Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO für die Verarbeitung personenbezogener Daten auf zvitly.io und in der Anwendung Zvitly ist:

Für alle Fragen zum Datenschutz, für Auskunftsersuchen und für die Ausübung Ihrer Rechte genügt eine Nachricht an die oben genannte E-Mail-Adresse mit dem Betreff „Datenschutz“. Eine besondere Form ist nicht erforderlich.

2. Datenschutzbeauftragter

Zvitly hat keinen Datenschutzbeauftragten bestellt. Wir halten es für richtig, das zu begründen, statt die Frage unbeantwortet zu lassen.

Art. 37 Abs 1 DSGVO knüpft die Bestellpflicht nicht an die Unternehmensgröße, sondern an die Art der Verarbeitung. Keiner der drei Tatbestände ist erfüllt:

• lit a — wir sind keine Behörde und keine öffentliche Stelle.
• lit b — unsere Kerntätigkeit ist keine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen. Zvitly verarbeitet Buchhaltungsdaten, die der Kunde selbst einbringt; wir beobachten kein Verhalten, erstellen keine Profile und verfolgen niemanden über Websites hinweg.
• lit c — wir verarbeiten weder besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO noch Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO in umfangreicher Weise. Buchhaltungs-, Rechnungs- und Bankdaten gehören keiner dieser Kategorien an.

Ändert sich die Art unserer Verarbeitung — etwa durch eine Funktion, die Verhalten systematisch auswertet —, bestellen wir einen Datenschutzbeauftragten und weisen ihn an dieser Stelle aus.

3. Grundrecht auf Datenschutz — § 1 DSG

In Österreich ist Datenschutz nicht nur europäisches Sekundärrecht. Art. 1 § 1 des Datenschutzgesetzes (DSG) ist eine Verfassungsbestimmung und gewährt jedermann einen Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht.

Praktisch bedeutet das zweierlei. Erstens: Beschränkungen dieses Anspruchs sind nur zur Wahrung überwiegender berechtigter Interessen zulässig, und der Eingriff darf jeweils nur in der gelindesten zum Ziel führenden Art vorgenommen werden (§ 1 Abs 2 DSG) — dieser Maßstab liegt jeder Interessenabwägung in diesem Dokument zugrunde. Zweitens: Auskunft, Richtigstellung und Löschung stehen Ihnen in Österreich zusätzlich auf Verfassungsebene zu (§ 1 Abs 3 DSG), nicht nur nach Art. 15 ff DSGVO.

Gesetzestext im Rechtsinformationssystem des Bundes (RIS): § 1 DSG

4. Kategorien der verarbeiteten Daten

Wir verarbeiten Daten, die Sie selbst eingeben oder hochladen, technische Daten, die beim Betrieb zwangsläufig anfallen, sowie in zwei Fällen Angaben, die wir von einem Dienst erhalten, den Sie selbst dafür wählen: bei der Anmeldung mit Google die Angaben, die Google dafür übermittelt (Punkt 6), und bei der Bezahlung eines Abonnements die Rückmeldungen von Stripe über Tarif und Zahlung (Punkt 8). Wir kaufen keine Daten zu, reichern nichts aus externen Quellen an und übernehmen keine Datenbestände von Dritten.

• Kontodaten — E-Mail-Adresse, Passwort (ausschließlich als Hash bei Supabase Auth, nie im Klartext), Name, Telefonnummer, Sprachwahl, Zeitzone, Profilbild, aktive Sitzungen sowie — falls aktiviert — die Faktoren der Zwei-Faktor-Authentifizierung.
• Unternehmensdaten — Firmenname, Rechtsform, Anschrift, UID-Nummer, Steuernummer, zuständiges Finanzamt, Bankverbindung (IBAN, BIC), Logo, Rechnungseinstellungen, gewähltes Wirtschaftsjahr und Tarif.
• Buchhaltungsdaten — Belege samt hochgeladener Dateien, Ausgangs- und Eingangsrechnungen mit Positionen, Kontakte und Auftraggeber, Bankkonten und Kontobewegungen, Kassaeinträge, Reise- und Spesenabrechnungen, Zeiterfassung, Anlagevermögen, Lohnverrechnungsdaten sowie Steuererklärungen und Meldungen. Diese Daten verarbeiten wir in Ihrem Auftrag — dazu Punkt 7.
• Technische Daten — IP-Adresse, Browserkennung (User-Agent), Zeitstempel von Zugriffen und Aktionen sowie Server-Protokolle des Hostings.
• Kommunikationsdaten — Support-Anfragen samt Verlauf und Anhängen, Benachrichtigungen im Konto und die Versanddaten der System-E-Mails.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO — Gesundheitsdaten, biometrische Daten, Daten über Weltanschauung, Gewerkschaftszugehörigkeit oder sexuelle Orientierung — verarbeiten wir nicht und fragen sie nirgends ab.

