📋 Verzeichnis von Verarbeitungstätigkeiten

Automatische KI-gestützte Klassifizierung, Benennung und Archivierung von Dokumenten in Google Drive des Nutzers

Art. 6(1)(b) DSGVO (Vertragserfüllung)

Nutzer (B2C/B2B), Dritte (Absender/Empfänger in Dokumenten)

• Dokumenteninhalte (temporär im RAM/Disk)
• Extrahierte Metadaten: Name, Datum, Absender, Empfänger, Betrag, IBAN, USt-ID, Kategorie
• SHA-256 Hash, Archivpfad

IONOS SE — AI Model Hub (Rechenzentrum Berlin; Deutschland-Modus, schrittweise Einführung als Standard — keine Drittlandübermittlung); für noch nicht umgestellte Konten mehrstufige KI-Fallback-Kette (funktions- und verfügbarkeitsabhängig): Google Gemini, Anthropic Claude, OpenAI Ireland Limited (Vertrag) / OpenAI, LLC (Verarbeitung, USA); zusätzlich Google Drive (Nutzer-eigener Speicher); Hetzner Online GmbH (Object Storage, primärer Vault-Speicher für B2B-Dokumente, Falkenstein DE)

Deutschland-Modus (IONOS AI Model Hub): keine Drittlandübermittlung — Verarbeitung in Berlin (DE). Für noch nicht umgestellte Konten: USA — Google LLC, Anthropic PBC, OpenAI, LLC (verarbeitende Stelle; EU-Vertrag mit OpenAI Ireland Limited).
Rechtsgrundlage: EU-U.S. Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023) als primäre Transfergrundlage für DPF-zertifizierte Empfänger; Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO (Beschluss 2021/914) ergänzend.

• Dokumente: in der Regel unmittelbar nach Upload gelöscht / max. 30 Min. TTL
  api.py:303 _TASK_TTL_SEC=1800
• Metadaten: bis Account-Löschung (verschlüsselt mit Fernet AES-128)
• §147-AO-Daten: 6/8/10 Jahre je nach Dokumenttyp und Entstehungszeitpunkt pseudonymisiert bei Löschung (insb. 8 Jahre für bestimmte Buchungsbelege ab 2025 nach BEG IV; sonst je nach Einordnung 6 oder 10 Jahre)

Fernet AES-128 Feldverschlüsselung, TLS 1.3, DSGVO-Gatekeeper (Art. 9 Pre-Filter, 187 Schlüsselwörter in 7 Art.-9-Kategorien; Erkennung mit Grenzen), SQLite-Integritäts-Trigger, SHA-256 Hash-Chaining, Auto-Delete 30 Min., UUID4-Task-IDs, chmod 600

Identifizierung und Authentifizierung der Nutzer über Telegram oder Google OAuth

Art. 6(1)(b) DSGVO (Vertragserfüllung)

Nutzer (B2C/B2B)

• B2C: Telegram-ID, Username, Vorname
• B2B: E-Mail, Name, OAuth-Token (verschlüsselt), Passwort-Hash (Argon2id (OWASP 2024), mit automatischer Migration von PBKDF2)

Telegram FZ LLC (eigenständiger Verantwortlicher), Google LLC (OAuth)

UAE (Telegram) — Art. 49(1)(a) Einwilligung
USA (Google) — SCCs

Bis Account-Löschung (/delete_account, DELETE /api/web/settings/account, DELETE /api/b2b/account)

OAuth 2.0, Fernet-verschlüsselte Tokens (chmod 600), HttpOnly/Secure/SameSite Cookies, HMAC-signierte Sessions, fail-fast bei fehlendem SESSION_SECRET

Übermittlung von Dokumententext/-bild an KI-Anbieter zur Metadatenextraktion (Kategorie, Absender, Empfänger, Betrag, Datum)

Art. 6(1)(b) + Art. 28 DSGVO (Auftragsverarbeitung)

Nutzer, Dritte (in Dokumenten genannte Personen)

• Normal: Seitenbild oder OCR-Text
• Sensibel (Art. 9): Ziel ist redaktierter Text ohne PII (DSGVO-Gatekeeper); vollständige Erkennung nicht garantiert
• Prompt-Anweisung (keine personenbezogenen Daten)

• IONOS SE — AI Model Hub (Rechenzentrum Berlin; Deutschland-Modus, schrittweise Einführung als Standard — keine Drittlandübermittlung)
• Google LLC — Gemini API über Google AI Studio (USA-Endpunkt; je nach Funktion primär für noch nicht umgestellte Konten)
• Anthropic PBC / OpenAI Ireland Limited (Vertrag) / OpenAI, LLC (Verarbeitung, USA) — Claude bzw. GPT-4o API (funktions- und verfügbarkeitsabhängig)

Deutschland-Modus (IONOS AI Model Hub): keine — Verarbeitung in Berlin (DE). Für noch nicht umgestellte Konten: USA — alle drei US-Anbieter (Google Gemini über Google AI Studio Endpunkt, USA).
Rechtsgrundlage: EU-U.S. Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795) als primäre Transfergrundlage + Standardvertragsklauseln (Beschluss 2021/914) ergänzend; DPAs mit allen Anbietern. Google: kein Training auf API-Daten. OpenAI: Zero Data Retention. Anthropic: Processor-Rolle bestätigt.

