Datenschutzerklärung

A.1 Aufruf der Website / Server-Logs

Daten:auf /24 (IPv4) bzw. /48 (IPv6) pseudonymisierte IP-Adresse, Zeitpunkt, aufgerufene URL, verkürzter User-Agent, HTTP-Statuscode, Referrer.
Zweck:Sicherstellung des stabilen Betriebs, Fehleranalyse, Missbrauchsprävention.
Rechtsgrundlage:Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: IT-Sicherheit, Störungsabwehr, Missbrauchsprävention.
Bereitstellung:Die Übermittlung erfolgt automatisch durch jeden Web-Aufruf; ohne Aufruf ist die Nutzung der Plattform nicht möglich.
Speicherdauer: 14 Tage (Webserver-Logs).

A.2 Authentifizierung (Magic Link / Einmalcode / 2FA)

Daten:E-Mail-Adresse, Anmelde-Zeitstempel, pseudonymisierte IP-Adresse beim Login, ggf. Mobilfunknummer (nur wenn 2FA per SMS aktiviert), TOTP-Secret (verschlüsselt).
Zweck:Sichere passwortlose Anmeldung am Portal, Schutz vor Account-Übernahme.
Rechtsgrundlage:Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit und Missbrauchsprävention).
2FA:Für Berater- und Admin-Konten ist Mehr-Faktor-Authentifizierung verpflichtend; für Mitglieder ist sie optional und empfohlen.
Bereitstellung:Vertraglich erforderlich; ohne Authentifizierung ist eine Nutzung der geschützten Bereiche nicht möglich.
Speicherdauer:Magic-Link-Tokens werden nach Verbrauch oder spätestens 15 Minuten gelöscht; Login-Historie 90 Tage; Audit-Logs zu sicherheitsrelevanten Anmeldevorgängen 12 Monate.

A.3 Cookies und lokale Speicherung

Technisch erforderlich:Access-Token ausschließlich im Arbeitsspeicher des Browser-Tabs (JavaScript-Variable, kein LocalStorage), Refresh-Token im httpOnly-Cookie mit SameSite=Strict und Secure-Flag; Sprach- und Theme-Einstellung im lokalen Browser-Speicher (UI-Präferenzen). Es werden keine Tracking- oder Werbe-Cookies gesetzt.
Rechtsgrundlage:§ 25 Abs. 2 Nr. 2 TDDDG (technisch notwendig). Für alle weiteren Speichervorgänge wird die Einwilligung der Nutzerin oder des Nutzers eingeholt; eine Einwilligung kann jederzeit widerrufen werden.

A.4 Versand transaktionaler E-Mails und Benachrichtigungen

Daten:E-Mail-Adresse, Inhalt der Benachrichtigung (z. B. Magic Link, Termin-Erinnerung, Rechnungs-PDF).
Verarbeiter:1&1 IONOS SE, Montabaur (DE), als SMTP-Provider (siehe Abschnitt 4).
Rechtsgrundlage:Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Information über Vorgänge in der Plattform).
Speicherdauer:SMTP-Logs des Versand-Providers gemäß dessen Verarbeitungsvertrag, in der Regel kurzfristig.

A.5 Optionaler SMS-Versand

Daten: Mobilfunknummer, Kurzmitteilung.
Zweck: Zustellung eines SMS-Einmalcodes oder einer Push-Benachrichtigung, sofern die Kanzlei die Funktion aktiviert hat.
Verarbeiter:seven communications GmbH & Co. KG (seven.io), Köln (DE).
Rechtsgrundlage:Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw. Art. 6 Abs. 1 lit. b DSGVO. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
Status: Optional; aktiv nur nach Aktivierung durch die jeweilige Kanzlei.

A.6 Videoberatung

Daten:Anzeigename, in JWT enthaltene Kennungen, Verbindungs-Metadaten (IP-Adresse, STUN-/TURN- Verbindungsdaten, Verbindungsdauer), Audio- und Videoströme während der Sitzung.
Zweck:Durchführung von Online-Beratungs­terminen.
Verarbeitung:Auf interner Videoinfrastruktur der Steuersoft-Gruppe in Deutschland; keine Aufzeichnung im Default; keine Übermittlung an externe Video-Cloud-Anbieter.
Rechtsgrundlage:Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer:Audio-/Video-Daten werden nach Sitzungsende verworfen. Verbindungs-Metadaten werden gemäß Server-Log-Konzept maximal 14 Tage aufbewahrt.

