tragfähigen Dienst (Art. 6 Abs. 1 lit. f DSGVO).
• E-Mails zu Konto, Abonnement, neuen Fassungen der Rechtstexte und zur Aufbewahrung: Vertragserfüllung und rechtliche Verpflichtungen.
• Persönliche Aufenthaltstage: Wir zählen Ihre Tage je Land nach dem Regelwerk, das Sie wählen, zeigen, wie sie sich zu dessen Tagesgrenzen verhalten, senden Ihnen Hinweise, bevor eine Grenze erreicht wird, und bewahren beim Ende einer Mitgliedschaft die Kopie Ihrer Reisetage auf – für Ihre eigenen Zwecke, nicht für ein Unternehmen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Push-Mitteilungen: Sie schalten sie in der iOS-App selbst ein und können sie in den Einstellungen des Geräts jederzeit abschalten.

Wir verwenden Ihre Daten nicht für Werbung, verkaufen sie nicht und erstellen keine Profile zu Werbe- oder Analysezwecken. Es findet keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt; Ergebnisse der KI-Belegerkennung sind Vorschläge, die Sie prüfen, und Ihre Aufenthaltstage zeigen Tageszählungen und Vermutungen nach den gewählten Regeln – keine Entscheidung über Ihre Steueransässigkeit und keine Steuerberatung.

5. Empfänger

• Supabase (Supabase, Inc.): Datenbank, Anmeldung und Dateispeicher. Solange unser eigener Versand dafür nicht aktiv ist, versendet Supabase auch die Anmelde-E-Mails (Einladungen, Passwort zurücksetzen). Speicherort Frankfurt am Main; heruntergeladene Dateien werden bis zu 1 Stunde an Knoten des Content-Delivery-Netzwerks (Cloudflare) nahe der abrufenden Person zwischengespeichert.
• Vercel (Vercel Inc.): Betrieb der Web-App und der Website. Die Serverfunktionen laufen in Frankfurt am Main; Anfragen erreichen sie über das weltweite Netzwerk von Vercel, das auch die Serverprotokolle führt.
• Anthropic (Anthropic PBC): KI-gestütztes Auslesen von Belegen, Rechnungen, Fahrtenbüchern und Postfach-Anhängen sowie die Antworten von „Fragen Sie Ihre Bücher“ (Ihre Frage und die dafür berechneten Kennzahlen, auch Kundennamen und offene Beträge). Verarbeitung in den USA.
• Twilio SendGrid (Twilio Inc.): Versand der E-Mails – Rechnungen, Zahlungserinnerungen und wiederkehrende Rechnungen, die Unternehmen über SelbstFinanz versenden (samt PDF), Einladungen, Mitteilungen und Hinweise zu Ihren Aufenthaltstagen (mit Land, Regel und verbleibenden Tagen) – sowie die Zustellereignisse. Verarbeitung in den USA. Öffnungs- und Klickverfolgung ist abgeschaltet.
• Google Maps Platform (Google Ireland Limited): Adressvorschläge und Fahrstrecken im Fahrtenbuch. Unser Server übermittelt den eingegebenen Adresstext und die gewählten Orte, nicht Ihre IP-Adresse. Weltweite Infrastruktur von Google.
• Google Firebase Cloud Messaging (Google Ireland Limited) und Apple Push Notification service (Apple Inc.): Zustellung von Push-Mitteilungen an die iOS-App, etwa „Rechnung bezahlt – Muster GmbH: Rechnung 2026-014 ist vollständig bezahlt.“ Der Mitteilungstext mit dem Namen des Unternehmens und der Rechnungsnummer sowie die Gerätekennung werden dafür über Google und Apple übertragen. Die App meldet das Gerät erst bei Firebase an, wenn Sie Mitteilungen erlauben. Hinweise zu Ihren Aufenthaltstagen nennen im Mitteilungstext weder ein Land noch eine Tageszahl.
• Stripe (Stripe Payments Europe, Limited, Irland): Zahlungsabwicklung für das Abonnement, nur in der Web-App – Unternehmensname, Rechnungs-E-Mail-Adresse und -Anschrift, UID, Sprache, Rechnungen; auf den Seiten von Stripe außerdem Kartendaten und Geräteinformationen zur Betrugsprävention. Stripe verarbeitet Daten auch in den USA.
• Cloudflare Turnstile (Cloudflare, Inc.): Schutz vor automatisierten Zugriffen bei der Anmeldung, beim Zurücksetzen des Passworts, bei der Registrierung, der Beta-Anfrage, der Annahme einer Einladung und bei der erneuten Passworteingabe vor sensiblen Aktionen (Konto löschen, Unternehmen schließen, Supportfunktionen). Auf diesen Seiten lädt Ihr Browser ein Skript von Cloudflare, das Ihre IP-Adresse sowie Browser- und Gerätemerkmale auswertet; bei Registrierung, Beta-Anfrage und Einladung übermittelt unser Server zusätzlich Ihre IP-Adresse zur Prüfung an Cloudflare. Auf den übrigen Seiten der Website wird Turnstile nicht geladen.
• Frankfurter (öffentlicher Dienst für die Referenzkurse der Europäischen Zentralbank): erhält nur Währungscode und Datum, keine personenbezogenen Daten.
• Vom Unternehmen gewählte Anbieter: Hinterlegt ein Unternehmen einen eigenen E-Mail-Anbieter (SendGrid oder Resend) oder verbindet es ein Postfach, erhalten diese Anbieter die Daten nach Wahl und im Vertrag des Unternehmens.
• Unser Support greift auf die Daten eines Unternehmens nur mit Zustimmung eines Administrators oder bei einem Sicherheitsvorfall oder einer rechtlichen Verpflichtung zu – nur lesend, sofern der Administrator nicht ausdrücklich Lesen und Schreiben freigibt, zeitlich begrenzt und unter eigener Identität mit Zwei-Faktor-Authentifizierung. Jeder Zugriff wird protokolliert und ist für die Administratoren des Unternehmens einsehbar. Ihre persönlichen Aufenthaltstage sind davon nie erfasst.
• Behörden und Gerichte erhalten Daten nur, soweit wir gesetzlich dazu verpflichtet sind.

