Datenschutzerklärung

FN 551022b, Handelsgericht Wien · UID ATU76532959 · Geschäftsführung: Christoph Schleifer · Impressum

Datenschutzbeauftragte: Beata Mangelberger, erreichbar unter dpo@makerslab.ai.

Das ist der Punkt, an dem sich diese Erklärung von einer gewöhnlichen Website-Datenschutzerklärung unterscheidet — und der Grund, warum er so weit vorne steht:

• Für den Dienst selbst — dein Konto, der Vertrag, der technische Betrieb — ist die AI Makers Lab GmbH Verantwortliche im Sinne der DSGVO.
• Für die Inhalte deiner Belege bist du der Verantwortliche. Die AI Makers Lab GmbH verarbeitet sie in deinem Auftrag und nach deiner Weisung, als Auftragsverarbeiterin auf Grundlage des Auftragsverarbeitungsvertrags (Anhang 3, Art. 28 DSGVO).

Praktisch heißt das: Was in deinen Belegen steht und wie lange du es aufbewahrst, entscheidest du. Die unter Punkt 6 genannten Dienste sind insoweit Unterauftragsverarbeiter — sie arbeiten für die AI Makers Lab GmbH, die wiederum für dich arbeitet. Fragt eine in einem Beleg genannte Person bei uns nach ihren Daten, leiten wir sie an dich weiter, statt selbst über sie zu verfügen.

Kontodaten. Deine E-Mail-Adresse und die Kennung deines Kontos, der Name deines Workspace und die Adresse deiner Beleg-Inbox. Meldest du dich mit Philipp AI an, entsteht das Konto dort, und der Belegchecker bekommt daraus nur die Identität, kein Passwort. Eingeladene Teammitglieder melden sich mit einem Link aus ihrer Mail an und brauchen kein Philipp-Konto.

Belege und Kontoauszüge. Alles, was du hochlädst oder an deine Beleg-Inbox schickst: die Datei selbst und die daraus erfassten Daten — Aussteller, Rechnungsdatum, Rechnungsnummer, Beträge, Steuer, Währung, Zahlungsweg. Was in einem Beleg steht, bestimmst du: enthält er Namen, Adressen oder Kontonummern, werden auch die verarbeitet.

E-Mails an die Beleg-Inbox. Absender, Betreff, Inhalt und Anhänge. Sie werden gespeichert, damit nachvollziehbar bleibt, woher ein Beleg stammt.

Dein Team. Wen du in deinen Workspace einlädst: E-Mail-Adresse, Rolle und ob die Einladung angenommen wurde. Für die Einladung, den Anmeldelink und — wenn eingeschaltet — die Wochenmail am Montag bekommt diese Adresse eine Mail vom Belegchecker.

Support-Unterhaltungen. Was du in den Chat im Dashboard schreibst, samt der Kontodaten, die daneben angezeigt werden, damit deine Anfrage zuordenbar ist. Sie bleiben als Verlauf erhalten, damit eine Rückfrage nicht bei null anfängt.

Technische Daten. Server-Protokolle des Betriebs und — sofern eingeschaltet — Meldungen über Fehler in der Verarbeitung. Beides dient dem Betrieb und der Fehlersuche, nicht der Auswertung deines Verhaltens.

Zugänge für Agenten. Verbindest du einen Agenten, speichert der Belegchecker die Verbindung bzw. den API-Schlüssel — Schlüssel nur als Prüfsumme, nie im Klartext — und wann er zuletzt benutzt wurde.

• Bereitstellung der Anwendung — Anmeldung, Erfassung, Nummerierung und Abgleich deiner Belege. Rechtsgrundlage: Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO), im Rahmen der AGB Hosted Agents.
• Sicherheit, Stabilität und Fehlersuche — Protokolle, Fehlerberichte, Missbrauchsabwehr. Rechtsgrundlage: berechtigtes Interesse an einem funktionierenden und sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO).
• Aufbewahrung — soweit gesetzliche Aufbewahrungspflichten für Buchhaltungsunterlagen greifen (insbesondere § 132 BAO, § 212 UGB — sieben Jahre). Rechtsgrundlage: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).

