Datenschutzerklärung

Hochgeladene Dokumente werden zur Datenextraktion durch ein KI-Modell (Google Gemini) verarbeitet; über welchen Dienst und an welchem Ort, steht unter 4.1. Die Originaldateien speichern wir nicht dauerhaft.

Die KI entscheidet nicht über Ihre Erklärung: Gelesene Werte und Zuordnungen sind Vorschläge, die fehlerhaft sein können. Sie sehen sie vor der Übermittlung, können sie ändern und bestätigen sie selbst.

Zur automatischen Erkennung und Datenextraktion aus hochgeladenen Dokumenten (z.B. Lohnsteuerbescheinigungen, Kontoauszüge, Gesellschaftsverträge, Handelsregisterauszüge, Jahresabschlüsse) nutzen wir das KI-Modell Google Gemini über die Google Gemini API (Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA).

Ort der Verarbeitung: Dieser Dienst sagt keinen Ort der Verarbeitung zu. Ihre Daten können in den USA und in anderen Ländern verarbeitet werden, in denen Google Rechenzentren betreibt; die Grundlage der Übermittlung steht unter 4.3.

Auftragsverarbeitung: Google verarbeitet die Daten in unserem Auftrag auf Grundlage des Zusatzes zur Auftragsverarbeitung, der für den kostenpflichtigen Dienst gilt (Art. 28 DSGVO).

Verarbeitete Daten: Die Inhalte Ihrer hochgeladenen Dokumente werden zur Klassifizierung und Datenextraktion an Google Gemini übermittelt. Dies umfasst Dokumentenbilder und PDF-Inhalte.

Zweck: Automatische Erkennung des Dokumenttyps und Extraktion steuerlich relevanter Daten, um den manuellen Eingabeaufwand zu reduzieren.

Kein KI-Training mit Ihren Daten: Wir nutzen ausschließlich den kostenpflichtigen Dienst. Gemäß den hierfür geltenden Google-Nutzungsbedingungen werden Ihre Daten nicht zum Training von KI-Modellen verwendet.

Speicherung: Zur Verarbeitung werden die Dokumentinhalte (Bild bzw. PDF) an Google Gemini übermittelt; dies ist für die Datenextraktion technisch erforderlich. Wir speichern die hochgeladenen Originaldateien nicht dauerhaft auf unserem Server. Nach der Verarbeitung speichern wir ausschließlich die extrahierten Textdaten in unserer Datenbank. Eine kurzfristige Verarbeitung bei Google zur Missbrauchsvermeidung nach deren Vorgaben ist möglich.

Fehlerfall: Scheitert die automatische Verarbeitung eines Dokuments, speichern wir das betroffene Dokument für maximal 30 Tage, ausschließlich um den Verarbeitungsfehler zu analysieren und zu beheben (Art. 6 Abs. 1 lit. b und f DSGVO). Danach wird es automatisch gelöscht. Ebenso protokollieren wir bei fehlgeschlagenen Übermittlungen an die Finanzverwaltung die dabei verarbeiteten Erklärungsdaten, um den Fehler beheben und Sie gegebenenfalls kontaktieren zu können.

Bank-Kategorisierung: Zur Zuordnung von Bankumsätzen (EÜR/UStVA) übermitteln wir Transaktionsdaten (Datum, Betrag, Empfänger bzw. Zahler, Verwendungszweck) sowie zur Einordnung erforderliche Stammdaten Ihres Unternehmens (Firmenname, Geschäftszweck und ggf. Namen von Gesellschaftern bzw. Geschäftsführern) als Text an Google Gemini. Zurückgegeben werden Kategorisierungsvorschläge, die Sie prüfen und bestätigen.

Fragen in der Leiste: Wenn Sie hierfür Ihre Einwilligung erteilen (Art. 6 Abs. 1 lit. a DSGVO, jederzeit widerrufbar unter Einstellungen, Datenschutz), übermitteln wir zur Beantwortung Ihrer Frage die Zeilen Ihrer Steuerberechnung, die Angaben Ihrer Erklärung und die Kennzahlen Ihrer Belege als Text an Google Gemini; nicht übermittelt werden Steuer-ID, Anschrift und Bankverbindung. Ihre Fragen und die Antworten speichern wir mit Zeitpunkt, Steuerobjekt und Seite in Ihrem Konto, damit Sie sie später wiederfinden. Die Antworten sind Auskünfte einer Software und keine Steuerberatung. Sie können den Verlauf jederzeit unter Einstellungen, Datenschutz löschen; mit der Kontolöschung wird er entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Dokumentenverarbeitung ist erforderlich, um die von Ihnen gewünschte Dienstleistung (Steuererklärung) zu erbringen.

