Datenschutz

Verantwortlicher und Kontakt

Zettelwirtschaft GbR
Linsenhofenstr. 22
72810 Gomaringen
Deutschland

Vertreten durch Johannes Bruckner und Justus Hueck.

Für Fragen zur Verarbeitung Ihrer Daten erreichen Sie uns unter info@zettelwirtschaft.digital.

Websiteaufruf und technischer Betrieb

Beim Aufruf der Website werden technisch notwendige Verbindungsdaten verarbeitet. Dazu gehören Ihre IP-Adresse, Zeitpunkt und Ziel der Anfrage, Browserinformationen, gegebenenfalls die zuvor besuchte Seite und der Antwortstatus. Vercel stellt die Website bereit und verarbeitet diese Daten für die Auslieferung, Fehlerdiagnose und Sicherheit des Dienstes.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, die angeforderten Seiten zuverlässig auszuliefern, technische Fehler zu erkennen und Angriffe abzuwehren. Ohne die für die Übertragung notwendigen Verbindungsdaten kann die Website nicht bereitgestellt werden.

Wir setzen in dieser WebApp keine Werbetracker und keine Analysewerkzeuge zur Erstellung von Besucherprofilen ein. Schriftarten und der fiktive Beispielbeleg werden mit der Website ausgeliefert. Die Demo zeigt ein vorbereitetes Ergebnis; beim Betrachten wird kein eigener Beleg an Google gesendet.

Belegtest und Google Gemini

Verwenden Sie ausschließlich Musterbelege ohne echte personenbezogene Daten oder dauerhaft geschwärzte Belege, aus denen keine Personen erkennbar sind. Entfernen Sie insbesondere Namen, Anschriften, Unterschriften, Kontaktdaten und zuordenbare Auftrags- oder Personalnummern. Die Schwärzungen müssen im hochgeladenen Bild selbst enthalten sein. Eine bloße Änderung des Dateinamens reicht nicht aus.

Die Dateiauswahl und die Vorbereitung der Vorschau erfolgen auf Ihrem Gerät. Erst wenn Sie die Vorschau bestätigen und „Jetzt auslesen“ wählen, wird das vorbereitete Bild an unseren Server übermittelt. Bei einer PDF-Datei betrifft das nur die erste Seite. Der Server verarbeitet das Bild im Arbeitsspeicher und sendet es zusammen mit einer Ausleseanweisung an die Google Gemini Developer API. Eingesetzt wird Gemini 3.1 Pro. Die Antwort enthält bis zu zwölf Werte mit Fundstellen zur Prüfung im Browser.

Die WebApp legt weder die Testdatei noch das OCR-Ergebnis dauerhaft in einer Datenbank oder einem Dateispeicher ab. Ihre Testsitzungskennung und die freiwillige E-Mail-Adresse werden nicht als Teil der Analyse an Gemini gesendet. Die Verarbeitung des Beleginhalts ist auf Muster- und anonymisierte Angaben beschränkt. Die Bestätigung vor dem Versand ist keine Erlaubnis, personenbezogene Daten anderer Personen hochzuladen.

Die Verarbeitung bei Google ist von der Speicherung in unserer WebApp getrennt. Google beschreibt für die Missbrauchserkennung eine Aufbewahrung von Eingaben, Kontext und Ausgaben für 55 Tage sowie eine mögliche Prüfung auffälliger Inhalte durch befugte Mitarbeitende. Maßgeblich sind die Informationen zur Missbrauchserkennung und die Bedingungen der Gemini API. Wir geben keine pauschale Zusage, dass sämtliche Daten bei Google nur in der EU verarbeitet oder für keinerlei Training verwendet werden.

Testsitzung und freiwillige E-Mail

Beim Öffnen des Belegtests wird eine Testsitzung eingerichtet. Wir speichern eine abgeleitete Sitzungskennung, das Kontingent, verbrauchte beziehungsweise reservierte Tests und Ablaufzeitpunkte in der Website-Datenbank bei Supabase. Eine freiwillig für zusätzliche Tests angegebene E-Mail-Adresse wird diesem Kontingent zugeordnet. Sie dient außerdem dazu, mehrfache Freischaltungen derselben Adresse zu verhindern. Sie wird dadurch nicht für Newsletter oder allgemeine Werbung angemeldet.

Rechtsgrundlage für Sitzungs-, Kontingent- und Freischaltdaten ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die von Ihnen angeforderte kostenlose Erprobung bereitzustellen, verfügbare Tests korrekt zuzuordnen und die Umgehung des begrenzten Kontingents zu verhindern. Die E-Mail-Angabe ist freiwillig; ohne sie bleibt es beim ersten Test ohne Anmeldung. Sie können dieser Verarbeitung nach Maßgabe des unten beschriebenen Widerspruchsrechts widersprechen.

Wenn Sie Ihre E-Mail-Adresse für zusätzliche Tests angeben, wird sie dieser Sitzung zugeordnet. Die Sitzung läuft 29 Tage nach ihrer Erstellung ab; das Cookie hat denselben Ablaufzeitpunkt. Weitere Nutzung verlängert diese Frist nicht. Die anschließende Löschung der Sitzungsdaten und der zugehörigen E-Mail erfolgt durch einen täglichen Löschlauf. Bei planmäßig erfolgreicher Ausführung werden sie innerhalb von 30 Tagen ab Erstellung der Sitzung entfernt.

Cookie und Missbrauchsschutz

Das Cookie zw_test_session enthält eine zufällige Kennung und ordnet Ihren Browser der Testsitzung zu. Es ist gegen das Auslesen durch Seitenskripte geschützt und wird im öffentlichen Betrieb nur über HTTPS übertragen. Es läuft nach 29 Tagen ab. Wir verwenden es für den ausdrücklich aufgerufenen Belegtest einschließlich der Wiederaufnahme des verbleibenden Kontingents. Das Speichern und Auslesen stützen wir auf § 25 Abs. 2 Nr. 2 TDDDG. Die Verarbeitung der zugeordneten Daten erfolgt auf der oben genannten Grundlage nach der DSGVO. Wenn Sie das Cookie blockieren oder löschen, kann Ihr Browser der bisherigen Testsitzung nicht mehr zugeordnet werden; die allgemeinen Seiten und die Beispieldemo bleiben nutzbar.

Zum Schutz vor übermäßigen Anfragen verwendet die WebApp zusätzlich eine mit einem geheimen Schlüssel aus der IP-Adresse abgeleitete Kennung und zeitlich begrenzte Zähler. In diesen Datenbankeinträgen steht nicht die ursprüngliche IP-Adresse. Die Kennung bleibt dennoch ein pseudonymes Datum. Die Schutz- und Verbrauchsfenster reichen je nach Zähler von einer Minute bis zu 24 Stunden; abgelaufene Einträge werden durch die Bereinigung entfernt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO mit dem Interesse, Überlastung und Kontingentmissbrauch zu verhindern.

Pilotanfragen

Bei einer Pilotanfrage speichert die WebApp die Angaben aus dem Formular: Name, Betrieb, E-Mail und gegebenenfalls Telefon, Gewerk und Nachricht. Sie dienen der Bearbeitung Ihrer Anfrage und der von Ihnen gewünschten Kontaktaufnahme. Die WebApp speichert außerdem Zeitpunkt und Version der Zustimmung sowie den Benachrichtigungsstatus in Supabase. Die Anfrage läuft 29 Tage nach ihrem Eingang ab. Bei planmäßig erfolgreichem täglichem Löschlauf wird sie innerhalb von 30 Tagen ab Eingang entfernt.

Grundlage für die im Formular ausdrücklich bestätigte Verarbeitung zur Pilotkontaktaufnahme ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit für die Zukunft durch eine Nachricht an info@zettelwirtschaft.digital widerrufen. Das Formular ist freiwillig. Ohne die erforderlichen Kontaktangaben und Ihre Bestätigung können Sie darüber keine Anfrage absenden; die übrige Website bleibt nutzbar.

Aus dem Formular erfolgt derzeit kein automatischer E-Mail-Versand. Das Team bearbeitet die gespeicherte Anfrage und kann Sie über das IONOS-Postfach oder die von Ihnen angegebene Telefonnummer kontaktieren. Eine gespeicherte Anfrage ist noch keine Terminbuchung. Bitte tragen Sie in das Freitextfeld keine Daten Ihrer Kunden oder Mitarbeitenden ein.

Kontakt per E-Mail

Unser Postfach info@zettelwirtschaft.digital wird bei IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, betrieben. Wenn Sie uns schreiben, verarbeiten wir Ihre Absender- und Kontaktdaten, Inhalt und Anhänge sowie die technischen Angaben zur Zustellung, um Ihr Anliegen zu beantworten. Bitte schicken Sie uns auch per E-Mail keine ungeschwärzten Belege für den Testbetrieb. Weitere Informationen enthält die Datenschutzerklärung von IONOS.

Bei Anfragen zu einem Vertrag mit Ihnen ist Art. 6 Abs. 1 lit. b DSGVO die Grundlage. Für allgemeine Anfragen und die Kommunikation mit Ansprechpersonen eines Betriebs gilt Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die sachgerechte Bearbeitung und Beantwortung des Anliegens. Anfragen zur Ausübung Ihrer Datenschutzrechte bearbeiten wir zur Erfüllung unserer gesetzlichen Pflichten nach Art. 6 Abs. 1 lit. c in Verbindung mit Art. 12 bis 22 DSGVO.

Die Dauer der Speicherung richtet sich nach dem Abschluss des Anliegens und einem noch erforderlichen Nachweis der Korrespondenz. Soweit Nachrichten gesetzlich aufzubewahrende Geschäfts- oder Steuerunterlagen sind, gelten die jeweiligen Aufbewahrungspflichten, insbesondere § 147 AO, auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Die automatische Bereinigung der Website-Datenbank löscht keine E-Mails aus dem Postfach.

Empfänger und Verarbeitungsorte

Innerhalb der Zettelwirtschaft GbR erhalten die mit Betrieb und Anfragebearbeitung befassten Personen die dafür benötigten Daten. Für die technische Verarbeitung setzen wir folgende Anbieter ein:

• Vercel Inc., USA: Auslieferung der Website und Verarbeitung der Serveranfragen. Die Functions sind für Frankfurt am Main (fra1) konfiguriert. Diese Einstellung umfasst nicht automatisch das weltweite Auslieferungsnetz, sämtliche Betriebsdaten oder Supportzugriffe. Vercel-Datenschutzbedingungen.
• Supabase: PostgreSQL-Datenbank für die getrennten Website-Tabellen mit Sitzungs-, Kontingent- und Pilotdaten. Die Projektregion ist Frankfurt am Main (eu-central-1). Die veröffentlichten Datenschutzbedingungen nennen Supabase Pte. Ltd., Singapur. Supabase-Datenschutzbedingungen.
• Google: Analyse des vorbereiteten Muster- oder anonymisierten Belegbilds über die Gemini Developer API. Eine feste EU-Region für diese Analyse wird nicht zugesagt. Gemini-API-Bedingungen.
• IONOS SE, Deutschland: Empfang, Speicherung und Versand der E-Mail-Korrespondenz. Das Postfach ist von der Website-Datenbank getrennt.

Die Standorte in Frankfurt bedeuten keine ausschließliche Verarbeitung in der EU. Insbesondere Betriebs-, Support- und Sicherheitsverarbeitung sowie die Verarbeitung bei Google können auch außerhalb des Europäischen Wirtschaftsraums stattfinden, unter anderem in den USA. Die veröffentlichten Datenschutzvereinbarungen von Vercel und Supabase sowie die von Google einbezogenen Datenverarbeitungsbedingungen sehen für die jeweils erfassten Übermittlungen unter anderem EU-Standardvertragsklauseln vor. Diese sind ein vertraglicher Schutzmechanismus nach Art. 46 DSGVO und keine Garantie gegen sämtliche Zugriffsrisiken. Informationen zu den Übermittlungen und Kopien der dafür maßgeblichen Garantien können Sie über unseren Datenschutzkontakt anfordern.

