Datenschutzerklärung

für den PDF Agent (pdf.steuersoft.ai) und das E-Rechnungs-Modul (erechnung.steuersoft.de) · Stand: 30.09.2026

Mit dieser Erklärung informieren wir Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten bei der Nutzung des PDF Agent und des E-Rechnungs-Moduls verarbeitet werden, zu welchen Zwecken, auf welcher Rechtsgrundlage und welche Rechte Ihnen zustehen. Beide Angebote werden technisch vom selben Dienst bereitgestellt.

1. Verantwortlicher

Steuersoft GmbH
Wallstraße 7, 66740 Saarlouis
Handelsregister: HRB 24335, Amtsgericht Saarbrücken
Vertreten durch den Geschäftsführer Berthold Frankenreiter
E-Mail: info@steuersoft.de

2. Datenschutzbeauftragter

Für die Steuersoft GmbH und die Steuer-Online MF GmbH ist folgender externer Datenschutzbeauftragter benannt:

Nina Rümmele
Perfekter Datenschutz (OT) GmbH
Am Paradeplatz 20, 69126 Heidelberg
E-Mail: Kunden@perfekter-datenschutz.de
Telefon: 069 2475 10 260

3. Nutzung für Mandanten oder Mitglieder

Bearbeiten Sie mit dem PDF Agent oder dem E-Rechnungs-Modul beruflich Unterlagen Dritter (etwa als Beratungsstelle, Kanzlei oder Lohnsteuerhilfeverein), sind Sie bzw. Ihre Organisation für deren Daten Verantwortlicher im Sinne der DSGVO. Wir verarbeiten diese Daten dann ausschließlich in Ihrem Auftrag und nach Ihrer Weisung (Art. 28 DSGVO) auf Grundlage des mit Ihnen geschlossenen Vertrags zur Auftragsverarbeitung. Die nachfolgenden Angaben beschreiben die technische Verarbeitung durch den Dienst; die Information der betroffenen Mandanten oder Mitglieder obliegt dem jeweiligen Verantwortlichen.

4. Hosting und Zugriffsprotokolle

Der Dienst wird auf Servern der Hetzner Online GmbH in Rechenzentren in Deutschland betrieben.

Beim Aufruf der Seiten verarbeitet der Webserver technisch notwendige Verbindungsdaten. In den Zugriffsprotokollen speichern wir ausschließlich eine gekürzte IP-Adresse (der letzte Block wird entfernt, sodass kein Rückschluss auf einen einzelnen Anschluss möglich ist), Datum und Uhrzeit, die aufgerufene Adresse, den Statuscode, die übertragene Datenmenge und die Browserfamilie. Aufrufe der Programmierschnittstelle, über die Dokumente und Rechnungsdaten übertragen werden, werden nicht protokolliert.

Zweck ist der sichere und stabile Betrieb sowie die Abwehr von Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Betriebssicherheit. Die Protokolle werden nach 14 Tagen automatisch gelöscht.

5. Anmeldung per E-Mail-Link

Außerhalb der festgelegten Firmennetze erfolgt die Anmeldung über einen Anmeldelink per E-Mail. Dazu verarbeiten wir Ihre E-Mail-Adresse, prüfen, ob sie für den Zugang freigegeben ist, und senden Ihnen einen Link, der 15 Minuten gültig ist. Um Missbrauch zu verhindern, kann je E-Mail-Adresse nur in bestimmten Abständen ein neuer Link angefordert werden. Aus dem Steuersoft-Programm heraus erfolgt die Anmeldung stattdessen über ein kurzlebiges Programm-Token.

Der Versand der E-Mail erfolgt über den E-Mail-Dienst der IONOS SE (Deutschland). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Zugangs) sowie Art. 6 Abs. 1 lit. f DSGVO (Schutz vor unbefugtem Zugriff).

6. Cookies und lokale Speicherung

Nach erfolgreicher Anmeldung setzen wir ein einziges Sitzungs-Cookie. Es enthält eine signierte Kennung Ihrer Anmeldung, ist für Skripte nicht auslesbar, wird nur verschlüsselt übertragen und läuft nach 30 Tagen ab. Dieses Cookie ist unbedingt erforderlich, um den von Ihnen gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht erforderlich.

