# Datenschutzerklärung

Stand: 26. August 2026 · Fassung 1.0

Diese Datenschutzerklärung ist eine **Information nach Art. 13 DSGVO** und keine
Einwilligungserklärung. Eine Zustimmung zu diesem Text ist weder erforderlich noch
Voraussetzung für die Nutzung des Portals.

## 1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

- W+L Consulting GbR
- Markelsheimer Str. 69
- 70435 Stuttgart
- Deutschland
- Vertretungsberechtigte Gesellschafter: Dr. Holger Wildemann, Dipl.-Ing. (FH) Rene Lauenroth
- Umsatzsteuer-Identifikationsnummer: DE456878090
- Telefon: 0711-28479230
- E-Mail für Datenschutzanfragen: info@pdf-in-zugferd.de

## 2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht bestellt. Nach derzeitiger Einschätzung liegen die
Voraussetzungen einer Benennungspflicht nach Art. 37 DSGVO in Verbindung mit § 38 BDSG nicht vor.
Anfragen in Datenschutzangelegenheiten richten Sie bitte an die unter Ziffer 1 genannte Adresse.

Anlaufstelle für alle Datenschutzangelegenheiten ist damit unmittelbar der Verantwortliche:
W+L Consulting GbR, Markelsheimer Str. 69, 70435 Stuttgart, info@pdf-in-zugferd.de.

## 3. Reichweite dieser Erklärung — Abgrenzung zur Auftragsverarbeitung

**3.1** Diese Erklärung beschreibt ausschließlich Verarbeitungen, für die der Anbieter **selbst
Verantwortlicher** ist. Das sind:

- Ihr Benutzerkonto und die Mandantenverwaltung,
- Abrechnung, Guthabenkäufe und Zahlungsabwicklung,
- Support- und Kontaktanfragen,
- Betriebs-, Sicherheits- und Fehlerprotokolle,
- der Aufruf der Website und des Portals.

**3.2** Für die **Inhalte der von Ihnen hochgeladenen Rechnungsdokumente** und die daraus
gewonnenen Rechnungsdaten ist der Anbieter **nicht Verantwortlicher, sondern
Auftragsverarbeiter** nach Art. 28 DSGVO. Verantwortlicher für diese Daten sind **Sie** als
Kunde. Sie entscheiden über Zwecke und Mittel dieser Verarbeitung; Sie schulden gegenüber den
betroffenen Personen — etwa Ihren Kunden, Lieferanten oder deren Ansprechpartnern — die
Information nach Art. 13 und Art. 14 DSGVO.

**3.3** Die Regelungen zur Auftragsverarbeitung — insbesondere Weisungsbindung, Einsatz von
Unterauftragnehmern, die Liste der Unterauftragnehmer, technische und organisatorische Maßnahmen
sowie Löschung und Rückgabe — werden in einem **gesonderten Auftragsverarbeitungsvertrag**
geregelt. Dieser ist nicht Bestandteil dieser Datenschutzerklärung.

## 4. Verarbeitungen im Einzelnen

### 4.1 Registrierung und Benutzerkonto

- **Daten:** Name, geschäftliche E-Mail-Adresse, Passwort (nur als Hash gespeichert),
  Unternehmensdaten, Mandantenzuordnung, Rollen und Berechtigungen, gegebenenfalls Daten der
  Zwei-Faktor-Authentifizierung.
- **Zweck:** Bereitstellung des Kontos, Authentifizierung, Zugriffssteuerung, Mandantentrennung.
- **Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung beziehungsweise
  vorvertragliche Maßnahmen).

### 4.2 Abrechnung, Guthaben und Zahlung

- **Daten:** Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer, Guthabenkäufe,
  Verbrauchsbuchungen, Rechnungen, Zahlungsstatus, Zahlungsreferenzen.
- **Zweck:** Abwicklung von Guthabenkäufen, Rechnungsstellung, Buchführung.
- **Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c
  DSGVO (handels- und steuerrechtliche Aufbewahrungs- und Aufzeichnungspflichten,
  insbesondere § 147 AO, § 257 HGB).
- **Hinweis:** Vollständige Kreditkarten- oder Kontodaten werden vom Anbieter nicht gespeichert;
  die Zahlungsdaten werden unmittelbar beim Zahlungsdienstleister erhoben (Ziffer 5).