Eine Verarbeitung zu Werbe-, Analyse- oder Profilbildungszwecken findet nicht statt. Es gibt daher auch keine Einwilligung, die du dafür erteilen oder widerrufen müsstest.

Die Anmeldung. Ihre Sitzungs-Cookies sind technisch notwendig: ohne sie kann die Anwendung dich zwischen zwei Seitenaufrufen nicht wiedererkennen und wäre nicht benutzbar. Sie enthalten kein Profil und werden nicht zu Auswertungszwecken gelesen.

Deine Ansicht. Ein paar Cookies und ein Eintrag im lokalen Speicher deines Browsers merken sich, wie du die Anwendung eingestellt hast: Liste oder Karten bei den Belegen, ob die Seitenleiste eingeklappt ist, wie der Abgleich gruppiert ist (je ein Jahr gültig) und welche Karten im Stapel du auf morgen verschoben hast (bis zum nächsten Morgen). Sie enthalten nur diese Einstellung, bleiben in deinem Browser und werden nicht ausgewertet.

Der Support-Chat. Er wird von Intercom geladen, sobald du im Dashboard bist, und setzt dabei eigene Cookies und lokale Speichereinträge — unter anderem, um eine begonnene Unterhaltung beim nächsten Besuch wiederzufinden. Das ist die einzige Einbindung eines Drittanbieters im Browser. Auf der Anmeldeseite und im Onboarding lädt er nicht.

Es gibt keine Analyse- oder Tracking-Werkzeuge, keine Zählpixel, keine Werbenetzwerke und keine Social-Media-Einbindungen. Auch Schriftarten werden vom eigenen Server ausgeliefert — beim Aufruf der Seite geht keine Anfrage an Google Fonts oder ein anderes CDN.

Der Belegchecker kommt nicht ohne fremde Infrastruktur aus. Diese Dienste arbeiten weisungsgebunden — für die Beleginhalte als Unterauftragsverarbeiter unter dem AVV (siehe Punkt 2), für Konto- und Betriebsdaten als Auftragsverarbeiter der AI Makers Lab GmbH. Sie dürfen die Daten ausschließlich für den genannten Zweck verwenden, nicht für eigene. Die Liste ist vollständig:

• SupabaseIrland (Konzernmutter USA)

  Supabase, Inc.

  Datenbank, Anmeldung und Dateispeicher — hier liegen deine Belege und alle daraus erfassten Daten.

  Übermittelt wird: Kontodaten, Workspace-Daten, alle Beleg- und Kontoauszugsdaten, die hochgeladenen und per Mail eingegangenen Dokumente.

  Datenschutzinformation von Supabase
• ScalewayFrankreich

  Scaleway SAS, Frankreich

  Betrieb der Anwendung selbst (Serverless Container).

  Übermittelt wird: Alle Daten, die die Anwendung verarbeitet, während sie sie verarbeitet — plus technische Protokolldaten.

  Datenschutzinformation von Scaleway
• Mistral AIEU

  Mistral AI SAS, Frankreich

  Texterkennung (OCR): macht aus dem Bild oder PDF eines Belegs lesbaren Text.

  Übermittelt wird: Der Inhalt des jeweiligen Belegs oder Kontoauszugs, als Datei. Keine Kontodaten, keine Zuordnung zu deinem Konto.

  Datenschutzinformation von Mistral AI
• OpenAIUSA und weitere Länder (Vertragspartner in Irland)

  OpenAI Ireland Ltd., Dublin

  Auswertung des erkannten Textes: Aussteller, Datum, Beträge, Steuer und Rechnungsnummer werden daraus als Felder herausgelesen; beim Abgleich werden Kontoauszugszeilen den Belegen zugeordnet.