KI-Anbieter: keine dauerhafte Speicherung (DPA-Regelung). Lokaler Server: Prompt/Response nur im RAM.

DSGVO-Gatekeeper (Art. 9 Pre-Filter, fail-closed, 187 keywords across 7 Art. 9 categories; technische Grenzen), TLS 1.3, DPAs mit allen Anbietern, Triple-Fallback mit Circuit Breakers (kein Single Point of Failure), 7 Prompt-Injection-Filter, AI-Output-Validation

Verarbeitung von Zahlungen für Credits (B2C via Telegram Stars) und Abonnements (B2B via Stripe)

Art. 6(1)(b) DSGVO (Vertragserfüllung), Art. 6(1)(c) (§147 AO Aufbewahrungspflicht)

Zahlende Nutzer (B2C und B2B)

• B2C: Telegram Stars Charge-ID, Credits-Betrag
• B2B: Stripe Subscription-ID, Firmenname, E-Mail
• Im Zahlungskontext kein Zugriff auf Bank- oder Kreditkartendaten (Telegram/Stripe wickeln die Zahlung eigenständig ab)
• Hinweis: Bank- bzw. Kontodaten werden ausschließlich dann verarbeitet, wenn Sie die optionale finAPI-Bankintegration aktivieren — Einzelheiten hierzu in der Datenschutzerklärung (Abschnitt Bankkonto-/finAPI-Integration)

B2C: Telegram FZ LLC (eigenständig). B2B: Stripe Inc. (Auftragsverarbeiter).

UAE (Telegram), USA/EU (Stripe — SCCs + DPA)

Transaktionsdaten: pseudonymisiert aufbewahrt (§147 AO). Personenbezogene Daten: bei Account-Löschung durch nicht-rückverfolgbaren Platzhalter ersetzt (Pseudonymisierung gem. Art. 4 Nr. 5 DSGVO). Finanzielle Ledger-Einträge bleiben als append-only erhalten (§147 AO).

Im Zahlungskontext kein Zugang zu Bankdaten (Telegram/Stripe wickeln ab); Bank-/Kontodaten nur bei aktivierter finAPI-Integration (separater Abschnitt). Idempotente Zahlungsverarbeitung (charge_id UNIQUE). Immutable Ledger (SQLite-Trigger). Pseudonymisierung bei Löschung. Crash-Recovery-Queue.

Versand von Team-Einladungen, Verifizierungscodes, Passwort-Resets und Kontaktnachrichten

Art. 6(1)(b) DSGVO (Vertragserfüllung)

Nutzer (B2B-Portal), eingeladene Teammitglieder

E-Mail-Adresse, Name, Nachrichteninhalt, technische Metadaten

Brevo (Sendinblue) GmbH — Auftragsverarbeiter, Berlin, Deutschland

Nein — EU (Berlin). api.brevo.com/v3/smtp/email

Bis Account-Löschung

AVV mit Brevo. TLS-verschlüsselter Versand. Sender: [email protected]

Nachweis der Einwilligung nach Art. 7 DSGVO und §25 TDDDG

Art. 6(1)(c) DSGVO (Nachweispflicht Art. 7), §25 TDDDG

Website-Besucher

Anonyme Besucher-ID (visitor_id), Consent-Auswahl, Banner-Version, Zeitstempel, URL, User Agent, Land

Keine Weitergabe an Dritte

Nein

12 Monate — automatische Bereinigung via scheduler.py:_consent_purge_loop

Anonyme Identifier. Keine Verknüpfung mit Nutzerkonto. Automatische Bereinigung.

Unveränderbare Protokollierung aller Archivänderungen für Betriebsprüfung (§§145–147 AO)

Art. 6(1)(c) DSGVO (gesetzliche Verpflichtung §§145–147 AO)

Nutzer (deren Archiveinträge protokolliert werden)

Audit-Trail: Feld, alter Wert, neuer Wert, Zeitstempel, User-ID, IP (redaktiert in Logs), User Agent. SHA-256 Hash-Chain.

Betriebsprüfer (Z3-Export auf behördliche Anfrage)

Nein (lokale SQLite-Datenbank auf Server Deutschland (Berlin))

Aufbewahrungsfrist gemäß §147 AO (6/8/10 Jahre je nach Dokumenttyp und Entstehungszeitpunkt; inkl. 8 Jahre für bestimmte Buchungsbelege ab 2025 nach BEG IV). Bei Account-Löschung: Pseudonymisierung der PII, Finanzfelder bleiben erhalten.

