← Zur Startseite

Datenschutzerklärung

Stand: 4. Oktober 2026

Kurzfassung: penunz speichert deine Daten auf Servern in Deutschland. Wir setzen keine Tracking-Cookies, kein Google Analytics und keine externen JavaScript-CDNs ein. Deine Finanzdaten gehören dir: Du kannst sie jederzeit exportieren und dein Konto vollständig löschen. Wo wir KI einsetzen, sagen wir dir genau, welche Daten das KI-System sieht – und welche nicht.

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Konstantinos Charalabidis, handelnd unter „steroi.de“
Bismarckstr. 9, 73262 Reichenbach an der Fils, Deutschland
E-Mail: info@penunz.de

Einen Datenschutzbeauftragten haben wir nicht benannt, da wir hierzu gesetzlich nicht verpflichtet sind.

2. Rollenverteilung: Wann wir Verantwortlicher und wann Auftragsverarbeiter sind

penunz ist eine Buchhaltungssoftware. Du gibst darin auch Daten anderer Personen ein (Kunden, Lieferanten, Ansprechpartner). Dafür gilt:

3. Welche Daten wir verarbeiten, wofür und auf welcher Grundlage

3.1 Account- und Vertragsdaten

Zweck: Bereitstellung des Dienstes, Vertragsabwicklung, Abrechnung, Support.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag); für steuerliche Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.

3.2 Geschäfts- und Finanzdaten (von dir eingegeben)

Rechnungen, Angebote, Ausgaben, Belege, Kunden- und Lieferantendaten, Bankverbindungen (IBAN, BIC), Steuernummer und USt-IdNr., Fahrtenbuch- und Zeiterfassungseinträge, Steuer-Profil (Branche, Rechtsform, Beschäftigungsstatus).

Zweck: ausschließlich die Bereitstellung der Buchhaltungs- und Auswertungsfunktionen. Diese Daten werden nie verkauft, nie zu Werbezwecken genutzt und nie zum Training von KI-Modellen verwendet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) für deine eigenen Daten; für Daten Dritter verarbeiten wir auf deine Weisung nach Art. 28 DSGVO (siehe Ziffer 2).

3.3 Technische Daten (automatisch)

Zweck: Betrieb, Sicherheit, Nachvollziehbarkeit sicherheitsrelevanter Aktionen. Kein Tracking, keine Profilbildung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).
Speicherdauer: Sicherheits-Logs 90 Tage.

3.4 Kontaktformular und Support-Anfragen

Wenn du das Kontaktformular unter penunz.de/kontakt nutzt oder uns per E-Mail schreibst, verarbeiten wir die von dir angegebenen Daten (Name, E-Mail, Nachricht) zur Bearbeitung deiner Anfrage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche bzw. vertragliche Kommunikation), sonst Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: bis zur abschließenden Bearbeitung, längstens 12 Monate, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

3.5 Newsletter

Nur wenn du dich ausdrücklich anmeldest, speichern wir deine E-Mail-Adresse, den Zeitpunkt der Anmeldung, die Herkunftsseite und die Bestätigung im Double-Opt-in-Verfahren (Bestätigungslink; IP-Adresse und Zeitpunkt der Bestätigung als Nachweis). Wir versenden höchstens eine E-Mail pro Monat.
Abmeldung: jederzeit über den Link in jeder E-Mail.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), § 7 Abs. 2 Nr. 2 UWG.

4. Speicherung und Sicherheit

Datentyp Speicherort Schutz
Account-Daten PostgreSQL, Rechenzentrum in Deutschland Passwort bcrypt (Cost 12)
Geschäfts-/Finanzdaten PostgreSQL, Deutschland TLS bei Übertragung
Belege/Dokumente Server-Dateisystem, Deutschland Zugriff nur nach Authentifizierung, strikte Mandantentrennung
E-Mail-Zugangsdaten (IMAP) PostgreSQL, Deutschland AES-256-GCM verschlüsselt
Session HttpOnly-Cookie (JWT) Secure, HttpOnly, SameSite=Lax, 24 h Laufzeit
Backups Deutschland Zugriff nur durch den Administrator, Aufbewahrung bis zu 14 Tage

Hosting-Anbieter: IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, als Auftragsverarbeiter nach Art. 28 DSGVO.

