Datenschutzerklärung

1. Verantwortlicher

E-Mail: phillip.matambanadzo@kisscoders.ruhr

Ein Datenschutzbeauftragter ist nicht bestellt, da hierfür keine gesetzliche Verpflichtung besteht.

2. Anwendungsbereich

Diese Datenschutzerklärung gilt für:

• die Website von Sortina
• die webbasierte Anwendung
• die mobile Anwendung (iOS / Android)

3. Zielgruppe

Sortina richtet sich ausschließlich an Unternehmen (B2B).
Eine Nutzung durch Minderjährige ist ausgeschlossen.

4. Verarbeitete Datenkategorien

4.1 Account- und Kontaktdaten

• E-Mail-Adresse
• Benutzer-ID
• Authentifizierungsdaten (Magic Link / Einmalcodes)

4.2 Beleg- und Inhaltsdaten

• Hochgeladene Belege
• Darin enthaltene personenbezogene Daten
• Daten Dritter, sofern auf Belegen enthalten

4.3 OCR- und Metadaten

• OCR-Rohtext
• Extrahierte Daten (Datum, Betrag, Zahlungsart)
• Konfidenzwerte

4.4 Zahlungs- und Abrechnungsdaten

• Name
• E-Mail-Adresse
• Rechnungsdaten
• Zahlungsstatus
• Transaktions-IDs

Hinweis: Zahlungsdaten (z. B. Kreditkartendaten) werden ausschließlich von Stripe verarbeitet und nicht von uns gespeichert.

4.5 Nutzungs- und Protokolldaten

• IP-Adresse (anonymisiert)
• Geräte- und Browserinformationen
• Zeitstempel
• Fehler- und Zugriffsprotokolle

4.6 Bank- und Transaktionsdaten (Kontoauszüge)

• Hochgeladene Bankstatements / Kontoauszüge (z. B. PDF, CSV)
• Daraus extrahierte Transaktionsdaten (z. B. Buchungsdatum, Valuta, Betrag, Währung)
• Verwendungszweck, Empfänger/Absender, soweit im Kontoauszug enthalten
• Bankbezogene Angaben (z. B. IBAN oder Teil-IBAN, Kontonummer, BIC), sofern Bestandteil der hochgeladenen Datei

5. Zwecke der Verarbeitung

• Betrieb der Plattform
• Authentifizierung
• Belegverarbeitung und OCR
• Import, Verarbeitung und Speicherung von Bank- bzw. Transaktionsdaten
• Abgleich (Matching) von Banktransaktionen mit hochgeladenen Belegen
• Vorbereitung der Buchhaltung und Reduktion manueller Nacharbeit
• Zahlungsabwicklung
• Erfüllung gesetzlicher Pflichten (GoBD)
• IT-Sicherheit
• Produktverbesserung (nach Einwilligung)

6. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, GoBD)
• Art. 6 Abs. 1 lit. f DSGVO (Sicherheit)
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

7. Auftragsverarbeiter

Infrastruktur & Hosting

• Vercel (EU-Region Frankfurt)
• Supabase (Auth & DB, Frankfurt)
• Hetzner (Objektspeicher, Deutschland)

OCR & Datenextraktion

• Microsoft Azure Foundry (Germany West Central)
  • Keine Nutzung zu Trainingszwecken
  • DPA abgeschlossen

Zahlungsabwicklung

• Stripe
  • Zweck: Zahlungsabwicklung und Betrugsprävention
  • Rolle: Auftragsverarbeiter und teilweise eigener Verantwortlicher
  • Zahlungsdaten werden direkt von Stripe verarbeitet
  • DPA und SCCs abgeschlossen

Analyse

• PostHog (EU Cloud)
  • Tracking nur nach Einwilligung
  • IP-Anonymisierung aktiv

8. Drittlandübermittlung

Eine Übermittlung in Drittländer (insb. USA) kann bei einzelnen Dienstleistern nicht ausgeschlossen werden. Diese erfolgt ausschließlich auf Grundlage von EU-Standardvertragsklauseln (Art. 46 DSGVO).

9. Cookies

9.1 Technisch notwendige Cookies

• Authentifizierung (Supabase)
• Zahlungsabwicklung (Stripe)

Diese sind für den Betrieb erforderlich und benötigen keine Einwilligung.

9.2 Analyse-Cookies

• PostHog

Einsatz nur nach ausdrücklicher Einwilligung.

10. Mobile App

• Zugriff auf Kamera zur Belegerfassung
• Keine gezielte Speicherung oder Auswertung von EXIF-Daten

10a. Bankdaten-Upload (Kontoauszüge)

Nutzer:innen können Bankstatements (PDF oder CSV) hochladen. Die Dateien sowie die daraus extrahierten Transaktionsdaten werden gespeichert, um Belege mit Transaktionen abzugleichen und die Buchhaltung vorzubereiten.

Die Verarbeitung erfolgt ausschließlich zu diesen Zwecken und zur Erfüllung gesetzlicher Aufbewahrungspflichten.

11. Aufbewahrung & Löschung

• Belege unterliegen steuerrechtlicher Aufbewahrungspflicht (bis zu 10 Jahre)
• Bankstatements und extrahierte Transaktionsdaten unterliegen, soweit steuerlich relevant, den gesetzlichen Aufbewahrungsfristen (insbesondere GoBD) von bis zu 10 Jahren
• Eine vorzeitige physische Löschung ist ausgeschlossen
• Löschung erfolgt logisch
• Physische Löschung nach Ablauf gesetzlicher Fristen

12. Betroffenenrechte

Auskunft, Berichtigung, Löschung (soweit zulässig), Einschränkung, Datenübertragbarkeit, Widerspruch.

Kontakt: phillip.matambanadzo@kisscoders.ruhr
Bearbeitung innerhalb von 30 Tagen.

13. Aufsichtsbehörde

Landesbeauftragte für Datenschutz und Informationsfreiheit NRW

14. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt.

15. Änderungen

Diese Datenschutzerklärung kann angepasst werden.