Datenschutzerklärung

Kadir Topcu (Finonur)
Felsgasse 3, 1110 Wien, Österreich
Telefon: +43 699 11952751
E-Mail: k.topcu@outlook.de

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen des Art. 37 DSGVO nicht vorliegen.

a) Registrierungs- und Kontodaten

Bei der Registrierung erfassen wir Ihren Namen, Ihre E-Mail-Adresse und ein Passwort (das Passwort wird von unserem Authentifizierungsdienst ausschließlich verschlüsselt bzw. als Hash gespeichert). Bei Anmeldung über Google erhalten wir Name, E-Mail-Adresse und Profilbild aus Ihrem Google-Konto. Zusätzlich erfassen wir Firmendaten, die Sie im Onboarding angeben (Firmenname, Anschrift, Rechtsform, ggf. UID- und Firmenbuchnummer, Bankverbindung für Ihre Ausgangsrechnungen).

b) Rechnungs- und Buchhaltungsdaten

Alle Daten, die Sie im Rahmen der Nutzung eingeben: Rechnungen, Angebote, Buchungssätze, Transaktionen, Produkt- und Kundenstammdaten sowie Auswertungen, die daraus erzeugt werden.

c) Hochgeladene Belege

Von Ihnen hochgeladene Dokumente (z. B. Eingangsrechnungen, Kassenbelege, Verträge) einschließlich der daraus per Texterkennung (OCR) extrahierten Inhalte.

Die Texterkennung läuft ausschließlich in Ihrem Browser: Fotos werden mit einer lokalen Texterkennung gelesen, bei PDF-Dateien wird die vorhandene Textebene ausgewertet. Belege werden dafür an keinen externen Dienst übermittelt — insbesondere an keinen Anbieter von KI- bzw. Sprachmodellen. Gespeichert werden Belege nur in unserem Dateispeicher in Frankfurt (siehe Punkt 5).

d) Lohn- und Mitarbeiterdaten

Sofern Sie die Lohnverrechnung nutzen: Stammdaten Ihrer Mitarbeiter:innen (Name, Sozialversicherungsnummer, Geburtsdatum, Adresse, Bankverbindung), Gehaltsdaten, Abrechnungen und ELDA-relevante Meldedaten. Diese Daten geben Sie als Arbeitgeber ein; wir verarbeiten sie in Ihrem Auftrag (siehe Abschnitt 10).

e) Technische Zugriffsdaten

Beim Besuch der Website fallen technisch bedingt Server-Logdaten an (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp, Betriebssystem). Diese werden von unseren Hosting-Dienstleistern zur Sicherstellung des Betriebs und zur Abwehr von Angriffen verarbeitet und kurzfristig gespeichert.

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung der Software, Kontoverwaltung, Speicherung Ihrer Buchhaltungsdaten, Support, transaktionale E-Mails (z. B. E-Mail-Verifizierung, Rechnungsversand).
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung geschäftlicher Unterlagen nach § 132 BAO und § 212 UGB, steuerliche Nachweispflichten.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Gewährleistung der IT-Sicherheit, Missbrauchs- und Betrugsprävention (z. B. Prüfung von Wegwerf-E-Mail-Adressen bei der Registrierung), anonymisierte Reichweitenmessung, Weiterentwicklung des Dienstes.

• Kontodaten: bis zur Löschung Ihres Kontos.
• Buchhaltungs- und Rechnungsdaten sowie Belege: grundsätzlich bis zur Löschung durch Sie. Soweit uns selbst gesetzliche Aufbewahrungspflichten treffen (z. B. für unsere eigene Buchhaltung), beträgt die Frist 7 Jahre gemäß § 132 BAO. Bitte beachten Sie: Für Ihre Buchhaltungsdaten sind Sie selbst aufbewahrungspflichtig — exportieren Sie Ihre Daten vor einer Kontolöschung (siehe Abschnitt 12).
• Server-Logdaten: kurzfristig gemäß den Aufbewahrungsrichtlinien unserer Hosting-Dienstleister.

Nach Beendigung des Vertrags stehen Ihre Daten 30 Tage zum Export bereit und werden anschließend gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Wir setzen folgende Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein:

• Google Firebase (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland):
  • Datenbank (Cloud Firestore): Multi-Region eur3 — Rechenzentren in Belgien und den Niederlanden (EU).
  • Dateispeicher für hochgeladene Belege (Cloud Storage): Region europe-west3 — Frankfurt am Main, Deutschland (EU).
  • Authentifizierung (Firebase Authentication): wird von Google ausschließlich in Rechenzentren in den USA betrieben. Übermittlung auf Grundlage des EU-U.S. Data Privacy Framework (Google LLC ist zertifiziert) sowie der EU-Standardvertragsklauseln.
• Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) — Hosting und Auslieferung der Webanwendung, Verarbeitung technischer Zugriffsdaten. Serverfunktionen laufen in Frankfurt am Main, Deutschland (EU); statische Inhalte werden über das weltweite Netzwerk von Vercel vom jeweils nächstgelegenen Standort ausgeliefert. Übermittlung in die USA auf Grundlage des EU-U.S. Data Privacy Framework (Vercel ist zertifiziert) sowie der EU-Standardvertragsklauseln.
• Resend (Plus Five Five, Inc., USA) — Versand transaktionaler E-Mails (z. B. Verifizierungs-E-Mails, Benachrichtigungen). Verarbeitet werden E-Mail-Adresse und E-Mail-Inhalt, Verarbeitung in den USA. Übermittlung auf Grundlage des EU-U.S. Data Privacy Framework (Resend ist zertifiziert) sowie der EU-Standardvertragsklauseln.