5. Zweck, Rechtsgrundlage und Speicherdauer

Diese Tabelle ist der Kern dieser Erklärung: sie beantwortet Art. 13 Abs 1 lit c und Abs 2 lit a DSGVO für jeden einzelnen Verarbeitungszweck.

Wo eine Verarbeitung auf Art. 6 Abs 1 lit f DSGVO gestützt ist, finden Sie die Interessenabwägung in Punkt 9.

6. Registrierung und Führung des Kontos

Für die Registrierung genügen E-Mail-Adresse und Passwort. Beides ist erforderlich, weil ohne Konto kein Zugang zu den Daten möglich ist und ohne bestätigte Adresse niemand sein Passwort zurücksetzen könnte.

Das Passwort speichert Supabase Auth ausschließlich als kryptographischen Hash. Wir haben zu keinem Zeitpunkt Zugriff auf das Klartextpasswort — auch nicht als Betreiber.

Aktivieren Sie die Zwei-Faktor-Authentifizierung, verarbeiten wir zusätzlich den Faktor selbst (TOTP-Geheimnis) und die Bestätigungen. Rechtsgrundlage ist Art. 6 Abs 1 lit b und lit f DSGVO — die Absicherung eines Kontos, in dem Ihre Buchhaltung liegt.

Statt mit Passwort können Sie sich auch mit Ihrem Google-Konto registrieren und anmelden. Wählen Sie diesen Weg, findet die Anmeldung selbst bei Google statt; Google übermittelt danach an Supabase Auth Ihre E-Mail-Adresse und die Profilangaben, die Google dafür freigibt — Name, Profilbild und eine Kennung Ihres Google-Kontos. Ein Passwort für Zvitly entsteht dabei nicht. Wir übermitteln Google bei diesem Vorgang keine Daten über Sie; dass Sie sich bei Zvitly anmelden, erfährt Google aus der Anmeldung selbst und verarbeitet das nach seinen eigenen Bedingungen. Rechtsgrundlage auf unserer Seite ist Art. 6 Abs 1 lit b DSGVO. Die Anmeldung mit Google ist freiwillig; der Weg über E-Mail-Adresse und Passwort steht immer offen.

7. Buchhaltungsdaten — Zvitly als Auftragsverarbeiter

Alles, was Sie in Zvitly an Belegen, Rechnungen, Kontakten und Kontobewegungen erfassen, enthält regelmäßig personenbezogene Daten Dritter: Ihrer Kunden, Lieferanten und Mitarbeiter. Über Zweck und Mittel dieser Verarbeitung entscheiden Sie, nicht wir.

In dieser Konstellation sind Sie Verantwortlicher und Zvitly Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Wir verarbeiten diese Daten ausschließlich nach Ihrer Weisung und nicht für eigene Zwecke — insbesondere werten wir sie nicht aus, geben sie nicht weiter und nutzen sie nicht für Werbung.

Auftragsverarbeitungsvertrag (AVV), Unterauftragsverarbeiter, technische Maßnahmen und Löschkonzept sind auf einer eigenen Seite beschrieben: DSGVO & Auftragsverarbeitung

8. Funktionen mit eigener Verarbeitung und ihr Stand

Vier Funktionen von Zvitly sind mit eigenen Verarbeitungen verbunden, und nicht alle sind schon in Betrieb. Eine Datenschutzerklärung, die Verarbeitungen beschreibt, die es noch nicht gibt, verstößt gegen den Grundsatz der Richtigkeit (Art. 5 Abs 1 lit a DSGVO) — ebenso wie eine, die vorhandene verschweigt. Deshalb halten wir für jede dieser Funktionen fest, was zum Stand dieser Erklärung tatsächlich verarbeitet wird: Belegerkennung und Zahlungsabwicklung sind in Betrieb, die Übermittlung an FinanzOnline und die Bankanbindung noch nicht.

