Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten ist:

Für alle Fragen zum Datenschutz und um deine Rechte auszuüben, schreib mir an [email protected]. Einen Datenschutzbeauftragten habe ich nicht benannt.

Dein Widerspruchsrecht

2. Kategorien personenbezogener Daten

Je nachdem, wie du Paperarchive nutzt, verarbeitet es folgende Kategorien personenbezogener Daten:

• Kontodaten: E-Mail-Adresse, Name (optional), Passwort, Einstellungen zur Zwei-Faktor-Authentifizierung, Anmeldemethode (Passwort, Google oder Apple), Sprache, Zeitzone und Einstellungen. Passwörter werden nur als Hash gespeichert, nie im Klartext.
• Dokumentdaten: Die Dateien, die du hochlädst, per E-Mail weiterleitest oder importierst, mit ihrem Inhalt, dem erkannten Text (OCR) und Metadaten. Bei Dokumenten, die per E-Mail kommen, bewahrt Paperarchive zusätzlich die Original-E-Mail als .eml-Datei auf (Absender, Empfänger, Betreff, Text und Anhänge).
• Aus deinen Dokumenten abgeleitete Daten: Was Paperarchive aus deinen Dokumenten erstellt: Dokumentnamen, Zusammenfassungen, Kategorien, Absender, Tags, Beträge, Daten und Fristen, Ereignisse wie eine offene Rechnung, Embeddings (Zahlendarstellungen des Textes für die Suche) und Muster, die aus deinen Korrekturen gelernt werden, zum Beispiel welche Kategorie du für einen Absender bevorzugst.
• Suchdaten: Deine Suchanfragen und Fragen, die KI-Antworten mit ihren Quellen und deine Bewertungen von Antworten.
• Zahlungsdaten: Name, E-Mail-Adresse, Rechnungsanschrift, Abo-Status, Rechnungen und die Zahlungsmethode, verarbeitet von Stripe. Paperarchive speichert keine Kartennummern.
• Nutzungsdaten: Genutzte Funktionen, Anzahl der Dokumente, Nutzungszähler für KI-Funktionen und, wenn du Mitglied eines geteilten Spaces bist, deine Änderungen in diesem Space. Bei der Registrierung: wie du Paperarchive gefunden hast (Kampagnenparameter des Links, die verweisende Website ohne Pfad, die erste Seite der Website, die du geöffnet hast), die Registrierungsart und die Plattform.
• Technische Daten: IP-Adresse, Browser, Betriebssystem, Geräteinformationen und Zugriffszeiten in Server-Logs. Für die Liste deiner aktiven Anmeldungen speichert der Anmeldedienst IP-Adresse und Browser jeder Sitzung; du kannst jede Sitzung selbst in deinem Profil beenden. In den Apps zusätzlich das Push-Token deines Geräts.
• Kommunikationsdaten: Inhalt deiner E-Mails an den Support und meiner Antworten.
• Marketingdaten: Für den Newsletter: E-Mail-Adresse, Name, Zeitpunkt deiner Bestätigung (Double Opt-in) und Interaktionen mit Kampagnen. Für die E-Mail mit dem Quiz-Ergebnis, die du anforderst: die E-Mail-Adresse und der Name, die du eingibst, und deine Quiz-Antworten; gibst du im Quiz auch deine Einwilligung für Marketing-E-Mails, der Zeitpunkt deiner Bestätigung per E-Mail (Double Opt-in).

3. Zwecke und Rechtsgrundlagen

Paperarchive verarbeitet personenbezogene Daten nur für die folgenden Zwecke. Die Tabelle nennt die Rechtsgrundlage je Verarbeitung. Wo ein berechtigtes Interesse steht, ist das Interesse genannt, und du kannst widersprechen (siehe Dein Widerspruchsrecht).

4. Besondere Kategorien personenbezogener Daten

Dokumente, die du speicherst, können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten, zum Beispiel Gesundheitsdaten in Arztrechnungen oder Befunden, die Religionszugehörigkeit auf einer Gehaltsabrechnung (Kirchensteuer) oder eine Gewerkschaftszugehörigkeit. Paperarchive verarbeitet solche Daten nur, um deine Dokumente so zu speichern, auszulesen, zu ordnen und auffindbar zu machen, wie du es mit dem Hochladen veranlasst, und zu keinem anderen Zweck: kein Profiling, keine Werbung und kein Training von KI-Modellen. Für deine eigenen Daten ist die Rechtsgrundlage deine ausdrückliche Einwilligung, die du gibst, indem du ein solches Dokument bewusst hochlädst (Art. 9 Abs. 2 lit. a DSGVO); du kannst sie jederzeit widerrufen, indem du das Dokument löschst. Bewahrst du ein Dokument auf, um Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen, gilt zusätzlich Art. 9 Abs. 2 lit. f DSGVO. Enthält ein Dokument Daten anderer Personen, bist du dafür verantwortlich, dass du es speichern darfst. Für Geschäftskunden verarbeitet Paperarchive deren Dokumente in ihrem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags.