Die Liste der Unterauftragsverarbeiter mit Zweck, Datenkategorien und Ort der Verarbeitung finden Sie unter Unterauftragsverarbeiter.

6. Speicherort und Übermittlung in Drittländer

Ihre Daten werden in Frankfurt am Main (EU) gespeichert und verarbeitet. Für die KI-Belegerkennung und einige weitere Funktionen setzen wir Anbieter außerhalb der EU ein, vor allem in den USA: Anthropic (KI-Belegerkennung, „Fragen Sie Ihre Bücher“), SendGrid (E-Mail-Versand), Google (Adressvorschläge, Push-Mitteilungen), Apple (Push-Mitteilungen) und Cloudflare (Schutz der Anmeldung). Supabase und Vercel sind Unternehmen mit Sitz in den USA; ihre weltweiten Netzwerke leiten Anfragen weiter und speichern heruntergeladene Dateien kurzzeitig zwischen.

Übermittlungen in die USA stützen sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger dort gelistet ist, und im Übrigen auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

7. Speicherdauer

• Unternehmensdaten: solange das Abonnement besteht; danach schreibgeschützt für die gesetzliche Aufbewahrung von sieben Jahren ab dem Ende des Kalenderjahres der letzten Buchung (§ 132 BAO), anschließend Löschung nach zwei Vorankündigungen. Die automatische Löschung nach Ablauf der Aufbewahrung ist derzeit noch nicht eingeschaltet; bis dahin bleiben solche Unternehmen schreibgeschützt gespeichert.
• Schließung eines Unternehmens auf Antrag: Löschung frühestens 30 Tage nach dem Antrag.
• Benutzerkonto: bis Sie es löschen – in der Web-App oder der iOS-App unter „Mein Konto“. Ihr Name und Ihre E-Mail-Adresse, wie sie in den Unterlagen eines Unternehmens festgehalten sind (Protokolleinträge, ausgestellte Belege), bleiben Teil dieser Unterlagen.
• Persönliche Aufenthaltstage: Ihre Aufenthalte und verfolgten Länder, bis Sie sie oder Ihr Konto löschen; die Aufzeichnung der gesendeten Hinweise, Ihr Heimatland und Ihre Hinweisschwelle, bis Ihr Konto gelöscht wird oder Sie uns um ihre Löschung ersuchen. Aufenthalte aus den Reisen eines Unternehmens zeigen wir, solange Sie Mitglied sind und das Unternehmen die Reise führt; die Kopie, die beim Ende einer Mitgliedschaft entsteht, bleibt auch nach der Schließung oder Löschung des Unternehmens erhalten, bis Sie sie löschen.
• Push-Gerätekennungen: bis Firebase sie als ungültig meldet, Sie sich auf dem Gerät abmelden oder Ihr Konto gelöscht wird.
• Export-Archive: 7 Tage nach ihrer Bereitstellung.
• Datenbanksicherungen: gelöschte Daten verbleiben höchstens 8 Tage in verschlüsselten Sicherungen.
• Unsere Abrechnungsunterlagen: sieben Jahre (§ 132 BAO).
• Serverprotokolle und Kopien bei Anbietern (etwa Zustellprotokolle des E-Mail-Versands): nach den Fristen des jeweiligen Anbieters.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) sowie das Recht, einer Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (Art. 21). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Schreiben Sie uns dazu an privacy@selbstfinanz.at.

