Datenschutzrichtlinie

Wir erheben personenbezogene Daten, wenn Sie unsere Plattform nutzen. Im Einzelnen werden folgende Daten verarbeitet:

a) Registrierung und Nutzerkonto

• Vor- und Nachname
• E-Mail-Adresse
• Passwort (verschlüsselt gespeichert mittels bcrypt)
• Land und Unternehmensform
• Geschäftsadresse (Straße, Stadt, PLZ, Bundesland)
• Rechnungsadresse (Straße, Stadt, PLZ, Bundesland, Land)
• Firmenname (optional, für bestehende Unternehmen)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Pflichtangaben: Für ein Konto sind E-Mail-Adresse, Passwort, Benutzername, Vor- und Nachname sowie Ihr Land erforderlich. Sie sind für den Abschluss des Nutzungsvertrags erforderlich; ohne sie können wir kein Konto anlegen. Eine gesetzliche Pflicht, sie anzugeben, besteht nicht. Alle übrigen Angaben bei der Registrierung, etwa Firmenname, Adressen oder Telefonnummer, sind freiwillig. Für einen kostenpflichtigen Tarif braucht unser Zahlungsdienstleister zusätzlich Ihre Zahlungsdaten; ohne sie kann kein Tarif gebucht werden.

b) Unternehmensverwaltung

• Unternehmensbezeichnung (internes Label)
• Wunschfirmenname
• Land und Unternehmensform pro Unternehmen
• Fortschrittsdaten für jede Kategorie im Dashboard

c) Toolspezifische Geschäftsdaten

Je nach genutztem Tool werden folgende zusätzliche Daten verarbeitet und gespeichert:

• Rechnungen: Rechnungsnummern, Empfängerdaten, Positionen, Beträge, Fälligkeiten, PDF-Dokumente
• Kunden: Kundennamen, Kontaktdaten, Adressen, Notizen, Kommunikationsverläufe
• Inventar: Produktnamen, SKU, Mengen, Preise, Lagerstandorte, Lieferanteninformationen
• Verträge: Vertragspartner, Vertragsinhalte, Laufzeiten, Kündigungsfristen, Dokumentanhange
• Mitarbeiter: Mitarbeiternamen, Kontaktdaten, Positionen, Arbeitszeiten, Gehaltsdaten, Sozialversicherungsdaten
• Gehaltsabrechnung: Bruttogehälter, Steuerabzüge, Sozialversicherungsbeiträge, Bankverbindungen
• Projekte: Projektnamen, Aufgaben, Zuweisungen, Zeiterfassungsdaten, Kommentare
• Zeiterfassung: Arbeitszeiten, Pausenzeiten, Projektzuordnungen
• Buchhaltung: Konten, Buchungssätze, Belege, Einnahmen, Ausgaben
• Steuern: Steuerrelevante Daten, Umsatzsteuerberechnungen, Vorsteuerbetraege
• Dokumente: Hochgeladene Dateien, Dokumentmetadaten, Versionierungsdaten
• Kalender: Termine, Erinnerungen, Teilnehmerinformationen
• Lieferanten: Lieferantennamen, Kontaktdaten, Bestellhistorie, Konditionen
• Bestellungen: Bestellnummern, Produktlisten, Mengen, Preise, Lieferstatus
• Reisekosten: Reisedaten, Belege, Spesenabrechnungen, Kilometerstände
• Newsletter: Empfängerlisten, E-Mail-Adressen, Versandhistorie, Öffnungsraten
• Fuhrpark: Fahrzeugdaten, Kennzeichen, Wartungstermine, Kilometerstände
• Gutscheine: Gutscheincodes, Einlösungshistorie, Gültigkeitszeiträume
• Mahnwesen: Offene Forderungen, Mahnstufen, Zahlungserinnerungen
• Digitale Signatur: Unterzeichnerdaten, Zeitstempel, IP-Adresse und Geräteangaben des Unterzeichnenden, Dokument-Prüfsummen. Diese Angaben sind der Nachweis, dass die Unterschrift echt ist, und werden zusammen mit dem Dokument aufbewahrt.
• Recht: Rechtsfälle, Fristen, Dokumentvorlagen
• Domain und E-Mail (Wavor Domains, Wavmail): Domainnamen, DNS-Einträge, E-Mail-Postfächer, E-Mail-Inhalte