• Automatische Belegerkennung — In Betrieb. Laden Sie einen Beleg als Bild hoch und umfasst Ihr Tarif die automatische Erkennung, liest Zvitly die Angaben des Belegs über Amazon Bedrock aus, den KI-Dienst von Amazon Web Services. Übermittelt wird ausschließlich das Belegbild im Format JPEG, PNG, GIF oder WebP — PDF-Dateien gehen nicht an den Dienst —, ohne Ihren Namen, Ihre E-Mail-Adresse oder sonstige Angaben aus Ihrem Konto. Die Anfrage läuft über ein Inferenzprofil, das die Verarbeitung auf Rechenzentren in der EU beschränkt; Ausgangsregion ist eu-central-1 (Frankfurt am Main). Zurück kommen die ausgelesenen Angaben — Aussteller, Datum, Beträge, Steuersatz — und ein Kategorievorschlag; beides wird beim Beleg in Ihrem Konto gespeichert, und Sie können es jederzeit ändern. Der Kategorievorschlag bleibt ein Vorschlag, bis Sie ihn übernehmen (Punkt 18). Weil der Beleg zu Ihrer Buchhaltung gehört, geschieht das als Verarbeitung in Ihrem Auftrag (Punkt 7); Amazon Web Services ist dafür unser Unterauftragsverarbeiter (Punkt 13 und die Tabelle auf der Seite DSGVO und Auftragsverarbeitung). Zvitly verwendet Ihre Belege nicht zum Training von KI-Modellen.
• Zahlungsabwicklung — In Betrieb. Zahlungen an Zvitly — insbesondere für Ihr Abonnement — wickelt Stripe ab. Beim Wechsel zur Zahlung übergeben wir Stripe Ihre E-Mail-Adresse und eine interne Kennung Ihres Unternehmenskontos, damit die Zahlung dem richtigen Konto zugeordnet wird. Name, Rechnungsanschrift, gegebenenfalls UID-Nummer und das Zahlungsmittel geben Sie im Zahlungsformular von Stripe selbst ein; diese Angaben gelangen unmittelbar zu Stripe, nicht zu uns — Kartennummern sehen und speichern wir zu keinem Zeitpunkt. Von Stripe erhalten wir zurück, was wir für die Vertragsdurchführung brauchen: die Kennungen von Kunde und Abonnement, Tarif und Abrechnungszeitraum, den Status des Abonnements, Beträge und Zeitpunkte der Zahlungen sowie fehlgeschlagene Zahlungen. Zweck ist die Abrechnung Ihres Vertrags mit uns; Rechtsgrundlage ist Art. 6 Abs 1 lit b DSGVO. Diese Daten gehören nicht zu Ihrer Buchhaltung, sondern zu Ihrem Vertrag mit uns — für sie sind wir Verantwortlicher, nicht Auftragsverarbeiter. Zahlungs- und Rechnungsaufzeichnungen bewahren wir nach § 132 Abs 1 BAO sieben Jahre ab Ende des Kalenderjahres auf, auf das sie sich beziehen (Tabelle in Punkt 5). Wie Stripe die Angaben verarbeitet, die Sie im Zahlungsformular eingeben, beschreibt Stripe in seiner eigenen Datenschutzerklärung.
• Übermittlung an FinanzOnline — Die Übermittlung an FinanzOnline ist geplant, aber noch nicht in Betrieb. Es werden keine Erklärungen an die Finanzverwaltung übermittelt, und FinanzOnline-Zugangsdaten werden derzeit nicht gespeichert. Sobald die Schnittstelle in Betrieb geht, beschreiben wir hier, welche Daten übermittelt und wie die Zugangsdaten geschützt werden.
• Bankanbindung — Die automatische Bankanbindung ist geplant, aber noch nicht in Betrieb. Kontobewegungen gelangen derzeit nur durch von Ihnen hochgeladene Dateien in die Anwendung. Mit der Anbindung nennen wir den Kontoinformationsdienst und die Grundlage des Zugriffs.

9. Server-Protokolle, Rate-Limiting und Sicherheit

Beim Aufruf der Seite überträgt Ihr Browser technisch notwendige Daten an den Server, darunter Ihre IP-Adresse. Ohne sie kann keine Antwort zugestellt werden.

Bei Registrierung und Passwortzurücksetzung begrenzen wir die Zahl der Versuche. Dafür speichern wir IP-Adresse und E-Mail-Adresse nicht im Klartext, sondern ausschließlich als HMAC-SHA256 mit einem serverseitigen Geheimnis. Die Einträge werden spätestens nach zwei Stunden automatisch gelöscht.

Administrative Zugriffe auf Kundenkonten protokollieren wir mit Kennung, Aktion, Zeitpunkt, IP-Adresse und User-Agent. Dieses Protokoll schützt Sie: es macht nachvollziehbar, wer wann was getan hat.

