Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir beim Besuch der Website www.dokufetch.de und bei der Nutzung der Anwendung DokuFetch unter app.dokufetch.de verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage, an wen wir sie weitergeben und wie lange wir sie speichern. Teil A betrifft die Website, Teil B die Anwendung. Auf Ihr Widerspruchsrecht nach Art. 21 DSGVO weisen wir in Abschnitt 29 gesondert hin.

1. Verantwortlicher

Bavariaphone24 Vertrieb & Service GmbH
Starnberger Str. 30
82343 Pöcking
Deutschland

Telefon: 08157 / 999 42 - 20
Telefax: 08157 / 999 42 - 29
E-Mail: hallo@dokufetch.de

Vertreten durch den Geschäftsführer Slobodan-Georg Markovic. DokuFetch ist ein Angebot der Bavariaphone24 Vertrieb & Service GmbH; in dieser Erklärung bezeichnen „wir“ und „uns“ diese Gesellschaft.

Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen (§ 38 BDSG), und haben keinen benannt. Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter den oben genannten Kontaktdaten.

2. Geltungsbereich und Rollen

Für die in dieser Erklärung beschriebenen Verarbeitungen sind wir Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Das betrifft insbesondere die Website, Anfragen von Interessenten, die Benutzerkonten, die Sicherheit der Anwendung, die Abrechnung, den Support, das Partnerprogramm und den Wechsel-Check.

Inhalte, die unsere Kunden in DokuFetch einbringen oder verarbeiten lassen – zum Beispiel Rechnungen, Dokumente, E-Mails aus verbundenen Postfächern, Bankumsätze, Verträge sowie Kunden- und Lieferantendaten –, verarbeiten wir als Auftragsverarbeiter im Auftrag des jeweiligen Kunden. Verantwortlicher ist dann das Unternehmen, das DokuFetch nutzt. Einzelheiten finden Sie in Abschnitt 20 und in der Vereinbarung zur Auftragsverarbeitung.

3. Hosting, Server und Datensicherung

Website, Anwendung, Datenbank und unser internes Vertriebssystem (das Partnerportal der Bavariaphone24 Vertrieb & Service GmbH) laufen auf demselben Server. Der Server steht in einem Rechenzentrum in Deutschland und wird betrieben von:

IONOS SE
Elgendorfer Str. 57
56410 Montabaur
Deutschland

IONOS verarbeitet die Daten als unser Auftragsverarbeiter nach Art. 28 DSGVO. Die Rechtsgrundlage entspricht der jeweiligen Verarbeitung, die in den folgenden Abschnitten beschrieben ist; den Einsatz eines spezialisierten Rechenzentrums stützen wir zusätzlich auf unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Wir sichern die Daten des Servers täglich auf ein Speichersystem in unseren eigenen Geschäftsräumen; ein externer Dienstleister ist daran nicht beteiligt. Die Sicherungen werden rollierend überschrieben und sind höchstens 30 Tage alt. Daten, die wir auf dem Server löschen, sind deshalb spätestens 30 Tage später auch in den Sicherungen nicht mehr vorhanden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht darin, Daten nach einem technischen Ausfall oder Angriff wiederherstellen zu können. Soweit die Sicherungen Inhalte unserer Kunden enthalten, erfolgt die Sicherung im Rahmen der Auftragsverarbeitung.

Teil A: Website www.dokufetch.de

Die folgenden Abschnitte 4 bis 10 betreffen den Besuch unserer Website und Anfragen, die Sie über die Website oder direkt an uns richten.

4. Aufruf der Website, Protokolle und Schutz vor Missbrauch

4.1 Webserver-Protokolle

Bei jedem Aufruf unserer Website übermittelt Ihr Browser technisch bedingt Daten an unseren Server. Der Webserver protokolliert dabei:

IP-Adresse des anfragenden Geräts
Datum und Uhrzeit des Aufrufs
aufgerufene Adresse
Statuscode der Antwort
übertragene Datenmenge
zuvor besuchte Seite (Referrer), soweit Ihr Browser sie übermittelt
Browserkennung (User-Agent)

Zweck ist die Auslieferung der Website, die Sicherstellung von Stabilität und Sicherheit sowie die Erkennung und Aufklärung von Störungen und Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und funktionsfähigen Betrieb der Website. Empfänger ist IONOS als unser Auftragsverarbeiter. Die Protokolle werden nach 14 Tagen gelöscht.

4.2 Fehlerprotokoll

Technische Fehler der Website schreiben wir in ein Fehlerprotokoll. Es enthält Fehlermeldungen und technische Angaben. Personenbezogene Daten sind darin nur in Form einer gekürzten IP-Adresse enthalten (bei IPv4-Adressen ohne das letzte Zahlenfeld, bei IPv6-Adressen nur der Netzanteil), etwa wenn eine Adresse aufgerufen wurde, die typischerweise für Angriffe genutzt wird (Abschnitt 4.3), sowie bei Zustellproblemen von E-Mails der Domainteil der Empfängeradresse. Inhalte von Formularen werden nicht protokolliert. Zweck ist die Fehlerbehebung und die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im störungsfreien und sicheren Betrieb. Das Fehlerprotokoll wird nach 30 Tagen gelöscht.

4.3 Schutz vor Missbrauch und Angriffen

Zum Schutz der Website und ihrer Besucher setzen wir folgende Maßnahmen ein. Für keine davon nutzen wir Captchas, Cookies oder externe Sicherheitsdienste.

Zugriffsbegrenzung: Damit Formulare, Rechner und die Schnittstelle aus Abschnitt 9 nicht massenhaft automatisiert genutzt werden, zählen wir Aufrufe je anfragendem Anschluss. Dazu speichern wir statt der IP-Adresse einen mit einem geheimen Schlüssel gebildeten Hashwert (HMAC) der IP-Adresse, die Art der Aktion und den Zeitpunkt. Nach einer Stunde werden diese Einträge nicht mehr berücksichtigt; gelöscht werden sie spätestens am folgenden Tag.
Schutz vor automatisierten Massenzugriffen: Erkennen wir sehr viele Aufrufe in kurzer Zeit, begrenzen wir weitere Aufrufe vorübergehend. Dazu speichern wir einen HMAC-Hashwert der IP-Adresse mit Zähler und Zeitfenster. Diese Einträge werden spätestens nach 30 Tagen gelöscht.
Echtheitsprüfung von Suchmaschinen-Crawlern: Gibt sich ein Aufruf als Crawler einer bekannten Suchmaschine oder eines KI-Dienstes aus, prüfen wir, ob die IP-Adresse tatsächlich zu diesem Betreiber gehört. Dazu gleichen wir sie mit den vom Betreiber veröffentlichten Adresslisten ab oder fragen über den Namensdienst (DNS) unseres Servers ab, zu welchem Rechnernamen die IP-Adresse gehört; dabei wird die IP-Adresse an den für sie zuständigen Namensserver übermittelt. Das Ergebnis wird nicht gespeichert.
Fallen-Pfade: Ruft jemand eine Adresse auf, die es auf unserer Website nicht gibt und die typischerweise für Angriffe genutzt wird (zum Beispiel Anmeldeseiten anderer Software), speichern wir die vollständige IP-Adresse 30 Tage ab dem letzten Aufruf in einer Sperrliste und löschen sie danach. Formularanfragen von dieser Adresse bewerten wir in dieser Zeit als verdächtig; zudem kann die Firewall unseres Servers Aufrufe von dieser Adresse abweisen. Die gekürzte IP-Adresse erscheint zusätzlich im Fehlerprotokoll (Abschnitt 4.2). Sollten Sie dadurch versehentlich betroffen sein, erreichen Sie uns telefonisch oder per E-Mail.
Schutz der Formulare: Formulare enthalten ein Sicherheitsmerkmal gegen untergeschobene Anfragen, ein für Menschen unsichtbares Feld und eine Zeitprüfung. Eingaben bewerten wir automatisch nach Merkmalen, die auf Spam hindeuten (zum Beispiel viele Links, Werbebegriffe oder Wegwerf-Adressen). Die Bewertung speichern wir mit der Anfrage (Abschnitt 7).
Begrenzung von Bestätigungs-E-Mails: Damit über unsere Formulare nicht massenhaft E-Mails an eine Adresse ausgelöst werden können, speichern wir einen Hashwert der Empfängeradresse und den Zeitpunkt des Versands. Diese Einträge werden nach 3 Tagen gelöscht.