5. KI-Verarbeitung und automatisierte Entscheidungen

Paperarchive nutzt den Azure OpenAI Service von Microsoft (Microsoft Ireland Operations Ltd.). Die Azure-Ressource liegt in Frankfurt (Germany West Central), die Modelle laufen als EU-Data-Zone-Deployments, die KI-Verarbeitung findet also in Microsoft-Rechenzentren in der EU statt.

Paperarchive nutzt die KI, um Dokumente zu klassifizieren (Typ, Kategorie, Absender), Angaben wie Beträge, Daten, Fristen und Bankverbindungen zu erkennen, Dokumentnamen und Zusammenfassungen zu schreiben, deine Fragen in der Suche mit Quellen zu beantworten und Embeddings für die semantische Suche zu erzeugen. Übertragen wird nur Text (der erkannte Text des Dokuments oder deine Frage mit passenden Ausschnitten), nicht die Datei.

Die Ergebnisse werden beim Dokument in Paperarchive gespeichert und mit dem Dokument gelöscht. Microsoft verwendet die Daten nicht zum Training von Modellen. Zur Missbrauchserkennung kann Microsoft Ein- und Ausgaben bis zu 30 Tage in der EU speichern; bei Verdacht auf Missbrauch können befugte Microsoft-Mitarbeitende sie prüfen.

Diese automatisierten Abläufe helfen beim Ordnen deiner Dokumente, treffen aber keine Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Du kannst jedes KI-Ergebnis bearbeiten oder überschreiben. Paperarchive bezahlt, kündigt oder meldet nichts selbstständig.

6. Inhaltsprüfung von Uploads

Um geltendes Recht einzuhalten und alle Nutzer zu schützen, prüft Paperarchive hochgeladene Dokumente automatisch mit der SafeSearch-Erkennung von Google Cloud Vision (bei digitalen PDFs nur die erste Seite) auf folgende Kategorien:

• Inhalte für Erwachsene (explizites oder pornografisches Material)
• Gewalttätige Inhalte (grafische Darstellungen von Gewalt)
• Anzügliche Inhalte (anstößiges, aber nicht explizites Material)
• Gefälschte Inhalte (potenziell irreführendes oder täuschendes Material)

Wird ein Inhalt einer dieser Kategorien über einem Schwellenwert erkannt, wird die Datei automatisch gelöscht (ist das Dokument in einem GoBD-Space geschützt, wird die Datei stattdessen in die Quarantäne verschoben). Der Dokumenteintrag bleibt bestehen und ist als übersprungen markiert; der Grund steht in der App, bis du den Eintrag löschst. Eine E-Mail wird nicht verschickt. Ein Vermerk über das Ergebnis (Dokument, Konto, Kategorie, Zeitpunkt) wird ein Jahr aufbewahrt und sofort gelöscht, wenn das Dokument oder das Konto gelöscht wird. Hältst du die Prüfung für falsch, schreib mir.

7. Dienstleister (Auftragsverarbeiter)

Folgende Dienstleister verarbeiten Daten im Auftrag von Paperarchive auf Grundlage von Auftragsverarbeitungsverträgen (Art. 28 DSGVO):