Einstellungen wie Ansicht, Bedienmodus oder Ihre eigenen Belegkategorien werden im lokalen Speicher Ihres Browsers (localStorage) abgelegt. Damit Ihre Arbeit bei einem versehentlich geschlossenen Fenster nicht verloren geht, sichert der PDF Agent die gerade geöffneten Dokumente zusätzlich ausschließlich lokal in Ihrem Browser (IndexedDB). Diese Daten verlassen Ihr Gerät nicht, werden von uns nicht ausgewertet und beim Verwerfen der Sitzung gelöscht; Sie können sie außerdem jederzeit über die Browsereinstellungen entfernen.

Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies ein und binden keine Inhalte externer Anbieter (etwa Schriftarten oder Skripte aus Content-Delivery-Netzen) ein. Alle Bestandteile der Seite werden von unserem eigenen Server ausgeliefert.

7. Bearbeitung von Dokumenten

Viele Funktionen (Seiten ordnen, drehen, trennen, zusammenführen, markieren, Fotos in PDF umwandeln) laufen vollständig in Ihrem Browser; die Dokumente werden dafür nicht an uns übertragen. Lediglich Fotos in Formaten, die der Browser nicht selbst lesen kann, werden zur Umwandlung kurz an unseren Server übertragen.

Für Funktionen wie Texterkennung (OCR), Komprimieren, Umwandeln, Schwärzen, Verschlüsseln, das Entfernen leerer Seiten oder die Stapelverarbeitung wird das Dokument an unseren Server übertragen, dort nur vorübergehend verarbeitet und das Ergebnis an Ihren Browser zurückgegeben. Die Verarbeitung erfolgt mit Programmen auf unserem eigenen Server, ohne Weitergabe an Dritte. Dokumente werden nicht dauerhaft gespeichert; Ergebnisse der Stapelverarbeitung stehen 30 Minuten zum Abruf bereit und werden danach automatisch gelöscht.

Dokumente können besondere Kategorien personenbezogener Daten enthalten (z. B. Gesundheitsangaben auf Belegen). Diese werden ausschließlich zur Ausführung der von Ihnen gewählten Funktion verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; bei der Nutzung für Dritte richtet sie sich nach dem Verhältnis zwischen Ihnen und Ihren Mandanten bzw. Mitgliedern (siehe Abschnitt 3).

8. Einsatz von Künstlicher Intelligenz

Nur die Funktion „Nach Inhalt (KI)“ zur automatischen Trennung eines Belegstapels nutzt ein generatives KI-Modell. Dafür wird der Text der einzelnen Seiten über ein von uns betriebenes Gateway an den Dienst Amazon Bedrock der Amazon Web Services EMEA SARL in der Region Frankfurt am Main (EU) übermittelt, der die Belegart jeder Seite bestimmt. Die Daten verbleiben in der EU-Region und werden vom Anbieter nicht zum Training der Modelle verwendet. Das Ergebnis ist ein Vorschlag, den Sie vor dem Speichern prüfen und ändern können. Alle anderen Funktionen arbeiten ohne KI-Dienst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. E-Rechnungen prüfen und erstellen

Beim Prüfen einer elektronischen Rechnung werden die Rechnungsdaten auf unserem Server gegen die amtlichen Regeln geprüft. Die Prüfung findet vollständig auf unserem eigenen Server statt; die Rechnung wird nicht an Dritte weitergegeben. Ein erzeugter Prüfbericht steht 30 Minuten zum Abruf bereit.

