Datenschutzerklärung für Heft

1. Verantwortlicher und Kontakt

Heft ist ein Produkt von NameQuick. Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Josef Moucachen
Overhoeksplein 3, 1031 KS Amsterdam, Niederlande
KvK (Handelsregister): 94099660
E-Mail: support@namequick.app

Für alle Fragen zum Datenschutz und um deine Rechte auszuüben, schreib an dieselbe Adresse. Einen Datenschutzbeauftragten haben wir nicht benannt, weil die DSGVO das für uns nicht verlangt. Weitere Angaben stehen im Impressum.

2. Zwei Rollen: dein Konto und die Daten deiner Firma

Heft verarbeitet Daten in zwei Rollen, und davon hängt ab, wer wofür verantwortlich ist.

• Als Verantwortlicher verarbeiten wir die Daten, die wir brauchen, um dir ein Konto zu geben und Heft sicher zu betreiben: deine Anmeldung, deine Geräte, Sicherheitsprotokolle, Nachrichten an dich und den Nachweis, dass du die Bedingungen angenommen hast. Dafür gilt diese Erklärung vollständig (Abschnitt 3).
• Als Auftragsverarbeiter verarbeiten wir die Daten deiner Firma: Bankumsätze, Belege, Rechnungen, Buchungen und was du Heft dazu im Chat sagst. Verantwortlich dafür ist deine Firma. Wir verarbeiten diese Daten nur nach ihren Weisungen und nach dem Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO), den die Firma bei der Anmeldung abschließt. Abschnitt 4 beschreibt, was dabei passiert.

Auf Belegen und Kontoauszügen stehen auch andere Menschen, etwa Lieferanten, Kunden oder Mitarbeitende deiner Firma. Wenn du so jemand bist und wissen willst, was mit deinen Daten passiert, wende dich bitte an die Firma, deren Unterlagen Heft führt. Wir helfen ihr, deine Anfrage zu beantworten.

3. Was wir als Verantwortlicher verarbeiten

Anmeldung und Konto

Wir speichern deine E-Mail-Adresse, deinen Namen, deine Sprache und wann du dich zuletzt angemeldet hast. Zum Anmelden schicken wir dir einen Code per E-Mail. Den Code, deine Adresse und dein Netz (die IP-Adresse, gekürzt auf das Netz) speichern wir dabei nur als Prüfsumme, nie im Klartext, und löschen sie nach zwei Tagen. Ein Code gilt zehn Minuten.

Für Passkeys speichern wir nur den öffentlichen Teil des Schlüssels, seine Kennung und wann er zuletzt benutzt wurde. Der geheime Teil bleibt auf deinem Gerät. Für jede Sitzung speichern wir, wann sie begann und zuletzt aktiv war, und welcher Browser und welches Betriebssystem es war (etwa „Safari auf Mac“), damit du deine Geräte in den Einstellungen siehst und abmelden kannst. Die volle Browserkennung und die IP-Adresse speichern wir dafür nicht. Eine Sitzung im Browser endet spätestens nach 7 Tagen, in der App nach 90 Tagen.

Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO). Die Daten bleiben, solange dein Konto besteht.

Sicherheit und Protokolle

Unsere Server schreiben technische Protokolle, etwa über Anfragen und Fehler. Sie können IP-Adressen enthalten und werden nach 30 Tagen gelöscht. Stürzt die App ab, schickt sie einen Fehlerbericht an unsere eigenen Protokolle; E-Mail-Adressen, IBANs und Zugangsschlüssel werden vorher entfernt. Meldest du dich mit einem E-Mail-Code an, schicken wir dir einen Hinweis mit dem Gerät; ein neuer Passkey wird dir ebenfalls gemeldet; kommt ein Mitglied oder ein Zugang hinzu, benachrichtigen wir die Geschäftsführer. Rechtsgrundlage ist unser berechtigtes Interesse, Heft und deine Daten vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO).

Nachrichten an dich

Wir schicken dir E-Mails, die zum Dienst gehören: Anmeldecodes, Hinweise zu neuen Anmeldungen, Einladungen, Fragen von Heft und Hinweise zu deinen Verbindungen. Wenn du Mitteilungen erlaubst, schicken wir sie auch als Push-Nachricht an deinen Browser. Dafür speichern wir die Adresse, die dein Browser dafür vergibt, bis du dich abmeldest. Werbung schicken wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Annahme der Bedingungen

Wenn du bei der Anmeldung die AGB und den AVV annimmst, halten wir fest, wer das wann für welche Firma getan hat, welche Fassungen es waren und mit welchem Passkey du bestätigt hast. Das gilt auch für alles, was du später in Heft mit deinem Passkey bestätigst. Diese Einträge gehören zu den unveränderlichen Unterlagen der Firma und bleiben so lange wie diese (Abschnitt 9). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (Nachweis, wer was vereinbart hat).