Rechtsgrundlage für diese Maßnahmen ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Angriffe, Spam und Überlastungen abzuwehren und die Website für alle Besucher verfügbar zu halten. Empfänger ist IONOS als unser Auftragsverarbeiter.

5. Reichweitenmessung ohne Cookies

Wir messen, wie unsere Website genutzt wird, um Inhalte und Angebote zu verbessern und zu erkennen, über welche Wege Interessenten zu uns finden. Dafür verwenden wir ein eigenes Verfahren auf unserem Server, ohne Cookies, ohne Zählpixel und ohne Dienste Dritter. Wir speichern dabei keine Informationen auf Ihrem Gerät und lesen keine dort gespeicherten Informationen aus; wir verwenden nur Angaben, die Ihr Browser bei jedem Seitenaufruf ohnehin übermittelt.

Zu jedem Seitenaufruf bilden wir eine pseudonyme Tageskennung. Sie ist ein Hashwert aus einer Kennung dieser Website, Ihrer IP-Adresse, der Browserkennung, der Spracheinstellung Ihres Browsers und einem Zufallswert, den wir jeden Tag neu erzeugen. Dadurch lassen sich Aufrufe desselben Tages auf dieser Website zu einem Besuch zusammenfassen, nicht aber Besuche an verschiedenen Tagen oder auf anderen Websites, die wir betreiben. Die Zufallswerte löschen wir nach 40 Tagen; danach kann die Kennung auch von uns nicht mehr nachgebildet werden. Die IP-Adresse selbst speichern wir für die Reichweitenmessung nicht.

Zu jedem Seitenaufruf speichern wir:

die Tageskennung
die aufgerufene Seite und den Zeitpunkt
die Herkunftsseite ohne Parameter, soweit Ihr Browser sie übermittelt
den Suchbegriff, soweit die Suchmaschine ihn übermittelt
Kampagnenparameter, wenn Sie einem Link aus einer Kampagne gefolgt sind
Gerätetyp und Browser sowie die vollständige Browserkennung
eine Netz-Kennung, gebildet als Hashwert aus Ihrer IP-Adresse beziehungsweise deren Netzanteil und dem Tageszufallswert

Die Verweildauer auf einzelnen Seiten messen wir nicht. Die Nutzung unserer Rechner zählen wir als Ereignis in dieser Messung, ohne Ihre Eingaben zu speichern (Abschnitt 8).

Wenn Sie über die Website eine Anfrage absenden (Abschnitt 7), ordnen wir Ihrer Anfrage den Einstieg Ihres Besuchs an diesem Tag zu: die erste aufgerufene Seite, die Herkunft, den Suchbegriff, die Kampagne und die Zahl der bis zur Anfrage aufgerufenen Seiten. Über die gemeinsame Tageskennung lässt sich dann für den Tag der Anfrage nachvollziehen, welche Seiten unter dieser Kennung aufgerufen wurden. Zweck ist, zu erkennen, welche Inhalte und Kanäle zu Anfragen führen.

Die Rohdaten der Seitenaufrufe löschen wir nach 90 Tagen. Die Zuordnung von Besuchen zu Anfragen (Tageskennung, Einstieg, Herkunft, Suchbegriff und Zahl der Seiten bis zur Anfrage) löschen wir nach 360 Tagen. Die Auswertung erfolgt in unserem internen Vertriebssystem auf demselben Server; Empfänger außerhalb unseres Unternehmens gibt es nicht, abgesehen von IONOS als Auftragsverarbeiter.

Besuche unserer eigenen Mitarbeiter nehmen wir aus der Messung aus. Dazu wird nur auf deren eigenen Geräten das Cookie „stat_aus“ gesetzt (Abschnitt 6).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die Reichweite unserer Website zu messen, sie bedarfsgerecht zu gestalten und die Wirkung unserer Inhalte und Kampagnen zu beurteilen. Weil wir für die Messung weder Informationen auf Ihrem Gerät speichern noch dort gespeicherte Informationen auslesen, holen wir dafür keine Einwilligung nach § 25 Abs. 1 TDDDG ein. Da die Messung ohne Cookies arbeitet, können wir Ihren Browser nicht dauerhaft wiedererkennen und daher keinen technischen Ausschluss für einzelne Besucher setzen. Sie können der Messung nach Art. 21 DSGVO widersprechen (Abschnitt 29); haben Sie eine Anfrage gestellt, löschen wir auf Ihren Widerspruch hin die Angaben zum Einstieg bei Ihrer Anfrage.

6. Cookies

Unsere Website setzt nur die folgenden Cookies:

„dfsid“: technisch notwendiges Sitzungscookie. Es wird nur auf den Seiten mit Formularen (Demo, Angebot, Kontakt und Rückruf, Partner werden, Fehler melden) und auf den Rechnerseiten gesetzt und auf der jeweiligen Bestätigungsseite fortgeführt. Es enthält eine zufällige Sitzungskennung. Auf dem Server sind ihr das Sicherheitsmerkmal gegen untergeschobene Formulareingaben, der Ablauf des Formulars (zum Beispiel angebotene Rückrufzeiten und der Einstieg Ihres Besuchs) und die Angaben für die Bestätigungsseite zugeordnet. Das Cookie endet mit dem Schließen Ihres Browsers; die zugehörigen Sitzungsdaten auf dem Server werden danach im Rahmen der regelmäßigen Bereinigung gelöscht.
„stat_aus“: wird nur auf Geräten unserer Mitarbeiter gesetzt, wenn diese eine interne Adresse aufrufen, und bewirkt, dass ihre Besuche nicht in der Reichweitenmessung gezählt werden. Laufzeit 400 Tage. Besuchern unserer Website wird dieses Cookie nicht gesetzt.
„df_consent“: wird derzeit nicht verwendet. Wir setzen keine Dienste ein, die eine Einwilligung erfordern; deshalb zeigen wir kein Einwilligungsbanner. Sollte sich das ändern, würde dieses Cookie Ihre Auswahl speichern; wir passen diese Erklärung vorher an.

Das Speichern und Auslesen der Cookies „dfsid“ und „stat_aus“ ist unbedingt erforderlich, um den vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Die damit verbundene Verarbeitung stützen wir auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz der Formulare vor Missbrauch, im ordnungsgemäßen Formularablauf und in einer Reichweitenmessung, die unsere eigenen Zugriffe nicht mitzählt. Soweit Sie mit einem Formular eine Anfrage zu unseren Leistungen stellen, ist Rechtsgrundlage auch Art. 6 Abs. 1 lit. b DSGVO.