Kostenpflichtige Abonnements werden über Lemon Squeezy (Link, LLC, vormals Lemon Squeezy LLC, USA) als Merchant of Record abgewickelt. Das bedeutet: Lemon Squeezy ist Ihr Vertragspartner für den Kauf, stellt die Rechnung aus und verarbeitet Ihre Zahlungsdaten (z. B. Kreditkartendaten, Rechnungsadresse) in eigener datenschutzrechtlicher Verantwortung. Ihre vollständigen Zahlungsdaten sind für uns zu keinem Zeitpunkt einsehbar; wir erhalten lediglich Informationen über den Abostatus. Lemon Squeezy verarbeitet diese Daten in den USA und stützt die Übermittlung nach eigenen Angaben auf EU-Standardvertragsklauseln. Es gilt ergänzend die Datenschutzerklärung von Lemon Squeezy: lemonsqueezy.com/privacy.

Das Checkout-Fenster wird über ein Skript von Lemon Squeezy (assets.lemonsqueezy.com) bereitgestellt. Dieses Skript wird ausschließlich auf der Abrechnungsseite in der App geladen, auf keiner anderen Seite. Beim Laden werden technisch bedingt Ihre IP-Adresse sowie Browser- und Geräteinformationen an Lemon Squeezy in den USA übermittelt (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer sicheren, in die App integrierten Zahlungsabwicklung; mit dem Start eines Kaufs Art. 6 Abs. 1 lit. b DSGVO).

Einige der genannten Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten teilweise dort: Google (Firebase Authentication), Vercel, Resend und Lemon Squeezy. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist (Google LLC, Vercel Inc., Resend), sowie der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Ihre Buchhaltungsdaten, Belege und Lohndaten werden in der EU gespeichert: die Datenbank in Belgien und den Niederlanden (Google Cloud Firestore, Multi-Region eur3), hochgeladene Belege in Frankfurt am Main (Google Cloud Storage, europe-west3).

Wir verwenden ausschließlich technisch notwendige Cookies und Browser-Speicherung (§ 165 Abs. 3 TKG 2021, Art. 6 Abs. 1 lit. b und f DSGVO):

• Authentifizierung: Sitzungsinformationen von Firebase Authentication, damit Sie angemeldet bleiben.
• Spracheinstellung: ein Cookie, das Ihre gewählte Sprache speichert.

Es werden keine Marketing- oder Tracking-Cookies eingesetzt und keine Daten zu Werbezwecken an Dritte weitergegeben. Aus diesem Grund benötigt und verwendet diese Website keinen Cookie-Banner.

Wir nutzen Vercel Web Analytics (Vercel Inc.) zur anonymisierten Reichweitenmessung (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Verbesserung unseres Angebots). Je Seitenaufruf werden Zeitpunkt, aufgerufene Seite, verweisende Website (Referrer), Browser und Betriebssystem (jeweils mit Version), Gerätetyp sowie der ungefähre Standort (Land, Region, Stadt) erfasst. URL-Parameter und Kennungen in der Adresse (etwa von Rechnungen oder Einladungslinks) entfernen wir vor der Übermittlung. Das Verfahren setzt keine Cookies; die Messwerte werden weder einer IP-Adresse noch einer Person zugeordnet. Besucher werden über einen aus der Anfrage gebildeten Hash gezählt, der nach 24 Stunden verworfen wird. Eine Nachverfolgung über andere Websites hinweg findet nicht statt.

Zusätzlich messen wir mit Vercel Speed Insights (Vercel Inc.) die Ladegeschwindigkeit unserer Seiten. Je Seitenaufruf werden anonyme Messwerte (Web Vitals wie Ladezeit und Layout-Stabilität), die aufgerufene Seite (ebenfalls ohne URL-Parameter und Kennungen), Netzwerktyp, Browser, Gerätetyp, Betriebssystem und das Land erfasst. Es werden keine Cookies gesetzt; die Messwerte werden weder einer IP-Adresse noch einer Person zugeordnet, und Seitenaufrufe werden nicht zu Sitzungen verknüpft (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer schnellen, fehlerfreien Website).

Wenn Sie in Finonur personenbezogene Daten Dritter verarbeiten — etwa Daten Ihrer Kund:innen auf Rechnungen oder Daten Ihrer Mitarbeiter:innen in der Lohnverrechnung —, sind Sie dafür datenschutzrechtlich Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO. Wir verarbeiten diese Daten ausschließlich in Ihrem Auftrag und nach Ihren Weisungen als Auftragsverarbeiter gemäß Art. 28 DSGVO. Wir verwenden diese Daten nicht für eigene Zwecke.

Die Übertragung aller Daten erfolgt verschlüsselt über TLS (HTTPS). Die Speicherung bei Google Firebase erfolgt mit der standardmäßigen serverseitigen Verschlüsselung von Google (Verschlüsselung ruhender Daten). Der Zugriff auf Ihre Daten ist durch Authentifizierung und serverseitige Zugriffsregeln (Firebase Security Rules) auf Ihr Konto bzw. die von Ihnen berechtigten Teammitglieder beschränkt.

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Auskunft über Ihre gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung („Recht auf Vergessenwerden“, Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20) — Sie können Ihre Rechnungs- und Buchhaltungsdaten jederzeit direkt in der Anwendung exportieren
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21)

Zur Ausübung Ihrer Rechte genügt eine formlose E-Mail an k.topcu@outlook.de.

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen Datenschutzrecht verstößt, haben Sie das Recht auf Beschwerde bei der österreichischen Datenschutzbehörde: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at.

Bei Fragen zum Datenschutz erreichen Sie uns unter k.topcu@outlook.de.

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungstätigkeiten oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.