Datenschutz

1. Verantwortlicher

Taub Digital UG (haftungsbeschränkt)
Schwarzwaldstraße 31
79539 Lörrach
Deutschland
E-Mail: kontakt@taub-digital.de
Telefon: 07621 9165877

Vertreten durch den Geschäftsführer Edmund Stefan Taub.

2. Worum es geht

Summator ist eine Buchhaltungssoftware für Unternehmen. Hier steht, welche personenbezogenen Daten wir verarbeiten, wenn Sie summator.de aufrufen, sich anmelden oder Summator nutzen — wofür, auf welcher Rechtsgrundlage und wie lange.

Was unsere Kunden in Summator über Dritte erfassen — etwa Namen und Anschriften von Geschäftspartnern auf Belegen und Rechnungen oder Bankumsätze —, verarbeiten wir im Auftrag des jeweiligen Kunden (Art. 28 DSGVO). Verantwortlich für diese Daten ist der Kunde; Fragen dazu richten Sie bitte an ihn.

3. Hosting und Server-Protokolle

Summator läuft auf einem Server, den wir bei der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, gemietet haben. Das Rechenzentrum steht in Falkenstein (Deutschland). Hetzner verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).

Bei jedem Aufruf verarbeitet der Server, was nötig ist, um die Seite auszuliefern: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, die zuvor besuchte Seite und die Kennung des Browsers. In den Zugriffsprotokollen speichern wir die IP-Adresse nur gekürzt — der letzte Block fehlt — und die aufgerufene Adresse ohne angehängte Parameter. Die Protokolle dienen der Fehlersuche und der Abwehr von Angriffen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.

4. Cookies und Speicher im Browser

Summator speichert im Browser nur, was für den Betrieb nötig ist oder was Sie selbst auswählen. Es gibt keine Analyse-, Tracking- oder Werbe-Cookies, und die Schriften kommen von unserem eigenen Server. Für Zahlungen und die Verwaltung Ihres Abos wechseln Sie zu Stripe (Abschnitt 7).

summator-session

Hält Ihre Sitzung, etwa die Anmeldung. Gilt zwei Stunden ab dem letzten Aufruf.

XSRF-TOKEN

Schützt Formulare davor, von fremden Seiten aus abgeschickt zu werden. Gilt zwei Stunden.

remember_web_…

Nur, wenn Sie „Angemeldet bleiben“ wählen: hält die Anmeldung auf diesem Gerät, bis Sie sich abmelden, längstens 400 Tage.

sm-locale

Nur, wenn Sie die Sprache umstellen: merkt sich Ihre Wahl ein Jahr lang.

sm-theme (Speicher im Browser)

Nur, wenn Sie zwischen hell und dunkel umstellen: merkt sich Ihre Wahl, bis Sie die Website-Daten löschen.

Rechtsgrundlage für das Speichern und Auslesen ist § 25 Abs. 2 Nr. 2 TDDDG: es ist unbedingt erforderlich, um den Dienst bereitzustellen, den Sie nutzen. Die Verarbeitung selbst stützt sich auf Art. 6 Abs. 1 lit. b und f DSGVO.

5. Kundenkonto und Nutzung von Summator

Für die Nutzung von Summator verarbeiten wir die Angaben zu Ihrem Zugang — Name, E-Mail-Adresse, Passwort (nur als nicht umkehrbarer Hash) und Rolle — sowie die Stammdaten Ihres Unternehmens. Jedes Unternehmen hat eine eigene Datenbank für seine Geschäftsdaten; Vertrags- und Abodaten verwalten wir zentral. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für Vertragspartner als natürliche Personen und Art. 6 Abs. 1 lit. f DSGVO für Ansprechpartner und Benutzer eines Unternehmens. Unser berechtigtes Interesse ist die Bereitstellung und Verwaltung des Unternehmenszugangs.

Die Inhaberin oder der Inhaber eines Unternehmens kann weitere Personen einladen, etwa Mitarbeiter oder die Steuerberatung. Dafür verarbeiten wir Name, E-Mail-Adresse und Rolle, wie sie eingetragen wurden, und schicken der Person eine Einladung mit einem Link, über den sie ihr Passwort selbst festlegt; der Link gilt sieben Tage. Wer welchen Zugang eingerichtet, geändert oder deaktiviert hat, steht im Änderungsprotokoll des Unternehmens, ohne Passwort. Einzelne Zugänge werden nicht gelöscht, sondern deaktiviert, weil Buchungen und Protokoll auf sie verweisen; gelöscht werden sie mit den übrigen Daten des Unternehmens (Abschnitt 13). Rechtsgrundlage ist für die eingeladene Person Art. 6 Abs. 1 lit. f DSGVO: Wir haben ein berechtigtes Interesse daran, den vom Unternehmen beauftragten Zugang bereitzustellen. Die Angaben stammen vom einladenden Unternehmen. Kategorien und Quelle der Angaben sind damit offengelegt (Art. 14 Abs. 1 lit. d und Abs. 2 lit. f DSGVO).

