Datenschutzerklärung

Diese Datenschutzerklärung informiert darüber, welche personenbezogenen Daten beim Besuch der Website yourtinyoffice.com und bei der Nutzung der Anwendung app.yourtinyoffice.com („Dienst“) verarbeitet werden. Stand: 2026-11-02.

1. Verantwortlicher

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und nicht bestellt.

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

Für die Daten von Website-Besuchern und für die Konto- und Vertragsdaten unserer Kunden sind wir Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO.

Für die Daten, die unsere Kunden im Dienst erfassen (insbesondere Daten ihrer eigenen Kunden und Ansprechpartner, Leistungs- und Zeitaufzeichnungen, Rechnungs- und Angebotsinhalte, Ausgaben, Einnahmen und Banktransaktionen), sind wir Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Verantwortlicher für diese Daten ist der jeweilige Kunde. Grundlage ist die Vereinbarung zur Auftragsverarbeitung, die Bestandteil unserer AGB ist. Betroffene, deren Daten ein Kunde bei uns verarbeitet, wenden sich mit ihren Anliegen bitte an diesen Kunden; wir unterstützen ihn dabei.

3. Besuch der Website

3.1 Server-Logs

Beim Aufruf der Website und des Dienstes werden technisch notwendig folgende Daten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, HTTP-Statuscode, Browsertyp und -version, Betriebssystem, Referrer. Diese Daten dienen dem sicheren Betrieb, der Fehleranalyse und der Abwehr von Angriffen (Rate-Limiting). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logs werden nach 14 Tagen gelöscht.

3.2 Cookies und Browserspeicher

Wir setzen ausschließlich technisch notwendige Cookies und Browserspeicher ein:

• sb_session: verschlüsseltes Sitzungs-Cookie für den Login; bis zu 30 Tage, wird beim Abmelden gelöscht.
• csrf_token: schützt Formulare vor Cross-Site-Request-Forgery; 7 Tage.
• sb_recovery: verschlüsseltes Cookie, das nur das Formular zum Zurücksetzen des Passworts liest, damit ein abgelehntes neues Passwort ohne neue E-Mail erneut versucht werden kann; 15 Minuten.
• ui_theme: Ihre Wahl zwischen heller und dunkler Darstellung, nur wenn Sie in den Einstellungen eine treffen; 1 Jahr.
• ads_consent: ob Sie den Hinweis zur Werbemessung (Abschnitt 3.6) angenommen oder abgelehnt haben; wird nur gesetzt, wenn Sie über eine ChatGPT-Anzeige kommen und eine Wahl treffen; 180 Tage.
• ads_oppref: die Klick-ID der ChatGPT-Anzeige, nur nach Ihrer Zustimmung zu diesem Hinweis; 30 Tage.
• htmx-current-path-for-history (Session Storage): die Adresse der aktuellen Seite für die Vor- und Zurück-Navigation des Browsers; wird beim Schließen des Tabs gelöscht.

Abgesehen von den beiden Cookies der Werbemessung, die nur mit Ihrer Wahl bzw. Einwilligung gesetzt werden, dienen sie keiner Analyse oder Werbung und bedürfen keiner Einwilligung (§ 165 Abs. 3 TKG 2021). Die cookielose Nutzungsanalyse ist in Abschnitt 3.5 beschrieben, die Werbemessung in Abschnitt 3.6.

3.3 Externe Inhalte

Alle Schriften, Skripte und Stylesheets werden von unseren eigenen Servern ausgeliefert. Beim Aufruf der Seiten werden keine Verbindungen zu Drittanbietern (z. B. Google Fonts oder Content-Delivery-Netzwerken) aufgebaut; einzige Ausnahmen sind die in Abschnitt 3.5 beschriebene Nutzungsanalyse und, mit Ihrer Einwilligung, die in Abschnitt 3.6 beschriebene Werbemessung. Unsere Seiten laden keine Skripte von OpenAI; die Messung meldet unser eigener Server.

Auf der Startseite bieten wir ein kurzes Produktvideo an, das bei YouTube liegt. Es wird erst geladen, wenn Sie auf „Video ansehen“ klicken; vorher wird keine Verbindung zu YouTube aufgebaut. Mit dem Klick ruft Ihr Browser das Video im erweiterten Datenschutzmodus von YouTube (youtube-nocookie.com) bei Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ab. Dabei erhält Google Ihre IP-Adresse und technische Angaben zu Browser und Gerät und kann nach eigenen Regeln Daten verarbeiten, auch in den USA; Einzelheiten unter policies.google.com/privacy. Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO); ohne den Klick fließen keine Daten. Links zu weiteren Videos auf YouTube öffnen YouTube direkt in einem neuen Tab.

