Datenschutz

Verantwortlicher und Kontakt

Zettelwirtschaft GbR
Linsenhofenstr. 22
72810 Gomaringen
Deutschland

Vertreten durch Johannes Bruckner und Justus Hueck.

Für Fragen zur Verarbeitung Ihrer Daten erreichen Sie uns unter info@zettelwirtschaft.digital.

Websiteaufruf und technischer Betrieb

Beim Aufruf der Website werden technisch notwendige Verbindungsdaten verarbeitet. Dazu gehören Ihre IP-Adresse, Zeitpunkt und Ziel der Anfrage, Browserinformationen, gegebenenfalls die zuvor besuchte Seite und der Antwortstatus. Die Website läuft auf unserem Server bei Hetzner; diese Daten werden für die Auslieferung, Fehlerdiagnose und Sicherheit des Dienstes verarbeitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, die angeforderten Seiten zuverlässig auszuliefern, technische Fehler zu erkennen und Angriffe abzuwehren. Ohne die für die Übertragung notwendigen Verbindungsdaten kann die Website nicht bereitgestellt werden.

Wir setzen in dieser WebApp keine Werbetracker und keine Analysewerkzeuge zur Erstellung von Besucherprofilen ein. Schriftarten und der fiktive Beispielbeleg werden mit der Website ausgeliefert. Die Demo zeigt ein vorbereitetes Ergebnis; beim Betrachten wird kein eigener Beleg an Google gesendet.

Belegtest und Google Gemini

Verwenden Sie ausschließlich Musterbelege ohne echte personenbezogene Daten oder dauerhaft geschwärzte Belege, aus denen keine Personen erkennbar sind. Entfernen Sie insbesondere Namen, Anschriften, Unterschriften, Kontaktdaten und zuordenbare Auftrags- oder Personalnummern. Die Schwärzungen müssen im hochgeladenen Bild selbst enthalten sein. Eine bloße Änderung des Dateinamens reicht nicht aus.

Die Dateiauswahl und die Vorbereitung der Vorschau erfolgen auf Ihrem Gerät. Erst wenn Sie die Vorschau bestätigen und „Jetzt auslesen“ wählen, wird das vorbereitete Bild an unseren Server übermittelt. Bei einer PDF-Datei betrifft das nur die erste Seite. Der Server verarbeitet das Bild im Arbeitsspeicher und sendet es zusammen mit einer Ausleseanweisung an die Google Gemini Developer API. Eingesetzt wird Gemini 3.1 Pro. Die Antwort enthält bis zu zwölf Werte mit Fundstellen zur Prüfung im Browser.

Die WebApp legt weder die Testdatei noch das OCR-Ergebnis dauerhaft in einer Datenbank oder einem Dateispeicher ab. Ihre Testsitzungskennung und die freiwillige E-Mail-Adresse werden nicht als Teil der Analyse an Gemini gesendet. Die Verarbeitung des Beleginhalts ist auf Muster- und anonymisierte Angaben beschränkt. Die Bestätigung vor dem Versand ist keine Erlaubnis, personenbezogene Daten anderer Personen hochzuladen.

Die Verarbeitung bei Google ist von der Speicherung in unserer WebApp getrennt. Google beschreibt für die Missbrauchserkennung eine Aufbewahrung von Eingaben, Kontext und Ausgaben für 55 Tage sowie eine mögliche Prüfung auffälliger Inhalte durch befugte Mitarbeitende. Maßgeblich sind die Informationen zur Missbrauchserkennung und die Bedingungen der Gemini API. Wir geben keine pauschale Zusage, dass sämtliche Daten bei Google nur in der EU verarbeitet oder für keinerlei Training verwendet werden.

Testsitzung und freiwillige E-Mail

Beim Öffnen des Belegtests wird eine Testsitzung eingerichtet. Wir speichern eine abgeleitete Sitzungskennung, das Kontingent, verbrauchte beziehungsweise reservierte Tests und Ablaufzeitpunkte in der Website-Datenbank bei Supabase. Für die fünf kostenlosen Belegtests ist keine E-Mail-Adresse erforderlich. Aus früheren Freischaltungen bereits gespeicherte E-Mail-Adressen bleiben dem damaligen Kontingent zugeordnet und werden nach den unten beschriebenen Fristen gelöscht. Sie werden nicht für Newsletter oder allgemeine Werbung verwendet.

