1. Verantwortlicher

Magicbox LLC, 1209 Mountain Road Pl NE, Ste N, Albuquerque, NM 87110, Vereinigte Staaten von Amerika — Limited Liability Company (LLC), eingetragen im US-Bundesstaat New Mexico. Kontakt für alle Fragen zum Datenschutz: buha@blackboxes.us. Ein Datenschutzbeauftragter ist nicht benannt.

2. Vertreter in der Union (Art. 27 DSGVO)

Als außerhalb der EU ansässiger Verantwortlicher sind wir im Begriff, einen Vertreter in der Union gemäß Art. 27 DSGVO zu benennen. Bis dahin richten Sie datenschutzbezogene Anfragen bitte an buha@blackboxes.us.

3. Zwei getrennte Rollen — bitte zuerst lesen

Diese Erklärung betrifft zwei sehr verschiedene Dinge, und die Unterscheidung ist keine Förmlichkeit:

• In eigener Verantwortung verarbeiten wir, was zum Betrieb dieser Website und Ihres Zugangs gehört: Aufruf der Seiten, Registrierung, Benutzerkonto, Abrechnung und technische Sicherheit. Dafür sind wir Verantwortlicher im Sinne der DSGVO.
• Im Auftrag der Kanzlei verarbeiten wir alle Beleg-, Bank- und Buchungsdaten. Verantwortlich dafür ist die Steuerkanzlei bzw. das einreichende Unternehmen; wir sind insoweit Auftragsverarbeiter, Grundlage ist ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Wer als Lieferant, Kunde oder Zahlungspartner auf einem verarbeiteten Beleg erscheint, wendet sich mit Anfragen und Rechten deshalb an die Kanzlei bzw. das Unternehmen, das den Beleg eingereicht hat — wir dürfen solche Anfragen nicht selbst beantworten, leiten sie aber weiter und unterstützen die Kanzlei dabei.

4. Hosting und Server-Protokolle

Server, Datenbank, Objektspeicher und Mailserver dieses Dienstes laufen bei der Contabo GmbH, München; Server und Rechenzentrum liegen in der Europäischen Union. Beim Aufruf der Seiten protokolliert der vorgelagerte Webserver technische Angaben: IP-Adresse, Zeitpunkt, die aufgerufene Adresse, die übertragene Datenmenge, die zuvor besuchte Seite (Referrer) und den Browsertyp. Diese Protokolle dienen dem sicheren und störungsfreien Betrieb; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am technischen Betrieb und an der Abwehr von Missbrauch). Sie werden täglich rotiert und nach 14 Tagen gelöscht. Eine Zusammenführung dieser Daten mit einem Benutzerkonto findet nicht statt.

5. Registrierung und Benutzerkonto

Für die Registrierung einer Kanzlei erheben wir Kanzleiname, E-Mail-Adresse und ein Passwort. Zum Benutzerkonto speichern wir Benutzername, E-Mail-Adresse, den Passwort-Hash (Argon2id — nie das Passwort selbst), die Zugehörigkeit zur Kanzlei, die Rolle, das Aktiv-Kennzeichen sowie Zeitpunkte von Anmeldung, Anlage und Änderung. Diese Daten brauchen wir, um den Zugang einzurichten, den Vertrag durchzuführen und abzurechnen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags und vorvertragliche Maßnahmen auf Ihre Anfrage).

Ein Benutzerkonto wird nicht gelöscht, sondern deaktiviert: der Benutzername steht als handelnde Person in jedem Eintrag des unveränderlichen Änderungsprotokolls, das die Grundsätze ordnungsmäßiger Buchführung verlangen. Ein Protokoll, dessen Akteure verschwinden, wäre bei einer Betriebsprüfung wertlos.

6. Verarbeitung der Belege — im Auftrag der Kanzlei

Belege gelangen über einen überwachten Ordner, ein E-Mail-Postfach oder den Upload in der Weboberfläche in das System. Die Originaldatei wird unverändert und schreibgeschützt gespeichert; aus ihr entstehen Seitenbilder, aus denen die Buchungsdaten ausgelesen werden. Enthält eine Datei eine E-Rechnung (ZUGFeRD/Factur-X, XRechnung), stammen die Felder aus deren XML.