A.6a Browser-seitige Speicherung (IndexedDB, localStorage)

Zweck:Offline-Funktion (Upload-Warteschlange für Belege bei fehlender Netzverbindung), Speichern von UI-Einstellungen (Sprache, Theme).
Datenarten: Datei-Inhalte temporärbis zur erfolgreichen Übertragung; UI-Präferenzen.
Speicherort:Browser des Endgeräts; keine Übermittlung auf Server ohne ausdrückliche Aktion der Nutzerin oder des Nutzers.
Speicherdauer:Bis zur erfolgreichen Übertragung bzw. bis zum Logout oder zur Leerung des Browser-Caches.
Rechtsgrundlage:§ 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich für die ausdrücklich gewünschte Funktion „Beleg-Upload“).
Hinweis:Bei Nutzung auf gemeinsam genutzten Endgeräten (z. B. Familienrechner) empfehlen wir, sich nach der Sitzung abzumelden.

A.6b Web-Push-Benachrichtigungen (optional)

Zweck: Hinweise auf neue Nachrichten, Aufgaben oder Fristen.
Verarbeitete Daten:Push-Subscription-Endpoint (URL des Browser-Herstellers — Google FCM, Mozilla, Apple Push), öffentlicher Verschlüsselungsschlüssel des Browsers.
Empfänger der technischen Push-Zustellung: Push-Service des jeweiligen Browser-Herstellers (Google LLC, USA; Mozilla Foundation, USA; Apple Inc., USA). Es handelt sich um eine rein technische Übertragung; die Push-Payload wird Ende-zu-Ende verschlüsselt, sodass der Browser-Hersteller keine Klartext-Inhalte sieht.
Transfergrundlage (Drittlandtransfer): Die Verarbeitung der Push-Subscription-Endpoints durch die Push-Dienste der Browser-Hersteller in den USA stützt sich auf Art. 49 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung der Nutzenden nach vorheriger Unterrichtung über die Drittland-Übermittlung und das Risiko, dass dort kein dem EU-Recht vergleichbares Datenschutzniveau besteht). Soweit die jeweiligen Push-Dienste-Anbieter unter dem EU-US Data Privacy Framework zertifiziert sind, wird zusätzlich auf den entsprechenden Angemessenheitsbeschluss der Europäischen Kommission gestützt.
Rechtsgrundlage:Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Web-Push ist standardmäßig deaktiviert; die Aktivierung erfolgt erst nach ausdrücklicher Einwilligung mit explizitem Drittland-Hinweis im Einwilligungstext. Ein Widerruf ist jederzeit über die Browser-Einstellungen oder die Portal-Einstellungen mit Wirkung für die Zukunft möglich.
Speicherdauer: Bis zum Widerruf oder bis zur Abmeldung; abgelaufene Subscriptions werden automatisch entfernt.

A.6c Frontend-Error-Logging

Zweck: Erkennung und Behebung von Anwendungsfehlern im Browser des Nutzers.
Datenarten: anonymisierter Fehler-Stacktrace, Browser- und Betriebssystem-Version, URL ohne Query-Parameter mit personenbezogenem Inhalt, pseudonyme Benutzer-ID.
Rechtsgrundlage:Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: Stabilität und Sicherheit der Plattform.
Speicherdauer:90 Tage, danach automatische Löschung.

A.7 Virenprüfung hochgeladener Dateien

Daten:Datei-Inhalt zum Prüfzeitpunkt.
Verarbeitung:Lokal auf eigenen Servern der Steuer-Online MF GmbH (ClamAV); keine Übermittlung an Dritte.
Rechtsgrundlage:Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: Schutz der Plattform und ihrer Nutzer vor Schadsoftware.

A.8 Zahlungsabwicklung

Bei Online-Zahlungen über die Plattform verarbeiten wir Daten, die für die ordnungsgemäße Abwicklung der Zahlung erforderlich sind. Verantwortliche Stelle: Steuer-Online MF GmbH.

