Datenschutzerklärung

Hammaräng Solutions AB („wir“, „uns“) betreibt den Dienst Dossify unter dossify.eu. Diese Erklärung beschreibt, welche personenbezogenen Daten wir dabei verarbeiten. Es gilt die Fassung, die oben genannt ist.

1. Verantwortlicher

Hammaräng Solutions AB
Fjärdingsmåla Hammaräng
364 95 Älghult, Schweden
Org.-Nr.: 559455-4957

E-Mail: office@dossify.eu

2. Rollenverteilung

Für Ihre Registrierungs- und Kontodaten, für die Kommunikation mit Ihnen und für den technischen Betrieb der Website sind wir Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.

Die Inhalte der von Ihnen hochgeladenen Dokumente verarbeiten wir dagegen ausschließlich in Ihrem Auftrag und nach Ihren Weisungen als Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Verantwortlicher für diese Inhalte bleiben Sie. Einen Auftragsverarbeitungsvertrag stellen wir Ihnen auf Anfrage zur Verfügung.

3. Welche Daten wir verarbeiten

Registrierung und Kundenkonto

Daten

Firmenname, Umsatzsteuer-Identifikationsnummer, Anschrift (Straße, Postleitzahl, Ort) und Land, Name und Funktion der Kontaktperson, Telefonnummer (optional), E-Mail-Adresse.

Zweck

Bereitstellung und Verwaltung Ihres Nutzerkontos, Zuordnung Ihrer Prüfaufträge, Abrechnung.

Rechtsgrundlage

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Speicherdauer

Für die Dauer des Vertragsverhältnisses. Danach löschen wir Ihre Kontodaten. Melden Sie sich 24 Monate lang nicht an und nutzen Sie Ihr Konto in dieser Zeit nicht, endet der Vertrag, und wir löschen Ihr Konto. Wir teilen das 30 Tage vorher per E-Mail mit. Jede Löschung eines Kontos halten wir in einem Löschprotokoll fest: Zeitpunkt, Grund und ein Pseudonym, das ohne einen nur uns bekannten Schlüssel keinen Rückschluss auf Sie zulässt. Das Protokoll bewahren wir sieben Jahre auf (Art. 6 Abs. 1 lit. c DSGVO), um nachweisen zu können, dass wir gelöscht haben. Sie können Ihr Konto auch jederzeit selbst löschen; damit entfernen wir zugleich Ihre hochgeladenen Dateien und Prüfberichte. Ausgenommen sind, sobald Sie bei uns gekauft haben, Ihre Angaben in unseren steuerlichen Aufzeichnungen: Firmenname, Umsatzsteuer-Identifikationsnummer und Land, die vollständige Antwort der VIES-Abfrage (mit Name und Anschrift des Unternehmens, wie das VIES-Register sie liefert), die Rechnung mit Ihrer Rechnungsanschrift und E-Mail-Adresse und der Zahlungsbeleg. Diese Angaben bleiben länger gespeichert – die Frist dafür steht im Abschnitt „Kauf, Rechnung und steuerliche Aufzeichnungen“.

Anmeldung per Einmalcode

Daten

E-Mail-Adresse, Zeitpunkt der Anmeldung und der an Sie versendete Einmalcode.

Zweck

Authentifizierung ohne Passwort.

Rechtsgrundlage

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), ergänzend berechtigtes Interesse an einer sicheren Anmeldung (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer

Einmalcodes verfallen kurzfristig und werden anschließend entwertet.

Prüfung der Umsatzsteuer-Identifikationsnummer

Daten

Länderkennung und Umsatzsteuer-Identifikationsnummer werden über unseren Server an das MwSt-Informationsaustauschsystem (VIES) der Europäischen Kommission übermittelt. Wir speichern die vollständige Antwort von VIES: Prüfergebnis, Prüfzeitpunkt, Konsultationsnummer und – soweit der Mitgliedstaat sie herausgibt – den dort hinterlegten Namen und die dort hinterlegte Anschrift.

Zweck

Nachweis der Unternehmereigenschaft und umsatzsteuerliche Einordnung.

Rechtsgrundlage

Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO), ergänzend Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Speicherdauer

Wie die übrigen Kontodaten. Sobald Sie bei uns gekauft haben, stehen die vollständige Antwort der VIES-Abfrage, ihre Konsultationsnummer und der Prüfzeitpunkt zusätzlich in unseren steuerlichen Aufzeichnungen und bleiben dort länger gespeichert – die Frist dafür steht im Abschnitt „Kauf, Rechnung und steuerliche Aufzeichnungen“.

