Datenschutz – WerkFlow

2. Allgemeines zur Datenverarbeitung

WerkFlow ist eine App für Handwerksbetriebe zur Erstellung von Angeboten und Rechnungen (einschließlich E-Rechnungen) sowie von Kostenvoranschlägen, zur Kundenverwaltung und zur Verwaltung von Materiallisten. Bei der Nutzung der App werden personenbezogene Daten verarbeitet. Personenbezogene Daten sind alle Daten, die auf Sie persönlich beziehbar sind, z. B. Name, Adresse, E-Mail-Adresse oder Nutzerverhalten.

Wir verarbeiten Ihre Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen App sowie unserer Inhalte und Leistungen erforderlich ist, oder soweit Sie eingewilligt haben.

3. Welche Daten wir verarbeiten

3.1 Konto- und Authentifizierungsdaten

Bei der Registrierung erheben wir:

• E-Mail-Adresse
• Passwort (verschlüsselt gespeichert, für uns nicht einsehbar)
• Zeitpunkt der Registrierung, Login-Historie, Session-Token

An Ihre E-Mail-Adresse senden wir ausschließlich Konto-E-Mails: die Bestätigung bei der Registrierung und den Link zum Zurücksetzen des Passworts (Versand über Resend, siehe Ziff. 4.5).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Bereitstellung des Nutzerkontos)

3.2 Firmenprofildaten

Zur Erstellung von Angeboten, Kostenvoranschlägen, Rechnungen und PDFs erheben und speichern wir die von Ihnen eingegebenen Angaben zu Ihrem Betrieb:

• Firmenname, Rechtsform
• Anschrift (Straße, PLZ, Ort)
• Steuernummer / Umsatzsteuer-ID
• Telefonnummer, Firmen-E-Mail, Website
• Ansprechpartner, Geschäftsführer
• Sitz der Gesellschaft, Registergericht, Handelsregisternummer
• Firmenlogo (Bilddatei)
• Name und Position der unterschriftsberechtigten Person
• Digitale Unterschrift (als Bilddatei)
• Wenn Sie den DATEV-Export nutzen: Kontenrahmen, Berater- und Mandantennummer bei Ihrem Steuerberater, Debitoren- und Erlöskonten

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung, soweit Pflichtangaben für Rechnungen/Angebote nach § 14 UStG erforderlich sind)

3.3 Bankverbindung (besonders sensible Finanzdaten)

Zur Angabe auf Ihren Angeboten und Rechnungen können Sie folgende Daten hinterlegen:

• Bankname
• IBAN
• BIC

Diese Daten werden ausschließlich zum Zweck der Anzeige auf Ihren eigenen Angeboten und Rechnungen gespeichert. Auf Rechnungen stehen sie zusätzlich als Zahlungsangabe in der eingebetteten E-Rechnung (ZUGFeRD bzw. XRechnung). Sie werden nicht zur Zahlungsabwicklung innerhalb der App genutzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

3.4 Kundendaten

Wenn Sie Kunden in der App anlegen, verarbeiten wir die von Ihnen eingegebenen Daten Ihrer Endkunden:

• Vor- und Nachname, ggf. Firma
• Anschrift (Straße, Hausnummer, PLZ, Ort, Land)
• Telefonnummer (optional)
• E-Mail-Adresse (optional)
• Kundennummer
• Umsatzsteuer-Identifikationsnummer (optional; erforderlich, wenn die Steuerschuldnerschaft des Leistungsempfängers nach § 13b UStG greift)
• Kennzeichnung als Privat- oder Geschäftskunde (steuert die gesetzlich vorgeschriebenen Hinweise auf der Rechnung)
• Leitweg-ID (optional; nur bei öffentlichen Auftraggebern. Die Behörde teilt sie mit, damit die Rechnung auf ihrer Eingangsplattform der richtigen Stelle zugeordnet wird.)

Hinweis: Sie als Nutzer sind hinsichtlich der Daten Ihrer Kunden datenschutzrechtlich selbst Verantwortlicher (Art. 4 Nr. 7 DSGVO). Wir verarbeiten diese Daten in Ihrem Auftrag als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Ein entsprechender Auftragsverarbeitungsvertrag (AVV) kann auf Anfrage bereitgestellt werden.

