Datenschutzerklärung

1. Verantwortlicher

• Verantwortlicher im Sinne der DSGVO (Art. 4 Nr. 7): Adalbert Kun, Einzelunternehmen (nicht im Handelsregister eingetragen), Geschäftsbezeichnung „steuermanager24.de", Calwer Str. 58, 70173 Stuttgart, Deutschland. Gewerberegistrierung: Landeshauptstadt Stuttgart, Aktenzeichen 202600002472 (GewA 2 vom 29.06.2026). Inhaber und alleiniger gesetzlicher Vertreter: Adalbert Kun.
• Kontakt in Datenschutzfragen: info@steuermanager24.de · Telefon +49 1575 8514992.
• Ein Datenschutzbeauftragter ist derzeit gesetzlich nicht erforderlich (§ 38 Abs. 1 BDSG: unter 20 Personen, die ständig personenbezogene Daten automatisiert verarbeiten). Bei Überschreiten der Schwelle wird ein DSB benannt und hier veröffentlicht.

2. Zwecke der Verarbeitung

• Strukturierte Erfassung, Auswertung und Aufbewahrung steuerrelevanter Unterlagen.
• Erstellung, Prüfung und Übermittlung von Steuererklärungen sowie Bescheid-Auswertung.
• Bereitstellung optionaler Beratungs-Workflows mit von Ihnen freigegebenen Steuerberater.
• Zuordnung von Steuererstattungen zu Ihrem Konto (siehe Punkt 5).

3. Rechtsgrundlagen

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Pflichten, insb. §§ 80, 87a, 147 AO und § 257 HGB), Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen, z. B. IT-Sicherheit) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, etwa für die optionale Bank-Verbindung).

4. Speicherort & Auftragsverarbeitung

Daten werden in Rechenzentren innerhalb der Europäischen Union verarbeitet. Mit allen eingesetzten Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Eine Übertragung in Drittländer findet nur statt, soweit ein angemessenes Datenschutzniveau gemäß Art. 44 ff. DSGVO sichergestellt ist (z. B. EU-Standardvertragsklauseln).

5. IBAN & Zahlungsdaten

• Wir verarbeiten Ihre IBAN sowie ggf. BIC und kontoführendes Institut ausschließlich, um Steuererstattungen korrekt zuzuordnen, in Auswertungen darzustellen und gegenüber dem Finanzamt anzugeben (Art. 6 Abs. 1 lit. b und lit. c DSGVO i. V. m. § 80 AO).
• Wir lösen mit Ihrer IBAN keine Lastschriften aus und nutzen sie nicht für Marketing.
• Übertragung verschlüsselt (TLS); Speicherung verschlüsselt in EU-Rechenzentren. Zugriff nur durch Sie selbst und von Ihnen ausdrücklich freigegebene Steuerberater oder Kanzlei-Mitarbeitende.
• Sie können IBAN und BIC jederzeit selbst ändern oder löschen (Art. 16, 17 DSGVO).

6. Optionale Bank-Verbindung (PSD2)

• Wenn Sie Ihr Geschäftskonto über die regulierte PSD2-Schnittstelle anbinden, erhalten wir reinen Lesezugriff auf Umsätze und Kontostand (Account Information Service nach § 1 Abs. 34 ZAG). Eine Zahlungsauslösung findet nicht statt.
• Rechtsgrundlage ist Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 675f Abs. 3 BGB), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können (Art. 7 Abs. 3 DSGVO).
• Die Anbindung erfolgt über einen lizenzierten Kontoinformationsdienst (BaFin-zugelassen). Sobald ein konkreter Anbieter aktiv ist, wird er hier namentlich als Empfänger und Auftragsverarbeiter benannt — derzeit ist die Bank-Verbindung in Vorbereitung und wird nicht produktiv genutzt.

