Datenschutzerklärung

Stand: 26. August 2026 · Fassung 1.0

Diese Datenschutzerklärung ist eine Information nach Art. 13 DSGVO und keine Einwilligungserklärung. Eine Zustimmung zu diesem Text ist weder erforderlich noch Voraussetzung für die Nutzung des Portals.

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

• W+L Consulting GbR
• Markelsheimer Str. 69
• 70435 Stuttgart
• Deutschland
• Vertretungsberechtigte Gesellschafter: Dr. Holger Wildemann, Dipl.-Ing. (FH) Rene Lauenroth
• Umsatzsteuer-Identifikationsnummer: DE456878090
• Telefon: 0711-28479230
• E-Mail für Datenschutzanfragen: info@pdf-in-zugferd.de

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht bestellt. Nach derzeitiger Einschätzung liegen die Voraussetzungen einer Benennungspflicht nach Art. 37 DSGVO in Verbindung mit § 38 BDSG nicht vor. Anfragen in Datenschutzangelegenheiten richten Sie bitte an die unter Ziffer 1 genannte Adresse.

Anlaufstelle für alle Datenschutzangelegenheiten ist damit unmittelbar der Verantwortliche: W+L Consulting GbR, Markelsheimer Str. 69, 70435 Stuttgart, info@pdf-in-zugferd.de.

3. Reichweite dieser Erklärung — Abgrenzung zur Auftragsverarbeitung

3.1 Diese Erklärung beschreibt ausschließlich Verarbeitungen, für die der Anbieter selbst Verantwortlicher ist. Das sind:

• Ihr Benutzerkonto und die Mandantenverwaltung,
• Abrechnung, Guthabenkäufe und Zahlungsabwicklung,
• Support- und Kontaktanfragen,
• Betriebs-, Sicherheits- und Fehlerprotokolle,
• der Aufruf der Website und des Portals.

3.2 Für die Inhalte der von Ihnen hochgeladenen Rechnungsdokumente und die daraus gewonnenen Rechnungsdaten ist der Anbieter nicht Verantwortlicher, sondern Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlicher für diese Daten sind Sie als Kunde. Sie entscheiden über Zwecke und Mittel dieser Verarbeitung; Sie schulden gegenüber den betroffenen Personen — etwa Ihren Kunden, Lieferanten oder deren Ansprechpartnern — die Information nach Art. 13 und Art. 14 DSGVO.

3.3 Die Regelungen zur Auftragsverarbeitung — insbesondere Weisungsbindung, Einsatz von Unterauftragnehmern, die Liste der Unterauftragnehmer, technische und organisatorische Maßnahmen sowie Löschung und Rückgabe — werden in einem gesonderten Auftragsverarbeitungsvertrag geregelt. Dieser ist nicht Bestandteil dieser Datenschutzerklärung.

4. Verarbeitungen im Einzelnen

4.1 Registrierung und Benutzerkonto

• Daten: Name, geschäftliche E-Mail-Adresse, Passwort (nur als Hash gespeichert), Unternehmensdaten, Mandantenzuordnung, Rollen und Berechtigungen, gegebenenfalls Daten der Zwei-Faktor-Authentifizierung.
• Zweck: Bereitstellung des Kontos, Authentifizierung, Zugriffssteuerung, Mandantentrennung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung beziehungsweise vorvertragliche Maßnahmen).

4.2 Abrechnung, Guthaben und Zahlung

• Daten: Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer, Guthabenkäufe, Verbrauchsbuchungen, Rechnungen, Zahlungsstatus, Zahlungsreferenzen.
• Zweck: Abwicklung von Guthabenkäufen, Rechnungsstellung, Buchführung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungs- und Aufzeichnungspflichten, insbesondere § 147 AO, § 257 HGB).
• Hinweis: Vollständige Kreditkarten- oder Kontodaten werden vom Anbieter nicht gespeichert; die Zahlungsdaten werden unmittelbar beim Zahlungsdienstleister erhoben (Ziffer 5).