Rechtsgrundlage (aus Ihrer Sicht als Nutzer): Art. 6 Abs. 1 lit. b oder f DSGVO, je nach Kundenbeziehung

3.5 Angebots-, Kostenvoranschlags-, Rechnungs- und Materialdaten

Ein Kostenvoranschlag ist eine unverbindliche Kostenschätzung. Er entsteht wie ein Angebot und liegt im selben Archiv. Aus ihm lässt sich ein Angebot erstellen oder, nach der Auftragsbestätigung, direkt eine Rechnung. Rechnungen lassen sich in der App aus einem angenommenen Angebot, aus einem beauftragten Kostenvoranschlag oder ohne vorheriges Angebot erstellen. Verarbeitet werden dabei:

• Angebotsnummer bzw. Nummer des Kostenvoranschlags (KV-Jahr-Nummer, bei einer neuen Fassung mit angehängter Fassungsnummer, z. B. KV-2026-0001-2), Datum, Betreff, bei Angeboten die Gültigkeitsdauer
• Positionen, Mengen, Einzelpreise, Gesamtsummen, MwSt.
• Zahlungsbedingungen, Liefer-/Leistungszeit
• Status (Entwurf, versendet, angenommen, abgelehnt, durch neue Version bzw. Fassung ersetzt)
• Bei einem Angebot, das aus einem Kostenvoranschlag entstand: der Verweis auf diesen Kostenvoranschlag, damit die Belegkette vom Kostenvoranschlag bis zur Rechnung lückenlos bleibt
• Bei versendeten Angeboten und Kostenvoranschlägen: Versandzeitpunkt, das versendete PDF so, wie Ihr Kunde es erhalten hat, und dessen Prüfsumme (SHA-256)
• Bei angenommenen Angeboten und beauftragten Kostenvoranschlägen die Auftragsbestätigung: fortlaufende Nummer, Tag und Art der Annahme (mündlich, E-Mail, Brief oder Unterschrift), voraussichtlicher Beginn, Ihr Vermerk; bei Privatkunden außerdem, wo der Auftrag zustande kam, ob ein Widerrufsrecht besteht und ob der Kunde den Beginn vor Ablauf der Widerrufsfrist verlangt hat; bei Annahme per Unterschrift Name und Unterschrift des Kunden als Bilddatei; das PDF der Auftragsbestätigung mit Prüfsumme (SHA-256)
• Materialliste mit Bezeichnungen, Preisen, Einheiten
• Bei Rechnungen zusätzlich die Angaben nach § 14 UStG: fortlaufende Rechnungsnummer, Rechnungsart (Rechnung, Abschlags-, Schluss- oder Stornorechnung) und Rechnungsdatum
• Leistungsdatum bzw. Leistungszeitraum, Fälligkeit und Zahlungsziel
• Aufteilung in Lohn- und Materialanteil (§ 35a EStG) sowie die Kennzeichen für § 13b, § 14b und § 19 UStG
• Eine eingefrorene Kopie der Kundendaten zum Zeitpunkt der Rechnung. Zieht der Kunde später um, muss die archivierte Rechnung weiterhin die damals gültige Anschrift zeigen.
• Das erzeugte PDF mit seiner Prüfsumme (SHA-256) sowie die darin eingebettete E-Rechnung im Format ZUGFeRD 2.3 / Factur-X (Profil EN 16931). Diese XML-Datei enthält dieselben Rechnungsangaben nochmals in maschinenlesbarer Form, damit die Buchhaltung Ihres Kunden sie automatisch einlesen kann.
• Bei Rechnungen an öffentliche Auftraggeber entsteht dieselbe Datei stattdessen im Format XRechnung 3.0. Sie enthält zusätzlich die Leitweg-ID sowie einen Ansprechpartner Ihres Betriebs mit Telefonnummer und E-Mail-Adresse, weil die Rechnungseingangsplattform der Behörde diese Angaben verlangt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), für die Pflichtangaben zusätzlich Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung nach § 14 UStG).

Unveränderbarkeit: Eine versendete Rechnung lässt sich in der App weder ändern noch vor Ablauf der Aufbewahrungsfrist löschen (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form, GoBD). Eine Korrektur ist nur über eine Stornorechnung möglich, die auf die ursprüngliche Rechnung verweist. Dasselbe gilt für versendete Angebote: Eine Änderung legt eine neue Version mit neuer Angebotsnummer an, die alte Version bleibt erhalten. Bei einem Kostenvoranschlag trägt die geänderte Fassung die Nummer des ursprünglichen mit angehängter Fassungsnummer (KV-2026-0001-2); die ältere Fassung bleibt unverändert erhalten und gilt als ersetzt. Ist sie bereits beauftragt, bleibt sie als angenommen bestehen.