Unsere Website bindet keine Inhalte oder Dienste Dritter ein: keine externen Schriftarten, keine Content-Delivery-Netzwerke, keine Karten, keine Videos, keine Social-Media-Plugins, keine Zählpixel und keine Werbe- oder Analysedienste. Lokale Speicher Ihres Browsers (zum Beispiel Local Storage) nutzt die Website nicht.

7. Formulare für Demo, Angebot, Kontakt, Partnerschaft und Fehlermeldungen

7.1 Welche Angaben wir erheben

Demo vereinbaren: Pflichtangaben sind Firma, Vorname, Nachname, E-Mail-Adresse und Telefonnummer. Freiwillig können Sie Unternehmensgröße, Belege je Monat, eingesetzte Systeme, die gewünschte Durchführung (online per Microsoft Teams oder telefonisch), einen 30-minütigen Wunschtermin und eine Nachricht angeben.
Angebot anfordern: Pflichtangaben sind Firma, Vorname, Nachname und E-Mail-Adresse. Freiwillig können Sie Telefonnummer, Belege je Monat, gewünschtes Paket, eingesetzte Systeme und eine Nachricht angeben.
Kontakt und Rückruf: Pflichtangaben sind Name, Telefonnummer oder E-Mail-Adresse, Ihr Anliegen und eine Nachricht. Freiwillig können Sie Ihre Firma und bis zu drei Zeitfenster für einen Rückruf angeben; wählen Sie Zeitfenster, ist die Telefonnummer Pflicht.
Partner werden: Pflichtangaben sind Firma, Name und E-Mail-Adresse. Freiwillig können Sie Telefonnummer, Art der Partnerschaft und eine Nachricht angeben.
Fehler melden: Pflichtangabe ist nur Ihre Nachricht; die betroffene Seite wird automatisch übernommen. Freiwillig können Sie Name und E-Mail-Adresse angeben.

Zu jeder Anfrage speichern wir zusätzlich eine Vorgangsnummer, den Zeitpunkt, den Wortlaut der von Ihnen erteilten Einwilligung, einen HMAC-Hashwert Ihrer IP-Adresse (zum Schutz vor Missbrauch, nicht die IP-Adresse selbst), das Ergebnis der Spam-Bewertung sowie Einstieg und Kampagne Ihres Besuchs (Abschnitt 5). Dateien können Sie über die Formulare nicht hochladen. Wir bieten keinen Newsletter an und verwenden keine Captchas.

Bitte tragen Sie in Nachrichtenfelder keine Zugangsdaten, Kontonummern oder Gesundheitsdaten ein.

7.2 Zwecke und Rechtsgrundlagen

Wir verarbeiten Ihre Angaben, um Ihre Anfrage zu bearbeiten, also eine Demo zu vereinbaren und durchzuführen, ein Angebot zu erstellen, Sie zurückzurufen, Ihr Anliegen zu beantworten, eine Partnerschaft zu prüfen oder einen gemeldeten Fehler zu beheben.

Die Bearbeitung von Anfragen zu unseren Leistungen (Demo, Angebot, Kontakt und Rückruf, Partnerschaft) erfolgt zur Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Betrifft Ihre Anfrage keinen Vertrag mit uns, ist Rechtsgrundlage unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Fehlermeldungen bearbeiten wir auf Grundlage unseres berechtigten Interesses an einer fehlerfreien Website (Art. 6 Abs. 1 lit. f DSGVO).
Für die Bearbeitung Ihrer Anfrage, die Kontaktaufnahme dazu per E-Mail oder Telefon und die Eingangsbestätigung ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, bei Anfragen ohne Bezug zu einem Vertrag und bei Fehlermeldungen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Beantwortung Ihres Anliegens. Ihr Einverständnis im Formular können Sie jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel per E-Mail an hallo@dokufetch.de; danach kontaktieren wir Sie zu dieser Anfrage nicht mehr. Werbung über Ihre Anfrage hinaus senden wir Ihnen nur mit gesonderter Einwilligung.
Den Wortlaut und Zeitpunkt der Einwilligung speichern wir, um die Einwilligung nachweisen zu können (Art. 7 Abs. 1 DSGVO); Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
Hashwert der IP-Adresse und Spam-Bewertung dienen dem Schutz vor Missbrauch, die Angaben zu Einstieg und Kampagne der Beurteilung unserer Inhalte und Kampagnen; Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse liegt in diesen Zwecken.

7.3 Empfänger

Ihre Anfrage wird in unserem internen Vertriebssystem (Partnerportal der Bavariaphone24 Vertrieb & Service GmbH) gespeichert und bearbeitet. Anfragen zu Demo, Angebot, Kontakt und Rückruf sowie Partnerschaft übergeben wir außerdem an die Anwendung DokuFetch, in der wir Termine verwalten und Ihnen Terminbestätigungen senden. Beide Systeme betreiben wir selbst auf demselben Server bei IONOS (Abschnitt 3). Kann eine Anfrage nicht sofort an die Anwendung übergeben werden, halten wir sie in einer Warteschlange vor und löschen diesen Zwischenstand 7 Tage nach der Übergabe.

Über neue Anfragen werden unsere zuständigen Mitarbeiter per E-Mail und in der Anwendung benachrichtigt. Die Benachrichtigung aus der Website enthält nur Vorgangsnummer und Art der Anfrage; die Benachrichtigung aus der Anwendung enthält zusätzlich Firma, Name, E-Mail-Adresse, Thema und gegebenenfalls den Wunschtermin. Diese E-Mails versenden wir über Microsoft 365 (Abschnitt 10).

Haben Sie eingewilligt und eine E-Mail-Adresse angegeben, senden wir Ihnen eine Eingangsbestätigung. Vereinbaren wir einen Termin, erhalten Sie eine Terminbestätigung mit Kalenderdatei. Diese E-Mails versenden wir über Microsoft 365 (Abschnitt 10). Führen wir eine Demo online durch, nutzen wir Microsoft Teams (Abschnitt 10).

7.4 Speicherdauer

Anfragen, die nicht weiterverfolgt werden, löschen wir auf der Website und in unserem internen Vertriebssystem 12 Monate nach Eingang; die an die Anwendung übergebene Kopie anonymisieren wir 24 Monate nach Eingang.
Wird aus einer Anfrage ein Interessentenkontakt, kommt aber kein Vertrag zustande, löschen oder anonymisieren wir die Daten spätestens 24 Monate nach Eingang.
Als Spam erkannte Anfragen löschen wir spätestens nach 30 Tagen.
Kommt ein Vertrag zustande, speichern wir die Daten für die Dauer des Vertrags und danach, soweit gesetzliche Aufbewahrungspflichten bestehen (Abschnitt 23).

8. Rechner

Auf unserer Website bieten wir Rechner an, etwa zur Wirtschaftlichkeit und zur E-Rechnungspflicht. Ihre Eingaben werden auf unserem Server berechnet und das Ergebnis direkt angezeigt; die Eingaben speichern wir nicht. Die Rechnerseiten verwenden das Cookie „dfsid“ (Abschnitt 6) und die Zugriffsbegrenzung (Abschnitt 4.3). Dass ein Rechner genutzt wurde, zählen wir als Ereignis in der Reichweitenmessung (Abschnitt 5). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Ihnen die Berechnung bereitzustellen, Missbrauch zu verhindern und die Nutzung des Angebots zu messen.

