Datenschutzerklärung
Fassung 2.5 vom · Zuletzt aktualisiert: 02. Oktober 2026
Dieser Teil gilt für den Besuch unserer Website fin3000.com und für die Nutzung unserer Anwendung unter app.fin3000.com.
1. Verantwortlicher
Der Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Ideal3000 GmbH
Friedrich-Ebert-Str. 43
14469 Potsdam
Deutschland
vertreten durch den Geschäftsführer Sascha Rau
E-Mail: mail@fin3000.com
Telefon: +49 331 235 309 16
2. Allgemeines zur Datenverarbeitung
Umfang der Verarbeitung
Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website und Applikation sowie unserer Inhalte und Leistungen erforderlich ist. Eine Verarbeitung erfolgt regelmäßig nur nach Einwilligung, bei Vertragserfüllung oder auf Basis eines berechtigten Interesses.
Rechtsgrundlagen
Einwilligung: Art. 6 Abs. 1 lit. a DSGVO. Vertragserfüllung: Art. 6 Abs. 1 lit. b DSGVO. Gesetzliche Pflichten: Art. 6 Abs. 1 lit. c DSGVO. Berechtigtes Interesse: Art. 6 Abs. 1 lit. f DSGVO.
Datenlöschung und Speicherdauer
Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt. Eine längere Speicherung ist möglich, wenn dies durch gesetzliche Aufbewahrungsfristen (insbesondere Handels- und Steuerrecht) vorgeschrieben ist.
Keine automatisierten Entscheidungen
Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die rechtliche Wirkung entfalten oder betroffene Personen erheblich beeinträchtigen.
3. Bereitstellung der Website/App und Logfiles
Erhobene Daten
Bei jedem Aufruf erfasst unser System automatisch folgende Daten:
- IP-Adresse des Nutzers
- Datum und Uhrzeit des Zugriffs
- Browsertyp und -version sowie Betriebssystem
- Referrer-URL
- Übertragene Datenmenge
Diese Daten werden in Logfiles gespeichert und nicht mit anderen personenbezogenen Daten zusammengeführt.
Zweck, Rechtsgrundlage und Speicherdauer
Zweck ist die Sicherstellung des technisch fehlerfreien Betriebs und die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Logfiles werden nach spätestens 7 Tagen gelöscht bzw. IP-Adressen anonymisiert. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen. Soweit zwingende schutzwürdige Gründe für die Sicherheit und Funktionsfähigkeit des Dienstes bestehen, dürfen wir die Verarbeitung trotz des Widerspruchs fortführen.
4. Hosting
Hetzner Online GmbH
Unsere Website und Applikation werden auf Servern der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, betrieben. Wir nutzen ausschließlich deren deutsche Rechenzentren in Nürnberg und Falkenstein. Mit Hetzner Online GmbH besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
E-Mail-Versand
System- und Kontakt-E-Mails versenden wir über einen von uns selbst betriebenen Mailserver in Deutschland. Ein externer E-Mail-Dienstleister ist nicht beteiligt.
Ort der Verarbeitung
Ihre Buchhaltungsdaten, Belege und Dokumente speichern wir auf der von uns betriebenen Infrastruktur ausschließlich in deutschen Rechenzentren. Weitere Verarbeitungen durch die in der App eingesetzte Belegerkennung oder einen von Ihnen verbundenen externen KI-Assistenten beschreiben wir im eingeblendeten App-Teil dieser Datenschutzerklärung.
5. Cookies
Wir setzen ausschließlich technisch notwendige Cookies ein: csrftoken zum Schutz vor Cross-Site-Request-Forgery bei Formularen und sessionid für die Sitzungsverwaltung im Redaktionssystem. Eine Einwilligung ist hierfür nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich; deshalb gibt es auf dieser Website auch keinen Cookie-Hinweis zum Wegklicken. Tracking-Cookies, Werbe-Cookies und Cookies von Drittanbietern setzen wir nicht ein. Externe Web-Schriften (z. B. Google Fonts) laden wir nicht; alle Schriften, Symbole und Skripte liegen auf unseren eigenen Servern. Rechtsgrundlage für die Verarbeitung der dabei anfallenden Daten ist Art. 6 Abs. 1 lit. f DSGVO.
6. Kontaktformular
Erhobene Daten
Bei Nutzung des Kontaktformulars verarbeiten wir Ihren Namen (Pflichtfeld), Ihre E-Mail-Adresse, einen optionalen Betreff und Ihre Nachricht. Die Angaben werden nicht in einer Datenbank gespeichert, sondern unmittelbar als E-Mail an unser Postfach mail@fin3000.com weitergeleitet. Zum Schutz vor automatisierten Eingaben setzen wir ALTCHA ein: Ihr Browser löst eine Rechenaufgabe, Aufgabe und Prüfung laufen auf unseren eigenen Servern, es werden keine Daten an Dritte übermittelt und keine Cookies gesetzt. Um Massenversand zu unterbinden, speichern wir Ihre IP-Adresse für eine Stunde in unserem Zwischenspeicher und begrenzen die Zahl der Sendungen je Verbindung; Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO.
