Datenschutzerklärung
Stand: 8. August 2026.
1. Verantwortlicher
Pavel Bach, Prinzregentenstr. 130, 81677 München, info@steuer4me.de. Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen derzeit nicht vor.
2. Welche Daten wir verarbeiten
- Kontodaten: E-Mail-Adresse und Anmeldekennung aus dem Identitätsdienst (Zitadel).
- Steuerprofil: Name, Anschrift, Geburtsdatum, Steuer-Identifikationsnummer, Steuernummer, Finanzamt, Familienstand, Steuerklasse, Bankverbindung, Angaben zu Kindern und Ehe- oder Lebenspartnern.
- Belege und Buchungen: hochgeladene Dokumente (Lohnsteuerbescheinigungen, Kontoauszüge, Rechnungen, WEG-Abrechnungen) und die daraus gewonnenen Buchungssätze.
- Besondere Kategorien (Art. 9 DSGVO): Religionszugehörigkeit (über die Kirchensteuer), Gesundheitsdaten (Krankheitskosten-Belege), Gewerkschaftszugehörigkeit (Mitgliedsbeiträge).
- Übermittlungsdaten: der an die Finanzverwaltung gesendete Datensatz, das Transferticket, abgerufene Bescheiddaten.
- Protokolldaten: Prüfprotokoll je Fall (wer hat was wann geändert), technische Server-Logs ohne Belegsinhalte.
3. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Erstellung und Übermittlung Ihrer Steuererklärung | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| KI-gestützte Auswertung Ihrer Belege | Art. 6 Abs. 1 lit. b und Art. 9 Abs. 2 lit. a DSGVO (Einwilligung) |
| Identitätsfeststellung des Auftraggebers vor der Übermittlung | Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 87d AO |
| Aufbewahrung übermittelter Erklärungen und Belege | Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 147, 87d AO |
| Betrieb, Fehlersuche und Sicherheit der Plattform | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
4. KI-gestützte Verarbeitung
Zur Kategorisierung von Buchungen, zum Auslesen von Belegen und zur Erstellung von Hinweistexten setzen wir große Sprachmodelle ein. Dabei werden die Inhalte Ihrer Belege einschließlich Namen, Verwendungszwecken und - bei der Belegauswertung - der vollständigen Dokumentdatei an die eingesetzten Anbieter übermittelt.
Anbieter sind Anthropic PBC und Groq Inc., beide mit Sitz in den USA. Mit beiden bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO; die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914, Modul 2), die Bestandteil der am 15.08.2026 mit beiden Anbietern geschlossenen Auftragsverarbeitungsverträge sind; eine etwaige Zertifizierung nach dem EU-U.S. Data Privacy Framework tritt ergänzend hinzu, die Übermittlung stützt sich nicht allein darauf. Die Anbieter verwenden die übermittelten Daten vertraglich nicht zum Training ihrer Modelle. Die vollständige Liste finden Sie unter Unterauftragsverarbeiter.
Diese Verarbeitung findet nur statt, wenn Sie die Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO erteilt haben. Ohne Einwilligung bleiben die Berechnung, die Formulare und die Übermittlung nutzbar; die automatische Belegauswertung unterbleibt. Sie können die Einwilligung jederzeit in den Einstellungen mit Wirkung für die Zukunft widerrufen.
Alle steuerlichen Beträge berechnet ausschließlich unsere deterministische Berechnungs-Engine. KI-Systeme schlagen Kategorien, Zuordnungen und Hinweistexte vor; Sie prüfen und bestätigen jede Position vor der Abgabe. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.
Prompts und Antworten der Sprachmodelle werden nicht gespeichert. Festgehalten wird nur das Ergebnis (Kategorie, Konfidenz, Begründungstext und das verwendete Modell) im Prüfprotokoll des Falls.
5. Empfänger
- Hetzner Online GmbH - Hosting und Objektspeicher, Deutschland und Finnland.
- Anthropic PBC, Groq Inc. - KI-Auswertung, USA.
- Zitadel (Zitadel Cloud, betrieben von CAOS AG, St. Gallen, Schweiz; Verarbeitungsregion USA) - Anmeldung und Identitätsverwaltung.
- Die Finanzverwaltung als Empfängerin der von Ihnen freigegebenen Übermittlung über die ERiC-Schnittstelle.
6. Speicherdauer
- Übermittelte Erklärungen, die zugehörigen Belege und Bescheide: zehn Jahre (§ 147 AO). Der Löschlauf entfernt Belege nach Ablauf dieser Frist.
- Nachweis der Identitätsfeststellung nach § 87d AO: fünf Jahre. Dieser Nachweis bleibt auch nach einer Kontolöschung bestehen; das schreibt das Gesetz so vor.
- Einwilligungsnachweise: Kontolaufzeit zuzüglich drei Jahren.
- Kontodaten: bis zur Löschung des Kontos.
7. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung können Sie jederzeit widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
Auskunft und Datenübertragbarkeit erhalten Sie sofort und ohne Anfrage: unter Einstellungen → Datenexport laden Sie sämtliche zu Ihrem Konto gespeicherten Datensätze als JSON-Datei herunter.
Löschungen können wir nur insoweit ausführen, wie keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 Abs. 3 lit. b DSGVO). Die oben genannten Fristen nach §§ 147, 87d AO gehen einem Löschverlangen vor; betroffene Daten werden dann gesperrt statt gelöscht.
Sie können sich bei einer Aufsichtsbehörde beschweren, insbesondere bei der für uns zuständigen Behörde Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.
8. Erforderlichkeit der Bereitstellung
Die Angaben zum Steuerprofil sind für die Erstellung der Erklärung und ihre Übermittlung erforderlich; ohne sie kann der Dienst seinen Zweck nicht erfüllen. Die Einwilligung in die KI-Auswertung ist freiwillig.
Entwurf. Die hervorgehobenen Angaben sind noch zu ergänzen; der Text ist vor Veröffentlichung anwaltlich zu prüfen.