Datenschutzerklärung

Die aktuelle Version bildet die Produktrichtung ab, aber noch keinen finalen juristischen Freigabestand.

Verantwortliche Stelle

OzyCore GmbH Kreuzberger Ring 24 65205 Wiesbaden E-Mail: info@ozycore.de

Zweck der Verarbeitung

Verarbeitung eingehender Rechnungsdokumente, Nutzerkonten, Exportdaten, Audit Trails und produktbezogener Kommunikation.

Speicherort

Rechnungsdaten und Dokumente werden in Frankfurt gespeichert (AWS eu-central-1, ISO 27001/SOC 2 zertifiziertes Rechenzentrum). Die Anwendung läuft in der EU-Region Frankfurt. Vercel Inc. (USA, DPF-zertifiziert) ist Auftragsverarbeiter mit EU-Standardvertragsklauseln.

Cookies und Einwilligungsverwaltung

Wir setzen drei Kategorien von Cookies ein, die Sie über das Cookie-Banner bzw. die Footer-Schaltfläche „Cookie-Einstellungen“ jederzeit verwalten können: Notwendig: Login-Sitzungen, Sicherheits-Token (CSRF, Turnstile) und Spracheinstellungen. Ohne diese Cookies funktioniert der Dienst nicht. Analyse: Google Analytics 4 (Conversion- und Nutzungsmessung). Diese Cookies werden ausschließlich nach Ihrer ausdrücklichen Einwilligung gesetzt; ohne Einwilligung wird kein Skript geladen und keine Anfrage an googletagmanager.com oder google-analytics.com gesendet. Marketing: Google Ads-Konversionsmessung, nur nach Einwilligung. Ohne Ihre Einwilligung wird kein Google-Ads-Tag geladen und keine Konversionsdaten werden übermittelt. Ihre Einwilligungsentscheidung wird lokal in Ihrem Browser unter dem Schlüssel „cookie-consent-v1“ gespeichert und kann jederzeit über den Footer-Link widerrufen werden. Die endgültige juristische Prüfung dieses Abschnitts (Auftragsverarbeitungsvertrag mit Google, Datenflüsse in Drittländer, Aufbewahrungsfristen) erfolgt im Rahmen der GA-Vorbereitung.

Auftragsverarbeiter / Sub-Processoren

Folgende externe Dienstleister verarbeiten in unserem Auftrag personenbezogene Daten gemäß Art. 28 DSGVO:

Microsoft Ireland Operations Limited

Dienst: Azure Document Intelligence (OCR-Verarbeitung von PDF-Belegen). Verarbeitungsregion: Germany West Central (Frankfurt). Speicherdauer: max. 24 Stunden für die Verarbeitung; das Analyseergebnis wird nach erfolgreichem Abruf durch unseren Server zusätzlich aktiv über die Delete-Analyze-Result-API gelöscht. Vertragliche Grundlage: Microsoft Products and Services Data Protection Addendum (DPA), inklusive EU-Standardvertragsklauseln. Datenkategorien: PDF-Inhalt der hochgeladenen Belege (kann personenbezogene Daten enthalten — z. B. Name, Anschrift, Kontaktdaten von Lieferanten und Mitarbeitenden). Zweck: Strukturierte Extraktion von Rechnungsdaten aus PDF-Belegen, die nicht im EN-16931-XML-Format vorliegen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) i. V. m. Art. 28 DSGVO (Auftragsverarbeitung).

Europäische Kommission (VIES — VAT Information Exchange System)

Dienst: USt-IdNr.-Validierung über das öffentliche VIES-REST-API (https://ec.europa.eu/taxation_customs/vies/). Verarbeitungsregion: Europäische Union. Speicherdauer: gemäß den Aufbewahrungsregeln des öffentlichen VIES-Registers; das Validierungsergebnis wird in unserer Datenbank für maximal 30 Tage zwischengespeichert. Datenkategorien: USt-IdNr. (öffentliche Geschäftskennung); VIES gibt zu validierten Nummern Firmenname und -anschrift aus dem öffentlichen Register zurück. Zweck: Validierung der Gültigkeit einer USt-IdNr., insbesondere bei grenzüberschreitenden Geschäften innerhalb der EU. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung; § 18e UStG verlangt die Plausibilitätsprüfung von USt-IdNr. von Geschäftspartnern).