SQLite-Integritäts-Trigger (unveränderbar, löschgeschützt). SHA-256 Hash-Chaining (seal_audit_chain, alle 5 Min.). Integritätsprüfung per Knopfdruck. Chronologischer Guard verhindert rückdatierte Einträge. Z3-Export für Betriebsprüfungen.

Prüfung eingehender und ausgehender elektronischer Rechnungen gegen die EN16931-Geschäftsregeln (Schematron) zur Erfüllung der E-Rechnungs-Empfangspflicht und der §14-UStG-Anforderungen.

Art. 6(1)(c) DSGVO (gesetzliche Verpflichtung §14 UStG, E-Rechnungs-Mandat), Art. 6(1)(b) DSGVO (Vertragserfüllung).

Nutzer (Rechnungssteller/-empfänger), Dritte (in Rechnungen genannte Geschäftspartner)

Firmenname, Anschrift, USt-ID, Rechnungsbeträge, Positionen, Datumsangaben, Bankverbindung (IBAN) aus dem Rechnungs-XML (CII bzw. UBL)

• Eingehend: EN16931-Schematron-Prüfung via factur-x (CII/ZUGFeRD/XRechnung-CII) — services/e_rechnung.py
• Ausgehend: XRechnung CII via saxonche (Schematron) — services/invoice_generator.py
• Keine XSD-Validierung (für CII-Elementreihenfolge bewusst ausgelassen; Schematron ist die maßgebliche §14-UStG-Geschäftsregelprüfung)
• XRechnung-CIUS/BR-DE-Prüfung (KoSIT) wird beim Finalisieren zusätzlich ausgeführt und am Beleg vermerkt (warn-first); noch keine harte Sperre — die EN 16931-Schematron-Prüfung bleibt das blockierende Gate

• Eingehende E-Rechnung: wird mit Validierungsergebnis markiert (e_rechnung_validation_status / _errors) und zur Wahrung der Vollständigkeit (§147 AO) immer archiviert — bei Schematron-Verstoß nicht verworfen.
• Ausgehende Rechnung: nur der Finalize-Vorgang wird bei einem Schematron-Verstoß mit HTTP 422 abgelehnt.

Intern (lokale Verarbeitung). Keine Übermittlung an Dritte zur Validierung.

Nein (lokale Verarbeitung auf Server Deutschland (Berlin)/Falkenstein DE)

Aufbewahrungsfrist gemäß §147 AO — 8 Jahre für Buchungsbelege/Rechnungen (seit 2025-01-01, BEG IV; sonst je nach Einordnung 6 oder 10 Jahre). Validierungsstatus bleibt am archivierten Beleg erhalten.

EN16931-Schematron-Validierung (factur-x eingehend, saxonche/XRechnung-CII ausgehend), HTTP 422 bei ungültigem Finalize ausgehend, Vollständigkeitsarchivierung eingehend, append-only Rechnungstabellen, SQLite-Integritäts-Trigger

Bereitstellung eines GDPdU-konformen Datenexports (Z3-Datenträgerüberlassung) für die Betriebsprüfung nach dem Audicon-Beschreibungsstandard.

Art. 6(1)(c) DSGVO (gesetzliche Verpflichtung §§145–147 AO, GDPdU/GoBD-Datenzugriff Z3).

Nutzer (deren steuerrelevante Datensätze exportiert werden), Dritte (Geschäftspartner in den exportierten Belegen)

Strukturierte Buchungs-/Belegdaten: Beträge, Steuerkategorien, Buchungsdaten, Belegnummern, Geschäftspartnernamen

• index.xml + gdpdu-01-08-2002.dtd + journal.csv (Audicon-Beschreibungsstandard)
• Implementierung: services/export/gdpdu.py

Betriebsprüfer (Z3-Datenträgerüberlassung auf behördliche Anfrage; Empfänger, nicht Auftragsverarbeiter)

Nein — Export wird dem Nutzer bzw. der Finanzbehörde bereitgestellt; lokale Erzeugung auf Server DE.

Exportdateien sind flüchtig (auf Anfrage erzeugt, nicht dauerhaft serverseitig gespeichert). Zugrundeliegende Belege: §147 AO (8 Jahre für Buchungsbelege/Rechnungen seit 2025-01-01, BEG IV; sonst 6 oder 10 Jahre je nach Einordnung).

On-demand-Erzeugung ohne dauerhafte Speicherung, DTD-konformer Strukturexport (Audicon-Beschreibungsstandard), authentifizierter Zugriff, Audit-Protokollierung der Export-Aktion (Verknüpfung zu VT-07)