Datenschutzerklärung

KI-Alpin e.U., Inhaber Simon Micheler, Oeynhausner Straße 17, 2512 Tribuswinkel, Österreich. E-Mail: simon@ki-alpin.at, Telefon: +43 664 4690234. Details im Impressum.

• Deine Buchhaltungsdaten gehören dir. Wir verkaufen nichts, wir werten nichts für Werbung aus.
• Gespeichert wird in der EU (Rechenzentrum Frankfurt). Ohne Konto bleiben deine Daten ausschließlich lokal in deinem Browser.
• Es gibt keine Tracking-Cookies und keine Werbe-Tracker. Für die Frage, welche Seiten benutzt werden, läuft eine cookielose Zählung ohne Wiedererkennung – Details weiter unten.
• Du kannst jederzeit alles exportieren und dein Konto samt allen Daten selbst löschen (Einstellungen → Daten).

• Kontodaten: E-Mail-Adresse, Passwort (nur als Hash) bzw. Login über Google, sofern du das wählst.
• Buchhaltungsdaten: Belege, Rechnungen, Angebote, Kontakte, Produkte, Zeiten, Bankbewegungen, Einstellungen – alles, was du in der App erfasst oder importierst. Darin können personenbezogene Daten deiner Kund:innen und Lieferant:innen stecken; dafür bist du Verantwortliche:r und wir dein Auftragsverarbeiter (siehe Auftragsverarbeitungsvertrag).
• Belegdokumente: hochgeladene Fotos und PDFs, gespeichert in einem privaten Speicherbereich, auf den nur dein Konto zugreifen kann.
• FinanzOnline-Zugangsdaten (optional): Teilnehmer-ID, Benutzer-ID und PIN deines Webservice-Benutzers – verschlüsselt gespeichert, verwendet ausschließlich für Übermittlungen, die du selbst auslöst.
• Zahlungsdaten (bei Abo): Abwicklung vollständig über Stripe; wir sehen nie deine Kartendaten, nur den Abo-Status.
• Technische Daten: Server-Logs des Hostings (IP-Adresse, Zeitpunkt, aufgerufene Seite) zur Fehlersuche und Absicherung.
• Nutzungsstatistik: aufgerufene Seite, Herkunftsseite, Gerätetyp, Browser und Land – cookielos, ohne Kennung, ohne Profilbildung. Aus der Adresse werden vorher alle Bestandteile entfernt, die etwas über dich verraten könnten (Suchtext, Datensatz-Nummern, Anmelde-Token); übrig bleibt der Seitenname. Näheres im Abschnitt Cookies, lokaler Speicher & Statistik.

• Bereitstellung der App, Konto, Synchronisierung, Abo-Abwicklung: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• E-Mails, die du selbst auslöst oder aktivierst (Fristen-Erinnerung, Versand an deine Steuerberatung): Vertragserfüllung bzw. deine Einwilligung (Art. 6 Abs. 1 lit. a).
• KI-Auswertung von Belegen und Assistent-Antworten: nur wenn du diese Funktionen nutzt – Vertragserfüllung; die Nutzung ist optional.
• Sicherheit, Missbrauchs- und Fehlerabwehr (Logs, Kontingente): berechtigtes Interesse (Art. 6 Abs. 1 lit. f).
• Cookielose Nutzungsstatistik zur Verbesserung der App: berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Es werden keine Informationen auf deinem Gerät gespeichert oder ausgelesen, deshalb braucht es dafür keine Einwilligung und kein Cookie-Banner (§ 165 Abs. 3 TKG 2021).
• Aufbewahrung von Rechnungsdaten unseres eigenen Abos: gesetzliche Pflicht (Art. 6 Abs. 1 lit. c, § 132 BAO).

Keine automatisierte Entscheidungsfindung (Art. 22 DSGVO): Die KI liefert Vorschläge – gebucht, versendet oder übermittelt wird nur, was du prüfst und bestätigst.

Wir setzen wenige, sorgfältig gewählte Dienstleister ein – alle vertraglich nach Art. 28 DSGVO gebunden:

• Supabase (Datenbank, Login, Dateispeicher) – EU (Frankfurt). Jedes Konto sieht technisch abgesichert nur die eigenen Daten (Row Level Security).
• Vercel (Hosting der Anwendung und cookielose Seitenstatistik) – EU (Frankfurt). Die Anwendung läuft in der Vercel-Region Frankfurt. Die Statistik zählt nur Seitenaufrufe, ohne Cookie und ohne Wiedererkennung.
• Brevo (E-Mail-Versand und Beleg-Postfach) – EU.
• Stripe Payments Europe Ltd. (Zahlungsabwicklung des Abos) – Irland.
• Mistral AI SAS (KI-Auswertung (nur bei Nutzung der KI-Funktionen)) – EU (Frankreich). Übermittelt wird nur der Inhalt, den die jeweilige Auswertung braucht (z.B. das Belegbild). Nutzt du keine KI-Funktion, fließt hier nichts. Mistral speichert Ein- und Ausgaben 30 Tage rollierend zur Missbrauchs-Erkennung und trainiert nicht damit.