Identitätsprüfung (Ausweisdokumente): Sofern Sie zur gesetzlich vorgeschriebenen Identitätsprüfung vor einer ELSTER-Übermittlung (§ 87d AO) ein Ausweisdokument (Personalausweis, Reisepass oder Aufenthaltstitel) hochladen, wird das Dokumentbild ebenfalls zur Datenextraktion an Google Gemini übermittelt. Das Bild wird nicht gespeichert (zu Unterlagen, die Sie für eine Prüfung durch einen Menschen nachreichen, siehe Abschnitt 5). Gespeichert wird die gesetzlich vorgeschriebene Aufzeichnung der Identifizierung (Name, Geburtsdatum, Dokumentart und -nummer, Ablaufdatum, Prüfergebnis, Zeitpunkt sowie Ihre Bestätigung der Berechtigung). Diese Aufzeichnung müssen wir nach § 87d Abs. 2 AO fünf Jahre ab Ablauf des Jahres der letzten Datenübermittlung aufbewahren und auf Verlangen der Finanzverwaltung vorlegen; sie bleibt deshalb auch nach einer Kontolöschung bestehen (Art. 17 Abs. 3 lit. b DSGVO). Rechtsgrundlage der Verarbeitung: Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 87d AO (rechtliche Verpflichtung). Prüfen Sie das Dokument einer anderen Person (z. B. der Geschäftsführung), sind Sie dafür verantwortlich, zu deren Verwendung berechtigt zu sein.

Vertretungsnachweis: Reichen Sie für eine andere Person oder Gesellschaft ein, ohne selbst deren vertretungsberechtigtes Organ zu sein, hält die Aufzeichnung zusätzlich fest, für wen Sie gehandelt haben und auf welcher Grundlage (Vollmacht nach § 80 AO oder Bevollmächtigungsvermutung nach § 80 Abs. 2 AO für die steuerberatenden Berufe). Eine hochgeladene Vollmacht wird zur Datenextraktion an Google Gemini übermittelt und gemeinsam mit der Aufzeichnung für dieselbe gesetzliche Dauer aufbewahrt. Sie enthält typischerweise Namen und Anschriften von Vollmachtgeber und Bevollmächtigtem sowie den Umfang der Vertretung.

Erklärungen zur Rechnung (nur mit Ihrer Einwilligung): In Schritt 5 der Einkommensteuererklärung können Sie Fragen zu Ihrer Rechnung stellen. Dafür übermitteln wir die Zeilen der Rechnung, die gespeicherten Angaben Ihrer Erklärung und die Kennzahlen Ihrer Belege als Text an Google Gemini; nicht übermittelt werden Ihre Steuer-Identifikationsnummer, Anschriften, Bankverbindung und Ausweisdaten. Die Antworten erklären, was in Ihrer Rechnung steht; sie sind keine Steuerberatung. Diese Verarbeitung ist für den Vertrag nicht erforderlich und findet nur statt, wenn Sie vor der ersten Frage eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO). Sie können die Einwilligung jederzeit in den Einstellungen unter Datenschutz widerrufen. Fragen und Antworten speichern wir nicht; wir protokollieren nur Zeitpunkt, Umfang und Kosten der Anfrage.

Übermittlung: Ihre Steuererklärungen und Voranmeldungen übermitteln wir nach Ihrer Freigabe über die amtliche Schnittstelle ERiC an die Finanzverwaltung, mit dem Organisationszertifikat der Devin Lemcke Capital UG als Datenübermittler nach § 87d AO. Übermittelt werden die Daten, die Sie zuvor geprüft haben, dazu die Kennung unserer Software. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. c DSGVO i.V.m. § 87d AO.

