Vollständige Einwilligung zur Datenverarbeitung & Erweiterte Nutzungsbedingungen
Version: 1.0 • Stand: 20.11.2025
Dies ist die erweiterte, vollumfängliche, umfassende, konsolidierte und in Teilen detailliertere Fassung der rechtlichen Informationen, Einwilligungsbedingungen, Datenschutzbestimmungen, Nutzungsbeschränkungen, technischen Standards und Begriffsdefinitionen, die in ihrer Gesamtheit dazu dient, den Anforderungen aus Art. 5, 6, 7, 12–22, 24–32, 44–49 DSGVO, §§ 1–8a StBerG, §§ 305–310 BGB, TTDSG §§ 24–26, ePrivacy-Richtlinie sowie einschlägigen europäischen und internationalen Normen zu genügen.
Die Länge dieses Dokuments ist bewusst erheblich, um maximale Transparenz sicherzustellen und gleichzeitig den gesetzlichen Anforderungen an Umfang, Inhalt und Nachweisführung in besonders strenger Auslegung zu entsprechen.
Sie können Ihre Einwilligung zur Datenverarbeitung und zu optionalen Funktionen jederzeit mit Wirkung für die Zukunft widerrufen. Eine Übersicht Ihrer aktuellen Einstellungen sowie eine Widerrufsmöglichkeit finden Sie unter dem Menüpunkt „Datenschutz / Einwilligung verwalten“ innerhalb der Anwendung.
📚 Inhalt (TOC)
- Verantwortlicher & Geltungsbereich
- Rechtsgrundlagen & Normenhierarchie
- Definitionen (extrem erweitert nach Art. 4 DSGVO)
- Zwecke der Verarbeitung
- Kategorien personenbezogener Daten
- 5a. Speicherfristen & Löschkonzept
- Rechtsgrundlagen im Detail & Zweck-Matrix
- Protokollierung, Logfiles & Sicherheitsmaßnahmen
- Auftragsverarbeiter, Hosting & Drittland-Transfers
- Keine automatisierte Entscheidungsfindung
- Betroffenenrechte im Detail
- Technische Hinweise & Eigenverantwortung
- Zulässige und unzulässige Nutzung
- Haftung, Gewährleistung & Verfügbarkeit
- Vertragslaufzeit & Datenlöschung
- Änderungen dieser Bedingungen
- Anwendbares Recht & Schlussbestimmungen
- Anhang A – Vollständige Gesetzesverweise
- Anhang B – Erweiterte TOM-Beschreibung
- Anhang C – Risikoanalysemodell
- Anhang D – Begriffsverzeichnis
- Anhang E – Cookie- und Technologierichtlinie
- Anhang F – Verantwortlichkeitsmatrix
- Anhang G – Erweiterte Nutzungsbeschränkungen
- Zuständige Aufsichtsbehörde & Streitbeilegung
1. Verantwortlicher & Geltungsbereich
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:
Steuerapp UG (haftungsbeschränkt)
Anschrift: [Straße, Hausnummer], 661xx Saarbrücken, Deutschland
Geschäftsführer: [Name, Vorname]
Registergericht: Amtsgericht Saarbrücken, HRB [Nummer]
USt-IdNr.: DE[Nummer]
E-Mail: support@steuerapp.de
Vollständiges Impressum: /legal/impressum
Datenschutzkontakt / Datenschutzbeauftragter:
Ein gesetzlicher Datenschutzbeauftragter ist nach § 38 BDSG derzeit nicht zu bestellen.
Ansprechpartner für Datenschutzfragen ist:
privacy@steuerapp.de.
Der Verantwortliche verarbeitet personenbezogene Daten ausschließlich in Übereinstimmung mit:
- der Datenschutz-Grundverordnung (DSGVO)
- dem Bundesdatenschutzgesetz (BDSG)
- dem Steuerberatungsgesetz (StBerG)
- dem Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG)
- einschlägigen EU-Verordnungen
- allgemeinem Zivilrecht (BGB)
- einschlägigen internationalen Rahmenwerken
Der räumliche Geltungsbereich erstreckt sich gemäß Art. 3 DSGVO auf alle Vorgänge, bei denen personenbezogene Daten verarbeitet werden, unabhängig davon, ob der Nutzer sich innerhalb oder außerhalb der Europäischen Union befindet.
2. Rechtsgrundlagen & Normenhierarchie
Die Verarbeitung personenbezogener Daten erfolgt auf Basis folgender Rechtsnormen:
- Art. 6 Abs. 1 lit. a DSGVO – Einwilligung
- Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung / vorvertragliche Maßnahmen
- Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtung
- Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse
- Art. 32 DSGVO – Sicherheit der Verarbeitung
- Art. 44–49 DSGVO – Datenübermittlungen in Drittländer
- §§ 1–8a StBerG – Abgrenzung zulässiger Hilfeleistung in Steuersachen
- §§ 305 ff. BGB – Allgemeine Geschäftsbedingungen
- TTDSG § 25 – Zugriff auf Endeinrichtungen (Cookies/Storage)
Eine Normenhierarchie ergibt sich aus Art. 288 AEUV, wonach EU-Verordnungen unmittelbar gelten und nationales Recht verdrängen, sofern es widerspricht. Alle folgenden Ausführungen sind daher im Lichte dieser Hierarchie zu interpretieren.
3. Definitionen (extrem erweitert nach Art. 4 DSGVO)
Zur besseren Verständlichkeit werden die Begriffe aus Art. 4 DSGVO vollständig und erweitert dargestellt, ergänzt um technische und juristische Fachdefinitionen.
3.1 Personenbezogene Daten
Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dies umfasst ausdrücklich auch:
- IP-Adressen (auch dynamische)
- Geräteinformationen
- User-Agent-Strings
- Kryptographische Identifikatoren
- Session-Token
- Eingabedaten, auch wenn sie nicht gespeichert werden
3.2 Verarbeitung
Jeder Vorgang im Zusammenhang mit Daten, einschließlich Erhebung, Speicherung, Übermittlung, Modifikation, Löschung, Protokollierung, Hashing, Pseudonymisierung, Tokenisierung, Transport, Übermittlung über TLS 1.3, sowie alle automatisierten und manuellen Vorgänge.
3.3 Verantwortlicher
Die natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung entscheidet.
3.4 Auftragsverarbeiter
Dritte, die Daten im Auftrag des Verantwortlichen verarbeiten, z. B. Hosting-Dienstleister.