9. Schnittstelle für KI-Assistenten und llms.txt

Für Suchmaschinen und KI-Assistenten stellen wir öffentliche Inhalte unserer Website in maschinenlesbarer Form bereit, unter anderem über eine Schnittstelle nach dem Model Context Protocol (MCP) und die Dateien llms.txt. Darüber werden ausschließlich öffentliche Inhalte und unsere Unternehmensangaben ausgegeben; es entstehen dabei keine Anfragen. Für die Zugriffsbegrenzung speichern wir einen HMAC-Hashwert der IP-Adresse, der spätestens am folgenden Tag gelöscht wird (Abschnitt 4.3); im Übrigen gelten die Webserver-Protokolle (Abschnitt 4.1). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, unsere öffentlichen Informationen auffindbar zu machen und die Schnittstelle vor Überlastung zu schützen.

10. Kontakt per E-Mail, Telefon und Online-Termin

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben (insbesondere Name, Kontaktdaten und Inhalt Ihres Anliegens), um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihr Anliegen einen Vertrag oder dessen Anbahnung betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Beantwortung von Anfragen.

Unser Postfach hallo@dokufetch.de und den Versand aller E-Mails der Website und der Anwendung betreiben wir über Microsoft 365. Online-Demos und Online-Termine führen wir, wenn Sie das wünschen, über Microsoft Teams durch. Dabei verarbeitet Microsoft die für die Teilnahme nötigen Daten, insbesondere Ihren Namen, gegebenenfalls Ihre E-Mail-Adresse, technische Verbindungsdaten und – soweit Sie diese einschalten – Ton, Bild, Bildschirmfreigabe und Chatnachrichten. Anbieter ist:

Microsoft Ireland Operations Limited
One Microsoft Place
South County Business Park
Leopardstown
Dublin 18
Irland

Microsoft verarbeitet die Daten als unser Auftragsverarbeiter. Eine Übermittlung in die USA ist möglich; Einzelheiten und Garantien finden Sie in Abschnitt 22.

E-Mails speichern wir, solange es für die Bearbeitung und die Geschäftsbeziehung erforderlich ist. Handels- und Geschäftsbriefe bewahren wir sechs Jahre auf, Unterlagen, die Buchungsbelege sind, acht Jahre (Abschnitt 23). Für Anfragen ohne Vertrag gelten die Fristen aus Abschnitt 7.4.

Teil B: Anwendung DokuFetch

Die folgenden Abschnitte 11 bis 19 betreffen Verarbeitungen in der Anwendung DokuFetch, für die wir Verantwortlicher sind. Abschnitt 20 beschreibt die Inhalte, die wir im Auftrag unserer Kunden verarbeiten.

11. Registrierung und Benutzerkonto

Für die Registrierung benötigen wir den Namen Ihres Unternehmens, Ihren Vor- und Nachnamen, Ihre E-Mail-Adresse und ein Passwort. Das Passwort speichern wir nicht im Klartext, sondern nur als Hashwert nach dem Verfahren Argon2id. Ihre E-Mail-Adresse bestätigen Sie über einen Link, den wir Ihnen per E-Mail senden.

Bei der Registrierung stimmen Sie den Allgemeinen Geschäftsbedingungen und der Vereinbarung zur Auftragsverarbeitung zu und bestätigen die Kenntnisnahme dieser Datenschutzerklärung. Diese Zustimmungen speichern wir mit Wortlaut, Version des jeweiligen Textes und Zeitpunkt. Dasselbe gilt für spätere Zustimmungen, etwa bei einer Bestellung.

Als Kunden in unserem Buchhaltungssystem Lexware Office (Abschnitt 14) legen wir Ihr Unternehmen erst an, wenn Sie eine kostenpflichtige Leistung bestellen; für die kostenlose Testphase geschieht das nicht.

Laden Inhaber oder Administratoren eines Unternehmens weitere Benutzer ein, erhalten wir von ihnen Name, E-Mail-Adresse und Rolle der eingeladenen Person und senden eine Einladung per E-Mail.

Zwecke sind die Einrichtung und Verwaltung der Benutzerkonten und die Durchführung des Vertrags einschließlich der kostenlosen Testphase. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für eingeladene Benutzer ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO im Verhältnis zu unserem Kunden und Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, dass unser Kunde seinen Mitarbeitern und Beratern Zugang verschaffen kann. Die Protokollierung der Zustimmungen erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Nachweis des Vertragsschlusses und der vereinbarten Bedingungen.

Benutzerkonten speichern wir, solange das Unternehmen DokuFetch nutzt. Nach Vertragsende oder nach Ende einer Testphase ohne Bestellung löschen wir die Daten des Unternehmens nach 120 Tagen (Abschnitt 23); Benutzerkonten, die keinem anderen Unternehmen mehr zugeordnet sind, löschen wir dabei mit. Zustimmungsnachweise, die zu einer Bestellung gehören, bewahren wir als Teil unserer Abrechnungsunterlagen für die gesetzlichen Fristen auf (Abschnitt 14).

12. Anmeldung, Sitzungen und Sicherheit

Anmeldeprotokoll: Zu jeder Anmeldung speichern wir den Zeitpunkt, den Gerätetyp (zum Beispiel „Firefox auf Windows“) und eine pseudonymisierte IP-Adresse (HMAC-Hashwert, nicht die IP-Adresse selbst). Das Anmeldeprotokoll wird nach 400 Tagen gelöscht.
Sitzungscookie „__Host-df“: technisch notwendig, um Sie nach der Anmeldung angemeldet zu halten und Formulare gegen untergeschobene Eingaben zu schützen. Es endet mit dem Schließen des Browsers, spätestens nach 12 Stunden und nach 30 Minuten ohne Aktivität. Einträge zu beendeten Sitzungen löschen wir nach 90 Tagen.
Gerätecookie der Handy-App: Wenn Sie die Handy-App für das Hochladen von Belegen einrichten, speichern wir auf Ihrem Gerät einen Geräteschlüssel; bei uns ist nur eine Prüfsumme davon gespeichert. Er gilt 180 Tage und verlängert sich bei jeder Nutzung. Er erlaubt nur das Hochladen von Belegen und die Anzeige Ihrer zuletzt hochgeladenen Belege und fehlenden Kassenzettel. Fotografierte Belege speichert die Handy-App bis zur erfolgreichen Übertragung im Browser-Speicher Ihres Geräts (IndexedDB) und löscht sie danach; ihre Programmdateien ohne personenbezogene Daten legt sie im Zwischenspeicher des Browsers ab, damit sie auch ohne Netz startet.
Zwei-Faktor-Anmeldung: Wenn Sie sie einrichten, speichern wir das Geheimnis für die Einmalcodes verschlüsselt und die Wiederherstellungscodes nur als Hashwerte.
Schutz vor Angriffen: Nach fünf fehlgeschlagenen Anmeldeversuchen sperren wir das Konto für 15 Minuten und informieren Sie per E-Mail. Zusätzlich begrenzen wir Anmelde-, Registrierungs- und Passwort-Anfragen je IP-Hashwert und je E-Mail-Adresse; diese Zähler löschen wir nach 2 Tagen.
Links zur Bestätigung der E-Mail-Adresse (48 Stunden gültig), zum Zurücksetzen des Passworts (1 Stunde) und für Einladungen (7 Tage) löschen wir 30 Tage nach Ablauf.
Systemprotokolle mit technischen Fehlermeldungen löschen wir nach 90 Tagen.