Bis zum 21. August 2026 stand an dieser Stelle, dass wir kein Analysewerkzeug einsetzen. Seit 22. August 2026 trifft das nicht mehr zu, und wir schreiben die Änderung ausdrücklich hin, statt den Satz stillschweigend auszutauschen. Im öffentlichen Teil der Website läuft nunmehr Google Analytics 4 — jedoch erst nach Ihrer ausdrücklichen Einwilligung: solange diese nicht vorliegt, wird das Google-Skript überhaupt nicht geladen, es geht also keine einzige Anfrage dorthin. Rechtsgrundlage sind Art. 6 Abs 1 lit a DSGVO und § 165 Abs 3 TKG 2021. Einzelheiten, die vollständige Aufzählung der Einträge und der Widerruf finden sich in Punkt 10. In der Anwendung hinter der Anmeldung findet keine Messung statt. Ein Fehlermelde- oder Session-Recording-Dienst ist weiterhin nicht eingebunden.

10. Cookies und lokale Speicherung

Zvitly setzt keine Werbe-Cookies und erstellt keine Profile. Die Einträge zerfallen in zwei Gruppen, und der Unterschied ist wesentlich: die ersten vier sind für den von Ihnen angeforderten Dienst unbedingt erforderlich und werden immer gesetzt; die letzten drei betreffen die Messung der Zugriffe und entstehen ERST nach Ihrer Einwilligung. Die Aufzählung ist vollständig:

§ 165 Abs 3 TKG 2021 verlangt für den Zugriff auf Ihr Endgerät grundsätzlich eine aktive Einwilligung. Derselbe Absatz nimmt davon ausdrücklich aus, was unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann.

Genau darauf berufen wir uns für die ersten vier Einträge — und das ist eine Aussage über das Produkt, keine Ausrede. Ohne das Sitzungs-Cookie gibt es keine Anmeldung; ohne das Sprach-Cookie und die beiden lokalen Einträge fiele die Oberfläche bei jedem Seitenwechsel auf eine andere Sprache, einen verlorenen Timer und einen vergessenen Tarif zurück. Keiner dieser vier sagt etwas darüber aus, wer Sie sind oder was Sie sonst im Internet tun; die Ausnahme ist damit erfüllt und eine Einwilligung nicht erforderlich. Die drei Mess-Einträge fallen NICHT unter die Ausnahme — dafür wird der Einwilligungshinweis gezeigt, und zwar bevor etwas gespeichert wird, nicht danach. Eine Ablehnung schaltet nichts ab: Website und Anwendung funktionieren unverändert.

Cookies und lokale Speicherung können Sie jederzeit in den Einstellungen Ihres Browsers löschen. Das Löschen des Sitzungs-Cookies meldet Sie ab, sonst geht nichts verloren.

Die Einwilligung können Sie jederzeit und folgenlos widerrufen: löschen Sie den Eintrag zv-analytics-consent in den Browsereinstellungen — der Hinweis erscheint erneut, und Sie können anders entscheiden. Das Löschen der beiden Google-Einträge beendet die Wiedererkennung Ihres Browsers sofort.

Gesetzestext im RIS: § 165 TKG 2021

11. E-Mail-Versand (Resend)

System-E-Mails — Bestätigung der Adresse, Zurücksetzen des Passworts, Einladung in ein Unternehmen, Antwort des Supports, Erinnerung an Fristen — versenden wir über Resend. Rechtsgrundlage ist Art. 6 Abs 1 lit b DSGVO.

Über denselben Weg laufen auch die beiden E-Mails des öffentlichen Kontaktformulars (letzte Zeile der Tabelle in Punkt 5). Die erste ist eine Benachrichtigung an unser internes Postfach wenexus.at@gmail.com; sie enthält Ihren Namen, Ihre E-Mail-Adresse, das gewählte Anliegen und den Text Ihrer Nachricht — ohne diese Angaben ließe sich die Anfrage weder zuordnen noch beantworten. Die zweite ist eine Empfangsbestätigung an Sie selbst; sie nennt Ihren Namen und die Tatsache des Eingangs und wiederholt den Text Ihrer Anfrage bewusst nicht — das schützt Sie für den Fall, dass jemand Ihre Adresse ohne Ihr Wissen einträgt, denn die Bestätigung gibt dann keinen fremden Inhalt preis. Auftragsverarbeiter ist auch hier Resend; an der Rechtsgrundlage nach Art. 28 DSGVO ändert sich dadurch nichts. Wesentlich sind für Sie aber zwei Folgen davon. Die erste: Ihre E-Mail-Adresse gelangt damit in die Zustellprotokolle von Resend, die nach dessen Auftragsverarbeitungsvereinbarung in den Vereinigten Staaten verbleiben. Die zweite: Die Benachrichtigung bleibt mit dem vollständigen Text Ihrer Nachricht in jenem Postfach liegen, und betrieben wird dieses Postfach von Google — deshalb führen wir Google in Punkt 13 als Empfänger an. Eine Drittlandübermittlung liegt daher auch dann vor, wenn Sie uns nur ein einziges Mal und ohne Konto schreiben; ihre Rechtsgrundlage steht in Punkt 14.

