Datenschutzerklärung

Informationen gemäß Art. 13, 14 DSGVO

1. Verantwortlicher

Heinrich Neb, Im Burgblick 69, 56288, Deutschland
E-Mail: [email protected]

2. Rollen: Verantwortlicher vs. Auftragsverarbeiter

Für Mandanten- und Mitarbeiterdaten, die eine Steuerkanzlei in Kanzlei-Kompass verarbeitet, ist die jeweilige Kanzlei die Verantwortliche (Art. 4 Nr. 7 DSGVO). Wir verarbeiten diese Daten ausschließlich weisungsgebunden als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage eines Auftragsverarbeitungsvertrags (siehe AVV). Für die eigene Website, Registrierung und Vertragsabwicklung sind wir selbst Verantwortliche; darauf bezieht sich diese Erklärung.

3. Welche Daten wir verarbeiten

• Account- und Vertragsdaten: Name, E-Mail-Adresse, Kanzlei-Name, Rolle, Authentifizierungsdaten (über Keycloak), Zustimmung zu AGB/Datenschutz (Zeitpunkt + Version).
• Nutzungs- und Protokolldaten: technische Zugriffs- und Audit-Protokolle (z. B. sicherheitsrelevante Aktionen) zur Absicherung des Dienstes.
• Zahlungsdaten: abgewickelt über unseren Zahlungsdienstleister (Stripe); Kartendaten werden bei uns nicht gespeichert.
• Inhaltsdaten: von der Kanzlei eingegebene Strategie-/OKR-Inhalte sowie importierte DATEV-Kennzahlen — hier sind wir Auftragsverarbeiter (s. Ziff. 2).

4. Zwecke und Rechtsgrundlagen

• Bereitstellung, Betrieb und Abrechnung des Dienstes — Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
• Sicherheit, Missbrauchsvermeidung, Protokollierung — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
• Betriebliche Benachrichtigungen (z. B. Registrierung) — Art. 6 Abs. 1 lit. f DSGVO.
• Einwilligungsbasierte Verarbeitungen (soweit vorhanden) — Art. 6 Abs. 1 lit. a DSGVO.

5. Empfänger / Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, jeweils auf Basis eines AVV:

• Hetzner Online GmbH — Hosting, Serverstandort Deutschland.
• Keycloak — Authentifizierung, von uns selbst auf deutschen Servern betrieben (kein externer Dienstleister).
• Stripe — Zahlungsabwicklung (Abonnements).
• Resend — Versand transaktionaler E-Mails (z. B. Einladungen).
• Telegram — rein interne Betreiber-Benachrichtigungen (z. B. Registrierungshinweise); es werden keine Mandantendaten übermittelt. [Prüfen/optional: konservativ nennen.]
• Cloudflare — ausschließlich DNS („DNS only“), keine Verarbeitung von Inhalts-/Personendaten.

KI-Verarbeitung (EU-Auftragsverarbeiter): Die KI-Funktionen (OKR-Coach, Analysen) werden über einen KI-Dienst mit Verarbeitung ausschließlich in der EU (Deutschland) bereitgestellt. Dieser Dienst ist als Auftragsverarbeiter nach Art. 28 DSGVO eingebunden (Auftragsverarbeitungsvertrag liegt vor); eine Übermittlung in Drittländer findet nicht statt. [Rechtlich prüfen: exakte Firmierung des KI-Auftragsverarbeiters ergänzen und AVV bestätigen.]

6. Speicherort und Drittlandübermittlung

Verarbeitung und Speicherung erfolgen in Deutschland (Hetzner). Eine Übermittlung in Drittländer findet grundsätzlich nicht statt. Soweit einzelne Dienstleister (z. B. Stripe) eine Übermittlung erfordern, erfolgt diese auf Grundlage geeigneter Garantien (EU-Standardvertragsklauseln). [Vor Live-Gang je Dienstleister prüfen und ergänzen.]

7. Anonyme Benchmark-Signale (Kanzlei-Vergleich)

Damit Kanzleien voneinander lernen können, ohne Daten preiszugeben, übermittelt Kanzlei-Kompass in engen Grenzen anonyme, kategoriale Signale an unseren Benchmark-Dienst: ein festes Themen-Vokabular (z. B. „okr:checkin-disziplin“), eine grobe Ergebnis-Einordnung (gelungen / teilweise / nicht gelungen), einen Konfidenzwert sowie eine Größenklasse der Kanzlei (1–5, 6–15, 16–50, 50+).

Nicht übermittelt werden: Namen, Zieltexte, Mandanten- oder Mitarbeiterdaten, Kennzahlenwerte sowie die exakte Mitarbeiterzahl. Ein Freitextfeld existiert auf diesem Weg technisch nicht. Die beitragende Kanzlei wird nur über ein nicht umkehrbares Pseudonym gezählt; ein Muster wird erst ausgeliefert, wenn es von mindestens drei unabhängigen Kanzleien stammt (k-Anonymität, serverseitig erzwungen).

Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO); nach unserer Einordnung liegt aufgrund der Aggregation und fehlenden Zuordenbarkeit kein Personenbezug vor. Kanzleien können den Beitrag jederzeit in den Einstellungen deaktivieren („Anonyme Kohorten-Benchmarks“); die Vergleiche bleiben dann weiterhin lesbar.

8. Speicherdauer

Wir speichern personenbezogene Daten, solange dies für die genannten Zwecke erforderlich ist bzw. gesetzliche Aufbewahrungsfristen bestehen. Inhalts-/Mandantendaten werden nach Weisung der verantwortlichen Kanzlei und nach Vertragsende gemäß AVV gelöscht oder zurückgegeben.

9. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies (Sitzungs-/Authentifizierungs-Cookies). Es findet kein Tracking und keine Analyse durch Dritte statt; ein Einwilligungsbanner ist daher für die reine Bereitstellung nicht erforderlich. [Bei späterer Einbindung von Analyse-/Marketing-Tools ist ein Consent-Banner nachzurüsten.]

10. Technische und organisatorische Maßnahmen (Art. 32)

Transportverschlüsselung (TLS/HSTS), strikte Mandantentrennung per Row Level Security, Verschlüsselung ruhender Mandantendaten (LUKS), verschlüsselte, getestete Backups, Zugriffskontrolle über Keycloak inkl. Brute-Force-Schutz sowie ein Audit-Log. Details siehe Anlage TOMs zum AVV.

11. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Ihnen steht zudem ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu.

12. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.