Datenschutzerklärung

Stand: Juni 2026

1. Verantwortlicher

Shahram Kader Karim
Thomas-Schwantahler-Straße 18, 4770 Andorf
E-Mail: shahram.karem2@outlook.com

2. Welche Daten wir verarbeiten

2.1 Kontodaten

Bei der Registrierung erheben wir: Name, E-Mail-Adresse und ein Passwort (gespeichert ausschließlich als kryptographischer Hash, niemals im Klartext). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

2.2 Hochgeladene Dokumente

Die von Ihnen hochgeladenen PDF-Dokumente (Rechnungen, Lieferscheine) werden ausschließlich zum Zweck der automatisierten Verarbeitung (Texterkennung, Umbenennung, Konvertierung) verwendet. Hochgeladene Original-PDFs werden unmittelbar nach der Verarbeitung gelöscht. Erzeugte TIFF-Dateien werden als ZIP-Archiv bereitgestellt und nach Ablauf der Aufbewahrungsfrist (Standard: 24 Stunden) automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.3 Verarbeitungsprotokolle

Zu jedem verarbeiteten Dokument speichern wir Metadaten (Dateiname, Dokumenttyp, erkannte Belegnummer und -datum, Zeitpunkt, Status). Diese Daten dienen der Nachvollziehbarkeit für Ihre Organisation und der Abrechnung des Kontingents. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

2.4 Sicherheitsprotokolle

Sicherheitsrelevante Ereignisse (Anmeldungen, fehlgeschlagene Anmeldeversuche, Passwort- und E-Mail-Änderungen) werden mit Zeitstempel und IP-Adresse protokolliert, um Ihr Konto vor unbefugtem Zugriff zu schützen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kontosicherheit).

2.5 Zahlungsdaten

Die Freischaltung kostenpflichtiger Zugänge erfolgt über Aktivierungscodes. Eine Kreditkarten- oder Online-Zahlungs­abwicklung findet in der Anwendung nicht statt; es werden daher keine Zahlungsdaten (z. B. Kreditkartennummern) über Docuvo erhoben oder verarbeitet. Eine etwaige Rechnungsstellung erfolgt außerhalb der Anwendung.

3. Cookies

Docuvo verwendet ausschließlich technisch notwendige Cookies:

Cookie	Zweck	Speicherdauer
session	Anmeldesitzung (Flask-Login)	Sitzung / bis Logout
docuvo-theme	Hell-/Dunkelmodus-Präferenz (localStorage)	unbegrenzt, lokal

Es werden keine Tracking-, Analyse- oder Werbe-Cookies eingesetzt. Eine Einwilligung ist für technisch notwendige Cookies nicht erforderlich (§ 165 Abs. 3 TKG 2021 / § 25 Abs. 2 TDDDG).

4. Speicherdauer und Löschung

• Original-PDFs: Löschung unmittelbar nach Verarbeitung.
• Erzeugte ZIP-Archive: automatische Löschung nach 24 Stunden.
• Dokumente in manueller Prüfung: automatische Löschung nach 14 Tagen ohne Prüfung.
• Verarbeitungsmetadaten: für die Dauer des Vertragsverhältnisses; buchhaltungsrelevante Daten unterliegen der gesetzlichen Aufbewahrungspflicht (§ 132 BAO: 7 Jahre / § 147 AO: 10 Jahre).
• Kontodaten: bis zur Löschung des Kontos durch Sie.

5. Ihre Rechte (Art. 15–21 DSGVO)

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15) — über die Funktion „Meine Daten exportieren" in den Kontoeinstellungen erhalten Sie eine vollständige maschinenlesbare Kopie Ihrer Daten.
• Berichtigung (Art. 16) — Name und E-Mail können Sie selbst in den Kontoeinstellungen ändern.
• Löschung (Art. 17) — über „Konto löschen" in den Kontoeinstellungen. Personenbezogene Daten werden gelöscht bzw. anonymisiert; gesetzlichen Aufbewahrungspflichten unterliegende Geschäftsdaten bleiben gem. Art. 17 Abs. 3 lit. b DSGVO erhalten.
• Datenübertragbarkeit (Art. 20) — der Datenexport erfolgt im JSON-Format.
• Widerspruch (Art. 21) und Einschränkung der Verarbeitung (Art. 18) — kontaktieren Sie uns unter der oben angegebenen E-Mail-Adresse.

6. Beschwerderecht

Sie haben das Recht auf Beschwerde bei einer Aufsichtsbehörde. In Österreich: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

7. Auftragsverarbeiter

Wir setzen folgende Auftragsverarbeiter ein (Art. 28 DSGVO):

Dienstleister	Zweck	Sitz / Garantien
Hetzner Online GmbH	Server-Infrastruktur (Hosting)	Deutschland (EU) — AVV abgeschlossen
Brevo (Sendinblue GmbH)	Transaktions-E-Mails (Verifizierung, Passwort-Reset)	EU — AVV abgeschlossen
Groq, Inc.	KI-gestützte Beleg-Erkennung — nur wenn in den Organisations-Einstellungen aktiviert	USA — Standardvertragsklauseln (Art. 46 DSGVO)

7a. KI-gestützte Erkennung & Drittlandübermittlung

Die optionale KI-Erkennung ist standardmäßig deaktiviert. Ohne Aktivierung werden Beleg-Inhalte ausschließlich innerhalb der EU verarbeitet (lokale OCR- und Mustererkennung); eine Übermittlung in Drittländer findet nicht statt.

Aktiviert eine Organisation die KI-Erkennung ausdrücklich in ihren Einstellungen, werden die zur Erkennung nötigen Beleg-Inhalte (Text bzw. Seiten-Bild) an Groq, Inc. (USA) übermittelt und dort ausschließlich zur Extraktion verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b/f DSGVO; die Übermittlung in die USA erfolgt auf Basis der EU-Standardvertrags­klauseln (Art. 46 DSGVO). Die Aktivierung kann jederzeit widerrufen werden.

8. Datensicherheit

• Übertragung ausschließlich über TLS-verschlüsselte Verbindungen (HTTPS).
• Passwörter werden mit modernen Hash-Verfahren (Werkzeug/PBKDF2) gespeichert.
• Sicherheits-Token (Passwort-Reset, E-Mail-Verifikation, Einladungen) werden ausschließlich als SHA-256-Hash gespeichert.
• Automatische Kontosperre nach mehrfach fehlgeschlagenen Anmeldeversuchen.
• Zugriff auf Dokumente ist strikt auf die eigene Organisation beschränkt.