Rechtsgrundlage für Sitzungs-, Kontingent- und Freischaltdaten ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die von Ihnen angeforderte kostenlose Erprobung bereitzustellen, verfügbare Tests korrekt zuzuordnen und die Umgehung des begrenzten Kontingents zu verhindern. Die fünf kostenlosen Tests sind ohne Anmeldung und ohne E-Mail-Angabe verfügbar. Sie können dieser Verarbeitung nach Maßgabe des unten beschriebenen Widerspruchsrechts widersprechen.

Bei früheren E-Mail-Freischaltungen wurde die Adresse der Sitzung zugeordnet. Eine neue Wartelistenanmeldung ist davon getrennt und erhöht das Testkontingent nicht. Die Sitzung läuft 29 Tage nach ihrer Erstellung ab; das Cookie hat denselben Ablaufzeitpunkt. Weitere Nutzung verlängert diese Frist nicht. Die anschließende Löschung der Sitzungsdaten und der zugehörigen E-Mail erfolgt durch einen täglichen Löschlauf. Bei planmäßig erfolgreicher Ausführung werden sie innerhalb von 30 Tagen ab Erstellung der Sitzung entfernt.

Cookie und Missbrauchsschutz

Das Cookie zw_test_session enthält eine zufällige Kennung und ordnet Ihren Browser der Testsitzung zu. Es ist gegen das Auslesen durch Seitenskripte geschützt und wird im öffentlichen Betrieb nur über HTTPS übertragen. Es läuft nach 29 Tagen ab. Wir verwenden es für den ausdrücklich aufgerufenen Belegtest einschließlich der Wiederaufnahme des verbleibenden Kontingents. Das Speichern und Auslesen stützen wir auf § 25 Abs. 2 Nr. 2 TDDDG. Die Verarbeitung der zugeordneten Daten erfolgt auf der oben genannten Grundlage nach der DSGVO. Wenn Sie das Cookie blockieren oder löschen, kann Ihr Browser der bisherigen Testsitzung nicht mehr zugeordnet werden; die allgemeinen Seiten und die Beispieldemo bleiben nutzbar.

Zum Schutz vor übermäßigen Anfragen verwendet die WebApp zusätzlich eine mit einem geheimen Schlüssel aus der IP-Adresse abgeleitete Kennung und zeitlich begrenzte Zähler. In diesen Datenbankeinträgen steht nicht die ursprüngliche IP-Adresse. Die Kennung bleibt dennoch ein pseudonymes Datum. Die Schutz- und Verbrauchsfenster reichen je nach Zähler von einer Minute bis zu 24 Stunden; abgelaufene Einträge werden durch die Bereinigung entfernt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO mit dem Interesse, Überlastung und Kontingentmissbrauch zu verhindern.

Warteliste für weitere Tests

Wenn Sie sich auf die Warteliste setzen lassen, speichern wir Ihre E-Mail-Adresse sowie Zeitpunkt und Version Ihrer Einwilligung in der separaten Website-Datenbank bei Supabase. Wir verwenden diese Angaben, um Sie per E-Mail über weitere Testmöglichkeiten oder einen Zugang zu Zettelwirtschaft zu informieren. Sie abonnieren damit keinen allgemeinen Newsletter. Die Anmeldung erhöht Ihr Testkontingent nicht.

Die Anmeldung ist freiwillig. Grundlage ist Ihre ausdrücklich bestätigte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können diese jederzeit für die Zukunft durch eine Nachricht an info@zettelwirtschaft.digital widerrufen. Dann entfernen wir Sie von der Warteliste. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt.

Der Eintrag läuft nach 179 Tagen ab und wird bei planmäßig erfolgreichem täglichem Löschlauf innerhalb von 180 Tagen entfernt. Eine erneute Anmeldung während dieser Frist verlängert sie nicht. Die Website versendet derzeit keine automatische Bestätigungs-E-Mail. Das Team bearbeitet die gespeicherten Einträge über das IONOS-Postfach.

Pilotanfragen

Bei einer Pilotanfrage speichert die WebApp die Angaben aus dem Formular: Name, Betrieb, E-Mail und gegebenenfalls Telefon, Gewerk und Nachricht. Sie dienen der Bearbeitung Ihrer Anfrage und der von Ihnen gewünschten Kontaktaufnahme. Die WebApp speichert außerdem Zeitpunkt und Version der Zustimmung sowie den Benachrichtigungsstatus in Supabase. Die Anfrage läuft 29 Tage nach ihrem Eingang ab. Bei planmäßig erfolgreichem täglichem Löschlauf wird sie innerhalb von 30 Tagen ab Eingang entfernt.