Weitere Maßnahmen: HTTPS/TLS mit HSTS, Brute-Force-Schutz auf Login, 2FA und Rechnungs-PINs, Rate-Limiting auf allen Endpunkten, Content Security Policy (frame-ancestors 'none'), automatisierte Sicherheitsprüfungen, tägliche Backups, keine externen JavaScript-CDNs.

5. Externe Dienste und Empfänger

Wir geben Daten nur an die folgenden Dienstleister weiter – und nur in dem beschriebenen Umfang. Übermittlungen in Drittländer außerhalb der EU/des EWR erfolgen ausschließlich auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder der EU-Standardvertragsklauseln.

5.1 KI-Steuerassistent und KI-Funktionen (Mistral AI)

Transparenzhinweis: Der Steuerassistent, der Chat und die automatische Belegerkennung mit KI-Vision sind KI-Systeme. Du interagierst dort mit einer künstlichen Intelligenz, nicht mit einem Menschen. Die Ausgaben sind Orientierungshilfen und keine Steuerberatung.

Für diese Funktionen nutzen wir Sprachmodelle von Mistral AI SAS, Paris, Frankreich (EU) über deren API. Wir haben mit Mistral AI einen Auftragsverarbeitungsvertrag geschlossen.

Was an Mistral übermittelt wird:

Was nie an Mistral geht: dein Name, E-Mail-Adresse, Anschrift, IBAN, Steuernummer, Kundennamen, einzelne Rechnungen, Belege oder Dateien (außer im KI-Vision-Fall wie beschrieben).

Bei uns bleibt: dein persönliches KI-Lernprofil (gelernte Fakten, Kategorisierungen, Präferenzen). Es wird nur auf unseren Servern in Deutschland gespeichert und bei Anfragen als Kontext mitgesendet. Mistral nutzt die Daten nicht zum Training. Mistral speichert Anfragen bis zu 30 Tage zur Missbrauchskontrolle.

Beleg-Scan ohne KI: Standardmäßig erfolgt die Texterkennung lokal in deinem Browser (Tesseract.js) oder serverseitig per PDF-Textextraktion – ohne Übermittlung an Dritte.

Steuerung: Der KI-Steuerassistent, der Chat und KI-Vision werden erst durch dich beim ersten Aufruf mit einem ausdrücklichen Opt-in aktiviert. Du kannst sie in den Einstellungen jederzeit deaktivieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, erteilt über den Opt-in-Schalter; jederzeit widerrufbar). Für pseudonymisierte Aggregatwerte im Rahmen der vertraglich vereinbarten Funktionen zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

5.2 E-Mail-Integration (IMAP / Gmail)

Wenn du dein E-Mail-Konto verbindest, prüfen wir E-Mails auf Rechnungsanhänge und übernehmen gefundene Belege in dein Konto. IMAP-Zugangsdaten speichern wir AES-256-GCM-verschlüsselt. Bei Gmail nutzen wir OAuth2; dein Google-Passwort sehen und speichern wir nie.

Die Nutzung und Weitergabe von Daten, die wir über Google-APIs erhalten, richtet sich nach der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Wir verwenden Gmail-Daten ausschließlich, um Belege für dich zu erkennen und zu importieren, und übermitteln sie nicht an Dritte (auch nicht an KI-Anbieter).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktives Verbinden des Kontos; jederzeit durch Trennen widerrufbar).

5.3 Zahlungsabwicklung (Stripe)

Für kostenpflichtige Tarife nutzen wir Stripe Payments Europe, Ltd., Dublin, Irland. Stripe verarbeitet deine Zahlungsdaten (Karte, SEPA-Lastschrift) als eigener Verantwortlicher nach seiner Datenschutzerklärung. Wir speichern nur die Stripe-Kunden-ID, den Tarif und den Zahlungsstatus. Stripe kann Daten an die Stripe Inc. (USA) übermitteln; Stripe ist unter dem EU-US Data Privacy Framework zertifiziert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.4 Anmeldung mit Google (optional)

Wenn du „Mit Google anmelden“ wählst, erhält Google die Information, dass du dich bei penunz anmeldest. Wir erhalten von Google Name, E-Mail-Adresse und Profilbild und speichern die Google-Nutzer-ID zur Zuordnung. Anbieter: Google Ireland Ltd., Dublin.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir gewählter Login-Weg zur Vertragsdurchführung).

