Datenschutzerklärung

1. Verantwortlicher

E-Mail: hello@sortina.app

2. Anwendungsbereich

Diese Datenschutzerklärung gilt für:

• die Website von Sortina
• die webbasierte Anwendung
• die mobile Anwendung (iOS / Android)

3. Zielgruppe

Sortina richtet sich ausschließlich an Unternehmen (B2B).
Eine Nutzung durch Minderjährige ist ausgeschlossen.

4. Verarbeitete Datenkategorien

4.1 Account- und Kontaktdaten

• E-Mail-Adresse
• Benutzer-ID
• Authentifizierungsdaten (Magic Link / Einmalcodes)

4.2 Beleg- und Inhaltsdaten

• Hochgeladene Belege
• Darin enthaltene personenbezogene Daten
• Daten Dritter, sofern auf Belegen enthalten

4.3 OCR- und Metadaten

• OCR-Rohtext
• Extrahierte Daten (Datum, Betrag, Zahlungsart)
• Konfidenzwerte

4.4 Nutzungs- und Protokolldaten

• IP-Adresse (anonymisiert)
• Geräte- und Browserinformationen
• Zeitstempel
• Fehler- und Zugriffsprotokolle

4.5 Bank- und Transaktionsdaten (Kontoauszüge)

• Hochgeladene Bankstatements / Kontoauszüge (z. B. PDF, CSV)
• Daraus extrahierte Transaktionsdaten (z. B. Buchungsdatum, Valuta, Betrag, Währung)
• Verwendungszweck, Empfänger/Absender, soweit im Kontoauszug enthalten
• Bankbezogene Angaben (z. B. IBAN oder Teil-IBAN, Kontonummer, BIC), sofern Bestandteil der hochgeladenen Datei

5. Zwecke der Verarbeitung

• Betrieb der Plattform
• Authentifizierung
• Belegverarbeitung und OCR
• Import, Verarbeitung und Speicherung von Bank- bzw. Transaktionsdaten
• Abgleich (Matching) von Banktransaktionen mit hochgeladenen Belegen
• Vorbereitung der Buchhaltung und Reduktion manueller Nacharbeit
• Erfüllung gesetzlicher Pflichten (GoBD)
• IT-Sicherheit
• Produktverbesserung (nach Einwilligung)

6. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, GoBD)
• Art. 6 Abs. 1 lit. f DSGVO (Sicherheit)
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

7. Auftragsverarbeiter

Infrastruktur & Hosting

• Vercel (EU-Region Frankfurt)
• Supabase (Auth & DB, Frankfurt)
• Hetzner (Objektspeicher, Deutschland)

OCR & Datenextraktion

• Microsoft Azure Foundry (Germany West Central)
  • Keine Nutzung zu Trainingszwecken
  • DPA abgeschlossen

Analyse

• PostHog (EU Cloud)
  • Tracking nur nach Einwilligung
  • IP-Anonymisierung aktiv

8. Drittlandübermittlung

Eine Übermittlung in Drittländer (insb. USA) kann bei einzelnen Dienstleistern nicht ausgeschlossen werden. Diese erfolgt ausschließlich auf Grundlage von EU-Standardvertragsklauseln (Art. 46 DSGVO).

9. Cookies

9.1 Technisch notwendige Cookies

• Authentifizierung (Supabase)

Diese sind für den Betrieb erforderlich und benötigen keine Einwilligung.

9.2 Analyse-Cookies

• PostHog

Einsatz nur nach ausdrücklicher Einwilligung.

10. Mobile App

• Zugriff auf Kamera zur Belegerfassung
• Keine gezielte Speicherung oder Auswertung von EXIF-Daten

10a. Bankdaten-Upload (Kontoauszüge)

Nutzer:innen können Bankstatements (PDF oder CSV) hochladen. Die Dateien sowie die daraus extrahierten Transaktionsdaten werden gespeichert, um Belege mit Transaktionen abzugleichen und die Buchhaltung vorzubereiten.

Die Verarbeitung erfolgt ausschließlich zu diesen Zwecken und zur Erfüllung gesetzlicher Aufbewahrungspflichten.

11. Aufbewahrung & Löschung

• Belege unterliegen steuerrechtlicher Aufbewahrungspflicht (bis zu 10 Jahre)
• Bankstatements und extrahierte Transaktionsdaten unterliegen, soweit steuerlich relevant, den gesetzlichen Aufbewahrungsfristen (insbesondere GoBD) von bis zu 10 Jahren
• Eine vorzeitige physische Löschung ist ausgeschlossen
• Löschung erfolgt logisch
• Physische Löschung nach Ablauf gesetzlicher Fristen

11a. Kontolöschung

Nutzer:innen können ihr Konto jederzeit selbstständig löschen. Die Löschung erfolgt über die Einstellungen in der Web-Anwendung unter „Konto löschen".

Bei der Kontolöschung werden folgende Daten entfernt:

• E-Mail-Adresse und Authentifizierungsdaten
• Benutzerprofil und Einstellungen

Hinweis: Belege und Transaktionsdaten unterliegen gesetzlichen Aufbewahrungspflichten (GoBD) und können erst nach Ablauf dieser Fristen physisch gelöscht werden.

Alternativ kann die Kontolöschung per E-Mail an hello@sortina.app beantragt werden.

12. Betroffenenrechte

Auskunft, Berichtigung, Löschung (soweit zulässig), Einschränkung, Datenübertragbarkeit, Widerspruch.

Kontakt: hello@sortina.app
Bearbeitung innerhalb von 30 Tagen.

13. Aufsichtsbehörde

Landesbeauftragte für Datenschutz und Informationsfreiheit NRW

14. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt.

15. Änderungen

Diese Datenschutzerklärung kann angepasst werden.