Zweck und Rechtsgrundlage
Die Daten dienen ausschließlich der Bearbeitung der Kontaktanfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; bei vorvertraglichen Anfragen Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer und Widerspruch
Die Nachricht wird in unserem Postfach bis zur abschließenden Bearbeitung Ihrer Anfrage aufbewahrt, längstens 6 Monate. Handelsrechtliche Aufbewahrungspflichten für Geschäftsbriefe bleiben unberührt (§ 257 HGB, § 147 AO). Der Nutzer kann der Speicherung jederzeit widersprechen; in diesem Fall kann die Konversation nicht fortgeführt werden.
Reichweitenmessung auf der Website
Auf unserer Website messen wir serverseitig, welche öffentlichen Seiten wie oft erfolgreich aufgerufen werden. Wir verwenden dafür die selbst betriebene Open-Source-Software Umami auf eigener Infrastruktur. Es wird kein Analyse-Skript in Ihrem Browser ausgeführt, es werden keine Analyse-Cookies gesetzt und keine Daten an einen externen Analysedienst weitergegeben.
Erfasst werden der aufgerufene Pfad ohne Suchparameter, Zeitpunkt, Referrer sowie technische Angaben zum verwendeten Browser und Betriebssystem. Erkennbare automatisierte Zugriffe und rein technische Anfragen werden nicht gezählt. Dabei werden auch die IP-Adresse und die Browserkennung an unsere Umami-Instanz übermittelt.
Zweck ist die bedarfsgerechte Weiterentwicklung und technische Verbesserung unseres Angebots. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Analysedaten werden spätestens nach zwei Jahren gelöscht. Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen. Einzelheiten zur weitergehenden Nutzungsanalyse in der angemeldeten Fin3000-App finden Sie im nachfolgenden App-Teil.
7. Rechte der betroffenen Person
Als betroffene Person stehen Ihnen folgende Rechte zu. Zur Ausübung Ihrer Rechte wenden Sie sich an: mail@fin3000.com
Wir beantworten Anfragen in der Regel innerhalb von 30 Tagen.
7.1 Auskunft (Art. 15 DSGVO)
Sie können jederzeit Auskunft verlangen, ob und welche personenbezogenen Daten wir von Ihnen verarbeiten, sowie eine Kopie dieser Daten erhalten.
7.2 Berichtigung (Art. 16 DSGVO)
Sie können die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten verlangen.
7.3 Löschung (Art. 17 DSGVO)
Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
7.4 Einschränkung der Verarbeitung (Art. 18 DSGVO)
Unter den gesetzlichen Voraussetzungen können Sie die Einschränkung der Verarbeitung verlangen.
7.5 Datenübertragbarkeit (Art. 20 DSGVO)
Sie haben das Recht, Ihre Daten in einem strukturierten, maschinenlesbaren Format zu erhalten.
7.6 Widerspruch (Art. 21 DSGVO)
Sie haben das Recht, jederzeit gegen die Verarbeitung Ihrer Daten auf Basis von Art. 6 Abs. 1 lit. f DSGVO Widerspruch einzulegen.
7.7 Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)
Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
7.8 Beschwerderecht (Art. 77 DSGVO)
Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist: LDA Brandenburg
8. Aktualität und Änderungen dieser Datenschutzerklärung
Diese Datenschutzerklärung ist aktuell gültig. Durch Weiterentwicklungen unseres Angebots oder gesetzliche Änderungen kann eine Anpassung erforderlich werden. Die jeweils aktuelle Version ist auf unserer Website abrufbar.
App-Datenschutzerklärung einblenden
Ergänzender Teil — speziell für die Web-App sowie iOS- und Android-App
Diese Datenschutzerklärung ist der ergänzende Teil speziell für die Applikation. Den Allgemeinen Teil, der unter anderem Ihre Rechte, die Kontaktdaten des Verantwortlichen, Hosting und allgemeine Grundsätze enthält, finden Sie unter Datenschutzerklärung
Inhaltsverzeichnis
1.–8. Allgemeiner Teil (separat verfügbar)
9. Webanalyse in der App
10. Registrierung und Nutzerkonto
11. Team-Funktionen und Einladungen
12. Dateneingabe und Datenverwaltung
13. Datei-Upload
14. Bezahlung und Abonnement
15. Banking & Bankanbindung (finAPI)
16. KI-Dienste (Mistral AI)
17. Mobile Apps (iOS und Android)
18. KI-Assistenten-Anbindung (MCP)
19. Fin3000 Drucker (systemweiter PDF-Druck)
1.–8. Allgemeiner Teil
Den Allgemeinen Teil finden Sie unter: Datenschutzerklärung
9. Webanalyse in der App
Zweck und Umfang
Wir möchten Fin3000 laufend verbessern. Deshalb erfassen wir nach der Anmeldung, welche Seiten und Funktionen der Web-App sowie der iOS- und Android-Apps genutzt werden. Die Auswertung hilft uns, häufig verwendete Funktionen weiterzuentwickeln sowie Bedienbarkeit und Stabilität zu verbessern.