5.5 Kartendarstellung im Fahrtenbuch (OpenStreetMap / OSRM)

Für Fahrtrouten laden wir Kartenkacheln der OpenStreetMap Foundation (UK) und nutzen OSRM-Routing. Dabei wird deine IP-Adresse an diese Server übermittelt. Die Karte wird erst geladen, wenn du das Fahrtenbuch öffnest.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Darstellung der von dir angelegten Fahrten). Für das Vereinigte Königreich liegt ein Angemessenheitsbeschluss der EU-Kommission vor.

5.6 E-Mail-Versand

Empfängeradressen werden nicht für Marketing verwendet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.7 Partnerplattformen (Anmeldung über einen Partner)

penunz kann über Partnerplattformen (z. B. Branchenportale) angeboten werden. Wenn du dich über einen Partner registrierst, gilt:

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Bestätigung auf der Consent-Seite, jederzeit widerrufbar); für die Kontoerstellung Art. 6 Abs. 1 lit. b DSGVO.

5.8 Steuerberater-Zugang

Du kannst deiner Steuerberaterin, deinem Steuerberater oder dem Finanzamt einen zeitlich begrenzten, schreibgeschützten Zugang zu den von dir ausgewählten Daten gewähren. Der Zugang ist über ein kryptografisches Token (256 Bit) gesichert und jederzeit widerrufbar. Die Freigabe erfolgt ausschließlich auf deine Veranlassung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir beauftragte Funktion).

6. Cookies und lokale Speicherung

Wir setzen ein einziges, technisch notwendiges Cookie:

Es gibt keine Tracking-Cookies, keine Third-Party-Cookies, keine Fingerprinting-Techniken. Da wir nur technisch notwendige Speicherung einsetzen, benötigen wir keine Einwilligung und zeigen kein Cookie-Banner (§ 25 Abs. 2 Nr. 2 TDDDG).

localStorage: Die App speichert Geschäftsdaten (Rechnungen, Ausgaben, Kunden, Beleg-Verknüpfungen, Einstellungen) im localStorage deines Browsers als Zwischenspeicher, der mit dem Server synchronisiert wird. Diese Daten verlassen deinen Browser nicht und werden beim Löschen der Browserdaten entfernt. Bitte nutze penunz auf gemeinsam genutzten Geräten nur über ein eigenes Browserprofil oder melde dich nach der Nutzung ab.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich).

7. Speicherdauer und Löschung

Daten Dauer Grund
Account- und Geschäftsdaten bis zur Kontolöschung; danach 30 Tage Wiederherstellungsfrist, dann endgültige Löschung Vertrag; Schutz vor versehentlicher Löschung
Rechnungen, die penunz dir für dein Abo gestellt hat 8 Jahre § 147 Abs. 3 AO, § 14b UStG (unsere eigene Aufbewahrungspflicht)
Sicherheits-Logs 90 Tage IT-Sicherheit
Partner-Zugriffsprotokoll 12 Monate Nachweis und Sicherheit
Backups bis zu 14 Tage rollierend Datensicherheit
Newsletter-Daten bis zur Abmeldung; Einwilligungsnachweis 3 Jahre danach Nachweispflicht

Wichtig für deine eigenen Aufbewahrungspflichten: Die steuerliche Aufbewahrungspflicht für deine Rechnungen und Belege (8 Jahre für Buchungsbelege und Rechnungen, 6 Jahre für Geschäftsbriefe) trifft dich. Vor einer Kontolöschung musst du deine Daten daher exportieren (Einstellungen → Backup, JSON und PDF). Wir bewahren deine Rechnungen und Belege nach Ablauf der 30-tägigen Wiederherstellungsfrist nicht weiter auf.

8. Deine Rechte

Du hast gegenüber uns folgende Rechte:

Für Daten, die du selbst als Verantwortlicher über deine Kunden in penunz gespeichert hast, wende dich bitte an den jeweiligen Nutzer; wir unterstützen ihn nach dem AVV bei der Erfüllung von Betroffenenrechten.

9. Keine automatisierten Entscheidungen

Wir treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO. KI-Hinweise sind Vorschläge; jede Buchung, Kategorisierung oder Übermittlung wird erst nach deiner Bestätigung wirksam.

10. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Die aktuelle Fassung findest du unter penunz.de/datenschutz; wesentliche Änderungen kündigen wir per E-Mail an.

11. Kontakt

Fragen zum Datenschutz: info@penunz.de

Penunz © 2026 — penunz.de