Zwecke sind die sichere Anmeldung, der Schutz der Konten vor unberechtigtem Zugriff und die Fehlerbehebung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für die Nutzung der Anwendung erforderlich ist, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Sicherheit der Anwendung und der Daten unserer Kunden. Das Speichern und Auslesen des Sitzungscookies, des Gerätecookies und der Daten der Handy-App auf Ihrem Gerät ist für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Weitere Cookies oder Speicherungen auf Ihrem Gerät nutzt die Anwendung nicht; eine Ausnahme sind Cookies von PayPal auf der Seite zur Hinterlegung eines Zahlungsmittels (Abschnitt 14).

13. Benachrichtigungen und System-E-Mails

Die Anwendung sendet E-Mails, etwa zur Bestätigung der Registrierung, zu Sicherheitsereignissen, zu Freigaben und neuen Belegen, zu Rechnungen, zur Testphase und zum Vertrag. Welche fachlichen Benachrichtigungen Sie erhalten, können Sie in Ihrem Konto einstellen. Der Versand erfolgt über Microsoft 365 (Abschnitt 10). Zu versendeten und empfangenen E-Mails führen wir Protokolle für die Zustellung und Fehlersuche; sie werden nach 180 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und für die Protokolle Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer nachvollziehbaren und zuverlässigen Zustellung.

14. Vertrag, Abrechnung und Zahlung

Für Bestellungen, Rechnungen und Zahlungen verarbeiten wir die Unternehmensdaten (Name, Anschrift, Umsatzsteuer-Identifikationsnummer, Steuernummer, Rechnungs-E-Mail-Adresse, Telefonnummer), die bestellten Leistungen und Preise, die Zustimmungen zur Bestellung mit Wortlaut, Textversionen, bestellendem Benutzer, Zeitpunkt und IP-Hashwert, Rechnungen, Zahlungen, Zahlungserinnerungen und Mahnungen.

Buchhaltung: Kunden, Rechnungen und Zahlungen führen wir in Lexware Office der Haufe-Lexware GmbH & Co. KG, Munzinger Str. 9, 79111 Freiburg, Deutschland. Haufe-Lexware verarbeitet die Daten als unser Auftragsverarbeiter.
SEPA-Lastschrift: Für ein Lastschriftmandat verarbeiten wir Kontoinhaber, IBAN (verschlüsselt gespeichert), BIC, Mandatsreferenz, Datum des Mandats, das Mandatsdokument und bei der Firmenlastschrift die Bestätigung Ihrer Bank. Die Lastschriften ziehen wir über unsere Bank ein, die die Daten als eigener Verantwortlicher verarbeitet. Die Bestätigung Ihrer Bank prüft ein Mitarbeiter. Haben Sie die KI-Funktionen eingeschaltet (Abschnitt 20.1), erstellt der KI-Dienst vorab eine Einschätzung; dafür übermitteln wir den erkannten Text der Bestätigung, nachdem IBAN, E-Mail-Adressen und Telefonnummern geschwärzt wurden. Anthropic handelt dabei als unser Auftragsverarbeiter. Die Entscheidung trifft immer ein Mitarbeiter; die Vorprüfung wird nicht auf Ihr KI-Kontingent angerechnet.
PayPal und Firmenkreditkarte: Diese Zahlungen wickeln wir über PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, ab. Kartendaten geben Sie in Eingabefelder von PayPal ein; sie gelangen nie auf unseren Server. Wir erhalten und speichern nur eine Zahlungsreferenz von PayPal (verschlüsselt), bei PayPal die E-Mail-Adresse Ihres PayPal-Kontos, bei Karten die Kartenmarke und die letzten vier Ziffern sowie den Status der Zahlungen. An PayPal übermitteln wir Firmenname, Rechnungsnummer, Betrag und eine Kundenkennung. Auf der Seite zur Hinterlegung des Zahlungsmittels laden wir Programmcode von PayPal; dabei erhält PayPal technisch bedingt Ihre IP-Adresse und Angaben zu Ihrem Browser und kann für die Zahlung erforderliche Cookies setzen. PayPal verarbeitet die Daten als eigener Verantwortlicher nach seinen Datenschutzbestimmungen, die auf der Website von PayPal abrufbar sind.
Überweisung: Bei Aufträgen, die Sie uns per Telefon oder E-Mail erteilen, können Sie per Überweisung zahlen; wir gleichen die Zahlungseingänge auf unserem Konto ab.

Zwecke sind Vertragsschluss, Abrechnung, Zahlungseinzug, Mahnwesen und die Erfüllung steuer- und handelsrechtlicher Pflichten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB, für Zahlungserinnerungen, Mahnungen und den Nachweis der Bestellung Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse liegt in der Durchsetzung unserer Forderungen und im Nachweis der Vertragsbedingungen) und für die Vorprüfung der Bankbestätigung mit Hilfe des KI-Dienstes Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse liegt in einer schnellen und zuverlässigen Prüfung der Mandate). Das Laden des Programmcodes von PayPal ist für die von Ihnen gewählte Zahlungsart unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Rechnungen und andere Buchungsbelege bewahren wir acht Jahre auf, Handels- und Geschäftsbriefe, zu denen auch Bestellungen mit den Zustimmungsnachweisen gehören, sechs Jahre, jeweils ab dem Ende des Kalenderjahres. Lastschriftmandate bewahren wir für die Dauer ihrer Gültigkeit und danach für die gesetzlichen Fristen auf. Diese Unterlagen bleiben auch nach der Löschung der übrigen Kundendaten erhalten.

15. Support, Supportfreigabe und Service-Aufträge

Wenn Sie sich per E-Mail oder über Ihr Konto an unseren Support wenden, verarbeiten wir Ihre Kontaktdaten und den Inhalt der Anfrage.

Unser Team kann auf Ihr Konto nur zugreifen, wenn ein Inhaber oder Administrator Ihres Unternehmens den Supportzugriff in den Einstellungen für 1, 3 oder 7 Tage freigibt; Sie können die Freigabe jederzeit vorzeitig beenden. Während der Freigabe kann unser Team den Einrichtungs-Assistenten ausführen und dabei Einstellungen ändern. Zugangsdaten (zum Beispiel für Postfächer, Lieferantenportale oder Banken) und Einwilligungen gibt nur Ihr Unternehmen selbst ein. Alle Aktionen werden im Audit-Protokoll Ihres Unternehmens festgehalten.

Für Service-Aufträge und Einrichtungsleistungen verarbeiten wir die Beauftragung, Aufwandsschätzung und Freigabe, Termine, Ansprechpartner, den Zeitaufwand und eine Zusammenfassung der erledigten Arbeiten.

Zur Betreuung und Fehlerbehebung sehen unsere Administratoren Betriebsdaten Ihres Kontos, etwa Benutzer mit E-Mail-Adresse, Mengen und Speicherbelegung, Fehlermeldungen von Hintergrundaufgaben und Schnittstellen, die letzten Einträge des Audit-Protokolls, Absender und Empfänger eingegangener E-Mails sowie Nutzung und Kosten der KI-Funktionen. Belege und Dokumente können sie in dieser Ansicht nicht öffnen.

Soweit dabei Inhalte Ihres Unternehmens betroffen sind, handeln wir als Auftragsverarbeiter (Abschnitt 20). Im Übrigen ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO und für die Betreuung durch unsere Administratoren Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem stabilen Betrieb und schneller Hilfe bei Störungen. Support-Korrespondenz speichern wir, solange es für die Kundenbeziehung erforderlich ist, als Handels- oder Geschäftsbrief bis zu sechs Jahre. Anfragen von Interessenten ohne Kundenkonto anonymisieren wir in der Anwendung 24 Monate nach Eingang. Vorgänge zu Ihrem Unternehmen (zum Beispiel Registrierung, Tarifwechsel und Kündigung) speichern wir, solange Ihr Unternehmen DokuFetch nutzt, und löschen sie mit den übrigen Daten Ihres Unternehmens (Abschnitt 23).