Andernfalls werden die Seitenbilder zur Feldextraktion an Google Cloud Vertex AI übertragen und dort von einem Vision-Modell gelesen. Die Verarbeitung findet in der Region europe-west4 (Niederlande) statt. Sie erfolgt in unserem Auftrag und ihrerseits im Auftrag der Kanzlei; eine Nutzung der Inhalte zu Trainingszwecken findet nicht statt. Zur Erkennung eigener Ausgangsrechnungen werden dabei auch der Name und die Umsatzsteuer-Identifikationsnummer des Mandanten als Vergleichswerte mitübermittelt. Kanzleiname, Benutzerdaten und Bankzugangsdaten werden nicht übermittelt.

Jeder Buchungsvorschlag wird von einem Menschen geprüft und freigegeben — ohne diese Freigabe entsteht kein Export. Jede Feldänderung wird mit angemeldetem Benutzer, Zeitpunkt sowie altem und neuem Wert protokolliert. Für all diese Daten ist die Kanzlei bzw. deren Mandant Verantwortlicher (siehe Abschnitt 3).

7. Zahlungen (Stripe)

Für die Grundgebühr des Abonnements, die Aufladung von Guthaben und das Zahlungsportal setzen wir Stripe ein. Übermittelt werden ausschließlich Abrechnungsdaten — Kanzleiname, E-Mail-Adresse, eine interne Kanzlei-Nummer, Beträge und die Bezeichnung der Monatsposition. Belegdaten und Mandantennamen verlassen das System dabei nicht. Zurück in unser System gespeichert werden nur Referenznummern (Kunden-, Abonnement- und Zahlungsreferenz); vollständige Zahlungsdaten wie Karten- oder Bankverbindungen geben Sie direkt bei Stripe ein und erreichen uns nie. Unser Vertragspartner ist Stripe über das Konto der Magicbox LLC in den USA; bei der Zahlungsabwicklung können Daten in die Vereinigten Staaten übermittelt werden.

Rechtsgrundlage der Zahlungsabwicklung ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags). Rechnungs- und Abrechnungsdaten bewahren wir darüber hinaus auf, soweit uns steuer- und handelsrechtliche Pflichten dazu verpflichten; Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. c DSGVO.

8. E-Mail

Transaktionsmails — Registrierungsbestätigung, Einladung, Passwort-Zurücksetzung, Guthaben- und Kontingenthinweise — versenden wir über einen eigenen Mailserver auf demselben Server in der EU. Ein externer Versanddienstleister ist nicht eingeschaltet. Diese Nachrichten enthalten keinen Belegtext, keine Rechnungspositionen und keine Anhänge.

9. Cookies

Diese Anwendung setzt ausschließlich technisch notwendige Cookies: eines für die angemeldete Sitzung und eines zum Schutz der Formulare vor Cross-Site-Request-Forgery. Es gibt keine Analyse-, Marketing- oder Tracking-Dienste, keine externen Schriftarten, kein Content Delivery Network und keine eingebetteten Inhalte Dritter — die Seiten laden ausschließlich Inhalte vom eigenen Server. Ein Einwilligungsbanner ist deshalb nicht erforderlich.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77).

Uns gegenüber gelten diese Rechte für unsere eigene Verantwortungssphäre — Website, Konto, Registrierung, Abrechnung und Sicherheit. Betreffen sie Daten aus einem Beleg, ist die Kanzlei bzw. deren Mandant Ihr Ansprechpartner (Abschnitt 3). Bitte beachten Sie: Belege, Kontoauszüge und Buchungsstapel unterliegen gesetzlichen Aufbewahrungspflichten und liegen schreibgeschützt; ein Löschverlangen können wir für sie weder rechtlich noch technisch erfüllen.

Wenden Sie sich an buha@blackboxes.us.

11. Änderungen dieser Erklärung

Ändert sich der beschriebene Verarbeitungsvorgang, ändert sich diese Erklärung. Maßgeblich ist die jeweils hier veröffentlichte Fassung; das oben genannte Datum nennt ihren Stand.