Verarbeitete Daten
Erfasst werden insbesondere aufgerufene Seiten, verwendete Funktionen, Zeitpunkt und Dauer der Nutzung sowie technische Angaben wie Browser, Betriebssystem, Sprache und Bildschirmauflösung. Bestimmte Funktionsereignisse können außerdem kurze Suchbegriffe mit bis zu 60 Zeichen enthalten. Die Ereignisse werden dem jeweiligen Nutzerkonto zugeordnet. Als Kennung verwenden wir derzeit die Anmelde-E-Mail-Adresse; zusätzlich wird die Rolle als Kontoinhaber oder Mitglied verarbeitet.
Technische Umsetzung
Die App übermittelt die Nutzungsereignisse über eine Fin3000-Schnittstelle an unsere selbst betriebene Umami-Instanz auf Infrastruktur in Deutschland. In der Web-App liest das Analyseskript technische Angaben aus dem Browser. Es prüft im lokalen Speicher des Browsers (localStorage), ob die Analyse über den Eintrag umami.disabled deaktiviert wurde; die kontobezogene Nutzerkennung ergänzt Fin3000 serverseitig. Analyse-Cookies und externe Analysedienste setzen wir nicht ein. Ein gesonderter Einwilligungsdialog für diese Analyse ist derzeit nicht umgesetzt.
Rechtsgrundlage, Widerspruch und Speicherdauer
Für die Verarbeitung personenbezogener Analysedaten stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, Nutzung, Bedienbarkeit und Stabilität der App zu verstehen und gezielt zu verbessern. Die Zulässigkeit des Speicherns und Auslesens von Informationen auf dem Endgerät ist zusätzlich nach § 25 TDDDG zu beurteilen; soweit keine Ausnahme greift, ist hierfür eine Einwilligung erforderlich. Sie können der Verarbeitung nach Art. 21 DSGVO über mail@fin3000.com widersprechen. Die Analysedaten werden spätestens nach zwei Jahren gelöscht.
10. Registrierung und Nutzerkonto
Erhobene Daten
Zur Nutzung der Applikation ist eine Registrierung erforderlich. Dabei werden folgende Daten erhoben:
- E-Mail-Adresse
- Passwort (nur als nicht rückrechenbarer Passwort-Hash gespeichert)
- Name (sofern angegeben)
- Unternehmen und Rolle (bei B2B-Nutzern, sofern angegeben)
- IP-Adresse und Zeitstempel der Registrierung
Zweck und Rechtsgrundlage
Die Registrierung ist zur Vertragserfüllung erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Die Identifikation des Nutzers ist notwendig, um die Nutzung der Applikation zu ermöglichen und die Account-Sicherheit zu gewährleisten. Das IP-Logging bei Anmeldung dient der Sicherheit (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer
Nutzerdaten werden gespeichert, solange das Konto besteht. Nach Kündigung werden die Daten nach Ablauf der gesetzlichen Aufbewahrungsfristen gelöscht. Der Nutzer kann die Kontolöschung jederzeit über die Kontoeinstellungen oder per Anfrage an uns veranlassen.
11. Team-Funktionen und Einladungen
Erhobene Daten
Unsere Applikation bietet kollaborative Team-Funktionen. Dabei werden verarbeitet:
- E-Mail-Adressen eingeladener Personen
- Rollen und Berechtigungen im Team
- Zeitstempel von Einladungen und Beitritten
- Aktivitätsdaten im Teamkontext (Audit-Trail: wer hat wann welche Änderung vorgenommen)
Zweck und Rechtsgrundlage
Die Verarbeitung dient der Ermöglichung kollaborativer Nutzung (Art. 6 Abs. 1 lit. b DSGVO) sowie der Nachvollziehbarkeit von Änderungen im Sinne der Vertragssicherheit (Art. 6 Abs. 1 lit. f DSGVO).
Hinweis zur Verantwortlichkeit
Soweit der Kontoinhaber (Unternehmenskunde) weitere Personen einlädt und deren Daten in die Applikation eingibt, agiert der Kontoinhaber selbst als datenschutzrechtlich Verantwortlicher für diese Daten. Wir verarbeiten diese Daten als Auftragsverarbeiter im Auftrag des Kontoinhabers. Eine entsprechende Auftragsverarbeitungsvereinbarung (AVV) ist Bestandteil unserer Nutzungsbedingungen.
12. Dateneingabe und Datenverwaltung
Erhobene Daten
Nutzer können in der Applikation Daten eingeben und verwalten. Art und Umfang der verarbeiteten Daten hängen von der jeweiligen Nutzung ab. Wir haben keinen Einfluss auf den Inhalt der eingegebenen Daten.
Auftragsverarbeitung
Soweit Nutzer personenbezogene Daten Dritter (z. B. Kunden, Kontakte) in die Applikation eingeben, agieren wir als Auftragsverarbeiter des Nutzers gemäß Art. 28 DSGVO. Die Verarbeitung dieser Daten erfolgt ausschließlich nach Weisung des Nutzers und für die Zwecke der Vertragserfüllung.
Speicherdauer
Vom Nutzer eingegebene Daten werden für die Dauer des Vertragsverhältnisses gespeichert. Nach Vertragsende stellen wir auf Anfrage einen Datenexport bereit und löschen anschließend alle Daten, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen.
