Datenschutzhinweise

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO)

Datenschutzbeauftragter

Der Datenschutzbeauftragte ist erreichbar unter:

Zweck der Verarbeitung

DigiFiles ist eine App zur digitalen Organisation, Verwaltung und Analyse von Dokumenten. Die Verarbeitung erfolgt überwiegend nutzerinitiiert, zweckgebunden und unter hohen technischen und organisatorischen Sicherheitsstandards. Die App verarbeitet personenbezogene Daten – ggf. auch besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO – zur Bereitstellung folgender Funktionen:

• Verwaltung von Mitarbeiter- und Kontaktdaten (B2B)
• Dokumentenscan und optische Texterkennung (OCR)
• Automatisierte Strukturierung, Kategorisierung und Metadatenerstellung
• Fristen- und Erinnerungsmanagement
• Freigabe- und Genehmigungsprozesse, Digitale Signaturen, Shared Browsing

Sofern Nutzer Funktionen zur Freigabe von Dokumenten oder zur externen Ansicht („Sharing") nutzen, erfolgt dies ausschließlich auf Veranlassung des Nutzers. Der Nutzer ist für den Umfang der Freigabe, die Auswahl der Empfänger sowie für etwaige Zugriffsbeschränkungen (z. B. Passwortschutz, zeitliche Begrenzung) verantwortlich.

• Versionierung und Aktivitätsprotokolle
• KI-gestützte Analyse, Chat- und Vorschlagsfunktionen
• Nutzer- und Zugriffsverwaltung
• IT-Sicherheit, Systembetrieb und Fehleranalyse
• Spracherkennung und Sprach-zu-Text-Verarbeitung

Sofern Nutzer entsprechende Funktionen aktivieren, nutzt die App Spracherkennung ausschließlich zur Umwandlung gesprochener Sprache in Text (Speech-to-Text). Die Verarbeitung erfolgt nutzerinitiiert und zweckgebunden. Eine Speicherung der Sprachaufzeichnungen über die Dauer der Funktionsausführung hinaus sowie eine Verwendung zu eigenen Zwecken, insbesondere zur Qualitätssicherung oder zum Training von KI-Modellen, findet nicht statt. Die Spracherkennung dient ausschließlich der Transkription und nicht der Identifikation von Personen. Eine Profilbildung oder Nutzung der Daten zu Trainingszwecken von KI-Systemen findet nicht statt.

EÜR-Vorbereitung

Sofern der Nutzer diese Funktion aktiviert, werden dem Steuerberater die von der App generierten Zugangsdaten zur Verfügung gestellt. Dadurch erhält er Zugriff auf die Excel-Liste sowie die hinterlegten Dokumente. Der Nutzer kann diesen Zugriff jederzeit widerrufen. Nach dem Widerruf bleibt die Excel-Liste gespeichert, ein Zugriff auf die Dokumente ist für den Steuerberater jedoch nicht mehr möglich.

Eine Verarbeitung personenbezogener Daten zu anderen als den zuvor genannten Zwecken findet nicht statt. Eine Zweckänderung erfolgt nur unter den Voraussetzungen des Art. 6 Abs. 4 DSGVO.

Rollenverteilung im B2B-Umfeld

Bei Nutzung von DigiFiles durch Unternehmen erfolgt die Verarbeitung personenbezogener Daten rollenabhängig:

• Für die Verarbeitung von Benutzer-, Zugriffs- und Administrationsdaten handelt DigiFiles als eigenständig Verantwortlicher.
• Für sämtliche Inhalte, Dokumente sowie nutzergenerierte Metadaten handelt DigiFiles ausschließlich als Auftragsverarbeiter gemäß Art. 28 DSGVO. Die Verarbeitung personenbezogener Daten im Sinne von Art. 9 DSGVO erfolgt ausschließlich weisungsgebunden im Auftrag des jeweiligen Kunden im Rahmen einer Auftragsverarbeitung gemäß Art. 28 DSGVO.

