Datenschutzerklärung

1 – Allgemeines

1.1  Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Diese Erklärung informiert Sie darüber, welche Daten bei der Nutzung von scantax.at verarbeitet werden, zu welchem Zweck und auf welcher Rechtsgrundlage das geschieht, an wen sie weitergegeben werden und welche Rechte Ihnen zustehen.

1.2  Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO ist die oben genannte Person. Für Auskünfte, Anliegen und die Ausübung Ihrer Rechte genügt eine formlose Nachricht an office@scantax.at.

1.3  Die Anwendung richtet sich an Unternehmerinnen und Unternehmer. Sie können scantax.at ausschließlich mit einem Benutzerkonto nutzen; die öffentlichen Informationsseiten sind ohne Anmeldung zugänglich.

2 – Aufruf der Website

2.1  Bei jedem Aufruf werden vom Webserver technische Daten verarbeitet, die Ihr Browser automatisch übermittelt: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, verweisende Seite sowie Browser- und Betriebssystemkennung.

2.2  Zweck ist der technische Betrieb, die Stabilität und die Sicherheit der Anwendung, insbesondere die Erkennung und Abwehr missbräuchlicher Zugriffe. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und störungsfreien Betrieb gemäß Art. 6 Abs. 1 lit. f DSGVO.

2.3  Diese Protokolldaten werden nicht mit anderen Datenbeständen zusammengeführt und nach spätestens 30 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls benötigt werden.

3 – Benutzerkonto und Registrierung

3.1  Für die Registrierung verarbeiten wir Vor- und Nachname, E-Mail-Adresse, Telefonnummer samt Landesvorwahl sowie ein von Ihnen gewähltes Passwort, das ausschließlich als kryptografischer Hashwert gespeichert wird. Zur Bestätigung Ihrer E-Mail-Adresse versenden wir einen einmaligen Aktivierungslink.

3.2  Im Profil können Sie freiwillig weitere Angaben ergänzen, etwa Firmenname, Anschrift, UID-Nummer, Steuernummer, Branche, Bankverbindung und Firmenlogo. Diese Angaben werden für die Erstellung von Ausgangsrechnungen und steuerlichen Auswertungen verwendet.

3.3  Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags gemäß Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Angaben kann kein Konto geführt werden.

3.4  Für Konten mit erweiterten Rechten ist eine Zwei-Faktor-Authentifizierung verpflichtend. Dabei werden ein geheimer Schlüssel und Wiederherstellungscodes gespeichert; Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit der Anwendung gemäß Art. 6 Abs. 1 lit. f DSGVO.

3.5  Optional können Sie sich mit einem Passkey anmelden (Gesichtserkennung, Fingerabdruck oder Geräte-PIN). Die biometrische Prüfung findet ausschließlich auf Ihrem Gerät statt; wir erhalten und speichern keine biometrischen Daten, sondern nur einen öffentlichen Schlüssel, eine Kennung des Passkeys, den von Ihnen vergebenen Gerätenamen sowie Zeitpunkt der Einrichtung und letzten Verwendung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

4 – Belege und KI-Analyse

4.1  Die von Ihnen hochgeladenen Belege (Fotos, PDF-Dokumente) sowie die daraus gewonnenen Daten – Beträge, Steuersätze, Datum, Geschäftspartner, Buchungskonten, E 1a-Kennzahlen – werden gespeichert, um die vertraglich geschuldete Belegverwaltung und Auswertung zu erbringen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

4.2  Zur automatischen Erkennung werden Belegbilder an die Schnittstelle von Anthropic PBC übertragen. Bei Ausfall dieses Dienstes wird ersatzweise OpenAI verwendet. Übertragen wird ausschließlich der Belegbildinhalt, nicht Ihr Name, Ihre E-Mail-Adresse oder sonstige Kontodaten.

4.3  Belege können personenbezogene Daten Dritter enthalten, etwa Namen von Geschäftspartnern. Für die Rechtmäßigkeit dieser Verarbeitung sind Sie als Unternehmer verantwortlich; wir verarbeiten diese Daten in Ihrem Auftrag im Rahmen der Leistungserbringung.