13. Datei-Upload
Erhobene Daten
Nutzer können Dateien in die Applikation hochladen. Dabei werden verarbeitet:
- Inhalt der hochgeladenen Dateien
- Metadaten der Dateien (Name, Typ, Größe, Upload-Zeitstempel)
- Zuordnung zum hochladenden Nutzerkonto
Hochgeladene Originaldateien werden auf unserer Infrastruktur bei Hetzner in deutschen Rechenzentren gespeichert. Für die automatische Belegerkennung kann die vollständige Datei einschließlich der darin enthaltenen personenbezogenen Daten nach Maßgabe von Ziffer 16 an Mistral AI übermittelt werden. Wenn Sie einen externen KI-Assistenten verbinden, kann dieser nach Maßgabe von Ziffer 18 strukturierte Angaben aus Belegen abrufen; die derzeit angebotenen MCP-Funktionen übertragen keine hochgeladenen Originaldateien.
Zweck, Rechtsgrundlage und Speicherdauer
Zweck ist die Bereitstellung der Upload-Funktionalität im Rahmen der vertraglich vereinbarten Leistungen (Art. 6 Abs. 1 lit. b DSGVO). Nicht aufbewahrungspflichtige Dateien werden gespeichert, bis Sie sie löschen oder das Konto aufgelöst wird. Soweit eine Datei Bestandteil eines festgeschriebenen oder gesetzlich aufzubewahrenden Buchungsvorgangs ist, kann ihre Löschung bis zum Ablauf der einschlägigen gesetzlichen Frist gesperrt sein.
14. Bezahlung und Abonnement
Erhobene Daten
Zur Abwicklung von Abonnements und Zahlungen werden folgende Daten verarbeitet:
- Name und Rechnungsadresse
- E-Mail-Adresse
- Zahlungsdaten (werden direkt an den Zahlungsdienstleister übermittelt, wir speichern keine vollständigen Zahlungsdaten)
- Abonnement-Status, Vertragsdaten und Rechnungshistorie
Zahlungsdienstleister:
Stripe Technology Company Limited (STC)
One Wilton Park
Wilton Place
Dublin 2
D02 FX04
Irland
Stripe verarbeitet Zahlungs-, Geräte- und Transaktionsdaten je nach Tätigkeit als unser Auftragsverarbeiter oder als eigener Verantwortlicher. Dabei können verbundene Unternehmen und Dienstleister auch außerhalb des Europäischen Wirtschaftsraums eingesetzt werden. Stripe beschreibt hierfür insbesondere Angemessenheitsbeschlüsse und Standardvertragsklauseln als Übermittlungsgrundlagen.
Datenschutz: https://stripe.com/de/privacy
Die Verarbeitung dient der Abwicklung des Abonnements und der Rechnungsstellung (Art. 6 Abs. 1 lit. b DSGVO) sowie der Einhaltung gesetzlicher Buchführungspflichten (Art. 6 Abs. 1 lit. c DSGVO).
Speicherdauer
Fin3000 speichert keine vollständigen Kartendaten. Rechnungs-, Buchungs- und Geschäftsunterlagen werden abhängig von ihrer gesetzlichen Kategorie in der Regel sechs, acht oder zehn Jahre aufbewahrt; die jeweilige Frist beginnt nach den gesetzlichen Vorgaben. Für Daten, die Stripe in eigener Verantwortlichkeit verarbeitet, gelten die Speicherangaben von Stripe.
15. Banking & Bankanbindung (finAPI)
Beschreibung und Beteiligte
Für die Bankanbindung nutzt die Applikation Dienste der finAPI GmbH, Adams-Lehmann-Straße 44, 80797 München, Deutschland. Soweit finAPI regulierte Kontoinformations- oder Zahlungsauslösedienste erbringt, verarbeitet finAPI Daten für eigene gesetzliche und vertragliche Zwecke in eigener datenschutzrechtlicher Verantwortlichkeit. Für andere technische Leistungen kann finAPI als Auftragsverarbeiter tätig werden.
Die Bankverbindung wird nur auf Ihre Veranlassung hergestellt. finAPI kann abhängig von Bank und Funktion PSD2-Schnittstellen sowie weitere von der Bank unterstützte Zugangswege einsetzen. Bankpasswörter werden nicht von Fin3000 gespeichert. Welche Authentifizierungsdaten finAPI oder die Bank verarbeitet, richtet sich nach dem gewählten Zugangsweg.
Erhobene und verarbeitete Daten
Im Rahmen der Bankanbindung können insbesondere folgende Daten von finAPI abgerufen und in der Applikation verarbeitet werden:
- Kontoverbindung und IBAN
- Kontostand und Kontobewegungen einschließlich Betrag, Datum, Verwendungszweck sowie Auftraggeber oder Empfänger
- Bankname und BIC
- technische Zugriffs-, Autorisierungs- und Statusdaten
Die von Fin3000 übernommenen Bankdaten werden auf unserer Infrastruktur in Deutschland gespeichert. Wenn Sie einen externen KI-Assistenten verbinden, kann dieser nach Maßgabe von Ziffer 18 von Ihnen freigegebene Transaktions- und Bankingdaten abrufen.