Aufbewahrungspflichten

Die gesetzlichen Aufbewahrungspflichten für Ihre Geschäftsunterlagen treffen Sie als Unternehmer. Es gelten insbesondere:

• Rechnungen, Abschlags-, Schluss- und Stornorechnungen einschließlich der eingebetteten E-Rechnung (XML) sowie Angebote und Kostenvoranschläge, aus denen ein Auftrag hervorgegangen ist: 8 Jahre (§ 147 Abs. 1 Nr. 4, Abs. 3 AO, § 257 Abs. 1 Nr. 4, Abs. 4 HGB, § 14b UStG)
• Angebote und Kostenvoranschläge ohne anschließenden Auftrag: 6 Jahre (§ 147 Abs. 1 Nr. 2, 3, Abs. 3 AO, § 257 Abs. 1 Nr. 2, 3, Abs. 4 HGB)
• Zur Einordnung, nicht in WerkFlow geführt: Eingangsrechnungen und sonstige Buchungsbelege 8 Jahre (§ 147 Abs. 1 Nr. 4, Abs. 3 AO, § 14b Abs. 1 UStG); Bücher, Inventare und Jahresabschlüsse 10 Jahre (§ 147 Abs. 1 Nr. 1, Abs. 3 AO, § 257 Abs. 1 Nr. 1, Abs. 4 HGB)

Die Frist beginnt nicht mit dem Tag der Erstellung, sondern mit dem Ende des Kalenderjahres, in dem das Dokument entstanden ist (§ 147 Abs. 4 AO, § 257 Abs. 5 HGB). Beispiel: Eine Rechnung vom 15.05.2026 ist bis zum 31.12.2034 aufzubewahren, ein Angebot ohne Auftrag vom selben Tag bis zum 31.12.2032. Die Frist verlängert sich, solange die Unterlagen für eine noch nicht abgeschlossene Steuerfestsetzung von Bedeutung sind (§ 147 Abs. 3 Satz 5 AO).

Die 8 Jahre gelten unabhängig davon, ob eine Rechnung auf Papier, als PDF, als ZUGFeRD- oder als XRechnung vorliegt (§ 14b Abs. 1 UStG). Bei E-Rechnungen ist der strukturierte XML-Teil maßgeblich und muss in seiner ursprünglichen Form unverändert erhalten bleiben: bei ZUGFeRD die im PDF eingebettete XML-Datei, bei XRechnung die XML-Datei selbst. Ein daraus erzeugtes PDF ist nur eine Ansicht. WerkFlow speichert deshalb PDF und E-Rechnung zusammen und unverändert.

Speicherung und Löschung durch uns

Wir speichern Ihre versendeten Angebote, Kostenvoranschläge und Rechnungen einschließlich PDF und E-Rechnung bis zum Ende der Aufbewahrungsfrist. Vorher lassen sie sich nicht löschen, auch nicht von Ihnen, damit Ihre Aufbewahrungspflicht erfüllt bleibt. Entwürfe können Sie jederzeit löschen.

Nach Ablauf der Frist löschen wir die Belege automatisch, weil wir personenbezogene Daten nicht länger speichern dürfen, als es erforderlich ist (Art. 5 Abs. 1 lit. e, Art. 17 Abs. 1 lit. a DSGVO):

• Ab dem 1. Oktober des letzten Aufbewahrungsjahres zeigen wir Ihnen in der App an, welche Belege betroffen sind, und bieten sie zum Herunterladen an (Ziff. 7). Eine E-Mail senden wir dazu nicht.
• Am 31. März des folgenden Jahres löschen wir Datensatz, PDF und E-Rechnung dieser Belege, auch wenn Sie die App in der Zwischenzeit nicht geöffnet haben.
• Brauchen Sie Belege länger, etwa weil eine Außenprüfung, ein Einspruch oder ein anderes Verfahren läuft (§ 147 Abs. 3 Satz 5 AO), können Sie die Aufbewahrung in der App um jeweils ein Jahr verlängern.
• Zwischen Fristende und Löschtermin können Sie Belege auch selbst in der App löschen.

