Datenschutzerklärung

1. Verantwortlicher und Kontakt

RechnungsCheck wird derzeit von Mathias Neubert als natürliche Person betrieben. Bei Fragen zu deinen Daten oder zur Löschung deines Kontos erreichst du mich unter dieser E-Mail-Adresse.

2. Besuch der Website

Beim Aufruf werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse sowie Browser- und Geräteinformationen. Sie dienen der Auslieferung der Website, Fehleranalyse und Abwehr von Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; das berechtigte Interesse ist ein sicherer, zuverlässiger Betrieb.

3. Registrierung und Anmeldung

Für dein Konto werden insbesondere E-Mail-Adresse, interne Nutzer-ID und Anmeldeinformationen verarbeitet. Bei E-Mail-Anmeldung übernimmt Supabase die Passwortprüfung; Passwörter werden nicht als Rechnungsdaten gespeichert.

Alternativ kannst du dich über Google anmelden. Dabei werden die von Google freigegebenen Kontoangaben verarbeitet, insbesondere E-Mail-Adresse, Kontokennung und gegebenenfalls Name und Profilbild. RechnungsCheck fordert keine Zugriffsberechtigung auf dein Gmail-Postfach, Google Drive oder deine Kontakte an. Google verarbeitet den Anmeldevorgang außerdem nach seiner eigenen Datenschutzerklärung.

Die Verarbeitung für Konto und angeforderte App-Funktionen erfolgt auf Grundlage von Art. 6 Abs. 1 Buchst. b DSGVO. Ohne die erforderlichen Kontodaten ist ein persönliches Archiv nicht nutzbar. Die Google-Anmeldung ist freiwillig; die Anmeldung per E-Mail bleibt möglich.

4. Technisch erforderliche Cookies

Supabase setzt Cookies für die Anmeldung, die Sitzungserneuerung und den sicheren Anmelde-Rücksprung. Sie können Anmeldekennungen und Zugriffstoken enthalten. Die eingesetzte Bibliothek sieht für persistente Sitzungscookies standardmäßig eine Laufzeit von bis zu 400 Tagen vor; Cookies können beim Erneuern der Sitzung aktualisiert oder beim Abmelden gelöscht werden.

Der Zugriff auf diese technisch erforderlichen Informationen erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG. Für die anschließende Verarbeitung gelten die unter Anmeldung und Betrieb genannten Rechtsgrundlagen. Du kannst Cookies im Browser löschen; dadurch kann eine erneute Anmeldung erforderlich werden.

5. Rechnungen, Fotos und KI-Auswertung

Wenn du eine Rechnung hochlädst oder fotografierst, werden die Originaldatei und daraus erkannte Angaben deinem Konto zugeordnet gespeichert. Dazu gehören etwa Händler, Rechnungsnummer, Kaufdatum, Betrag, Artikel sowie deine Ergänzungen zu Kaufart, Empfangsdatum, Gewährleistung und Widerruf. Dokumente können auch Namen, Anschriften oder Zahlungsangaben enthalten.

Zur angeforderten automatischen Erkennung wird der ausgewählte Beleg beziehungsweise Rechnungstext an die Gemini API von Google übermittelt. Google erhält dabei den Inhalt des Dokuments zur Verarbeitung, nicht nur die daraus erkannten Felder. Die App sendet für die Rechnungserkennung weder dein Passwort noch deine Anmeldetoken mit.

Die Analyse erstellt Vorschläge, die du prüfen und korrigieren kannst. Sie entscheidet nicht verbindlich über deine Rechte und ist keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO. Grundlage der angeforderten Verarbeitung ist Art. 6 Abs. 1 Buchst. b DSGVO.

Übermittle nur Unterlagen, die du hierfür verwenden darfst. Vermeide nicht erforderliche Daten Dritter und besonders sensible Inhalte, etwa Gesundheitsangaben. Informationen zur Verarbeitung bei Google findest du in den Gemini-API-Bedingungen.

6. Freiwilliger E-Mail-Import

Nach Aktivierung einer persönlichen Empfangsadresse kannst du Rechnungs-E-Mails dorthin weiterleiten. Resend verarbeitet die eingehende Nachricht einschließlich Absender, Empfänger, Betreff, Text und Anhängen. Die App ordnet die Nachricht anhand der persönlichen Empfangsadresse deinem Konto zu und speichert Importstatus und Ergebnisse.

