Datenschutzerklärung
Stand: [Datum einsetzen]
1. Verantwortlicher
[Firmenname, Anschrift]
E-Mail: [kontakt@payloai.com]
Siehe auch unser Impressum.
2. Welche Daten wir verarbeiten und warum
Kontodaten
Bei der Registrierung verarbeiten wir E-Mail-Adresse, Name und Unternehmensdaten zur Bereitstellung des Zugangs (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung).
Rechnungs- und Zahlungsdaten
Zur Kernfunktion von Paylo gehört das automatisierte Auslesen von Rechnungen (inkl. ZUGFeRD/ XRechnung-Formaten, PDF-Dateien sowie Fotos und Scans von Rechnungen), Lieferantendaten (Name, Ansprechpartner, E-Mail, Bankverbindung IBAN/BIC, USt-IdNr.), die Prüfung der Rechnungen (Rechenprüfung, Plausibilitäts- und Betrugsprüfungen, Prüfung der USt-IdNr. über den EU-Dienst VIES), Freigabe-Workflows, die Archivierung der Originalbelege sowie Exporte (DATEV-Buchungsstapel, GoBD-Archiv, SEPA-Zahlungsdateien). Rechnungsinhalte (Text, PDF, Bilder) werden zur Auslesung an unseren KI-Dienstleister übermittelt (Abschnitt 3). Diese Daten werden verarbeitet, um den Vertrag mit Ihnen zu erfüllen (Art. 6 Abs. 1 lit. b DSGVO) und — soweit es um die revisionssichere Aufbewahrung nach GoBD geht — zur Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO). Die in Rechnungen und Lieferantenstammdaten enthaltenen Daten Dritter (z. B. Ansprechpartner Ihrer Lieferanten) verarbeiten wir in Ihrem Auftrag.
Zahlungen und Bankverbindung (optional)
Paylo selbst führt keine Zahlungen aus und hält kein Geld. Wenn Sie eine Bankverbindung einrichten, erfolgt dies über den lizenzierten Open-Banking-Anbieter Yapily: Sie melden sich dabei ausschließlich bei Ihrer eigenen Bank an (Paylo erhält und speichert keine Zugangsdaten), und jede Zahlung wird von Ihnen in Ihrer Bank mit starker Kundenauthentifizierung freigegeben. Gespeichert werden Verbindungs- bzw. Zugriffstoken (verschlüsselt, AES-256-CBC), die Zahlungsreferenz, Betrag und Empfänger. Alternativ erzeugt Paylo SEPA-Dateien (pain.001) zum Upload in Ihr eigenes Online-Banking. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Gmail-Posteingang (optional)
Wenn Sie Ihr Gmail-Konto verbinden, erhält Paylo per OAuth ausschließlich lesenden Zugriff
(Scope gmail.readonly — kein Senden, Löschen oder Ändern von E-Mails). Paylo durchsucht
automatisch nach Rechnungs-E-Mails der letzten 30 Tage, extrahiert Anhänge (PDF, XML, Bilder) und
E-Mail-Text zur Rechnungsverarbeitung und merkt sich verarbeitete Nachrichten, um Duplikate zu
vermeiden. Zugangs- und Refresh-Token werden verschlüsselt gespeichert. Sie können die Verbindung
jederzeit unter Integrationen trennen; dies widerruft den Zugriff serverseitig, ersetzt aber nicht
den Widerruf in Ihrem eigenen Google-Konto unter myaccount.google.com/permissions.
Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) beim Verbinden des Kontos.
Audit-Trail
Zur Nachvollziehbarkeit von Zahlungsentscheidungen (wer hat was wann freigegeben/abgelehnt) führen wir ein unveränderliches Protokoll (Art. 6 Abs. 1 lit. c und lit. f DSGVO — berechtigtes Interesse an Nachweisbarkeit und Betrugsprävention).