• Supabase (Supabase Inc., gehostet bei Amazon Web Services in Frankfurt): Datenbank, Dateispeicher, Anmeldung und serverlose Funktionen. Daten, Dateien und die serverlosen Funktionen liegen in der AWS-Region eu-central-1 (Frankfurt).
• Hetzner (Hetzner Online GmbH, Falkenstein): Server für API, Web-App und Website. Auf ihnen laufen die Dokumenten-Pipeline (zum Beispiel Dateikonvertierung und das Auslesen digitaler PDFs), der Malware-Scan und die lokale Sortierung der Suchtreffer.
• Google Cloud Vision (Google Cloud EMEA Ltd., EU): Texterkennung (OCR) für gescannte Dokumente und Fotos sowie die Inhaltsprüfung (SafeSearch). Die Verarbeitung läuft über den EU-Endpunkt (eu-vision.googleapis.com). Digitale PDFs mit Textebene werden auf den eigenen Servern von Paperarchive ausgelesen; von ihnen geht nur die erste Seite zur Inhaltsprüfung. Die Daten werden nicht zum Training von Modellen verwendet und Bilder nach der Verarbeitung nicht gespeichert.
• Microsoft Azure OpenAI Service (Microsoft Ireland Operations Ltd., EU Data Zone, Ressource in Frankfurt): KI-Funktionen, siehe Abschnitt 5.
• Cloudflare (Cloudflare, Inc., globales Netzwerk): Nimmt die E-Mails entgegen, die du an deine Paperarchive-Adresse weiterleitest (Email Routing), und reicht sie ohne Speicherung an die Server von Paperarchive weiter. Die Aufruf-Logs dieses Schritts, die Absender und Empfänger enthalten würden, sind abgeschaltet; die übrigen Logs enthalten nur Größe und Verarbeitungsstatus. Cloudflare Turnstile schützt Registrierung, Anmeldung und Passwort-Reset in der Web-App und in den Apps vor Bots; für diese Prüfung verarbeitet Turnstile deine IP-Adresse und Informationen über deinen Browser oder dein Gerät.
• Stripe (Stripe Payments Europe, Ltd., Irland): Zahlungsabwicklung, Abos und Rechnungen. Stripe ist nach PCI DSS Level 1 zertifiziert.
• Brevo (Sendinblue SAS, Frankreich): Versendet die E-Mails zu deinem Konto, die Benachrichtigungs-E-Mails, die du eingeschaltet hast (mit Dokumenttitel, Absender, Kategorie und Zusammenfassung), den täglichen Dokumenten-Überblick, wenn du ihn eingeschaltet hast (mit Dokumenttiteln, Zusammenfassungen, Beträgen und Fälligkeiten), und nach deiner Bestätigung den Newsletter. Für E-Mails an Kunden speichert Paperarchive bei Brevo diese Kontaktmerkmale: E-Mail-Adresse, Vor- und Nachname, Sprache, Zeitzone, Registrierungsdatum, Plan, Beginn und Ende der Testphase, Kontostatus, Anzahl der Dokumente, ob du schon hochgeladen, gesucht oder ein Abo abgeschlossen hast, und deine persönliche Upload-Adresse. Schaltest du E-Mails zu Produktupdates aus, überträgt Paperarchive diese Merkmale nicht mehr an Brevo und nimmt deinen Kontakt aus den Onboarding-Listen; schaltest du sie wieder ein, wird der Kontakt wieder übertragen und aufgenommen. Der Kontakt wird gelöscht, wenn du dein Konto löschst.
• Sentry (Functional Software, Inc., Datenregion EU, Frankfurt): Fehlerüberwachung für Web-App, API, serverlose Funktionen sowie die iOS- und Android-App. Die Web-App sowie die iOS- und die Android-App senden außerdem Release-Health-Sitzungen (Version und Umgebung, ob eine Sitzung normal oder mit einem Fehler oder Absturz endete; die Web-App mit der pseudonymen Nutzer-ID, die Apps mit einer zufälligen Installations-ID). Fehlerberichte von Web-App und API enthalten eine pseudonyme Nutzer-ID; die iOS- und die Android-App senden stattdessen nur eine zufällige Installations-ID. Fehlerberichte enthalten keine IP-Adresse und keine Dokumentinhalte; vor dem Senden werden E-Mail-Adressen, IDs, Tokens, Dateinamen, Pfade, Query-Strings und Datenbankwerte aus Adressen (URLs) und Fehlertexten entfernt, und der Klickverlauf enthält keine Konsolenausgaben und keine Klicktexte. Fehler, die die Apps selbst abfangen, werden nur mit Typ und HTTP-Status gemeldet. Die Web-App sendet Performance-Traces für 10 Prozent der Seitenaufrufe, mit Adressen ohne IDs und Query-Strings; Performance-Traces der API und der serverlosen Funktionen werden ebenfalls zu 10 Prozent erfasst, und die API sendet für 10 Prozent ihrer Anfragen außerdem Performance-Profile (welcher Code wie lange lief, ohne Dateninhalte). Meldungen über blockierte Inhalte (CSP-Reports) gehen zuerst an einen Endpunkt von Paperarchive, der höchstens 16 KB pro Anfrage und 30 Meldungen pro Minute und Client annimmt und Query-Strings, IDs, IP-Adresse und User-Agent entfernt, bevor er sie an Sentry weiterleitet. Für diese Grenze wird der Client nur über einen gesalzenen Hash seiner IP-Adresse erkannt, der höchstens eine Minute im Arbeitsspeicher liegt; die IP-Adresse selbst wird weder gespeichert noch protokolliert. Sentry löscht die Berichte nach Ablauf seiner Aufbewahrungsfrist automatisch.
• Plausible Analytics (Plausible Insights OÜ, Estland, Hosting in der EU): Cookielose Statistik, siehe Abschnitt 10.
• Google Workspace (Google Ireland Ltd.): E-Mail-Postfächer, insbesondere das Support-Postfach.
• Push-Dienste (Apple Push Notification Service, Firebase Cloud Messaging von Google, Push-Dienst deines Browser-Herstellers): Zustellung von Push-Benachrichtigungen, siehe Abschnitt 9.

8. Anmeldedienste, Google Play-Dienste und Integrationen

Folgende Anbieter sind für ihre eigene Verarbeitung selbst verantwortlich:

• Anmeldung mit Google (Google Ireland Ltd.): Das Google-Anmeldeskript (Google Identity Services mit One Tap) wird nur für Nutzer geladen, die sich zuletzt mit Google angemeldet haben, und zwar auf der Anmeldeseite oder nachdem die Sitzung beendet ist (abgemeldet). Alle anderen kontaktieren Google erst nach einem Klick auf Mit Google anmelden, über eine Weiterleitung zu Google. Skript und Weiterleitung übertragen deine IP-Adresse und Browserinformationen an Google. Meldest du dich mit Google an, übermittelt Google deinen Namen und deine E-Mail-Adresse an Paperarchive.
• Anmeldung mit Apple (Apple Distribution International Ltd.): Nur wenn du sie wählst. Apple übermittelt deinen Namen und deine E-Mail-Adresse oder eine Apple-Weiterleitungsadresse an Paperarchive.
• Google Play-Dienste unter Android (Google Ireland Ltd.): Der Dokumentenscanner der Android-App nutzt den Dokumentenscanner von Google ML Kit, der über die Google Play-Dienste auf deinem Gerät läuft. Nach neuen Versionen sucht die App mit Google Play In-App Updates. Die Google Play-Dienste können Nutzungs- und Diagnosedaten zu diesen Funktionen an Google senden.
• Integrationen, die du selbst verbindest: Verbindest du Google Drive oder Dropbox, importiert Paperarchive Dateien aus den Ordnern, die du ausgewählt hast, nur mit Lesezugriff. Verbindest du einen KI-Assistenten (zum Beispiel Claude oder ChatGPT) über die MCP-Schnittstelle von Paperarchive oder nutzt du die API mit deinem eigenen Schlüssel, erhält der Assistent oder das Programm die Dokumente und Suchergebnisse, die er abruft, zu den Bedingungen seines Anbieters. Diese Übermittlungen erfolgen auf deine Veranlassung, und du kannst die Verbindung jederzeit trennen. Beim Verbinden wählst du die Spaces, die der Assistent sehen darf, und ob er auch etwas ändern darf (Ereignisse als bezahlt markieren, bestätigen, archivieren oder stornieren, Tags hinzufügen oder entfernen); Änderungen sind aus, bis du sie einschaltest. Zu jeder Verbindung speichert Paperarchive den Namen der App, die erteilten Berechtigungen und Spaces, die letzte Nutzung und bei jeder Änderung Zeitpunkt und Verbindung (Sicherheitsprotokoll); im Änderungsprotokoll des Dokuments stehst du als Person, die geändert hat. Um einen Assistenten zu erkennen, kann Paperarchive das öffentliche Metadaten-Dokument abrufen, das sein Anbieter veröffentlicht (keine personenbezogenen Daten).

9. iOS- und Android-App, Push-Benachrichtigungen

• iOS-App: Anmeldung und Daten funktionieren wie in der Web-App; die Anmeldesitzung liegt im iOS-Schlüsselbund. Kamera und Fotomediathek nutzt die App nur nach deiner Erlaubnis, um Dokumente zu scannen und zu importieren. Push-Benachrichtigungen laufen über den Apple Push Notification Service (Apple Inc.); die App fragt erst nach der Erlaubnis, wenn du App-Benachrichtigungen einschaltest. Deine letzten Suchen werden auf dem Gerät außerhalb von Backups gespeichert und beim Abmelden gelöscht. Das Datenschutz-Manifest der App nennt die Datenarten, die sie verarbeitet; die App betreibt kein Tracking. Absturz- und Fehlerberichte gehen an Sentry (siehe Abschnitt 7).
• Android-App: Anmeldung und Daten funktionieren wie in der Web-App; die Anmeldesitzung wird verschlüsselt auf dem Gerät gespeichert. Push-Benachrichtigungen laufen über Firebase Cloud Messaging (Google). Das Push-Token entsteht erst, wenn du App-Benachrichtigungen einschaltest, und wird gelöscht, wenn du sie ausschaltest; Firebase Analytics nutzt die App nicht. Der Dokumentenscanner nutzt Google ML Kit, neue Versionen bietet die App über Google Play In-App Updates an (siehe Abschnitt 8). Absturz- und Fehlerberichte gehen an Sentry.
• Inhalt von Push-Benachrichtigungen: App-Benachrichtigungen unter iOS und Android können den Dokumenttitel, den Absender, Beträge und Daten enthalten, zum Beispiel eine Frist oder ein Skonto. Dieser Text läuft über den Push-Dienst von Apple oder Google. Was der Sperrbildschirm zeigt, hängt von der Plattform und deinen Geräteeinstellungen ab: iOS blendet die Vorschau von Mitteilungen bei gesperrtem Gerät standardmäßig aus, dort erscheint dann nur die App; Android zeigt den Inhalt je nach Sperrbildschirm-Einstellung deines Geräts, und Paperarchive kennzeichnet seine Benachrichtigungen dort als privat, sodass bei ausgeblendeten sensiblen Inhalten nur ein Kurztext ohne Inhalt erscheint (zum Beispiel Neues Dokument). Browser-Benachrichtigungen enthalten nur den Kurztext und werden verschlüsselt übertragen. Du kannst Benachrichtigungen je Kanal in den Einstellungen ausschalten.

10. Statistik und Analyse

• Plausible (cookielos, immer aktiv): Website und Web-App nutzen Plausible, um Besuche aggregiert zu zählen, über die eigene Domain von Paperarchive. Plausible setzt keine Cookies und speichert keine dauerhafte Kennung auf deinem Gerät; verarbeitet werden Browser, Betriebssystem, Gerätetyp und das aus deiner IP-Adresse abgeleitete Land, ohne die IP-Adresse zu speichern. Von der Website erhält Plausible den Pfad, Kampagnenparameter (utm) und den Referrer ohne Query und Fragment, aus der Web-App nur das Routenmuster (zum Beispiel /documents/:id), ohne IDs, Query, Fragment oder Referrer. Einladungslinks und andere Tokens werden aus der Adresszeile entfernt, bevor Statistikdaten gesendet werden. Paperarchive nutzt kein weiteres Analysewerkzeug.