Verarbeitete Daten je nach gewähltem Zahlungsmittel:

• SEPA-Lastschrift: Name des Kontoinhabers, IBAN, BIC, Mandatsreferenz, Mandatsdatum, Rechnungs- und Transaktionsbezug
• PayPal: PayPal-Konto-ID/E-Mail, Transaktions-ID, Zahlungsbetrag und -zeitpunkt, Zahlungsstatus
• Überweisung: aus dem Bankbeleg ersichtliche Daten (Name, IBAN, Verwendungszweck)

Karten-PAN, vollständige Bankzugangsdaten oder PayPal-Login-Daten werden NICHT bei der Steuer-Online MF GmbH gespeichert.Die starke Kundenauthentifizierung (SCA nach PSD2) und die Speicherung sicherheitsrelevanter Zahlungsmerkmale erfolgen ausschließlich beim jeweiligen Zahlungsdienstleister.

Empfänger:

• PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg (für PayPal-Zahlungen) — Sitz EU, zusätzliche Datenflüsse zu PayPal, Inc. (USA) auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (PayPal ist zertifiziert)
• Kontoführendes Kreditinstitut der Steuer-Online MF GmbH (Sparkasse/Volksbank ohne weitere Datenweitergabe)
• Steuerberatung der Steuer-Online MF GmbH und Finanzbehörden im Rahmen gesetzlicher Aufbewahrung

Rechtsgrundlage:Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO und § 257 HGB (Aufbewahrungspflichten).

Speicherdauer: Zahlungsdaten werden im Rahmen der gesetzlichen Aufbewahrungspflichten der Steuer-Online MF GmbH als Rechnungs-/Buchhaltungsbelege 10 Jahreaufbewahrt (§ 147 Abs. 3 AO).

Übermittlung in Drittländer: PayPal kann zur globalen Betrugsprävention Transaktionsdaten an PayPal, Inc. (USA) übermitteln. Diese Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework, dem sich PayPal Inc. unterworfen hat.

Hinweis Bereitstellung:Die Bereitstellung der Zahlungsdaten ist für die Erfüllung des Vertrags erforderlich. Ohne diese Daten kann die Zahlung nicht abgewickelt werden.

B.1 Mandanten- und Mitgliederinhalte — Datenkategorien

Folgende Datenkategorien werden über die Plattform verarbeitet(vollständige Liste, versionierte Anlage 4 zum AVV):

• Stammdaten Mitglied/Mandant: Name, Anschrift, Geburtsdatum, Steuer-Identifikationsnummer, Steuernummer, Familienstand.
• Religionszugehörigkeit(über das steuerliche Kirchensteuermerkmal) —besondere Kategorie nach Art. 9 Abs. 1 DSGVO. Die Rechtsgrundlage für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) bestimmt die Kanzlei bzw. Beratungsstelle als Verantwortliche; Verarbeitung ausschließlich im Auftrag der Kanzlei (vgl. Hinweis am Ende dieser Liste).
• Gesundheitsbezogene Datenüber außergewöhnliche Belastungen (Krankheitskosten, Pflegekosten, Behinderten-Pauschbetrag) — Art. 9 DSGVO, Rechtsgrundlage wie zuvor.
• Gewerkschaftszugehörigkeitüber Werbungskosten (Gewerkschaftsbeiträge) — Art. 9 DSGVO, Rechtsgrundlage wie zuvor.
• Daten von Kindern(Kindergeld, Kinderbetreuungskosten, Schulgeld, Ausbildungskosten): gesondert ausgewiesen wegen besonderer Schutzbedürftigkeit. Verantwortlichkeit liegt beim Erziehungsberechtigten bzw. bei der Kanzlei.
• Bankverbindungs- und Zahlungsdaten (IBAN, BIC, Kontoinhaber).
• Ausweisdokumente und Identifizierungsdaten (GwG-Identifizierung):Zweck: Erfüllung der Identifizierungspflicht nach § 11 GwG; Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 11 GwG. Ablichtungen werden gem. § 20 Abs. 2 PAuswG eindeutig und dauerhaft als Kopie erkennbar erstellt. Das Identifizierungsmodul ist nicht standardmäßig aktiv; es wird nur für die Mandate aktiviert, in denen die jeweilige Kanzlei bzw. Beratungsstelle eine gesetzliche Identifizierungspflicht nach § 11 GwG bestätigt. Als mildere Mittel kommen je nach Sachverhalt auch eID-Funktion des Personalausweises, VideoIdent-Verfahren oder eine kurze Sichtprüfung ohne dauerhafte Kopie in Betracht. Verwendung ausschließlich zum Identifizierungszweck; Löschung nach gesetzlicher Aufbewahrungspflicht (5 Jahre nach § 8 GwG).
• Steuerbescheide, Vorauszahlungsbescheide, Belege(Rechnungen, Quittungen, Kontoauszüge, Lohnnachweise etc.).
• Kommunikationsinhalte (Nachrichten, Aufgaben-Texte, Termin-Notizen zwischen Berater und Mitglied/Mandant).
• Vollmachten und Unterschriften (digitale Unterschrift, Vollmachtsformulare).
• Audit-Logsmit Zugriffszeitpunkten, Akteur, geänderten Datensatzfeldern.