Zwecke und Rechtsgrundlagen
Wir verarbeiten die abgerufenen Bankdaten für Kontoabgleich, Buchungsvorbereitung und die vertraglich bereitgestellten Bankingfunktionen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Soweit eine gesonderte Einwilligung erforderlich ist, gilt zusätzlich Art. 6 Abs. 1 lit. a DSGVO. Die Rechtsgrundlagen der eigenverantwortlichen Verarbeitung durch finAPI ergeben sich aus den Datenschutzhinweisen von finAPI.
Widerruf und Trennung
Eine Trennung in den Kontoeinstellungen ist derzeit nicht verfügbar. Sie können die Sperrung und Trennung der Bankverbindung über mail@fin3000.com verlangen. Ein Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung; gesetzliche Pflichten von Fin3000, finAPI oder Ihrer Bank können einer sofortigen Löschung einzelner Daten entgegenstehen.
Drittlandverarbeitung
finAPI kann für Infrastruktur, Tokenverwaltung und Support Dienstleister einsetzen, bei denen Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Maßgeblich sind die von finAPI angegebenen Garantien, insbesondere Angemessenheitsbeschlüsse oder Standardvertragsklauseln.
Speicherdauer
Verbindungs- und Autorisierungsdaten werden nach der Trennung gelöscht oder gesperrt, soweit keine gesetzlichen oder regulatorischen Pflichten entgegenstehen. Bereits importierte Transaktionsdaten können als Bestandteil buchhalterischer Unterlagen abhängig von ihrer Kategorie sechs, acht oder zehn Jahre aufzubewahren sein.
Weitere Informationen: Datenschutzhinweise von finAPI
16. KI-Dienste (Mistral AI)
Beschreibung und Umfang
Für die automatische Belegerkennung und weitere KI-Funktionen nutzt die Applikation den API-Dienst der Mistral AI S.A.S., 15 rue des Halles, 75001 Paris, Frankreich. Dabei können vollständige hochgeladene Belege sowie darin enthaltene Namen, Anschriften, Bank-, Rechnungs-, Steuer- und sonstige personenbezogene Daten an Mistral übermittelt werden. Eine vorgelagerte Anonymisierung oder Schwärzung findet nicht generell statt.
Verarbeitungsorte
Fin3000 verwendet den regulären Mistral-API-Dienst ohne einen ausdrücklich gewählten US-Endpunkt. Mistral gibt für diesen Dienst grundsätzlich eine Speicherung in der Europäischen Union an. Abhängig von genutzter Funktion, Supportfall und eingesetzten Unterauftragsverarbeitern können Daten jedoch vorübergehend auch außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet werden. In diesen Fällen kommen die von Mistral angegebenen Garantien, insbesondere Angemessenheitsbeschlüsse oder Standardvertragsklauseln, zur Anwendung.
Tatsächliche Kontoeinstellungen
Fin3000 nutzt den API-Dienst im Tarif Pay-as-you-go. In der verwendeten Mistral-Organisation ist die Freigabe zur Nutzung von API-Aufrufen für das Training von Mistral-Modellen deaktiviert. Solange diese Einstellung deaktiviert bleibt, werden neue API-Interaktionen nach der im Administrationsbereich angezeigten Anbieterinformation nicht für das Modelltraining verwendet. Labs-Modelle sind ebenfalls deaktiviert und werden von Fin3000 nicht eingesetzt. Stand dieser Angaben: 30. September 2026.
Zweck und Rechtsgrundlage
Der Einsatz dient der Bereitstellung der vertraglich vereinbarten Belegerkennung und KI-Funktionen (Art. 6 Abs. 1 lit. b DSGVO). Soweit wir die Funktionen zur Verbesserung oder Absicherung des Dienstes einsetzen, stützen wir die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO. Für Verarbeitungen, bei denen Mistral als Auftragsverarbeiter tätig wird, gelten die vereinbarten Auftragsverarbeitungsbedingungen.
Speicherdauer bei Mistral
Zero Data Retention ist für die von Fin3000 verwendete Mistral-Organisation nicht aktiviert. Wir geben deshalb keine Zusage, dass Ein- und Ausgaben unmittelbar nach der Antwort gelöscht werden. Nach den für den API-Dienst geltenden Bedingungen kann Mistral Daten im erforderlichen Umfang zur Bereitstellung und Absicherung des Dienstes, zur Fehlerbehebung, Leistungsprüfung und Missbrauchserkennung verarbeiten. Die jeweilige Speicherdauer richtet sich nach dem Verarbeitungszweck sowie den vertraglichen und gesetzlichen Vorgaben von Mistral. Die Auftragsverarbeitungsbedingungen nennen als Aufbewahrungskriterium die Dauer des Vertrags mit Mistral. Nach Ende der Leistungserbringung sehen sie die Löschung oder Rückgabe der im Auftrag verarbeiteten personenbezogenen Daten nach Mistrals Löschverfahren vor.
Speicherung bei Fin3000
Fin3000 speichert die ausgelesenen Belegdaten nach den für den jeweiligen Beleg geltenden Lösch- und gesetzlichen Aufbewahrungsregeln.