Die Einholung eventuell erforderlicher Einwilligungen nach Art. 9 DSGVO sowie die Festlegung der einschlägigen Rechtsgrundlage obliegen dem Kunden als datenschutzrechtlich Verantwortlichem. Die datenschutzrechtliche Verantwortung für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten innerhalb der vom Kunden hochgeladenen Dokumente liegt ausschließlich beim jeweiligen Kunden.

Verarbeitete Datenkategorien

4.1 Kontodaten

• Vor- und Nachname
• E-Mail-Adresse
• Passwörter werden ausschließlich in kryptographisch gehashter Form gespeichert. Eine Speicherung im Klartext oder eine Kenntnisnahme durch DigiFiles ist technisch ausgeschlossen.
• Optional: Rechnungsanschrift

4.2 Dokumenten- und Inhaltsdaten

Verarbeitet werden ausschließlich die vom Nutzer bereitgestellten Dokumente. Diese können insbesondere besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) enthalten:

• Identitäts- und Ausweisdokumente
• Steuer- und Finanzdaten
• Gesundheitsdaten
• Weitere hochsensible Informationen aus bereitgestellten Dokumenten

Die Verarbeitung erfolgt überwiegend automatisiert (z. B. OCR, Strukturierung). Eine inhaltliche Nutzung zu eigenen Zwecken findet nicht statt.

4.2.1 Sprachdaten (Spracherkennung)

Sofern Nutzer Funktionen zur Spracherkennung verwenden, verarbeitet die App gesprochene Sprache ausschließlich zum Zweck der Umwandlung in Text (Sprach-zu-Text). Dabei können insbesondere verarbeitet werden:

• Sprachaufnahmen während der Nutzung der Funktion
• Die daraus automatisiert erzeugten Textinhalte

Die Sprachverarbeitung erfolgt nutzerinitiiert, zweckgebunden und überwiegend automatisiert. Audioinhalte werden nicht dauerhaft gespeichert, sofern dies für die Funktion nicht erforderlich ist.

4.3 Metadaten

• Dokumentenname
• Zeitstempel
• Kategorien, Tags, Fristen
• Automatisch erzeugte Struktur- und Inhaltsinformationen

4.4 Technische Daten

• IP-Adresse
• Geräte- und Browserinformationen
• Zugriffs- und Sicherheitslogs

Die Verarbeitung erfolgt ausschließlich aus technischen und sicherheitsrelevanten Gründen. Eine inhaltliche Auswertung zu anderen Zwecken, insbesondere zur Profilbildung, findet nicht statt.

Rechtsgrundlagen

Die Zuordnung der Rechtsgrundlagen erfolgt insbesondere wie folgt:

• Nutzerkonto, Authentifizierung, Vertragsverwaltung: Art. 6 Abs. 1 lit. b DSGVO
• Dokumentenverarbeitung im Kundenauftrag: Art. 6 Abs. 1 lit. b DSGVO i. V. m. Art. 28 DSGVO
• Technischer Betrieb, IT-Sicherheit, Protokollierung: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Gewährleistung der IT-Sicherheit, der Stabilität und der Verfügbarkeit unserer Systeme sowie in der Abwehr von Missbrauch und Angriffen.
• Gesetzliche Aufbewahrungs- und Nachweispflichten: Art. 6 Abs. 1 lit. c DSGVO
• Sofern besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO verarbeitet werden, erfolgt dies ausschließlich auf Grundlage einer ausdrücklichen Einwilligung im Sinne von Art. 9 Abs. 2 lit. a DSGVO. Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.

Bei einer Verarbeitung besonderer Kategorien personenbezogener Daten im Rahmen einer Auftragsverarbeitung ist DigiFiles nicht für die Wahl der Rechtsgrundlage verantwortlich. DigiFiles handelt hier im Rahmen einer weisungsgebundenen Verarbeitung gemäß Art. 28 DSGVO.

Die Bereitstellung personenbezogener Daten ist für den Abschluss und die Durchführung des Nutzungsvertrags erforderlich. Ohne diese Daten ist eine Nutzung der Anwendung nicht möglich.