Daten (Zusammenfassung):siehe vorstehende Liste — Stammdaten, Kontaktdaten, hochgeladene Dokumente und Belege, Bescheide, Nachrichten, Termine, Aufgaben, steuerliche Daten, Familien- und Lohnangaben, Identifikations­dokumente.
Zweck:Bereitstellung der Kommunikations-, Beleg- und Steuerunterlagen­plattform zwischen Kanzlei und Mitglied/Mandant.
Rechtsgrundlage:Im Verhältnis Mitglied ↔ Kanzlei: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Beratungs- bzw. Mitgliedschafts­vertrags), ggf. Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtungen im Steuer- und Berufsrecht). Im Verhältnis Kanzlei ↔ Steuer-Online MF GmbH: Art. 28 DSGVO; keineeigene Rechtsgrundlage nach Art. 6 DSGVO — Verarbeitung erfolgt auf Weisung.
Besondere Kategorien (Art. 9 DSGVO): Steuerunterlagen können typischerweise Daten besonderer Kategorien enthalten, etwa Religionszugehörigkeit (Kirchensteuer), Gesundheitsdaten (außergewöhnliche Belastungen), Gewerkschaftszugehörigkeit (Werbungskosten). Die Rechtsgrundlage für die Verarbeitung dieser besonderen Kategorien bestimmt die Kanzlei bzw. Beratungsstelle als Verantwortliche. Je nach Sachverhalt kommen insbesondere in Betracht: Art. 9 Abs. 2 lit. b DSGVO (arbeits-/sozialrechtliche Pflichten) i. V. m. § 26 Abs. 3 BDSG; Art. 9 Abs. 2 lit. f DSGVO (Geltendmachung oder Verteidigung von Rechtsansprüchen); Art. 9 Abs. 2 lit. g DSGVO i. V. m. § 22 Abs. 1 Nr. 2 BDSG (erhebliches öffentliches Interesse — Steuerverfahren). Die Steuer-Online MF GmbH verarbeitet diese Daten ausschließlich im Auftrag der Verantwortlichen.
Speicherdauer:Im Portal bis zur Löschung durch die Kanzlei oder spätestens 12 Monate nach Abschluss des betreffenden Steuerjahres (siehe Abschnitt 6).
Betroffenenrechte:Primärer Ansprechpartner ist die Kanzlei; die Steuer-Online MF GmbH unterstützt die Kanzlei bei der Beantwortung von Betroffenenanfragen nach Art. 28 Abs. 3 lit. e DSGVO.

B.2 Belegerkennung (OCR) und KI-gestützte Vorausfüllung

Daten: Bild-/PDF-Inhalt hochgeladener Belege, erkannter OCR-Text, extrahierte Felder (Betrag, Datum, Anbietername).
Zweck:Automatische Erkennung der Belegart und Vorausfüllung steuerlicher Felder als Arbeitshilfe für die Kanzlei.
Verarbeitungsort: Interne ML-Infrastruktur der Steuersoft-Gruppe in Deutschland. Es findet keineÜbermittlung an externe KI- oder Cloud-Anbieter statt.
Keine automatisierte Einzelfallentscheidung: Die OCR- und KI-gestützten Funktionen stellen keineautomatisierten Entscheidungen mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO dar. Alle Ergebnisse werden durch die Kanzlei fachlich geprüft und freigegeben.
Speicherdauer:Wie das zugehörige Beleg-Dokument (siehe B.1).