Weitere Informationen: Kommerzielle Nutzungsbedingungen, Auftragsverarbeitungsbedingungen, Datenschutzerklärung von Mistral AI und Informationen zum Speicherort
17. Mobile Apps (iOS und Android)
17.1 Download und App-Store
Beim Herunterladen der App aus dem Apple App Store (Apple Inc., USA) oder dem Google Play Store (Google Ireland Limited, Irland) werden Daten an den jeweiligen Anbieter übermittelt, etwa Gerätekennungen, Zeitpunkt des Downloads und Account-Daten. Auf diese Verarbeitung haben wir keinen Einfluss. Es gelten die Datenschutzbestimmungen von Apple (https://www.apple.com/de/privacy/) beziehungsweise Google (https://policies.google.com/privacy).
17.2 Gerätezugriffe und Berechtigungen
Die mobilen Apps können folgende Gerätezugriffe benötigen:
- Kamera: für Datei-Scans und Foto-Uploads, nur nach Freigabe im Betriebssystem
- Foto-Mediathek: für den Zugriff auf ausgewählte Dateien, nur nach Freigabe im Betriebssystem
- Netzwerkzugriff: für die technisch notwendige Verbindung zu unseren Servern; hierfür erscheint insbesondere unter Android nicht zwingend ein gesonderter Berechtigungsdialog
Kamera- und Medienberechtigungen können jederzeit in den Geräteeinstellungen widerrufen werden. Die Betriebssystemfreigabe ist nicht automatisch die Rechtsgrundlage für jede anschließende Datenverarbeitung. Je nach Funktion erfolgt die Verarbeitung zur Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO, aufgrund Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO oder zur sicheren technischen Bereitstellung nach Art. 6 Abs. 1 lit. f DSGVO.
17.3 Push-Benachrichtigungen
Wenn Sie Push-Benachrichtigungen aktivieren, verwenden wir Firebase Cloud Messaging der Google Ireland Limited. Dabei werden insbesondere ein Push-Token, Geräte- und Plattformangaben sowie die jeweilige Benachrichtigungs- oder Datenpayload an Google übermittelt. Google kann hierbei Dienstleister und Infrastruktur außerhalb des Europäischen Wirtschaftsraums einsetzen; maßgeblich sind die von Google angegebenen Transfergarantien. Fin3000 speichert das Push-Token, solange das Gerät für Benachrichtigungen registriert ist. Bei der Abmeldung oder Entfernung des Geräts wird es grundsätzlich gelöscht. Ist das Gerät an eine Sicherheitsfreigabe gebunden, wird der Benachrichtigungsversand zunächst deaktiviert und das Token bleibt für diese Sicherheitsfunktion gespeichert. Gelöscht wird es nach Aufhebung der Sicherheitsbindung bei einer anschließenden erfolgreichen Geräteabmeldung, wenn FCM das Token als ungültig meldet oder wenn das Konto gelöscht wird. Die weitere Speicherdauer bei Google richtet sich nach den Bedingungen von Firebase und liegt nicht in unserem unmittelbaren Einflussbereich. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können Benachrichtigungen jederzeit in den Geräteeinstellungen deaktivieren; bereits erfolgte Verarbeitungen bleiben rechtmäßig. Weitere Informationen: Firebase Datenschutz und Sicherheit.
18. KI-Assistenten-Anbindung (MCP)
Freiwillige Verbindung
Als Kontoinhaber können Sie einen externen KI-Assistenten über das Model Context Protocol (MCP) mit Ihrem Fin3000-Konto verbinden. Die Verbindung ist freiwillig und wird erst hergestellt, wenn Sie den Zugriff ausdrücklich freigeben. Fin3000 kann auch ohne diese Verbindung genutzt werden.
Übermittelte Daten
Der Assistent erhält Fin3000-Daten nicht pauschal, sondern nur, wenn er sie über eine freigegebene Funktion konkret abruft oder für eine von Ihnen bestätigte Aktion benötigt. Je nach Funktionsaufruf können dazu Unternehmens- und Mandantenangaben, Kunden- und Kontaktdaten, Ausgangsbelege einschließlich Positionen, strukturierte Angaben aus Eingangsrechnungen, offene Posten, Bank- und Kassentransaktionen, Buchungen, zusammengefasste Finanzberichte sowie der Status von Umsatzsteuer-Voranmeldungen gehören. Darin können auch personenbezogene Daten Ihrer Kunden, Beschäftigten oder Geschäftspartner enthalten sein.
Mögliche Änderungen
Bei freigegebenem Schreibzugriff kann der Assistent Kunden oder Lieferanten anlegen, Rechnungsentwürfe erstellen und nicht finalisierte sowie nicht exportierte Transaktionen nach Vorschau und Bestätigung kategorisieren. Die Verbindung kann keine Zahlungen auslösen, Belege finalisieren oder versenden und keine Meldungen an Behörden übermitteln.
Zweck, Rechtsgrundlage und Verantwortlichkeit
Wir stellen die Verbindung bereit, damit Sie Fin3000-Daten mit dem gewählten Assistenten abrufen, auswerten und im beschriebenen Umfang bearbeiten können. Die Verarbeitung Ihrer Kontodaten zur Bereitstellung der angeforderten Verbindung erfolgt zur Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO. Daten, die Sie als Unternehmenskunde für Dritte in Fin3000 verwalten, verarbeiten und übermitteln wir entsprechend Ihrer Weisung im Rahmen der Auftragsverarbeitungsvereinbarung. Für die Rechtmäßigkeit der Weitergabe an den von Ihnen gewählten KI-Dienst und dessen Beauftragung bleiben Sie als Verantwortlicher zuständig.