7. Empfänger und Kategorien von Empfängern

• Von Ihnen freigegebene Steuerberater und deren Kanzlei-Mitarbeitende: Zugriff nur im Rahmen der von Ihnen erteilten Freigabe; Berufsgeheimnis nach § 57 StBerG und § 203 StGB.
• Finanzbehörden und Sozialversicherungsträger, soweit Sie über die Anwendung Erklärungen einreichen.
• IT-Auftragsverarbeiter (Hosting, E-Mail-Versand, Fehler-Monitoring) innerhalb der EU/EWR auf Basis von Verträgen nach Art. 28 DSGVO.
• Eine Weitergabe Ihrer Daten zu Werbe- oder Bonitätszwecken findet nicht statt.

7a. Eingesetzte Auftragsverarbeiter (Subunternehmer)

• Lovable AB (Schweden) mit Cloudflare, Inc. als Unter-Auftragsverarbeiter — Hosting, CDN, DNS und E-Mail-Versand der Web-Anwendung. Verarbeitung primär in EU-Rechenzentren; Cloudflare Data Processing Addendum inkl. EU-Standard­vertragsklauseln.
• Supabase Inc. — Datenbank, Authentifizierung, Datei-Speicher (Region Frankfurt/EU, Data Processing Addendum nach Art. 28 DSGVO inkl. EU-Standard­vertragsklauseln für Drittland-Restrisiken).
• Lovable Emails (betrieben von Lovable AB über Cloudflare-Infrastruktur) — Versand transaktionaler E-Mails (Konto-Bestätigungen, Passwort-Zurücksetzung, Fristerinnerungen) über die Absender-Domain notify.steuermanager24.de.
• Stripe Payments Europe, Ltd. (Irland) — Zahlungsabwicklung für kostenpflichtige Funktionen; Verarbeitung nach EU-DSGVO als eigenverantwortlicher Zahlungsdienstleister sowie AV-Vertrag für Restleistungen.
• Firecrawl — automatisierte Recherche zu Förder- und Rechtsquellen (nur öffentlich zugängliche Webseiten, keine Nutzerdaten).
• Google Ireland Ltd. — optionale Anmeldung via Google-Konto (OAuth); Verarbeitung nur, wenn Sie diesen Login-Weg nutzen.
• Google Ireland Ltd. (Google Ads, Google Analytics, Google Tag Manager) — potenzielle Nutzung für Reichweiten­messung und Marketing-Kampagnen. Aktiv nur nach Ihrer ausdrücklichen Einwilligung über den Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Datenübermittlung in die USA auf Basis EU-Standard­vertrags­klauseln und des EU-US Data Privacy Framework.
• Meta Platforms Ireland Ltd. (Facebook-/Instagram-Pixel, Conversions API) — potenzielle Nutzung für Kampagnen­messung und Retargeting. Aktiv nur nach Ihrer ausdrücklichen Einwilligung über den Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Datenübermittlung in die USA auf Basis EU-Standard­vertrags­klauseln und des EU-US Data Privacy Framework.
• Deutsche Post AG (E-POSTBUSINESS API / Hybridbrief) — Druck, Kuvertierung und postalische Zustellung von Briefen (z. B. Einsprüche, Mahnungen, Ausgangspost der Kanzlei-Module), sobald Sie den postalischen Versand innerhalb der Plattform auslösen. Verarbeitung ausschließlich in Deutschland; AV-Vertrag nach Art. 28 DSGVO. Bis zur produktiven Freischaltung des DPAG-Zugangs wird die Funktion nicht genutzt.
• Mit allen genannten Anbietern bestehen Verträge zur Auftrags­verarbeitung nach Art. 28 DSGVO bzw. EU-Standardvertragsklauseln. Eine aktuelle Liste können Sie unter info@steuermanager24.de anfordern.

7b. Zahlungsabwicklung (PSD2-Kontoinformationen)

• Die geplante optionale Kontoanbindung erfolgt über einen BaFin- bzw. FCA-lizenzierten Kontoinformationsdienst. Sobald dieser produktiv eingebunden ist (GoCardless Bank Account Data bzw. gleichwertiger Anbieter), wird er hier namentlich als Empfänger und Auftrags­verarbeiter ergänzt.