Übermittelt werden dabei Ihre E-Mail-Adresse, der Name, sofern er im Text vorkommt, die Sprache und der Text der jeweiligen Nachricht — also die Tatsache einer Benachrichtigung, nicht der Inhalt Ihrer Buchhaltung. In eine Fristerinnerung geht das Datum der Frist, nicht der Beleg; in eine Support-Antwort geht der geschriebene Text, nicht Ihr Kontostand. Belege, Rechnungen, Kontobewegungen und Kontaktdaten Ihrer Kunden gelangen nicht in den E-Mail-Versand.

Betreiberin von Resend ist die Plus Five Five, Inc. mit Sitz in San Francisco, Vereinigte Staaten. Unsere Domain zvitly.io ist dort auf die Region Irland (eu-west-1) festgelegt und verifiziert: Ihre E-Mails werden aus Irland versendet, nicht aus den Vereinigten Staaten. Die Regionswahl steuert allerdings nur den Versandweg — die Zugangsdaten des Resend-Kontos, die Zustellprotokolle und die API-Aufzeichnungen verbleiben nach der Auftragsverarbeitungsvereinbarung von Resend in den Vereinigten Staaten. Insoweit liegt eine Drittlandübermittlung vor; ihre Rechtsgrundlage steht in Punkt 14. Auf die Aufbewahrungsdauer der Zustellprotokolle haben wir keinen Einfluss; sie richtet sich nach den Fristen von Resend.

Die Übertragung ist verschlüsselt. Der Versand ist seit 19. August 2026 auf „Enforced TLS“ gestellt: eine Nachricht wird nur zugestellt, wenn der empfangende Mailserver eine TLS-verschlüsselte Verbindung aufbaut. Zuvor galt die übliche opportunistische Verschlüsselung, bei der ein Server ohne TLS-Unterstützung eine unverschlüsselte Zustellung erzwingen konnte; dieser Fall ist ausgeschlossen. Das ist eine technische Maßnahme nach Art. 32 Abs 1 lit a DSGVO.

12. Hosting

Die Anwendung läuft auf einem virtuellen Server der Hostinger International Ltd., der in Frankfurt am Main, Deutschland, steht. Datenbank, Authentifizierung und Dateispeicher liegen bei Supabase in der Region eu-central-1 (Frankfurt am Main).

Beide Standorte liegen in der Europäischen Union. Beim Betrieb fallen serverseitige Protokolle an — Zeitpunkt des Zugriffs, angeforderte Adresse, IP-Adresse, User-Agent. Rechtsgrundlage ist Art. 6 Abs 1 lit f DSGVO; das berechtigte Interesse liegt im stabilen und sicheren Betrieb.

13. Empfänger der Daten

Personenbezogene Daten geben wir nicht an Dritte weiter. Die Ausnahmen zählen wir hier vollständig auf, und sie sind zweierlei Art: zum einen die Auftragsverarbeiter, ohne die der Dienst nicht betrieben werden kann, zum anderen weitere Empfänger, die wir gesondert nennen — die Betreiberin des Postfachs, in dem die an uns selbst gerichteten Nachrichten eingehen, und der Zahlungsdienst Stripe. Zuerst die Auftragsverarbeiter:

• Supabase — Datenbank, Authentifizierung und Dateispeicher (Region eu-central-1, Frankfurt am Main)
• Hostinger International Ltd. — Serverinfrastruktur (Standort Frankfurt am Main)
• Plus Five Five, Inc. (Resend) — Versand von System-E-Mails (Versandregion Irland; Zustelldaten in den Vereinigten Staaten)
• Amazon Web Services (Amazon Bedrock) — automatische Belegerkennung (Rechenzentren in der EU; EU-Inferenzprofil, Ausgangsregion eu-central-1, Frankfurt am Main)

