Datenschutzerklärung

Verantwortlicher

devjobs.at IT-Recruiting GmbH
Unionstraße 143, 4020 Linz
Österreich

Datenschutzanfragen

office@devjobs.at

Ein Datenschutzbeauftragter ist nicht bestellt. Die vollständigen Unternehmensangaben stehen im Impressum.

belege.monster bringt Kontobewegungen und Belege eines Unternehmens zusammen. Zahlungen werden als Datei importiert, Belege kommen aus einem verbundenen Gmail-Postfach, aus sevdesk oder aus einem Upload. Jeder Beleg wird einmal maschinell ausgelesen, danach schlägt die Anwendung zu jeder Zahlung einen passenden Beleg vor, und eine Person bestätigt oder verwirft den Vorschlag.

Alle Daten liegen in einem Arbeitsbereich, der einem Unternehmen gehört. Arbeitsbereiche sind voneinander getrennt: jede Abfrage der Anwendung ist an den Arbeitsbereich der angemeldeten Person gebunden.

Eine direkte Anbindung an ein Bankkonto besteht derzeit nicht. Kontobewegungen kommen aus einer Datei, die jemand hochlädt.

• Zum Konto gehören Benutzername, E-Mail-Adresse und der Zeitpunkt der Anlage. Das Passwort wird nie im Klartext gespeichert, sondern als langsamer Hash: PBKDF2 mit SHA-256, 100.000 Durchläufen und einem zufälligen Salz je Konto.
• Von einer Sitzung wird nur der SHA-256-Hash des Sitzungsschlüssels gespeichert, dazu Benutzer, Anlagezeitpunkt und Ablauf. Eine Sitzung läuft nach 30 Tagen ab und wird beim Abmelden serverseitig gelöscht — der Zugang endet damit sofort und nicht erst, wenn das Cookie abläuft.
• Beim Verbinden eines Gmail-Postfachs entsteht kurzzeitig ein Zustandswert gegen Anfragefälschung. Auch von ihm wird nur der Hash gespeichert, und er verfällt nach zehn Minuten.

Zum Arbeitsbereich gehören die Angaben der eigenen Firma: Firmenwortlaut und weitere Namensformen, UID-Nummer, Sitzland, Anschriften, eigene IBANs, eigene E-Mail-Adressen, optional ein Logo sowie die Texte und die Bankverbindung, die auf einer eigenen Ausgangsrechnung stehen.

Diese Angaben sind nicht Beiwerk: Sie entscheiden, ob ein Beleg eine Eingangs- oder eine Ausgangsrechnung ist, und ob eine Zahlung ein eigenes Konto betrifft.

Aus einer importierten Datei werden je Buchung gespeichert: Buchungsdatum, Betrag, Währung, Name der Gegenseite, Buchungstext, Zahlungs-, Buchungs- und End-to-End-Referenz, IBAN, eine Kartenreferenz sowie die Originalzeile des Imports. Die Originalzeile bleibt erhalten, damit später nachvollziehbar ist, woraus ein Wert gelesen wurde.

Dazu kommen der Bearbeitungsstand, ein allfälliger Grund, warum es zu einer Zahlung keinen Beleg gibt, und die Zuordnung zu einem Geschäftspartner.

Ein Beleg wird als Datei gespeichert, dazu Dateiname, Dateityp, Größe, Herkunft und eine Prüfsumme des Inhalts, mit der doppelte Belege erkannt werden.

Aus dem Beleg werden die für den Abgleich nötigen Angaben ausgelesen und gespeichert: Richtung und Belegart, Name und Anschrift von Aussteller und Empfänger, deren UID-Nummern, Rechnungsdatum und Fälligkeit, Betrag und Währung, Rechnungs-, Zahlungs- und End-to-End-Referenzen, genannte IBANs und Kundennummern sowie die Angabe, was der Beleg selbst über seine Bezahlung sagt. Zusätzlich bleiben kurze wörtliche Ausschnitte aus dem Beleg erhalten, die begründen, woher ein Wert stammt.