Zuordnung der Umsatzsteuer-Identifikationsnummer zu Ihrem Unternehmen

Daten

Die Domain Ihrer E-Mail-Adresse. Wir rufen die öffentliche Webseite dieser Domain ab und suchen dort nach Ihrer Umsatzsteuer-Identifikationsnummer. Wir speichern die Adresse der Seite, auf der wir sie gefunden haben. Finden wir sie nicht, bitten wir Sie per E-Mail um eine Bescheinigung Ihrer Steuerbehörde; diese erhalten wir als Anhang Ihrer Antwort.

Zweck

Nachweis, dass wir Leistungen ohne Umsatzsteuer an ein Unternehmen erbracht haben, und Schutz vor der Nutzung fremder Umsatzsteuer-Identifikationsnummern.

Rechtsgrundlage

Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 18 Durchführungsverordnung (EU) Nr. 282/2011).

Speicherdauer

Die Fundstelle wie die übrigen Kontodaten. Die Bescheinigung bewahren wir so lange auf, wie wir den Nachweis gegenüber der Steuerbehörde führen müssen.

Hochgeladene Dokumente und deren Auswertung

Daten

Die hochgeladene PDF-Datei, ihr Dateiname und der Upload-Zeitpunkt sowie die daraus ausgelesenen Angaben: Hersteller, Produkt und Modell, beanspruchte Richtlinien, referenzierte Normen, benannte Stelle sowie Name, Funktion, Ort und Datum des Unterzeichners.

Zweck

Durchführung der von Ihnen beauftragten Dokumentenanalyse und Erstellung des Prüfberichts.

Rechtsgrundlage

Verarbeitung im Auftrag (Art. 28 DSGVO). Verantwortlicher ist der Auftraggeber.

Speicherdauer

Wir speichern hochgeladene Dokumente und die daraus erzeugten Prüfberichte so lange, wie Sie es wünschen. Sie löschen einzelne Dokumente jederzeit in Ihrem Dashboard. Löschen Sie Ihr Konto, entfernen wir Ihr Konto, Ihre hochgeladenen Dateien und Ihre Prüfberichte vollständig. Eine Ausnahme besteht, wenn ein anderer Auftraggeber dieselbe Datei zur Prüfung eingereicht hat: Dann bleibt der Prüfbericht für ihn bestehen. Ein Bezug zu Ihnen oder zu Ihrem Konto besteht danach nicht mehr.

KI-gestützte Auswertung

Zur Auswertung der hochgeladenen Dokumente setzen wir neben regelbasierten Verfahren KI-Sprachmodelle ein. Reicht der ausgelesene Text nicht aus, erzeugen wir zusätzlich Bilder der Seiten und werten diese aus. Dabei werden Dokumentinhalte an unseren KI-Dienstleister übermittelt.

Eingesetzter Dienstleister: Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich (SIREN 952 418 325).
Wir nutzen die Programmierschnittstelle von Mistral AI. Der Sitz des Unternehmens und der von uns angesprochene Endpunkt liegen in der Europäischen Union. Mistral AI verarbeitet die Inhalte in unserem Auftrag; wir wählen das eingesetzte Modell selbst aus.
Mistral AI speichert die übermittelten Ein- und Ausgaben 30 Tage lang, um Missbrauch der Schnittstelle zu erkennen, und löscht sie danach. Eine Nutzung der Inhalte zum Training von KI-Modellen findet nicht statt: Sie setzt bei Mistral AI eine ausdrückliche Zustimmung voraus, die wir nicht erteilt haben.
Mistral AI kann die Inhalte zeitweise an Unterauftragsverarbeiter außerhalb der Europäischen Union übermitteln. Näheres dazu steht in Abschnitt 6. Die jeweils aktuelle Liste dieser Unternehmen veröffentlicht Mistral AI unter trust.mistral.ai/subprocessors.

Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt: Die Auswertung bezieht sich auf Dokumente, nicht auf Personen, und entfaltet keine rechtliche Wirkung gegenüber einer natürlichen Person. Zweifelhafte Befunde prüft zudem ein Mitarbeiter von uns nach.

Daten

Inhalte der hochgeladenen Dokumente, in Einzelfällen zusätzlich Bilder der Seiten.

Zweck

Auslesen der für die Prüfung erforderlichen Angaben aus dem Dokument.

Rechtsgrundlage

Verarbeitung im Auftrag (Art. 28 DSGVO).

Speicherdauer

Der Dienstleister speichert die übermittelten Inhalte 30 Tage lang zur Erkennung von Missbrauch und löscht sie danach. Eine darüber hinausgehende Speicherung findet nicht statt.