11. Cookies und Speicher auf deinem Gerät

Paperarchive speichert folgende Informationen auf deinem Gerät. Alle sind unbedingt erforderlich für die Funktion, die du nutzt, oder für eine Einstellung, die du getroffen hast (§ 25 Abs. 2 Nr. 2 TDDDG); es gibt keine Analyse- oder Werbe-Cookies. Cookies eines früheren optionalen Analysewerkzeugs werden bei deinem nächsten Besuch gelöscht.

• i18n_redirected (Cookie, Website und App, 1 Jahr): Deine Sprache.
• sb-... (Cookies, Web-App): Deine Anmeldesitzung und, während der Anmeldung, die Seite, die du öffnen wolltest. Sie werden beim Abmelden entfernt.
• pa-last-login-method (Local Storage, Web-App): Ob du dich zuletzt mit E-Mail, Google oder Apple angemeldet hast, damit die Anmeldeseite das hervorheben kann.
• Einstellungen der Web-App (Local Storage): Ausgewählter Space, Farbschema, eingeklappte Seitenleiste und Hinweise, ausgeblendeter Sicherheitshinweis, deine letzten Suchen auf diesem Gerät, Auswahl im Onboarding und ein offener Einladungslink.
• Session Storage der Web-App: Scrollposition und Filter von Listen sowie eine Fehlermeldung nach einem Einladungslink; wird gelöscht, wenn du den Tab schließt.
• Offline-Cache der Web-App: Bis zu 50 zuletzt geöffnete Dokumentdateien für höchstens 24 Stunden, damit sie schneller öffnen; der Cache wird beim Abmelden geleert.
• Local Storage der Website: Farbschema, Kampagnenparameter deines Besuchs für das Quiz (30 Tage), dein letztes Quiz-Ergebnis und, nur wenn du einen eingibst, dein API-Schlüssel für die Testkonsole in der API-Dokumentation.

Du kannst Cookies und gespeicherte Daten jederzeit in den Einstellungen deines Browsers löschen. Ohne die unbedingt erforderlichen Einträge funktionieren Anmeldung und Einstellungen nicht.

12. Geteilte Spaces und Prüferzugang

Lädst du Personen in einen Space ein, sehen alle Mitglieder die Dokumente dieses Spaces mit ihren Angaben, Zusammenfassungen und dem Änderungsprotokoll, je nach ihrer Rolle (Inhaber, Admin, Bearbeiter, Betrachter). Mitglieder sehen Name und E-Mail-Adresse der anderen Mitglieder und wer was geändert hat. Löscht der Inhaber eines geteilten Spaces sein Konto, wandern die Dokumente, die andere Mitglieder hinzugefügt haben, in deren eigene Spaces; einen GoBD-Space mit archivierten Belegen anderer Mitglieder in der Aufbewahrungsfrist muss er vorher übergeben, und eine aktive Löschsperre in einem seiner eigenen Spaces blockiert die Löschung, bis die Sperre aufgehoben oder der Space übergeben ist. Löscht ein Mitglied sein Konto, bleiben die archivierten Belege und die Uploads unter einer Löschsperre, die es in einen GoBD-Space eines anderen Inhabers hochgeladen hat, dort und gehen mit ihren Tags, Absender und Kategorie an den Inhaber dieses Spaces über; IP-Adresse und Browser des Mitglieds werden aus ihren Einträgen im Änderungsprotokoll entfernt. Alles andere des Mitglieds wird gelöscht.

Der Inhaber eines Spaces kann externen Prüfern, zum Beispiel einer Betriebsprüferin des Finanzamts, einen befristeten Lesezugriff auf diesen Space geben, höchstens für 366 Tage. Der Prüfer sieht die Dokumente des Spaces und das Änderungsprotokoll und kann den GDPdU-Export für die Betriebsprüfung erstellen, aber nicht den Tarif oder Abrechnungsstatus des Inhabers. Exporte des Prüfers und jede Datei, die er öffnet oder herunterlädt, in der Web-App, in der iOS- und der Android-App, über die Paperarchive-API oder einen KI-Assistenten, werden im Änderungsprotokoll des Spaces mit seiner Nutzer-ID, dem Dokument, dem Zeitpunkt und dem Zugriffsweg festgehalten; alle Mitglieder, die das Änderungsprotokoll des Spaces sehen, sehen auch diese Einträge. Der Zugang endet automatisch an dem Datum, das der Inhaber festlegt.

Einladungen enthalten die E-Mail-Adresse der eingeladenen Person. Sehen können sie nur der Inhaber und die Admins des Spaces und die eingeladene Person. Sie werden 30 Tage nach Ablauf, Annahme oder Ablehnung gelöscht.

