Datenschutzerklärung

Verantwortlich im Sinne der Datenschutzgesetze ist: docmana.de (Anschrift und Kontaktdaten gemäß Impressum)

docmana.de stellt eine cloudbasierte Plattform zur Verfügung für: • digitales Dokumentenmanagement • revisionssichere Archivierung • strukturierte Ablage von Geschäfts- und Personaldokumenten • Dokumentenklassifizierung und -suche • rollenbasierte Zugriffskontrolle • digitale Workflows und Freigabeprozesse Je nach Nutzung kann es sich bei den gespeicherten Dokumenten um personenbezogene oder sensible Daten handeln (z. B. Kundenakten, Vertragsunterlagen, Personalunterlagen, Rechnungen). In diesen Fällen handeln wir in der Regel als Auftragsverarbeiter gemäß Art. 28 DSGVO.

Datenbank und Dokumentenspeicher unserer Plattform liegen ausschließlich im AWS-Rechenzentrum Frankfurt am Main, Deutschland (Region eu-central-1), betrieben über unseren Infrastrukturanbieter Supabase. Eine Speicherung Ihrer Dokumente außerhalb Deutschlands findet nicht statt. • AWS-Rechenzentren sind nach ISO 27001, ISO 27017 und ISO 27018 zertifiziert; Supabase ist SOC 2 Type II geprüft • Die Anwendungsschicht (Web-/API-Server) verarbeitet Dokumente nur transient im Arbeitsspeicher (Upload, OCR, Vorschau) und speichert keine Daten dauerhaft • verschlüsselte Datenübertragung (TLS 1.2+) • AES-256-verschlüsselte Datenspeicherung • rollenbasierte Zugriffssysteme • Protokollierung von Zugriffen Ein Zugriff durch unbefugte Dritte ist durch technische und organisatorische Maßnahmen abgesichert. Eine ausführliche Beschreibung inklusive Schlüsselverwaltung und Administratorzugriff finden Sie unter docmana.de/sicherheit.

Bei der Einrichtung eines Benutzerkontos verarbeiten wir: • Vor- und Nachname • Unternehmensname • E-Mail-Adresse • Benutzerrolle • verschlüsselte Zugangsdaten • Zeitpunkte von Login-Vorgängen Zweck der Verarbeitung: • Bereitstellung der Plattform • Nutzerverwaltung • Zugriffskontrolle • IT-Sicherheit Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Alle von Nutzern hochgeladenen Dokumente verbleiben im Eigentum des jeweiligen Kunden. docmana ist ein Dokumentenmanagementsystem. Funktionen wie Texterkennung, Volltextsuche oder automatische Sortierung setzen zwingend voraus, dass Dokumenteninhalte maschinell gelesen werden. Wir beschreiben deshalb offen, in welchen drei Stufen Ihre Dokumente verarbeitet werden: Stufe 1 – Speicherung Ihre Dateien werden im Ruhezustand AES-256-verschlüsselt gespeichert und sind ausschließlich über Ihr Konto bzw. die von Ihnen berechtigten Team-Mitglieder abrufbar. Stufe 2 – Automatische Verarbeitung auf unseren Servern Zur Bereitstellung der Kernfunktionen werden Dokumenteninhalte vollautomatisiert von unseren Systemen verarbeitet: Texterkennung (OCR), Volltextindex für die Suche, Vorschaubilder, Auslesen strukturierter E-Rechnungsdaten (ZUGFeRD/XRechnung) sowie regelbasierte Sortierung nach von Ihnen definierten Schlüsselwörtern. Diese Verarbeitung erfolgt ohne menschliche Einsichtnahme. Stufe 3 – KI-gestützte Verarbeitung durch Anthropic Nur in klar abgegrenzten Fällen (Kategorisierung nach Ihrer Zustimmung, aktivierter Freigabe-Workflow, Post-Scan-Service) wird ein Textauszug an den KI-Anbieter übermittelt (Details im folgenden Abschnitt). Was wir nicht tun: • keine Auswertung Ihrer Dokumente zu Werbe-, Profiling- oder Marktforschungszwecken • keine Weitergabe an Dritte außer den in dieser Erklärung genannten Auftragsverarbeitern • keine manuelle Sichtung durch Mitarbeiter – Ausnahme: ein von Ihnen ausdrücklich beauftragter Support-Fall oder eine Störungsbehebung Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Verantwortung für die Rechtmäßigkeit der gespeicherten Inhalte liegt beim jeweiligen Nutzer bzw. Unternehmen.

