Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.
Wer ist verantwortlich für die Datenerfassung auf dieser Website?
Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Dessen Kontaktdaten können Sie dem Abschnitt „Hinweis zur Verantwortlichen Stelle" in dieser Datenschutzerklärung entnehmen.
Wie erfassen wir Ihre Daten?
Ihre Daten werden zum einen dadurch erhoben, dass Sie uns diese mitteilen. Hierbei kann es sich z. B. um Daten handeln, die Sie in ein Kontaktformular oder bei der Registrierung eingeben.
Wofür nutzen wir Ihre Daten?
Ein Teil der Daten wird erhoben, um eine fehlerfreie Bereitstellung der Website zu gewährleisten. Andere Daten können zur Analyse Ihres Nutzerverhaltens verwendet werden.
Unsere Infrastruktur ist bewusst so gewählt, dass alle persistenten Geschäftsdaten in Deutschland verarbeitet werden. Eine vollständige Provider-Übersicht finden Sie auf der Seite DSGVO-Setup & Datenstandorte.
Compute- und Datenbank-Server werden bei Hostinger International Ltd. (Limassol, Zypern) auf Server-Standorten in Deutschland betrieben. Mit Hostinger besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Datenschutzerklärung von Hostinger
Datei-Anhänge (Avatare, Beleg-Originale) sowie Datenbank-Backups werden auf Hetzner Object Storage in Falkenstein/Deutschland gespeichert. Anbieter ist die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (deutsches Unternehmen, ISO 27001-zertifiziert). Mit Hetzner besteht ein Auftragsverarbeitungsvertrag. Datenschutzerklärung von Hetzner
Transaktionale System-Mails (z.B. Email-Bestätigung, Passwort-Reset, Einladungen) werden über Resend Inc. (USA) versendet. Mit Resend besteht ein AVV einschließlich der EU-Standardvertragsklauseln (SCC) für den Drittlandtransfer. Resend speichert keine Mail-Inhalte dauerhaft, sondern dient ausschließlich dem Email-Transit.
Alle persistenten Geschäftsdaten (Nutzerkonten, Firmendaten, Belege, Spesen-Einträge) werden ausschließlich auf Servern in Deutschland gespeichert. Es findet kein Transfer von Geschäftsdaten in Drittländer statt.
Die folgende Aufstellung listet alle aktuell eingesetzten Auftragsverarbeiter mit Verarbeitungszweck, Datenkategorien, Standort und Übermittlungs-Rechtsgrundlage. Sie wird live aus unserem Sub-Processor-Inventar generiert.
Wir informieren registrierte Empfaenger ueber jede Aenderung dieser Liste — neue Sub-Processors, AVV-Signaturen, Entfernungen — mit 30 Tagen Widerspruchsfrist gemaess Art. 28 Abs. 2 DSGVO. Doppel-Opt-In zur Bestaetigung.
Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.
Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:
Valerian Huber
Einzelunternehmen
Dahlienweg 11
83109 Großkarolinenfeld
E-Mail: datenschutz@firmenkompass.app
Soweit innerhalb dieser Datenschutzerklärung keine speziellere Speicherdauer genannt wurde, verbleiben Ihre personenbezogenen Daten bei uns, bis der Zweck für die Datenverarbeitung entfällt.
Geschäftsrelevante Belege unterliegen der gesetzlichen Aufbewahrungspflicht nach § 147 AO (Abgabenordnung). Für Buchungsbelege beträgt die Mindestfrist seit dem Vierten Bürokratieentlastungsgesetz (BEG IV, gültig ab 2025) acht Jahre. FirmenKompass speichert Ihre Belege darüber hinaus technisch unveränderbar (Object-Lock) für zehn Jahre.
Viele Datenverarbeitungsvorgänge sind nur mit Ihrer ausdrücklichen Einwilligung möglich. Sie können eine bereits erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.