Beispiel: Eine Rechnung vom 15.05.2026 ist bis zum 31.12.2034 aufzubewahren. Ab dem 01.10.2034 weist die App auf die Löschung hin, gelöscht wird am 31.03.2035.

Wenn Sie Ihr Konto löschen, werden alle Daten einschließlich der Angebote und Rechnungen sofort und endgültig gelöscht, auch wenn die Aufbewahrungsfrist noch läuft. Die App bietet Ihnen deshalb vorher an, das Archiv aller Jahre herunterzuladen (Ziff. 7).

3.6 Fotos und Sprachaufnahmen (KI-Analyse)

Um Ihnen die automatische Erstellung von Angeboten und Kostenvoranschlägen per KI zu ermöglichen, können Sie:

• Fotos von Baustellen über die Gerätekamera aufnehmen oder aus der Galerie wählen
• Sprachnotizen über das Mikrofon aufzeichnen
• Fotos von handschriftlichen oder gedruckten Materiallisten hochladen

Diese Inhalte werden nur nach Ihrer ausdrücklichen Einwilligung (Zustimmungsdialog in der App) über eine gesicherte Verbindung an unsere Server (Supabase, siehe Ziff. 4.1) übermittelt und von dort zur automatisierten Analyse an einen KI-Dienst weitergeleitet.

Primärer KI-Dienst: Google Gemini (kostenpflichtiger Tarif mit aktivierter Abrechnung) verarbeitet standardmäßig Fotos, Sprachaufnahmen und Textbeschreibungen für die Erstellung von Angeboten und Kostenvoranschlägen, Fotos von Materiallisten sowie Leistungsbeschreibungen, aus denen für eine Rechnung ohne Angebot Positionen und ein Leistungstext entstehen.

Damit die KI Ihre eigenen Bezeichnungen und Preise verwenden kann, werden die Einträge Ihrer Materialliste (Bezeichnung, Einheit, Preis) mit übermittelt.

Fallback-Dienst: Ist Google Gemini vorübergehend nicht erreichbar (z. B. bei einer technischen Störung), wird die Anfrage automatisch an OpenAI (GPT-4o, ggf. inkl. Whisper-Transkription bei Sprachaufnahmen) weitergeleitet, damit Ihre Anfrage dennoch bearbeitet werden kann. Der Fallback kommt nur im Ausnahmefall zum Einsatz.

Die Rohdaten (Fotos, Audiodateien) werden nach Abschluss der KI-Analyse nicht dauerhaft auf unseren Servern gespeichert, sondern nur für die Dauer der Verarbeitung übermittelt. Ausgenommen sind Fotos, die Sie einem Angebot, einem Kostenvoranschlag oder einer Rechnung hinzufügen (siehe unten).

Da wir bei Google Gemini einen kostenpflichtigen Tarif mit aktivierter Abrechnung nutzen, gilt gemäß den Nutzungsbedingungen der Gemini-API ausdrücklich, dass Google Ihre Eingaben (Prompts, Bilder, Audiodateien) und die generierten Antworten nicht zur Verbesserung von Google-Produkten verwendet. Eingaben werden dort ausschließlich zeitlich begrenzt zur Missbrauchserkennung und aus Sicherheitsgründen protokolliert (Quelle: Gemini API – Nutzungsbedingungen für kostenpflichtige Dienste).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft in den App-Einstellungen widerrufen werden (Toggle „KI-Analyse verwenden“).

Wichtiger Hinweis: Achten Sie beim Fotografieren von Baustellen/Kundenwohnungen darauf, dass keine Personen oder sensible private Unterlagen im Bild erkennbar sind, da Sie hierfür als Nutzer selbst verantwortlich sind.