docmana setzt Claude AI, einen Dienst der Anthropic PBC (USA), an drei klar abgegrenzten Stellen ein. In allen Fällen wird ausschließlich ein Textauszug des per OCR erkannten Texts übermittelt – niemals die Originaldatei, ein Bild oder Metadaten Ihres Kontos. a) Automatische Kategorisierung (optional, nur nach Ihrer ausdrücklichen Zustimmung) • Beim ersten Login fragen wir Sie ausdrücklich, ob die KI-Kategorisierung aktiviert werden soll; ohne Zustimmung bleibt sie ausgeschaltet • Übermittelt werden maximal 3.000 Zeichen zur Erkennung von Absender, Dokumenttyp und Kategorie • Jederzeit unter Profil → Automatisierungen änderbar b) Rechnungs-Freigabe-Workflow (nur Business-Workspaces, nur wenn der Workspace-Inhaber den Freigabe-Workflow aktiviert hat) • Für Eingangsrechnungen ohne strukturierte E-Rechnungsdaten werden maximal 3.500 Zeichen übermittelt, um Bruttobetrag, Lieferant und Rechnungsnummer für die Freigabe zu ermitteln c) Post-Scan-Service (nur wenn Sie unseren optionalen Post-Scan-Service nutzen) • Zur Zuordnung eingescannter Briefpost zum richtigen Kundenkonto werden maximal 4.000 Zeichen zur Erkennung der Kundennummer übermittelt Für alle drei Einsätze gilt: • Die Inhalte werden vom KI-Anbieter nicht für das Training von KI-Modellen verwendet • Es erfolgt keine dauerhafte Speicherung der Inhalte beim KI-Anbieter • Datenübermittlungen in die USA erfolgen auf Grundlage der jeweils gültigen Datenschutzrahmenbedingungen gemäß Art. 44 ff. DSGVO Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, Fall a) bzw. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bei aktivierter Funktion, Fälle b und c).

Zur Gewährleistung der Systemsicherheit werden folgende Daten protokolliert: • Login-Zeitpunkte • IP-Adresse • durchgeführte Aktionen (Upload, Download, Löschung) • Benutzer-ID Diese Protokolle dienen: • Missbrauchserkennung • Nachvollziehbarkeit von Änderungen • IT-Sicherheit • Compliance-Anforderungen Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Systemsicherheit und Nachweisbarkeit)

Zur Optimierung unserer Website (nicht der gespeicherten Kundendokumente) verwenden wir – nach Einwilligung – Google Analytics 4. Erfasst werden u. a.: • Seitenaufrufe • Interaktionen • gekürzte IP-Adresse • technische Geräteinformationen Die IP-Anonymisierung ist aktiviert. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) Datenübermittlungen in die USA erfolgen auf Grundlage der jeweils gültigen Datenschutzrahmenbedingungen gemäß Art. 44 ff. DSGVO. Die Speicherdauer beträgt maximal 24 Monate.

Zum Schutz vor automatisierten Angriffen verwenden wir: Google reCAPTCHA Hierbei können technische Daten (IP-Adresse, Mausbewegungen, Verweildauer) verarbeitet werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und Cyberangriffen)

Für Unternehmenskunden schließen wir einen Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO ab. docmana.de verarbeitet Daten ausschließlich: • auf dokumentierte Weisung • zweckgebunden • mit strengen Zugriffsbeschränkungen Unterauftragsverarbeiter werden sorgfältig ausgewählt und vertraglich verpflichtet.

Für den Betrieb der Plattform setzen wir folgende Dienstleister ein: • Supabase – Datenbank- und Dateispeicher-Infrastruktur (Serverstandort: AWS-Rechenzentrum Frankfurt am Main, Deutschland); Speicherung im Ruhezustand AES-256-verschlüsselt • Stripe – Zahlungsabwicklung (Kreditkarte, SEPA); Zahlungsdaten werden direkt bei Stripe verarbeitet, docmana speichert keine vollständigen Zahlungsdaten • Anthropic (Claude AI) – für die KI-Kategorisierung (nur nach Ihrer Zustimmung), den Rechnungs-Freigabe-Workflow (Business, nur bei aktiviertem Workflow) und die Kundennummer-Erkennung im Post-Scan-Service; stets nur Textauszug, kein Training mit Ihren Daten (siehe Abschnitt zur KI-gestützten Verarbeitung) • Google – Webanalyse (Google Analytics 4, nur nach Einwilligung) und Spam-Schutz (reCAPTCHA) auf der öffentlichen Website • E-Mail-Versanddienst (SMTP) – für Transaktions-E-Mails wie Erinnerungen, Login-Codes und Benachrichtigungen Mit allen Dienstleistern bestehen Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Übermittlungen in Drittländer erfolgen nur auf Grundlage der Art. 44 ff. DSGVO.