Support

Schreibst du uns, nutzen wir deine Nachricht und deine Adresse, um zu antworten. Auf die Daten deiner Firma greift unser Support nur zu, wenn ein Geschäftsführer ihm in Heft Zugang gibt, nur lesend und höchstens 30 Tage lang.

4. Was Heft mit den Daten deiner Firma macht

Hier handeln wir im Auftrag deiner Firma (Abschnitt 2). Heft verarbeitet nur, was du verbindest oder hochlädst:

• Bankumsätze von den Konten, die du beim Verbinden auswählst, nur lesend, über Enable Banking: Datum, Betrag, Gegenpartei mit Name und IBAN, Verwendungszweck und Salden. Liest Heft die Bank, während du in der App bist, gibt Enable Banking deine IP-Adresse und Browserkennung an die Bank weiter, wie es die Zahlungsdiensterichtlinie (PSD2) verlangt. Die Freigabe gilt höchstens 180 Tage oder so lange, wie deine Bank es erlaubt.
• Belege per E-Mail: Mails, die du an deine Heft-Adresse weiterleitest, mit Absender, Betreff und Anhängen.
• Gmail: wenn du dein Postfach verbindest, liest Heft nur Mails, die nach Rechnung oder Beleg aussehen, und behält nur die, die eine sind (Abschnitt 6).
• Revolut Business: Ausgaben und ihre Belege, nur lesend.
• Lieferantenportale: deine Logins, verschlüsselt mit einem eigenen Schlüssel, und die Rechnungen, die Heft damit abholt. Das macht Hefts eigener Browser bei Google Cloud in Frankfurt.
• Was Heft daraus macht: was es aus den Belegen liest (Betrag, Datum, Lieferant), Zuordnungen, Buchungen, deine Antworten und dein Chat mit Heft. Den Chat sehen andere Mitglieder nicht.

Die Originaldateien bleiben unverändert. Alles, was Heft in den Unterlagen ändert, wird als neuer Eintrag festgehalten, mit wer, wann und warum, so wie es die Grundsätze ordnungsgemäßer Buchführung (GoBD) verlangen. Die Daten liegen verschlüsselt bei Google Cloud in Frankfurt.

5. Künstliche Intelligenz

Heft nutzt KI-Modelle, um Belege zu lesen, Zahlungen zuzuordnen, Fragen zu formulieren und im Chat zu antworten. Für jeden Schritt bekommt das Modell nur, was es dafür braucht, etwa einen Beleg und die passende Zahlung oder deine Frage im Chat. IBANs werden dabei gekürzt. Die Modelle laufen bei Google Cloud in der EU (Vertex AI) und bei Amazon Web Services in Frankfurt (Amazon Bedrock). Weder wir noch Google oder Amazon nutzen deine Daten, um KI zu trainieren.

Heft trifft keine Entscheidungen, die dir gegenüber rechtliche Wirkung haben oder dich ähnlich erheblich beeinträchtigen (Art. 22 DSGVO). Was Heft bucht, kannst du rückgängig machen, solange der Monat nicht festgeschrieben ist.

6. Daten aus deinem Google-Konto

Verbindest du Gmail, bittet Heft Google um Lesezugriff (gmail.readonly) und um deine E-Mail-Adresse. Heft lässt Gmail nach möglichen Rechnungen suchen, prüft bei jedem Treffer Betreff, Absender und Dateinamen und lädt nur Mails herunter, die danach wie eine Rechnung oder ein Beleg aussehen. Behalten werden nur die, die eine sind. Heft sendet, löscht oder verschiebt keine Mails. Du kannst die Verbindung jederzeit in Heft oder in deinem Google-Konto trennen.

Hefts Nutzung und Weitergabe von Informationen, die es über Google-APIs erhält, hält sich an die Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Wir nutzen diese Daten nur, um deine Belege in Heft zu bringen, geben sie nicht an Dritte weiter außer an die Dienstleister in Abschnitt 7, nutzen sie nicht für Werbung und nicht, um KI-Modelle zu trainieren. Menschen bei uns lesen sie nur, wenn du zustimmst, wenn es für die Sicherheit nötig ist oder das Gesetz es verlangt.

7. Wer Daten bekommt

Diese Dienstleister verarbeiten Daten für Heft, jeweils mit einem Vertrag nach Art. 28 DSGVO. Die Liste steht auch auf einer eigenen Seite: Unterauftragsverarbeiter. Kommt einer dazu, sagen wir es den Firmen vorher.