16. Ansprechpartner aus unserem Vertrieb

In der Anwendung nennen wir Ihnen einen persönlichen Ansprechpartner aus unserem Vertrieb. Dazu gleichen wir die Postleitzahl Ihres Unternehmens mit der Gebietszuordnung in unserem internen Vertriebssystem ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer persönlichen Betreuung durch einen zuständigen Ansprechpartner. Die Zuordnung gilt, solange Sie DokuFetch nutzen.

17. Partner- und Empfehlungsprogramm

Registrieren Sie sich über den Empfehlungslink oder mit dem Empfehlungscode eines Partners, zeigen wir Ihnen bei der Registrierung, wer Sie empfohlen hat und welchen Vorteil der Partner oder Sie erhalten, und speichern die Zuordnung sowie den angezeigten Wortlaut. Dem Partner teilen wir je empfohlenem Kunden nur den Namen des Unternehmens, den Status und die für die Vergütung maßgeblichen Beträge mit; Inhalte aus DokuFetch erhält er nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der korrekten Abrechnung von Empfehlungen.

Von unseren Partnern verarbeiten wir Name, Ansprechpartner, Kontaktdaten, Anschrift, Umsatzsteuer-Identifikationsnummer oder Steuernummer, die Angabe zur Kleinunternehmerregelung sowie Kontoinhaber und IBAN (verschlüsselt gespeichert), um die Partnervereinbarung durchzuführen, Gutschriften zu erstellen und Vergütungen auszuzahlen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Wir speichern die Daten für die Dauer der Partnerschaft; Gutschriften als Buchungsbelege acht Jahre, sonstige Geschäftsbriefe sechs Jahre.

18. Wechsel-Check Energie und Telekommunikation

Mit dem Wechsel-Check prüfen wir, ob Ihr Unternehmen bei Energie- und Telekommunikationsverträgen sparen kann. Er läuft nur, wenn ein Inhaber oder Administrator Ihres Unternehmens dafür in der Anwendung die Einwilligung erteilt. Dann übermittelt DokuFetch einmalig eine Übersicht der in DokuFetch erfassten Strom-, Gas- und Telekommunikationsverträge Ihres Unternehmens an uns: Name und Ort Ihres Unternehmens, Benutzerkennung und Rolle der Person, die eingewilligt hat, und je Vertrag Sparte, Anbieter, Vertragsart, Tarif, Kosten, Laufzeitende, Kündigungsfrist, Verbrauch und Arbeitspreis. Bankdaten, Dokumente, Kunden- und Zählernummern sind darin nicht enthalten. Wir zeigen Ihnen Einsparmöglichkeiten auf und kontaktieren Sie dazu.

Die Auswertung nimmt die Bavariaphone24 Vertrieb & Service GmbH selbst über ihre Angebote energiehandel.bayern und bavariaphone.de vor. An einen Energie- oder Telekommunikationsanbieter geben wir Daten erst weiter, wenn Sie uns mit einem Wechsel beauftragen. Für diese Verarbeitung sind wir Verantwortlicher; sie ist nicht Teil der Auftragsverarbeitung.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), im Fall eines beauftragten Wechsels Art. 6 Abs. 1 lit. b DSGVO. Sie können die Einwilligung jederzeit in den Einstellungen der Anwendung oder per E-Mail mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Nach einem Widerruf werten wir keine Verträge mehr aus und löschen unsere Auswertung. Ohne Widerruf und ohne Auftrag löschen wir eine Auswertung spätestens 24 Monate nach ihrer Erstellung. Erteilen Sie einen Auftrag, gelten die Fristen für Vertragsunterlagen (Abschnitt 23).

19. Plattformweite Verbesserungen

Damit DokuFetch für alle Kunden besser funktioniert, nutzen wir einzelne Angaben plattformweit. Angaben zu Privatpersonen und Einzelunternehmern nehmen wir nicht auf; Firmennamen von Gesellschaften können Namen von Gesellschaftern enthalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer zuverlässigen Erkennung von Lieferanten für alle Kunden.

Anbieterverzeichnis: Erscheint ein Lieferant auf freigegebenen Rechnungen von mindestens drei Kunden, übernehmen wir dessen Namen, Umsatzsteuer-Identifikationsnummer und Absender-Domain in ein gemeinsames Verzeichnis, damit DokuFetch diesen Lieferanten bei allen Kunden erkennt. Aufgenommen werden nur juristische Personen und Handelsgesellschaften mit Umsatzsteuer-Identifikationsnummer, nie Bankdaten oder Beträge.
Portal-Anleitungen: Technische Abläufe zum Abruf von Belegen aus Lieferantenportalen (zum Beispiel, welche Schaltfläche zur Rechnungsübersicht führt) stellen wir allen Kunden zur Verfügung, nie aber Zugangsdaten oder Inhalte.
Lieferanten-Logos: Zur besseren Erkennbarkeit laden wir die von Lieferanten auf ihren öffentlichen Websites bereitgestellten Symbolbilder.

20. Auftragsverarbeitung: Inhalte in DokuFetch

Für alle Inhalte, die Ihr Unternehmen in DokuFetch einbringt oder verarbeiten lässt, sind wir Auftragsverarbeiter. Dazu gehören insbesondere Belege und Dokumente, E-Mails und Tickets aus verbundenen Postfächern, Bankumsätze, Verträge, Kunden- und Lieferantenstammdaten, Ausgangsrechnungen, verschlüsselt gespeicherte Zugangsdaten zu Portalen und Postfächern, Unterschriften auf Bewirtungs-Zusatzblättern und das Audit-Protokoll. Verantwortlicher ist Ihr Unternehmen. Es gilt die Vereinbarung zur Auftragsverarbeitung, die mit der Registrierung abgeschlossen wird und in deren Anlage 2 alle Unterauftragsverarbeiter genannt sind.

Sind Sie eine Person, deren Daten in solchen Inhalten vorkommen (zum Beispiel Ansprechpartner eines Lieferanten), wenden Sie sich mit Fragen und zur Ausübung Ihrer Rechte bitte an das Unternehmen, das DokuFetch nutzt. Erreicht uns Ihre Anfrage, leiten wir sie an dieses Unternehmen weiter.

20.1 KI-Funktionen

DokuFetch kann Texte mit Hilfe eines KI-Dienstes auslesen und auswerten, etwa um Rechnungsdaten zu erkennen, Kontierungs- und Zahlungsvorschläge zu machen oder Antworten zu entwerfen. Das geschieht nur, wenn ein Inhaber oder Administrator die KI-Funktionen in den Einstellungen mit Einwilligung einschaltet; einzelne Funktionen lassen sich abschalten. Die Einwilligung speichern wir mit Benutzer, Zeitpunkt, Wortlaut und eingeschalteten Funktionen (Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Nachweis der Weisung).