4.4  Belegdaten werden nicht zum Training von KI-Modellen verwendet und nicht an Dritte weitergegeben, die über die in Punkt 9 genannten Empfänger hinausgehen.

5 – Zahlungsabwicklung

5.1  Zahlungen werden über Mollie B.V., Amsterdam, Niederlande, abgewickelt. Die Eingabe der Zahlungsdaten erfolgt ausschließlich auf der Oberfläche von Mollie. Wir selbst erhalten und speichern keine vollständigen Kreditkarten- oder Kontodaten, sondern lediglich eine Zahlungs- und Kundenkennung, den Betrag, den Status und den Zeitpunkt der Zahlung.

5.2  Kaufen Sie das Jahrespaket in unserer Android-App aus dem Google Play Store, wickelt Google die Zahlung über Ihr Google-Konto ab (in der EU: Google Commerce Limited, Gordon House, Barrow Street, Dublin 4, Irland). Google verarbeitet die Zahlungsdaten dabei als eigenständig Verantwortlicher nach der Datenschutzerklärung von Google. Wir erhalten von Google lediglich eine Bestellnummer, eine Kennung des Kaufbelegs, den Kaufstatus (bezahlt, ausstehend, erstattet) und den Kaufzeitpunkt, nicht jedoch Ihr Zahlungsmittel oder Ihre Google-Kontodaten. Zur Prüfung und Freischaltung des Kaufs sowie zur Erkennung von Erstattungen rufen wir diese Angaben über die Google Play Developer API ab.

5.3  Rechtsgrundlage ist die Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO sowie die Erfüllung steuerrechtlicher Aufzeichnungspflichten gemäß Art. 6 Abs. 1 lit. c DSGVO.

6 – Freigabe an Steuerberater

6.1  Sie können einem Steuerberater Zugriff auf ein einzelnes Wirtschaftsjahr erteilen. In diesem Fall werden die Belege und Auswertungen dieses Jahres für den benannten Steuerberater innerhalb der Anwendung sichtbar. Die Freigabe erfolgt auf Ihre ausdrückliche Veranlassung und kann jederzeit widerrufen werden.

6.2  Rechtsgrundlage ist die Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO. Ohne Ihre Freigabe erhält kein Steuerberater Einsicht in Ihre Daten.

7 – E-Mail-Versand und Newsletter

7.1  Systemnachrichten wie Bestätigungs-, Zahlungs- und Sicherheitsmails werden über einen eigenen Mailserver versendet und sind zur Vertragserfüllung erforderlich (Art. 6 Abs. 1 lit. b DSGVO).

7.2  Wenn Sie dem Newsletter zugestimmt haben, verarbeiten wir Ihre E-Mail-Adresse zu Informationszwecken auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Dabei wird erfasst, ob und wann eine Nachricht geöffnet und ob ein enthaltener Link angeklickt wurde, um die Verständlichkeit und Häufigkeit der Aussendungen zu beurteilen.

7.3  Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder Aussendung, in Ihren Kontoeinstellungen oder formlos per E-Mail. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

7.4  Wenn Sie Erinnerungen an Steuertermine aktivieren, speichern wir Ihre Auswahl (z. B. UVA-Zeitraum, Vorlaufzeit) und für jedes Gerät, auf dem Sie Mitteilungen erlauben, eine Push-Adresse samt Schlüssel sowie eine gekürzte Browserkennung. Die Mitteilung wird verschlüsselt über den Push-Dienst Ihres Browsers bzw. Betriebssystems zugestellt (z. B. Google Firebase Cloud Messaging, Mozilla, Apple); diese Dienste sehen den Inhalt nicht. Mitteilungen enthalten keine Beträge. Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, die Sie jederzeit unter „Erinnerungen“ oder in den Geräteeinstellungen widerrufen können.

8 – Cookies

8.1  Technisch notwendige Cookies dienen der Anmeldung, der Sitzungsverwaltung und dem Schutz von Formularen vor Missbrauch. Ohne sie ist die Anwendung nicht nutzbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021.

8.2  Es werden keine Cookies zu Analyse- oder Werbezwecken gesetzt, weder eigene noch solche externer Dienste, und keine Zählpixel eingesetzt.