  Übermittelt wird: Der erkannte Text des jeweiligen Belegs bzw. Kontoauszugs; bei Belegen aus der Beleg-Inbox dazu Absender, Betreff und Text der Mail, mit der er kam; beim Abgleich die Eckdaten der zu vergleichenden Belege; und deine „Regeln in eigenen Worten“ für die Wahl des Belegkreises. Keine Kontodaten, keine Zuordnung zu deinem Konto. Antworten werden bei OpenAI nicht gespeichert (store: false).

  Datenschutzinformation von OpenAI
• ResendEU/USA

  Resend, Inc.

  Empfang der Belege, die du an deine Beleg-Inbox schickst oder weiterleitest — und Versand der Mails des Belegchecker: Einladungen, Anmeldelinks und die Wochenmail.

  Übermittelt wird: Eingehend: Absender, Betreff, Inhalt und Anhänge der an die Inbox-Adresse gesendeten Mails. Ausgehend: Empfängeradresse, Name des Workspace und der Inhalt der jeweiligen Mail (bei der Wochenmail die Zahl der offenen Punkte und die ältesten Zahlungen ohne Beleg mit Datum, Buchungstext und Betrag).

  Datenschutzinformation von Resend
• Philipp AIEU

  Business Gladiators GmbH, Wien

  Anmeldung: das Konto entsteht dort, der Belegchecker bekommt daraus nur die Identität.

  Übermittelt wird: E-Mail-Adresse und Kennung des Kontos.

  Datenschutzinformation von Philipp AI
• IntercomIrland

  Intercom R&D Unlimited Company, Dublin

  Der Support-Chat unten rechts im Dashboard — darüber erreichst du uns bei Fragen zum Produkt.

  Übermittelt wird: Kennung, E-Mail-Adresse, Anzeigename und Registrierungsdatum deines Kontos sowie Name und Kennung deines Workspace, damit eine Anfrage zuordenbar ist — dazu alles, was du in den Chat schreibst. Der Chat lädt im Dashboard mit, nicht auf der Anmeldeseite und nicht im Onboarding.

  Datenschutzinformation von Intercom
• SentryEU/USA

  Functional Software, Inc. (Sentry)

  Fehlerberichte aus dem laufenden Betrieb — nur aktiv, wenn der Betreiber es eingeschaltet hat.

  Übermittelt wird: Fehlermeldung, Stacktrace und die betroffene Verarbeitungsstufe. Ausdrücklich NICHT: Anfrage-Header, Cookies, Anfrage-Inhalte, Query-Strings, IP-Adresse und Zugangsschlüssel — die werden vor dem Versand entfernt.

  Datenschutzinformation von Sentry

Abrechnung und Zahlungseinzug erfolgen durch die Business Gladiators GmbH im Namen und auf Rechnung der AI Makers Lab GmbH; Vertragspartner für die Leistung bleibt die AI Makers Lab GmbH. Darüber hinaus werden Daten nur weitergegeben, wenn eine Behörde oder ein Gericht es rechtmäßig verlangt.

Agenten, die du selbst verbindest. Verbindest du einen KI-Agenten mit deinem Workspace — etwa Claude, Codex oder den AI Circle Members Agent —, bekommt dieser alles zu sehen, was er über die Schnittstelle abruft: Belege, Kontoauszüge, Belegkreise samt hinterlegten Zahlungsmitteln (Kartenendziffern, IBAN, PayPal-Adresse), Einstellungen und die E-Mail-Adressen deines Teams. Damit erreichen diese Daten auch den Anbieter des Agenten. Das ist deine Entscheidung und läuft über deinen Vertrag mit diesem Anbieter; er arbeitet nicht für die AI Makers Lab GmbH und steht deshalb nicht in der Liste oben. Der Prompt, den du in den Einstellungen kopierst, enthält einen API-Schlüssel im Klartext — behandle ihn wie ein Passwort. Jede Verbindung und jeder Schlüssel lässt sich unter Einstellungen → Verbindungen jederzeit trennen bzw. widerrufen.

