Datenschutzerklärung

1. Verantwortlicher und Kontaktdaten

Verantwortlicher für die in dieser Erklärung beschriebene Verarbeitung ist:

TaxRouter UG (haftungsbeschränkt)
Lange Reihe 14
20099 Hamburg
Deutschland
E-Mail: info@taxrouter.com

Geschäftsführer: Marius Glauer Datenschutzkontakt: info@taxrouter.com

2. Geltungsbereich

Diese Erklärung beschreibt, wie wir personenbezogene Daten verarbeiten, wenn Sie die TaxRouter-Website besuchen, ein Konto oder einen TaxRouter-Workspace erstellen oder nutzen, eine unterstützte Marketplace- oder Buchhaltungsintegration verbinden, uns kontaktieren oder anderweitig mit unseren Diensten interagieren.

TaxRouter richtet sich an Geschäftskunden und Angehörige steuerberatender Berufe. Ein Kunde kann für personenbezogene Daten, die in seinen Workspace hochgeladen oder synchronisiert werden, Verantwortlicher sein. Soweit TaxRouter diese Daten ausschließlich nach dokumentierter Weisung des Kunden verarbeitet, gilt ergänzend die gesonderte Auftragsverarbeitungsvereinbarung.

3. Datenkategorien

Abhängig von der Nutzung können wir insbesondere folgende Daten verarbeiten:

• Konto- und Identitätsdaten wie Name, geschäftliche E-Mail-Adresse, Authentifizierungsinformationen, Rollen und Status der Mehr-Faktor-Authentifizierung;
• Organisations- und Vertragsdaten wie Firmenname, Anschrift, Abrechnungsdaten, Abonnement, Vertragsnachweise und Zustimmungsnachweise;
• vom Kunden autorisierte Marketplace-, Steuer- und Buchhaltungsdaten, insbesondere Transaktions-, Settlement-, Bestell-, Versand-, Rechnungs-, Umsatzsteuer- und Abstimmungsdaten;
• Integrationsdaten wie Verbindungskennungen, Autorisierungsstatus, Berechtigungsumfang, Synchronisierungsverlauf und Fehlerdaten;
• Support- und Kommunikationsdaten einschließlich Nachrichten, Anhängen und Kontaktanfragen;
• Nutzungs-, Geräte- und Sicherheitsdaten wie IP-Adresse, Zeitstempel, Browserinformationen, Audit-Ereignisse und Sicherheitsprotokolle; sowie
• zahlungsbezogene Daten, die wir von Zahlungsdienstleistern erhalten. TaxRouter beabsichtigt nicht, vollständige Zahlungskartendaten zu speichern.

Wir erhalten Daten von Ihnen, Ihrer Organisation, autorisierten Nutzern, verbundenen Integrationen und Dienstleistern sowie automatisiert über Website und Anwendung. Soweit Art. 14 DSGVO Anwendung findet, weil Daten nicht unmittelbar bei Ihnen erhoben wurden, stammen sie regelmäßig von Ihrer Organisation, einem autorisierten Nutzer oder einer vom Kunden verbundenen Integration. Datenkategorien, Zwecke und Rechtsgrundlagen sind in dieser Erklärung beschrieben. Wir erteilen die erforderlichen Informationen innerhalb der gesetzlichen Frist, spätestens bei der ersten Kommunikation oder ersten Offenlegung, soweit anwendbar und sofern keine gesetzliche Ausnahme greift.

4. Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten, um:

• Konten, Workspaces, Integrationen, Synchronisierung, Abstimmung, Exporte, Support und sonstige vertraglich geschuldete Funktionen bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO, wenn die betroffene Person selbst Vertragspartei ist; andernfalls Art. 6 Abs. 1 lit. f DSGVO auf Grundlage unserer und der berechtigten Interessen des Kunden an Verwaltung und Durchführung des Geschäftsvertrags);
• auf Ihre Anfrage vor Vertragsschluss tätig zu werden (Art. 6 Abs. 1 lit. b DSGVO);
• Rechnungen zu stellen, gesetzliche Nachweise aufzubewahren, Behördenanfragen zu beantworten und steuer-, handels- sowie datenschutzrechtliche Pflichten zu erfüllen (Art. 6 Abs. 1 lit. c DSGVO);
• den Dienst abzusichern, Missbrauch zu verhindern, Fehler zu beheben, Audit-Trails zu führen und einen zuverlässigen Betrieb zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO; unsere berechtigten Interessen liegen in Sicherheit, Integrität und effizientem Betrieb);
• mit geschäftlichen Ansprechpartnern zu kommunizieren und Anfragen zu beantworten (je nach Zusammenhang Art. 6 Abs. 1 lit. b oder f DSGVO); und
• optionale Kommunikation oder optionale Technologien einzusetzen, soweit hierfür eine Einwilligung erforderlich ist (Art. 6 Abs. 1 lit. a DSGVO und anwendbares Telekommunikationsrecht). Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