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Diese Daten werden ausschließlich zur Erbringung der jeweiligen Tool-Funktion verarbeitet und nicht für andere Zwecke verwendet.

d) Frühzugang-Registrierung (Warteliste)

• Name
• E-Mail-Adresse
• Firmenname (optional)

e) Kontaktformular

• Name
• E-Mail-Adresse
• Betreff und Nachrichteninhalt

Kontaktanfragen werden per E-Mail an den Betreiber weitergeleitet (über einen E-Mail-Dienstleister).

f) Rückmeldungen

Über „Rückmeldung geben“ im Dashboard und unter jeder Info-Seite („Waren diese Informationen hilfreich?“) können Sie uns eine Rückmeldung schicken. Gespeichert werden:

• Art der Rückmeldung, Ihr Text und eine optionale Bewertung
• die Seite, auf der Sie die Rückmeldung gegeben haben
• die Kennung Ihres Browsers (User-Agent) und der Zeitpunkt
• Ihre Kontokennung, wenn Sie angemeldet sind; ohne Konto keine

Ihre IP-Adresse wird nicht mit der Rückmeldung gespeichert. Ohne Konto dient sie nur dazu, die Zahl der Rückmeldungen je Anschluss zu begrenzen, und wird eine Stunde nach der letzten Rückmeldung verworfen.

Zweck ist, die Plattform und unsere Informationen zu verbessern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unseres Angebots). Rückmeldungen werden nach 24 Monaten automatisch gelöscht. Vorher können Sie jede Rückmeldung zurückziehen: angemeldet jederzeit in den Einstellungen unter „Datenschutz“, ohne Konto auf der Info-Seite selbst, solange Ihr Browser die dafür gespeicherte Kennung noch hat.

Die Plattform nutzt KI-Dienste zur Bereitstellung folgender Funktionen:

• KI-Assistent 'Wavor Intelligence' - verarbeitet Chatnachrichten und Nutzerprofildaten (Name, Firma, Land, Unternehmensform) im Kontext
• Firmennamensprüfung - verarbeitet den eingegebenen Wunschfirmennamen, Land und Unternehmensform
• Risikoanalyse - verarbeitet Geschäftsbeschreibung und Unternehmensdaten
• Logo-Generierung - verarbeitet Beschreibung, Firmenname, Land und Unternehmensform
• Länderinformationen - verarbeitet Land und Unternehmensform
• Entwürfe für Mahnung, Rechnung, Vertragsverlängerung und Support-Antwort - verarbeiten den Namen des betroffenen Kunden, Rechnungs- und Vertragsdaten
• Belegerkennung - verarbeitet den Inhalt hochgeladener Belege, einschließlich Lieferantenname und Beträgen
• E-Mail-Auswertung - verarbeitet Betreff und Inhalt eingehender E-Mails
• Website-Erstellung - verarbeitet die eingegebene Beschreibung des Vorhabens

Texteingaben und Bilder wie hochgeladene Belege gehen zuerst an einen KI-Dienstleister in der Europäischen Union. Er verwendet die Daten nicht zum Training und speichert sie nicht dauerhaft. Ist dieser Dienst nicht erreichbar, wird dieselbe Anfrage an einen Dienstleister in den USA weitergegeben. Die Bilderzeugung läuft nur über diesen Dienstleister in den USA.

Für die Übermittlung in die USA gelten Art. 49 Abs. 1 lit. a DSGVO (Einwilligung) und die EU-Standardvertragsklauseln.

Enthält eine Anfrage Angaben zu deinen eigenen Kunden - etwa den Namen bei einem Mahnungs- oder Rechnungsentwurf - werden diese Angaben unverändert mitgeschickt. Sie werden vorher nicht unkenntlich gemacht.

Die KI-Nutzung wird getrackt (Kosten pro Anfrage, Endpunkt, Zeitstempel), um nutzerbezogene monatliche Nutzungslimits durchzusetzen.