Aufbewahrung und Löschung

Die genannten 29 beziehungsweise 30 Tage beziehen sich auf die aktive Website-Datenbank und ihren täglichen Löschlauf. Ein Ausfall dieses Laufs kann die tatsächliche Bereinigung verzögern. Eine vorzeitige Löschung können Sie über unseren Kontakt anfragen. Gesetzliche Aufbewahrungspflichten und der Schutz konkret bestehender Rechtsansprüche können einer sofortigen vollständigen Löschung entgegenstehen.

Technische Anbieterprotokolle dienen der Fehlerdiagnose, dem Sicherheitsbetrieb und erforderlichen Nachweisen. Ihre Aufbewahrung richtet sich nach der Protokollart und dem gebuchten Dienst. Vercel dokumentiert für Laufzeitprotokolle je nach Tarif Zeiträume zwischen einer Stunde und 30 Tagen. Google beschreibt für die Missbrauchserkennung die oben genannten 55 Tage. Diese Anbieterfristen werden nicht durch die Löschung einer Testsitzung gesteuert. Weitere Einzelheiten: Vercel-Laufzeitprotokolle.

Die Löschung aus einer aktiven Datenbank entfernt Daten nicht gleichzeitig aus allen Sicherungskopien. Deren Verfügbarkeit richtet sich nach dem jeweiligen Sicherungs- und Wiederherstellungszeitraum; Supabase beschreibt diese in der Dokumentation zu Datenbanksicherungen. Von Ihnen heruntergeladene Ergebnisse liegen auf Ihrem Gerät und werden durch die WebApp nicht gelöscht.

Ihre Rechte

Unter den gesetzlichen Voraussetzungen können Sie Auskunft und eine Kopie Ihrer Daten verlangen (Art. 15 DSGVO), unrichtige Angaben berichtigen lassen (Art. 16), Daten löschen lassen (Art. 17) oder die Verarbeitung einschränken lassen (Art. 18). Das Recht auf Datenübertragbarkeit nach Art. 20 gilt für von Ihnen bereitgestellte Daten, die wir automatisiert aufgrund einer Einwilligung oder eines Vertrags verarbeiten.

Eine erteilte Einwilligung können Sie jederzeit für die Zukunft widerrufen. Die Verarbeitung vor dem Widerruf bleibt davon unberührt. Wenden Sie sich zur Ausübung Ihrer Rechte an info@zettelwirtschaft.digital oder an unsere Postanschrift. Wir beantworten Ihr Anliegen grundsätzlich innerhalb eines Monats. Eine gesetzlich zulässige Fristverlängerung und ihre Gründe teilen wir Ihnen mit. Zur sicheren Zuordnung können erforderliche Angaben zur Identitätsprüfung nötig sein; schicken Sie uns nicht unaufgefordert Ausweiskopien oder Belege.

Widerspruch gegen berechtigte Interessen

Bei einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen Ihrer besonderen Situation jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die betroffenen Daten dann nicht weiter, sofern keine überwiegenden zwingenden Schutzgründe oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen entgegenstehen. Wird die Zuordnung Ihrer Testsitzung beendet, kann das verbleibende Kontingent nicht mehr genutzt werden.

Beschwerde bei einer Aufsichtsbehörde

Sie können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Ihrem Arbeitsplatz oder am Ort des vermuteten Verstoßes. Für unseren Sitz in Gomaringen ist dies:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Heilbronner Straße 35
70191 Stuttgart

Beschwerde beim LfDI Baden-Württemberg einreichen. Eine vorherige Kontaktaufnahme mit uns ist dafür nicht erforderlich.

Automatisierte Verarbeitung

Gemini liefert Vorschläge zur Belegerfassung. Sie prüfen die Angaben selbst; die WebApp entscheidet damit weder über Rechnungen noch über Beschäftigte oder Kunden. Die Kontingentprüfung kann weitere Testanfragen automatisch begrenzen. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet in diesem Testbetrieb nicht statt.

Den Wortlaut der genannten Rechte und Rechtsgrundlagen finden Sie in der Datenschutz-Grundverordnung. Eine kurze Übersicht zum Datenfluss steht unter Ihre Daten.