Mit jedem dieser Dienstleister besteht ein Auftragsverarbeitungsvertrag nach Art. 28 Abs 3 DSGVO. Am Ende des E-Mail-Wegs kommt ein weiterer Empfänger im Sinne des Art. 4 Z 9 DSGVO hinzu, den wir gesondert nennen: Die Benachrichtigungen, die unser System an uns selbst richtet — eine Anfrage aus dem öffentlichen Kontaktformular, eine neue Support-Anfrage, eine Meldung über eine technische Störung —, gehen seit August 2026 an das Postfach wenexus.at@gmail.com, und dieses Postfach betreibt Google. Damit liegen die Angaben aus dem Kontaktformular — Name, E-Mail-Adresse, gewähltes Anliegen und Text der Nachricht — nicht mehr nur in unserer Datenbank in Frankfurt am Main, sondern zusätzlich in einem Postfach, dessen Speicherorte wir nicht festlegen; Google gehört einem US-amerikanischen Konzern an, sodass eine Verarbeitung in den Vereinigten Staaten nicht ausgeschlossen ist. Die Rechtsgrundlage dieser Übermittlung steht in Punkt 14. Dass Google nicht in der Liste oben steht, ist kein Versehen, sondern der Unterschied selbst: Für dieses Postfach besteht kein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Google verarbeitet die dort eingegangenen Nachrichten nach seinen eigenen Bedingungen und ist insoweit Empfänger, nicht Auftragsverarbeiter in unserem Auftrag. An Zweck, Rechtsgrundlage und Speicherdauer Ihrer Anfrage selbst (Punkt 5) ändert das nichts; die Benachrichtigung im Postfach löschen wir innerhalb derselben Frist. Unberührt bleibt schließlich die Adresse zvitly@wenexus.at: Sie ist unsere im Impressum genannte öffentliche Kontaktadresse — geändert hat sich allein, wohin unser System seine eigenen Benachrichtigungen zustellt.

Ein weiterer Empfänger ist Stripe. Über Stripe laufen die Zahlungen an Zvitly (Punkt 8); Stripe erhält von uns dafür Ihre E-Mail-Adresse und eine interne Kennung Ihres Unternehmenskontos, alle weiteren Zahlungsangaben geben Sie bei Stripe selbst ein. Gesondert von der Liste oben nennen wir Stripe, weil es keine Daten aus Ihrer Buchhaltung erhält — es geht allein um Ihren eigenen Vertrag mit uns. Wie Stripe die Angaben verarbeitet, die Sie im Zahlungsformular eingeben, beschreibt Stripe in seiner eigenen Datenschutzerklärung. Bei der Anmeldung mit Google (Punkt 6) geben wir dagegen keine Daten an Google weiter: Die Daten fließen dort in die umgekehrte Richtung, von Google zu uns.

Darüber hinaus geben wir Daten nur weiter, wenn eine gesetzliche Verpflichtung besteht oder ein Gericht oder eine Behörde uns dazu verpflichtet. Wir verkaufen keine Daten und stellen sie niemandem für Werbezwecke zur Verfügung.

Die vollständige Liste der Unterauftragsverarbeiter mit Rolle, Standort und Rechtsgrundlage finden Sie auf der Seite: DSGVO & Auftragsverarbeitung

14. Übermittlung in Drittländer

Datenbank, Dateispeicher, Anwendungsserver und die automatische Belegerkennung befinden sich in der Europäischen Union. Alles, was Sie in Zvitly erfassen oder hochladen, wird dort verarbeitet und gespeichert. Ausgenommen sind allein der E-Mail-Versand und die Übergabe Ihrer E-Mail-Adresse an Stripe bei einer Zahlung, und auch dort nur in dem nachstehend beschriebenen Umfang.

Die Berührungspunkte mit einem Drittland nennen wir ausdrücklich, statt pauschal zu behaupten, es gebe überhaupt keine Übermittlung:

• E-Mail-Versand und Posteingang: Der Versand selbst erfolgt aus Irland. Bei der US-amerikanischen Betreiberin von Resend verbleiben jedoch die Zugangs- und Zustelldaten — Empfängeradresse, Betreff, Zeitpunkt und Status der Zustellung. Schreiben Sie uns über das Kontaktformular oder den Support, kommt der Posteingang hinzu: Die Benachrichtigung darüber liegt samt Text in unserem Postfach bei Google (Punkt 13).
• Supabase: die Daten liegen in Frankfurt am Main, die Supabase, Inc. hat ihren Sitz jedoch in den Vereinigten Staaten, sodass ein administrativer Zugriff aus einem Drittland nicht ausgeschlossen werden kann.
• Google Analytics: haben Sie in Punkt 10 eingewilligt, werden Ihre IP-Adresse, Browserdaten und die aufgerufenen Seiten an die Google LLC, USA, übermittelt. Ohne Einwilligung findet diese Übermittlung überhaupt nicht statt — das Skript wird nicht geladen. Betreiberin ist die Google LLC, 1600 Amphitheatre Parkway, Mountain View, USA.
• Amazon Web Services: die Belegerkennung läuft auf Rechenzentren in der EU, Amazon Web Services gehört jedoch einem US-amerikanischen Konzern an, sodass — wie bei Supabase — ein administrativer Zugriff aus einem Drittland nicht ausgeschlossen werden kann.
• Stripe: Stripe gehört einem US-amerikanischen Konzern an, sodass eine Verarbeitung Ihrer Vertrags- und Zahlungsdaten in den Vereinigten Staaten nicht ausgeschlossen ist. Betroffen sind die E-Mail-Adresse, die wir übergeben, und die Angaben, die Sie im Zahlungsformular von Stripe eingeben — nicht Ihre Buchhaltung.
• Anmeldung mit Google: Wählen Sie sie, melden Sie sich bei Google an, also bei einem US-amerikanischen Konzern. Wir übermitteln Google dabei keine Daten; die Anmeldung verarbeitet Google im Rahmen Ihres eigenen Google-Kontos und nach dessen Bedingungen.