Bundeszentralamt für Steuern (BZSt — Bestätigung ausländischer USt-IdNr.)

Dienst: einfache Bestätigungsabfrage einer ausländischen EU-USt-IdNr. über die öffentliche eVatR-REST-Schnittstelle des BZSt (https://api.evatr.vies.bzst.de). Verarbeitungsregion: Deutschland. Übermittelte Daten: die deutsche USt-IdNr. Ihres Unternehmens (als anfragende Stelle) und die USt-IdNr. des Lieferanten. Firmenname und Anschrift werden nicht übermittelt. Speicherdauer: beim BZSt gemäß dessen Vorgaben; bei uns wird das Ergebnis (gültig/ungültig, Zeitpunkt, Quelle) am Lieferantendatensatz gespeichert und spätestens nach 30 Tagen erneut abgefragt. Antwortet das BZSt nicht, fragen wir stattdessen VIES (siehe oben). Zweck: Bestätigung der Gültigkeit der USt-IdNr. von Lieferanten aus anderen EU-Mitgliedstaaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung; Bestätigungsverfahren nach § 18e UStG).

Unterauftragsverarbeiter (Gesamtliste)

• Supabase, Inc. (USA) – Datenbank, Objektspeicher, Authentifizierung; Verarbeitung in der EU-Region Frankfurt (AWS eu-central-1); EU-Standardvertragsklauseln • Vercel, Inc. (USA, EU-US Data Privacy Framework) – Hosting der Web- und API-Schicht in der EU-Region Frankfurt (fra1); Konten- und Protokolldaten können in den USA verarbeitet werden; EU-Standardvertragsklauseln • Mailgun Technologies, Inc. (USA) – Empfang und Versand von E-Mails über die EU-Region; EU-Standardvertragsklauseln • Stripe Payments Europe, Ltd. (Irland) – Zahlungsabwicklung und Rechnungsstellung • Functional Software, Inc. (Sentry, USA) – Fehler- und Sicherheitsmonitoring in der EU/DE-Region; EU-Standardvertragsklauseln • Inngest, Inc. (USA) – Ausführung von Hintergrundaufträgen (Auftragsmetadaten, keine Rechnungsinhalte); Standort laut Anbieter, EU-Standardvertragsklauseln • Upstash, Inc. (USA) – Ratenbegrenzung (gehashte Schlüssel, keine Inhalte); Standort laut Anbieter, EU-Standardvertragsklauseln • Cloudflare, Inc. (USA, EU-US Data Privacy Framework) – Bot-Schutz (Turnstile) auf öffentlichen Formularen • Fly.io, Inc. (USA) – Betrieb des KoSIT-Validators und der PDF-Prüfumgebung in der Region Frankfurt; EU-Standardvertragsklauseln • Microsoft Ireland Operations Limited – Azure Document Intelligence (OCR) in der Region Germany West Central • Google Ireland Limited – Google Analytics 4 und Google Ads nur nach Einwilligung über das Cookie-Banner; keine Verarbeitung von Rechnungsdaten (Website-Nutzung, kein Unterauftragsverarbeiter im Sinne von Art. 28 DSGVO für Kundendaten)

Google Ads / Remarketing

Nur nach Ihrer Einwilligung in die Kategorie „Marketing“ übermitteln wir Konversionsereignisse (z. B. Registrierung) an Google Ireland Limited. Ohne Einwilligung wird kein Google-Ads-Tag geladen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; Widerruf jederzeit über „Cookie-Einstellungen“ im Footer.

Zuständige Aufsichtsbehörde

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit Gustav-Stresemann-Ring 1 65189 Wiesbaden Telefon: +49 611 1408-0 E-Mail: poststelle@datenschutz.hessen.de