13. Übermittlungen außerhalb der EU

Deine Dokumente und die Datenbank liegen in Deutschland, Texterkennung und KI-Verarbeitung laufen in der EU. Einen Ausweg außerhalb der EU gibt es nur als abgeschalteten Notfallschalter; bevor er je genutzt würde, stünde das in dieser Datenschutzerklärung. Mehrere Dienstleister gehören zu US-Konzernen (Supabase, Amazon Web Services, Microsoft, Google, Cloudflare, Stripe, Apple und Sentry), ein Zugriff aus den USA ist daher nicht ausgeschlossen. In die USA oder andere Länder gelangen Daten insbesondere beim E-Mail-Eingang über Cloudflare, bei Push-Benachrichtigungen über Apple und Google, bei der Anmeldung mit Google oder Apple, bei Turnstile, bei Google Workspace und bei der Zahlungsabwicklung über Stripe. Diese Übermittlungen stützen sich bei zertifizierten Anbietern auf das EU-US Data Privacy Framework (Art. 45 DSGVO) und auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 DSGVO).

14. Speicherdauer

Paperarchive speichert personenbezogene Daten nur so lange, wie es für die oben genannten Zwecke nötig ist:

• Dokumente: Werden gespeichert, bis du sie löschst. Gelöschte Dokumente liegen 30 Tage im Papierkorb, wo du sie wiederherstellen kannst, und werden danach samt ihren Dateien endgültig gelöscht. In einem GoBD-Space werden Dokumente direkt nach der Verarbeitung archiviert; Dokumente mit offenem Eingabe-nötig-Hinweis erst nach deiner Prüfung, spätestens 10 Tage nach dem Hochladen. Dokumente, deren Verarbeitung fehlgeschlagen ist, werden erst nach einer ausdrücklichen Entscheidung archiviert. Bis zur Archivierung kannst du sie noch löschen, aufteilen und zusammenführen, und jeder dieser Schritte wird im Änderungsprotokoll festgehalten. Archivierte Dokumente lassen sich vor dem Ende ihrer Aufbewahrungsfrist (je nach Art des Belegs 6, 8 oder 10 Jahre) nicht löschen. Hat der Inhaber oder ein Admin eines GoBD-Spaces eine Löschsperre gesetzt (etwa weil eine Außenprüfung angekündigt oder eine Steuerfestsetzung noch offen ist, Ablaufhemmung nach § 147 Abs. 3 AO und § 171 AO), werden die erfassten Dokumente und ihre Werte im Änderungsprotokoll über die Aufbewahrungsfrist hinaus aufbewahrt; Rechtsgrundlage ist die gesetzliche Aufbewahrungspflicht des Space-Inhabers, Art. 6 Abs. 1 lit. c DSGVO.
• Original-E-Mails (.eml): Werden zusammen mit den Dokumenten aufbewahrt, die aus ihnen entstanden sind, und mit ihnen gelöscht. Original-E-Mails ohne verbleibendes Dokument werden nach 7 Tagen gelöscht.
• Kontolöschung: Löschst du dein Konto, werden deine Dokumente, ihre Dateien und deine Kontodaten sofort gelöscht, zusammen mit deinem Kundendatensatz bei Stripe und deinem Kontakt bei Brevo. Scheitert das Löschen bei Stripe oder Brevo, versucht Paperarchive es stündlich erneut; deine Daten bei Stripe und Brevo werden spätestens nach 30 Tagen gelöscht. Klappt es nach 30 Tagen noch immer nicht, lösche ich sie von Hand, und die für die Wiederholung gespeicherte E-Mail-Adresse und Kunden-ID werden gelöscht. War deine Adresse bei Brevo für Transaktions-E-Mails gesperrt, wird die Sperre kurz aufgehoben, um dir den Löschlink zu schicken, und danach wiederhergestellt; dieser Vermerk wird höchstens 7 Tage aufbewahrt. Ausnahmen: Archivierte Dokumente in deinen eigenen GoBD-Spaces, die noch in der Aufbewahrungsfrist liegen, werden erst gelöscht, nachdem du bestätigt hast, dass du die Unterlagen selbst aufbewahrst; eine aktive Löschsperre in einem deiner eigenen Spaces blockiert die Löschung, bis die Sperre aufgehoben oder der Space übergeben ist; archivierte Dokumente und Uploads unter einer Löschsperre, die du in einen GoBD-Space eines anderen Inhabers hochgeladen hast, bleiben dort und gehen mit ihren Tags, Absender und Kategorie an den Inhaber dieses Spaces über, und deine IP-Adresse und dein Browser werden aus ihren Einträgen im Änderungsprotokoll entfernt; das Änderungsprotokoll bleibt wie unten beschrieben; Server-Logs werden spätestens nach 30 Tagen gelöscht; Datenbank-Backups werden nach 7 Tagen überschrieben; Fehlerberichte bei Sentry bleiben pseudonym bis zum Ende der Aufbewahrungsfrist von Sentry; Rechnungen und Zahlungsbelege bleiben bei Stripe und in meiner Buchhaltung, solange das Gesetz es verlangt.
