Datenschutz­erklärung.

Verantwortlicher im Sinne der DSGVO für die Verarbeitung personenbezogener Daten auf onlinebilanz.de ist die OnlineBilanz AG i. G., vertreten durch Dr. Martin Pilz, Königstraße 27, 4. OG, 70173 Stuttgart.

Wir verarbeiten personenbezogene Daten ausschließlich auf Basis der DSGVO, des BDSG sowie weiterer einschlägiger Rechtsvorschriften. Wo wir auf Ihre Einwilligung angewiesen sind, holen wir diese gesondert ein und informieren über Zweck und Widerrufsmöglichkeit.

Kategorien betroffener Personen: Mandantinnen und Mandanten, Interessenten, Besucher unserer Website, Nutzer der Software sowie Mitarbeitende und Ansprechpartner unserer Kunden.

Verarbeitete Datenkategorien:

• Bestandsdaten — Name, Anschrift, Kontakt, Mandantennummer, Firmenname
• Vertragsdaten — Leistungsumfang, Tarife, Laufzeiten
• Zahlungsdaten — Bankverbindung, Rechnungen, Zahlungseingänge
• Kommunikationsdaten — E-Mails, Portalnachrichten, Supportanfragen
• Steuer- & Buchhaltungsdaten — Buchungssätze, Belege, Kontenpläne, Auswertungen, Steuer-IDs
• Nutzungsdaten — Log-Daten, Logins, Geräte- und Browserinformationen (pseudonym)
• Inhaltsdaten — hochgeladene Dateien, Notizen, individuelle Einstellungen

3.1 Server-Logfiles. Beim Aufruf unserer Website werden automatisch Informationen erfasst, die Ihr Browser übermittelt: gekürzte beziehungsweise pseudonymisierte IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer-URL, Browsertyp und Betriebssystem.

3.2 Cookies und ähnliche Technologien. Wir setzen Cookies sowie Local- und Session-Storage ein für grundlegende Funktionen wie Login, Sprachauswahl und Session-Verwaltung (technisch notwendig), für Analyse und Verbesserung der Nutzung (nur mit Einwilligung) sowie für Marketing- und Trackingfunktionen (nur mit Einwilligung).

Technisch notwendiges Cookie des Portals: Sitzungs-Cookie __session für den Anmeldestatus, Laufzeit 48 Stunden, httpOnly und secure — Rechtsgrundlage § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.

4.1 Nutzerkonto. Bei der Registrierung erheben wir Vor- und Nachname, Firmenname und Rechtsform, Anschrift, E-Mail-Adresse, gegebenenfalls Telefonnummer sowie Zugangsdaten. Passwörter werden ausschließlich verschlüsselt gespeichert.

Zweck ist die Einrichtung und Verwaltung des Nutzerkontos, die Authentifizierung und die Bereitstellung der gebuchten Leistungen.

4.2 Buchführungs- und Steuerdaten. In der Software verarbeiten wir Daten, die Sie oder Ihr Steuerberater einstellen — Buchungssätze, Konten, BWA, EÜR, Jahresabschlussdaten, Debitoren- und Kreditoreninformationen, Belege sowie steuerliche Informationen wie Steuer-ID, USt-ID und ELSTER-Zugangsdaten.

Diese Daten nutzen wir ausschließlich zur Erfüllung des mit Ihnen geschlossenen Vertrages: Bereitstellung der Buchhaltungs- und Auswertungsfunktionen, Erstellung von Berichten und Unterstützung Ihres Steuerberaters, etwa durch Datenexporte. Rechtsgrundlage sind Art. 6 Abs. 1 lit. b und lit. c DSGVO.

Unsere Plattform nutzt KI-Methoden, um Buchungen vorzuschlagen, Belege zu klassifizieren, Plausibilitätsprüfungen zu unterstützen und Hinweise zur steuerlichen Einordnung zu geben — rein informell, keine individuelle Steuerberatung.

Für diese Funktionen setzen wir Anthropic (Claude) als Auftragsverarbeiter ein; bei Ausfällen kann für einzelne Assistenzfunktionen ersatzweise OpenAI genutzt werden. Die übermittelten Daten — etwa Buchungsdaten, Kontensalden und Beleginhalte — werden von diesen Anbietern nicht zum Training ihrer Modelle verwendet und nur für die Dauer der Verarbeitung beziehungsweise innerhalb kurzer, vertraglich geregelter Fristen gespeichert.

Rechtsgrundlage sind Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO. Eine darüber hinausgehende Nutzung zu Trainingszwecken erfolgt nur mit Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO oder mit vollständig anonymisierten Datensätzen.

Binden Sie über unsere Plattform einen Steuerberater oder Juristen ein, oder arbeiten wir mit Kooperationspartnern zusammen, übermitteln wir Daten an diese Partner — soweit dies für die Erstellung und Prüfung von Steuererklärungen und Jahresabschlüssen, die rechtliche Prüfung von Vorlagen und Verträgen oder die steuerliche und rechtliche Beratung erforderlich ist.

Rechtsgrundlage sind Art. 6 Abs. 1 lit. b DSGVO, gegebenenfalls Art. 6 Abs. 1 lit. c DSGVO bei gesetzlichen Pflichten sowie Art. 6 Abs. 1 lit. f DSGVO.