5. Website-Technologien

Wir verwenden derzeit nur Technologien, die für den angeforderten Dienst erforderlich sind:

• Authentifizierungs- und Sitzungscookies einschließlich vorübergehender OAuth-State-Cookies für die sichere Anmeldung und Integrationsautorisierung;
• ein Locale-Cookie für die Sprachauswahl und ein Cookie für die zuletzt verwendete Organisation zur Wiederherstellung des Workspace-Kontexts, jeweils mit einer Speicherdauer von bis zu einem Jahr; sowie
• vorübergehenden Browser-Sitzungsspeicher für Einladungs- und Weiterleitungsziele nach der Anmeldung, der mit der Browsersitzung oder nach abgeschlossener Weiterleitung gelöscht wird.

TaxRouter verwendet derzeit weder auf der Website noch in der Anwendung optionale Analyse- oder Marketingcookies. Sollte sich dies ändern, aktualisieren wir diese Erklärung und holen, soweit erforderlich, eine Einwilligung ein.

6. Marketplace- und Integrationsdaten

Verbindet ein autorisierter Nutzer Amazon Seller Central oder eine andere unterstützte Integration, verarbeiten wir nur die im Rahmen der erteilten Autorisierung bereitgestellten und für den aktivierten TaxRouter-Workflow erforderlichen Daten. Wir verwenden Marketplace-Daten nicht für Werbung, Weiterverkauf, sachfremdes Profiling oder Direct-to-Consumer-Fulfillment.

Kunden sind dafür verantwortlich, dass sie zur Verbindung eines Kontos und zur Beauftragung der Verarbeitung berechtigt sind. Integrationsanbieter können personenbezogene Daten nach ihren eigenen Bedingungen und Datenschutzhinweisen in eigener Verantwortlichkeit verarbeiten.

7. Empfänger und Unterauftragsverarbeiter

Personenbezogene Daten können autorisierten Nutzern Ihrer Organisation, TaxRouter-Mitarbeitenden mit dienstlich erforderlichem Zugriff, beruflichen Beratern, gesetzlich berechtigten Behörden und Dienstleistern für den Betrieb von TaxRouter zugänglich sein. Als Auftragsverarbeiter eingesetzte Dienstleister werden vertraglich zu angemessenen Datenschutz- und Vertraulichkeitsanforderungen verpflichtet.

Die aktuelle freigegebene Liste der Unterauftragsverarbeiter nennt unsere Auftragsverarbeiter: Vercel für Hosting, Serverless-Auslieferung, Protokolle und Objektspeicher, PlanetScale für die produktive PostgreSQL-Datenbank und Backups sowie Resend (Plus Five Five, Inc.) für Authentifizierungs-, Konto-, Support- und Service-E-Mails.

Zahlungsdienstleister und verbundene Marketplace- oder Buchhaltungsplattformen verarbeiten Daten grundsätzlich als eigene Verantwortliche oder vom Kunden bestimmte Empfänger nach ihren eigenen Bedingungen. Sie sind nicht allein deshalb Unterauftragsverarbeiter von TaxRouter, weil Daten mit ihren Diensten ausgetauscht werden.