Prüfbericht und Ergebnisabruf

Daten

Der erstellte Prüfbericht sowie ein zufällig erzeugter Zugriffstoken.

Zweck

Bereitstellung des Ergebnisses für Sie.

Rechtsgrundlage

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Speicherdauer

Wie beim zugehörigen Dokument.

Kauf, Rechnung und steuerliche Aufzeichnungen

Daten

Wir führen zwei Aufzeichnungen. Im Steuerjournal stehen: Zeitpunkt des Umsatzes, Art des Vorgangs (Kauf oder Rückerstattung), Firmenname, USt-ID, Land, Rechnungsnummer, Nettobetrag, Steuerbetrag, Währung, die Kennungen von Rechnung und Zahlung bei Stripe sowie Konsultationsnummer und Zeitpunkt der VIES-Abfrage. In der Versandliste der Rechnungen stehen: Rechnungsnummer, Beträge, Währung, die E-Mail-Adresse, an die wir die Rechnung senden, und die Links auf die Rechnung bei Stripe. Ihre Rechnungsanschrift stammt aus Ihrem Konto; wir übermitteln sie an Stripe, damit sie auf der Rechnung steht. Die Zahlungsdaten selbst verarbeitet allein Stripe; wir sehen keine vollständige Kartennummer. Monatlich legen wir diese Aufzeichnungen zusammen mit der VIES-Antwort, der Rechnung und dem Zahlungsbeleg verschlüsselt in unserem Archiv bei Hetzner Online GmbH in Finnland ab.

Zweck

Abwicklung Ihres Kaufs, Ausstellung der Rechnung und Erfüllung unserer steuerlichen Melde- und Buchführungspflichten.

Rechtsgrundlage

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) aus bokföringslagen (1999:1078), mervärdesskattelagen (2023:200) und 35 kap. skatteförfarandelagen (2011:1244).

Speicherdauer

Das Steuerjournal bewahren wir bis zum Ende des siebten Jahres nach Ablauf des Kalenderjahres auf, in dem das Geschäftsjahr endete (7 kap. 2 § bokföringslagen). Das gilt auch für das Archiv. Die Versandliste der Rechnungen hängt dagegen an Ihrem Konto: Löschen Sie es, löschen wir sie mit. Die Rechnungen selbst liegen bei Stripe.

E-Mail-Benachrichtigungen

Daten

E-Mail-Adresse, Name sowie Inhalt der Nachricht und der Korrespondenz.

Zweck

Benachrichtigung über den Stand Ihrer Prüfaufträge, Versand von Einmalcodes und Beantwortung Ihrer Anfragen.

Rechtsgrundlage

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), bei allgemeinen Anfragen berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer

Löschung nach Abschluss des Vorgangs, spätestens nach 3 Jahren.

Server-Protokolldateien und Besucherstatistik

Daten

Unser Webserver erfasst bei jedem Abruf automatisch Server-Protokolldateien mit: IP-Adresse, Browser und Betriebssystem, abgerufene Seite, verweisende Seite, Datum und Uhrzeit. Aus diesen Protokollen bilden wir einmal täglich Summen: Aufrufe je Seite, Herkunft nach Domain der verweisenden Seite, Anzahl der Fehlerseiten sowie die Zahl der Abrufe durch Suchmaschinen-Crawler nach deren Namen (etwa Googlebot). Die Summen enthalten keine IP-Adresse, keine Browserkennung und keine Angabe, die sich einer Person zuordnen lässt. Wir zählen keine einzelnen Besucher und verknüpfen keine Abrufe miteinander. Ihr Browser führt dafür kein Skript aus.

Zweck

Betriebssicherheit, Fehlerdiagnose und Auswertung, welche Seiten gefragt sind.

Rechtsgrundlage

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO, ergänzt durch Dataskyddslagen (2018:218)) – sicherer Betrieb und Verbesserung der Website. Unser Server ist bei Hetzner Online GmbH in Deutschland gehostet.

Speicherdauer

Protokolldateien: automatische Löschung nach 14 Tagen durch tägliche Log-Rotation. Tagessummen: unbegrenzt, da ohne Personenbezug.

Chat-Assistent

Daten

Ihre Eingaben im Chat und die Antworten des Assistenten. Nutzen Sie das Kontaktformular im Chat, zusätzlich Name, E-Mail-Adresse und Ihr Anliegen. Beim Aufruf verarbeitet unser Server technisch Ihre IP-Adresse, auch zur Begrenzung der Anfragen je Adresse.