### 4.3 Support und Kontakt

- **Daten:** Ihre Nachricht, Kontaktdaten, Vorgangsbezug.
- **Zweck:** Bearbeitung Ihrer Anfrage, Nachweis des Bearbeitungsverlaufs.
- **Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage das Vertragsverhältnis
  betrifft; im Übrigen Art. 6 Abs. 1 lit. f DSGVO.
- **Berechtigtes Interesse (bei Art. 6 Abs. 1 lit. f):** effiziente Bearbeitung und
  Nachvollziehbarkeit von Anfragen.

### 4.4 Betriebs-, Sicherheits- und Fehlerprotokolle

- **Daten:** IP-Adresse, Zeitpunkt, aufgerufene Ressource, Statuscode, Browser- und
  Geräteangaben, Benutzer- und Mandantenkennung, technische Fehlermeldungen.
- **Zweck:** Betrieb und Stabilität, Fehlerdiagnose, Missbrauchs- und Angriffserkennung,
  Nachvollziehbarkeit sicherheitsrelevanter Vorgänge.
- **Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO.
- **Berechtigtes Interesse:** sicherer, störungsfreier und nachvollziehbarer Betrieb des Dienstes.

### 4.5 Aufruf der Website und des Portals

- **Daten:** die in Ziffer 4.4 genannten Server-Protokolldaten sowie technisch notwendige
  Sitzungs-Cookies (Sitzungskennung, Schutz vor websiteübergreifender Anfragenfälschung).
- **Zweck:** Auslieferung der Seiten, Sitzungsverwaltung, Sicherheit.
- **Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO; für die Speicherung technisch notwendiger
  Cookies auf Ihrem Endgerät § 25 Abs. 2 Nr. 2 TDDDG (keine Einwilligung erforderlich).
- Ein Einsatz von Analyse-, Tracking- oder Werbe-Cookies findet nicht statt.

### 4.6 Schutz vor automatisierten Zugriffen

Zum Schutz von Formularen setzt das Portal ein Verfahren zur Unterscheidung menschlicher und
automatisierter Zugriffe ein (hCaptcha). Dabei werden IP-Adresse und technische Angaben zu Ihrem
Endgerät an den Anbieter dieses Dienstes übermittelt.

- **Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO.
- **Berechtigtes Interesse:** Abwehr von automatisiertem Missbrauch und Angriffen.

### 4.7 Einbindung externer Auslieferungsdienste

Auf einzelnen Seiten des Portals (Anmeldung, Zwei-Faktor-Abfrage) wird eine JavaScript-Bibliothek
von einem externen Auslieferungsnetz (jsDelivr) geladen. Dabei wird Ihre IP-Adresse an dessen
Betreiber übermittelt.

- **Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO.
- **Berechtigtes Interesse:** zuverlässige und schnelle Auslieferung der Anwendung.

## 5. Empfänger und Kategorien von Empfängern

Personenbezogene Daten werden nur weitergegeben, soweit dies zur Vertragserfüllung erforderlich
ist, eine Rechtspflicht besteht oder ein überwiegendes berechtigtes Interesse vorliegt.
Dienstleister werden, soweit sie weisungsgebunden für uns tätig werden, auf Grundlage eines
Auftragsverarbeitungsvertrags nach Art. 28 DSGVO eingebunden.

Eingesetzte Kategorien von Empfängern:

| Empfänger / Kategorie | Zweck | Belegt durch |
|---|---|---|
| **IONOS** (Hosting, virtueller Server) | Betrieb der Anwendung, Speicherung, Protokolle | Deployment-Dokumentation des Portals |
| **IONOS SE** (AI Model Hub, Region `de-txl`) — Ausführung der Sprachmodell-Abfrage | automatisierte Auslesung der Rechnungsdaten | interne Konfiguration der Sprachmodell-Anbindung (`provider_diversity`) |
| **Stripe** (Zahlungsdienstleister) | Zahlungsabwicklung für Guthabenkäufe | interne Zahlungsintegration (Cashier) |
| Fehlerüberwachung — **kein Dritter beteiligt**: eine etwaige technische Fehlererfassung wird, soweit eingesetzt, ausschließlich durch eine vom Anbieter selbst betriebene Instanz auf eigener Infrastruktur durchgeführt | Erfassung technischer Fehlermeldungen | interne Konfigurationsprüfung |
| **hCaptcha** (Missbrauchsschutz) | Unterscheidung Mensch/Automat | interne Konfigurationsprüfung, ADR-031 |
| **jsDelivr** (Auslieferungsnetz) | Auslieferung einer JavaScript-Bibliothek | Anmelde-/2FA-Seiten des Portals |
| **IONOS SE** (E-Mail-Versand) | Versand von System- und Benachrichtigungs-E-Mails | interne SMTP-Konfiguration; der Versand-Host ist in der Umgebungskonfiguration der Server gesetzt |
| Steuerberatung, Wirtschaftsprüfung, Rechtsberatung | gesetzliche Pflichten, Rechtsverfolgung | — |
| Behörden und Gerichte | bei gesetzlicher Verpflichtung | — |