Externer Anbieter und Drittlandverarbeitung
Empfänger ist der Anbieter des von Ihnen gewählten KI-Assistenten. Welcher Anbieter dies ist, ergibt sich aus dem Dienst, über den Sie die MCP-Verbindung einrichten. Der Anbieter erhält die von Fin3000 abgerufenen Daten als Teil Ihrer Eingaben oder der Inhalte des verbundenen Dienstes und kann sie verarbeiten, um Ihre Anfrage auszuführen sowie seinen Dienst bereitzustellen und abzusichern.
Für die weitere Verarbeitung gelten Ihr Vertrag, Ihre Kontoeinstellungen und die Datenschutzbestimmungen dieses Anbieters. Informieren Sie sich dort vor der Verbindung insbesondere über weitere Verwendungszwecke, Empfänger und Dienstleister, Speicherdauer, Löschmöglichkeiten und eine mögliche Verwendung zur Verbesserung von KI-Modellen. Fin3000 kann dafür keine einheitliche Speicherdauer oder pauschale Zusage zum Ausschluss von Modelltraining geben.
Je nach Anbieter können Daten auch außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet werden. Prüfen Sie vor der Verbindung, welche Voraussetzungen für die Übermittlung gelten und auf welche Garantien sich der gewählte Anbieter stützt, beispielsweise einen einschlägigen Angemessenheitsbeschluss oder Standardvertragsklauseln. Informationen und Kopien der jeweils verwendeten Garantien erhalten Sie beim gewählten Anbieter.
Speicherung bei Fin3000
Zur Bereitstellung und Absicherung der Verbindung verarbeiten wir auf unserer eigenen Infrastruktur in Deutschland Freigabe- und Berechtigungsdaten, technische Zugriffsdaten sowie Protokolle der Funktionsaufrufe. Diese Protokolle enthalten insbesondere die Zuordnung zum Konto und zur verbundenen Anwendung, die aufgerufene Funktion, den Ausführungsstatus und die Laufzeit; Inhalte der Abfragen und Ergebnisse werden darin nicht protokolliert. Technische Aufrufprotokolle werden spätestens nach zwei Jahren gelöscht.
Zugriffstokens sind höchstens eine Stunde und Aktualisierungstokens höchstens 30 Tage nutzbar; ein vorheriger Widerruf beendet den künftigen Zugriff sofort. Ablauf, Widerruf und Speicherung sind dabei zu unterscheiden: Ein Widerruf beendet die Nutzbarkeit, löscht die zugehörigen Nachweisdaten aber nicht zwingend sofort. Datensätze zu erteilten Freigaben und Tokens können bis zu einer späteren betrieblichen Bereinigung, zur Löschung der verbundenen Anwendung oder zur vollständigen Kontolöschung gespeichert bleiben. Bestätigungsdaten für vorbereitete Änderungen werden bis zu zehn Minuten zwischengespeichert. Ergebnisse ausgeführter Änderungen werden in einem dauerhaften Wiederholungsschutz gespeichert, damit dieselbe Änderung nicht mehrfach ausgeführt wird. Eine automatische Löschung nach 24 Stunden ist derzeit nicht umgesetzt; der Datensatz bleibt grundsätzlich bis zur vollständigen Kontolöschung oder einer früheren betrieblichen Bereinigung erhalten. Für angelegte oder geänderte Geschäftsdaten gelten die jeweiligen Speicher- und Aufbewahrungsregeln von Fin3000.
Verbindung trennen
Sie können die Verbindung jederzeit in den Sicherheitseinstellungen von Fin3000 bei den verbundenen Anwendungen widerrufen. Danach werden weitere Zugriffe über diese Verbindung abgewiesen. Bereits an den KI-Dienst übermittelte Daten werden dadurch nicht automatisch gelöscht; deren Löschung richtet sich nach Ihrem Vertrag und den Einstellungen des jeweiligen Anbieters.
19. Fin3000 Drucker (systemweiter PDF-Druck)
Der separat installierte Fin3000 Drucker ergänzt unter den freigegebenen Ubuntu-Versionen ein Druckziel für Ihren Fin3000-Belegeingang. Er ist unabhängig von unserer Chrome-Erweiterung. Sie wählen selbst, welches Dokument Sie an dieses Druckziel drucken. Die Auswahl des Fin3000-Druckziels und der Klick auf „Drucken“ im Systemdruckdialog starten die Übertragung automatisch; eine zweite Bestätigung in der Drucker-App erfolgt nicht. Das Druckziel liest keinen Browserverlauf aus.
19.1 Übertragene Inhalte und Zweck
Übertragen wird die PDF-Druckdarstellung, nicht notwendigerweise die Originaldatei. Strukturierte E-Rechnungsdaten und Anhänge können beim Drucken verloren gehen. Je nach ausgewähltem Dokument enthält die Druckkopie beispielsweise Namen, Anschriften, Rechnungs-, Zahlungs- oder andere Finanzdaten, persönliche Kommunikation oder Gesundheitsangaben. Prüfen Sie daher das ausgewählte Dokument und Ihre Berechtigung zur Übermittlung.