3.5 Empfänger
Jede Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich um einen Dritten, eine öffentliche Stelle oder einen Auftragsverarbeiter handelt.
3.6 Einwilligung
Jede freiwillige, informierte und unmissverständliche Willensbekundung in Form einer Erklärung oder eindeutigen Handlung (z. B. das Aktivieren eines Kontrollkästchens).
3.7 Technische Begriffe (Erweiterung über Art. 4 DSGVO hinaus)
- Hashwert: Ein mit SHA-256 oder höher erzeugter kryptographischer Fingerabdruck.
- Token: Zufälliger Wert, der als Identifikator oder Sitzungsschlüssel dient.
- TLS-Schicht: Transportverschlüsselung gemäß RFC 8446.
- Session-Protokoll: Interne Struktur zur Ablaufverfolgung einzelner Aktionen.
- Fingerprints: Gerätespezifische Merkmale zur Missbrauchserkennung.
Weitere Definitionen befinden sich in Anhang D.
4. Zwecke der Verarbeitung
Die Verarbeitung Ihrer Daten erfolgt zu verschiedenen Zwecken, darunter insbesondere:
- Bereitstellung und Betrieb der Anwendung
- Nutzerregistrierung, Login, Kontoverwaltung, 2FA / Trusted Devices
- Sicherheitsüberwachung und Missbrauchserkennung
- Fehlerdiagnose & Stabilität
- Support-Anfragen & Kommunikation
- Nachweis der Einwilligung nach Art. 7 DSGVO
- Erfüllung gesetzlicher Pflichten
Darüber hinaus dient die Verarbeitung der Einhaltung operativer Standards gemäß ISO/IEC 27001, BSI-IT-Grundschutz, NIST-Framework und branchenüblichen Sicherheitsrichtlinien.
5. Kategorien personenbezogener Daten
Es werden u. a. folgende Kategorien verarbeitet:
- Stammdaten (Name, E-Mail-Adresse)
- Technische Daten (IP, User-Agent, TLS-Informationen)
- Sitzungs- und Protokolldaten
- Zeiten, Ereignisse, Statuswechsel
- Eingaben in Formularen zur Berechnung / Simulation
Bei der Nutzung bestimmter Funktionen können zusätzliche Metadaten erhoben werden, z. B. Zeitmesswerte, Performanceindikatoren, Signale zur Missbrauchserkennung, pseudonymisierte Auditinformationen.
5a. Speicherfristen & Löschkonzept (DSGVO-konform, datensparsam)
Zur Einhaltung von Art. 5 Abs. 1 lit. c (Datenminimierung) und Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung) werden personenbezogene Daten in dieser Anwendung nur so lange gespeichert, wie dies für den jeweiligen Zweck unbedingt erforderlich ist. Die Steuerapp UG verfolgt ein besonders datensparsames Modell, das Nutzerdaten in zwei Hauptgruppen gliedert:
Die nachfolgenden Speicherfristen beruhen auf einer internen Bewertung der Erforderlichkeit gemäß Art. 5 Abs. 1 lit. e DSGVO und werden regelmäßig überprüft. Eine Verlängerung erfolgt ausschließlich bei sicherheitsrelevanten Vorfällen, gesetzlichen Aufbewahrungspflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
5a.1 Kategorie A – Kontodaten (lange Speicherfrist)
Hierzu zählen insbesondere:
- E-Mail-Adresse
- Passwort-Hash
- Verifizierungsstatus
- 2FA-Einstellungen / Trusted Devices (Konfiguration)
- Basis-Profildaten
Diese Daten werden für die Dauer des Nutzungsverhältnisses gespeichert.
Nach Löschung des Kontos erfolgt eine Nachhaltefrist von 30 Tagen,
um Missbrauch, Rückfragen oder versehentliche Löschungen abzufangen.
Löschung: Kontoerstellung → Kontolöschung + 30 Tage.
Unabhängig von der Laufzeit des Benutzerkontos werden die mit der Funktion „Vertrauenswürdige Geräte“ verknüpften technischen Sicherheitskennungen (Trusted-Device-Tokens) nur kurzfristig vorgehalten: Jeder Token wird bei Erstellung mit einer festen technischen Ablaufzeit von 3 Tagen versehen und spätestens nach Ablauf dieses Zeitraums automatisch ungültig gemacht und aus den hierfür verwendeten Tabellen und Protokollen gelöscht. Die Tokens werden ausschließlich in pseudonymisierter Form (z. B. als kryptographischer Hash) gespeichert und dienen nur der Wiedererkennung eines zuvor von Ihnen verifizierten Geräts; eine Nutzung zu Tracking-, Profiling- oder Marketingzwecken findet nicht statt. Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Login-Sicherheit und Missbrauchsprävention).
5a.2 Kategorie B – Steuerdaten, Formulareingaben, Berechnungen (kurze Speicherfrist)
Dies betrifft alle eingegebenen steuerlichen Informationen, Berechnungen, Simulationen, Zwischenspeicherungen sowie Metadaten, die zur Bereitstellung der Funktionen erforderlich sind. Aufgrund ihrer besonderen Sensibilität und zur Vermeidung jeglicher Nähe zur steuerberatenden Tätigkeit (§§ 1–8a StBerG) gelten strenge Löschfristen.
5a.2.1 Entwürfe / Zwischenspeicherungen („Drafts“)
Zwischengespeicherte Entwürfe werden nach 24 Stunden
Inaktivität automatisch gelöscht.
Dies verhindert unbeabsichtigte Datenanhäufung und minimiert Risiken.
5a.2.2 Berechnungs-Cache & temporäre Daten
Temporäre Berechnungen, interne Rechenmodelle, KI-basierte Vorschläge und andere flüchtige Informationen werden nach Logout gelöscht oder besitzen eine technische Ablaufzeit (TTL) von maximal 1 Stunde.
5a.2.3 Endgültige Ergebnisse / Exporte
Sofern der Nutzer ein PDF oder eine Übersicht exportiert und diese temporär serverseitig erzeugt wird, bleibt diese Datei maximal 7 Tage gespeichert und wird anschließend automatisiert gelöscht.
5a.2.4 Metadaten (ohne steuerlichen Inhalt)
Technische Metadaten (z. B. Zeitpunkt der letzten Berechnung, verwendete Funktionsmodule) werden maximal 7 Tage gespeichert und enthalten keinerlei steuerlich auswertbare Informationen.