• Änderungsprotokoll (Audit-Log): Das Änderungsprotokoll hält bei jeder Änderung fest, was geändert wurde, wann und von wem. In GoBD-Spaces bewahrt es außerdem alte und neue Werte einer Änderung auf, solange die Dokumente aufbewahrt werden müssen (6, 8 oder 10 Jahre); außerhalb von GoBD-Spaces hält es nur fest, welche Felder sich geändert haben, nicht ihren Inhalt. Die Werte werden nur nach festen Löschregeln gelöscht: wenn ein Dokument nach seiner Aufbewahrungsfrist endgültig gelöscht wird, wenn seine Aufbewahrungsfrist abgelaufen ist und wenn du dein Konto löschst; eine aktive Löschsperre hält sie fest. Wird ein nie archiviertes Dokument aus einem GoBD-Space gelöscht, bleiben seine Werte bis zum Ende des Jahres seiner Erfassung plus 10 Jahre erhalten. Werte ohne Dokument werden nach 10 Jahren gelöscht. Die Einträge selbst bleiben ohne Werte erhalten, nach einer Kontolöschung ohne Bezug zu deiner Person; bei Einträgen, die bei einem Space-Inhaber bleiben, werden nur deine IP-Adresse und dein Browser entfernt.
• Suchverlauf: Deine Suchanfragen, Fragen und KI-Antworten werden nach 30 Tagen gelöscht; Statistiken über Suchen bleiben ohne den Suchtext erhalten und werden nach 365 Tagen gelöscht. Bewertest du eine Antwort als nicht hilfreich, behält Paperarchive eine kurze Korrekturnotiz (Frage und deine Rückmeldung) für 30 Tage, um spätere Antworten zu verbessern. Bewertest du eine Antwort als hilfreich, behält Paperarchive Frage und Antwort als Erinnerung für spätere Suchen, bis du dein Konto löschst oder mich bittest, sie zu löschen.
• Server-Logs und Anmelde-Logs: Die Prozess-Logs von API, Web-App und Website rotieren täglich und werden nach 30 Tagen gelöscht; sie enthalten keine Dokumentinhalte, Namen, E-Mail-Adressen, Dateinamen, Betreffzeilen oder Suchanfragen. Das Audit-Log des Anmeldedienstes wird gelöscht, wenn du dein Konto löschst, und sonst nach 90 Tagen. Um Registrierungen pro Adresse zu begrenzen, wird ein Hash der E-Mail-Adresse 24 Stunden aufbewahrt. Scheitert die Verarbeitung eines Dokuments wiederholt, hält eine interne Fehlerwarteschlange nur technische Kennungen fest (Dokument-, Nutzer- und Job-ID, Fehlercode und Zeitpunkte), keine Dateinamen, Inhalte oder Fehlertexte; ihre Einträge werden nach 14 Tagen gelöscht, Einträge eines gelöschten Kontos spätestens nach sechs Stunden. Der Verarbeitungsauftrag eines solchen Dokuments verliert den erkannten Text, sobald er endgültig gescheitert ist, und wird nach 24 Stunden aus der Warteschlange gelöscht.
• Benachrichtigungen und Einladungen: Benachrichtigungen in der App werden 90 Tage nach dem Lesen oder Ablauf gelöscht; Benachrichtigungen, die du nie gelesen hast und die kein Ablaufdatum haben, nach 12 Monaten. Einladungen werden 30 Tage nach Ablauf, Annahme oder Ablehnung gelöscht. Abgelaufene Prüferzugänge werden nach einem Jahr gelöscht. Vermerke über E-Mails, die dein E-Mail-Eingang abgewiesen hat (Absender nicht erlaubt), werden nach 90 Tagen gelöscht. Push-Tokens von Geräten, auf denen sich die App 90 Tage nicht gemeldet hat, werden gelöscht.
• Datenexporte: Du kannst bis zu 3 Exporte in 24 Stunden anfordern. Die E-Mail sagt dir nur, dass dein Export bereit ist, und enthält keinen Link; du lädst ihn nach der Anmeldung in der App herunter, über einen Link, der 10 Minuten gilt. Die Export-Dateien werden 48 Stunden nach dem Erstellen gelöscht; übrig gebliebene Dateien löscht ein täglicher Datenbank-Job. Der Vermerk über eine Export-Anfrage (Zeitpunkt und Status, ohne Dateien) wird 90 Tage nach dem Löschen ihrer Dateien gelöscht.
• Rechnungen und Zahlungsbelege: Werden so lange aufbewahrt, wie das deutsche Handels- und Steuerrecht es verlangt (§ 147 AO, § 257 HGB): 8 Jahre für Rechnungen und andere Buchungsbelege.
• KI-Nutzungsdaten: Aufzeichnungen über die KI-Nutzung (Modell, Tokens, Kosten) werden zusammen mit ihrem Dokument gelöscht; Aufzeichnungen ohne Dokument, zum Beispiel von Suchen, nach 12 Monaten.
• Newsletter und Quiz: Dein Newsletter-Abo bleibt gespeichert, bis du dich abmeldest oder deine Einwilligung widerrufst. Die E-Mail mit dem Quiz-Ergebnis wird verschickt, weil du sie anforderst; sie meldet dich nicht für den Newsletter an. Gibst du im Quiz deine Einwilligung für Marketing-E-Mails, bittet Paperarchive dich, sie per E-Mail zu bestätigen (Double Opt-in). Nicht bestätigte Einwilligungen und Quiz-Ergebnisse ohne Einwilligung werden nach 90 Tagen gelöscht. Quiz-Ergebnisse mit bestätigter Einwilligung werden 24 Monate nach deiner letzten Interaktion (deinem letzten Quiz oder deiner letzten Bestätigung) gelöscht, und sofort, wenn du dich abmeldest oder deine Einwilligung widerrufst, wenn E-Mails an deine Adresse dauerhaft unzustellbar sind oder wenn du eine E-Mail als Spam meldest. Einträge auf der Warteliste werden ein Jahr nach der Einladung oder Ablehnung gelöscht, Einträge ohne Einladung zwei Jahre nach der Anmeldung.
• Support-E-Mails: Werden so lange aufbewahrt, wie es für deine Anfrage und mögliche Rückfragen nötig ist.
• Backups: Datenbank-Backups werden 7 Tage aufbewahrt und dann überschrieben.