Einsatz von Künstlicher Intelligenz

KI-Funktionen werden ausschließlich unterstützend eingesetzt, insbesondere für:

• OCR und Texterkennung
• Verarbeitung von E-Mail-Metadaten
• Inhalten und Anhängen für die Strukturierung und Klassifikation von Dokumenten
• Chatbasierte Antwort- und Abfragefunktionen
• Optional eingesetzte Spracherkennungsfunktionen (Speech-to-Text)

Die Verarbeitung erfolgt jeweils nutzerinitiiert und ausschließlich zur technischen Umsetzung der angeforderten Funktion. Es findet keine Bewertung der Stimme, keine Profilbildung und keine biometrische Identifizierung statt. Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO erfolgt nicht. Die eingesetzten KI-Dienste verarbeiten Inhalte ausschließlich auf Grundlage dokumentierter Weisungen und nur für die Dauer der Funktionsausführung innerhalb von DigiFiles. Eine Speicherung oder Nutzung der verarbeiteten Inhalte zu eigenen Zwecken der jeweiligen Anbieter, insbesondere zur Entwicklung, Verbesserung oder zum Training von KI-Systemen, ist vertraglich ausgeschlossen. Nutzerdaten werden nicht für Trainingszwecke generativer KI-Modelle verwendet.

Empfänger und Auftragsverarbeiter

Zur Bereitstellung, zum Betrieb und zur Weiterentwicklung der Anwendung DigiFiles setzen wir sorgfältig ausgewählte externe Dienstleister ein. Die Einbindung dieser Dienstleister erfolgt ausschließlich im datenschutzrechtlich zulässigen Umfang und unter Beachtung der Vorgaben der Datenschutz-Grundverordnung. Soweit externe Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, bestehen mit diesen entsprechende Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Diese verpflichten die Dienstleister insbesondere zur weisungsgebundenen Verarbeitung, zur Wahrung der Vertraulichkeit sowie zur Umsetzung geeigneter technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO. Eine Weitergabe personenbezogener Daten an Dritte zu eigenen Zwecken der jeweiligen Dienstleister findet nicht statt. Für die Verarbeitung personenbezogener Daten durch diese Anbieter gelten ausschließlich die jeweiligen Datenschutzbestimmungen der Anbieter. DigiFiles hat auf diese Datenverarbeitungen keinen inhaltlichen Einfluss.

Als Auftragsverarbeiter setzen wir insbesondere folgende Dienstleister ein:

• Für Hosting, Infrastruktur und Sicherheitsleistungen die Google Cloud Platform betrieben durch Google Ireland Limited, einschließlich Cloud Run (Region europe-west3, Frankfurt), Firestore, Cloud Storage, Firebase Authentication sowie Backup- und Sicherheitsinfrastruktur.
• Für die automatisierte Dokumentenverarbeitung, insbesondere zur optischen Texterkennung, Strukturierung und Klassifikation von Dokumenten: Google OCR und Anthropic
• Für KI-gestützte Funktionen Anthropic (Claude) sowie Google Gemini als Backup-Service. Die Nutzung erfolgt ausschließlich funktionsbezogen und ohne eigene Weiterverwertung der Inhalte durch die Anbieter.

Sofern Nutzer innerhalb der Anwendung DigiFiles E-Mail-Konten externer Anbieter anbinden, erfolgt diese Anbindung ausschließlich auf ausdrückliche Veranlassung des Nutzers. Die folgenden Anbieter handeln hierbei datenschutzrechtlich als eigenständig Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO:

• E-Mail-Anbindung per OAuth/IMAP: Google (z. B. Gmail), Microsoft (z. B. Outlook / Microsoft 365), GMX sowie WEB.DE.