Für die Rechnungserkennung werden geeignete Anhänge bevorzugt; andernfalls kann der Rechnungstext verwendet werden. Der dafür ausgewählte Inhalt wird wie ein Upload an Gemini übermittelt. Andere Inhalte einer weitergeleiteten Nachricht können bereits beim E-Mail-Anbieter verarbeitet werden. Leite daher möglichst nur die betreffende Rechnung weiter. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

7. Dienstleister und Datenübermittlungen

• Vercel: Hosting, Auslieferung und serverseitiger Betrieb der WebApp; dabei werden auch technische Verbindungs- und Protokolldaten verarbeitet. Datenschutzhinweise von Vercel.
• Supabase: Nutzerkonten, Datenbank und Dateispeicherung. Das Projekt ist in der Region eu-west-1 (Irland) eingerichtet. Daraus folgt keine Zusage, dass sämtliche Support-, Protokoll- oder Unterauftragnehmerverarbeitung ausschließlich in der EU stattfindet. Datenschutzhinweise von Supabase.
• Google: optionale Google-Anmeldung, KI-Verarbeitung über Gemini und Bearbeitung von Nachrichten an die Gmail-Kontaktadresse. Datenschutzhinweise von Google.
• Resend: Empfang und Bereitstellung der von dir weitergeleiteten Rechnungs-E-Mails. Datenschutzhinweise von Resend.

Bei diesen internationalen Diensten können Daten auch außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, verarbeitet werden. Die Anbieter beschreiben ihre Übermittlungsmechanismen und Unterauftragnehmer in ihren Vertragsunterlagen: Vercel-DPA, Supabase-DPA, Resend-DPA und Google-Gemini-Bedingungen. Auskunft über die für deine Daten eingesetzten Dienstleister und die maßgeblichen Garantien kannst du beim Verantwortlichen anfordern.

8. Kontakt und Benachrichtigungen

Wenn du an die Kontaktadresse schreibst, werden deine E-Mail-Adresse, Nachricht und gegebenenfalls Anhänge über Gmail zur Bearbeitung deiner Anfrage verarbeitet. Je nach Anliegen ist Grundlage Art. 6 Abs. 1 Buchst. b oder f DSGVO; das berechtigte Interesse ist die Beantwortung von Anfragen.

Eine freiwillige Vormerkung für spätere E-Mail-Erinnerungen wird als Kontoeinstellung gespeichert und kann in den Einstellungen widerrufen werden. Grundlage ist Art. 6 Abs. 1 Buchst. a DSGVO. Der automatische Erinnerungsversand ist derzeit nicht aktiv. Eine Vormerkung wird nicht durch die Google-Anmeldung erzwungen.

9. Speicherdauer und Löschung

Kontodaten und archivierte Belege bleiben grundsätzlich gespeichert, solange du dein Konto beziehungsweise Archiv nutzt. Einzelne Belege kannst du in der App löschen. Dabei werden Originaldatei und zugehöriger Belegdatensatz zur Löschung angewiesen. Die Importhistorie einer E-Mail ist ein eigener Datensatz und wird durch die Löschung eines Belegs nicht automatisch entfernt.

Während der Beta kannst du die vollständige Löschung deines Kontos einschließlich Dateien und Importhistorie per E-Mail beantragen; sie wird vom Betreiber manuell durchgeführt. Eine automatische Kontolöschfunktion ist noch nicht verfügbar. Soweit gesetzliche Pflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen eine weitere Speicherung erfordern, werden betroffene Daten nur hierfür aufbewahrt.

Kontaktanfragen werden bis zur abschließenden Bearbeitung und darüber hinaus nur bei fortbestehendem sachlichem oder gesetzlichem Aufbewahrungsgrund gespeichert. Technische Protokolle und Sicherungskopien unterliegen zusätzlich den Aufbewahrungs- und Löschzyklen der jeweiligen Anbieter; eine sofortige Entfernung aus allen Sicherungen wird nicht zugesagt. Resend nennt für E-Mail- und Protokolldaten der Standardtarife derzeit 30 Tage. Die in deinem RechnungsCheck-Archiv gespeicherten Kopien folgen dagegen den oben beschriebenen Archivregeln.

10. Deine Datenschutzrechte

Nach Maßgabe der gesetzlichen Voraussetzungen hast du das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine erteilte Einwilligung kannst du jederzeit für die Zukunft widerrufen; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt.

Widerspruch: Gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO kannst du aus Gründen deiner besonderen Situation Widerspruch einlegen. Anfragen richtest du an mneubert1001@gmail.com.

Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für den Betreiber in Dresden ist insbesondere die Sächsische Datenschutz- und Transparenzbeauftragte erreichbar. Der Rechtsweg und andere zuständige Aufsichtsbehörden bleiben unberührt.