Solange Sie nicht angemeldet sind, speichern wir nichts auf Ihrem Gerät. Nach der Anmeldung legen wir ausschließlich ab, was für die von Ihnen genutzte Anwendung technisch erforderlich ist:
refresh_token, nur für den Server lesbar, höchstens 30 Tage) und ein Hinweis, dass Sie angemeldet sind. Beim Abmelden werden beide gelöscht.Wir setzen keine Cookies oder vergleichbaren Speicher zu Analyse-, Werbe- oder Profilzwecken ein und binden keine Drittanbieter ein, die das tun. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für einen von Ihnen gewünschten Dienst); eine Einwilligung ist dafür nicht nötig, deshalb zeigen wir auch keinen Cookie-Banner. Sie können die Daten jederzeit über die Einstellungen Ihres Browsers löschen.
Der Provider der Seiten erhebt und speichert automatisch Informationen in so genannten Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt. Dies sind:
Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.
Tritt in der App ein Programmfehler auf, speichern wir einen Fehlerbericht, um ihn beheben zu können. Die Software GlitchTip läuft auf unserem eigenen Server in Deutschland; es gibt keinen Drittanbieter. Fehler im Browser schickt die App zuerst an unseren eigenen Server, der sie weiterleitet — Ihre IP-Adresse wird dabei nicht übertragen. Ein Bericht enthält die Fehlermeldung, die Stelle im Programmcode, die aufgerufene Seite ohne Parameter und den Zeitpunkt. Er enthält keine Formular-Inhalte, keine Anmeldedaten und keinen Namen oder keine E-Mail-Adresse. Berichte werden nach 90 Tagen automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein fehlerfreier, sicherer Betrieb der App.
Nutzerinnen und Nutzer einer Firma in der Beta-Phase können über „Feedback senden“ eine Rückmeldung schicken. Neben Ihrem Text und der gewählten Kategorie geht auf Wunsch ein Bildschirmfoto der gerade geöffneten Seite mit. Es wird in Ihrem Browser erstellt; Passwortfelder sind darauf immer geschwärzt. Weitere Stellen, etwa Namen oder Beträge, schwärzen Sie vor dem Senden selbst: Sie sehen das Bild vorher, können Flächen schwärzen oder das Bild ganz abwählen. Außerdem gehen technische Angaben mit, die wir zur Fehlersuche brauchen: die aufgerufene Seite ohne Parameter, die App-Version, Bildschirmgröße und Gerätetyp (Browserkennung), Ihre Rolle und die interne Nummer Ihrer Firma (keine Namen), die letzten Fehlermeldungen der App und die letzten Aufrufe an unseren Server mit Status und Vorgangsnummer, ohne Inhalte. Ihr Name und Ihre E-Mail-Adresse gehen nicht mit; wir verwenden eine nicht rückrechenbare Kennung, um Meldungen derselben Person zusammenzufassen.
Die Rückmeldung geht über unseren Server an unser internes Betriebssystem (alpin-code) und wird dort gesichtet. Die Rückmeldung wird samt Ihrem Text, dem Bildschirmfoto und den technischen Angaben nach 90 Tagen automatisch gelöscht. Rechtsgrundlage für das Bildschirmfoto ist Ihre Einwilligung beim Absenden (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit für die Zukunft widerrufen können; für die technischen Angaben unser berechtigtes Interesse an einer fehlerfreien App während der Beta (Art. 6 Abs. 1 lit. f DSGVO).
Auf den öffentlichen Seiten (Startseite, Funktionen, Preise, Rechtstexte) zählen wir Seitenaufrufe mit Umami. Die Software läuft auf unserem eigenen Server in Deutschland (analytics.alpin-code.de). Es gibt keinen Drittanbieter. Umami setzt keine Cookies und legt nichts auf Ihrem Gerät ab. Die IP-Adresse wird nicht gespeichert. Erfasst werden die aufgerufene Seite (ohne Parameter), die Herkunftsseite (Referrer), Browser, Betriebssystem, Gerätetyp und das Land. Eine Zuordnung zu einer Person ist damit nicht möglich.