Diese Übermittlungen erfolgen nicht auf gut Glück. Resend ist beim US-Handelsministerium unter dem EU-U.S. Data Privacy Framework zertifiziert, und für dieses Framework hat die Europäische Kommission mit Durchführungsbeschluss vom 10. Juli 2023 ein angemessenes Schutzniveau festgestellt. Die Übermittlung stützt sich damit auf Art. 45 Abs 1 DSGVO und bedarf keiner gesonderten Genehmigung. Als zweite Ebene enthält die Auftragsverarbeitungsvereinbarung von Resend zusätzlich die EU-Standardvertragsklauseln (Art. 46 Abs 2 lit c DSGVO); anwendbares Recht und Gerichtsstand sind Irland. Auch die Google LLC ist beim US-Handelsministerium unter dem EU-U.S. Data Privacy Framework zertifiziert, sodass sich die Übermittlung in unser Postfach auf denselben Angemessenheitsbeschluss und damit ebenfalls auf Art. 45 Abs 1 DSGVO stützt. Die zweite Ebene fehlt dort allerdings: Standardvertragsklauseln aus einer eigenen Auftragsverarbeitungsvereinbarung haben wir für dieses Postfach nicht. Deshalb gelangt dorthin auch nur, was ohnehin an uns gerichtet ist — und nichts aus Ihrer Buchhaltung.

Die konkreten Vertragsgrundlagen je Auftragsverarbeiter — auch für Amazon Web Services — sind in der Tabelle der Unterauftragsverarbeiter auf der Seite DSGVO und Auftragsverarbeitung ausgewiesen. Stripe ist dort nicht aufgeführt (Punkt 13); auf welche Grundlage Stripe Übermittlungen in Drittländer stützt, legt Stripe in seiner eigenen Datenschutzerklärung offen.

15. Speicherdauer und die Kollision mit dem Recht auf Löschung

Kontodaten und Unternehmensdaten speichern wir, solange das Konto besteht. Löschen Sie es, werden sie entfernt.

Für Buchhaltungsdaten gilt das nicht uneingeschränkt — und genau hier unterscheidet sich Zvitly von einem gewöhnlichen SaaS.

§ 132 Abs 1 BAO verpflichtet zur Aufbewahrung von Büchern, Aufzeichnungen und der dazugehörigen Belege für sieben Jahre. Die Frist läuft nicht ab dem Tag des Belegs, sondern ab dem Schluss des Kalenderjahres, auf das er sich bezieht: eine Rechnung vom Jänner 2026 ist damit bis Ende 2033 aufzubewahren. § 212 UGB verlangt dasselbe für Bücher, Jahresabschlüsse, Geschäftsbriefe und Buchungsbelege, ebenfalls sieben Jahre ab Ende des Kalenderjahres. Über die sieben Jahre hinaus gilt die Pflicht, solange die Unterlagen für ein anhängiges Verfahren von Bedeutung sind, in dem der Unternehmer Parteistellung hat.

Server- und Sicherheitsprotokolle folgen eigenen, deutlich kürzeren Fristen — siehe die Tabelle in Punkt 5.

Gesetzestexte im RIS: § 132 BAO · § 212 UGB

16. Ihre Rechte

Ihnen stehen die folgenden Rechte zu. Sie sind kein Formular-Ritual: jede dieser Anfragen wird von einem Menschen bearbeitet.

