Datenschutzerklärung — Kanzlei-Portal
_Stand: 2026-08-09 · Version 1.0 · gilt für app.zettelwirtschaft.dev_
1. Verantwortlicher
LumeSec Technologies GmbH Rissach 10/12, 6092 Birgitz, Österreich FN 679364s, Landesgericht Innsbruck als Handelsgericht hello@lumesec.ai
2. Zwei Rollen, die nicht vermischt werden dürfen
Diese Erklärung betrifft zwei verschiedene Verarbeitungen mit zwei verschiedenen Verantwortlichen. Das ist der wichtigste Satz des Dokuments.
Für Ihre eigenen Daten als Kanzlei sind wir verantwortlich. Ihr Konto, Ihre Anmeldung, Ihre Abrechnung, Ihr Kanzleiprofil — dafür gilt diese Erklärung, und Sie richten Ihre Betroffenenrechte an uns.
Für die Daten Ihrer Mandanten sind Sie verantwortlich, nicht wir. Namen, E-Mail-Adressen und Notizen Ihrer Mandanten tragen Sie ein. Wir verarbeiten sie ausschließlich weisungsgebunden für Sie; Grundlage ist der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, den Sie beim ersten Anlegen eines Platzes annehmen. Ein Mandant, der Auskunft oder Löschung verlangt, wendet sich an Sie.
3. Was wir über Sie als Kanzleimitarbeiter:in verarbeiten
| Datum | Herkunft | Zweck | Rechtsgrundlage |
|---|---|---|---|
| Name, E-Mail-Adresse | Registrierung oder Einladung | Konto, Anmeldung, Kontaktaufnahme | Art. 6 Abs. 1 lit. b |
| Passwort-Hash, ggf. Zwei-Faktor-Geheimnis, Passkeys | Registrierung | Authentifizierung | Art. 6 Abs. 1 lit. b |
| Rolle in der Organisation | Ihre Kanzlei | Berechtigungen | Art. 6 Abs. 1 lit. b |
| Sitzungsdaten, Zeitstempel der Anmeldung | Nutzung | Anmeldung, Missbrauchsabwehr | Art. 6 Abs. 1 lit. f |
| Kanzleiprofil: Name, Ansprechpartner:in, E-Mail, Telefon, Web, Logo | Ihre Eingabe | Anzeige in der App Ihrer Mandanten, Brief und E-Mail | Art. 6 Abs. 1 lit. b |
| Rechnungsdaten, USt-ID, Zahlungsstatus | Ihre Eingabe bei Stripe | Abrechnung, gesetzliche Aufbewahrung | Art. 6 Abs. 1 lit. b, lit. c |
| Protokoll Ihrer Handlungen im Portal | Nutzung | Nachvollziehbarkeit, Zusage aus dem AVV | Art. 6 Abs. 1 lit. f, lit. c |
Das Protokoll hält fest, wer wann was getan hat — Platz angelegt, Code erzeugt, Code versandt, Platz freigegeben. Meldet sich eine Person mit Plattform-Administrationsrechten im Namen eines Kontos an, wird auch das im Protokoll vermerkt.
4. Was wir über Ihre Mandanten verarbeiten — für Sie
Vollständig aufgeführt in Anlage 1 des Auftragsverarbeitungsvertrags. In Kürze:
- Von Ihnen eingetragen: Name, optional E-Mail-Adresse, optional eine Notiz,
Sprache
- Aus der App: eine zufällige Gerätekennung, Zeitpunkt der letzten Prüfung,
App-Version, Plattform
Nicht verarbeitet werden Belege, Belegbilder, erkannte Texte, Beträge, Umsatzsteuerdaten, Kategorien, Fahrten, Standortdaten, Kilometerstände, Exporte und Scan-Zahlen. Die App ist local-first; diese Daten erreichen uns nicht. Im Datenmodell existiert keine Spalte, die sie aufnehmen könnte.
5. Empfänger und Auftragsverarbeiter
| Empfänger | Leistung | Ort |
|---|---|---|
| Hetzner Online GmbH | Anwendung, Datenbank, Objektspeicher | EU |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung, Rechnungen, Steuerberechnung | EU |
Wir veröffentlichen die jeweils aktuelle Liste und informieren über Änderungen.
6. Speicherdauer
| Daten | Dauer |
|---|---|
| Konto- und Organisationsdaten | Bis zur Löschung des Kontos |
| Plätze, Codes, Geräte | Bis zur Löschung des Kontos, danach längstens 30 Tage |
| Protokoll sicherheitsrelevanter Vorgänge | 24 Monate |
| Zustellprotokolle | 90 Tage |
| IP-Adressen in Zugriffsprotokollen | 7 Tage |
| Rechnungen und Buchungsbelege | 7 Jahre nach § 132 BAO |
7. Cookies und vergleichbare Techniken
Das Portal setzt ausschließlich Cookies, die für den Betrieb erforderlich sind:
| Cookie | Zweck | Dauer |
|---|---|---|
| Sitzungscookie | Angemeldet bleiben | 30 Tage |
| Sprach-Cookie | Gewählte Sprache merken | dauerhaft, bis geändert |
Es gibt keine Analyse-, Marketing- oder Drittanbieter-Cookies und deshalb auch kein Einwilligungsbanner. Setzen Sie später einen Analysedienst ein, ist diese Aussage zuerst zu ändern.
8. Anmeldung ohne Passwort
Das Portal bietet Anmeldung per E-Mail-Link. Dazu wird ein einmalig gültiges Merkmal erzeugt, an Ihre Adresse gesandt und nach Gebrauch entwertet. Ein solcher Link legt kein Konto an; er meldet ein bestehendes Konto an.
9. Ihre Rechte
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Für die Datenübertragbarkeit gibt es im Portal einen vollständigen Export als JSON oder CSV — Plätze, Zustellungen, Geräte, Profil und Protokoll — den Sie ohne Rückfrage bei uns auslösen können.
Beschwerderecht bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien.
10. Sicherheit
Die technischen und organisatorischen Maßnahmen sind in Anlage 3 des Auftragsverarbeitungsvertrags beschrieben und gelten gleichermaßen für Ihre eigenen Daten. In Kürze: Verschlüsselung der Übertragung, getrennte Mandanten, rollenbasierte Berechtigungen, Protokollierung sicherheitsrelevanter Vorgänge, Ratenbegrenzung an den öffentlich erreichbaren Schnittstellen.
11. Änderungen
Die jeweils geltende Fassung ist unter zettelwirtschaft.dev abrufbar. Ändert sich die Verarbeitung wesentlich, informieren wir Sie vor dem Wirksamwerden.