Datenschutzerklärung

Datenschutzerklärung

Stand: September 2026 · Version 2.7 · gemeinsame Fassung für Website und Anwendung

Informationen zur Verarbeitung Ihrer personenbezogenen Daten nach Art. 13 und 14 DSGVO. Diese Erklärung gilt sowohl für unsere Website als auch für die Nutzung der Anwendung myLevius.

1. Verantwortlicher

Geiger & Pauly GbR
vertreten durch die Gesellschafter Michael Geiger und Haiyan Pauly
Hindenburgstraße 1
72631 Aichtal
Deutschland

E-Mail: info@mylevius.de

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte nutzen Sie bitte diese Kontaktdaten.

2. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

Wir sind Verantwortlicher für Betrieb, Nutzerkonten, Anmeldung und technische Sicherheit von Website und Anwendung (Ziffern 3 bis 13).

Für Inhalts- und Geschäftsdaten, die Sie als Kunde in myLevius eingeben – Kunden- und Kontaktdaten, Angebote, Rechnungen, Notizen –, sind Sie Verantwortlicher. Wir verarbeiten sie ausschließlich in Ihrem Auftrag nach Art. 28 DSGVO, auf Grundlage des bei der ersten Anmeldung geschlossenen Auftragsverarbeitungsvertrags.

3. Zugriffsdaten beim Aufruf der Website

Beim Aufruf unserer Website verarbeitet der Server automatisch Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene und zuvor besuchte Seite, Browser, Betriebssystem), um den Betrieb sicherzustellen und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem Betrieb). Diese Daten werden maximal 14 Tage gespeichert und danach automatisch gelöscht.

4. Registrierung, Konto und Nutzung von myLevius

Registrierung. Für das Anlegen eines Kontos verarbeiten wir Name, E-Mail-Adresse, Passwort, Firmenname und Anschrift, soweit vorhanden Ihre Umsatzsteuer-Identifikationsnummer, die von Ihnen gewünschte Adresse Ihres Zugangs sowie Ihre AGB-Bestätigung. Alternativ ist eine Anmeldung über Google möglich (Ziffer 9).

Bestätigung und Erinnerung. Eine Registrierung wird erst wirksam, wenn Sie den Bestätigungslink aufrufen, den wir an die angegebene Adresse senden. Bleibt die Bestätigung aus, erinnern wir Sie daran; nach Ablauf der Bestätigungsfrist löschen wir die offene Registrierung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen auf Ihre Anfrage vor Vertragsschluss).

Missbrauchsschutz. Aus der IP-Adresse einer Registrierung bilden wir einen geschlüsselten, nicht rückrechenbaren Kennwert, um die massenhafte Anlage von Zugängen zu begrenzen. Die IP-Adresse selbst speichern wir dafür nicht; der Kennwert lässt keinen Rückschluss auf sie zu und bleibt über die Löschung der übrigen Registrierungsdaten hinaus erhalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Einrichtung über einen Vertriebspartner. Wird Ihr Zugang über einen unserer Vertriebspartner eingerichtet, erhalten wir Name und E-Mail-Adresse der benannten verantwortlichen Person sowie die Unternehmensdaten von diesem Partner und nicht von Ihnen selbst (Information nach Art. 14 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Auch später kann Ihr Vertriebspartner uns eine neue Anmeldeadresse für den Zugang mitteilen, den er eingerichtet hat (ebenfalls Art. 14 DSGVO). Haben Sie die Einladung noch nicht angenommen, schicken wir sie an die neue Adresse. Danach legen wir Ihnen die Adresse nur als Vorschlag vor; ohne Ihre Bestätigung ändert sich nichts (Ziffer 5). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Dem Partner teilen wir auf seine Anfrage mit, wie es um seinen Vorschlag steht — offen, angenommen, abgelehnt, abgelaufen, umgesetzt oder beendet —, nie aber eine Adresse und nie einen Grund. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO: Der Partner betreut den Zugang, den er für Sie eingerichtet hat, und muss wissen, ob sein Anstoß erledigt ist. Der Partner ist für seine eigene Verarbeitung selbst verantwortlich.

Einrichtung. Für den Betrieb Ihres Kontos hinterlegen Sie Ihre Unternehmens- und Kontaktdaten (u. a. Firma, Anschrift, Steuernummer/USt-IdNr., verantwortliche Person, Logo) sowie optional eigene E-Mail-Versandeinstellungen. Bei kostenpflichtigen Tarifen kommen Zahlungsdaten hinzu (Ziffer 10). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Löschung. Nach Vertragsende können Sie Ihre Daten bis zu drei Monate exportieren, danach löschen wir sie, soweit keine gesetzlichen Fristen entgegenstehen. Auf ausdrücklichen Wunsch löschen wir in der Regel innerhalb von 30 Tagen. Name, E-Mail-Adresse und Passwort aus dem Registrierungsvorgang entfernen wir bereits 30 Tage nach der erfolgreichen Einrichtung aus dem Registrierungsdatensatz; im Konto selbst bleiben sie für die Dauer des Vertragsverhältnisses.

5. Anmeldung, Zwei-Faktor-Authentisierung und Sicherheitsprotokoll

Bei der Anmeldung verarbeiten wir Anmeldedaten und Sicherheitsmerkmale; eine Zwei-Faktor-Authentisierung (TOTP) ist verpflichtend. Beim Merken eines Geräts speichern wir dafür ein Cookie mit bis zu 30 Tagen Gültigkeit (Ziffer 7).