3. Eingesetzte Auftragsverarbeiter
Wir setzen folgende Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein:
| Anbieter | Zweck | Standort |
|---|---|---|
| Supabase Inc. | Datenbank & Authentifizierung | EU (eu-west-1, Irland) |
| Hetzner Online GmbH | Server-Hosting (Backend/Frontend) | Finnland (Helsinki), EU |
| Anthropic, PBC | KI-gestützte Rechnungsauslesung (Rechnungstext, PDF und Bilder werden zur Auslesung übermittelt) | USA — Übermittlung auf Grundlage von Standardvertragsklauseln (SCC) |
| Resend | Transaktions-E-Mail-Versand | USA — Übermittlung auf Grundlage von Standardvertragsklauseln (SCC) |
| Google LLC (Gmail API) | Optionaler lesender Posteingang-Zugriff, nur nach Ihrer Einwilligung | USA — Übermittlung auf Grundlage von Standardvertragsklauseln (SCC) |
| Yapily | Open-Banking-Anbindung und Zahlungsauslösung (nur, wenn Sie eine Bank verbinden) | Lizenzierter Open-Banking-Anbieter (UK/EU) [Vertragspartei und Standort prüfen] |
| Functional Software, Inc. (Sentry) | Fehlerüberwachung (technische Fehlerberichte) | EU-Region (Deutschland) |
Empfänger außerhalb der Auftragsverarbeitung: Zur Prüfung von USt-IdNr. Ihrer Lieferanten fragen wir den Mehrwertsteuer-Informationsaustausch (VIES) der Europäischen Kommission ab; dabei wird die USt-IdNr. übermittelt.
[Prüfen: liegen mit allen Anbietern (Supabase, Hetzner, Anthropic, Resend, Yapily, Sentry, Google) unterschriebene AVV-Verträge vor? Bei den US-Anbietern zusätzlich die aktuellen Transfer-Mechanismen (SCC/DPF) verifizieren.]
4. Speicherdauer
Buchhaltungsrelevante Daten (Rechnungen, Zahlungsnachweise, archivierte Originalbelege) bewahren wir für die gesetzliche Aufbewahrungsfrist von 8 Jahren gemäß § 147 Abs. 3 AO und § 14b UStG auf (seit 01.01.2025; zuvor 10 Jahre). Die Frist endet am 31. Dezember des achten Jahres nach dem Jahr des Rechnungseingangs (Beispiel: Eingang 15.03.2026 → Fristende 31.12.2034). Innerhalb der Frist können diese Daten technisch nicht gelöscht werden; danach werden sie automatisch gelöscht. Bei Schließung Ihres Kontos werden Zugang, Bank- und E-Mail-Verbindungen sowie personenbezogene Profildaten sofort entfernt bzw. pseudonymisiert; die Belege bleiben bis zum Fristende gespeichert (Art. 17 Abs. 3 lit. b DSGVO). Fehlerberichte werden nach der Aufbewahrungseinstellung des Dienstleisters automatisch gelöscht [Frist bei Sentry prüfen].
5. Ihre Rechte
- Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen auf Grundlage berechtigten Interesses (Art. 21 DSGVO)
- Beschwerde bei einer Aufsichtsbehörde, z. B. der für Sie zuständigen Landesdatenschutzbehörde
6. Cookies
Diese Website setzt keine Tracking-, Analyse- oder Marketing-Cookies ein und bindet keine externen Schriftarten oder Skripte von Drittanbietern ein; alle Schriftarten und Skripte werden von unserem eigenen Server ausgeliefert. Für die Anmeldung speichert die Anwendung technisch erforderliche Sitzungsdaten im lokalen Speicher Ihres Browsers (localStorage); dies ist für die Bereitstellung des angeforderten Dienstes erforderlich. Beim Aufruf der Website werden technisch notwendige Verbindungsdaten (z. B. IP-Adresse) vom Server verarbeitet.
7. Kontakt
Bei Fragen zum Datenschutz wenden Sie sich an [kontakt@payloai.com].