Daneben gehen Daten an:

• Dienste, die du selbst verbindest: deine Bank, Google (Gmail), Revolut und Lieferantenportale. Heft fragt dort in deinem Auftrag an; für diese Dienste gelten ihre eigenen Datenschutzerklärungen.
• Den Push-Dienst deines Browsers (etwa Apple, Google, Mozilla oder Microsoft), wenn du Mitteilungen erlaubst. Der Inhalt einer Mitteilung ist dabei verschlüsselt.
• OpenStreetMap: um den Ort eines Händlers zu finden, schickt Heft dessen Namen, Stadt und Land an den Suchdienst Nominatim der OpenStreetMap Foundation (Vereinigtes Königreich, für das ein Angemessenheitsbeschluss der EU gilt).
• Websites von Lieferanten: um ihr Logo zu zeigen, ruft Heft das Symbol der Website ab. Dabei geht nur die Domain des Lieferanten hinaus.
• Behörden, wenn wir gesetzlich dazu verpflichtet sind.

Wir verkaufen keine Daten und geben sie nicht für Werbung weiter.

8. Übermittlung außerhalb der EU

Heft verarbeitet deine Daten in der EU. Google, Amazon und Resend sind US-Unternehmen. Für den Fall, dass von außerhalb der EU auf Daten zugegriffen wird, sind die Übermittlungen durch das EU-US Data Privacy Framework (Art. 45 DSGVO) und durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert; welche Grundlage für welchen Dienstleister gilt, steht in Abschnitt 7. Eine Kopie der Standardvertragsklauseln bekommst du auf Anfrage.

9. Wie lange Daten bleiben

• Anmeldecodes: zwei Tage.
• Technische Protokolle: 30 Tage.
• Exporte, die du herunterlädst: sieben Tage, dann wird die Datei gelöscht.
• Konto, Geräte und Passkeys: solange dein Konto besteht. Passkeys und Geräte kannst du jederzeit selbst entfernen.
• Zugangsdaten zu Bank, Gmail, Revolut und Portalen: bis du die Verbindung trennst oder kündigst, dann werden sie sofort gelöscht.
• Belege und Bücher: solange das Gesetz des Landes deiner Firma es verlangt. In Deutschland sind das 8 Jahre für Belege und 10 Jahre für Bücher, in den Niederlanden 7 Jahre, jeweils ab dem Ende des Jahres. Heft schützt jede Originaldatei 9 Jahre lang vor Änderung und Löschung, auch vor uns.

Kündigt deine Firma, enden ihre Verbindungen und deren Zugangsdaten werden gelöscht. Belege und Bücher bleiben lesbar und exportierbar, bis die gesetzliche Frist abgelaufen ist, und werden dann gelöscht. Was dich als Person betrifft und nicht zu diesen Unterlagen gehört, löschen wir, wenn du dein Konto schließt.

10. Cookies und Speicher im Browser

Heft setzt ein einziges Cookie, das dich angemeldet hält (__Host-heft_session). Daneben merkt sich die App im Speicher deines Browsers Einstellungen wie Sprache, Farbschema und die zuletzt gewählte Firma. Beides ist für den Dienst unbedingt nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Heft nutzt keine Analyse- oder Werbe-Cookies und keine Tracker, und lädt keine Schriften oder Skripte von fremden Servern.

11. Deine Rechte

Du hast das Recht,

• Auskunft über deine Daten zu bekommen (Art. 15 DSGVO),
• falsche Daten berichtigen zu lassen (Art. 16),
• Daten löschen zu lassen, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17),
• die Verarbeitung einschränken zu lassen (Art. 18),
• deine Daten in einem gängigen Format zu bekommen (Art. 20); die Daten deiner Firma kannst du jederzeit selbst in Heft exportieren,
• einer Verarbeitung zu widersprechen, die auf unserem berechtigten Interesse beruht (Art. 21), aus Gründen, die sich aus deiner besonderen Situation ergeben.

Schreib dafür an support@namequick.app. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa bei der Behörde deines Bundeslands oder bei der für uns zuständigen Autoriteit Persoonsgegevens in den Niederlanden (Art. 77 DSGVO).

12. Musst du Daten angeben?

Ohne E-Mail-Adresse kannst du kein Konto anlegen, und ohne die Angaben zu deiner Firma kann Heft ihre Unterlagen nicht führen. Alle Verbindungen (Bank, Gmail, Revolut, Portale) sind freiwillig.

13. Änderungen

Wenn sich ändert, wie Heft Daten verarbeitet, passen wir diese Erklärung an und ändern das Datum oben. Kommt ein Dienstleister dazu, erfahren die Firmen das vorher.