• Auskunft (Art. 15 DSGVO) — Sie erhalten eine Bestätigung darüber, ob und welche Daten wir verarbeiten, samt Zwecken, Empfängern und Speicherdauer, sowie eine Kopie der Daten.
• Berichtigung (Art. 16 DSGVO) — Unrichtige Daten korrigieren Sie in den meisten Fällen selbst in den Einstellungen; wo das nicht geht, korrigieren wir sie auf Ihre Mitteilung.
• Löschung (Art. 17 DSGVO) — Sie können die Löschung Ihres Kontos verlangen. Die Grenze zieht Punkt 15: Was einer gesetzlichen Aufbewahrungsfrist unterliegt, wird eingeschränkt statt gelöscht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO) — Bestreiten Sie die Richtigkeit von Daten oder ist die Verarbeitung unrechtmäßig, ruht die Verarbeitung bis zur Klärung.
• Datenübertragbarkeit (Art. 20 DSGVO) — Sie erhalten Ihre Daten in einem gängigen, maschinenlesbaren Format. Für Buchhaltungsdaten ist der Export Teil des Produkts und nicht an eine Anfrage gebunden.
• Widerspruch (Art. 21 DSGVO) — Gegen Verarbeitungen, die wir auf Art. 6 Abs 1 lit f DSGVO stützen — das sind die in Punkt 9 genannten —, können Sie jederzeit aus Gründen Ihrer besonderen Situation Widerspruch einlegen.
• Widerruf der Einwilligung (Art. 7 Abs 3 DSGVO) — Wo wir uns auf eine Einwilligung stützen, können Sie sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Ausübung: eine formlose Nachricht an die in Punkt 1 genannte Adresse genügt.

Wir antworten unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs 3 DSGVO). Ist eine Anfrage komplex, kann sich die Frist um zwei Monate verlängern; darüber informieren wir Sie innerhalb des ersten Monats.

Bestehen begründete Zweifel an Ihrer Identität, fragen wir zusätzliche Angaben zur Bestätigung nach (Art. 12 Abs 6 DSGVO). Das ist kein Hindernis, sondern Schutz: eine Auskunft an die falsche Person wäre selbst eine Datenschutzverletzung.

17. Beschwerde bei der Datenschutzbehörde

Sind Sie der Ansicht, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt, haben Sie unbeschadet anderer Rechtsbehelfe das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). In Österreich ist das:

Österreichische Datenschutzbehörde
Barichgasse 40-42
1030 Wien, Österreich
+43 1 52 152-0
dsb@dsb.gv.at
www.dsb.gv.at

Eine Beschwerde ist kostenlos. Uns ist es trotzdem lieber, Sie melden sich zuerst bei uns — das geht schneller, und wir können den Fehler dann auch beheben.

18. Automatisierte Entscheidungen und Profiling

Eine automatisierte Entscheidungsfindung einschließlich Profiling, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt (Art. 22 Abs 1 DSGVO).

Zvitly bewertet Sie nicht, erstellt keine Bonitäts- oder Verhaltensprofile und trifft keine Entscheidung über Sie ohne menschliches Zutun.

Wo die Anwendung etwas vorschlägt — etwa eine Kategorie für einen Beleg oder die Zuordnung einer Kontobewegung —, ist das ein Vorschlag, den Sie bestätigen oder verwerfen. Ohne Ihre Bestätigung ändert sich nichts.

19. Erforderlichkeit der Bereitstellung

Die Angabe Ihrer E-Mail-Adresse und die Wahl eines Passworts — oder stattdessen die Anmeldung mit Google — sind für den Vertragsabschluss erforderlich: ohne sie kann kein Konto entstehen und kein Zugang gewährt werden.

Unternehmensdaten wie UID-Nummer oder Anschrift sind für die Nutzung nicht erforderlich, wohl aber für einzelne Funktionen — eine Rechnung ohne die nach § 11 UStG erforderlichen Angaben ist keine ordnungsgemäße Rechnung. Sie entscheiden, welche Funktionen Sie nutzen.

Eine gesetzliche Pflicht, uns Daten bereitzustellen, besteht nicht. Die Folge einer Nichtbereitstellung ist ausschließlich, dass die betreffende Funktion oder der Vertrag nicht zustande kommt.

20. Änderungen dieser Erklärung

Diese Erklärung gilt in der Fassung des oben angegebenen Standes. Wir passen sie an, wenn sich die Verarbeitung ändert — insbesondere bevor eine der in Punkt 8 als noch nicht in Betrieb bezeichneten Funktionen in Betrieb geht, nicht danach.

Wesentliche Änderungen, die Ihre Rechte betreffen, teilen wir angemeldeten Nutzern zusätzlich per E-Mail oder im Konto mit. Frühere Fassungen stellen wir auf Anfrage zur Verfügung.