Gespräche mit dem KI-Assistenten 'Wavor Intelligence' werden in unserer Datenbank gespeichert, um den Gesprächsverlauf für den Nutzer bereitzuhalten. Gespeichert werden: Nachrichteninhalt, Absenderrolle (Nutzer/Assistent), Zeitstempel und Gesprächstitel.

Die Plattform verwendet folgende Cookies und lokale Speichermechanismen:

• Anmeldung und Sicherheit: Sitzungs-Cookies und Schutz vor Anfragen von fremden Seiten. Ohne sie funktioniert der Dienst nicht.
• Komfort: Sprache, helle oder dunkle Darstellung, das Bleiben auf einer Länderadresse. Nur gesetzt, wenn du selbst etwas wählst.
• Keine Cookies für Werbung, Reichweitenmessung oder Nachverfolgung, weder eigene noch fremde. Die Reichweitenmessung in Abschnitt 6a kommt ohne Cookies aus.

Vollständige Liste aller Cookies mit Zweck und Speicherdauer

Rechtsgrundlage für technisch notwendige Cookies: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Sie können dem Einsatz von Cookies über unser Cookie-Banner oder Ihre Browsereinstellungen widersprechen.

Bei jedem Zugriff auf die Plattform werden automatisch technische Daten erfasst: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seiten, verwendeter Browser und Betriebssystem, Referrer-URL. Diese Daten werden zur Sicherstellung des technischen Betriebs und zur Abwehr von Angriffen verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Plattform).

Auf unseren Websites läuft Cloudflare Web Analytics. Damit sehen wir, wie viele Besuche eine Seite hat und wie schnell sie lädt. Das Skript wird von Cloudflare ausgeliefert, setzt keine Cookies, nutzt keinen lokalen Speicher und bildet keinen Fingerabdruck aus IP-Adresse oder Browserkennung. Erfasst werden: aufgerufene Seite, verweisende Seite, Browser, Gerätetyp, Betriebssystem, das aus der IP-Adresse abgeleitete Land sowie die Ladezeit-Messwerte des Browsers. Ein Besuch wird an der verweisenden Seite erkannt, nicht über eine Kennung; ein Besucherprofil entsteht nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, Nutzung und Geschwindigkeit der Website zu kennen). Wer die Messung nicht möchte, kann das Skript (static.cloudflareinsights.com) im Browser blockieren; die Website funktioniert ohne es vollständig.

Zusätzlich zählen wir, wie oft die Startseite, die Preisseite und die Registrierung aufgerufen werden. Wir speichern nur eine Tageszahl, ohne Cookie und ohne Daten, die auf Sie schließen lassen.

Personenbezogene Daten werden nur an Dritte weitergegeben, soweit dies zur Leistungserbringung erforderlich ist. Empfängerkategorien sind: Hosting- und Infrastruktur, Zahlungsabwicklung, E-Mail-Versand und -Empfang, SMS-Versand, KI-Dienste, Domain-Registrierung sowie CDN und Sicherheit.

Die konkret eingesetzten Auftragsverarbeiter mit Namen, Sitz und Zweck sind in Abschnitt 13 aufgeführt.

Für zwei Zwecke nutzt die Plattform einen spezialisierten Zahlungs- und Identitätsdienstleister (USA): für die Wiederherstellung des Zugangs, wenn Sie keinen Zugriff mehr auf Ihre Zwei-Faktor-Authentifizierung haben, und für die freiwillige Identitätsprüfung in Ihren Kontoeinstellungen. Dabei werden verarbeitet:

• Fotos Ihres Ausweisdokuments (Personalausweis, Reisepass oder Führerschein), direkt mit der Kamera aufgenommen
• Ein Selfie, das der Dienstleister mit dem Foto auf dem Ausweis abgleicht (biometrische Daten)
• Aus dem Ausweis gelesene Daten: Name, Geburtsdatum, Adresse, Dokumenttyp, Ausstellungsland, Ablaufdatum und Dokumentnummer

Rechtsgrundlage ist Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, für die biometrischen Daten Art. 9 Abs. 2 lit. a DSGVO). Die Identitätsprüfung wird ausschließlich auf Ihre Veranlassung durchgeführt. Sie können die Einwilligung jederzeit widerrufen; der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Der Dienstleister prüft die Echtheit des Dokuments und erkennt gefälschte oder manipulierte Dokumente. Die Fotos und das Selfie verarbeitet er nach seiner Datenschutzrichtlinie; auf unseren Servern werden sie nicht gespeichert.

Wir speichern das Ergebnis der Prüfung (Status und Abgleichergebnis) sowie aus dem Ausweis Vor- und Nachname, Adresse, Dokumenttyp, Ausstellungsland und Ablaufdatum, das Geburtsdatum nur verschlüsselt. Die Dokumentnummer, die Fotos und das Selfie speichern wir nicht. Wir nutzen diese Daten, um die Prüfung zu dokumentieren und eine spätere Wiederherstellung des Zugangs Ihrem Konto zuordnen zu können.

Die Plattform protokolliert Änderungen an folgenden Kontodaten automatisch:

• E-Mail-Adresse und Telefonnummer
• Vor- und Nachname
• Geschäfts- und Rechnungsadresse
• Zwei-Faktor-Authentifizierungseinstellungen (E-Mail, SMS, TOTP)

Gespeichert werden: der geänderte Feldname, der alte und neue Wert, der Zeitpunkt der Änderung und der Urheber (Nutzer, Admin oder System). Diese Protokollierung dient der Betrugsbekämpfung, der Einhaltung von Geldwäschevorschriften (AML) gemäß GwG und dem Schutz des Nutzers bei unberechtigten Kontenänderungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung, insbesondere GwG) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrugsbekämpfung). Die Änderungshistorie wird gemäß den gesetzlichen Aufbewahrungsfristen gespeichert (mindestens 5 Jahre gemäß § 8 GwG, bis zu 10 Jahre gemäß § 147 AO).

Sie haben gemäß DSGVO folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO) - Welche Daten über Sie gespeichert sind
• Recht auf Berichtigung (Art. 16 DSGVO) - Korrektur unrichtiger Daten
• Recht auf Löschung (Art. 17 DSGVO) - Löschung Ihrer Daten
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO) - Widerspruch gegen die Verarbeitung
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)
• Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung Ihrer Rechte nutzen Sie bitte die Support-Seite der Plattform.

Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2-4, 40213 Düsseldorf.

Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO), trifft die Plattform nur in zwei Fällen:

• Wiederherstellung des Zugangs (Abschnitt 7a): Nach der Prüfung durch den Identitätsdienstleister vergleicht die Plattform Vor- und Nachname, Geburtsdatum und Adresse aus dem Ausweis mit den Konten, deren Inhaber sich schon früher erfolgreich ausgewiesen haben. Passt das Ergebnis zu genau einem solchen Konto, erhalten Sie automatisch einen Link an die E-Mail-Adresse, die dieses Konto bereits hat, und stellen damit den Zugang wieder her; Ihr bisheriger zweiter Faktor bleibt aktiv, bis der neue bestätigt ist. Nennen Sie eine andere Adresse, entscheidet ein Mitarbeiter, ebenso in jedem anderen Fall. Haben Sie in den Sicherheitseinstellungen die Wiederherstellung über den Support ausgeschaltet, wird der Zugang auf diesem Weg nicht wiederhergestellt, auch nicht durch einen Mitarbeiter. Eine Ablehnung trifft die Plattform nie automatisch. Kann der Dienstleister die Prüfung nicht abschließen, etwa weil ein Foto unlesbar ist, können Sie sie jederzeit neu starten.
• Domains: Wird die E-Mail-Adresse des Domain-Inhabers nicht innerhalb der Frist der zuständigen Registrierungsstelle bestätigt (bei .com und anderen generischen Endungen 15 Tage), wird die Domain automatisch gesperrt, weil die Regeln der Registrierungsstellen das verlangen (für generische Endungen ICANN RAA § 3.7.7.1). Sobald die Adresse bestätigt ist, wird sie wieder freigeschaltet.

In beiden Fällen können Sie verlangen, dass ein Mitarbeiter die Entscheidung überprüft, Ihren Standpunkt darlegen und die Entscheidung anfechten. Wenden Sie sich dazu an unseren Support.

Wir verwenden technische und organisatorische Sicherheitsmaßnahmen zum Schutz Ihrer Daten: Passwörter werden mit bcrypt gehasht, Sessions werden über sichere httpOnly-Cookies verwaltet, die Datenübertragung erfolgt verschlüsselt über HTTPS/TLS, und der Datenbankzugriff ist auf autorisierte Dienste beschränkt.

Personenbezogene Daten werden nach folgenden Fristen gespeichert:

• Kontodaten (Name, E-Mail, Adresse): bis zur Kontolöschung durch den Nutzer
• Unternehmensdaten und Fortschrittsdaten: bis zur Kontolöschung
• Toolspezifische Geschäftsdaten (Rechnungen, Verträge, Mitarbeiter, Buchhaltung etc.): bis zur Kontolöschung, sofern keine gesetzlichen Aufbewahrungspflichten bestehen (z.B. Buchungsbelege 8 Jahre für Belege ab 31.12.2025 gemäß § 147 AO i.V.m. BEG IV, in Kraft 01.01.2025; ältere Belege weiterhin 10 Jahre; Bücher/Inventare/Bilanzen weiterhin 10 Jahre; Geschäftsbriefe 6 Jahre)
• Chat-Verläufe mit dem KI-Assistenten: bis zur Kontolöschung
• Frühzugang-Registrierungen: bis zum offiziellen Start der Plattform oder bis zum Widerruf
• Kontaktanfragen: 6 Monate nach Abschluss der Anfrage
• Rückmeldungen: 24 Monate
• KI-Nutzungsdaten (Kosten-Tracking): bis zur Kontolöschung
• Server-Logdaten: 90 Tage
• Anmeldeverlauf (Grundlage der Warnung bei neuen Geräten): 365 Tage
• Anmeldeversuche (Schutz vor automatisierten Angriffen): 90 Tage
• Session-Cookies: 7 Tage oder bis zum Abmelden
• Änderungshistorie (Data History): mindestens 5 Jahre (GwG), bis zu 10 Jahre (AO)
• Identitätsprüfungsergebnisse: bis zur Kontolöschung oder gemäß gesetzlicher Aufbewahrungsfristen

Bei Löschung Ihres Kontos werden alle personenbezogenen Daten, Unternehmensdaten, Fortschrittsdaten und Chat-Verläufe innerhalb von 28 Tagen unwiderruflich gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten (z.B. steuerrechtliche Aufbewahrungspflichten von 6 oder 10 Jahren) entgegenstehen.

Zur Erbringung unserer Dienste setzen wir Unterauftragsverarbeiter ein. KI-Funktionen sowie Hosting-Infrastruktur werden über spezialisierte Drittanbieter als Unterauftragsverarbeiter eingebunden. Der KI-Dienstleister tritt dabei nicht als eigenständiger Verantwortlicher auf, sondern verarbeitet Daten ausschließlich im Rahmen der Auftragsverarbeitung. Mit allen Anbietern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO.

Die vollständige Liste der eingesetzten Auftragsverarbeiter mit Namen, Sitz und Zweck findet sich in Abschnitt 13.

Durch die Nutzung unserer Drittanbieter in den USA können personenbezogene Daten in Drittländer übermittelt werden. Die Übermittlung erfolgt auf folgenden Rechtsgrundlagen:

• EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission)
• Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO
• Ergänzend Transfer Impact Assessments (TIA) zur Bewertung des Schutzniveaus

CDN- und Sicherheitsanbieter sowie Hosting-Anbieter stellen als Infrastrukturanbieter eigene Rechtsgrundlagen für den internationalen Datentransfer sicher, darunter das EU-US Data Privacy Framework und/oder Standardvertragsklauseln (SCC).

Wir setzen folgende Auftragsverarbeiter ein:

Mit allen US-amerikanischen Auftragsverarbeitern bestehen Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Mit EU-Anbietern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO.

Wir behalten uns vor, diese Datenschutzrichtlinie jederzeit zu aktualisieren. Wesentliche Änderungen werden registrierten Nutzern per E-Mail oder über die Plattform mitgeteilt. Die jeweils aktuelle Fassung ist auf der Plattform abrufbar.