Vertragspartner ist Anthropic Ireland, Limited, Irland; die Verarbeitung erfolgt durch Anthropic, PBC in den USA. Übermittelt wird nur Text, keine Dateien. Vor jeder Übermittlung schwärzt DokuFetch automatisch IBAN, BIC, Konto- und Kartennummern, E-Mail-Adressen, Telefonnummern, Zugangsdaten, Steuer-Identifikationsnummern, Ausweis- und Sozialversicherungsnummern und Geburtsdaten. Namen und Anschriften können in den übermittelten Texten enthalten sein. Dokumente, die DokuFetch als Kontoauszug oder als Lohn-, Gehalts-, Personal- oder Gesundheitsunterlage erkannt hat, übermittelt DokuFetch nicht an den KI-Dienst. Ist die Dokumentart noch nicht erkannt, kann der geschwärzte Text zur Einordnung übermittelt werden. Bei der Trennung gescannter Stapel werden die geschwärzten Seitenanfänge, bei Antwortentwürfen für E-Mail-Tickets und Korrespondenz die geschwärzten Nachrichtentexte und beim Zahlungsabgleich Verwendungszweck, Betrag und Datum einzelner Kontoumsätze übermittelt. Sucht DokuFetch mit Hilfe der KI im Internet nach Angaben zu einem Lieferanten, wird dafür nur der Name des Lieferanten verwendet. Anthropic verwendet die Daten nach seinen kommerziellen Bedingungen nicht zum Training von KI-Modellen und löscht sie spätestens nach 30 Tagen, soweit Anthropic sie nicht ausnahmsweise wegen gesetzlicher Pflichten oder zur Aufklärung eines Verstoßes gegen seine Nutzungsrichtlinien länger aufbewahren muss. Die Übermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln (Abschnitt 22).

20.2 Bankanbindung

Verbinden Sie ein Bankkonto mit DokuFetch, erfolgt der Abruf über die finAPI GmbH, Adams-Lehmann-Str. 44, 80797 München, Deutschland, einen bei der Bundesanstalt für Finanzdienstleistungsaufsicht registrierten Kontoinformationsdienst. Anmeldung und Freigabe bei Ihrer Bank (starke Kundenauthentifizierung) erfolgen direkt bei finAPI; Ihre Online-Banking-Zugangsdaten erhalten wir nicht. DokuFetch ruft Kontoangaben und Umsätze bis zu 90 Tage rückwirkend ab. Der Zugriff gilt so lange, wie Ihre Freigabe bei der Bank es vorsieht, in der Regel 180 Tage.

20.3 Von Ihnen bestimmte Empfänger und Quellen

Verbinden Sie DokuFetch mit anderen Systemen, übermittelt oder empfängt DokuFetch Daten auf Ihre Weisung. Das betrifft insbesondere DATEV, Ihr eigenes Lexware Office, Ihre Steuerberatung, Postfächer bei Microsoft oder Google, die Sie per Anmeldung beim jeweiligen Anbieter verbinden, Lieferantenportale, externe Ablagen (SFTP, WebDAV, Netzwerkspeicher) und Webhooks an Ihre Systeme. Diese Stellen sind von Ihnen bestimmte Empfänger oder Quellen und keine Unterauftragsverarbeiter von uns.

20.4 Rechnungen beim Lieferanten anfordern

Fordert ein Unternehmen über DokuFetch eine fehlende Rechnung bei einem seiner Lieferanten an, senden wir die E-Mail in seinem Namen und Auftrag an die Adresse, die das Unternehmen für diesen Lieferanten freigegeben hat. Grundlage ist eine Vollmacht, die das Unternehmen dafür in DokuFetch unterschreibt; sie erlaubt nur, Rechnungen anzufordern und entgegenzunehmen. Die E-Mail enthält nur die Angaben, die zur Zuordnung der Rechnung nötig sind: Datum und Betrag der Zahlung, einen gekürzten Verwendungszweck ohne vollständige Bankverbindungen und gegebenenfalls die Kundennummer. Antworten gehen an die DokuFetch-Eingangsadresse des Unternehmens. Verantwortlicher ist auch hier das Unternehmen; wir handeln als Auftragsverarbeiter. Ansprechpartner eines Lieferanten wenden sich mit Fragen und zur Ausübung ihrer Rechte deshalb an das anfragende Unternehmen – eine Antwort auf die E-Mail genügt.

Die Vollmacht mit Name und Funktion der unterzeichnenden Person, Unterschrift, Zeitpunkt und einem HMAC-Hashwert der IP-Adresse liegt im Konto des Unternehmens und wird mit ihm gelöscht. Über einen Prüfcode in der E-Mail können Lieferanten die Echtheit der Vollmacht auf einer öffentlichen Seite der Anwendung prüfen. Diese Seite zeigt nur Firma, Ort, Gültigkeitszeitraum und Stand der Vollmacht, nicht die unterzeichnende Person, und wird nicht von Suchmaschinen erfasst. Um massenhafte Abrufe zu verhindern, zählen wir die Abrufe je Anschluss anhand eines HMAC-Hashwerts der IP-Adresse; diese Einträge löschen wir nach spätestens zwei Tagen (Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse liegt im Schutz vor Missbrauch).

21. Empfänger im Überblick

Personenbezogene Daten geben wir nur weiter, soweit es in dieser Erklärung beschrieben ist. Empfänger sind:

IONOS SE: Hosting von Website, Anwendung, Datenbank und Vertriebssystem (Auftragsverarbeiter)
Microsoft Ireland Operations Limited: E-Mail-Postfach, Versand aller E-Mails, Online-Termine mit Microsoft Teams (Auftragsverarbeiter)
Haufe-Lexware GmbH & Co. KG: Buchhaltung und Rechnungsstellung (Auftragsverarbeiter)
PayPal (Europe) S.à r.l. et Cie, S.C.A.: Zahlungen per PayPal und Firmenkreditkarte (eigener Verantwortlicher)
unsere Bank: Einzug von SEPA-Lastschriften und Zahlungsverkehr (eigener Verantwortlicher)
Anthropic Ireland, Limited und Anthropic, PBC: KI-Funktionen, nur nach Einschalten (Unterauftragsverarbeiter im Rahmen der Auftragsverarbeitung, Abschnitt 20.1), sowie Vorprüfung der Bankbestätigung eines Firmenlastschrift-Mandats (unser Auftragsverarbeiter, Abschnitt 14)
finAPI GmbH: Bankanbindung, nur nach Verbinden eines Kontos (Unterauftragsverarbeiter im Rahmen der Auftragsverarbeitung, Abschnitt 20.2)
Energie- und Telekommunikationsanbieter: nur wenn Sie uns mit einem Wechsel beauftragen (Abschnitt 18)
Partner des Empfehlungsprogramms: nur die in Abschnitt 17 genannten Angaben
Steuerberater, Wirtschaftsprüfer und Rechtsanwälte, soweit wir sie für unsere Buchführung, Jahresabschlüsse oder die Durchsetzung von Ansprüchen einschalten; sie sind zur Verschwiegenheit verpflichtet
Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind, etwa Finanzbehörden

Innerhalb unseres Unternehmens erhalten nur die Mitarbeiter Zugriff, die die Daten für ihre Aufgaben in Vertrieb, Kundenbetreuung, Support, Abrechnung und Betrieb benötigen.

22. Übermittlung in Drittländer

Grundsätzlich verarbeiten wir Daten in Deutschland und in der Europäischen Union. In folgenden Fällen ist eine Übermittlung in die USA möglich:

Microsoft: Microsoft Ireland Operations Limited kann Daten an die Microsoft Corporation in den USA übermitteln. Die Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert; für die Übermittlung gilt der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Zusätzlich sind EU-Standardvertragsklauseln vereinbart (Art. 46 Abs. 2 lit. c DSGVO).
Anthropic: Bei eingeschalteten KI-Funktionen verarbeitet Anthropic, PBC die übermittelten Texte in den USA. Anthropic ist nicht nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und der in Abschnitt 20.1 beschriebenen Schwärzung.