Aus Belegen und aus sevdesk entstehen Einträge zu Geschäftspartnern: Name, weitere Namensformen, Anschriften, UID-Nummer, Kundennummer, E-Mail-Adressen und IBANs, soweit sie auf einem Beleg stehen oder aus sevdesk übernommen wurden. Sie dienen dazu, denselben Partner über Belege und Zahlungen hinweg wiederzuerkennen.

Wer eigene Ausgangsrechnungen in belege.monster schreibt, speichert dafür zusätzlich Artikel, Positionen, Rechnungsnummern und die Empfängerangaben der Rechnung.

• Jede bestätigte, verworfene oder manuell geänderte Zuordnung wird mit Benutzer, Zeitpunkt und betroffenem Objekt festgehalten. Ohne dieses Protokoll wäre eine Zuordnung nicht mehr nachvollziehbar, sobald sie einmal geändert wurde.
• Zu jedem Import und zu jedem Hintergrundlauf werden Zeitpunkt, Umfang, Ergebnis und allfällige Fehlermeldungen gespeichert, dazu je Einzelstück, ob es übernommen, übersprungen oder als Dubletten erkannt wurde.
• Zu jedem KI-Aufruf werden Modell, Zeitpunkt, Anzahl der verbrauchten Zeichen, Herkunft des Belegs und Ergebnis gespeichert — nicht der Inhalt des Belegs und nicht die Antwort des Modells.
• Cloudflare protokolliert als Betreiber der Infrastruktur technische Angaben zu Aufrufen. Zusätzlich schreibt die Anwendung technische Ereignisse in dieses Protokoll, etwa den Start eines Postfachabgleichs; Zugangsdaten und Belegtexte stehen dort nicht.

Auf einem Eingangsbeleg stehen regelmäßig Daten von Personen, die belege.monster nie aufgesucht haben: die Ansprechperson eines Lieferanten, eine Anschrift, eine Bankverbindung, gelegentlich der Name einer Privatperson. Diese Daten bringt das nutzende Unternehmen ein, und sie werden ausschließlich zu dem Zweck verarbeitet, den Beleg der passenden Zahlung zuzuordnen.

Solche Angaben werden nicht angereichert, nicht mit fremden Quellen abgeglichen und nicht über den Arbeitsbereich hinaus verwendet. Sie verlassen den Arbeitsbereich nur dort, wo diese Erklärung es ausdrücklich sagt: bei der Auswertung des Belegs durch das KI-Modell.

Wer für diese Daten gegenüber den betroffenen Personen einsteht — das nutzende Unternehmen als Verantwortlicher und der Betreiber als Auftragsverarbeiter, oder eine andere Aufteilung — ist eine rechtliche Frage und keine Frage des Programmcodes. Sie wird derzeit fachlich geprüft. Für Auskunft oder Löschung genügt eine Nachricht an office@devjobs.at.

Ein Gmail-Postfach kann verbunden werden, um Rechnungen daraus zu holen. Die Anwendung fragt dabei genau eine Berechtigung an: gmail.readonly. Damit kann sie lesen und sonst nichts — kein Senden, kein Ändern, kein Löschen, kein Verschieben.

• Gespeichert werden je übernommener Nachricht nur Metadaten: Nachrichten- und Konversationskennung, Betreff, Absender, Datum und der kurze Textauszug, den Gmail zu jeder Nachricht mitliefert. Der Text der Nachricht wird nicht abgelegt.
• Von den Anhängen werden nur PDF-, JPEG-, PNG- und WebP-Dateien übernommen, und nur bis zu einer Größengrenze. Eingebettete Bilder wie Signaturlogos werden übersprungen.
• Wer die Auswahl einschränkt, kann Regeln setzen, sodass nur Nachrichten bestimmter Absender überhaupt geöffnet werden. In diesem Fall liest die Anwendung zuerst nur die Kopfzeilen und holt den Rest der Nachricht gar nicht.
• Der Vorschlag, welche Absender sich als Regel lohnen, entsteht aus einer Stichprobe des Postfachs. Diese Stichprobe wird nur für die Dauer der Abfrage im Arbeitsspeicher gehalten und nicht gespeichert.
• Zur Verbindung selbst werden die Adresse des Postfachs, der Zeitpunkt des letzten Abgleichs und der verschlüsselte Erneuerungsschlüssel gespeichert. Die Verbindung kann jederzeit in den Einstellungen getrennt werden.

Ein sevdesk-Konto kann mit einem API-Schlüssel verbunden werden. Alle Zugriffe darauf sind lesend; die Anwendung kennt zu sevdesk ausschließlich lesende Aufrufe und legt dort nichts an und ändert nichts.

Gelesen werden Ausgangsrechnungen samt zugehörigem PDF, Kontakte und deren Anschriften, Artikel sowie die Nummernkreise, damit eigene Rechnungsnummern lückenlos fortgesetzt werden können.

Damit aus einem Beleg Datum, Betrag und Rechnungsnummer werden, wird die Belegdatei einmal an die Schnittstelle von OpenAI übermittelt. Mitgeschickt werden neben der Datei nur die eigenen Firmendaten (Firmenwortlaut, Namensformen, UID, eigene IBANs und E-Mail-Adressen), weil erst sie die Richtung des Belegs entscheiden.

• Der Aufruf setzt store: false. Anfrage und Antwort werden damit nicht in der abrufbaren Historie des Kontos beim Anbieter abgelegt.
• Als Kennung wird keine Benutzer- oder Firmenkennung übermittelt, sondern ausschließlich ein SHA-256-Hash der Arbeitsbereichskennung. Er erlaubt dem Anbieter, wiederkehrenden Missbrauch zu erkennen, aber keinen Rückschluss auf das Unternehmen.
• Es gibt keinen zweiten KI-Aufruf über den Beleg hinaus. Die Zuordnung zwischen Zahlung und Beleg wird gerechnet, nicht gefragt.
• Über den Aufruf bleiben nur Zählwerte zurück — Modell, verbrauchte Zeichen, Ergebnis. Der Belegtext selbst wird nicht zusätzlich gespeichert.

Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung statt. Was das Modell liefert, ist ein Vorschlag; endgültig wird eine Zuordnung erst, wenn eine Person sie bestätigt.

Ob und wie lange OpenAI Anfragen darüber hinaus zur Missbrauchskontrolle vorhält, richtet sich nach den Bedingungen von OpenAI und nicht nach dieser Anwendung.

Über die folgenden vier Anbieter hinaus werden keine Daten weitergegeben. Es gibt keine Weitergabe zu Werbezwecken und keinen Verkauf von Daten.

Cloudflare, Inc. (USA)

Betrieb der Anwendung, Datenbank, Dateispeicher und Warteschlangen. Hier liegen alle Daten der Anwendung.

OpenAI (USA)

Auslesen der Belege. Übermittelt werden die Belegdatei und die eigenen Firmendaten.

Google (USA)

Nur bei verbundenem Postfach: lesender Zugriff auf Gmail über die Berechtigung gmail.readonly.

sevDesk GmbH (Deutschland)

Nur bei verbundenem sevdesk-Konto: lesender Abruf von Rechnungen, Kontakten, Artikeln und Nummernkreisen.

Gespeichert wird in der Europäischen Union. Die Datenbank ist bei Cloudflare ausdrücklich mit der EU-Jurisdiktion angelegt, der Dateispeicher für die Belege liegt in der Region Osteuropa. Das gilt für die Produktionsumgebung ebenso wie für jede Vorschauumgebung.

Der Programmcode selbst läuft im weltweiten Netz von Cloudflare, also an dem Standort, der der abrufenden Person am nächsten liegt. Die gespeicherten Daten verlassen die EU dabei nicht.

Bei der Auswertung eines Belegs durch OpenAI und beim Zugriff auf Gmail werden Daten an Anbieter mit Sitz in den Vereinigten Staaten übermittelt. Diese Übermittlung findet statt, sobald ein Beleg ausgelesen oder ein Postfach verbunden wird.