Grundlage für die im Formular ausdrücklich bestätigte Verarbeitung zur Pilotkontaktaufnahme ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit für die Zukunft durch eine Nachricht an info@zettelwirtschaft.digital widerrufen. Das Formular ist freiwillig. Ohne die erforderlichen Kontaktangaben und Ihre Bestätigung können Sie darüber keine Anfrage absenden; die übrige Website bleibt nutzbar.

Aus dem Formular erfolgt derzeit kein automatischer E-Mail-Versand. Das Team bearbeitet die gespeicherte Anfrage und kann Sie über das IONOS-Postfach oder die von Ihnen angegebene Telefonnummer kontaktieren. Eine gespeicherte Anfrage ist noch keine Terminbuchung. Bitte tragen Sie in das Freitextfeld keine Daten Ihrer Kunden oder Mitarbeitenden ein.

Kontakt per E-Mail

Unser Postfach info@zettelwirtschaft.digital wird bei IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, betrieben. Wenn Sie uns schreiben, verarbeiten wir Ihre Absender- und Kontaktdaten, Inhalt und Anhänge sowie die technischen Angaben zur Zustellung, um Ihr Anliegen zu beantworten. Bitte schicken Sie uns auch per E-Mail keine ungeschwärzten Belege für den Testbetrieb. Weitere Informationen enthält die Datenschutzerklärung von IONOS.

Bei Anfragen zu einem Vertrag mit Ihnen ist Art. 6 Abs. 1 lit. b DSGVO die Grundlage. Für allgemeine Anfragen und die Kommunikation mit Ansprechpersonen eines Betriebs gilt Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die sachgerechte Bearbeitung und Beantwortung des Anliegens. Anfragen zur Ausübung Ihrer Datenschutzrechte bearbeiten wir zur Erfüllung unserer gesetzlichen Pflichten nach Art. 6 Abs. 1 lit. c in Verbindung mit Art. 12 bis 22 DSGVO.

Die Dauer der Speicherung richtet sich nach dem Abschluss des Anliegens und einem noch erforderlichen Nachweis der Korrespondenz. Soweit Nachrichten gesetzlich aufzubewahrende Geschäfts- oder Steuerunterlagen sind, gelten die jeweiligen Aufbewahrungspflichten, insbesondere § 147 AO, auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Die automatische Bereinigung der Website-Datenbank löscht keine E-Mails aus dem Postfach.

Empfänger und Verarbeitungsorte

Innerhalb der Zettelwirtschaft GbR erhalten die mit Betrieb und Anfragebearbeitung befassten Personen die dafür benötigten Daten. Für die technische Verarbeitung setzen wir folgende Anbieter ein:

• Hetzner Online GmbH, Deutschland: Auslieferung der Website und Verarbeitung der Serveranfragen auf unserem Server in Nürnberg. Hetzner-Datenschutzhinweise.
• Supabase: separate PostgreSQL-Datenbank für die Website mit Sitzungs-, Kontingent-, Pilot- und Wartelistendaten. Die Projektregion ist Irland (eu-west-1). Die veröffentlichten Datenschutzbedingungen nennen Supabase Pte. Ltd., Singapur. Supabase-Datenschutzbedingungen.
• Google: Analyse des vorbereiteten Muster- oder anonymisierten Belegbilds über die Gemini Developer API. Eine feste EU-Region für diese Analyse wird nicht zugesagt. Gemini-API-Bedingungen.
• IONOS SE, Deutschland: Empfang, Speicherung und Versand der E-Mail-Korrespondenz. Das Postfach ist von der Website-Datenbank getrennt.

Die Serverstandorte in Deutschland und Irland bedeuten keine ausschließliche Verarbeitung in der EU. Insbesondere Betriebs-, Support- und Sicherheitsverarbeitung sowie die Verarbeitung bei Google können auch außerhalb des Europäischen Wirtschaftsraums stattfinden, unter anderem in den USA. Die veröffentlichten Datenschutzvereinbarungen von Supabase sowie die von Google einbezogenen Datenverarbeitungsbedingungen sehen für die jeweils erfassten Übermittlungen unter anderem EU-Standardvertragsklauseln vor. Diese sind ein vertraglicher Schutzmechanismus nach Art. 46 DSGVO und keine Garantie gegen sämtliche Zugriffsrisiken. Informationen zu den Übermittlungen und Kopien der dafür maßgeblichen Garantien können Sie über unseren Datenschutzkontakt anfordern.