Melden Sie sich über summator.de an, halten wir Zeitpunkt, E-Mail-Adresse, Unternehmen und IP-Adresse als Nachweis des Zugriffs fest; die IP-Adresse löschen wir daraus nach 90 Tagen. Fehlgeschlagene Anmeldeversuche zählen wir für einige Minuten je E-Mail- und IP-Adresse, um das Erraten von Passwörtern zu bremsen. Beides dient der Sicherheit Ihrer Buchhaltung (Art. 6 Abs. 1 lit. f DSGVO).

6. Registrierung

Registrieren Sie ein Unternehmen, speichern wir Firma, gewünschte Adresse, Ihren Namen, Ihre E-Mail-Adresse, Ihr Passwort (nur als Hash), den gewählten Kontenrahmen und die Fassung der Bedingungen, denen Sie zugestimmt haben, und schicken Ihnen einen Link zur Bestätigung. Erst mit der Bestätigung richten wir Summator ein. Der Bestätigungslink gilt 48 Stunden. Abgelaufene unbestätigte Registrierungen löschen wir beim nächsten Registrierungsvorgang. Nach der Bestätigung bleibt ein Nachweis des Vertragsschlusses — Firma, Name, E-Mail-Adresse, Zeitpunkt und Fassung der Bedingungen —, der Passwort-Hash wird daraus gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7. Abo und Zahlung

Schließen Sie ein Abo ab, wickelt die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, die Zahlung ab. Ihre Zahlungsdaten — Karte oder Konto — geben Sie direkt bei Stripe ein; wir erhalten sie nicht. Wir übermitteln an Stripe den Namen Ihres Unternehmens und Ihre E-Mail-Adresse; Stripe erhebt Rechnungsanschrift, gegebenenfalls die USt-IdNr. und die Zahlungsdaten und teilt uns den Stand des Abos mit. Stripe verarbeitet Daten auch in den USA; Stripe ist nach dem EU-US Data Privacy Framework zertifiziert. Hinweise von Stripe zum Datenschutz: stripe.com/de/privacy.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Rechnungen bewahren wir acht Jahre auf, weil das Gesetz es verlangt (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO, § 14b UStG).

8. Bankabruf und Stripe

Zugangsdaten für Ihr Online-Banking nehmen wir nicht entgegen. Rufen Sie Umsätze mit der Summator-App oder der Browser-Erweiterung ab, geschieht das auf Ihrem Gerät; PIN, TAN und Anmeldename bleiben dort. Das Gerät überträgt die abgerufenen Umsätze und den Kontostand an Summator. Sie liegen in der Datenbank Ihres Unternehmens (Abschnitt 2). Zu jedem gekoppelten Gerät speichern wir seinen Namen, die Art, wann es gekoppelt wurde und zuletzt geliefert hat, und eine Prüfsumme seines Schlüssels.

Verbinden Sie ein Stripe-Konto, liest Summator dort mit Ihrer Zustimmung die Bewegungen Ihres Stripe-Guthabens — Zahlungen, Gebühren, Erstattungen und Auszahlungen — und zu jeder Zahlung die Angaben, die Stripe dazu führt, etwa Name und E-Mail-Adresse des Zahlers und die Beschreibung. Summator hat dabei nur Leserechte. Den Zugangsschlüssel speichern wir verschlüsselt, bis Sie die Verbindung trennen oder die App in Stripe entfernen. Die Antworten von Stripe liegen unverändert als Beleg bei den Umsätzen in der Datenbank Ihres Unternehmens (Abschnitt 2).

9. Kommandozeile mit KI

Was Sie in die Kommandozeile schreiben, bearbeitet ein Sprachmodell auf zwei Arten.

Die einfache Deutung liest nur, was gemeint ist — für einen Beleg, den Summator in einen Satz fasst, für die Schnittstellen von Summator und immer dann, wenn der Assistent nicht zur Verfügung steht. Sie bekommt nur die Eingabe und die Bezeichnungen Ihrer Aufwands- und Erlöskonten, nicht die Belege selbst und keine Zahlen aus Ihrer Buchhaltung. Fragen Sie etwa nach offenen Rechnungen, erkennt das Modell nur, wonach Sie fragen; die Zahlen rechnet Summator selbst.

Der Assistent erledigt Aufträge und beantwortet Fragen zu Ihren eigenen Daten. Dafür bekommt das Modell mehr als die Eingabe und Kontenbezeichnungen: Angaben der Seite, auf der Sie gerade sind — etwa die geöffnete Rechnung mit Empfänger und Positionen, einen Kontakt mit Anschrift und E-Mail-Adresse oder einen Bankumsatz mit Gegenpartei und Verwendungszweck —, die Ergebnisse der Auswertungen, die es für Ihre Eingabe abfragt (etwa offene Rechnungen, Umsätze, Buchungen), und die Regeln, die Sie dem Assistenten für Ihr Unternehmen gegeben haben. Diese Angaben gehen ausschließlich an unseren eigenen Server. Ist unser Server nicht erreichbar, arbeitet der Assistent nicht, und es bleibt bei der einfachen Deutung.