7c. Postalischer Versand (Hybridbrief)

• Wenn Sie über die Plattform Briefe postalisch versenden (z. B. Einsprüche an das Finanzamt, Mahnungen, Ausgangspost der Kanzlei-Module), übermitteln wir die notwendigen Adress- und Inhaltsdaten an die Deutsche Post AG als Auftragsverarbeiter. Diese verarbeitet die Daten über die E-POSTBUSINESS-API (Hybridbrief-Verfahren): Druck, Kuvertierung und Zustellung erfolgen ausschließlich in Deutschland.
• Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — von Ihnen ausgelöster Versandauftrag) bzw. Art. 6 Abs. 1 lit. c DSGVO (Wahrung gesetzlicher Fristen, z. B. § 355 AO Einspruchsfrist). Nach Zustellung werden die Versanddaten bei der Deutschen Post gemäß deren Aufbewahrungsvorgaben gelöscht; bei uns bleibt eine Nachweis-Kopie im Rahmen der Aufbewahrungsfristen (Punkt 8) erhalten.
• Bis der DPAG-Vertrag und die API-Zugänge produktiv sind, ist der postalische Versand deaktiviert; alternativ können Sie Briefe als PDF herunterladen und selbst frankieren.

8. Speicherdauer

• Steuerrelevante Unterlagen (Buchungsbelege, Rechnungen, Steuererklärungen, Bescheide, Stammdaten mit steuerlichem Bezug einschließlich IBAN): bis zu 10 Jahre gemäß § 147 Abs. 3 AO und § 257 Abs. 4 HGB ab Ende des Kalenderjahrs der letzten Eintragung.
• Handelsbriefe und Geschäftskorrespondenz: 6 Jahre gemäß § 147 Abs. 3 AO und § 257 Abs. 4 HGB.
• Konto-Stammdaten ohne steuerlichen Bezug: bis zur Beendigung des Vertragsverhältnisses zzgl. Verjährungsfristen (regelmäßig 3 Jahre, § 195 BGB).
• Nach Ablauf der jeweiligen Frist werden die Daten gelöscht oder anonymisiert.

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

10. Sicherheit der Verarbeitung

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Transport- und Speicherverschlüsselung, Zugriff per starker Authentifizierung, rollenbasierte Berechtigungen, Protokollierung sicherheitsrelevanter Ereignisse sowie regelmäßige Überprüfung der Wirksamkeit.

11. Server-Logfiles

• Beim Aufruf der Plattform verarbeitet unser Hosting-Dienstleister (Cloudflare, EU-Rechenzentren) automatisch technische Zugriffsdaten: gekürzte IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer, User-Agent, HTTP-Statuscode und übertragene Datenmenge.
• Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit, Missbrauchs­abwehr und Betriebs­fähigkeit). Speicherdauer maximal 30 Tage; danach werden die Logs automatisiert gelöscht oder anonymisiert.

12. Konto & Registrierung

• Zur Nutzung der Plattform ist ein persönliches Konto erforderlich. Wir verarbeiten die von Ihnen bei Registrierung angegebenen Daten (Name, E-Mail, verschlüsseltes Passwort bzw. OAuth-Token) sowie protokollierte Anmeldezeitpunkte.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/-erfüllung). Zusätzlich Art. 6 Abs. 1 lit. f DSGVO für die Anmelde­protokollierung (Missbrauchs­abwehr).
• Nach Kontolöschung werden die Zugangsdaten unverzüglich gelöscht; Inhalte mit steuerlichem Bezug unterliegen den Aufbewahrungsfristen aus Punkt 8.