15. Datensicherheit

Paperarchive schützt deine Daten mit technischen und organisatorischen Maßnahmen, darunter: Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand durch die Hosting-Anbieter (AES-256); Passwörter nur als Hash; optionale Zwei-Faktor-Authentifizierung; Zugriffsregeln auf Zeilenebene in der Datenbank; privater Dateispeicher mit kurzlebigen Download-Links; Malware-Scan der Uploads; Überwachung; und Hosting in ISO-27001-zertifizierten Rechenzentren in Deutschland. Dokumentinhalte sind nicht Ende-zu-Ende verschlüsselt, weil Texterkennung, KI-Analyse und Suche sie lesen müssen.

16. Deine Rechte

Du hast folgende Rechte in Bezug auf deine personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO): Du kannst eine Kopie deiner personenbezogenen Daten und Informationen über ihre Verarbeitung verlangen. In der App kannst du die personenbezogenen Daten, die in deinem Konto gespeichert sind, selbst als ZIP-Archiv herunterladen: deine Dokumente, Original-E-Mails, den erkannten Text, die daraus abgeleiteten Daten, gelernte Muster, deinen Anmeldeverlauf, Einladungen, die KI-Nutzung, Einträge unter deiner E-Mail-Adresse (Warteliste, Quiz), das Änderungsprotokoll deines Kontos, eine Beschreibung der Verarbeitung und eine Liste, was nicht enthalten ist und wie du es bekommst (zum Beispiel Rechnungen bei Stripe). Die E-Mail sagt dir nur, dass der Export bereit ist; du lädst ihn nach der Anmeldung in der App über einen kurzlebigen Link herunter.
• Berichtigung (Art. 16 DSGVO): Du kannst unrichtige Daten berichtigen lassen, die meisten direkt in der App.
• Löschung (Art. 17 DSGVO): Du kannst Dokumente und dein Konto jederzeit löschen; die Ausnahmen stehen unter Speicherdauer.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Du kannst verlangen, dass ich die Verarbeitung deiner Daten einschränke.
• Datenübertragbarkeit (Art. 20 DSGVO): Du erhältst deine Daten in einem strukturierten, maschinenlesbaren Format (ZIP-Archiv mit Dateien und JSON-Daten).
• Widerspruch (Art. 21 DSGVO): Siehe Dein Widerspruchsrecht am Anfang dieser Erklärung.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Du kannst eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der Verarbeitung bis zum Widerruf berührt wird.
• Beschwerde (Art. 77 DSGVO): Du kannst dich bei einer Aufsichtsbehörde beschweren. Für Paperarchive zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

Um deine Rechte auszuüben, schreib an [email protected]. Ich antworte innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

17. Musst du deine Daten angeben?

Du bist gesetzlich nicht verpflichtet, personenbezogene Daten anzugeben. Ohne E-Mail-Adresse und ohne die Dokumente, die du hochlädst, kann Paperarchive den Dienst aber nicht erbringen. Einwilligungsbasierte Funktionen (Newsletter) sind freiwillig.

18. Kinder

Paperarchive richtet sich an Erwachsene: Für ein Konto musst du mindestens 18 Jahre alt sein. Ich erhebe wissentlich keine personenbezogenen Daten von Personen unter 18 Jahren. Wenn du Elternteil oder Erziehungsberechtigter bist und glaubst, dass dein Kind personenbezogene Daten angegeben hat, kontaktiere mich bitte, damit ich sie löschen kann.

19. Änderungen dieser Datenschutzerklärung

Ich passe diese Datenschutzerklärung an, wenn sich Paperarchive, seine Dienstleister oder die rechtlichen Anforderungen ändern. Die aktuelle Fassung steht immer mit Datum auf dieser Seite; über wesentliche Änderungen informiere ich Kunden per E-Mail.