Innerhalb der Anwendung, also nach der Anmeldung, zählen wir nichts. Wenn Ihr Browser „Do Not Track" sendet, wird auch auf den öffentlichen Seiten nicht gezählt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist zu verstehen, welche Seiten gelesen werden.
FirmenKompass ist noch nicht öffentlich gestartet. Wer Interesse hat, kann sich auf der Startseite in eine Warteliste eintragen. Dabei verarbeiten wir Ihre E-Mail-Adresse, die Sprache der Seite, die Seite, von der aus Sie sich eingetragen haben, und Ihre freiwilligen Angaben, ob Sie einen Beta-Zugang und ob Sie Neuigkeiten per E-Mail wünschen. Beide Angaben sind nicht vorausgewählt.
Die Eintragung wird erst wirksam, wenn Sie den Link in unserer Bestätigungs-Mail anklicken (Double-Opt-in). Die Warteliste führen wir selbst auf einem eigenen Server in Deutschland; die E-Mails versenden wir über Resend (siehe Abschnitt 2). Technisch speichern wir außerdem die Zeitpunkte von Eintragung, Bestätigung, Abmeldung und letzter E-Mail sowie die Browser-Kennung und die verweisende Seite. Ihre IP-Adresse speichern wir nicht: Zur Abwehr von Missbrauch entsteht daraus nur ein Kurzwert, der einen Tag lang vergleichbar ist.
Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit widerrufen, über den Abmelde-Link in jeder E-Mail oder formlos an die oben genannte Adresse. Nicht bestätigte Eintragungen löschen wir nach 30 Tagen. Bestätigte Eintragungen bleiben bis zur Abmeldung gespeichert. Nach einer Abmeldung bewahren wir den Eintrag noch drei Jahre als Nachweis der Einwilligung und ihres Widerrufs auf und löschen ihn dann. Einen Beta-Zugang schalten wir persönlich frei; aus der Eintragung entsteht kein Anspruch darauf.
Sie können sich auf dieser Website registrieren, um zusätzliche Funktionen auf der Seite zu nutzen. Die dazu eingegebenen Daten verwenden wir nur zum Zwecke der Nutzung des jeweiligen Angebotes oder Dienstes, für den Sie sich registriert haben.
Mitarbeiter können in der App selbstständig Abwesenheitsmeldungen (Krankheit, Urlaub, sonstige Abwesenheit) erfassen. Krankheitsdaten sind besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO und werden mit erhöhtem Schutz behandelt:
Falls die OCR-Funktion aktiviert ist, nutzen wir Mistral AI (Frankreich) für die automatische Texterkennung auf Belegen.
Für Kartenansichten und die Suche nach Adressen und Orten nutzen wir derzeit frei zugängliche Dienste auf Grundlage von OpenStreetMap. Mit diesen Anbietern besteht kein Vertrag; sie verarbeiten die übermittelten Daten in eigener Verantwortung. Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionierenden Karten- und Adressfunktion (Art. 6 Abs. 1 lit. f DSGVO). Wir stellen diese Funktionen schrittweise auf eigene Server in Deutschland um.
Sie haben jederzeit das Recht:
Im Rahmen unserer Auftragsverarbeitung können autorisierte Support-Mitarbeiter mit ausdrücklicher und zeitlich befristeter Genehmigung des Customer-Owners temporären Zugriff auf einzelne Nutzer-Sichten Ihrer Organisation erhalten (z. B. zur Bug-Reproduktion oder Daten-Korrektur).
Dieser Zugriff folgt dem Salesforce-Modell:
Die zugrundeliegende JWT-Architektur folgt RFC 8693 (OAuth Token Exchange) mit `act`-Claim, wodurch der ursprüngliche Owner ohne Tarn-Identität nachvollziehbar bleibt.
Stand: 26. Oktober 2026