9 – Empfänger und Auftragsverarbeiter

9.1  Personenbezogene Daten werden nur insoweit an Dritte weitergegeben, als dies zur Leistungserbringung erforderlich ist oder eine gesetzliche Verpflichtung besteht. Mit Auftragsverarbeitern bestehen Verträge gemäß Art. 28 DSGVO.

• Hosting-Dienstleister (Serverbetrieb in Österreich)
• Anthropic PBC, San Francisco, USA – KI-gestützte Belegerkennung
• OpenAI, San Francisco, USA – Ersatzdienst bei Ausfall der Belegerkennung
• Mollie B.V., Amsterdam, Niederlande – Zahlungsabwicklung auf der Website
• Google Commerce Limited, Dublin, Irland – Zahlungsabwicklung bei Käufen in der Android-App (eigenständig Verantwortlicher)
• Push-Dienste der Browser- bzw. Betriebssystemhersteller – Zustellung verschlüsselter Erinnerungen, sofern aktiviert

9.2  Darüber hinaus können Daten an Steuerberater, Behörden oder Gerichte übermittelt werden, soweit Sie dies veranlassen oder eine rechtliche Verpflichtung dazu besteht.

10 – Übermittlung in Drittländer

10.1  Im Rahmen der KI-gestützten Belegerkennung werden Daten an Dienstleister mit Sitz in den Vereinigten Staaten übermittelt. Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO beziehungsweise auf Grundlage eines Angemessenheitsbeschlusses, soweit der jeweilige Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist.

10.2  Bei Käufen über Google Play und bei Push-Mitteilungen können Daten auch an Konzerngesellschaften von Google bzw. an die Push-Dienste der Browserhersteller in den USA übermittelt werden; auch hier erfolgt die Übermittlung auf Grundlage des EU-US Data Privacy Framework bzw. der Standardvertragsklauseln.

10.3  Trotz dieser Garantien kann nicht vollständig ausgeschlossen werden, dass Behörden des Empfängerlands Zugriff auf übermittelte Daten nehmen. Alle übrigen Verarbeitungen finden innerhalb der Europäischen Union statt.

11 – Speicherdauer

• Protokolldaten des Webservers: längstens 30 Tage
• Herkunfts-Cookie: 30 Tage; die daraus übernommenen Angaben verbleiben beim Benutzerkonto
• Konto- und Profildaten: für die Dauer des Vertragsverhältnisses
• Belege und steuerlich relevante Auswertungen: sieben Jahre gemäß § 132 BAO
• Rechnungs- und Zahlungsdaten: sieben Jahre gemäß § 132 BAO
• Newsletter-Einwilligung: bis zum Widerruf

Nach Beendigung des Vertrags werden Ihre Daten gelöscht, sobald keine gesetzliche Aufbewahrungspflicht mehr entgegensteht. Auf Anfrage stellen wir Ihnen zuvor innerhalb von 30 Tagen eine Sicherungskopie zur Verfügung.

12 – Ihre Rechte

Ihnen stehen gegenüber dem Verantwortlichen folgende Rechte zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine Nachricht an office@scantax.at. Wir antworten innerhalb der gesetzlichen Frist von einem Monat.

13 – Beschwerderecht

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt, können Sie sich bei der Aufsichtsbehörde beschweren:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
dsb@dsb.gv.at
www.dsb.gv.at

14 – Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling gemäß Art. 22 DSGVO findet nicht statt. Die KI-gestützte Belegerkennung ist ein Vorschlag: jedes erkannte Ergebnis wird Ihnen neben dem Originalbeleg angezeigt und kann von Ihnen geändert werden. Die Entscheidung über die steuerliche Verwendung treffen ausschließlich Sie beziehungsweise Ihr Steuerberater.

15 – Änderungen dieser Erklärung

Diese Datenschutzerklärung wird angepasst, wenn sich die Verarbeitung ändert oder neue rechtliche Vorgaben dies erfordern. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung. Bei wesentlichen Änderungen informieren wir angemeldete Nutzer zusätzlich per E-Mail.