Beim Erstellen von Rechnungen können Sie Stammdaten (etwa Name, Anschrift und Umsatzsteuer-Identifikationsnummer Ihres Unternehmens und Ihrer Kunden) speichern, damit Sie sie nicht jedes Mal neu eingeben müssen. Diese Stammdaten werden getrennt je Lizenz gespeichert, bis Sie sie löschen. Um die gesetzlich geforderte einmalige Vergabe von Rechnungsnummern (§ 14 Abs. 4 Nr. 4 UStG) sicherzustellen, speichern wir zusätzlich je Lizenz die vergebenen Rechnungsnummern mit Zeitpunkt, aber keine Rechnungsinhalte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

10. Übergabe an Steuersoft und die Belegerkennung

Sie können Dokumente zwischen dem Steuersoft-Programm und dem PDF Agent austauschen oder zur Belegprüfung an unsere Belegerkennung weiterleiten, die wir selbst auf Servern in Deutschland betreiben. Dafür werden die Dateien in einem je Lizenz getrennten, geschützten Übergabespeicher abgelegt und nach der Abholung entfernt. Nicht abgeholte Dateien werden nach 24 Stunden automatisch gelöscht.

11. Abrechnung und Protokollierung

Für die Abrechnung der Nutzung in Steuersoft-Guthaben (St€) und zur Nachvollziehbarkeit führen wir ein Nutzungsprotokoll. Es enthält ausschließlich Metadaten wie Lizenzkennung, Zeitpunkt, genutzte Funktion, Seitenzahl und berechneten Betrag sowie einen Prüfwert (Hash) des Dokuments – niemals dessen Inhalt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO sowie lit. f DSGVO (Nachweis und Missbrauchsabwehr).

12. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies für die Erbringung des Dienstes erforderlich ist. Eingesetzt werden:

• Hetzner Online GmbH, Deutschland – Hosting der Server,
• IONOS SE, Deutschland – Versand der Anmelde-E-Mails,
• Amazon Web Services EMEA SARL, Luxemburg – KI-Modell (Amazon Bedrock, Region Frankfurt am Main), nur bei Nutzung der KI-Trennung.

Mit allen Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Die jeweils aktuelle Liste der Unterauftragnehmer stellen wir auf Anfrage zur Verfügung. Eine Weitergabe zu Werbezwecken findet nicht statt.

13. Übermittlung in Drittländer

Die Verarbeitung findet in der Europäischen Union statt. Eine Übermittlung in Drittländer ist nicht vorgesehen. Soweit Konzerngesellschaften eines Dienstleisters mit Sitz außerhalb der EU nicht ausgeschlossen werden können, stützen wir uns auf das EU-US Data Privacy Framework und/oder Standardvertragsklauseln der EU-Kommission.

14. Speicherdauer

• Zugriffsprotokolle: 14 Tage,
• Anmeldelink: 15 Minuten gültig; Sitzung: 30 Tage,
• an den Server übertragene Dokumente: nur für die Dauer der Verarbeitung,
• Ergebnisse der Stapelverarbeitung und Prüfberichte: 30 Minuten,
• Übergaben an das Steuersoft-Programm bzw. die Belegerkennung: bis zur Abholung, höchstens 24 Stunden,
• E-Rechnungs-Stammdaten und vergebene Rechnungsnummern: bis zur Löschung durch Sie,
• Abrechnungsdaten: solange sie für die Abrechnung benötigt werden und gesetzliche Aufbewahrungsfristen (z. B. nach Abgabenordnung und Handelsgesetzbuch) es verlangen.

15. Ihre Rechte

Sie haben gegenüber uns das Recht auf

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Wenden Sie sich dazu an info@steuersoft.de oder an unseren Datenschutzbeauftragten. Wurden Ihre Daten von einer Beratungsstelle, Kanzlei oder einem Verein mit dem Dienst bearbeitet, richten Sie Ihr Anliegen bitte an diese Stelle; wir unterstützen sie bei der Erfüllung.

16. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist:

Unabhängiges Datenschutzzentrum Saarland
Fritz-Dobisch-Straße 12, 66111 Saarbrücken

17. Weitere Hinweise

Keine automatisierte Einzelentscheidung

Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt. Vorschläge des Dienstes, etwa zur Trennung von Belegen, prüfen und bestätigen stets Sie.

Pflicht zur Bereitstellung

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die für eine Funktion erforderlichen Angaben kann diese Funktion jedoch nicht genutzt werden.

Sicherheit

Alle Verbindungen sind nach dem Stand der Technik verschlüsselt. Zugriffe sind auf freigegebene Personen beschränkt, und Daten werden je Lizenz getrennt gehalten.