Datenschutzerklärung

1. Verantwortlicher

KRUPKA Concept GmbH, Grabenstraße 18, 40789 Monheim am Rhein. E-Mail für Datenschutzanfragen: office@krupkagmbh.com.

2. Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten, um BOB bereitzustellen und unsere Verträge mit dir zu erfüllen — Konto, Projekte, Belege, Käufe, Erinnerungen und die zugehörigen Bestätigungen (Art. 6 Abs. 1 lit. b DSGVO). Wo uns ein Gesetz zur Verarbeitung verpflichtet, ist Art. 6 Abs. 1 lit. c DSGVO die Grundlage: bei der Vertragsbestätigung nach einem Kauf (§ 312f BGB), bei der Bestätigung einer Kündigung (§ 312k BGB) oder eines Widerrufs (§ 356a BGB) und bei der Aufbewahrung von Rechnungsunterlagen (§ 147 AO, § 257 HGB). Auf unsere berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) stützen wir die Sicherheit des Dienstes, die Abwehr von Missbrauch, die Fehlerbehebung, den Nachweis abgegebener Erklärungen (Abschnitt 8) und die Hinweise zum Ende deiner Testphase (Abschnitt 6). Was wir nur mit deiner Einwilligung tun (Art. 6 Abs. 1 lit. a DSGVO), steht in Abschnitt 9.

Es findet kein Verkauf von Daten statt; Belege werden nicht zu Werbezwecken ausgewertet.

Musst du uns Daten geben? Für ein Konto brauchen wir deine E-Mail-Adresse, für einen Kauf außerdem die Zahlungsangaben, die unser Zahlungsdienstleister abfragt (Abschnitt 5); ohne sie können wir keinen Vertrag mit dir schließen. Für eine Kündigung oder einen Widerruf über unsere Website brauchen wir die Angaben, mit denen wir dich und den Vertrag zuordnen können (Abschnitt 8). Alles Weitere — etwa Projektinhalte und Belege — gibst du freiwillig an; fehlt es, kann BOB die jeweilige Funktion nicht ausführen. Gesetzlich verpflichtet, uns Daten bereitzustellen, bist du nicht.

3. Hosting und Speicherung

Projekt- und Belegdaten werden bei Supabase (Supabase Inc.) in der Region Frankfurt am Main (AWS eu-central-1) gespeichert, verschlüsselt bei Übertragung (TLS) und Speicherung.

Website und Anwendung betreibt in unserem Auftrag die Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Die Server-Funktionen der Anwendung — etwa Anmeldung, Beleg-Verarbeitung, Export, Kauf, Kündigung und Widerruf — laufen in Vercels Rechenzentrumsregion Frankfurt am Main (fra1). Inhalte, die für alle gleich sind, und die vorgeschaltete Prüfung, ob du angemeldet bist, laufen dagegen über Vercels weltweites Netz von Rechenzentren — je nach deinem Standort auch außerhalb der EU. Dabei verarbeitet Vercel insbesondere deine IP-Adresse, die aufgerufenen Adressen und deine Sitzungsdaten.

Übermittlung in Drittländer: Weil Vercel seinen Sitz in den USA hat, können Daten auch dort verarbeitet oder von dort aus abgerufen werden. Vercel ist nach eigenen Angaben nach dem EU-U.S. Data Privacy Framework zertifiziert; für so zertifizierte Unternehmen besteht ein Angemessenheitsbeschluss der EU-Kommission (Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO). Zusätzlich sieht Vercels Auftragsverarbeitungsvertrag (Data Processing Addendum) die Standardvertragsklauseln der EU-Kommission vor (Art. 46 Abs. 2 lit. c DSGVO). Vercel veröffentlicht ihn unter https://vercel.com/legal/dpa; eine Kopie schicken wir dir auf Anfrage an office@krupkagmbh.com.

Mit Supabase und Vercel bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

4. Beleg-Erkennung

Nutzt du die automatische Beleg-Erkennung, wird das hochgeladene Dokument zur Auswertung (Betrag, Anbieter, Positionen) an unseren Auftragsverarbeiter Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland, übermittelt, der dafür das KI-Modell Claude einsetzt; eine Nutzung zu Trainingszwecken findet nicht statt. Die Erkennung ist optional — jeder Beleg lässt sich auch vollständig manuell erfassen, und ohne Nutzung verlässt kein Dokument die genannte Speicherinfrastruktur.