• Der Erneuerungsschlüssel für ein Gmail-Postfach wird mit AES-GCM verschlüsselt gespeichert. Im Klartext steht er nirgends in der Datenbank.
• Der sevdesk-API-Schlüssel wird mit AES-256-GCM verschlüsselt. In der Datenbank stehen nur der verschlüsselte Wert, ein zufälliger Einmalwert, die Schlüsselversion und ein gekürzter Fingerabdruck. Als mitauthentifizierter Kontext dient die Kennung des Arbeitsbereichs, sodass ein verschlüsselter Wert in keinem anderen Arbeitsbereich entschlüsselt werden kann.
• Kein Zugangsschlüssel wird an den Browser ausgeliefert, in eine Warteschlange geschrieben oder protokolliert.

belege.monster setzt genau ein Cookie: den Sitzungsschlüssel. Er ist HttpOnly, Secure und SameSite=Lax und läuft nach 30 Tagen ab. Er ist für den Betrieb erforderlich; ohne ihn gibt es keine Anmeldung.

Im Browser wird zusätzlich die Einstellung für helles oder dunkles Erscheinungsbild lokal abgelegt. Sie wird nicht an den Server gesendet.

Es sind keine Analyse-, Werbe- oder Trackingdienste eingebunden. Die Schriften werden mit der Anwendung ausgeliefert und nicht von einem fremden Server nachgeladen. Deshalb gibt es auch keinen Cookie-Hinweis: es gibt nichts einzuwilligen.

• Zahlungen, Belege und Stammdaten bleiben gespeichert, solange der Arbeitsbereich besteht. Eine automatische Löschfrist gibt es nicht — der Zweck der Anwendung ist gerade, dass ein Monatsabschluss auch Jahre später noch nachvollziehbar ist.
• Sitzungen laufen nach 30 Tagen ab und werden beim Abmelden sofort gelöscht. Zustandswerte einer Postfachverbindung verfallen nach zehn Minuten.
• Der Monatsabschluss lässt sich jederzeit als ZIP-Archiv herunterladen: die Originalbelege des Monats, die Zuordnung als CSV-Datei und die Liste der offenen Fälle.
• Die Löschung eines Arbeitsbereichs samt aller Zahlungen, Belege und Dateien erfolgt auf Anfrage an office@devjobs.at. Eine Schaltfläche dafür gibt es in der Anwendung noch nicht; das steht hier, weil es so ist und nicht, wie es sein sollte.

• Konto, Arbeitsbereich und die Verarbeitung der importierten Daten: Erfüllung des Nutzungsverhältnisses nach Art. 6 Abs. 1 lit. b DSGVO.
• Protokolle über Zuordnungen und Importe sowie technische Protokolle: berechtigtes Interesse an Nachvollziehbarkeit und sicherem Betrieb nach Art. 6 Abs. 1 lit. f DSGVO.
• Verbindung eines Gmail-Postfachs oder eines sevdesk-Kontos: die ausdrückliche Freigabe durch die nutzende Person, die jederzeit durch Trennen der Verbindung widerrufen werden kann.

Die Zuordnung der Rechtsgrundlagen und die Verantwortlichkeit für Daten Dritter auf Belegen werden fachlich geprüft. Diese Erklärung beschreibt zuverlässig, was die Anwendung tut; sie ist keine Rechtsberatung.

Es bestehen die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine Nachricht an office@devjobs.at genügt.

Wer sich beschweren möchte, kann sich an die österreichische Datenschutzbehörde wenden: Barichgasse 40–42, 1030 Wien, dsb.gv.at.

Für die Entwicklung besteht neben der Produktionsumgebung eine Vorschauumgebung. In sie wird ausschließlich der Arbeitsbereich eines eigens dafür angelegten Testkontos gespiegelt. Arbeitsbereiche anderer Unternehmen werden nicht kopiert, und die Vorschauumgebung hat keinen Zugriff auf die Produktionsdaten. Auch die Datenbanken der Vorschau sind mit der EU-Jurisdiktion angelegt.

Ändert sich, was die Anwendung tut, ändert sich diese Erklärung mit. Jede Fassung trägt oben ihren Stand mit Datum, sodass erkennbar bleibt, wann zuletzt etwas anders geworden ist.