8. Internationale Übermittlungen

Produktives Hosting, Objektspeicher und Datenbankverarbeitung sind für Frankfurt konfiguriert. Vercel und PlanetScale können in begrenztem Umfang Support oder Unterauftragsverarbeiter außerhalb des EWR einsetzen; solche Übermittlungen werden durch anwendbare Standardvertragsklauseln oder andere gültige Garantien geschützt. Über Resend versandte TaxRouter-E-Mails werden über die Region eu-west-1 aus Irland versendet. Die hauptsächliche Verarbeitung durch Resend sowie die Speicherung von Kontodaten, E-Mail-Metadaten, Protokollen und API-Datensätzen erfolgen in den Vereinigten Staaten auf Grundlage des EU-US-Datenschutzrahmens, soweit anwendbar, und von Standardvertragsklauseln. Informationen oder eine Kopie der anwendbaren Garantien können vorbehaltlich rechtmäßiger Vertraulichkeitsbeschränkungen unter info@taxrouter.com angefordert werden.

9. Aufbewahrung und Löschung

Konto-, Workspace-, Integrations- und operative Vertragsdaten speichern wir für die Dauer der Kundenbeziehung und soweit sie zur Bereitstellung des Dienstes erforderlich sind. Nach Vertragsende haben Kunden 30 Tage Zeit für den Export; Produktivkopien werden anschließend innerhalb weiterer 30 Tage gelöscht und beschränkte Backup-Kopien laufen innerhalb von 90 Tagen ab, sofern keine gesetzliche Aufbewahrungspflicht gilt.

Handels- und Steuerunterlagen bewahren wir für die jeweils geltende gesetzliche Frist auf: grundsätzlich zehn Jahre für Bücher und bestimmte Steuerunterlagen, acht Jahre für Rechnungen und Buchungsbelege sowie sechs Jahre für Handelskorrespondenz und sonstige Unterlagen. Support- und Kontaktdaten werden regelmäßig bis zu drei Jahre nach Abschluss des Vorgangs gespeichert, sofern sie nicht weiter für einen Vertrag oder Rechtsanspruch erforderlich sind. Sicherheitsprotokolle werden regelmäßig bis zu zwölf Monate gespeichert, sofern für eine Untersuchung oder gesetzlich kein längerer Zeitraum erforderlich ist.

Personenbezogene Amazon-Kundendaten und Quellunterlagen, die zur Berechnung oder Abführung von Steuern, zur Erstellung von Steuerrechnungen, zum Nachweis von Buchungsunterlagen oder zur Erfüllung einer anderen dokumentierten gesetzlichen Pflicht erforderlich sind, werden für die jeweils geltende gesetzliche Frist aufbewahrt. Diese Unterlagen bleiben mandantenbezogen und zugriffsbeschränkt und werden ausschließlich für den dokumentierten gesetzlichen Zweck verwendet. Für andere Amazon-Daten gilt die ihrem Zweck entsprechende Aufbewahrungsfrist sowie jede mit dem Gesetz vereinbare Kundenweisung. Nach Ablauf der anwendbaren Frist werden die Daten gelöscht oder in ein regelkonformes beschränktes Archiv überführt.

10. Sicherheit

Wir unterhalten technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten vor unbeabsichtigter oder unrechtmäßiger Zerstörung, Verlust, Veränderung, unbefugter Offenlegung und unbefugtem Zugriff. Weitere Informationen enthalten die freigegebene Sicherheitsübersicht und die technischen und organisatorischen Maßnahmen.

11. Ihre Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen können Ihnen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zustehen. Beruht eine Verarbeitung auf Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig für unseren Hamburger Sitz ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg; datenschutz-hamburg.de.

Zur Ausübung eines Rechts wenden Sie sich an info@taxrouter.com. Wir können Informationen benötigen, um Ihre Identität und Berechtigung zur Anfrage zu prüfen.

12. Bereitstellungspflicht und automatisierte Entscheidungen

Als erforderlich gekennzeichnete Daten werden benötigt, um ein Konto anzulegen, den Vertrag zu schließen oder zu erfüllen, den Dienst abzusichern oder gesetzliche Pflichten einzuhalten. Ohne diese Daten kann die jeweilige Funktion gegebenenfalls nicht bereitgestellt werden.

TaxRouter trifft derzeit keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Personen.

13. Änderungen dieser Erklärung

Wir können diese Erklärung anpassen, wenn sich unsere Verarbeitung oder rechtlichen Pflichten ändern. Die veröffentlichte Fassung weist ihr Wirksamkeitsdatum aus. Soweit erforderlich, informieren wir vor Wirksamwerden einer wesentlichen Änderung zusätzlich.