Datenschutz

1. Verantwortlich

Für die Konten auf diesem Server (Anmeldung, Sicherheit, Einladungen) ist verantwortlich: [Name], [Anschrift], [E-Mail]. Eine Datenschutzbeauftragte ist nicht benannt (keine Pflicht für ein privates Angebot dieser Größe).

2. Was hier verarbeitet wird

• Konto: Benutzername, Name, E-Mail-Adresse, Passwort (nur als Argon2-Hash), zweiter Faktor (TOTP-Geheimnis verschlüsselt, Passkeys nur mit öffentlichem Schlüssel), Wiederherstellungscodes (nur als Hash).
• Sicherheit: Anmeldungen und Sitzungen mit Gerät, Browser und gekürzter IP-Adresse (IPv4 /24, IPv6 /48), Sicherheitsereignisse mit gehashter IP-Adresse, Zeitpunkt und Version deiner Zustimmung zu den Nutzungsbedingungen.
• Deine Firma: Alles, was du in Kontor einträgst (Rechnungen, Kunden, Belege, Bankdaten). Dafür bist du selbst verantwortlich; die Betreiberin verarbeitet diese Daten nur in deinem Auftrag (Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO).

3. Zwecke und Rechtsgrundlagen

• Bereitstellung von Kontor nach den Nutzungsbedingungen: Art. 6 Abs. 1 lit. b DSGVO.
• Schutz vor Missbrauch (Ratenbegrenzung, Sicherheitsprotokoll, Hinweis bei neuen Geräten): Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist die Sicherheit des Servers und deiner Daten.
• Optionale Prüfung des Passworts gegen bekannte Datenlecks (nur wenn eingeschaltet): Es verlassen nur die ersten fünf Zeichen eines SHA-1-Hashes den Server (k-Anonymität).

4. Cookies

Kontor setzt nur technisch notwendige Cookies: Sitzung, Schutz vor Fälschung von Anfragen (CSRF) und die gewählte Hell-/Dunkel-Darstellung (§ 25 Abs. 2 Nr. 2 TDDDG). Kein Tracking, keine Analyse, keine Werbung, keine Inhalte von fremden Servern.

5. Empfänger

• Serveranbieter: [Serveranbieter] (Auftragsverarbeiter).
• Dienste, die du für deine Firma selbst einschaltest (z. B. deine Bank per FinTS, ELSTER, dein Mailserver, dein KI-Anbieter), bekommen Daten nur auf deine Veranlassung. Mit deinem KI-Anbieter schließt du selbst den Vertrag.

6. Übermittlung in Drittländer

Der Server selbst übermittelt nichts in Drittländer. Schaltest du einen Anbieter außerhalb der EU ein (z. B. einen KI-Anbieter in den USA), gilt dessen Vertrag mit dir.

7. Speicherdauer

Kontodaten, bis dein Konto gelöscht wird. Sitzungen enden nach höchstens 8 Stunden. Sicherheitsereignisse bleiben, solange das Konto besteht. Nach einer Löschung bleiben Daten in den verschlüsselten Sicherungen, bis deren Aufbewahrung abläuft (höchstens 24 Monate). Geschäftsdaten deiner Firma unterliegen deinen gesetzlichen Aufbewahrungspflichten (§ 147 AO, § 14b UStG).

8. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f (Art. 21 DSGVO). Den vollständigen Export und die Löschung deiner Firma startest du selbst unter Einstellungen → Verträge & Löschen. Du kannst dich bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO).

9. Pflicht zur Bereitstellung

Ohne Benutzername, Passwort und zweiten Faktor ist keine Anmeldung möglich. Die E-Mail-Adresse ist freiwillig; ohne sie gibt es keine Hinweise per Mail und kein „Passwort vergessen“. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO finden nicht statt.