Datenschutzerklärung

Verantwortlicher im Sinne der DSGVO für die Verarbeitung Ihrer personenbezogenen Daten durch VATback ist:

VATback verarbeitet folgende Kategorien personenbezogener Daten:

• Kontodaten: E-Mail-Adresse (zur Identifikation und für den Bestätigungslink), Passwort-Hash (wird nie im Klartext gespeichert).
• Unternehmensprofil: Firmenname, USt-IdNr., IBAN, Adresse, ggf. Bevollmächtigter — zur Vorbereitung der BZSt-Erstattungsanträge gemäß Richtlinie 2008/9/EG.
• Rechnungsdaten: Hochgeladene Rechnungen (PDF, JPG, PNG) sowie die extrahierten Felder (Lieferant, Land, Betrag, Kategorie). Rechnungsscans werden verschlüsselt im privaten Speicher abgelegt.
• Einwilligungsnachweise: Zeitstempel und Version der akzeptierten Dokumente (unveränderliches Audit-Log, Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO).
• Schätzung per E-Mail (ohne Konto): Wenn Sie sich Ihre unverbindliche Schätzung per E-Mail zusenden lassen, verarbeiten wir die von Ihnen angegebene E-Mail-Adresse sowie die Eckdaten der Schätzung. Zweck ist die Zustellung der von Ihnen angeforderten Schätzung sowie die Kontaktaufnahme zu Ihrer Schätzung und zu VATback. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die wir im Double-Opt-in-Verfahren einholen: Der Versand erfolgt erst, nachdem Sie Ihre E-Mail-Adresse über einen Bestätigungslink bestätigt haben. Unbestätigte Anfragen werden nach spätestens 30 Tagen gelöscht; bestätigte Angaben speichern wir bis zu Ihrem Widerruf. Sie können die Einwilligung jederzeit widerrufen — jede E-Mail enthält dafür einen Abmeldelink.
• Beta-Programm (Interessenten): Wenn Sie sich über das Beta-Formular als Beta-Tester bewerben, verarbeiten wir Ihre E-Mail-Adresse sowie — soweit von Ihnen freiwillig angegeben — Vor- und Nachname, Firmenname und Telefonnummer. Zweck ist ausschließlich die persönliche Kontaktaufnahme zum Beta-Programm. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir speichern die Angaben bis zum Abschluss des Beta-Programms oder bis zu Ihrem Widerruf (Kontakt: info@vat-back.de); ein automatisierter E-Mail-Versand an Beta-Interessenten findet nicht statt.

Rechtsgrundlage der Verarbeitung: Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Kontakt: info@vat-back.de).

Alle personenbezogenen Daten werden ausschließlich auf Servern innerhalb der Europäischen Union verarbeitet:

• Supabase (EU, Region Irland) — Datenbank, Authentifizierung, Dateispeicher. Supabase Ltd. ist als Auftragsverarbeiter gemäß Art. 28 DSGVO eingebunden; ein Auftragsverarbeitungsvertrag (AVV) ist geschlossen. Kein Datentransfer außerhalb der EU.
• KI-Extraktion (Rechnungsfelder): Rechnungsscans werden zur Feld-Extraktion an KI-Modelle von Mistral AI (Verarbeitung in der EU/Frankreich) übermittelt. Auftragsverarbeitungsvertrag (Art. 28 DSGVO) und Zero-Data-Retention werden mit dem Anbieter vereinbart. Details folgen mit dem Juristencheck. (Abschnitt in Ausarbeitung.)
• E-Mail-Versand (Resend): Von Ihnen angeforderte transaktionale E-Mails (z. B. die Zustellung Ihrer Erstattungs-Schätzung) werden über den Dienst Resend versendet (Verarbeitung in der EU, Region Irland). Ein Auftragsverarbeitungsvertrag (DPA, Art. 28 DSGVO) ist geschlossen. Verarbeitet werden dabei Ihre registrierte E-Mail-Adresse sowie der Inhalt der jeweiligen E-Mail. Es erfolgt kein Versand von Werbe-E-Mails ohne gesonderte Einwilligung.
• Hosting und Reichweitenmessung (Vercel): Die Website wird bei Vercel Inc. gehostet; die Anwendung läuft in der EU-Region Frankfurt. Zur Reichweitenmessung setzen wir Vercel Web Analytics ein. Dabei werden Seitenaufrufe ohne Cookies und ohne geräteübergreifende Kennungen erfasst; die IP-Adresse wird nicht gespeichert, sondern nur zur Ableitung einer Sitzungskennung verwendet, die nach 24 Stunden verfällt. Es entstehen keine Nutzerprofile. Rechtsgrundlage ist unser berechtigtes Interesse an der Auswertung der Nutzung unserer Website (Art. 6 Abs. 1 lit. f DSGVO). Vercel ist als Auftragsverarbeiter gemäß Art. 28 DSGVO eingebunden; Vercel Inc. hat seinen Sitz in den USA und ist unter dem EU-U.S. Data Privacy Framework zertifiziert. (Juristencheck ausstehend.)

• Auskunft über gespeicherte Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung Ihrer Daten ("Recht auf Vergessenwerden", Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Widerspruch gegen die Verarbeitung (Art. 21)
• Datenübertragbarkeit (Art. 20)
• Widerruf der Einwilligung (Art. 7 Abs. 3)

Anfragen richten Sie bitte an info@vat-back.de. Sie haben außerdem das Recht, Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde einzulegen.

Rechnungsdaten und zugehörige Dokumente werden für den zur Antragstellung erforderlichen Zeitraum gespeichert (gesetzliche Aufbewahrungspflichten gemäß §§ 147 AO, 257 HGB). Konten, die die E-Mail-Bestätigung nicht abschließen, werden nach einer dokumentierten Frist automatisch gelöscht (Details in Ausarbeitung).

Dieser Abschnitt wird mit dem Juristencheck finalisiert.

VATback setzt ausschließlich technisch notwendige Cookies ein (Session-Token für die Authentifizierung, temporäre Schätzungsdaten). Es werden keine Tracking- oder Werbe-Cookies verwendet. Die Reichweitenmessung mit Vercel Web Analytics (siehe Abschnitt 3) kommt ohne Cookies und ohne Speicherung von Kennungen auf Ihrem Gerät aus; ein Cookie-Banner ist deshalb nicht erforderlich.