3.4 Kostenlose öffentliche Rechnungstools

Die öffentliche UID-Prüfung übermittelt die eingegebene Umsatzsteuer-Identifikationsnummer an das MIAS/VIES-System der Europäischen Kommission. Wir geben das aktuelle Ergebnis und die von VIES bereitgestellten Namens- und Adressdaten zurück. Die eingegebene UID und das Ergebnis werden nicht in unserer Datenbank gespeichert.

Der öffentliche Factur-X- und ZUGFeRD-Prüfer verarbeitet das hochgeladene PDF vorübergehend auf unserem Server in Deutschland. Die Datei wird ausschließlich an unseren privaten Prüf-Sidecar weitergegeben, weder in der Datenbank noch im Dateispeicher abgelegt und nach Ende der Anfrage aus dem temporären Speicher gelöscht. Technische Logs enthalten Anfragekennung, Dateigröße, Ergebnisklasse, Laufzeit und Anzahl der Hinweise, jedoch nicht das PDF, eingebettete Rechnungsinhalte oder Prüfmeldungen.

Bei beiden Tools wird die IP-Adresse für kurzlebige Rate-Limits im Arbeitsspeicher verwendet und außerdem wie oben beschrieben in Server-Logs verarbeitet. Ein technisch notwendiges CSRF-Cookie schützt Formularübermittlungen. Zweck ist die sichere Bereitstellung des angeforderten Tools und die Missbrauchsabwehr; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sind der sichere Betrieb und die Verfügbarkeit dieser kostenlosen Tools.

3.5 Nutzungsanalyse (TelemetryDeck)

Um zu erkennen, welche Teile der Website und des Dienstes genutzt werden und wo Fehler auftreten, senden unsere Seiten pseudonyme Nutzungssignale an die TelemetryDeck GmbH, Deutschland: die aufgerufene Seite (Kennungen in der Adresse werden entfernt), die ausgeführte Aktion (z. B. das Speichern eines Formulars), Fehlercodes, die Browsersprache sowie beim ersten Seitenaufruf die verweisende Website und Kampagnenparameter. Wenn Sie angemeldet sind, werden Ihre Benutzer-ID und die ID Ihres Firmenkontos ausschließlich als SHA-256-Hashwerte (Pseudonyme) übertragen, sodass TelemetryDeck die IDs selbst nicht erhält. Auf öffentlichen Seiten erhält jeder Seitenaufruf eine neue zufällige ID, sodass Besuche nicht miteinander verknüpft werden. Die Nutzungsanalyse selbst speichert nichts auf Ihrem Endgerät (keine Cookies, kein Local oder Session Storage) und bildet keine websiteübergreifenden Profile. Zweck ist die Verbesserung des Dienstes und die Fehlererkennung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein stabiles, nützliches Produkt. Weitere Informationen: telemetrydeck.com/privacy.

3.6 Conversion-Messung für Anzeigen in ChatGPT (OpenAI)

Wir schalten Anzeigen in ChatGPT. Wenn Sie unsere Startseite über eine solche Anzeige aufrufen, enthält die Adresse eine von OpenAI vergebene Klick-ID, und ein Hinweis fragt Sie, ob wir die Anzeige messen dürfen. Nur wenn Sie auf „Einverstanden“ klicken, speichern wir die Klick-ID im Cookie ads_oppref (30 Tage). Legen Sie danach ein Konto an (beim Annehmen der AGB) oder buchen Sie einen kostenpflichtigen Plan, meldet unser Server dies über die Conversions API an OpenAI: die Klick-ID, die Art des Ereignisses (Registrierung oder Abo), dessen Zeitpunkt, die Adresse der Seite, auf der es stattfand, und bei einem kostenpflichtigen Plan den Plan und seinen Nettopreis. Ihren Namen, Ihre E-Mail-Adresse, Ihre IP-Adresse oder andere Daten über Sie übermitteln wir nicht; OpenAI ordnet die Meldung auf seiner Seite dem Klick auf die Anzeige zu. Ihre Wahl selbst wird im Cookie ads_consent (180 Tage) gespeichert, damit der Hinweis nicht erneut erscheint.

Empfänger ist OpenAI Ireland Ltd, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, Irland, die die Daten als eigenständige Verantwortliche für ihre Werbedienste verarbeitet; eine Übermittlung an OpenAI, L.L.C. in den USA ist möglich und durch das EU-US Data Privacy Framework sowie die EU-Standardvertragsklauseln abgesichert. Zweck ist die Messung und Verbesserung unserer Werbung; Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Sie können sie jederzeit widerrufen, indem Sie die beiden Cookies in Ihrem Browser löschen; bereits gesendete Meldungen bleiben davon unberührt. Ohne Ihre Einwilligung wird nichts gespeichert und nichts gemeldet. Datenschutzerklärung von OpenAI: openai.com/policies/privacy-policy.

