Datenschutzhinweise für Nutzer von BelegFlow

Informationen nach Art. 13 DSGVO · Stand 14.10.2026

1. Verantwortlicher

friendworx gruppe UG (haftungsbeschränkt), Marktplatz 15, 93413 Cham, Telefon 09971 8899995, E-Mail service@friendworx.com. Geschäftsführer: Albert Fischer.

Für die Geschäftsunterlagen eines anderen angeschlossenen Unternehmens (Mandant) ist dieses Unternehmen selbst verantwortlich; friendworx gruppe UG (haftungsbeschränkt) verarbeitet diese Daten dann in dessen Auftrag (Art. 28 DSGVO).

2. Welche Daten wir verarbeiten und wozu

• Ihr Zugang: Name, E-Mail-Adresse, Passwort (nur als sicherer Hashwert), bei Zwei-Faktor-Anmeldung das verschlüsselte Geheimnis und die Notfall-Codes, Rolle im Mandanten. Zweck: Anmeldung und Berechtigungen.
• Sitzung: ein technisch notwendiges Sitzungs-Cookie sowie IP-Adresse und Browser-Kennung der Sitzung (Laufzeit höchstens 12 Stunden). Zweck: sichere Anmeldung, Schutz vor Missbrauch (u. a. Begrenzung von Anmeldeversuchen). Es gibt keine Analyse-, Werbe- oder Tracking-Cookies.
• Änderungsprotokoll: wer wann welche Daten geändert hat. Zweck: Nachvollziehbarkeit der Buchhaltungsunterlagen (GoBD).
• Inhalte: Belege, Kontoauszüge und Bankumsätze der Mandanten. Sie können personenbezogene Daten Dritter enthalten (z. B. Namen von Zahlungspartnern). Zweck: Vorbereitung der Buchhaltung und Weitergabe an den Steuerberater.
• Neue Passwörter werden gegen bekannte Datenlecks geprüft (Dienst „Pwned Passwords“). Dabei verlassen nur die ersten 5 Zeichen eines Hashwerts den Server – weder das Passwort noch Ihre E-Mail-Adresse.

3. Rechtsgrundlagen

• Bereitstellung des Zugangs: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Beschäftigungsverhältnis bzw. Mandat).
• Aufbewahrung der Buchhaltungsunterlagen und des Protokolls: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB.
• IT-Sicherheit, Missbrauchsschutz: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).
• Sitzungs-Cookie: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich).

4. Empfänger

• Hetzner Online GmbH, Gunzenhausen – Server und Speicherung, Rechenzentrum in Deutschland (Auftragsverarbeitung).
• Google Cloud EMEA Limited, Dublin – automatisches Auslesen einzelner Belege und Kontoauszüge (Vertex AI, Verarbeitung in der Region Frankfurt; Auftragsverarbeitung nach dem Cloud Data Processing Addendum, Übermittlungen in Drittländer nur mit den dort vereinbarten Garantien wie EU-Standardvertragsklauseln).
• Der Steuerberater des jeweiligen Mandanten erhält die Unterlagen zur Erledigung seines Auftrags.

5. Speicherdauer

Zugangsdaten bis zur Entfernung des Zugangs. Belege, Kontoauszüge, Zuordnungen und das Änderungsprotokoll mindestens für die gesetzlichen Aufbewahrungsfristen (in der Regel 8 Jahre für Buchungsbelege, 10 Jahre für Bücher und Abschlüsse, jeweils ab Ende des Kalenderjahres). Ein Löschen vor Fristablauf ist gesetzlich ausgeschlossen. Sitzungsdaten höchstens 12 Stunden.

6. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17, soweit keine Aufbewahrungspflicht besteht), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Wenden Sie sich dazu an service@friendworx.com. Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zuständig ist das Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

7. Pflicht zur Bereitstellung

Ohne Name, E-Mail-Adresse und Passwort ist eine Nutzung nicht möglich. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt; Zuordnungsvorschläge werden stets von einer Person bestätigt.