Ihre Aufenthalte können Sie unter „Meine Aufenthaltstage“ selbst einsehen, berichtigen und löschen, dort Ihre Einstellungen ändern und Ihre Aufenthaltstage vollständig herunterladen – jederzeit, auch wenn Sie keinem Unternehmen mehr angehören. Die Seite steht Ihnen offen, sobald wir einen Aufenthalt für Sie gespeichert haben, etwa eine Kopie nach dem Ende einer Mitgliedschaft, auch wenn Sie sie bisher nicht genutzt haben. Berichtigen können Sie die Aufenthalte, die Sie selbst erfasst haben; Angaben aus den Reisen eines Unternehmens berichtigt dieses Unternehmen, und die Kopie nach dem Ende einer Mitgliedschaft können Sie löschen, aber nicht ändern. Die Aufzeichnung der Hinweise, die wir Ihnen gesendet haben (Land, Regel, Steuerjahr und Datum), Ihr Heimatland und Ihre Hinweisschwelle werden mit Ihrem Konto gelöscht oder früher, wenn Sie uns unter privacy@selbstfinanz.at darum ersuchen; bis dahin stellt die Aufzeichnung sicher, dass kein Hinweis doppelt gesendet wird.

Betreffen Ihre Anliegen Daten, die ein Unternehmen in SelbstFinanz erfasst hat, wenden Sie sich bitte an dieses Unternehmen.

Sie können sich bei der Österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

9. Sicherheit

Wir übertragen Daten ausschließlich verschlüsselt. Die Daten jedes Unternehmens sind in der Datenbank durch Zeilenrichtlinien von denen anderer Unternehmen getrennt; Dateien liegen in privaten Speicherbereichen und werden nur über kurzlebige signierte Links ausgeliefert. Zwei-Faktor-Authentifizierung steht allen offen und ist für unsere Plattform-Administratoren zwingend. Ihre persönlichen Aufenthaltstage sind Ihrem Konto zugeordnet; die Zeilenrichtlinien der Datenbank geben sie nur Ihrer eigenen Anmeldung frei – nicht anderen Mitgliedern, Administratoren, dem Support oder unserer Verwaltungskonsole.

10. Cookies und ähnliche Techniken

Wir setzen nur technisch notwendige Cookies: für die Anmeldesitzung, für Ihre Sprachwahl, – während der Registrierung – für einen eingegebenen Beta-Code und – in der iOS-App, sobald Sie Mitteilungen erlauben – für die Mitteilungs-Kennung des Geräts, damit das Abmelden die Mitteilungen auf diesem Gerät beendet. Es gibt keine Analyse-, Werbe- oder Tracking-Cookies und keine Tracking-Dienste. Cloudflare Turnstile liest auf den in Abschnitt 5 genannten Seiten Browser- und Gerätemerkmale aus, um automatisierte Zugriffe zu erkennen; das ist für eine sichere Anmeldung erforderlich. Die iOS-App speichert Einstellungen wie die App-Sperre nur auf dem Gerät.

11. Pflicht zur Bereitstellung

Ohne E-Mail-Adresse und Passwort kann kein Konto angelegt werden. Der Postfach-Import, Push-Mitteilungen, die KI-Funktionen und die persönlichen Aufenthaltstage sind freiwillig.

12. Änderungen

Diese vorläufige Fassung wird durch die geprüfte Datenschutzerklärung ersetzt. Künftige Fassungen veröffentlichen wir mit Versionsnummer und Datum auf dieser Seite; frühere Fassungen bleiben abrufbar.