Übermittlung in Drittländer: Anthropic speichert die Daten in den USA. Verarbeitet werden können sie nach Angaben von Anthropic außerdem in ausgewählten Ländern in Europa, Asien und Australien sowie — für Sicherheitsprüfungen, Support und die Behandlung von Störungen — in weiteren Ländern, in denen Anthropic oder mit Anthropic verbundene Unternehmen tätig sind. Für Übermittlungen in Länder ohne Angemessenheitsbeschluss der EU-Kommission sieht unser Auftragsverarbeitungsvertrag mit Anthropic (Data Processing Addendum) die Standardvertragsklauseln der EU-Kommission vor (Durchführungsbeschluss (EU) 2021/914) — geeignete Garantien nach Art. 46 Abs. 2 lit. c DSGVO. Seine Unterauftragsverarbeiter verpflichtet Anthropic vertraglich auf Datenschutzpflichten, die im Wesentlichen ebenso schützen. Den Vertrag, der die Klauseln einbezieht, veröffentlicht Anthropic unter https://www.anthropic.com/legal/data-processing-addendum; eine Kopie schicken wir dir auf Anfrage an office@krupkagmbh.com.

5. Zahlungsabwicklung

Kaufst du einen Plan oder ein Paket, wickelt die Stripe Payments Europe, Limited (Irland) die Zahlung ab. Wir übermitteln ihr dafür deine E-Mail-Adresse, die Kennung deines BOB-Kontos, das gekaufte Produkt und gegebenenfalls die Kennung des Projekts, für das du kaufst, außerdem Sprache, AGB-Fassung und den Zeitpunkt deiner Erklärung zum sofortigen Leistungsbeginn. Deine Zahlungsangaben und die Rechnungsadresse, die Stripe für die Berechnung der Umsatzsteuer abfragt, gibst du direkt bei Stripe ein; vollständige Kartendaten erhalten wir nicht. Je nach Zahlungsart erhalten außerdem die beteiligten Zahlungsdienste die nötigen Daten, etwa die Bank, die deine Karte ausgegeben hat.

Rechtsgrundlage ist die Erfüllung des Kaufvertrags (Art. 6 Abs. 1 lit. b DSGVO); die Rechnungsunterlagen bewahren wir auf, weil das Gesetz es verlangt (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB). Für die Abwicklung der Zahlung handelt Stripe in unserem Auftrag. Für eigene Zwecke — insbesondere die Betrugsprävention und eigene gesetzliche Pflichten — ist Stripe selbst verantwortlich und informiert darüber unter https://stripe.com/de/privacy.

Übermittlung in Drittländer: Stripe kann Daten an verbundene Unternehmen in den USA übermitteln. Stripe hält sich nach eigenen Angaben an das EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission, Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO) und nutzt außerdem die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Sie stehen in Stripes Zusatz für Datenübertragungen unter https://stripe.com/de/legal/dta.

6. E-Mail-Versand

E-Mails an dich verschicken wir über den Mailserver der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland, die dafür in unserem Auftrag tätig ist (Art. 28 DSGVO). Auch unser eigenes Postfach liegt dort. Darüber laufen:

• Anmeldelinks und Anmeldecodes,
• die Vertragsbestätigung nach einem Kauf (§ 312f BGB),
• Eingangsbestätigungen für Kündigungen und Widerrufe (§§ 312k, 356a BGB),
• tägliche Erinnerungen zu deinen Projekten, etwa zu fälligen Rechnungen oder endenden Gewährleistungsfristen, und
• Hinweise zum Ende deiner Testphase — drei Tage vorher und am Tag danach — mit einem Link zu unseren Preisen.

Verarbeitet werden deine E-Mail-Adresse und der Inhalt der jeweiligen Mail: etwa Produkt, Preis und Vorgangsnummer, bei Kündigung und Widerruf deine Angaben aus dem Formular, bei Erinnerungen der Projektname und die Art der Erinnerung. Von Vertragsbestätigungen, Kündigungen und Widerrufen geht eine Kopie an unser Postfach.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), für die gesetzlich vorgeschriebenen Bestätigungen zusätzlich unsere Pflicht nach Art. 6 Abs. 1 lit. c DSGVO. Die Hinweise zum Ende der Testphase schicken wir auf Grundlage unseres berechtigten Interesses, dich über unsere kostenpflichtigen Pläne zu informieren (Art. 6 Abs. 1 lit. f DSGVO); dem kannst du jederzeit widersprechen (Abschnitt 11).

7. Push-Benachrichtigungen der App

Erlaubst du der BOB-App auf deinem Smartphone Benachrichtigungen, meldet sie dein Gerät beim Push-Dienst Expo der 650 Industries, Inc., 624 University Ave FL1, Palo Alto, CA 94301, USA, an und erhält dafür eine Push-Adresse (Expo-Push-Token). Die speichern wir zusammen mit deinem Konto und der Plattform (iOS oder Android). Über diese Adresse schicken wir dir Erinnerungen zu deinen Projekten. Expo leitet sie an den Benachrichtigungsdienst von Apple (Apple Push Notification Service) oder Google (Firebase Cloud Messaging) weiter, der sie auf dein Gerät zustellt. Die Nachricht enthält nur den Absender „BOB“ und die Zahl neuer Erinnerungen — keine Projektnamen, keine Beträge.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), denn die Erinnerungen gehören zu BOB. Abschalten kannst du die Benachrichtigungen jederzeit in den Einstellungen deines Geräts. Die Push-Adresse löschen wir mit deinem Konto.