4.3 Support und Kontakt

• Daten: Ihre Nachricht, Kontaktdaten, Vorgangsbezug.
• Zweck: Bearbeitung Ihrer Anfrage, Nachweis des Bearbeitungsverlaufs.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage das Vertragsverhältnis betrifft; im Übrigen Art. 6 Abs. 1 lit. f DSGVO.
• Berechtigtes Interesse (bei Art. 6 Abs. 1 lit. f): effiziente Bearbeitung und Nachvollziehbarkeit von Anfragen.

4.4 Betriebs-, Sicherheits- und Fehlerprotokolle

• Daten: IP-Adresse, Zeitpunkt, aufgerufene Ressource, Statuscode, Browser- und Geräteangaben, Benutzer- und Mandantenkennung, technische Fehlermeldungen.
• Zweck: Betrieb und Stabilität, Fehlerdiagnose, Missbrauchs- und Angriffserkennung, Nachvollziehbarkeit sicherheitsrelevanter Vorgänge.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Berechtigtes Interesse: sicherer, störungsfreier und nachvollziehbarer Betrieb des Dienstes.

4.5 Aufruf der Website und des Portals

• Daten: die in Ziffer 4.4 genannten Server-Protokolldaten sowie technisch notwendige Sitzungs-Cookies (Sitzungskennung, Schutz vor websiteübergreifender Anfragenfälschung).
• Zweck: Auslieferung der Seiten, Sitzungsverwaltung, Sicherheit.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; für die Speicherung technisch notwendiger Cookies auf Ihrem Endgerät § 25 Abs. 2 Nr. 2 TDDDG (keine Einwilligung erforderlich).
• Ein Einsatz von Analyse-, Tracking- oder Werbe-Cookies findet nicht statt.

4.6 Schutz vor automatisierten Zugriffen

Zum Schutz von Formularen setzt das Portal ein Verfahren zur Unterscheidung menschlicher und automatisierter Zugriffe ein (hCaptcha). Dabei werden IP-Adresse und technische Angaben zu Ihrem Endgerät an den Anbieter dieses Dienstes übermittelt.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Berechtigtes Interesse: Abwehr von automatisiertem Missbrauch und Angriffen.

4.7 Einbindung externer Auslieferungsdienste

Auf einzelnen Seiten des Portals (Anmeldung, Zwei-Faktor-Abfrage) wird eine JavaScript-Bibliothek von einem externen Auslieferungsnetz (jsDelivr) geladen. Dabei wird Ihre IP-Adresse an dessen Betreiber übermittelt.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Berechtigtes Interesse: zuverlässige und schnelle Auslieferung der Anwendung.

5. Empfänger und Kategorien von Empfängern

Personenbezogene Daten werden nur weitergegeben, soweit dies zur Vertragserfüllung erforderlich ist, eine Rechtspflicht besteht oder ein überwiegendes berechtigtes Interesse vorliegt. Dienstleister werden, soweit sie weisungsgebunden für uns tätig werden, auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO eingebunden.

Eingesetzte Kategorien von Empfängern:

Empfänger / Kategorie	Zweck	Belegt durch
IONOS (Hosting, virtueller Server)	Betrieb der Anwendung, Speicherung, Protokolle	Deployment-Dokumentation des Portals
IONOS SE (AI Model Hub, Region ) — Ausführung der Sprachmodell-Abfrage	automatisierte Auslesung der Rechnungsdaten	interne Konfiguration der Sprachmodell-Anbindung ()
Stripe (Zahlungsdienstleister)	Zahlungsabwicklung für Guthabenkäufe	interne Zahlungsintegration (Cashier)
Fehlerüberwachung — kein Dritter beteiligt: eine etwaige technische Fehlererfassung wird, soweit eingesetzt, ausschließlich durch eine vom Anbieter selbst betriebene Instanz auf eigener Infrastruktur durchgeführt	Erfassung technischer Fehlermeldungen	interne Konfigurationsprüfung
hCaptcha (Missbrauchsschutz)	Unterscheidung Mensch/Automat	interne Konfigurationsprüfung, ADR-031
jsDelivr (Auslieferungsnetz)	Auslieferung einer JavaScript-Bibliothek	Anmelde-/2FA-Seiten des Portals
IONOS SE (E-Mail-Versand)	Versand von System- und Benachrichtigungs-E-Mails	interne SMTP-Konfiguration; der Versand-Host ist in der Umgebungskonfiguration der Server gesetzt
Steuerberatung, Wirtschaftsprüfung, Rechtsberatung	gesetzliche Pflichten, Rechtsverfolgung	—
Behörden und Gerichte	bei gesetzlicher Verpflichtung	—