5a.3 Logdaten (rein technische Protokolle)
Logdaten enthalten ausschließlich technische Informationen (IP, User-Agent, Zeitstempel, Statuscodes). Es werden keinerlei steuerliche Angaben protokolliert.
Speicherung: 30 Tage, bei sicherheitsrelevanten Vorfällen bis zum Abschluss der Prüfung gemäß Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit).
5a.4 Zusammenfassung der Speicherfristen
| Datenart | Speicherfrist | Bemerkung |
|---|---|---|
| Kontodaten | Kontobestand + 30 Tage | Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) |
| Entwürfe / steuerliche Eingaben | 24 Stunden | datensparsame Verarbeitung, Minimierung StBerG-Risiko |
| Berechnungs-Cache | Logout oder TTL 1 h | flüchtige interne Rechenoperationen |
| PDF-/Export-Ergebnisse | 7 Tage | sofern serverseitig erzeugt |
| Metadaten ohne Inhalt | 7 Tage | technische Vorgänge, keine Inhalte |
| Trusted-Device-Token / Sicherheits-Tokens | 3 Tage | Login-Sicherheit, Wiedererkennung vertrauenswürdiger Geräte (Art. 6 Abs. 1 lit. f DSGVO) |
| Server-Logfiles | 30 Tage | rein technisch, Art. 6 Abs. 1 lit. f DSGVO |
Dieses Löschkonzept ist Bestandteil des „Privacy by Design“-Ansatzes nach Art. 25 DSGVO und wird regelmäßig überprüft und bei Bedarf angepasst.
6. Rechtsgrundlagen im Detail & Zweck-Rechtsgrundlagen-Matrix
Die nachfolgenden Darstellungen konkretisieren die in Abschnitt 2 genannten Rechtsgrundlagen für einzelne Verarbeitungsvorgänge.
6.1 Übersicht der Rechtsgrundlagen
- Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. Registrierung, optionale Funktionen)
- Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (Nutzungsvertrag, Betrieb des Kontos)
- Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung (Nachweispflichten, Aufbewahrung)
- Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse (Sicherheit, Missbrauchserkennung)
- Art. 32 DSGVO – Sicherheit der Verarbeitung (TOM)
- TTDSG § 25 Abs. 2 – technisch notwendige Cookies / Storage
6.2 Zweck-Rechtsgrundlagen-Matrix
| Zweck der Verarbeitung | Beschreibung | Rechtsgrundlage(n) |
|---|---|---|
| Kontoerstellung & Authentifizierung | Registrierung, Login, Passwort-Reset, 2FA / Trusted Devices | Art. 6 Abs. 1 lit. b DSGVO |
| Sitzungsverwaltung | Session-Cookies / Tokens für angemeldete Nutzer | Art. 6 Abs. 1 lit. b DSGVO, TTDSG §25 Abs. 2 |
| Speicherung von Kontodaten | Verwaltung des Benutzerkontos, Sicherheitsfunktionen | Art. 6 Abs. 1 lit. b DSGVO |
| Verarbeitung steuerlicher Eingaben (Simulation) | Temporäre Erfassung zur Berechnung, Darstellung von Szenarien | Art. 6 Abs. 1 lit. b DSGVO |
| Berechnungsfunktionen & Plausibilitätsprüfungen | Interne Rechenmodelle, Unterstützungsfunktionen ohne Beratung | Art. 6 Abs. 1 lit. b DSGVO |
| Logfiles & Sicherheitsmonitoring | IP, User-Agent, Zeitstempel zur Sicherstellung von Betrieb & Sicherheit | Art. 6 Abs. 1 lit. f DSGVO |
| Missbrauchserkennung | Erkennung von Brute-Force-Angriffen, unzulässiger Nutzung | Art. 6 Abs. 1 lit. f DSGVO |
| Consent-Logging | Nachweis erteilter Einwilligungen, Versionierung der Bedingungen | Art. 6 Abs. 1 lit. c DSGVO i.V.m. Art. 5 Abs. 2, Art. 7 DSGVO |
| PDF-/Export-Erstellung | Temporäre serverseitige Generierung von Auswertungen | Art. 6 Abs. 1 lit. b DSGVO |
| Technisch-organisatorische Sicherheit | Implementierung und Nachweis von TOM (Firewalls, Verschlüsselung etc.) | Art. 6 Abs. 1 lit. c DSGVO, Art. 32 DSGVO |
Einwilligung ist damit nicht alleinige oder „primäre“ Rechtsgrundlage, sondern ergänzt die Vertragserfüllung und berechtigte Interessen, wo dies datenschutzrechtlich erforderlich ist.
7. Protokollierung, Logfiles und technische Sicherheitsmaßnahmen
(1) Zur Sicherstellung der technischen Funktionsfähigkeit und zur Abwehr von Angriffen (z. B. Brute-Force-Logins, automatisierte Scans, Missbrauch der Steuerapp-Schnittstellen) werden beim Zugriff auf diese Anwendung serverseitige Logdateien („Logfiles“) geführt. Diese können insbesondere folgende Kategorien von Daten enthalten: IP-Adresse des zugreifenden Systems, Datum und Uhrzeit des Zugriffs, aufgerufene URL und HTTP-Statuscode, übertragene Datenmenge, Referrer-URL sowie der vom Browser übermittelte User-Agent (einschließlich Betriebssystem- und Browserversion).
(2) Die Verarbeitung dieser Logdaten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) an der Gewährleistung der Sicherheit und Stabilität des technischen Betriebs sowie der Nachvollziehbarkeit von sicherheitsrelevanten Ereignissen. Soweit Logdaten zugleich der Dokumentation Ihrer Einwilligung dienen, erfolgt die Verarbeitung ergänzend auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) sowie Art. 7 Abs. 1 und 3 DSGVO (Nachweisbarkeit der Einwilligung).
(3) Die Verarbeitung dieser Logdaten beruht auf einer Interessenabwägung im Sinne von Art. 6 Abs. 1 lit. f DSGVO (Kurzfassung der Legitimate-Interest-Assessment, „LIA“): Das überwiegende Interesse liegt in Sicherheit, Stabilität, Missbrauchsvermeidung und Nachvollziehbarkeit von Vorgängen. Die hierfür verarbeiteten Daten (insbesondere IP-Adresse, Zeitstempel, aufgerufene URL, User-Agent) sind auf das technisch notwendige Maß beschränkt, die Speicherdauer ist auf 30 Tage begrenzt und eine Nutzung erfolgt ausschließlich zu Sicherheits- und Nachweiszwecken. Unter diesen Bedingungen überwiegen die berechtigten Interessen des Verantwortlichen die typischen Interessen und Rechte der betroffenen Personen nicht.