AI-Governance (VO (EU) 2024/1689 — AI Act):Die eingesetzten OCR- und Vorausfüllungsfunktionen sind keine Hochrisiko-KI-Systemeim Sinne von Anhang III des AI Act, sondern Hilfsfunktionen ohne autonome Entscheidungswirkung. Wir setzen folgende Governance-Mindeststandards um:

• Transparenz: Im UI wird gekennzeichnet, wenn ein Wert automatisch vorgeschlagen wurde.
• Menschliche Prüfung:Pflicht zur fachlichen Prüfung durch die Kanzlei vor Übernahme; keine automatische steuerliche Festsetzung.
• Fehlerkorrektur:Nutzer können jeden Vorschlag jederzeit korrigieren oder ablehnen.
• Logging:Vorschläge und Korrekturen werden zur Qualitätsverbesserung pseudonymisiert protokolliert.
• AI-Literacy (Art. 4 AI Act): Mitarbeitende, die das System konfigurieren oder trainieren, werden in Funktionsweise und Grenzen geschult.

B.3 Quelle der Daten (Art. 14 DSGVO)

Soweit Daten nicht direkt von der betroffenen Person, sondern durch die Kanzlei oder Dritte (z. B. Familienangehörige, Arbeitgeber) in die Plattform eingebracht werden, treffen die Informationspflichten nach Art. 14 DSGVO die Kanzlei als Verantwortliche. Die Steuer-Online MF GmbH unterstützt die Kanzlei dabei mit entsprechenden Musterhinweisen.

C.1 Vertragsverwaltung und Abrechnung

Daten: Firmenname, Anschrift, USt-IdNr., Ansprechpartner, Bankverbindung, Rechnungs- und Zahlungsdaten.
Rechtsgrundlage:Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungs- und Buchführungspflichten).
Speicherdauer:Rechnungsbelege werden zur Erfüllung handels- und steuerrechtlicher Aufbewahrungs­pflichten 10 Jahre nach Ablauf des Kalenderjahres, in dem die Rechnung ausgestellt wurde, aufbewahrt (§ 147 AO, §§ 257 HGB). Rechnungen werden durch die Steuer-Online MF GmbH ausgestellt.

C.2 Supportanfragen und Tickets

Daten: Name, E-Mail, ggf. Telefonnummer, Inhalt der Anfrage, technische Kontextdaten (Browser, Plattformversion, Fehlermeldungen).
Zweck: Bearbeitung von Supportanfragen und Fehleranalyse.
Rechtsgrundlage:Art. 6 Abs. 1 lit. b DSGVO; Art. 6 Abs. 1 lit. f DSGVO (Verbesserung der Plattform, Missbrauchsprävention).
Speicherdauer:24 Monate nach Abschluss des Vorgangs, soweit keine längeren gesetzlichen Aufbewahrungspflichten gelten.
Weiterleitung durch Steuersoft GmbH:Soweit Support-Anfragen über die Steuersoft GmbH eingehen (z. B. von Steuersoft-Lizenznehmern), leitet diese die Anfrage zur Bearbeitung an die Steuer-Online MF GmbH weiter. Das Supportformular der Steuersoft GmbH enthält einen ausdrücklichen Warnhinweis: „Bitte senden Sie KEINE Mandanten-/Belege-/Steuerdaten oder Screenshots mit personenbezogenen Inhalten. Solche Anfragen sind direkt über das KOSI-Portal-Supportformular der Steuer-Online MF GmbH zu stellen.“Die Ticket-Weiterleitung durch die Steuersoft GmbH erfolgt nur mit Datenminimierung bzw. Redaktion personenbezogener Inhalte. Falls dennoch Mandantendaten eingehen, werden diese gemäß interner SOP unverzüglich an die Steuer-Online MF GmbH weitergeleitet und aus den Steuersoft-Systemen gelöscht (Löschfrist: 7 Tage). Sollte die Steuersoft GmbH im Einzelfall doch personenbezogene Mandantendaten verarbeiten müssen, erfolgt dies ausschließlich auf Weisung der Kanzlei; ein gesonderter AV/Sub-AV-Status wird im Zweifel separat geregelt.

C.3 Sicherheits-Audit-Logs

Daten:Akteur, Zeitstempel, durchgeführte Aktion, pseudonymisierte IP-Adresse, verkürzter User-Agent.
Zweck:Nachvollziehbarkeit sicherheits­relevanter Vorgänge, forensische Analyse, Erfüllung von Rechenschaftspflichten (Art. 5 Abs. 2 DSGVO).
Rechtsgrundlage:Art. 6 Abs. 1 lit. c und f DSGVO.
Speicherdauer:12 Monate, soweit keine längere gesetzliche Aufbewahrung gilt.