Drittlandübermittlung

Einzelne eingesetzte Dienstleister haben ihren Unternehmenssitz in Staaten außerhalb der Europäischen Union oder gehören Unternehmensgruppen mit Sitz in Drittländern an. Soweit in diesem Zusammenhang personenbezogene Daten in Drittländer übermittelt oder dort verarbeitet werden können, erfolgt dies ausschließlich unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO. Hierfür werden insbesondere geeignete Garantien eingesetzt, darunter der Abschluss der von der EU-Kommission genehmigten Standardvertragsklauseln, ergänzende technische und organisatorische Schutzmaßnahmen wie Verschlüsselung und Zugriffsbeschränkungen sowie eine Beschränkung der Verarbeitung auf das für den jeweiligen Zweck notwendige Maß. Eine Übermittlung personenbezogener Daten in Drittländer erfolgt ausschließlich, soweit dies zur Erbringung der jeweiligen Funktion technisch erforderlich ist und eine gleichwertige Datenschutzsicherung gewährleistet werden kann. Ein Zugriff durch öffentliche Stellen in Drittstaaten kann trotz bestehender Schutzmaßnahmen nicht mit absoluter Sicherheit ausgeschlossen werden, wird jedoch durch vertragliche, technische und organisatorische Maßnahmen auf ein Minimum reduziert. Eine Übermittlung personenbezogener Daten in Drittländer erfolgt ausschließlich anlass- und funktionsbezogen und nicht als regelmäßige oder standardmäßige Datenübermittlung.

Es besteht trotz der eingesetzten Garantien das Risiko, dass staatliche Stellen in Drittländern auf personenbezogene Daten zugreifen, ohne dass hiergegen ein der EU gleichwertiger Rechtsschutz besteht.

Datensicherheit

Es werden u. a. folgende Maßnahmen eingesetzt:

• Verschlüsselte Übertragung und Speicherung
• Rollen- und Berechtigungskonzepte
• 2-Faktor-Authentifizierung
• Regelmäßige Backups
• Automatische Sitzungsbeendigung

Zugriff & Vertraulichkeit

Zugriff auf die vom Nutzer hochgeladenen Dokumente haben ausschließlich der jeweilige Nutzer selbst sowie automatisierte, technisch notwendige Systemprozesse, soweit dies zur Bereitstellung und zum sicheren Betrieb der App erforderlich ist. Eine manuelle inhaltliche Einsichtnahme durch den Anbieter erfolgt grundsätzlich nicht. Eine Ausnahme hiervon besteht nur, wenn eine Einsichtnahme im Einzelfall technisch zwingend zur Fehlerbehebung erforderlich ist oder auf ausdrückliche Anweisung beziehungsweise mit ausdrücklicher Zustimmung des Nutzers erfolgt, etwa im Rahmen eines Supportfalls. In diesen Fällen erfolgt der Zugriff stets zweckgebunden, nachvollziehbar und auf das erforderliche Mindestmaß beschränkt. Die mit der Verarbeitung personenbezogener Daten betrauten Mitarbeiter sind schriftlich zur Vertraulichkeit verpflichtet, auf das Datengeheimnis hingewiesen und regelmäßig datenschutzrechtlich geschult. Sämtliche eingesetzten Auftragsverarbeiter sind vertraglich gemäß Art. 28 DSGVO verpflichtet und unterliegen strengen Vertraulichkeits-, Sicherheits- und Weisungsanforderungen. Zugriffe im Rahmen der technischen Unterstützung, Wartung oder Fehlerbehebung werden protokolliert und regelmäßig überprüft.

Speicherdauer

Nach Beendigung des Nutzerkontos werden produktive personenbezogene Daten in der Regel innerhalb von 90 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Backups werden regelmäßig überschrieben und spätestens nach 90 Tagen endgültig gelöscht.

Rechte der Betroffenen

Betroffene Personen haben die folgenden Rechte gemäß DSGVO:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Recht auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung der Rechte genügt eine formlose Mitteilung an die unter Punkt 1 genannten Kontaktdaten. Die Ausübung der Betroffenenrechte ist unentgeltlich, sofern sie nicht offensichtlich unbegründet oder exzessiv erfolgt (Art. 12 Abs. 5 DSGVO). Unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe besteht das Recht auf einen wirksamen gerichtlichen Rechtsbehelf.

Beschwerderecht

Betroffene haben das Recht, sich bei einer Datenschutzaufsichtsbehörde über die Verarbeitung ihrer personenbezogenen Daten zu beschweren. Zuständige Aufsichtsbehörde ist:

Änderungen

Diese Datenschutzhinweise können angepasst werden. Die aktuelle Version ist jederzeit in der App abrufbar.