Datenschutzerklärung

XRIO

1. Verantwortlicher

Nicolas Goldstrass (Einzelunternehmen)
Wackersbergerstr. 33, 81371 München, Deutschland
info@nerdvonnebenan.de · USt-IdNr.: DE328430647

Rollenverteilung: Soweit Kunden über XRIO eigene Rechnungsdokumente verarbeiten, ist der Kunde datenschutzrechtlich Verantwortlicher; der Anbieter handelt insoweit als Auftragsverarbeiter auf Grundlage des AVV. Diese Erklärung betrifft die Verarbeitungen, für die der Anbieter selbst Verantwortlicher ist (Konto, Abrechnung, Betrieb der Website).

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung eines funktionsfähigen Dienstes erforderlich ist oder eine Rechtsgrundlage besteht. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertrag), lit. c (rechtliche Verpflichtung), lit. f (berechtigtes Interesse) sowie ggf. lit. a (Einwilligung).

3. Hosting und Bereitstellung

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen — Server, Datenbank und S3-kompatibler Speicher. Verarbeitung und Speicherung in der EU (Deutschland). AVV mit Hetzner besteht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f und lit. b DSGVO.

ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf — stellt Domain, DNS und E-Mail bereit. Über deren SMTP-Server versendet die Anwendung transaktionale E-Mails (insbesondere Magic-Link-Anmeldung und Änderung der E-Mail-Adresse); ALL-INKL verarbeitet dabei die E-Mail-Adressen der Nutzer als Auftragsverarbeiter (AVV besteht). Die reine Domain-/DNS-Bereitstellung verarbeitet keine personenbezogenen Nutzerdaten und wird nicht gesondert aufgeführt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

4. Server-Logfiles

Beim Aufruf werden technisch notwendige Zugriffsdaten verarbeitet (gekürzte IP-Adresse, Datum/Uhrzeit, abgerufene Ressource, Statuscode, übertragene Datenmenge, User-Agent) zu Betrieb, Stabilität, Sicherheit und Fehleranalyse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

5. Registrierung und Nutzerkonto

Für kostenpflichtige Funktionen verarbeiten wir E-Mail-Adresse, Authentifizierungsdaten, Arbeitsbereichs-/Stammdaten und den Zeitpunkt der Zustimmung zu AGB/AVV. Zweck: Bereitstellung des Kontos und Vertragsdurchführung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: für die Dauer des Vertrags zzgl. gesetzlicher Aufbewahrungsfristen.

6. Kerndienst — Verarbeitung hochgeladener Rechnungsdokumente

  1. Hochgeladene Dokumente werden zur automatisierten Datenextraktion, Validierung und Umwandlung in valide E-Rechnungsformate (ZUGFeRD/XRechnung) verarbeitet. Enthaltene Daten: Namen/Anschriften, USt-IdNr./Steuernummern, Bankverbindungen, Rechnungs-/Positionsdaten, ggf. Kontaktdaten.
  2. KI-gestützte Extraktion (USA): Zur Extraktion wird die kostenpflichtige Google Gemini API (Google LLC, USA) eingesetzt; Inhalte werden hierzu an Google übermittelt. Nach den Bedingungen der kostenpflichtigen API werden Eingaben und Ausgaben nicht zu Trainings- oder Produktverbesserungszwecken verwendet; Google verarbeitet sie als Auftragsverarbeiter (siehe Ziffer 9).
  3. Validierung: gegen das offizielle Prüfwerkzeug der KoSIT (lokale Verarbeitung in der EU).
  4. Für die in den Dokumenten enthaltenen Daten ist der Kunde Verantwortlicher; Anbieter und Unterauftragsverarbeiter handeln auf Weisung im Rahmen des AVV. Rechtsgrundlage gegenüber dem Kunden: Art. 6 Abs. 1 lit. b i. V. m. Art. 28 DSGVO.

7. Zahlungsabwicklung (Stripe)

Zahlungen werden über Stripe abgewickelt. Verarbeitet werden Abrechnungs-/Zahlungsdaten (Name, Rechnungsanschrift, Zahlungsmitteldaten); die hochgeladenen Rechnungsinhalte werden nicht an Stripe übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; USA-Transfer abgesichert über SCC und EU-US Data Privacy Framework (Ziffer 9).

8. Anonyme Nutzung und automatische Löschung

Bei anonymer bzw. eingeschränkter Nutzung ohne Registrierung werden hochgeladene Quelldokumente automatisiert nach 30 Minuten serverseitig gelöscht (Datenminimierung, Art. 6 Abs. 1 lit. f DSGVO).

9. Drittlandübermittlung (USA)

  1. Eine Übermittlung in die USA findet im Rahmen der KI-gestützten Extraktion (Google Gemini API) und der Zahlungsabwicklung (Stripe) statt.
  2. Rechtsgrundlage: Art. 46 DSGVO über die EU-Standardvertragsklauseln nebst ergänzenden Garantien. Google LLC und Stripe, Inc. sind zudem unter dem EU-US Data Privacy Framework zertifiziert, soweit jeweils einschlägig.
  3. Trotz dieser Garantien kann ein vollständig dem EU-Niveau entsprechendes Datenschutzniveau in einem Drittland nicht in jedem Fall garantiert werden.

10. Cookies

Wir setzen nur technisch notwendige Cookies für Login, Sitzungsverwaltung und Sicherheit ein. Rechtsgrundlage: § 25 Abs. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. f DSGVO.

11. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck entfällt und keine gesetzlichen Aufbewahrungspflichten (insb. §§ 257 HGB, 147 AO) entgegenstehen.

12. Rechte der betroffenen Personen

Es bestehen Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO). Anfragen an info@nerdvonnebenan.de. Betrifft die Anfrage im Auftrag eines Kunden verarbeitete Daten, leiten wir sie an den verantwortlichen Kunden weiter.

13. Beschwerderecht

Es besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde, für den Anbieter das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).

14. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO (TLS-Transport- verschlüsselung, Zugriffs-/Rollenkonzept, Mandantentrennung, content-freies Logging ohne Rechnungsinhalte). Einzelheiten siehe AVV, Anlage 1.

15. Änderungen

Es gilt die jeweils in der Anwendung veröffentlichte Fassung dieser Datenschutzerklärung.