Eine Kopie der Standardvertragsklauseln können Sie bei uns anfordern. Zu Übermittlungen durch PayPal als eigenen Verantwortlichen informiert PayPal in seinen Datenschutzbestimmungen.

23. Speicherdauer und gesetzliche Aufbewahrungspflichten

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist; die Fristen sind bei den einzelnen Verarbeitungen genannt. Danach löschen oder anonymisieren wir die Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Nach § 147 AO und § 257 HGB bewahren wir Bücher, Jahresabschlüsse und Inventare zehn Jahre, Buchungsbelege wie Rechnungen acht Jahre und empfangene sowie versandte Handels- und Geschäftsbriefe sechs Jahre auf, jeweils ab dem Ende des Kalenderjahres, in dem die Unterlage entstanden oder eingegangen ist. Während einer Aufbewahrungspflicht schränken wir die Verarbeitung auf die Aufbewahrung ein.

Nach Vertragsende oder nach Ende einer Testphase ohne Bestellung können Sie mindestens 30 Tage lesend auf Ihre Daten zugreifen und sie exportieren. 120 Tage nach dem Ende löschen wir alle Daten Ihres Unternehmens; aus den Datensicherungen verschwinden sie spätestens 30 Tage später. Bei uns verbleiben nur unsere eigenen Vertrags- und Abrechnungsunterlagen: Firmenname, Anschrift, Umsatzsteuer-Identifikationsnummer und Kundennummer, Verträge und Vertragsänderungen, Bestellungen mit Zustimmungsnachweisen, Rechnungen und Gutschriften, vereinbarte Rabatte und Aktionsteilnahmen, Forderungen und Zahlungen, Lastschriftmandate, beauftragte Einrichtungs- und Serviceleistungen sowie die Zuordnung zu einem Empfehlungspartner. Wir löschen sie nach Ablauf der gesetzlichen Aufbewahrungsfristen, spätestens zehn Jahre nach dem Ende des Kalenderjahres, in dem wir die übrigen Daten gelöscht haben. Hat Ihr Unternehmen nur die kostenlose Testphase genutzt, löschen wir auch Firmenangaben und Zustimmungsnachweise. Wie Sie selbst mit Aufbewahrung und Löschung in DokuFetch umgehen, beschreiben wir unter Aufbewahrung und Löschung.

24. Datensicherheit

Wir schützen die Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere die verschlüsselte Übertragung per HTTPS, die Verschlüsselung von Belegdateien und gespeicherten Zugangsdaten auf Ebene der Anwendung, Passwörter nur als Hashwerte, die Zwei-Faktor-Anmeldung, ein Rollen- und Rechtekonzept mit Trennung der Kunden, pseudonymisierte IP-Adressen in Protokollen, ein Audit-Protokoll und tägliche Datensicherungen. Die Maßnahmen beschreiben wir unter Technische und organisatorische Maßnahmen.

25. Pflicht zur Bereitstellung

Der Besuch der Website ist ohne Angabe personenbezogener Daten möglich; die in Abschnitt 4 genannten Daten übermittelt Ihr Browser technisch bedingt, ohne sie ist ein Aufruf der Website nicht möglich. Die Angaben in unseren Formularen machen Sie freiwillig; ohne die als Pflicht gekennzeichneten Angaben und ohne Einwilligung in die Kontaktaufnahme können wir Ihre Anfrage nicht bearbeiten.

Für die Registrierung und die Nutzung der Anwendung sind die in Abschnitt 11 genannten Angaben erforderlich, für eine Bestellung zusätzlich die Unternehmens- und Zahlungsangaben aus Abschnitt 14. Ohne diese Angaben können wir keinen Vertrag schließen. Gesetzlich verpflichtet sind Sie zur Bereitstellung nicht; für unsere Rechnungen benötigen wir aber die gesetzlich vorgeschriebenen Rechnungsangaben. KI-Funktionen, Bankanbindung, Wechsel-Check und die Teilnahme am Partnerprogramm sind freiwillig.

26. Herkunft der Daten

Die meisten Daten erheben wir bei Ihnen selbst. Folgende Daten erhalten wir aus anderen Quellen:

von Ihrem Unternehmen: Name, E-Mail-Adresse und Rolle, wenn ein Inhaber oder Administrator Sie als Benutzer einlädt
von unseren Partnern: die Empfehlung, wenn Sie sich über einen Empfehlungslink oder -code registrieren
von PayPal und unserer Bank: Status von Zahlungen, Rücklastschriften und Rückbuchungen
von Ihrer Bank über die Bestätigung, die Sie hochladen: die Bestätigung der Hinterlegung eines Firmenlastschrift-Mandats
aus unserer Reichweitenmessung: der Einstieg Ihres Besuchs, wenn Sie eine Anfrage absenden (Abschnitt 5)
aus unserem internen Vertriebssystem: der für Ihr Unternehmen zuständige Ansprechpartner (Abschnitt 16)
aus Ihren in DokuFetch gespeicherten Verträgen und Rechnungen: die Angaben für den Wechsel-Check, wenn er eingeschaltet ist (Abschnitt 18)

27. Keine automatisierte Entscheidung im Einzelfall

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Die automatische Spam-Bewertung von Formularanfragen und die vorübergehende Aufnahme in die Sperrliste bei Fallen-Pfaden (Abschnitt 4.3) dienen nur dem Schutz vor Missbrauch; erhalten Sie auf eine Anfrage keine Antwort, erreichen Sie uns telefonisch oder per E-Mail. Ergebnisse der KI-Funktionen sind Vorschläge, die Ihr Unternehmen prüft.

28. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht oder ein anderer gesetzlicher Grund entgegensteht
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO) für Daten, die Sie uns auf Grundlage einer Einwilligung oder eines Vertrags bereitgestellt haben
Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO, Abschnitt 29)
Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt

Zur Ausübung Ihrer Rechte genügt eine Nachricht an hallo@dokufetch.de oder an unsere Postanschrift. Damit wir Daten nicht an Unbefugte herausgeben, können wir bei begründeten Zweifeln einen Nachweis Ihrer Identität verlangen.

29. Ihr Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) erfolgt; dies gilt auch für ein auf diese Bestimmung gestütztes Profiling. Legen Sie Widerspruch ein, verarbeiten wir die betroffenen Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Verarbeiten wir Ihre Daten, um Direktwerbung zu betreiben, können Sie dieser Verarbeitung jederzeit ohne Angabe von Gründen widersprechen; das gilt auch für ein Profiling, soweit es mit solcher Direktwerbung in Verbindung steht. Nach einem solchen Widerspruch verarbeiten wir Ihre Daten nicht mehr für Zwecke der Direktwerbung.

Ihren Widerspruch richten Sie formlos an:
Bavariaphone24 Vertrieb & Service GmbH, Starnberger Str. 30, 82343 Pöcking
E-Mail: hallo@dokufetch.de

30. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt (Art. 77 DSGVO). Sie können sich insbesondere an die Aufsichtsbehörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden. Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Deutschland

31. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung. Setzen wir neue Verarbeitungen ein, für die eine Einwilligung erforderlich ist, holen wir diese vorher ein.

Stand: 20. Oktober 2026