Diktierfunktion (Sprache zu Text): In Angeboten, Kostenvoranschlägen, Rechnungen und Notizen können Sie Texte einsprechen statt zu tippen. Anders als bei der Angebotsanalyse wird der gesprochene Inhalt dabei nicht ausgewertet, sondern ausschließlich in Text umgewandelt. Dazu wird die Aufnahme – nur nach Ihrer Einwilligung nach dieser Ziffer und nur bei bestehender Internetverbindung – an unseren Server übermittelt und dort von Google Gemini bzw. ersatzweise OpenAI Whisper in Text umgewandelt; die Audiodatei wird nach der Umwandlung nicht dauerhaft gespeichert und auf Ihrem Gerät sofort gelöscht. Ohne Einwilligung oder ohne Internetverbindung steht das Diktat nicht zur Verfügung; eine Spracherkennung auf dem Gerät nutzt die App nicht. Ein Diktat verbraucht keines Ihrer Analyse-Kontingente. Ohne Abonnement steht das Diktat in Angeboten und Kostenvoranschlägen nur zur Verfügung, solange kostenlose KI-Angebote übrig sind, in Rechnungen, solange kostenlose KI-Rechnungen übrig sind, und in Notizen, bis beide Kontingente aufgebraucht sind. Mit einem Abonnement bleibt es überall verfügbar, auch nach Erreichen des monatlichen Kontingents.

Fotos zu Angeboten, Kostenvoranschlägen und Rechnungen: Fotos, die Sie in der App einem Angebot oder einer Rechnung hinzufügen – auch das Foto für die KI-Analyse, sobald Sie das Angebot speichern –, speichern wir in einem nur Ihrem Konto zugänglichen Speicher auf unseren Servern (Supabase, siehe Ziff. 4.1), damit Sie sie später beim Beleg wieder ansehen können. Sie stehen nicht auf dem Beleg und werden nicht an Ihre Kunden übermittelt. Sie können sie jederzeit einzeln löschen; außerdem werden sie mit dem gelöschten Entwurf oder Beleg und mit Ihrem Konto gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen genutzten Funktion).

3.7 Freie Notizen

In der App können Sie freie Notizen anlegen (getippt oder diktiert). Ihr Inhalt wird auf unseren Servern (Supabase, siehe Ziff. 4.1) gespeichert und ist ausschließlich Ihrem Konto zugeordnet. Welche Angaben eine Notiz enthält, bestimmen allein Sie; sie lässt sich jederzeit in der App löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

3.8 Abonnement- und Zahlungsdaten

Für die Nutzung kostenpflichtiger Funktionen (Abo-Modelle „Solo“, „Kleiner Betrieb“, „Pro“) verarbeiten wir:

• Ihre Nutzer-ID (zur Zuordnung des Abos zu Ihrem Konto)
• Abo-Status, gebuchter Tarif, Ablaufdatum
• Kaufhistorie (verwaltet über RevenueCat, siehe Ziff. 4.3)
• Anzahl der im laufenden Monat genutzten KI-Angebote und KI-Rechnungen (zur Berechnung Ihres Kontingents; ein KI-Kostenvoranschlag zählt wie ein KI-Angebot)

Die eigentliche Zahlungsabwicklung erfolgt vollständig über Google Play Billing. Kreditkarten- oder sonstige Zahlungsdaten werden von uns zu keinem Zeitpunkt erhoben, gespeichert oder eingesehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

3.9 Technische Daten / Nutzungsdaten

Bei Nutzung der App werden aus technischen Gründen automatisch verarbeitet:

• Geräteinformationen (Betriebssystem, App-Version)
• Fehlerprotokolle (zur Fehlerbehebung)
• Verbrauch der KI-Aufrufe: Zeitpunkt, Funktion, KI-Modell und Anzahl der verarbeiteten Tokens, keine Inhalte (zur Kostenkontrolle)
• Lokale Einstellungen (Theme, Spracheinstellung – nur lokal auf dem Gerät gespeichert)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Funktionsfähigkeit und Sicherheit der App)

3.10 Änderungsprotokoll der Belege

Damit nachvollziehbar bleibt, wann ein Angebot, ein Kostenvoranschlag oder eine Rechnung entstanden, versendet oder geändert wurde, führt die App zu jedem Beleg ein Protokoll. Gespeichert werden:

• Zeitpunkt und Art des Vorgangs (angelegt, geändert, ausgestellt, Statusänderung, PDF archiviert, geteilt, exportiert, Aufbewahrung verlängert, gelöscht)
• Belegart und Belegnummer
• die Namen der geänderten Felder, bei bereits versendeten Belegen zusätzlich alter und neuer Wert der geänderten Felder (z. B. Zahlungsstatus und Zahlungsdatum); bei einer Löschung Belegnummer, Datum und Betrag
• ob der Vorgang von Ihnen oder automatisch vom System ausgelöst wurde
• Prüfsummen (SHA-256), die jeden Eintrag mit dem vorherigen verketten, damit nachträgliche Änderungen am Protokoll erkennbar sind

Vollständige Belege oder Kundendaten stehen nicht im Protokoll. Das Protokoll lässt sich in der App nicht bearbeiten; Sie erhalten es mit dem Export für Ihren Steuerberater und mit dem Datenexport (Ziff. 7).