Zweck

Beantwortung von Fragen zu Dossify auf unserer Website und Weiterleitung Ihrer Anfrage an uns. Freie Fragen beantwortet ein KI-Sprachmodell von Mistral AI. Die Antworten sind keine Rechtsberatung; verbindlich ist allein der Prüfbericht. Bitte geben Sie im Chat keine vertraulichen Angaben ein.

Rechtsgrundlage

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) – Beantwortung von Anfragen und Schutz des Dienstes vor Missbrauch.

Speicherdauer

Gesprächsverläufe löschen wir automatisch nach 30 Tagen. Gelöschte Verläufe können bis zu 14 weitere Tage in unserer Datensicherung verbleiben. Server-Protokolle löschen wir nach 14 Tagen. Der Assistent läuft auf unserem eigenen Server bei Hetzner Online GmbH in Deutschland. Er setzt keine Cookies und speichert nichts in Ihrem Browser.

Warteliste

Daten

E-Mail-Adresse, Zeitpunkt der Eintragung und, sofern von Ihrem Browser übermittelt, Browserkennung und verweisende Seite.

Zweck

Benachrichtigung zum Start des Dienstes.

Rechtsgrundlage

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Speicherdauer

Bis zum Widerruf Ihrer Einwilligung, längstens bis zum Start des Dienstes und der anschließenden Benachrichtigung.

4. Cookies und lokale Speicherung

Wir setzen keine Cookies, keine Analyse- oder Tracking-Werkzeuge, keine Tracking-Pixel und keine Werbenetzwerke ein. Unsere Website lädt keine Inhalte von fremden Servern. Deshalb zeigen wir kein Cookie-Banner.

Im Speicher Ihres Browsers legen wir nur einen einzigen Eintrag ab, und nur wenn Sie sich anmelden:

Dieser Eintrag ist für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich. Er bedarf daher keiner Einwilligung (9 kap. 28 § Lag (2022:482) om elektronisk kommunikation, Art. 5 Abs. 3 Richtlinie 2002/58/EG).

5. Empfänger personenbezogener Daten

Über die folgenden Stellen hinaus geben wir Ihre personenbezogenen Daten nicht an Dritte weiter:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland und Finnland – Hosting, Server-Protokolldateien, Steuerarchiv und Datensicherung, Auftragsverarbeiter, Verarbeitung innerhalb der EU.
• ALL-INKL.COM - Neue Medien Münnich, Inhaber: René Münnich, Hauptstraße 68, D-02742 Friedersdorf, Deutschland – Versand unserer E-Mails, Auftragsverarbeiter, Verarbeitung innerhalb der EU.
• Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich – Auswertung der Dokumentinhalte über KI-Sprachmodelle und Betrieb des Chat-Assistenten, Auftragsverarbeiter, Verarbeitung innerhalb der EU. Mistral AI setzt hierfür weitere Unternehmen als Unterauftragsverarbeiter ein, teils außerhalb der EU – siehe Abschnitt 6. Die aktuelle Liste finden Sie unter trust.mistral.ai/subprocessors.
• Stripe Payments Europe, Limited, Dublin, Irland – Abwicklung Ihrer Zahlungen und Ausstellung der Rechnung. Einen Teil dieser Daten verarbeitet Stripe in unserem Auftrag, einen anderen Teil in eigener Verantwortlichkeit – etwa zur Betrugsabwehr und für die Pflichten, die Stripe als Zahlungsdienstleister selbst treffen. Stripe gehört zu einer Unternehmensgruppe mit Muttergesellschaft in den USA und kann Daten auch außerhalb der EU verarbeiten – siehe Abschnitt 6.
• Unser Steuerbüro in Schweden – Buchhaltung und Abgabe der Steuermeldungen. Wir übermitteln ihm dafür die Rechnungs- und Umsatzdaten. Verarbeitung innerhalb der EU.
• Skatteverket, die schwedische Steuerbehörde – sie erhält unsere Steuermeldungen. In der zusammenfassenden Meldung (periodisk sammanställning) stehen Ihre USt-ID und der Umsatz des Meldezeitraums. Den Weg dorthin nehmen die Daten über unser Steuerbüro, das die Meldung für uns abgibt. Verarbeitung innerhalb der EU.
• Europäische Kommission – Prüfung der Umsatzsteuer-Identifikationsnummer über das VIES. Die Anfrage geht von dort an den Mitgliedstaat, der Ihre Nummer erteilt hat. Verarbeitung innerhalb der EU.