(3a) Für bestimmte sicherheitsrelevante Funktionen (z. B. „vertrauenswürdige Geräte“) werden zusätzlich pseudonymisierte technische Kennungen (Trusted-Device-Tokens) verarbeitet. Diese Tokens dienen ausschließlich der Reduzierung von Login-Hürden auf Geräten, die Sie zuvor verifiziert haben, und unterliegen einem strikten Löschkonzept: Sie besitzen eine feste technische Gültigkeitsdauer von 3 Tagen und werden nach Ablauf dieser Frist automatisiert entfernt bzw. ungültig gemacht. Eine Nutzung über Sicherheits- und Missbrauchspräventions- zwecke hinaus findet nicht statt. Die zugrunde liegende Interessenabwägung (Legitimate-Interest-Assessment, „LIA-Logging“) sowie das Löschkonzept für Logdaten und sicherheitsbezogene Kennungen sind intern dokumentiert und können Aufsichtsbehörden auf Anfrage zur Verfügung gestellt werden.
(4) Die Logdaten werden grundsätzlich nur so lange aufbewahrt, wie dies zur Erreichung der vorgenannten Zwecke erforderlich ist und keine weitergehenden gesetzlichen Aufbewahrungspflichten bestehen. Im Regelfall erfolgt eine automatisierte Löschung oder Anonymisierung spätestens nach 30 Tagen, es sei denn, konkrete Ereignisse (z. B. der Verdacht eines Missbrauchs oder sicherheitsrelevante Vorfälle) erfordern eine längere Aufbewahrung und Auswertung. In solchen Fällen können einzelne Sätze von Logdaten für die Dauer der internen oder externen Prüfung (z. B. forensische Analyse, Rechtsverfolgung, Mitwirkung gegenüber Aufsichtsbehörden) gesondert gespeichert werden.
(5) Zur Absicherung der Daten gegen Verlust, Zerstörung oder unbefugten Zugriff werden geeignete technische und organisatorische Maßnahmen (TOM) im Sinne von Art. 32 DSGVO getroffen. Hierzu können insbesondere die Verwendung von verschlüsselten Übertragungswegen (z. B. TLS/HTTPS), der Einsatz von Firewalls, Intrusion-Detection-Systemen, das Vier-Augen-Prinzip bei kritischen administrativen Zugriffen sowie regelmäßige Updates der Server- und Anwendungssoftware gehören.
8. Einsatz von Auftragsverarbeitern, Hosting-Dienstleistern & Drittland-Transfers
(1) Für den technischen Betrieb dieser Anwendung kann die Steuerapp UG (haftungsbeschränkt) externe Dienstleister als sogenannte Auftragsverarbeiter im Sinne von Art. 28 DSGVO einsetzen. Dies betrifft insbesondere das Hosting der Server- Infrastruktur, den Betrieb von Rechenzentren, E-Mail-Versand, Logging-Infrastruktur sowie Sicherheits- und Monitoring-Dienste.
(2) Mit sämtlichen Auftragsverarbeitern werden Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen, in denen insbesondere Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen konkret geregelt sind. Die Auftragsverarbeiter dürfen die übermittelten Daten ausschließlich nach dokumentierter Weisung des Verantwortlichen verarbeiten.
(3) Soweit Auftragsverarbeiter ihrerseits Unterauftragsverarbeiter einsetzen, wird vertraglich sichergestellt, dass diese den Anforderungen der DSGVO und diesem Vertrag in gleicher Weise unterliegen. Der Verantwortliche behält sich vor, geeignete Nachweise (z. B. Zertifizierungen nach ISO 27001 oder vergleichbaren Standards) über die Umsetzung angemessener technischer und organisatorischer Maßnahmen von seinen Auftragsverarbeitern anzufordern.
(4) Derzeit findet die Verarbeitung personenbezogener Daten ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EWR) statt. Sollten künftig Verarbeitungsvorgänge in Drittländern im Sinne von Art. 44 ff. DSGVO erfolgen (z. B. durch die Einbindung von Dienstleistern mit Sitz außerhalb des EWR), stellt die Steuerapp UG sicher, dass hierfür angemessene Garantien wie etwa der Abschluss der jeweils gültigen EU-Standardvertragsklauseln (SCC, Durchführungsbeschluss (EU) 2021/914) und gegebenenfalls ergänzende technische Maßnahmen (z. B. Verschlüsselung) bestehen. Vor dem Einsatz wird eine Transfer-Risk-Assessment (TRA) durchgeführt und dokumentiert.
(5) Eine aktuelle Übersicht der eingesetzten Auftragsverarbeiter finden Sie jederzeit unter /legal/partners.
Eine stets aktuelle Übersicht der eingesetzten Auftragsverarbeiter finden Sie unter diesem Link.
9. Keine automatisierte Entscheidungsfindung im engeren Sinne
(1) Im Rahmen der Nutzung dieser Anwendung findet keine automatisierte Entscheidungsfindung bzw. Profilbildung im Sinne von Art. 22 DSGVO statt, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen würde. Insbesondere werden anhand Ihrer eingegebenen steuerrelevanten Daten keine automatisch erzeugten Entscheidungen über steuerliche Verpflichtungen, Verwaltungsakte oder vergleichbare Maßnahmen staatlicher Stellen getroffen.
(2) Die von der Anwendung vorgenommenen Berechnungen, Hinweise oder Plausibilitätsprüfungen dienen ausschließlich Ihrer internen Information und Vorbereitung etwaiger eigenverantwortlicher Entscheidungen. Eine rechtliche Wirkung im Außenverhältnis entsteht erst durch Ihre eigenständigen Handlungen (z. B. Übermittlung von Daten an ein Finanzamt, Abgabe von Steuererklärungen, Unterzeichnung von Anträgen). Sie tragen die Verantwortung, die generierten Informationen auf Plausibilität zu prüfen, sie bei Bedarf mit weiteren Quellen zu vergleichen und, falls erforderlich, fachkundigen steuerlichen oder rechtlichen Rat einzuholen.
(3) Sollte in Zukunft eine Funktionalität eingeführt werden, die eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO darstellt, wird vorab geprüft, ob eine Datenschutz-Folgenabschätzung (DPIA) nach Art. 35 DSGVO erforderlich ist; etwaige DPIA werden dokumentiert. In einem solchen Fall werden Sie rechtzeitig in klarer und transparenter Form informiert und erhalten mindestens das Recht auf menschliches Eingreifen seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts sowie auf Anfechtung der automatisierten Entscheidung, sofern die gesetzlichen Voraussetzungen hierfür vorliegen.
10. Ihre Rechte als betroffene Person im Detail
(1) Sie haben als betroffene Person die in Art. 15 bis 21 DSGVO festgelegten Rechte. Nachfolgend werden diese Rechte in allgemein verständlicher Form näher erläutert. Für die Geltendmachung genügt eine formlose Mitteilung an die oben angegebenen Kontaktdaten des Verantwortlichen (vgl. Abschnitt 1).
(2) Auskunft (Art. 15 DSGVO): Sie haben das Recht, eine Bestätigung darüber zu verlangen, ob Sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, haben Sie Anspruch auf Auskunft über diese Daten sowie auf die in Art. 15 Abs. 1 DSGVO im Einzelnen aufgeführten Informationen (z. B. Verarbeitungszwecke, Kategorien personenbezogener Daten, Empfänger oder Kategorien von Empfängern, geplante Speicherdauer, Herkunft der Daten, sofern diese nicht bei Ihnen erhoben wurden).
(3) Berichtigung (Art. 16 DSGVO): Sollten die Sie betreffenden personenbezogenen Daten unrichtig oder unvollständig sein, haben Sie das Recht, unverzüglich deren Berichtigung oder Vervollständigung zu verlangen.
(4) Löschung (Art. 17 DSGVO): Sie können unter den in Art. 17 DSGVO genannten Voraussetzungen die unverzügliche Löschung Ihrer personenbezogenen Daten verlangen („Recht auf Vergessenwerden“). Dies ist etwa der Fall, wenn die Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind, Sie Ihre Einwilligung wirksam widerrufen haben oder die Verarbeitung unrechtmäßig ist. Das Recht auf Löschung besteht insbesondere dann nicht, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (vgl. Art. 17 Abs. 3 DSGVO).
(5) Einschränkung der Verarbeitung (Art. 18 DSGVO): Anstelle der Löschung können Sie unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung verlangen, z. B. wenn die Richtigkeit der personenbezogenen Daten von Ihnen bestritten wird.
(6) Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie dem Verantwortlichen bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten einem anderen Verantwortlichen zu übermitteln, soweit die Verarbeitung auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) oder einem Vertrag (Art. 6 Abs. 1 lit. b DSGVO) beruht und die Verarbeitung mithilfe automatisierter Verfahren erfolgt.
(7) Widerspruch (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten, die auf Art. 6 Abs. 1 lit. e oder f DSGVO gestützt wird, Widerspruch einzulegen.
(8) Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die bis zum Widerruf erfolgte Verarbeitung bleibt hiervon unberührt. Möchten Sie Ihre Einwilligung zur Nutzung dieser Anwendung widerrufen, genügt eine entsprechende Mitteilung an support@steuerapp.de oder an die im Impressum angegebenen Kontaktdaten.
(9) Beschwerderecht (Art. 77 DSGVO): Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht zu, bei einer Datenschutzaufsichtsbehörde Beschwerde einzulegen, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt.
(10) Anfragen zur Ausübung Ihrer Betroffenenrechte werden grundsätzlich innerhalb eines Monats ab Eingang beantwortet (Art. 12 Abs. 3 DSGVO). In begründeten Ausnahmefällen kann diese Frist um weitere zwei Monate verlängert werden; in diesem Fall werden Sie über die Gründe der Verzögerung informiert. Zur Vermeidung von Missbrauch kann der Verantwortliche geeignete Maßnahmen zur Identitätsprüfung ergreifen (z. B. Rückfrage über die beim Konto hinterlegte E-Mail-Adresse).
11. Technische Hinweise zur Nutzung und Eigenverantwortung
(1) Die Nutzung der Anwendung setzt voraus, dass Sie über eine technisch geeignete und hinreichend aktuelle Hard- und Software- Umgebung verfügen. Insbesondere ist ein aktueller Webbrowser erforderlich, der die gängigen Verschlüsselungsstandards (z. B. TLS 1.2 oder höher) unterstützt.
(2) Sie sind verpflichtet, angemessene Vorkehrungen zum Schutz Ihrer Zugangsdaten (z. B. E-Mail-Adresse, Passwörter, 2FA-Codes) zu treffen. Hierzu gehört insbesondere, Passwörter nicht an Dritte weiterzugeben, starke Passwörter zu verwenden und nach Möglichkeit Zwei-Faktor-Authentifizierung zu aktivieren.
(3) Die von der Anwendung bereitgestellten Hinweise und Berechnungen erfolgen ohne Gewähr für Vollständigkeit, Richtigkeit und Anwendbarkeit in Ihrem konkreten Einzelfall. Sie ersetzen keine individuelle steuerliche oder rechtliche Beratung.
(4) Durch das Setzen des Häkchens im Zustimmungsfeld und das Betätigen der Schaltfläche „Weiter“ bestätigen Sie, dass Sie die technischen Voraussetzungen, Hinweise zur Eigenverantwortung und Grenzen der Anwendung zur Kenntnis genommen haben.
12. Zulässige und unzulässige Nutzung der Anwendung
(1) Die Nutzung dieser Anwendung ist ausschließlich natürlichen Personen vorbehalten, die volljährig und voll geschäftsfähig sind oder mit Zustimmung ihrer gesetzlichen Vertretungsberechtigten handeln. Die Altersangabe erfolgt im Rahmen der Registrierung durch Selbstauskunft; eine weitergehende Identitätsprüfung findet mangels Erforderlichkeit regelmäßig nicht statt.
(1a) Erlangt der Verantwortliche Kenntnis davon, dass ein Konto entgegen diesen Bedingungen von einer minderjährigen Person ohne Zustimmung der Erziehungsberechtigten angelegt wurde, kann das Konto gesperrt und gelöscht werden. Erziehungsberechtigte können unter privacy@steuerapp.de die Löschung der betreffenden Daten veranlassen.
(2) Die Anwendung bietet keine steuerliche Beratung im Sinne der §§ 1–8a StBerG. Alle Berechnungen, Hinweise und Auswertungen stellen ausschließlich automatisierte technische Hilfestellungen dar und sind als unverbindliche Orientierungshilfe zu verstehen. Es werden keine individuellen Steuererklärungen erstellt, keine Gestaltungsberatung und keine Vertretung gegenüber Finanzbehörden erbracht. Für verbindliche Auskünfte wenden Sie sich an einen Steuerberater oder eine andere hierzu befugte Stelle.
(3) Zulässig ist insbesondere die Nutzung zur privaten oder beruflichen Vorbereitung steuerlich relevanter Angaben, zur internen Simulation und Berechnung verschiedener Szenarien und zur strukturierten Erfassung der hierzu erforderlichen Informationen, soweit keine gesetzlichen Geheimhaltungs- oder Berufsverschwiegenheitspflichten entgegenstehen.
(4) Unzulässig ist insbesondere:
- die Eingabe oder Verbreitung rechtswidriger Inhalte, insbesondere solcher, die strafbar sind oder zivilrechtliche Ansprüche Dritter verletzen (z. B. Persönlichkeitsrechte, Urheberrechte);
- der Versuch, technische Schutzmechanismen zu umgehen, Sicherheits- lücken auszunutzen oder unbefugten Zugriff auf Systeme, Datenbanken oder Nutzerkonten zu erlangen;
- die Nutzung automatisierter Skripte, Bots oder sonstiger Verfahren, um systematisch Massenzugriffe oder sonstige den regulären Betrieb störende Aktionen auszuführen;
- jede Form von Reverse Engineering, Dekompilierung oder sonstiger unbefugter Analyse des Quellcodes, soweit dies nicht gesetzlich ausdrücklich erlaubt ist;
- die Weitergabe von Zugangsdaten (Passwörter, 2FA-Codes etc.) an unberechtigte Dritte.
(5) Bei Verdacht auf eine unzulässige Nutzung ist die Steuerapp UG (haftungsbeschränkt) berechtigt, Zugänge vorläufig zu sperren, Protokolldaten auszuwerten und bei hinreichendem Anlass betroffene Konten dauerhaft zu schließen, sofern und soweit dies rechtlich zulässig ist.
13. Haftung, Gewährleistung und Verfügbarkeit
(1) Die Anwendung wird nach dem Stand der Technik sowie mit angemessener Sorgfalt entwickelt und betrieben. Dennoch kann nicht gewährleistet werden, dass die Anwendung jederzeit ohne Unterbrechung, fehlerfrei und in sämtlichen technischen Konstellationen vollständig funktionsfähig ist.
(2) Die von der Anwendung generierten Berechnungen, Hinweise, Plausibilitätsprüfungen und sonstigen Ausgaben erfolgen ohne Gewähr für Vollständigkeit, Richtigkeit und Aktualität. Sie beruhen insbesondere auf den von Ihnen gemachten Eingaben und können steuerliche oder rechtliche Rahmenbedingungen nur in abstrahierter Form berücksichtigen.
(3) Die Haftung der Steuerapp UG (haftungsbeschränkt) für einfache Fahrlässigkeit ist – vorbehaltlich zwingender gesetzlicher Regelungen – auf Schäden aus der Verletzung wesentlicher Vertragspflichten (Kardinalpflichten) beschränkt. In diesem Fall ist die Haftung auf den typischerweise vorhersehbaren Schaden begrenzt. Die Haftung für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie nach dem Produkthaftungsgesetz bleibt unberührt.
(4) Bei grober Fahrlässigkeit oder Vorsatz haftet die Steuerapp UG nach den gesetzlichen Vorschriften. Eine Haftung für mittelbare Schäden, Folgeschäden oder entgangenen Gewinn besteht nur, soweit dies zwingend gesetzlich vorgesehen ist.
(5) Die Nutzung der Anwendung erfolgt im Übrigen auf eigenes Risiko. Sie sind insbesondere selbst dafür verantwortlich, die generierten Informationen vor einer etwaigen Verwendung gegenüber Dritten (z. B. Finanzämtern oder anderen Behörden) auf Plausibilität zu prüfen und bei Bedarf fachkundigen Rat einzuholen.
14. Vertragslaufzeit, Beendigung und Datenlöschung
(1) Soweit mit Ihnen kein abweichender Vertrag geschlossen wurde, kommt durch die Registrierung und Nutzung der Anwendung ein Nutzungsvertrag auf unbestimmte Zeit zustande, der von beiden Seiten jederzeit ohne Einhaltung einer Frist in Textform (z. B. per E-Mail) gekündigt werden kann.
(2) Unberührt bleibt das Recht zur außerordentlichen Kündigung aus wichtigem Grund. Ein wichtiger Grund liegt insbesondere vor, wenn Sie gegen wesentliche Pflichten dieser Nutzungsbedingungen verstoßen oder die Anwendung zu rechtswidrigen Zwecken missbräuchlich verwenden.
(3) Im Falle einer Beendigung des Nutzungsverhältnisses werden personenbezogene Daten im Rahmen der gesetzlichen Vorgaben gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten oder überwiegenden berechtigten Interessen (z. B. zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen) entgegenstehen. Einzelheiten zur Speicherdauer ergeben sich aus den datenschutzrechtlichen Bestimmungen in Abschnitt 5a.
(4) Es obliegt Ihnen, vor Beendigung des Nutzungsverhältnisses gegebenenfalls erforderliche Daten, Auswertungen oder Dokumente für Ihre eigenen Zwecke zu sichern. Ein Anspruch auf dauerhaften Zugriff auf die in der Anwendung gespeicherten Daten besteht nach Vertragsbeendigung grundsätzlich nicht.
15. Änderungen dieser Nutzungsbedingungen und Einwilligungstexte
(1) Die Steuerapp UG (haftungsbeschränkt) behält sich vor, diese Nutzungsbedingungen sowie die Einwilligungs- und Datenschutzhinweise anzupassen, wenn dies aus sachlichen Gründen erforderlich ist, insbesondere bei Änderungen gesetzlicher oder aufsichtsrechtlicher Vorgaben, höchstrichterlicher Rechtsprechung oder technischer Weiterentwicklung der Anwendung.
(2) Wesentliche Änderungen werden Ihnen in geeigneter Weise, etwa innerhalb der Anwendung oder per E-Mail, mit angemessenem Vorlauf bekanntgegeben. Sofern Ihre Einwilligung zur Datenverarbeitung von Änderungen inhaltlich betroffen ist, werden Sie – soweit rechtlich erforderlich – um erneute ausdrückliche Einwilligung gebeten, bevor die geänderte Verarbeitung Grundlage weiterer Nutzung wird.
(3) Ihre Rechte auf Widerruf, Widerspruch und Kündigung bleiben von Änderungen dieser Bedingungen unberührt. Die jeweils aktuelle Fassung ist jederzeit über die Menüpunkte „Datenschutz“ bzw. „Nutzungsbedingungen“ auf dieser Website abrufbar.
16. Anwendbares Recht, Gerichtsstand und Schlussbestimmungen
(1) Für diese Nutzungsbedingungen, sämtliche auf ihrer Grundlage abgeschlossenen Verträge sowie alle außervertraglichen Rechtsverhältnisse zwischen Ihnen und der Steuerapp UG (haftungsbeschränkt) gilt das Recht der Bundesrepublik Deutschland unter Ausschluss der Kollisionsnormen des internationalen Privatrechts. Zwingende verbraucherschützende Vorschriften des Staates, in dem Sie Ihren gewöhnlichen Aufenthalt haben, bleiben unberührt.
(2) Sofern Sie Kaufmann im Sinne des Handelsgesetzbuches (HGB), eine juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen sind, ist ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit der Nutzung dieser Anwendung der Sitz der Steuerapp UG (haftungsbeschränkt). Gleiches gilt, wenn Sie keinen allgemeinen Gerichtsstand in Deutschland haben oder Ihren Wohnsitz nach Vertragsschluss ins Ausland verlegen.
(3) Sollten einzelne Bestimmungen dieser Nutzungsbedingungen oder der Einwilligung ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. Anstelle der unwirksamen oder undurchführbaren Regelung gilt, soweit vorhanden, die gesetzliche Regelung.
(4) Diese Fassung der Nutzungsbedingungen und Einwilligung ersetzt etwaige frühere Versionen, soweit nichts anderes ausdrücklich vereinbart wurde. Der Zeitpunkt Ihrer Einwilligung und die jeweils zugrunde liegende Fassung können im Protokollsystem des Verantwortlichen vermerkt werden, um die Nachweisbarkeit zu gewährleisten.
(5) Bitte wenden Sie sich bei Fragen zur Auslegung dieser Bestimmungen, zur Reichweite Ihrer Einwilligung oder zu Ihren datenschutzrechtlichen Rechten an die oben genannten Kontaktdaten.
Sie können diese Seite schließen, um zur eigentlichen Anwendung zurückzukehren. Ihre Nutzung der Anwendung setzt voraus, dass Sie den Inhalt dieser Bedingungen und Hinweise zur Kenntnis genommen haben.
17. Zuständige Aufsichtsbehörde und Streitbeilegung
(1) Zuständige Datenschutzaufsichtsbehörde für die Steuerapp UG (haftungsbeschränkt) ist die für den Sitz des Unternehmens zuständige Landesdatenschutzbehörde. Die Kontaktdaten der in Ihrem Bundesland zuständigen Aufsichtsbehörde finden Sie auf der Website der Datenschutzkonferenz (DSK) oder über die Informationsangebote der jeweiligen Landesdatenschutzbehörde.
(2) Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht zu, bei einer Datenschutzaufsichtsbehörde Beschwerde einzulegen, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt (Art. 77 DSGVO).
(3) Die Europäische Kommission stellt eine Plattform zur Online-Streitbeilegung (OS-Plattform) für Verbraucher bereit. Hinweise hierzu finden Sie über die Informationsseiten der Europäischen Kommission zum Thema „Online-Streitbeilegung in Verbraucherangelegenheiten“.
Anhang A – Vollständige Gesetzesverweise
Nachfolgend eine nicht abschließende Übersicht der im vorliegenden Dokument genannten oder mittelbar relevanten Rechtsgrundlagen. Maßgeblich ist stets die im jeweiligen Amtsblatt veröffentlichte Fassung.
- DSGVO – Datenschutz-Grundverordnung (EU) 2016/679, insbesondere Art. 5, 6, 7, 12–22, 24–32, 44–49.
- BDSG – Bundesdatenschutzgesetz (Deutschland), insbesondere Vorschriften zur Aufsicht, Betroffenenrechten und Pflichten des Verantwortlichen.
- TTDSG – Telekommunikation-Telemedien-Datenschutzgesetz, insbesondere §§ 24–26 (Einsatz von Endeinrichtungstechnologien).
- StBerG – Steuerberatungsgesetz, insbesondere §§ 1–8a (Abgrenzung zulässiger/unerlaubter Hilfeleistung in Steuersachen).
- BGB – Bürgerliches Gesetzbuch, insbesondere §§ 305–310 (AGB-Kontrolle, Verbraucherschutz) sowie allgemeine Haftungsnormen.
- AO – Abgabenordnung, soweit steuerliche Aufbewahrungs- und Mitwirkungspflichten berührt sind.
- HGB – Handelsgesetzbuch, soweit Kaufleute und handelsrechtliche Buchführungspflichten betroffen sind.
- ePrivacy-Richtlinie (RL 2002/58/EG in der jeweils geltenden Fassung) – europäische Vorgaben für Vertraulichkeit der Kommunikation und Endeinrichtungsschutz.
Anhang B – Erweiterte TOM-Beschreibung
Die Steuerapp UG (haftungsbeschränkt) setzt angemessene technische und organisatorische Maßnahmen (TOM) im Sinne von Art. 32 DSGVO um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierzu gehören insbesondere:
- Organisatorische Maßnahmen: Berechtigungskonzepte, Need-to-know-Prinzip, Regelungen zur Vertraulichkeit, Schulung technischer Mitarbeiter in Datenschutz- und Sicherheitsgrundsätzen.
- Zugriffskontrolle: Passwort-Policies, wo möglich Zwei-Faktor-Authentifizierung, Trennung von Produktiv- und Testumgebung, rollenbasierte Rechtevergabe.
- Zutritts- und Infrastrukturkontrolle: Nutzung professioneller Rechenzentren mit physischer Zugangskontrolle, Logging von Administrationszugriffen durch die eingesetzten Hosting-Dienstleister.
- Übermittlungs- und Transportkontrolle: Verschlüsselung der Datenübertragung mittels TLS (HTTPS), Absicherung administrativer Zugänge (z. B. SSH mit Schlüssel-basiertem Zugriff), Einschränkung externer Schnittstellen.
- Speicher- und Zugriffsschutz: Einsatz gängiger Härtungsmaßnahmen auf Servern, regelmäßige Updates der System- und Anwendungssoftware, beschränkte Datenbankzugriffe.
- Verfügbarkeitskontrolle: Datensicherungen in angemessenen Intervallen, Überwachung wesentlicher Systemparameter und Möglichkeit zur Wiederherstellung bei technischen Störungen.
- Trennungsgebot: Trennung von Produktiv- und Test-/Entwicklungsdaten; soweit möglich Verarbeitung mit minimierten Datenbeständen (Data Minimization).
Die konkrete Ausgestaltung der TOM kann sich mit dem technischen Fortschritt ändern, bleibt jedoch stets am Schutzziel „Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit“ ausgerichtet.
Anhang C – Risikoanalysemodell
Für die Bewertung datenschutzrelevanter Risiken wird ein vereinfachtes Modell verwendet, das die Eintrittswahrscheinlichkeit eines Vorfalls und die Schwere möglicher Auswirkungen kombiniert.
- Eintrittswahrscheinlichkeit: niedrig, mittel, hoch – abhängig u. a. von Art der Verarbeitung, Exponiertheit der Systeme, bisherigen Vorfällen und bekannten Bedrohungen.
- Schadensschwere: niedrig, mittel, hoch – abhängig von Umfang und Sensibilität der betroffenen Daten, Zahl der Betroffenen und möglichen Konsequenzen (z. B. Identitätsdiebstahl, Diskriminierung, wirtschaftliche Nachteile).
- Risikoklasse: Kombination der beiden Dimensionen (z. B. „mittel“ bei mittlerer Wahrscheinlichkeit und mittlerem Schaden). Für hohe Risiken werden zusätzliche Sicherheitsmaßnahmen geprüft und ggf. eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) vorgenommen.
Anhang D – Begriffsverzeichnis
Zur besseren Verständlichkeit werden einige im Dokument verwendete Begriffe noch einmal stichwortartig erläutert. Maßgeblich bleiben die Definitionen der DSGVO.
- Personenbezogene Daten
- Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (z. B. Name, E-Mail, IP-Adresse).
- Verarbeitung
- Jeder Vorgang im Umgang mit personenbezogenen Daten (Erhebung, Speicherung, Übermittlung, Löschung etc.).
- Verantwortlicher
- Die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet (hier: Steuerapp UG (haftungsbeschränkt)).
- Auftragsverarbeiter
- Dienstleister, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten (z. B. Hosting-Provider).
- Pseudonymisierung
- Verarbeitung personenbezogener Daten in einer Weise, dass sie ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen Person zugeordnet werden können.
- Einwilligung
- Freiwillige, informierte und unmissverständliche Willensbekundung, mit der die betroffene Person der Verarbeitung ihrer Daten zustimmt.
- Protokolldaten (Logs)
- Technische Aufzeichnungen über Zugriffe und Systemereignisse, die zur Sicherheit und Fehleranalyse verwendet werden.
Anhang E – Cookie- und Technologierichtlinie
Beim Aufruf der Anwendung können – soweit technisch erforderlich – Informationen in der Endeinrichtung gespeichert oder aus ihr ausgelesen werden (z. B. Cookies, Local Storage, Session Storage).
Derzeit setzt die Anwendung ausschließlich technisch notwendige Cookies und vergleichbare Technologien ein, die für den Betrieb und die sichere Bereitstellung der Seite erforderlich sind (z. B. Sitzungskennung, CSRF-Schutz, Sprachauswahl). Analyse-, Tracking- oder Marketing-Cookies werden nicht verwendet.
Sollte künftig der Einsatz nicht zwingend erforderlicher Cookies oder ähnlicher Technologien vorgesehen sein (z. B. für Statistik oder Komfortfunktionen), erfolgt dies nur nach Ihrer vorherigen Einwilligung mittels eines gesonderten Cookie-Banners mit granularen Einstellmöglichkeiten.
Anhang F – Verantwortlichkeitsmatrix
Die nachfolgende Übersicht stellt beispielhaft dar, welche Hauptaufgaben typischerweise beim Verantwortlichen und welche bei den Auftragsverarbeitern liegen. Maßgeblich sind die jeweils abgeschlossenen Verträge zur Auftragsverarbeitung.
| Aufgabe | Verantwortlicher (Steuerapp UG) | Auftragsverarbeiter (z. B. Hoster) |
|---|---|---|
| Zweckbestimmung der Datenverarbeitung | alleinige Verantwortung | keine eigene Zweckbestimmung |
| Technischer Betrieb der Server | Auswahl, Weisung, Kontrolle | Durchführung gemäß Weisung |
| Sicherheit der physischen Rechenzentrumsinfrastruktur | Kontrolle über Verträge/Zertifikate | praktische Umsetzung vor Ort |
| Erfüllung von Betroffenenrechten (Auskunft, Löschung etc.) | primäre Verantwortung, Koordination | Unterstützung nach Weisung |
| Dokumentations- und Nachweispflichten gegenüber Aufsichtsbehörden | primäre Verantwortung | Zulieferung technischer Informationen |
Anhang G – Erweiterte Nutzungsbeschränkungen
Ergänzend zu den im Haupttext genannten Pflichten ist insbesondere untersagt:
- die Nutzung der Anwendung zur Begehung oder Vorbereitung rechtswidriger Handlungen;
- die vorsätzliche Eingabe offensichtlich falscher oder frei erfundener personenbezogener Daten Dritter ohne deren Berechtigung;
- jedwede Form systematischer Massenabfragen oder Scraping, die über die übliche Nutzung hinausgeht;
- Versuche, die technische Infrastruktur durch Angriffe (z. B. Brute-Force, DoS, Exploit-Scanning) zu beeinträchtigen;
- die Weitergabe von Zugangsdaten an unbefugte Dritte oder deren Veröffentlichung;
- die Nutzung der Anwendung im Namen oder auf Rechnung Dritter, wenn dadurch berufsrechtliche Vorgaben (z. B. StBerG) umgangen würden.
Bei Verstößen gegen diese Nutzungsbeschränkungen behält sich die Steuerapp UG (haftungsbeschränkt) geeignete Maßnahmen vor, soweit diese rechtlich zulässig und erforderlich sind (z. B. Sperrung von Zugängen, Sicherung von Beweismitteln, Information zuständiger Stellen).