Zweck: Nachweis, dass Buchungen und Aufzeichnungen nicht unbemerkt verändert wurden (§ 146 Abs. 4 AO, GoBD).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – GoBD-konforme Belegführung) und Art. 6 Abs. 1 lit. c DSGVO (Ihre Aufzeichnungspflicht nach § 146 Abs. 4 AO)

Speicherdauer: Wie der zugehörige Beleg. Wird ein Beleg nach Fristablauf gelöscht, entfernen wir aus seinen Protokolleinträgen Belegbezug, Belegnummer, Feldnamen und Werte. Übrig bleiben nur Zeitpunkt, Art des Vorgangs und Prüfsummen, damit die Kette prüfbar bleibt. Diese Reste werden mit dem Konto gelöscht.

3.11 Feedback und Bewertungen

Über Einstellungen → „Feedback senden“ können Sie uns freiwillig eine Bewertung mit 1 bis 5 Sternen und optional einen Text (höchstens 2.000 Zeichen) schicken. Gespeichert werden:

• Ihre Nutzer-ID
• Sternebewertung und Text
• App-Version
• Zeitpunkt des Absendens

Zweck: Verbesserung der App. Ihr Feedback lesen nur wir als Anbieter; es wird nicht veröffentlicht und nicht an Dritte weitergegeben. Gespeichert wird es auf unseren Servern (Supabase, siehe Ziff. 4.1). Bitte nennen Sie im Text keine personenbezogenen Daten Ihrer Kunden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung der App). Das Absenden ist freiwillig. Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), z. B. per E-Mail an info@simplynext.de; wir löschen Ihr Feedback dann.

Speicherdauer: Bis zur Löschung Ihres Kontos; mit dem Konto wird auch Ihr Feedback gelöscht.

Bewertung bei Google Play: Nach dem zweiten versendeten Angebot blendet die App einmalig das Bewertungsfenster von Google Play ein (Google Play In-App Review API); ob es tatsächlich erscheint, entscheidet Google. Über Einstellungen → „App bewerten“ öffnen Sie außerdem den Eintrag der App im Google Play Store. Eine dort abgegebene Bewertung geht direkt an Google und wird nach den Bestimmungen von Google veröffentlicht. Wir erhalten davon weder Sterne noch Text; ob Sie bewertet haben, erfährt die App nicht. Verantwortlich für diese Verarbeitung ist Google (siehe Ziff. 4.4).

4. Empfänger der Daten / Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, die Ihre Daten ausschließlich nach unserer Weisung verarbeiten. Mit allen Anbietern bestehen, soweit erforderlich, Verträge zur Auftragsverarbeitung (Art. 28 DSGVO).

4.1 Supabase (Backend, Datenbank, Authentifizierung, Dateispeicher)

Supabase Inc., USA. Die Daten werden auf Servern in der EU gespeichert (Rechenzentrum in Irland).

Übermittelte Daten: sämtliche unter Ziff. 3.1–3.10 genannten Daten (Konto-, Profil-, Kunden-, Angebots-, Kostenvoranschlags-, Rechnungs- und Materialdaten, freie Notizen, erzeugte PDF- und ZUGFeRD-Dateien, Änderungsprotokoll, Firmenlogo, Unterschrift-Bilddatei, Fotos zu Angeboten, Kostenvoranschlägen und Rechnungen, Auftragsbestätigungen mit Unterschriften Ihrer Kunden).

Drittlandtransfer: Da Supabase ein Unternehmen mit Sitz in den USA ist, lässt sich ein Zugriff aus den USA (z. B. im Rahmen von Wartung und Support) nicht ausschließen. Dieser ist über den Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert.