Übermittlung in Drittländer: Expo sitzt in den USA. Expo ist nach eigenen Angaben nach dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO); daneben verweisen Expos Nutzungsbedingungen auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie schicken wir dir auf Anfrage an office@krupkagmbh.com.

8. Kündigung und Widerruf über unsere Website

Kündigst du über „Verträge hier kündigen“ oder widerrufst du über „Vertrag widerrufen“, speichern wir deine Angaben aus dem Formular — bei einer Kündigung die Art der Kündigung und gegebenenfalls den Grund, den Vertrag, Vor- und Nachname, E-Mail-Adresse, gegebenenfalls deine Kundennummer und den gewünschten Zeitpunkt; bei einem Widerruf Name, Vertrag, gegebenenfalls die Vorgangsnummer und E-Mail-Adresse. Dazu kommen Datum und Uhrzeit des Eingangs und der Wortlaut der Bestätigung, die wir dir schicken. Gehört die E-Mail-Adresse zu einem BOB-Konto, ordnen wir die Erklärung diesem Konto zu.

Rechtsgrundlage ist unsere gesetzliche Pflicht, die Erklärung entgegenzunehmen und ihren Eingang zu bestätigen (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 312k bzw. § 356a BGB), und unser berechtigtes Interesse, Eingang und Inhalt später nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO). Weil die Angaben diesen Nachweis tragen, bleiben sie auch erhalten, wenn du dein Konto löschst. Wir löschen sie, sobald Ansprüche aus dem betroffenen Vertrag verjährt sind und keine gesetzliche Aufbewahrungspflicht mehr besteht.

9. Einwilligung, Cookies und Reichweitenmessung

Technisch notwendige Funktionen — insbesondere die Anmeldung und die Sicherheit der Sitzung — setzen wir auf Grundlage von § 25 Abs. 2 TDDDG ohne Einwilligung ein; ohne sie ist der Dienst nicht nutzbar.

Alles darüber hinaus (Statistik, Marketing) laden wir erst, wenn du im Einwilligungsbanner zustimmst (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Vor deiner Entscheidung wird kein entsprechender Dienst geladen. Deine Wahl speichern wir lokal in deinem Browser und kannst du jederzeit über den Link „Cookie-Einstellungen" in der Fußzeile ändern oder widerrufen; der Widerruf wirkt für die Zukunft.

Setzen wir eine Reichweitenmessung ein, erfolgt diese cookielos und ohne geräteübergreifende Wiedererkennung. Zum jetzigen Zeitpunkt ist kein Statistik- oder Marketing-Dienst aktiviert; sobald sich das ändert, benennen wir hier Anbieter, Zweck und Speicherdauer, bevor der Dienst eingesetzt wird.

10. E-Mail-Eingang

Der E-Mail-Posteingang für Belege ist derzeit nicht aktiv. Sobald er bereitsteht, verarbeitet ein E-Mail-Dienstleister die an deine Projektadresse gesendeten Nachrichten zur Zustellung in deinen Posteingang; diese Erklärung wird dann um Anbieter und Rechtsgrundlage ergänzt.

11. Dein Widerspruchsrecht

12. Deine weiteren Rechte

• Auskunft, Berichtigung, Löschung, Einschränkung (Art. 15–18 DSGVO)
• Datenübertragbarkeit (Art. 20) — in BOB direkt als Export verfügbar
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

13. Speicherdauer und Löschung

Konto, Projekte und einzelne Belege kannst du jederzeit selbst löschen. Die Löschung wirkt sofort: Projekte, Belege und die zugehörigen Dateien werden unmittelbar entfernt, das Nutzerkonto wird gelöscht. Wird eine Löschung technisch unterbrochen, schließt ein täglicher Lauf sie automatisch ab. Projekte mit weiteren Eigentümern bleiben diesen erhalten — dort endet nur deine Mitgliedschaft. Ausgenommen sind Daten, für die gesetzliche Aufbewahrungspflichten bestehen (insbesondere Rechnungsbelege nach § 147 AO und § 257 HGB); diese werden gesperrt und nach Ablauf der Fristen gelöscht. Ebenfalls ausgenommen sind Kündigungs- und Widerrufserklärungen (Abschnitt 8).