Die vorstehende Aufstellung benennt die Empfänger und Empfängerkategorien im Sinne des
Art. 13 Abs. 1 lit. e DSGVO; sie ist aus der technischen Konfiguration des Portals abgeleitet. Die
vollständigen Firmierungen und Anschriften der einzelnen Empfänger teilt der Anbieter auf Anfrage
unter der in Ziffer 1 genannten Adresse mit.

Hinweis zur Sprachmodell-Abfrage: Die Abfrage wird über einen in Deutschland betriebenen
Endpunkt der IONOS SE ausgeführt. Eine Vermittlung über einen Anbieter außerhalb der
Europäischen Union findet für diese Verarbeitung nicht mehr statt.

## 6. Übermittlung in Drittländer

Ein Teil der unter Ziffer 5 genannten Empfänger hat seinen Sitz außerhalb der Europäischen Union
beziehungsweise verarbeitet Daten außerhalb des Europäischen Wirtschaftsraums. Das betrifft
insbesondere den Zahlungsdienstleister, den Missbrauchsschutz und das Auslieferungsnetz. Die
Sprachmodell-Abfrage und die Fehlerüberwachung gehören **nicht** dazu (siehe Ziffer 5).

Als Grundlage einer solchen Übermittlung kommen ein Angemessenheitsbeschluss der Europäischen
Kommission (Art. 45 DSGVO), geeignete Garantien wie Standardvertragsklauseln (Art. 46 Abs. 2
lit. c DSGVO) oder ein Ausnahmetatbestand (Art. 49 DSGVO) in Betracht. Welche Grundlage für den
einzelnen Empfänger einschlägig ist, welcher Verarbeitungsort gilt und wie eine Kopie etwaiger
Garantien erlangt werden kann, teilt der Anbieter auf Anfrage unter der in Ziffer 1 genannten
Adresse mit.

Für das Hosting wird ein virtueller Server der IONOS SE eingesetzt. Der Verarbeitungsort liegt in
Deutschland und damit innerhalb der Europäischen Union; eine Übermittlung in ein Drittland findet
für das Hosting nicht statt. Die physische Anschrift des Rechenzentrums wird hier nicht behauptet.

## 7. Speicherdauer

- **Konto- und Stammdaten:** für die Dauer des Nutzungsverhältnisses; anschließend Löschung,
  soweit keine Aufbewahrungspflicht entgegensteht.
- **Abrechnungs- und Rechnungsdaten:** entsprechend den handels- und steuerrechtlichen
  Aufbewahrungsfristen (§ 147 AO, § 257 HGB). Die gesetzliche Aufbewahrungspflicht ist
  **dreistufig** (§ 147 Abs. 3 AO):
  - **zehn Jahre** für Bücher, Aufzeichnungen, Inventare und Jahresabschlüsse,
  - **acht Jahre** für Buchungsbelege,
  - **sechs Jahre** für Handels- und Geschäftsbriefe sowie sonstige Unterlagen.