Datenschutzerklärung: supabase.com/privacy

4.2 KI-Analysedienste (Google Gemini primär, OpenAI GPT-4o als Fallback)

Zur automatisierten Auswertung von Fotos, Sprachaufnahmen und Textbeschreibungen sowie zur Umwandlung von Diktaten in Text (siehe Ziff. 3.6) nutzen wir:

• Google Gemini (Google Ireland Limited / Google LLC, USA) – primärer und regulär genutzter KI-Dienst, kostenpflichtiger Tarif ohne Trainingsnutzung Ihrer Daten. Datenschutzerklärung: policies.google.com/privacy · Nutzungsbedingungen: ai.google.dev/gemini-api/terms#paid-services
• OpenAI GPT-4o (Vertragspartner für Kunden im EWR: OpenAI Ireland Ltd., Dublin, Irland; verbunden mit OpenAI, L.L.C., USA) – ausschließlich als technischer Fallback, falls Google Gemini vorübergehend nicht verfügbar ist. Grundlage ist der Auftragsverarbeitungsvertrag (Data Processing Addendum) von OpenAI. Datenschutzerklärung: openai.com/policies/eu-privacy-policy

Drittlandtransfer: Da diese Anbieter auch Server in den USA betreiben, kann es zu einer Übermittlung personenbezogener Daten in ein Land außerhalb der EU/des EWR kommen. Wir stellen ein angemessenes Datenschutzniveau durch den Abschluss von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) mit den jeweiligen Anbietern sicher.

Die Übermittlung erfolgt ausschließlich nach Ihrer aktiven Einwilligung (Ziff. 3.6) und ist zeitlich auf die Dauer der Analyse begrenzt.

4.3 RevenueCat (Abonnementverwaltung)

RevenueCat, Inc., San Francisco, USA

Übermittelte Daten: Nutzer-ID, Kauf- und Abo-Status, geräteseitige Kaufbestätigungen.

Datenschutzerklärung: www.revenuecat.com/privacy

Drittlandtransfer: USA, abgesichert über EU-Standardvertragsklauseln.

4.4 Google Play Billing / Google Play Services

Google Ireland Limited / Google LLC

Die Zahlungsabwicklung für Abonnements erfolgt vollständig über Google Play. Es gilt zusätzlich die Datenschutzerklärung von Google: policies.google.com/privacy

Außerdem stellt Google Play das Bewertungsfenster und den Store-Eintrag der App bereit (Ziff. 3.11). Bewertungen, die Sie dort abgeben, verarbeitet Google in eigener Verantwortung.

4.5 Resend (Versand von Konto-E-Mails)

Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA

Zweck: Versand der Bestätigungs-E-Mail bei der Registrierung und der E-Mail zum Zurücksetzen des Passworts (Ziff. 3.1).

Übermittelte Daten: Ihre E-Mail-Adresse, der Inhalt der jeweiligen Konto-E-Mail, Versandzeitpunkt und Zustellstatus.

Datenschutzerklärung: resend.com/legal/privacy-policy

Drittlandtransfer: USA, abgesichert über den Auftragsverarbeitungsvertrag von Resend mit EU-Standardvertragsklauseln; Resend ist zudem nach dem EU-U.S. Data Privacy Framework zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Bereitstellung des Nutzerkontos)

4.6 Google Analytics for Firebase (Nutzungsstatistik, nur mit Einwilligung)

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland / Google LLC, USA

Zweck: Wir messen anonym, welche Funktionen der App genutzt werden und ob sie stabil läuft, um sie zu verbessern.

Beim ersten Start fragt die App, ob Sie zustimmen. Ohne Ihre Zustimmung wird nichts erhoben und nichts an Google gesendet. Sie können die Zustimmung jederzeit unter Einstellungen → „Nutzungsstatistik“ widerrufen; die Erhebung endet dann sofort.

Übermittelte Daten (nur nach Zustimmung): Ereignisse wie App-Start, Registrierung, Anmeldung, Aufruf der Tarifseite, Kauf oder Abbruch eines Abonnements (mit Tarifname und Preis), Versand eines Angebots, Kostenvoranschlags oder einer Rechnung sowie die Löschung des Kontos – jeweils nur die Tatsache, nie der Inhalt. Dazu Ihr aktueller Tarif (z. B. Testphase oder Abonnement) als Nutzereigenschaft, Geräte- und App-Informationen (Gerätemodell, Android-Version, App-Version, Sprache), eine zufällige App-Instanz-ID und ungefähre Region. Es werden keine Kundendaten, Beträge, Belegtexte oder Fotos übertragen; die Werbe-ID wird nicht erhoben, Werbefunktionen und personalisierte Werbung sind abgeschaltet.