6. Übermittlung in Drittländer

Alle in Abschnitt 5 genannten Stellen haben ihren Sitz in der Europäischen Union. Bei Hetzner, ALL-INKL.COM, unserem Steuerbüro, Skatteverket und der Europäischen Kommission bleiben Ihre Daten auch dort. In zwei Fällen können Daten die Europäische Union verlassen: bei Mistral AI, das Unterauftragsverarbeiter außerhalb der EU einsetzt, und bei der Zahlungsabwicklung über Stripe. Die beiden folgenden Absätze beschreiben diese Fälle.

Als KI-Dienstleister lassen wir ausschließlich Unternehmen zu, deren Sitz und deren Muttergesellschaft in der Europäischen Union liegen.

Der erste Fall betrifft die Unterauftragsverarbeiter von Mistral AI: Mistral AI kann die übermittelten Dokumentinhalte und Chat-Eingaben je nach genutzter Funktion zeitweise an Unternehmen außerhalb der Europäischen Union übermitteln. Mistral AI stützt diese Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) und ergreift zusätzliche Schutzmaßnahmen. Die jeweils aktuelle Liste dieser Unternehmen mit den Orten der Verarbeitung veröffentlicht Mistral AI unter trust.mistral.ai/subprocessors.

Der zweite Fall betrifft Stripe. Unser Vertragspartner Stripe Payments Europe, Limited sitzt in Dublin, Irland, gehört aber zu einer Gruppe, deren Muttergesellschaft Stripe, Inc. in den USA sitzt. Stripe kann Zahlungs- und Rechnungsdaten deshalb auch in die USA übermitteln. Stripe nennt dafür zwei Grundlagen: die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) und eine Zertifizierung der Stripe, Inc. nach dem Datenschutzrahmen EU-USA (Art. 45 DSGVO). Beides sind Angaben von Stripe, die wir nicht nachprüfen konnten. Einzelheiten beschreibt Stripe unter stripe.com/legal/privacy-center.

Eine Kopie der Standardvertragsklauseln, auf die sich Mistral AI und Stripe stützen, erhalten Sie auf Anfrage an office@dossify.eu; wir fordern sie dann beim jeweiligen Unternehmen an (Art. 13 Abs. 1 lit. f DSGVO).

7. Ihre Rechte

Nach der Datenschutz-Grundverordnung (DSGVO) stehen Ihnen folgende Rechte zu:

• Auskunftsrecht (Art. 15): Sie haben das Recht zu erfahren, ob wir personenbezogene Daten von Ihnen verarbeiten, und ggf. Zugang zu diesen Daten zu erhalten.
• Recht auf Berichtigung (Art. 16): Sie haben das Recht, unrichtige Daten berichtigen zu lassen.
• Recht auf Löschung (Art. 17): Sie haben das Recht, die Löschung Ihrer Daten zu verlangen („Recht auf Vergessenwerden“). Ausgenommen sind Daten, die wir gesetzlich aufbewahren müssen – vor allem unser Steuerjournal, das bis zum Ende des siebten Jahres nach Ablauf des betreffenden Geschäftsjahres bestehen bleibt (Art. 17 Abs. 3 lit. b DSGVO). Näheres steht im Abschnitt „Kauf, Rechnung und steuerliche Aufzeichnungen“.
• Recht auf Einschränkung (Art. 18): Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen.
• Recht auf Datenübertragbarkeit (Art. 20): Sie haben das Recht, von Ihnen bereitgestellte Daten in einem strukturierten, maschinenlesbaren Format zu erhalten.
• Widerspruchsrecht (Art. 21): Sie haben das Recht, der Verarbeitung auf Basis berechtigter Interessen zu widersprechen.
• Soweit die Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).
• Beschwerderecht bei einer Aufsichtsbehörde (Art. 77): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren – siehe Abschnitt 8.

Betreffen Ihre Rechte Inhalte hochgeladener Dokumente, für die wir nur Auftragsverarbeiter sind, leiten wir Ihr Anliegen an den jeweils Verantwortlichen weiter oder unterstützen diesen bei der Beantwortung.

Um Ihre Rechte geltend zu machen, wenden Sie sich bitte an office@dossify.eu.

8. Aufsichtsbehörde

Sie haben nach Art. 77 DSGVO das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen. Da wir unsere Niederlassung in Schweden haben, ist die schwedische Datenschutzbehörde Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, für uns federführend zuständig. www.imy.se

Unabhängig davon können Sie sich auch an die Aufsichtsbehörde des Mitgliedstaats Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden – Kunden in Deutschland also beispielsweise an die für sie zuständige Landesdatenschutzbehörde.

9. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Erklärung zu aktualisieren. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite.