Wer ist für die Plattform verantwortlich?
Nelten Public GmbH, Grimmstraße 37, 01139 Dresden. Die Kontaktdaten stehen im Impressum.
Wann handelt die Betreiberin als Verantwortliche?
Für Registrierung, Kontakt- und Kanzleianfragen, Kontoverwaltung, Abrechnung, IT-Sicherheit, Missbrauchsschutz und den Betrieb der Website entscheidet die Betreiberin über Zwecke und Mittel der Verarbeitung. Verarbeitet werden insbesondere Firmen- und Nutzerstammdaten, geschäftliche Kontaktdaten, Rückrufangaben, Anmelde- und Sicherheitsdaten, Zahlungsstatus sowie technische Protokolldaten.
Wann handelt die Betreiberin als Auftragsverarbeiterin?
Bei Summen- und Saldenlisten, Kontoauszügen, Rechnungen, Policen, Verträgen und sonstigen vom Kunden hochgeladenen Unternehmensunterlagen bestimmt der Kunde Zweck und Zulässigkeit der Verarbeitung. Die Betreiberin verarbeitet diese Daten nach dem Auftragsverarbeitungsvertrag und den dokumentierten Weisungen des Kunden.
Welche Daten können in Unterlagen enthalten sein?
Neben Unternehmens- und Finanzdaten können Unterlagen Namen, geschäftliche Kontaktdaten, Bankverbindungen, Buchungstexte, Beschäftigten- und Vertragsdaten sowie Angaben zu Lieferanten, Kunden und Mitarbeitern enthalten. Kunden sollen nur Unterlagen hochladen, die für die Analyse erforderlich sind.
Wofür und auf welcher Grundlage werden Daten verarbeitet?
Kontaktanfragen, Konten und Bestellungen werden zur Vertragsanbahnung, Kontaktaufnahme und Vertragserfüllung verarbeitet. Sicherheits- und Missbrauchsprotokolle dienen dem Schutz der Plattform und berechtigten betrieblichen Interessen. Soweit die Betreiberin Auftragsverarbeiterin ist, richtet sich die Rechtsgrundlage nach der Verantwortung des Kunden.
Wird die Nutzung der Website gemessen?
Die vorbereitete Marketing-Ereignismessung ist in dieser Installation nicht aktiviert. Es werden daher keine Marketingereignisse in der Kostenia-Ereignistabelle gespeichert. Technisch notwendige Sicherheits-, Sitzungs- und Hostingprotokolle bleiben davon unberührt.
Wie lange bleiben Daten gespeichert?
Verschlüsselte Originaldateien werden nach der aktuell konfigurierten Frist von 30 Tagen automatisch gelöscht. Ausgelesene Angaben, Funde und Berichte bleiben bis zur Kontolöschung, zum Vertragsende oder bis zum Ablauf vereinbarter beziehungsweise gesetzlicher Aufbewahrungsfristen erhalten. Rechnungen und Korrekturbelege werden getrennt und hashgesichert bis zum Ende der gesetzlichen achtjährigen Aufbewahrungsfrist gespeichert. Der Kunde kann seine Daten exportieren und sein Konto löschen.
Welche Empfänger und Unterauftragsverarbeiter werden eingesetzt?
Das externe Auslesen von PDF-Dateien ist in dieser Installation nicht aktiviert; PDF-Dateien werden deshalb nicht an einen KI-Anbieter übertragen und nicht inhaltlich ausgewertet.
Der externe Zahlungsdienst ist in dieser Installation nicht aktiviert. Die Plattform fragt keine Kartendaten ab.
Für das strukturierte Auslesen von PDF- und Bilddateien ist OpenAI vorgesehen; ohne technische und vertragliche Freigabe findet keine Übertragung statt. Für gehostete Zahlungen wird Stripe bei aktivierter Schnittstelle eingesetzt. Kostenia verarbeitet keine Kartendaten. Transaktionale E-Mails werden über den vertraglich angebundenen Mailtransport der Hostingumgebung zugestellt. Details zur lokalen Dateiverarbeitung und zur Rolle des Sprachmodells stehen unter KI-Transparenz.
Was geschieht bei Buchhaltungsanbindungen und dem Produktverbund?
Lexware Office und sevdesk werden nur nach Eingabe eines eigenen API-Zugangs verbunden. Der Zugang wird mandantenbezogen verschlüsselt gespeichert, nicht angezeigt und beim Trennen gelöscht. Kostenia liest ausschließlich die für die Auswertung angeforderten Buchhaltungsdaten und nimmt keine Buchung oder Zahlung vor. Beim freiwilligen Wechsel zu Unternehmenspflichten.de werden über einen fünf Minuten gültigen Einmalcode nur die bestätigte E-Mail-Adresse, der Firmenname und eine nicht rückrechenbare Kontokennung übertragen. Analysen, Dokumente, Zahlungen und Verträge werden nicht übertragen; beide Produkte führen getrennte Datenbanken und Zugänge.
Welche E-Mails werden versendet?
Sicherheits-, Rechnungs- und notwendige Vertragsnachrichten werden zur Vertragserfüllung und Kontosicherheit versendet. Erinnerungen an eine erste Datei sind eine getrennt wählbare Serviceeinstellung. Produktneuigkeiten, Bewertungsbitten und Reaktivierungsmails werden nur nach gesonderter Einwilligung versendet und können im Kundenkonto jederzeit abbestellt werden.
Wie werden die Daten geschützt?
Fachliche Datenzugriffe sind an eine Mandanten-ID gebunden. Rollen und Sitzungen begrenzen Zugriffe. Originaldateien werden mit libsodium Secretbox verschlüsselt außerhalb des öffentlichen Webverzeichnisses gespeichert. Steuernummern und IP-Bezüge werden mit einem geheimen Anwendungsschlüssel gehasht. Zugriffe und Übertragungen werden protokolliert; API-Budgets, Dateihash-Cache und Löschläufe begrenzen Verarbeitung und Datenbestand.
Wie funktioniert der Organisationszugriff?
Eine Kanzlei, Beratung, ein Verband, eine Bank oder Franchiseorganisation erhält erst Zugriff, wenn ein Firmeninhaber im eigenen Firmenkonto den einmaligen Organisationscode bestätigt. Die Zustimmung, ihr Widerruf und jeder erfolgreiche Zugriff werden protokolliert. Organisationsmitarbeiter benötigen zusätzlich eine Zuordnung zum konkreten Firmenkonto. Der Firmeninhaber kann die Zustimmung jederzeit im Konto widerrufen; ohne aktive Zustimmung ist der Zugriff technisch gesperrt.
Welche Rechte bestehen?
Betroffene Personen können im gesetzlichen Umfang Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch verlangen sowie sich bei einer Datenschutzaufsichtsbehörde beschweren. Kontoinhaber können die gespeicherten Kontodaten als JSON exportieren, Kontodaten berichtigen und das operative Konto löschen; gesetzlich aufzubewahrende Abrechnungsbelege bleiben getrennt bis zum Fristende erhalten. Bei Daten in Kundenunterlagen ist zunächst der jeweilige Kunde als Verantwortlicher der richtige Ansprechpartner.