Zusammen mit der Druckkopie verarbeiten wir ihren Dateinamen, ihre Größe und Prüfsumme sowie technische Vorgangskennungen, Zeitpunkte und den Übertragungsstatus. Der Vorgang wird an Ihr Fin3000-Konto und, falls ausgewählt, einen eigenen Geschäftsbereich gebunden. Ohne feste Zuordnung bleibt der Geschäftsbereich zunächst leer; Sie können den Beleg später zuordnen. Technische Verbindungsdaten wie die IP-Adresse fallen wie bei anderen Zugriffen auf den Dienst an.
19.2 Anmeldung und lokale Verarbeitung
Die Anmeldung und gegebenenfalls ein zweiter Faktor erfolgen in der Fin3000-Webanmeldung im Browser. Die Drucker-App erhält widerrufbare Zugangstokens, nicht Ihr Fin3000-Passwort. Diese Tokens werden über den persönlichen Schlüsselbund des Betriebssystems verwaltet. Für Druckannahme und Einrichtung werden außerdem eine eigene Druckerwarteschlange und lokale, benutzergebundene Konfigurations- und Statusdaten angelegt.
Das Betriebssystem verarbeitet Druckdaten in seiner Druckwarteschlange. Die Drucker-App hält die Druckkopie nur für Warteschlange und Übertragung im Arbeitsspeicher vor; nach einem abgeschlossenen, abgebrochenen oder sicher als nicht angenommen festgestellten Vorgang werden die PDF-Bytes freigegeben. Ihre lokale Statusdatei enthält keine PDF und keine Zugangstokens. Sie enthält jedoch unter anderem Dateinamen, Größen, Prüfsummen, Kontozuordnungen, Zeitpunkte und Empfangsnachweise. Abgeschlossene Einträge werden auf höchstens 90 Tage und zugleich die neuesten 100 Einträge begrenzt; ungeklärte Vorgänge bleiben für die Wiederherstellung erhalten.
Die Aufbewahrung von Druckdateien, Auftragstiteln und Druckhistorie im Betriebssystem-Druckdienst richtet sich nach dessen Konfiguration; die Drucker-App setzt dort keine eigene Löschfrist. Lokal gespeicherte Statusdaten, selbst exportierte Wiederherstellungsdateien und technische Einrichtungsnachweise bleiben auch nach Entfernung der Warteschlange oder des Pakets erhalten. Eine Deinstallation oder eine Kontolöschung in Fin3000 entfernt diese lokalen Daten nicht automatisch.
19.3 Verarbeitung in Fin3000 und Wiederherstellung
Nach der Annahme durch die lokale Warteschlange wird die Druckkopie automatisch verschlüsselt an den Fin3000-Dienst beziehungsweise den hierfür eingesetzten Objektspeicher übertragen. Sie durchläuft den bestehenden Datei-Upload, die Sicherheitsprüfung und die Belegverarbeitung. Die Hinweise dieser Datenschutzerklärung zum Hosting, Datei-Upload und den KI-Diensten gelten auch für diese Druckkopien. Eine Empfangsbestätigung bedeutet noch nicht, dass Sicherheitsprüfung, Belegerkennung oder Zuordnung abgeschlossen sind.
Bei einer unklaren Übertragung dienen Vorgangskennungen und Prüfsummen dazu, den Empfang zu klären und unbeabsichtigte Mehrfachübertragungen zu vermeiden. Eine von Ihnen exportierte Wiederherstellungsdatei enthält technische Kennungen, nicht die PDF oder Zugangstokens. Bewahren Sie diese Datei geschützt auf; eine technische Kennung kann einem Konto und einem Druckvorgang zugeordnet werden. Minimale serverseitige Übertragungsnachweise werden nicht automatisch zusammen mit der Druckkopie entfernt. Vorgangskennung, Kontozuordnung, Fingerabdruck der Anfrage und Ergebnisstatus bleiben derzeit grundsätzlich bis zur vollständigen Löschung des Fin3000-Kontos gespeichert.
19.4 Trennen und Löschen
Die Funktion zum Vorbereiten der Entfernung beendet die weitere Druckannahme und widerruft die bekannte Verbindung. Der lokale Schlüsselbundeintrag wird nach erfolgreichem Widerruf entfernt; scheitert der Widerruf, bleibt er für einen erneuten Versuch erhalten. Ungeklärte Vorgänge müssen zuvor geklärt oder ihre Wiederherstellungsdaten gesichert werden. Anschließend können Sie die eigene Druckerwarteschlange und das Paket entfernen. Bereits an Fin3000 übernommene Dokumente werden dadurch nicht gelöscht. Für Dokumente, Konto- und technische Nachweisdaten gelten die jeweiligen Lösch- und Aufbewahrungsregeln des Dienstes und der Kontolöschung. Die allgemeinen Angaben dieser Datenschutzerklärung zu Verantwortlichkeit, Rechtsgrundlagen, Empfängern und Ihren Rechten gelten ergänzend.