  Die Fristen verlängern sich, soweit und solange die Unterlagen für eine begonnene Außenprüfung,
  für anhängige steuerstrafrechtliche oder Bußgeldverfahren, für ein schwebendes oder aufgrund
  einer Außenprüfung zu erwartendes Rechtsbehelfsverfahren oder zur Begründung von Anträgen des
  Steuerpflichtigen von Bedeutung sind (§ 147 Abs. 3 Satz 5 AO).
- **Support-Korrespondenz:** bis zur abschließenden Bearbeitung, danach im Rahmen der
  gesetzlichen Fristen.
- **Protokolldaten:** Die Protokolldateien werden nach Ablauf ihres jeweiligen
  Aufbewahrungszeitraums automatisch überschrieben — allgemeine Anwendungsprotokolle nach
  **14 Tagen**, Statusprotokolle nach **30 Tagen**, Sicherheits- und Abrechnungsprotokolle nach
  jeweils **90 Tagen** (Vorgabewerte der internen Protokollkonfiguration).
- **Rechnungsdokumente und Rechnungsdaten des Kunden:** nach Maßgabe des
  Auftragsverarbeitungsvertrags und Ihrer Weisungen. Im laufenden Betrieb werden die hochgeladenen
  Rechnungsdateien und die daraus erzeugten Ergebnisdateien **30 Tage** nach ihrer Anlage
  gelöscht (Vorgabewert der internen Konfiguration).
- **Zwischenspeicher der Sprachmodell-Abfrage:** Das Ergebnis einer Auslesung wird für
  **24 Stunden** zwischengespeichert, damit ein wiederholter Abruf desselben Dokuments ohne
  erneute Modellabfrage beantwortet werden kann; danach wird der Eintrag verworfen
  (Vorgabewert der internen Konfiguration). Zur Entgeltpflicht eines solchen Abrufs siehe die
  Preisziffer der Allgemeinen Geschäftsbedingungen.
- **Zähler fehlgeschlagener Registrierungsversuche:** Fehlgeschlagene Registrierungsversuche werden
  je IP-Adresse gezählt, damit ab einer Schwelle ein Captcha verlangt werden kann; der Zähler wird
  **60 Minuten** nach dem ersten Fehlversuch verworfen (Vorgabewert der internen Konfiguration).

## 8. Erforderlichkeit der Bereitstellung

Die Bereitstellung der Konto-, Stamm- und Abrechnungsdaten ist zum Abschluss und zur Durchführung
des Vertrages erforderlich; teilweise besteht eine gesetzliche Pflicht zu ihrer Erhebung
(steuer- und handelsrechtliche Pflichtangaben). Ohne diese Daten können ein Konto und eine
Abrechnung nicht bereitgestellt werden. Eine darüber hinausgehende vertragliche oder gesetzliche
Verpflichtung zur Bereitstellung besteht nicht.

## 9. Automatisierte Entscheidungsfindung und Profilbildung

Eine automatisierte Entscheidungsfindung einschließlich Profilbildung im Sinne des Art. 22 Abs. 1
und Abs. 4 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise
erheblich beeinträchtigt, findet nicht statt.

Die automatisierte Auslesung der Rechnungsdaten durch Sprachmodelle ist eine rein technische
Datenaufbereitung. Sie trifft keine Entscheidung über Personen; das Ergebnis wird Ihnen zur
Prüfung und Korrektur angezeigt.

## 10. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte:

- **Auskunft** über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO),
- **Berichtigung** unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO),
- **Löschung** (Art. 17 DSGVO),
- **Einschränkung der Verarbeitung** (Art. 18 DSGVO),
- **Datenübertragbarkeit** (Art. 20 DSGVO),
- **Widerspruch** gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind, aus
  Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO).

Zur Ausübung genügt eine formlose Mitteilung an die unter Ziffer 1 genannten Kontaktdaten.

## 11. Widerrufsrecht bei Einwilligungen

Soweit eine Verarbeitung ausnahmsweise auf Ihrer Einwilligung beruht (Art. 6 Abs. 1 lit. a DSGVO),
können Sie diese Einwilligung **jederzeit mit Wirkung für die Zukunft widerrufen**. Die
Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Der Widerruf ist
formlos an die unter Ziffer 1 genannten Kontaktdaten möglich.

## 12. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer
personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Zuständig ist insbesondere die
Aufsichtsbehörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen
Verstoßes.

Für den Sitz des Verantwortlichen zuständig ist:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg,
Stuttgart. Die jeweils aktuelle Anschrift und die Kontaktdaten dieser Aufsichtsbehörde ergeben
sich aus deren amtlichen Veröffentlichungen.

## 13. Datensicherheit

Der Anbieter trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören
insbesondere die Übertragungsverschlüsselung, die Verschlüsselung gespeicherter Rechnungsdaten
sowie die technische Trennung der Daten unterschiedlicher Mandanten.

## 14. Maßgebliche Sprachfassung

Diese Datenschutzerklärung wird in deutscher Sprache abgefasst. Allein die **deutsche Fassung ist
maßgeblich**. Übersetzungen — insbesondere die englische Fassung — dienen ausschließlich der
Verständlichkeit (Servicefassung). Bei Abweichungen geht die deutsche Fassung vor.

## 15. Änderungen dieser Erklärung

Der Anbieter passt diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es
gilt die jeweils im Portal veröffentlichte Fassung. Eine Zustimmung ist nicht erforderlich; über
wesentliche Änderungen wird informiert.