Je nach gewählter Zahlungsart — SEPA-Lastschrift, Überweisung, Kreditkarte oder Zahlungsdienstleister — verarbeiten wir Name und Anschrift, Bankverbindung beziehungsweise Kartendaten (in der Regel über einen externen Dienstleister) sowie Transaktionsdaten wie Rechnungsnummer, Betrag und Datum.

Zweck ist die Abrechnung unserer Leistungen, die Buchführung und gegebenenfalls das Forderungsmanagement. Rechtsgrundlage sind Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO. Externe Zahlungsdienstleister setzen wir auf Basis von Auftragsverarbeitungsverträgen nach Art. 28 DSGVO ein oder in deren eigener Verantwortlichkeit.

8.1 Allgemeine Anfragen. Kontaktieren Sie uns per E-Mail, Telefon oder Formular, verarbeiten wir Ihre Kontaktdaten, den Inhalt Ihrer Anfrage sowie gegebenenfalls Anhänge. Zweck ist die Beantwortung Ihrer Anfrage, die Vorbereitung oder Abwicklung eines Vertragsverhältnisses und die Dokumentation von Supportfällen.

8.2 Newsletter. Sofern Sie unseren Newsletter abonnieren, verwenden wir Ihre E-Mail-Adresse ausschließlich zu diesem Zweck. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können diese jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmeldelink in jeder E-Mail oder durch Mitteilung an uns.

Zur Bereitstellung unserer Leistungen setzen wir folgende Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein:

Beim Login über Google oder Microsoft (Single Sign-On) erhält der jeweilige Anbieter die mit dem Login verbundenen Daten in eigener Verantwortung; ergänzend gelten dessen Datenschutzhinweise.

9.2 Übermittlung in Drittländer. Soweit Dienstleister Daten in den USA oder anderen Drittländern verarbeiten, erfolgt dies auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO), sofern der Anbieter zertifiziert ist, oder auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), ergänzt um technische Maßnahmen wie Transportverschlüsselung. Bei DPF-zertifizierten Anbietern vereinbaren wir die Standardvertragsklauseln zusätzlich. Die Kerndatenhaltung unseres Portals erfolgt in EU-Rechenzentren.

In unserem Kundenportal setzen wir — ausschließlich mit Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG — folgende Dienste über den Google Tag Manager ein: Google Analytics 4 zur Reichweitenmessung, Google Ads zur Kampagnenmessung, Microsoft Clarity zur Nutzungsanalyse und Microsoft Bing zur Kampagnenmessung.

Ihre Einwilligung verwalten Sie über unser Consent-Banner (CookieHub) und können sie dort jederzeit mit Wirkung für die Zukunft widerrufen. Ohne Einwilligung werden diese Dienste nicht geladen. Anbieter sind Google Ireland Ltd. und Microsoft Ireland Operations Ltd.; Übermittlungen in die USA erfolgen nach Maßgabe von § 9.2.

Wir speichern personenbezogene Daten nur so lange, wie es für die vertraglichen Zwecke notwendig ist, gesetzliche Aufbewahrungspflichten dies erfordern oder ein berechtigtes Interesse besteht — etwa zur Abwehr von Ansprüchen.

Nach Ablauf der jeweiligen Fristen werden die Daten routinemäßig gelöscht oder anonymisiert.

Sie haben nach der DSGVO umfassende Rechte im Umgang mit Ihren personenbezogenen Daten:

Zuständige Aufsichtsbehörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, poststelle@lfdi.bwl.de.

Ihre Daten werden auf Servern in einem zertifizierten Rechenzentrum in Frankfurt am Main verarbeitet. Eine Verarbeitung außerhalb der EU beziehungsweise des EWR erfolgt nur in den in § 9.2 beschriebenen Ausnahmefällen mit geeigneten Garantien.

Wir setzen technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein:

• Verschlüsselte Datenübertragung (HTTPS/TLS)
• Zugriffs- und Berechtigungskonzepte mit Rollen und Mehrfaktor-Authentifizierung
• Regelmäßige Sicherheitsupdates und Patch-Management
• Pseudonymisierung und — soweit sinnvoll — Anonymisierung
• Protokollierung sicherheitsrelevanter Ereignisse
• Verbindliche organisatorische Richtlinien für alle Mitarbeitenden

13.1 Incident-Response-Verfahren. Wir betreiben ein dokumentiertes Verfahren mit verbindlichen internen Reaktionszeiten:

Trotz aller Sorgfalt kann kein System absolute Sicherheit garantieren. Systemverfügbarkeit und Vorfall-Historie finden Sie unter status.onlinebilanz.de.

Wir entwickeln unsere Leistungen kontinuierlich weiter. Dadurch kann es erforderlich werden, diese Datenschutzerklärung anzupassen — etwa bei neuen Funktionen, rechtlichen Änderungen oder Vorgaben der Aufsichtsbehörden.

Die jeweils aktuelle Version ist auf onlinebilanz.de/datenschutzerklaerung abrufbar. Bei wesentlichen Änderungen informieren wir Sie rechtzeitig — per E-Mail oder durch Hinweis im Kundenportal.