Welche Daten jeder Dienst genau sieht und auf welcher Grundlage eine Übermittlung stattfindet, steht in Anlage 1 des Auftragsverarbeitungsvertrags.

Nutzt du den Google-Login, erhält Google Ireland Ltd. dabei die üblichen Anmeldedaten – das steuert dein Google-Konto, nicht wir. Übermittlungen an FinanzOnline gehen direkt an das Bundesministerium für Finanzen – in deinem Auftrag, mit deinen Zugangsdaten, und nur wenn du eine Übermittlung ausdrücklich bestätigst.

Daneben fragt die App öffentliche Register und Verzeichnisse ab – dabei geht jeweils nur das genannte Merkmal hinaus, nie deine Buchhaltungsdaten: die UID eines Geschäftspartners an das MIAS/VIES-System der EU-Kommission (Gültigkeitsprüfung), eine getippte Postleitzahl an das offene Verzeichnis OpenPLZ (Ortsvorschläge), die UID eines Rechnungsempfängers an das öffentliche Peppol-Verzeichnis (kann er E-Rechnungen empfangen?) sowie Datum und Währungskürzel an den EZB-Kursdienst Frankfurter (Fremdwährungsbelege).

Buchfink setzt keine Tracking-Cookies und keine Werbe-Tracker ein. Die App nutzt den lokalen Browser-Speicher (localStorage) für deine Daten und Einstellungen – das ist Teil der Funktion (»local-first«), kein Tracking. Schriften sind selbst gehostet, es wird kein Google-CDN geladen.

Für die Frage »welche Seiten werden überhaupt benutzt« zählen wir Seitenaufrufe mit Vercel Web Analytics – dem Statistik-Werkzeug unseres Hosters, das ohnehin schon die Anwendung ausliefert. Ehrlich gesagt, was das heißt:

• Es wird kein Cookie gesetzt und nichts auf deinem Gerät gespeichert oder ausgelesen.
• Es gibt keine geräteübergreifende Kennung und kein Profil. Für die Besucherzählung bildet Vercel eine Prüfsumme aus technischen Merkmalen, die täglich wechselt und sich nicht zurückrechnen lässt – am nächsten Tag bist du wieder jemand Neues.
• Gezählt werden Seitenname, Herkunftsseite, Gerätetyp, Browser und Land. Keine Inhalte, keine Beträge, keine Belegdaten.
• Bevor eine Adresse das Gerät verlässt, entfernen wir alles Verräterische daraus: den Suchtext an den Assistenten, Rechnungs- und Belegnummern und die Anmelde-Token aus Magic-Links. Nur ausdrücklich unbedenkliche Bestandteile bleiben stehen (z.B. das gewählte Jahr).
• Willst du auch das nicht, genügt ein üblicher Werbe- oder Skript-Blocker – die App funktioniert dadurch unverändert weiter.

Wir setzen keine Analyse-Tools weiterer Drittanbieter ein – kein Google Analytics, kein Meta-Pixel, keine Werbenetzwerke.

• Kontodaten und Buchhaltungsdaten: solange dein Konto besteht. Löschst du dein Konto, werden alle Daten einschließlich Belegdokumenten unwiderruflich gelöscht.
• Wichtig für dich: Als Unternehmer:in bist DU verpflichtet, Belege 7 Jahre aufzubewahren (§ 132 BAO). Exportiere deine Daten vor einer Löschung – die App bietet dafür Backup und Beleg-ZIP (Einstellungen → Daten).
• Rechnungsdaten unseres eigenen Abos: 7 Jahre (§ 132 BAO), gespeichert bei Stripe und in unserer Buchhaltung.
• Server-Logs: kurzfristig, nur zur Fehlersuche und Absicherung.

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Vieles davon kannst du direkt in der App erledigen: Export und Backup unter Einstellungen → Daten, Konto-Löschung ebendort. Für alles andere genügt eine E-Mail an simon@ki-alpin.at. Außerdem kannst du dich bei der Österreichischen Datenschutzbehörde beschweren: dsb.gv.at.

• Verschlüsselte Übertragung (TLS) überall.
• Zugriffstrennung pro Konto direkt in der Datenbank (Row Level Security) – auch für Belegdokumente.
• FinanzOnline-PIN und E-Mail-Zugriffstokens werden verschlüsselt gespeichert und nie im Browser angezeigt.
• Passwörter werden beim Setzen gegen bekannte Datenlecks geprüft (Dienst »Have I Been Pwned«, k-Anonymity: nur die ersten fünf Zeichen eines Hashes verlassen deinen Browser – nie das Passwort selbst).

Wenn sich an dieser Erklärung etwas Wesentliches ändert, aktualisieren wir das Datum oben und weisen bei erheblichen Änderungen in der App darauf hin.