Zwei Schritte laufen über KI-Dienste: die Texterkennung durch Mistral und das Herauslesen der Felder durch OpenAI. Das ist der Kern der Anwendung — ohne diese beiden Schritte müsstest du jeden Beleg von Hand abtippen.

Beide bekommen den Inhalt des jeweiligen Belegs, aber keine Kontodaten, keinen Workspace-Namen und keine Zuordnung, wer den Beleg hochgeladen hat. OpenAI bekommt zusätzlich, was zum Verständnis des Belegs gehört: bei Belegen aus der Beleg-Inbox Absender, Betreff und Text der Mail, mit der er kam; beim Abgleich die Eckdaten der infrage kommenden Belege; und deine „Regeln in eigenen Worten“ für die Wahl des Belegkreises.

Nach den Angaben beider Anbieter werden über die Programmierschnittstelle übermittelte Daten nicht zum Training ihrer Modelle verwendet; für eine begrenzte Zeit (in der Regel höchstens 30 Tage) können sie zur Missbrauchserkennung gespeichert werden. Die Antworten selbst lässt der Belegchecker bei OpenAI nicht ablegen. OpenAI verarbeitet dabei nicht nur in der EU, sondern auch in den USA — siehe Punkt 8.

Es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt. Was die Auswertung liefert, ist ein Vorschlag: jeder Beleg bleibt sichtbar, prüfbar und änderbar, und nichts davon hat für dich eine rechtliche Wirkung, bevor du es übernimmst.

Nicht alles bleibt in der EU. Insbesondere die Auswertung durch OpenAI kann in den USA stattfinden, und auch bei den übrigen Anbietern mit Sitz oder Konzernmutter in den USA (siehe Punkt 6) ist ein Zugriff von dort nicht ausgeschlossen. Die Übermittlung stützt sich auf den EU-US Data Privacy Framework-Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, soweit der Anbieter zertifiziert ist, sonst auf die Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

• Belege, Kontoauszüge und die daraus erfassten Daten bleiben gespeichert, solange dein Konto besteht — sie sind der Zweck der Anwendung. Gelöschte Belege werden zunächst nur ausgeblendet, damit ihre Belegnummer nicht doppelt vergeben wird, und lassen sich wiederherstellen.
• E-Mails an die Beleg-Inbox samt Anhängen bleiben als Herkunftsnachweis zum jeweiligen Beleg erhalten.
• Protokoll- und Fehlerdaten werden kurzfristig aufbewahrt und dann gelöscht.
• Nachweis der Zustimmung zu dieser Erklärung — Zeitpunkt, bestätigende Person und Fassung — bleibt so lange gespeichert, wie er als Nachweis gebraucht wird.

Endet der Vertrag, werden die Daten nach Maßgabe des AVV gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

• Jede Verbindung läuft ausschließlich über TLS.
• Hochgeladene Dokumente liegen in nicht-öffentlichen Speicherbereichen und sind nur über kurzlebige, signierte Links erreichbar.
• Die Datenbank trennt Workspaces auf Zeilenebene (Row Level Security): eine Anfrage kann technisch nur Daten des eigenen Workspace erreichen.
• Zugangsschlüssel werden aus Fehlerberichten entfernt, bevor diese das System verlassen.

Du hast jederzeit das Recht auf

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 21 DSGVO).

Eine formlose Nachricht genügt — an hello@makerslab.ai oder direkt an die Datenschutzbeauftragte unter dpo@makerslab.ai.

Unabhängig davon steht dir eine Beschwerde bei der Aufsichtsbehörde offen (Art. 77 DSGVO): Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, Österreich, dsb@dsb.gv.at.

Ändert sich, was verarbeitet wird oder wer daran beteiligt ist, wird diese Erklärung angepasst und mit einer neuen Fassung versehen. Der aktuelle Stand steht oben. Für die AGB Hosted Agents und die allgemeine Datenschutzerklärung gilt der jeweils im Legal Center veröffentlichte Stand.