Aufbewahrung und Löschung

Die genannten Fristen für Sitzungen, Pilotanfragen und Wartelisteneinträge beziehen sich auf die aktive Website-Datenbank und ihren täglichen Löschlauf. Ein Ausfall dieses Laufs kann die tatsächliche Bereinigung verzögern. Eine vorzeitige Löschung können Sie über unseren Kontakt anfragen. Gesetzliche Aufbewahrungspflichten und der Schutz konkret bestehender Rechtsansprüche können einer sofortigen vollständigen Löschung entgegenstehen.

Technische Betriebsprotokolle dienen der Fehlerdiagnose, dem Sicherheitsbetrieb und erforderlichen Nachweisen. Die Laufzeitprotokolle des Website-Containers auf unserem Server werden größenbegrenzt rotiert. Für technische Anbieterprotokolle richtet sich die Aufbewahrung nach der Protokollart und dem gebuchten Dienst. Google beschreibt für die Missbrauchserkennung die oben genannten 55 Tage. Diese Anbieterfristen werden nicht durch die Löschung einer Testsitzung gesteuert.

Die Löschung aus einer aktiven Datenbank entfernt Daten nicht gleichzeitig aus allen Sicherungskopien. Deren Verfügbarkeit richtet sich nach dem jeweiligen Sicherungs- und Wiederherstellungszeitraum; Supabase beschreibt diese in der Dokumentation zu Datenbanksicherungen. Von Ihnen heruntergeladene Ergebnisse liegen auf Ihrem Gerät und werden durch die WebApp nicht gelöscht.

Ihre Rechte

Unter den gesetzlichen Voraussetzungen können Sie Auskunft und eine Kopie Ihrer Daten verlangen (Art. 15 DSGVO), unrichtige Angaben berichtigen lassen (Art. 16), Daten löschen lassen (Art. 17) oder die Verarbeitung einschränken lassen (Art. 18). Das Recht auf Datenübertragbarkeit nach Art. 20 gilt für von Ihnen bereitgestellte Daten, die wir automatisiert aufgrund einer Einwilligung oder eines Vertrags verarbeiten.

Eine erteilte Einwilligung können Sie jederzeit für die Zukunft widerrufen. Die Verarbeitung vor dem Widerruf bleibt davon unberührt. Wenden Sie sich zur Ausübung Ihrer Rechte an info@zettelwirtschaft.digital oder an unsere Postanschrift. Wir beantworten Ihr Anliegen grundsätzlich innerhalb eines Monats. Eine gesetzlich zulässige Fristverlängerung und ihre Gründe teilen wir Ihnen mit. Zur sicheren Zuordnung können erforderliche Angaben zur Identitätsprüfung nötig sein; schicken Sie uns nicht unaufgefordert Ausweiskopien oder Belege.

Widerspruch gegen berechtigte Interessen

Bei einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen Ihrer besonderen Situation jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die betroffenen Daten dann nicht weiter, sofern keine überwiegenden zwingenden Schutzgründe oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen entgegenstehen. Wird die Zuordnung Ihrer Testsitzung beendet, kann das verbleibende Kontingent nicht mehr genutzt werden.

Beschwerde bei einer Aufsichtsbehörde

Sie können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Ihrem Arbeitsplatz oder am Ort des vermuteten Verstoßes. Für unseren Sitz in Gomaringen ist dies:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Heilbronner Straße 35
70191 Stuttgart

Beschwerde beim LfDI Baden-Württemberg einreichen. Eine vorherige Kontaktaufnahme mit uns ist dafür nicht erforderlich.

Automatisierte Verarbeitung

Gemini liefert Vorschläge zur Belegerfassung. Sie prüfen die Angaben selbst; die WebApp entscheidet damit weder über Rechnungen noch über Beschäftigte oder Kunden. Die Kontingentprüfung kann weitere Testanfragen automatisch begrenzen. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet in diesem Testbetrieb nicht statt.

Den Wortlaut der genannten Rechte und Rechtsgrundlagen finden Sie in der Datenschutz-Grundverordnung. Eine kurze Übersicht zum Datenfluss steht unter Ihre Daten.