Zur Sicherstellung der Datenintegrität werden: • regelmäßige Backups erstellt • verschlüsselte Sicherungen gespeichert • Notfallwiederherstellungsprozesse getestet Backups unterliegen denselben Sicherheitsstandards wie die Primärdaten.

Wir speichern personenbezogene Daten nur: • solange ein aktives Vertragsverhältnis besteht • gemäß gesetzlicher Aufbewahrungspflichten • bis zur Löschung durch den Kunden Konkrete Fristen: • Kontokündigung: Alle Dokumente, Ordner, Metadaten, OCR-Texte und Erinnerungen werden 90 Tage nach der Kündigung automatisch und unwiderruflich gelöscht. Am 76. Tag (14 Tage vor der Löschung) erhalten Sie eine E-Mail-Erinnerung; am Tag der Löschung eine abschließende Bestätigungs-E-Mail als Löschnachweis (Art. 17 DSGVO). Eine Reaktivierung innerhalb der Frist stoppt die Löschung • Papierkorb: Gelöschte Dokumente liegen im Papierkorb und können wiederhergestellt werden; eine automatische Leerung ist optional in den Einstellungen konfigurierbar • Posteingangs-Aufbewahrung: Je nach Tarif werden Dokumente im Systemordner „Inbox" nach 30, 90 oder 365 Tagen automatisch gelöscht (7 Tage vorher erfolgt eine Warnung per E-Mail). Dokumente in eigenen Ordnern sind davon nicht betroffen • Backups: Gelöschte Daten verschwinden im regulären Backup-Zyklus auch aus den rotierenden Sicherungen • Nach der Datenlöschung wird das Konto vollständig anonymisiert: E-Mail-Adresse, Name, Telefon, Profilbild, Firmen- und Rechnungsadressdaten, Zahlungsmittel-Metadaten, 2FA-Geheimnisse, Sitzungen, Passkeys, Trusted IPs sowie sämtliche Audit-Log-Einträge des Nutzers werden entfernt. Es verbleibt nur ein pseudonymer Platzhalter-Datensatz (interne ID ohne Personenbezug), auf den Rechnungs- und Zahlungsdaten verweisen • Rechnungs- und Zahlungsdaten: 10 Jahre gemäß HGB/AO (gesperrte Aufbewahrung, kein produktiver Zugriff) Nach Vertragsende erfolgt eine vollständige Löschung bzw. Rückgabe der Daten gemäß vertraglicher Vereinbarung.

Betroffene Personen haben folgende Rechte: • Auskunft (Art. 15 DSGVO) • Berichtigung (Art. 16 DSGVO) • Löschung (Art. 17 DSGVO) • Einschränkung der Verarbeitung (Art. 18 DSGVO) • Datenübertragbarkeit (Art. 20 DSGVO) • Widerspruch (Art. 21 DSGVO) Anfragen richten Sie bitte an die im Impressum genannte Kontaktadresse.

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO), wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten rechtswidrig erfolgt.

docmana.de setzt umfangreiche technische und organisatorische Maßnahmen um: • TLS-verschlüsselte Datenübertragung (HTTPS, TLS 1.2+) • AES-256-verschlüsselte Speicherung von Dokumenten und Datenbankinhalten • Passwort-Speicherung ausschließlich als bcrypt-Hash • rollenbasierte Rechteverwaltung • Zwei-Faktor-Authentifizierung (optional, per Authenticator-App oder E-Mail-Code) • Brute-Force-Schutz mit automatischer Kontosperre • Audit-Logs aller sicherheitsrelevanten Aktionen • regelmäßige Sicherheitsupdates • Zugriffsbeschränkung auf autorisierte Administratoren; jeder administrative Zugriff wird protokolliert Eine ausführliche Beschreibung unserer Sicherheitsarchitektur finden Sie unter docmana.de/sicherheit.

Wir behalten uns vor, diese Datenschutzerklärung bei technischen oder rechtlichen Änderungen anzupassen.