4. Registrierung, Konto und Vertrag

Bei der Registrierung verarbeiten wir E-Mail-Adresse, Passwort (nur als Hash), Zeitpunkt der Registrierung, die akzeptierte Version der AGB sowie die im Konto hinterlegten Unternehmensdaten (Firma, Adresse, UID, Bankverbindung, Logo, Rechnungseinstellungen, optional eigene SMTP-Zugangsdaten und ein API-Schlüssel für einen KI-Dienst). Zweck ist die Bereitstellung des Dienstes und die Vertragsabwicklung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Bankverbindung wird ausschließlich auf den vom Kunden erstellten Dokumenten abgebildet. SMTP-Passwörter und API-Schlüssel werden verschlüsselt (AES-256-GCM) gespeichert.

Erforderliche Angaben: E-Mail-Adresse und Passwort sind für die Einrichtung des Kontos erforderlich, der Firmenname bei der Einrichtung, damit Dokumente erstellt werden können. Für kostenpflichtige Pläne erhebt Stripe zusätzlich Zahlungs- und Rechnungsdaten (Abschnitt 5). Ohne diese Angaben können wir kein Konto eröffnen, keine Dokumente erstellen bzw. keinen kostenpflichtigen Plan bereitstellen. Alle übrigen Unternehmensdaten (Adresse, UID, Bankverbindung, Logo, SMTP-Zugangsdaten, API-Schlüssel) sind freiwillig und nur für die jeweiligen Funktionen nötig. Eine gesetzliche Pflicht zur Bereitstellung der Daten besteht nicht.

Transaktionale E-Mails (Bestätigung der Registrierung, Zurücksetzen des Passworts) werden über die Authentifizierungsdienste unseres Hosting-Partners Supabase versendet.

5. Zahlungsabwicklung

Kostenpflichtige Pläne werden über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, abgerechnet. An Stripe übermitteln wir E-Mail-Adresse, Firmen- bzw. Anzeigename und eine interne Konto-Kennung. Stripe erhebt direkt beim Kunden Zahlungsdaten, Rechnungsadresse und Umsatzsteuer-Identifikationsnummer (Stripe Tax) und ist für diese Verarbeitung eigenständiger Verantwortlicher. Wir erhalten keine vollständigen Zahlungsdaten, sondern nur eine Kundenkennung und den Abonnementstatus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Datenschutzhinweise von Stripe: stripe.com/at/privacy.

6. Funktionen des Dienstes mit externen Abfragen

• UID-Prüfung: Auf Wunsch des Kunden wird eine Umsatzsteuer-Identifikationsnummer an das MIAS/VIES-System der Europäischen Kommission übermittelt und das Ergebnis (gültig/ungültig, Name und Adresse laut Register) gespeichert. Rechtsgrundlage ist die Weisung des Kunden im Rahmen der Auftragsverarbeitung.
• Wechselkurse: Referenzkurse werden von der Europäischen Zentralbank abgerufen. Dabei werden keine personenbezogenen Daten übermittelt.
• E-Mail-Versand: Rechnungen und Angebote werden auf Weisung des Kunden per E-Mail an dessen Empfänger gesendet, entweder über unseren Mailserver (Hetzner Online GmbH, Webhosting-Mailserver) oder über den vom Kunden konfigurierten eigenen SMTP-Server.
• Eingebaute KI (Mistral AI): Jede KI-Funktion ist aus, bis der Kunde sie in den Einstellungen einschaltet; für eine ausgeschaltete Funktion wird nichts übermittelt. Ist Belege lesen eingeschaltet, wird ein im Ausgabenformular hochgeladener oder per E-Mail eingegangener Beleg (Foto oder PDF) an Mistral AI SAS gesendet, um Lieferant, Datum, Betrag, USt-Satz und Kategorie vorzuschlagen. Bei Positionen aus PDF (Pro) werden das hochgeladene Dokument sowie Namen und Artikelnummern der Artikel des Kunden gesendet, um Angebots- und Rechnungspositionen vorzuschlagen. Bei Layouts entwerfen (Pro) werden das Briefing, das aktuelle Layout nur mit Beispieldaten und ein optionales Referenzdokument gesendet. Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich, verarbeitet die Daten als unser Auftragsverarbeiter (Abschnitt 7) in Rechenzentren in der EU und im EFTA-Raum, über seinen EU-Regionalendpunkt. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); personenbezogene Daten der Kunden und Lieferanten des Kunden in den Dokumenten werden im Auftrag des Kunden nach der Auftragsverarbeitungsvereinbarung verarbeitet. Die Vorschläge werden nur dem Kunden zur Prüfung angezeigt. Für unser Konto bei Mistral AI ist Zero Data Retention aktiv: Die übermittelten Dokumente und die Antworten werden nicht länger gespeichert oder protokolliert, als zum Erzeugen der Antwort nötig ist, und sie werden nicht zum Training von KI-Modellen verwendet (siehe Datenschutzerklärung von Mistral, Stand 3. September 2026).

7. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister ein, die uns gegenüber als Auftragsverarbeiter nach Art. 28 DSGVO gebunden sind:

Die Daten werden in den genannten Regionen gespeichert. Eine Übermittlung in Drittländer findet nur statt, soweit Supabase Pte. Ltd. (Singapur), Supabase, Inc. (USA) und die Unterauftragsverarbeiter von Supabase außerhalb der EU Zugriff zu Support-, Monitoring- und Betriebszwecken haben. Diese Übermittlung ist durch die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914; Art. 46 Abs. 2 lit. c DSGVO) abgesichert, die Bestandteil des Data Processing Addendum von Supabase sind. Die vollständige Liste der Unterauftragsverarbeiter von Supabase ist unter supabase.com/legal/customer-resources/subprocessor-list veröffentlicht. Hetzner verarbeitet Daten ausschließlich in der EU. Mistral AI verarbeitet die Dokumente in Rechenzentren in der EU und im EFTA-Raum; Konto- und Betriebsmetadaten können von Systemen von Mistral außerhalb dieser Region verarbeitet werden, und etwaige Zugriffe aus Drittländern sind durch die Standardvertragsklauseln in seinem Data Processing Addendum abgesichert, seine Unterauftragsverarbeiter sind unter trust.mistral.ai/subprocessors veröffentlicht.

Eigenständige Empfänger, die keine Auftragsverarbeiter sind: Stripe für Zahlungen (Abschnitt 5) und, nur mit Ihrer Einwilligung, OpenAI für die Werbemessung (Abschnitt 3.6).

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

8. Speicherdauer

• Konto- und Vertragsdaten: für die Dauer des Vertrags; mit der Kontolöschung werden alle Daten des Kontos einschließlich gespeicherter Dokumente sofort aus dem laufenden Dienst entfernt; verbleibende Kopien in Datensicherungen werden automatisch innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
• Mit Partnern geteilte Projekte: Zeit, die Sie auf einem Projekt buchen, das ein anderes Konto mit Ihnen teilt (Datum, Stunden oder Menge, Einheit, Notiz), wird in dieses Konto kopiert, ebenso die Rechnungen, die Sie an dieses Konto stellen; es erhält sie als Ausgaben. Diese Kopien sind eigene Geschäftsunterlagen des anderen Kontos, für die es Verantwortlicher ist. Sie bleiben dort, wenn die Partnerschaft endet oder Sie Ihr Konto löschen.
• Abrechnungsunterlagen (unsere Rechnungen an Kunden): 7 Jahre gemäß § 132 BAO.
• Server-Logs: 14 Tage.
• Daten öffentlicher UID-Prüfungen und hochgeladene E-Rechnungs-PDFs: nur für die Dauer der Anfrage; keine Speicherung in Datenbank oder Dateispeicher.
• Rate-Limit-Einträge im Arbeitsspeicher: automatische Löschung, sobald sie für die Durchsetzung der Minuten- und Stundenlimits nicht mehr benötigt werden.
• Vom Kunden erstellte Dokumente: solange der Kunde sie im Dienst aufbewahrt. Der Kunde ist für die Einhaltung seiner eigenen Aufbewahrungspflichten verantwortlich; sie hängen vom Land und von der Art der Unterlage ab: in Österreich grundsätzlich 7 Jahre nach § 132 BAO (in bestimmten Fällen länger, z. B. bei Unterlagen zu Grundstücken); in Deutschland nach § 147 AO 10 Jahre für Bücher, Aufzeichnungen und Jahresabschlüsse, 8 Jahre für Buchungsbelege wie Rechnungen und 6 Jahre für Geschäftsbriefe und sonstige Unterlagen. Die Fristen beginnen in der Regel mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist, und verlängern sich, solange die Unterlagen für noch offene Steuerfestsetzungen oder anhängige Verfahren von Bedeutung sind. Der Kunde kann alle Daten jederzeit exportieren (JSON samt den originalen PDF- und XML-Dateien).

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Anfragen richten Sie an [email protected]. Außerdem können Sie sich bei der Datenschutzbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at.

10. Sicherheit

Die Übertragung erfolgt ausschließlich verschlüsselt (TLS). Kundendaten sind auf Datenbankebene je Mandant getrennt (Row Level Security), Sitzungen sind verschlüsselt und an HttpOnly-Cookies gebunden, gespeicherte Zugangsdaten werden verschlüsselt. Weitere technische und organisatorische Maßnahmen sind in Anlage 2 der Vereinbarung zur Auftragsverarbeitung beschrieben.

11. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt.

12. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar.