Datenschutzerklärung von Belegify

Stand: 19. Oktober 2026

Mit dieser Datenschutzerklärung informieren wir Sie gemäß Art. 13, 14 DSGVO über die Verarbeitung personenbezogener Daten im Rahmen der Nutzung der Software-as-a-Service-Anwendung „Belegify" (Web-PWA unter https://belegify.app, Telegram-Bot @Belegify_Bot, E-Mail-Inbox-Service).

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Comms Connect GmbH Tal 30, 80331 München, Deutschland E-Mail: hi@belegify.app Telefon: +49 89 4522 1556 Geschäftsführer: Rainer Roloff Handelsregister: Amtsgericht München, HRB 295951 USt-IdNr.: DE451966748 Webseite: https://belegify.app

Verantwortlicher i.S.d. § 18 Abs. 2 MStV: Rainer Roloff (Anschrift wie oben).

Für datenschutzrechtliche Anfragen erreichen Sie uns unter privacy@belegify.app.

Ein gesetzlicher Datenschutzbeauftragter ist derzeit nicht bestellt; die Voraussetzungen des Art. 37 DSGVO bzw. § 38 BDSG liegen aktuell nicht vor.

2. Allgemeines zur Datenverarbeitung

2.1 Begriffe

Die in dieser Datenschutzerklärung verwendeten Begriffe (z.B. „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter") richten sich nach den Definitionen des Art. 4 DSGVO.

2.2 Grundsatz

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung des Dienstes, zur Erfüllung gesetzlicher Pflichten oder auf Grundlage einer von uns geltend gemachten berechtigten Interessenabwägung bzw. einer von Ihnen erteilten Einwilligung erforderlich ist.

3. Zwecke und Rechtsgrundlagen der Verarbeitung

3.1 Bereitstellung der Anwendung und Vertragsabwicklung

Zweck: Registrierung, Authentifizierung, Bereitstellung der App-Funktionen, Beleg-Upload, KI-/OCR-Extraktion, PDF-Erzeugung, Versand an konfigurierte DATEV-Belegmail-Adressen, unveränderliche Speicherung mit Hash- und Audit-Trail-Nachweis, Support, Abrechnung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen).

3.2 Erfüllung gesetzlicher Aufbewahrungs- und Mitwirkungspflichten

Zweck: Aufbewahrung der Rechnungen und Buchungsunterlagen, die wir selbst führen müssen (z. B. Rechnungen an Sie, Zahlungsdaten), sowie Auskunft gegenüber Finanzbehörden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.

Belege, die Sie in Belegify erfassen, verarbeiten wir in Ihrem Auftrag (Art. 28 DSGVO, siehe AVV); deren Aufbewahrung nach § 147 AO, § 14b UStG obliegt Ihnen.

3.3 IT-Sicherheit, Missbrauchsabwehr, Stabilität des Dienstes

Zweck: Erkennung, Eindämmung und Aufklärung von Angriffen, Spam, Bot-Verhalten; Sicherstellung der Stabilität durch Logging und Monitoring.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an der Sicherheit unserer Systeme und Daten unserer Nutzer:innen.

3.4 Zahlungsabwicklung

Zweck: Abwicklung kostenpflichtiger Bestellungen über Stripe, Forderungsverwaltung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und – soweit erforderlich – Art. 6 Abs. 1 lit. c DSGVO.

3.5 Kommunikation und Support

Zweck: Bearbeitung von Support-Anfragen per E-Mail oder über Telegram.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, Art. 6 Abs. 1 lit. f DSGVO bei sonstigen Anfragen.

3.6 Werbliche Information an Bestandskunden

Soweit zulässig und erforderlich, informieren wir Bestandskunden per E-Mail über ähnliche eigene Dienstleistungen.

Rechtsgrundlage: § 7 Abs. 3 UWG i.V.m. Art. 6 Abs. 1 lit. f DSGVO. Sie können dem Erhalt jederzeit unentgeltlich widersprechen.

3.7 Partnerprogramm: Anmeldung, Nachweis der Einwilligung und Vermittlungs-Zuordnung

Anmeldung und Bestätigungsverfahren. Wer sich unter belegify.app/partner für das Belegify-Partnerprogramm anmeldet, gibt Name, E-Mail-Adresse und optional den Firmen- oder Kanzleinamen an. Wir schicken an diese Adresse zunächst nur eine Bestätigungsanfrage ohne werblichen Inhalt (Double-Opt-in). Erst wenn die Anmeldung über die Schaltfläche in dieser Nachricht bestätigt wird, entsteht ein Partnerkonto. Ohne Bestätigung wird die Anmeldung nicht wirksam, und es werden keine weiteren Nachrichten versandt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Anbahnung und Durchführung der Partnerschaft.

Nachweis der Einwilligung. Um die Erteilung einer Einwilligung nachweisen zu können (Art. 7 Abs. 1 DSGVO), protokollieren wir zu jedem Schritt: Zeitpunkt, IP-Adresse, Browserkennung, die aufgerufene Seite, die Herkunft der Anmeldung sowie die genaue, versionierte Fassung des Textes, dem zugestimmt wurde. Diese Protokolle sind nachträglich nicht veränderbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i.V.m. Art. 7 Abs. 1 DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (Nachweis- und Verteidigungsinteresse gegenüber Ansprüchen aus § 7 UWG).

Werbliche E-Mails an Partner. Neuigkeiten zum Produkt, Vermarktungsmaterialien, Praxistipps und Einladungen zu Webinaren versenden wir ausschließlich an Partner, die dem gesondert und freiwillig zugestimmt haben. Diese Einwilligung ist keine Voraussetzung für die Teilnahme am Partnerprogramm.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 7 Abs. 2 Nr. 2 UWG.

Widerruf. Die Einwilligung in werbliche E-Mails kann jederzeit mit Wirkung für die Zukunft widerrufen werden, über den Abmeldelink in jeder solchen E-Mail, über belegify.app/partner/abmelden oder formlos an hi@belegify.app. Der Widerruf beendet nicht die Teilnahme am Partnerprogramm: Nachrichten, die zur Durchführung gehören (Zugang zum Cockpit, Provisionsabrechnungen, Änderungen der Bedingungen), erhalten Sie weiterhin, solange die Teilnahme besteht. Nach einem Widerruf speichern wir die betroffene Adresse in einer Sperrliste, damit sie nicht versehentlich erneut angeschrieben wird.

Zwei Teilnahmewege. Das Partnerprogramm kennt zwei getrennte Wege. Vertriebspartner erhalten eine umsatzabhängige Vergütung. Steuerkanzleien nehmen ausdrücklich unvergütet teil; an sie fließt keine Provision, der Preisnachlass kommt unmittelbar ihren Mandanten zugute. Welchem Weg eine Anmeldung zugeordnet ist, wird zusammen mit der jeweils gültigen Fassung der Teilnahmebedingungen protokolliert.

Zuordnung vermittelter Kunden. Wird Belegify über einen persönlichen Empfehlungslink aufgerufen, wird der Partnercode nicht auf Ihrem Endgerät gespeichert. Er wird nur während des Besuchs als Teil der Adresse weitergegeben und bei einer Registrierung zusammen mit Ihrem Konto gespeichert, um einen späteren Vertragsabschluss der empfehlenden Person oder Kanzlei zuordnen zu können — bei Vertriebspartnern zur Berechnung der Vergütung, bei Kanzleien ausschließlich zur Gewährung des Mandantennachlasses und zur Zuordnung der Belegzulieferung. Dasselbe gilt für den Code einer Weiterempfehlung durch andere Kunden. Der Code wird mit dem Konto gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Partner (Abrechnung der vereinbarten Vergütung), Art. 6 Abs. 1 lit. f DSGVO gegenüber der aufrufenden Person (Interesse an korrekter Vermittlungszuordnung).

Cockpit-Zugang. Der Zugang zum Partner-Cockpit erfolgt über einen kurzlebigen Einmal-Link per E-Mail, der unmittelbar gegen eine verschlüsselt gespeicherte Sitzung getauscht wird. Zugangsmerkmale werden ausschließlich als kryptografischer Prüfwert gespeichert, nie im Klartext.

3.8 Bewirtungsteilnehmer und sonstige Drittdaten im Beleg

Erfassen Sie einen Beleg als Bewirtung, tragen Sie regelmäßig auch Namen (ggf. Funktion oder Firma) der teilnehmenden Personen ein, um die Voraussetzungen des § 4 Abs. 5 S. 1 Nr. 2 EStG zu erfüllen (vgl. Ziffer 4, Belegmetadaten). Entsprechendes gilt, soweit Sie sonst personenbezogene Daten Dritter – etwa Ansprechpartner eines Geschäftspartners – auf einem erfassten Beleg hinterlegen.

Für diese Verarbeitung sind Sie als Kunde Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, nicht Comms Connect: Sie entscheiden, wessen Namen Sie zu welchem Zweck erfassen, und verfolgen damit eigene steuerliche Aufzeichnungspflichten (Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 4 Abs. 5 S. 1 Nr. 2 EStG). Comms Connect verarbeitet diese Daten insoweit ausschließlich als Auftragsverarbeiter auf Ihre Weisung, auf Grundlage des Vertrags zur Auftragsverarbeitung gemäß Art. 28 DSGVO (abrufbar unter https://belegify.app/avv).

Die Pflicht, die betroffenen Bewirtungsteilnehmer nach Art. 14 DSGVO über diese Verarbeitung zu informieren, trifft als Verantwortlichen Sie, nicht Comms Connect. Im Einzelfall kann die Informationspflicht nach Art. 14 Abs. 5 DSGVO entfallen, etwa wenn die Erteilung der Information sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; ob diese Ausnahme in Ihrem Fall greift, prüfen Sie bitte eigenständig – Comms Connect sichert das Vorliegen der Ausnahme nicht zu.

3.9 Reichweitenmessung der Marketing-Seiten (aggregiert, ohne Personenbezug)

Auf den öffentlichen Marketing-Seiten von belegify.app (z. B. Startseite, Produkt- und Themenseiten) erfassen wir rein serverseitig eine aggregierte Reichweitenmessung, um Zugriffszahlen und den Erfolg einzelner Marketingkanäle nachvollziehen zu können.

Gespeichert werden je Seitenaufruf ausschließlich: Zeitpunkt, der aufgerufene Pfad (aus einer festen, vordefinierten Liste bekannter Marketing-Seiten), eine grobe technische Einstufung „Mensch" / „Bot" / „unbekannt" sowie – sofern vorhanden – der Host (nicht der vollständige Pfad) einer verweisenden externen Seite und die Kampagnenkennzeichen (utm_source, utm_medium, utm_campaign) eines Marketingkanals.

Nicht gespeichert werden IP-Adresse, User-Agent im Klartext, Cookie-Werte, Sitzungs- oder Gerätekennungen, E-Mail-Adressen oder sonstige personenbezogene Kennungen. Der im Rahmen jeder Seitenanfrage technisch übermittelte User-Agent sowie weitere technische Anfrage-Header (etwa zu Inhaltstyp, Sprachpräferenz und Navigationskontext) werden lediglich kurzzeitig im Arbeitsspeicher ausgewertet, um zwischen menschlichen Aufrufen und automatisierten Zugriffen (z. B. Suchmaschinen-Crawlern) zu unterscheiden; gespeichert wird ausschließlich das Ergebnis dieser Einstufung, nicht die Header selbst. Es wird kein Cookie gesetzt oder ausgelesen, und es erfolgt kein Zugriff auf im Endgerät gespeicherte Informationen. Es findet keine Wiedererkennung derselben Person über mehrere Seitenaufrufe hinweg statt und keine Zusammenführung mit anderen Datenbeständen.

Da sich aus diesen Angaben keine natürliche Person identifizieren, wiedererkennen oder verfolgen lässt, handelt es sich nicht um personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO. Eine Einwilligung nach § 25 TDDDG ist hierfür nicht erforderlich, da kein Zugriff auf die Endeinrichtung des Endnutzers erfolgt.

Weiterleitungspunkte innerhalb unseres eigenen Angebots. Führt eine Schaltfläche auf unseren Marketing-Seiten in die Anwendung, kann dieser Weg über einen eigenen Weiterleitungspunkt auf belegify.app laufen (z. B. belegify.app/start). Ein solcher Weiterleitungspunkt gehört zu der oben genannten festen Liste bekannter Pfade. Er erfasst den Aufruf nach demselben Verfahren und mit denselben Feldern wie einen Seitenaufruf — Zeitpunkt, aufgerufener Pfad, grobe technische Einstufung, Host einer verweisenden externen Seite, Kampagnenkennzeichen — und zusätzlich die eigene Seite, von der der Klick ausging. Anschließend wird der Aufruf unmittelbar per vorübergehender Weiterleitung (HTTP-Status 302) an unsere Anwendung unter app.belegify.app übergeben. Ziel der Weiterleitung ist ausschließlich unser eigenes Angebot; eine Weiterleitung an Dritte findet nicht statt, und es werden aus diesem Vorgang keine Daten an Dritte übermittelt.

An dieser Stelle unterscheidet die technische Einstufung zusätzlich zu „Mensch", „Bot" und „unbekannt" den Wert „Prefetch". Damit sind Aufrufe gemeint, die ein Browser von sich aus vorsorglich im Hintergrund auslöst, ohne dass eine Person geklickt hat; sie werden getrennt gezählt, damit sie die Auswertung nicht verfälschen. Auch beim Weiterleitungspunkt gilt unverändert: Es wird kein Cookie gesetzt oder ausgelesen, es erfolgt kein Zugriff auf im Endgerät gespeicherte Informationen, und es findet keine Wiedererkennung derselben Person über mehrere Aufrufe hinweg statt.

Rechtsgrundlage (vorsorglich, für die kurzzeitige technische Verarbeitung der Anfragedaten sowie die aggregierte Auswertung): Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einer datenschutzfreundlichen, personenbezugsfreien Erfolgsmessung unserer Marketing-Maßnahmen.

4. Datenkategorien

Im Rahmen der Bereitstellung von Belegify verarbeiten wir insbesondere folgende Datenkategorien:

5. Empfänger und Auftragsverarbeiter

5.1 Allgemeines

Wir geben personenbezogene Daten nur an Empfänger weiter, soweit dies zur Vertragserfüllung erforderlich ist, eine gesetzliche Verpflichtung besteht, eine Einwilligung vorliegt oder ein überwiegendes berechtigtes Interesse die Übermittlung trägt. Soweit Auftragsverarbeiter eingesetzt werden, schließen wir mit diesen Verträge gemäß Art. 28 DSGVO.

5.2 Sub-Processor-Übersicht

5.3 Sonstige Empfänger

Personenbezogene Daten werden zudem weitergegeben an:

• vom Kunden konfigurierte Steuerberatungs- bzw. DATEV-Empfänger (Belegify versendet die generierten PDFs an die vom Kunden hinterlegte Belegmail-Adresse);
• vom Kunden selbst angebundene Buchhaltungsdienste: Verbindet der Kunde Lexware Office (lexoffice) oder sevDesk über einen von ihm hinterlegten API-Schlüssel, übermittelt Belegify das Beleg-PDF samt Belegdaten und Vorkontierung an das Konto des Kunden bei diesem Anbieter. Richtet der Kunde GetMyInvoices als Belegquelle ein, nimmt Belegify Belege über die ihm zugewiesene Webhook-Adresse entgegen;
• vom Kunden selbst angebundene E-Mail-Postfächer: Verbindet der Kunde sein Google-Konto (Gmail, Google Ireland Ltd.) oder sein Microsoft-Konto (Outlook/Microsoft 365, Microsoft Ireland Operations Ltd.), versendet Belegify Belege auf seine Veranlassung über dieses Postfach. Beim Microsoft-Konto durchsucht Belegify das Postfach zusätzlich nach Rechnungen und übernimmt gefundene Anhänge als Belege, auf Knopfdruck und regelmäßig, solange die Verbindung besteht. Beim einmaligen Import aus einem anderen Postfach (IMAP) wird das Passwort nur für die Dauer des Abrufs verwendet und nicht gespeichert. Die Verbindungen lassen sich in den Einstellungen jederzeit trennen;
• Behörden und Gerichte, soweit eine gesetzliche Verpflichtung zur Übermittlung besteht;
• Rechts-, Steuerberatungs- oder Wirtschaftsprüfungskanzleien im Rahmen unserer eigenen gesetzlichen Pflichten und unter Wahrung von Berufsgeheimnissen.

6. Internationale Datenübermittlung

Eine Übermittlung personenbezogener Daten in Drittländer (außerhalb des EWR) erfolgt nur, wenn dies zur Erbringung des Dienstes erforderlich ist. Wir stützen Drittlandsübermittlungen auf folgende Garantien gemäß Art. 44 ff. DSGVO:

• EU-US Data Privacy Framework (EU-DPF) für zertifizierte US-Anbieter (Supabase, Vercel, Stripe, Resend, Cloudflare),
• Standardvertragsklauseln (SCCs) der Europäischen Kommission gemäß Durchführungsbeschluss (EU) 2021/914,
• ergänzende technische Maßnahmen (Verschlüsselung in Transit und at Rest, Zugriffskontrollen, Pseudonymisierung), wo angemessen.

Eine Kopie der jeweiligen Garantien ist über die in der Sub-Processor-Tabelle verlinkten DPAs abrufbar oder kann unter privacy@belegify.app angefordert werden.

7. Speicherdauer

Erforderliche Aufbewahrungsfristen gehen einer früheren Löschung vor. Nach Ablauf der jeweiligen Frist werden die Daten gelöscht oder anonymisiert.

8. Cookies und ähnliche Technologien

8.1 Eingesetzte Cookies / Storage

Belegify setzt ausschließlich technisch notwendige Cookies bzw. Local-Storage-Einträge ein:

• Session-/Authentifizierungs-Cookies (Supabase Auth) – erforderlich zur Aufrechterhaltung der Login-Sitzung;
• Funktionale Cookies zur Speicherung von Spracheinstellung und UI-Präferenzen;
• Stripe-Cookies im Checkout-Prozess zur Betrugsprävention und Transaktionssicherheit;
• Sitzungs-Cookie des Partner-Cockpits (bf_partner_session) – erforderlich, um angemeldete Partner wiederzuerkennen; Laufzeit 30 Tage, jederzeit über „Abmelden" beendbar.

Diese Cookies sind gemäß § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei zulässig, da sie für die Erbringung des vom Nutzer ausdrücklich gewünschten Dienstes unbedingt erforderlich sind. Für die Zuordnung von Empfehlungslinks setzen wir keine Cookies ein (siehe Ziffer 3.7).

8.2 Kein Cookie-Tracking

Wir setzen keine Cookies von Drittanbietern, keine Analyse- oder Profiling-Cookies und keine Drittanbieter-Skripte zur Reichweitenmessung ein, die auf das Endgerät zugreifen. Es findet keine geräteübergreifende Wiedererkennung, keine Profilbildung und keine Weitergabe an Werbenetzwerke statt. Die Reichweitenmessung unserer Marketing-Seiten erfolgt rein serverseitig und personenbezugsfrei; sie ist unter Ziffer 3.9 beschrieben und kommt ohne Cookie aus. Auch die Zuordnung einer Registrierung zu dem Marketingkanal, über den sie zustande kam, kommt ohne Cookie aus: Der Kanal wird allein als URL-Parameter während der Weiterleitung in die App übergeben und nicht auf dem Endgerät gespeichert. Bei einer Registrierung speichern wir Kanal, Einstiegsseite und gegebenenfalls den Host einer verweisenden Seite zusammen mit dem Konto, um auszuwerten, welche Marketingkanäle wirken (Art. 6 Abs. 1 lit. f DSGVO).

9. Hinweise zur Nutzung des Telegram-Bots

Die Nutzung des Telegram-Bots @Belegify_Bot ist optional. Bei dessen Nutzung werden Inhalte (Belegfotos, Sprachnachrichten, Texte) sowie Telegram-User-ID und Nutzername an die Telegram FZ-LLC mit Sitz in den Vereinigten Arabischen Emiraten übermittelt. Für die VAE besteht kein Angemessenheitsbeschluss der EU-Kommission. Wir empfehlen Nutzer:innen, sensible Belege ausschließlich über die Web-PWA oder die E-Mail-Inbox einzureichen. Mit der Aktivierung des Bots erklären Sie sich mit der Übermittlung gemäß Art. 49 Abs. 1 lit. a DSGVO ausdrücklich einverstanden; Sie können diese Einwilligung jederzeit durch Stoppen des Bots widerrufen, ohne dass die Rechtmäßigkeit bisheriger Verarbeitungen berührt wird.

10. Rechte der betroffenen Personen

Sie haben uns gegenüber folgende Rechte:

• Auskunft (Art. 15 DSGVO) über die zu Ihrer Person gespeicherten Daten;
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten;
• Löschung (Art. 17 DSGVO), eingeschränkt nur durch die eigenen gesetzlichen Aufbewahrungspflichten von Belegify für Rechnungs- und Abrechnungsunterlagen (siehe Abschnitt 10.1); insoweit erfolgt eine Sperrung statt Löschung;
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO) in einem strukturierten, gängigen, maschinenlesbaren Format;
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen auf Grundlage berechtigter Interessen;
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft.

Bitte richten Sie Anfragen an privacy@belegify.app.

10.1 Konto und Daten löschen

Sie können die Löschung Ihres Belegify-Kontos und der zugehörigen Daten jederzeit selbst veranlassen oder anfordern, auf zwei Wegen:

In der App oder im Web-Portal (sofort)

1. Melden Sie sich unter app.belegify.app an.
2. Öffnen Sie Profil (Menüpunkt oben rechts bzw. in der Navigation).
3. Wählen Sie dort Konto löschen und bestätigen Sie die Sicherheitsabfrage.

Die Löschung wird sofort ausgeführt.

Per E-Mail

Senden Sie eine formlose Anfrage an privacy@belegify.app von der E-Mail-Adresse, mit der Ihr Konto registriert ist. Wir bearbeiten die Anfrage unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO); die Löschung selbst hat dann denselben Umfang wie in der App.

Vorher: Belege exportieren

Die gesetzlichen Aufbewahrungspflichten für Ihre Belege (insbesondere § 147 AO, § 14b UStG) treffen Sie selbst, nicht Belegify. Für Ihre Belege ist Belegify Auftragsverarbeiter (siehe AVV) und bewahrt sie nach der Löschung nicht weiter auf. Exportieren Sie deshalb vor der Löschung alle Belege, die Sie aufbewahren müssen: im Profil über Alle Daten exportieren (ZIP-Archiv mit Originaldateien, erzeugten PDFs sowie einer Übersicht als CSV und JSON).

Was gelöscht wird

Sie sind die letzte Person Ihrer Organisation: Organisation und Belege werden sofort aus dem Produktivsystem gelöscht, und zwar Ihr Nutzerkonto, Ihre Profil- und Stammdaten (Name, E-Mail-Adresse, Anschrift, Bankverbindung), alle Belege der Organisation samt Originaldateien, erzeugten PDFs und Sprachnotizen, die Mandanten und Versandziele sowie die daraus erzeugten Auswertungen. Ein laufendes Abonnement wird dabei beendet. Eine Wiederherstellung ist nicht möglich.

In Ihrer Organisation sind weitere Personen angelegt: Gelöscht wird nur Ihr eigenes Nutzerkonto mit Ihren Profildaten. Die Belege der Organisation bleiben für die übrigen Personen erhalten.

Unsere Datenbanksicherungen werden täglich erstellt und sieben Tage aufbewahrt. Gelöschte Daten sind damit spätestens sieben Tage nach der Löschung auch aus den Sicherungen entfernt.

Organisationen, die vor dem 1. Oktober 2026 angelegt wurden

Bis zum 1. Oktober 2026 haben unsere AGB zugesagt, dass Belegify Belege auch nach Vertragsende aufbewahrt. Für Organisationen, die vor diesem Datum angelegt wurden, gilt diese Zusage fort, bis sie der neuen Regelung ausdrücklich zustimmen. Bis dahin löschen wir ihre Belege bei einer Kontolöschung nur, wenn ausdrücklich erklärt wird, die Belege gesichert zu haben und auf die Aufbewahrung durch Belegify zu verzichten (die Erklärung wird protokolliert), und nach Vertragsende nicht automatisch.

Was aufbewahrt wird

Aufbewahrt werden nur Unterlagen, zu deren Aufbewahrung Belegify selbst gesetzlich verpflichtet ist (insbesondere § 147 AO, § 257 HGB): die Rechnungen von Belegify an Sie mit den zugehörigen Zahlungsdaten bei unserem Zahlungsdienstleister Stripe bzw. bei Apple für Käufe im App Store sowie Nachweise über von Ihnen erklärte Kündigungen und Widerrufe. Diese Daten werden für die Dauer der gesetzlichen Frist gesperrt, nur noch zu diesem Zweck verwendet und nach Ablauf der Frist gelöscht. Ebenfalls erhalten bleibt der Nachweis einer Erklärung zur Aufbewahrung (Abschnitt 7). Näheres finden Sie in Abschnitt 7 (Speicherdauer).

10.2 Beschwerderecht

Sie haben zudem das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Promenade 18, 91522 Ansbach Telefon: +49 981 180093-0 E-Mail: poststelle@lda.bayern.de Webseite: https://www.lda.bayern.de

11. Automatisierte Entscheidungsfindung / Profiling

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO mit Rechtswirkung gegenüber den betroffenen Personen findet nicht statt. KI-/OCR-Analysen dienen ausschließlich der technischen Aufbereitung der vom Kunden bereitgestellten Belege; sämtliche Ergebnisse können vom Kunden vor Weiterverwendung geprüft und korrigiert werden.

12. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um Ihre Daten vor unberechtigtem Zugriff, Verlust, Manipulation und Zerstörung zu schützen. Hierzu zählen insbesondere:

• Transportverschlüsselung (TLS 1.2 oder höher) für sämtliche Datenübertragungen;
• Verschlüsselung der gespeicherten Daten (AES-256) bei unserem Datenbank- und Storage-Anbieter Supabase;
• Zugriffskontrollen mittels Row-Level-Security (RLS) und Mehr-Faktor-Authentifizierung für administrative Zugänge;
• regelmäßige Backups und Wiederherstellungstests;
• definierte Incident-Response-Prozesse zur Erkennung und Meldung von Datenschutzverletzungen.

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen unserer Verarbeitungstätigkeiten oder der Rechtslage anzupassen. Die jeweils aktuelle Fassung ist unter https://belegify.app/datenschutz abrufbar.

Stand: 1. Oktober 2026

Diese Fassung ist als Erstfassung verfasst. Eine anwaltliche Schlussprüfung wird empfohlen.