Die vorstehende Aufstellung benennt die Empfänger und Empfängerkategorien im Sinne des Art. 13 Abs. 1 lit. e DSGVO; sie ist aus der technischen Konfiguration des Portals abgeleitet. Die vollständigen Firmierungen und Anschriften der einzelnen Empfänger teilt der Anbieter auf Anfrage unter der in Ziffer 1 genannten Adresse mit.

Hinweis zur Sprachmodell-Abfrage: Die Abfrage wird über einen in Deutschland betriebenen Endpunkt der IONOS SE ausgeführt. Eine Vermittlung über einen Anbieter außerhalb der Europäischen Union findet für diese Verarbeitung nicht mehr statt.

6. Übermittlung in Drittländer

Ein Teil der unter Ziffer 5 genannten Empfänger hat seinen Sitz außerhalb der Europäischen Union beziehungsweise verarbeitet Daten außerhalb des Europäischen Wirtschaftsraums. Das betrifft insbesondere den Zahlungsdienstleister, den Missbrauchsschutz und das Auslieferungsnetz. Die Sprachmodell-Abfrage und die Fehlerüberwachung gehören nicht dazu (siehe Ziffer 5).

Als Grundlage einer solchen Übermittlung kommen ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO), geeignete Garantien wie Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) oder ein Ausnahmetatbestand (Art. 49 DSGVO) in Betracht. Welche Grundlage für den einzelnen Empfänger einschlägig ist, welcher Verarbeitungsort gilt und wie eine Kopie etwaiger Garantien erlangt werden kann, teilt der Anbieter auf Anfrage unter der in Ziffer 1 genannten Adresse mit.

Für das Hosting wird ein virtueller Server der IONOS SE eingesetzt. Der Verarbeitungsort liegt in Deutschland und damit innerhalb der Europäischen Union; eine Übermittlung in ein Drittland findet für das Hosting nicht statt. Die physische Anschrift des Rechenzentrums wird hier nicht behauptet.

7. Speicherdauer

• Konto- und Stammdaten: für die Dauer des Nutzungsverhältnisses; anschließend Löschung, soweit keine Aufbewahrungspflicht entgegensteht.

• Abrechnungs- und Rechnungsdaten: entsprechend den handels- und steuerrechtlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB). Die gesetzliche Aufbewahrungspflicht ist dreistufig (§ 147 Abs. 3 AO):

  • zehn Jahre für Bücher, Aufzeichnungen, Inventare und Jahresabschlüsse,
  • acht Jahre für Buchungsbelege,
  • sechs Jahre für Handels- und Geschäftsbriefe sowie sonstige Unterlagen.

  Die Fristen verlängern sich, soweit und solange die Unterlagen für eine begonnene Außenprüfung, für anhängige steuerstrafrechtliche oder Bußgeldverfahren, für ein schwebendes oder aufgrund einer Außenprüfung zu erwartendes Rechtsbehelfsverfahren oder zur Begründung von Anträgen des Steuerpflichtigen von Bedeutung sind (§ 147 Abs. 3 Satz 5 AO).

• Support-Korrespondenz: bis zur abschließenden Bearbeitung, danach im Rahmen der gesetzlichen Fristen.

• Protokolldaten: Die Protokolldateien werden nach Ablauf ihres jeweiligen Aufbewahrungszeitraums automatisch überschrieben — allgemeine Anwendungsprotokolle nach 14 Tagen, Statusprotokolle nach 30 Tagen, Sicherheits- und Abrechnungsprotokolle nach jeweils 90 Tagen (Vorgabewerte der internen Protokollkonfiguration).

• Rechnungsdokumente und Rechnungsdaten des Kunden: nach Maßgabe des Auftragsverarbeitungsvertrags und Ihrer Weisungen. Im laufenden Betrieb werden die hochgeladenen Rechnungsdateien und die daraus erzeugten Ergebnisdateien 30 Tage nach ihrer Anlage gelöscht (Vorgabewert der internen Konfiguration).

• Zwischenspeicher der Sprachmodell-Abfrage: Das Ergebnis einer Auslesung wird für 24 Stunden zwischengespeichert, damit ein wiederholter Abruf desselben Dokuments ohne erneute Modellabfrage beantwortet werden kann; danach wird der Eintrag verworfen (Vorgabewert der internen Konfiguration). Zur Entgeltpflicht eines solchen Abrufs siehe die Preisziffer der Allgemeinen Geschäftsbedingungen.

• Zähler fehlgeschlagener Registrierungsversuche: Fehlgeschlagene Registrierungsversuche werden je IP-Adresse gezählt, damit ab einer Schwelle ein Captcha verlangt werden kann; der Zähler wird 60 Minuten nach dem ersten Fehlversuch verworfen (Vorgabewert der internen Konfiguration).

8. Erforderlichkeit der Bereitstellung

Die Bereitstellung der Konto-, Stamm- und Abrechnungsdaten ist zum Abschluss und zur Durchführung des Vertrages erforderlich; teilweise besteht eine gesetzliche Pflicht zu ihrer Erhebung (steuer- und handelsrechtliche Pflichtangaben). Ohne diese Daten können ein Konto und eine Abrechnung nicht bereitgestellt werden. Eine darüber hinausgehende vertragliche oder gesetzliche Verpflichtung zur Bereitstellung besteht nicht.

9. Automatisierte Entscheidungsfindung und Profilbildung

Eine automatisierte Entscheidungsfindung einschließlich Profilbildung im Sinne des Art. 22 Abs. 1 und Abs. 4 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt.

Die automatisierte Auslesung der Rechnungsdaten durch Sprachmodelle ist eine rein technische Datenaufbereitung. Sie trifft keine Entscheidung über Personen; das Ergebnis wird Ihnen zur Prüfung und Korrektur angezeigt.

10. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO).

Zur Ausübung genügt eine formlose Mitteilung an die unter Ziffer 1 genannten Kontaktdaten.

11. Widerrufsrecht bei Einwilligungen

Soweit eine Verarbeitung ausnahmsweise auf Ihrer Einwilligung beruht (Art. 6 Abs. 1 lit. a DSGVO), können Sie diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Der Widerruf ist formlos an die unter Ziffer 1 genannten Kontaktdaten möglich.

12. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Zuständig ist insbesondere die Aufsichtsbehörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Für den Sitz des Verantwortlichen zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Stuttgart. Die jeweils aktuelle Anschrift und die Kontaktdaten dieser Aufsichtsbehörde ergeben sich aus deren amtlichen Veröffentlichungen.

13. Datensicherheit

Der Anbieter trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere die Übertragungsverschlüsselung, die Verschlüsselung gespeicherter Rechnungsdaten sowie die technische Trennung der Daten unterschiedlicher Mandanten.

14. Maßgebliche Sprachfassung

Diese Datenschutzerklärung wird in deutscher Sprache abgefasst. Allein die deutsche Fassung ist maßgeblich. Übersetzungen — insbesondere die englische Fassung — dienen ausschließlich der Verständlichkeit (Servicefassung). Bei Abweichungen geht die deutsche Fassung vor.

15. Änderungen dieser Erklärung

Der Anbieter passt diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils im Portal veröffentlichte Fassung. Eine Zustimmung ist nicht erforderlich; über wesentliche Änderungen wird informiert.