13. Cookies & lokale Speicherung

• Technisch notwendige Cookies bzw. Local-Storage-Einträge (Login, Session-Verwaltung, Sicherheits­funktionen wie CSRF-Schutz, Speicherung Ihrer Anzeige­einstellungen wie Anfänger-/Experten-Modus) setzen wir immer ein. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. b DSGVO — hierfür ist keine Einwilligung erforderlich.
• Statistik-Cookies (z. B. Google Analytics 4 mit IP-Anonymisierung) und Marketing-Cookies bzw. -Pixel (Meta Facebook/Instagram Pixel und Conversions API, Google Ads) setzen wir nur mit Ihrer ausdrücklichen Einwilligung ein (§ 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Diese Einwilligung erteilen Sie über den Cookie-Consent-Banner beim ersten Besuch; ohne Einwilligung werden keine entsprechenden Skripte geladen und keine Tracking-Cookies gesetzt.
• Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Link „Cookie-Einstellungen“ im Footer jeder Seite. Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht (Art. 7 Abs. 3 DSGVO).
• Wir setzen Google Consent Mode v2 ein, damit Google-Dienste bei fehlender Einwilligung modellierte, nicht personen­beziehbare Signale erhalten. Meta wird bei fehlender oder widerrufener Einwilligung nicht geladen bzw. per fbq('consent','revoke') deaktiviert.

14. Kontaktaufnahme

Wenn Sie uns per E-Mail, Kontaktformular oder Telefon kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage und für den Fall von Anschlussfragen (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Diese Daten werden gelöscht, sobald der Sachverhalt geklärt ist und keine gesetzlichen Aufbewahrungspflichten mehr bestehen.

14a. Bereitstellungspflicht (Art. 13 Abs. 2 lit. e DSGVO)

• Die Angabe von Name, E-Mail-Adresse und Passwort ist zur Kontoeröffnung und Vertragserfüllung erforderlich. Ohne diese Daten können wir kein Konto anlegen und die Plattform nicht bereitstellen.
• Steuernummer, Identifikationsnummer, IBAN und weitere steuerrelevante Angaben sind gesetzlich erforderlich, sobald Sie über die Plattform Steuererklärungen erstellen oder einreichen (§§ 80, 87a AO). Ohne diese Angaben ist keine formell wirksame Erklärung möglich.
• Alle darüber hinausgehenden Angaben (z. B. Bank-Verbindung nach PSD2, freiwillige Kategorisierungen, Nutzung des KI-Assistenten) sind freiwillig; ihre Nichtbereitstellung schränkt lediglich den Funktionsumfang ein und hat keine Nachteile für den Kern-Vertrag.

14b. Automatisierte Entscheidungen und KI-Auswertung (Art. 13 Abs. 2 lit. f, Art. 22 DSGVO)

• Die Plattform nutzt KI-gestützte Verfahren zur Beleg-Erkennung (OCR), Kategorisierung, Plausibilitätsprüfung und für den KI-Coach. Diese Verarbeitungen sind Vorschläge und Vorbereitungshandlungen — sie erzeugen keine rechtlichen Wirkungen oder erheblichen Beeinträchtigungen im Sinne des Art. 22 Abs. 1 DSGVO.
• Jede Steuererklärung, jeder Einspruch und jede ELSTER-Übermittlung erfordert zwingend Ihre ausdrückliche Freigabe (oder die Ihres freigegebenen Steuerberaters). Es findet keine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt.
• Die eingesetzten Sprachmodelle werden über das Lovable AI Gateway und ggf. weitere KI-Anbieter (jeweils AV-vertraglich gebunden) betrieben. Eingaben werden nicht zum Training der Modelle verwendet.

15. Zuständige Aufsichtsbehörde

• Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW)
• Königstraße 10a, 70173 Stuttgart · Telefon +49 711 615541-0 · E-Mail poststelle@lfdi.bwl.de · https://www.baden-wuerttemberg.datenschutz.de
• Unbeschadet dessen können Sie sich an jede andere Datenschutz-Aufsichtsbehörde in der EU wenden (Art. 77 DSGVO).

16. Stand und Änderungen

Stand dieser Erklärung: Juli 2026. Wir passen die Datenschutzerklärung an, sobald sich unsere Verarbeitungen oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist unter /rechtliches/datenschutz abrufbar.