Eine Regel („Bewirtung immer auf 4650“) speichert Summator nur, wenn Sie es ausdrücklich wollen und bestätigen, in der Datenbank Ihres Unternehmens, mit Zeitpunkt und dem Zugang, der sie festgelegt hat. Sie sehen und vergessen die Regeln in den Einstellungen. Eine vergessene Regel wird abgeschaltet, nicht gelöscht: wie jede Änderung bleibt sie im Änderungsprotokoll, bis die Daten des Unternehmens gelöscht werden (Abschnitt 13). Einen Gesprächsverlauf speichert Summator nicht.

Das Modell läuft auf einem eigenen Server der Taub Digital UG. Summator erreicht ihn über eine verschlüsselte Verbindung in einem privaten Netz und dort nur die Schnittstelle des Modells. Der Server speichert Eingabe und Antwort nicht, und das Modell lernt nicht aus ihnen. Um passende Konten zu finden, hält Summator aus den Kontenbezeichnungen berechnete Suchwerte vor — nie aus Eingaben; berechnet werden sie nur auf diesem Server.

Jeder Vorschlag ist als „KI-Vorschlag“ gekennzeichnet und nennt das Modell, das ihn erstellt hat, und wo es läuft — etwa „gemma4:26b · eigener Server“. Ist der Server nicht verfügbar, deutet Summator mit lokalen Regeln. Buchungen und andere Änderungen an Ihren Daten führt Summator erst nach Ihrer Bestätigung aus; bis dahin hält Summator den Vorschlag vor, damit genau er ausgeführt wird. Eingabe und Antwort des Modells speichert Summator nicht — außer als Buchungstext, wenn Sie eine Buchung bestätigen, als Regel, wenn Sie eine bestätigen. In unserem Betriebsprotokoll steht nur, welches Modell gedeutet hat und welche Auswertungen und Aktionen der Assistent genutzt hat, nie die Eingabe und nie ein Ergebnis. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für Daten, die Sie über Dritte erfassen, handeln wir in Ihrem Auftrag (Abschnitt 2).

10. E-Mails

Summator verschickt E-Mails, die zum Betrieb gehören — den Link zur Bestätigung der Registrierung, die Einladung in ein Unternehmen, den Link für ein neues Passwort, den monatlichen Prüfwert Ihrer Belegablage, die Erinnerung vor der Verlängerung eines Jahresabos und den Hinweis auf eine gescheiterte Zahlung. Wir versenden sie über unseren eigenen Mailserver, ohne fremden Versanddienst. Werbe-E-Mails schicken wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11. Kontakt

Schreiben Sie uns, verarbeiten wir Ihre Angaben, um die Anfrage zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO), und löschen sie, wenn sie erledigt ist und keine Aufbewahrungspflicht entgegensteht.

12. Empfänger und Drittländer

Zu unseren externen Empfängern gehören: Hetzner als Betreiber des Rechenzentrums und, wenn Sie ein Abo abschließen, Stripe für die Zahlung (Abschnitt 7). Stripe verarbeitet je nach Tätigkeit auch als eigener Verantwortlicher, insbesondere zur Erfüllung eigener regulatorischer Pflichten. Außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums verarbeitet nur Stripe Daten.

13. Speicherdauer

Wir speichern personenbezogene Daten, solange es für den jeweiligen Zweck nötig ist. Für Ihr Kundenkonto heißt das: für die Dauer des Vertrags und erforderlicher Abwicklung. Eigene abrechnungsrelevante Unterlagen bewahren wir nach den gesetzlichen Fristen auf; Buchungsbelege in der Regel acht Jahre, Bücher zehn Jahre (§ 147 Abs. 3 und 4 AO, § 257 Abs. 4 und 5 HGB). Längere gesetzliche Fristen bleiben möglich. Geschäftsdaten Ihres Unternehmens bewahren wir nach Vertragsende auf dessen dokumentierte Weisung auf (AVV Abschnitt 9); Rechtsgrundlage und gesetzliche Aufbewahrungspflichten bestimmt hierfür das verantwortliche Unternehmen. Der reguläre Lesezugang endet nach 90 Tagen; für eine Betriebsprüfung kann er auf Anfrage befristet geöffnet werden.

14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f beruhen (Art. 21). Eine Einwilligung können Sie jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3). Für den Vertragsschluss sind die als Pflichtfelder gekennzeichneten Angaben erforderlich; ohne sie können wir keinen Zugang einrichten (Art. 13 Abs. 2 lit. e DSGVO). Eine E-Mail an kontakt@taub-digital.de genügt.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

15. Keine automatisierten Entscheidungen

Summator trifft keine Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten, allein automatisiert (Art. 22 DSGVO). Auch die KI-Deutung der Kommandozeile schlägt nur vor.

16. Änderungen

Ändert sich Summator, passen wir diese Erklärung an. Es gilt die hier veröffentlichte Fassung.