Speicherdauer: Ereignis- und Nutzerdaten werden in Google Analytics nach 2 Monaten gelöscht. Dass die App deinstalliert wurde, erkennt Google Analytics selbst; auch das wird nur mit Ihrer Zustimmung ausgewertet.

Drittlandtransfer: USA, abgesichert über EU-Standardvertragsklauseln und das EU-U.S. Data Privacy Framework; Grundlage ist die Datenverarbeitungsvereinbarung von Google.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung).

5. Berechtigungen der App

Die App fordert folgende Systemberechtigungen an:

Die App fordert keinen Zugriff auf Standort, Kontakte, SMS, Anrufliste oder andere Apps an.

Berechtigungen werden zur Laufzeit angefragt und sind in den Android-Systemeinstellungen jederzeit widerrufbar. Ohne Kamera-/Mikrofonzugriff sind die betroffenen Einzelfunktionen (Foto-Analyse, Sprachaufnahme) nicht nutzbar; die übrige App bleibt voll funktionsfähig.

6. Speicherdauer

7. Ihre Rechte als betroffene Person

Sie haben jederzeit das Recht auf:

• Auskunft über die von uns verarbeiteten personenbezogenen Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

In der App direkt nutzbare Funktionen

• Datenexport: Unter Einstellungen → „Meine Daten exportieren“ können Sie alle gespeicherten Daten als JSON-Datei herunterladen, einschließlich Ihrer Rechnungen mit den E-Rechnungs-Daten und des Änderungsprotokolls.
• Export für Steuerberater: Unter Einstellungen → „Export für Steuerberater“ erhalten Sie Ihre Angebote, Kostenvoranschläge und Rechnungen eines Zeitraums als ZIP-Archiv (PDF, E-Rechnung, Tabellen, Änderungsprotokoll) und auf Wunsch einen DATEV-Buchungsstapel. Die Datei entsteht auf Ihrem Gerät; Sie entscheiden, wo Sie sie speichern und an wen Sie sie weitergeben.
• Account-Löschung: Unter Einstellungen → „Account löschen“ können Sie Ihr Konto und alle zugehörigen Daten unwiderruflich löschen lassen. Dabei werden auch Ihre Angebote und Rechnungen gelöscht; die App bietet Ihnen vorher an, das Archiv aller Jahre herunterzuladen (Ziff. 3.5).
• Widerruf KI-Einwilligung: Unter Einstellungen können Sie die KI-gestützte Analyse jederzeit deaktivieren.

Für alle weiteren Anfragen wenden Sie sich an: info@simplynext.de

8. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten vor Verlust, Missbrauch und unberechtigtem Zugriff zu schützen:

• Verschlüsselte Übertragung sämtlicher Daten via TLS/HTTPS
• Zugriffskontrolle auf Datenbankebene (Row Level Security) – jeder Nutzer kann ausschließlich auf seine eigenen Daten zugreifen
• Sichere, PKCE-basierte Authentifizierung mit automatischem Token-Ablauf und -Erneuerung
• API-Schlüssel Dritter (z. B. RevenueCat) werden nicht im App-Code hinterlegt, sondern serverseitig gesichert bereitgestellt
• Passwörter werden ausschließlich verschlüsselt (gehasht) gespeichert
• Versendete Belege und ihre archivierten PDFs sind auf Datenbank- und Speicherebene gegen Änderung und vorzeitiges Löschen gesperrt; Prüfsummen und ein verkettetes Änderungsprotokoll machen Veränderungen erkennbar

9. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt, die rechtliche Wirkung gegenüber Ihnen entfaltet. Die KI-gestützte Erkennung von Materialien und Arbeitszeiten dient lediglich als Vorschlag; Sie prüfen alle KI-generierten Angaben, bevor Sie einen Beleg speichern oder versenden (bei Angeboten und Kostenvoranschlägen zusätzlich über die Bestätigung in der App: „Ich habe die KI-generierten Daten geprüft und bestätige deren Richtigkeit“).

10. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen der App bzw. der Datenverarbeitung anzupassen. Für Ihren erneuten Besuch bzw. bei der nächsten Nutzung der App gilt dann die neue Datenschutzerklärung. Bei wesentlichen Änderungen werden wir Sie in der App gesondert informieren.

11. Kontakt

Bei Fragen zum Datenschutz wenden Sie sich bitte an:

• SimplyNext
• E-Mail: info@simplynext.de
• Telefon: 01743389049