Postfach: Bescheide und Mitteilungen, die die Finanzverwaltung zu Ihren Übermittlungen zurücksendet, rufen wir über dasselbe Zertifikat ab und legen sie in Ihrem Eingang ab. Da das Zertifikat für alle Nutzer dasselbe ist, erhalten wir beim Abruf auch Mitteilungen, die sich keinem Konto zuordnen lassen; diese werden nicht gespeichert, nur ihre Anzahl. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Belegabruf (vorausgefüllte Steuererklärung): Auf Ihren Wunsch stellen wir bei ELSTER einen Antrag, die Bescheinigungen abzurufen, die Dritte über Sie gemeldet haben: Arbeitgeber (Lohnsteuerbescheinigung), Banken (Freistellungsaufträge), Versicherer, Träger von Lohnersatzleistungen und die Rentenversicherung. Dafür übermitteln wir Ihre Steuer-Identifikationsnummer und Ihr Geburtsdatum an ELSTER; die Erlaubnis erteilen Sie selbst, mit dem Freischaltcode aus dem Brief des Finanzamts oder in Ihrem ELSTER-Konto. Abgerufene Bescheinigungen speichern wir in Ihrem Eingang und verwenden sie, um Ihre Erklärung vorzubelegen; an Dienste außerhalb der EU werden sie nicht übermittelt. Sie können die Erlaubnis jederzeit in den Einstellungen zurücknehmen; danach rufen wir keine neuen Bescheinigungen ab, bereits abgerufene bleiben bis zur Löschung Ihres Kontos oder auf Ihren Wunsch. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, durch Ihren Antrag erteilt) und lit. b DSGVO (Vertragserfüllung).

Was die Software entscheidet: Vor jeder Übermittlung an die Finanzverwaltung prüft die Software ohne Zutun eines Menschen, ob Ihre Identität festgestellt ist und ob Sie für den Auftraggeber handeln dürfen (§ 87d Abs. 2 AO). Sie liest dafür die Angaben aus dem Ausweisdokument, prüft dessen Prüfziffern und Ablaufdatum und gleicht den Namen mit den Personen ab, die für das Steuerobjekt als vertretungsberechtigt hinterlegt sind. Weicht der Name ab, prüft sie eine hochgeladene Vollmacht auf Vollmachtgeber, Bevollmächtigten, Umfang, Gültigkeit und Unterschrift oder berücksichtigt Ihre Erklärung, einem steuerberatenden Beruf anzugehören.

Folge: Besteht eine dieser Prüfungen nicht, übermitteln wir die Erklärung nicht. Weitere Folgen hat die Entscheidung nicht: Ihr Guthaben wird nicht belastet, Ihre Angaben bleiben gespeichert, und Sie können die Erklärung jederzeit selbst über Mein ELSTER (www.elster.de) abgeben. Bitte beachten Sie, dass Ihre Abgabefristen unabhängig von dieser Prüfung laufen.

Prüfung durch einen Menschen: Sie können an der Stelle, an der die Übermittlung gesperrt ist, verlangen, dass ein Mensch die Entscheidung prüft, Ihren Standpunkt dazu schreiben und Unterlagen nachreichen (Art. 22 Abs. 3 DSGVO). Über den Antrag entscheidet ein Mensch bei der Devin Lemcke Capital UG (haftungsbeschränkt). Bestätigt er die Sperre, erfahren Sie die Begründung und können die Entscheidung mit einem neuen Antrag anfechten; Sie erreichen uns dafür auch unter kontakt@steuernaut.de.

Gespeicherte Daten: Zum Antrag speichern wir Ihren Standpunkt, die nachgereichten Unterlagen und den Grund der Sperre. Die Unterlagen löschen wir, sobald entschieden ist; es bleiben ihr Dateiname und eine Prüfsumme. Die Entscheidung mit Zeitpunkt, Begründung und dem Namen des Entscheidenden bewahren wir zusammen mit der Aufzeichnung der Identifizierung auf (§ 87d Abs. 2 AO, fünf Jahre ab Ablauf des Jahres der letzten Datenübermittlung). Ein Antrag, über den noch nicht entschieden ist, wird mit der Löschung Ihres Kontos gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. c DSGVO i.V.m. § 87d AO. An Dienste zur KI-Verarbeitung übermitteln wir die Unterlagen eines solchen Antrags nicht.