Zur IT-Sicherheit führen wir ein Protokoll sicherheitsrelevanter Vorgänge (z. B. Anmeldungen, Rechteänderungen, Zurücksetzen der Zwei-Faktor-Authentisierung, Einladungen) mit Benutzerkonto, IP-Adresse, Zeitpunkt und Geräteangabe. Es dient der IT-Sicherheit und, soweit gesetzlich geboten, der steuerlichen Nachweisführung – nicht der Verhaltens- oder Leistungskontrolle. Es ist nur für Berechtigte Ihres Mandanten einsehbar und wird nach 90 Tagen gelöscht, soweit die Einträge nicht Teil der steuerlichen Nachweisführung sind; für diese gelten die gesetzlichen Aufbewahrungsfristen (Ziffer 16). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO in Verbindung mit Art. 32 DSGVO. Auf öffentlich geteilten Demo-Zugängen speichern wir statt IP-Adresse und Geräteangabe nur ein pseudonymes Kennzeichen.

Änderung der Anmeldeadresse. Ändern Sie die E-Mail-Adresse, mit der Sie sich anmelden, speichern wir den Antrag: die neue Adresse (verschlüsselt), einen Bestätigungscode nur in nicht rückrechenbarer Form, die Zeitpunkte des Ablaufs und bei einem Vorschlag Ihres Vertriebspartners dessen Namen. An die neue Adresse schicken wir den Code, an die bisherige einen Hinweis; nach der Änderung informieren wir die bisherige Adresse und die übrigen Administratoren Ihres Mandanten. Die Anträge löschen wir 30 Tage nach ihrer Anlage. Der vollzogene Wechsel steht mit alter und neuer Adresse im Sicherheitsprotokoll und teilt die Aufbewahrungsfristen der steuerlichen Nachweisführung (Ziffer 16); die übrigen Schritte stehen dort ohne Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (Schutz Ihres Kontos vor Übernahme). Melden Sie sich mit einem Google-Konto an (Ziffer 9), speichern wir den Zeitpunkt dieser Anmeldung; an Ihrer Adresse hängt dann die Anmeldung über Google, und sie lässt sich nur über Ihren Administrator ändern.

6. Server-Logfiles der Anwendung

Beim Aufruf der Anwendung verarbeitet der Server Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Ressource, Browser, Betriebssystem), um den Betrieb sicherzustellen, Störungen zu beheben und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Zugriffsprotokolle des Webservers und das Protokoll der Anwendung werden nach 14 Tagen gelöscht. Bei Störungen oder Sicherheitsvorfällen können einzelne technische Protokolle (Fehler- und Systemprotokolle) länger vorgehalten werden, längstens bis zur Aufklärung des Vorfalls.

7. Cookies

Auf unserer Website setzen wir keine Cookies zu Analyse-, Werbe- oder Komfortzwecken ein; es gibt daher kein Einwilligungsbanner.

In der Anwendung sind technisch notwendige Cookies erforderlich (unter anderem Sitzung und CSRF-Schutz), bei aktiviertem „Gerät merken" zusätzlich ein Cookie mit bis zu 30 Tagen Gültigkeit (Ziffer 5). Ergänzend speichert die Anwendung einzelne Zustände der Oberfläche (etwa geöffnete Menüs) im Speicher Ihres Browsers; diese Angaben verlassen Ihr Gerät nicht. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG für das Speichern, Art. 6 Abs. 1 lit. b DSGVO für die weitere Verarbeitung.

8. Kontakt und System-E-Mails

Bei E-Mails an uns verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b oder f DSGVO).

Für system- und kontobezogene E-Mails (Einladungen, Benachrichtigungen, Belege) protokolliert die Anwendung Versanddaten (Empfänger, Betreff, Anhangsangaben, Status), nicht den Inhalt. Die Frist beträgt standardmäßig 30 Tage und ist in den Kontoeinstellungen zwischen 10 und 365 Tagen einstellbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO; für Ihre eigenen Kontakte verarbeiten wir im Auftrag (Ziffer 2).

9. Anmeldung mit einem Google-Konto

Alternativ zur Registrierung mit E-Mail und Passwort können Sie sich mit einem Google-Konto anmelden. Google teilt uns dabei Name, E-Mail-Adresse und Konto-Kennung mit; Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Übermittlung in die USA ist möglich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da dies eine von zwei gleichwertigen Anmeldeoptionen im Rahmen des Nutzungsvertrags ist.

10. Zahlungsabwicklung über Stripe

Sobald Sie einen kostenpflichtigen Tarif buchen, wickeln wir die Zahlung über unseren Zahlungsdienstleister Stripe Payments Europe, Limited, Dublin ab. Sie hinterlegen dort ein Zahlungsmittel — je nach gewählter Zahlungsart eine Bankverbindung für die SEPA-Lastschrift oder eine Zahlungskarte.

Bei Kartenzahlung erheben und speichern wir Ihre Zahlungsdaten nicht: Sie geben sie bei Stripe ein. Bei uns liegen dann nur eine Kennung des Zahlungsmittels, die Kartenmarke, die letzten vier Stellen und das Ablaufdatum.

Bei der SEPA-Lastschrift ist das anders, und wir benennen es ausdrücklich: Ihre IBAN geben Sie in unserem eigenen Formular ein. Wir übermitteln sie an Stripe, damit die Lastschrift ausgeführt wird, und bewahren sie zusätzlich verschlüsselt bei uns auf, solange das Mandat besteht — damit ein Wechsel des Zahlungsdienstleisters ohne ein neues Mandat von Ihnen möglich bleibt. Stripe gibt eine einmal übermittelte Bankverbindung nie wieder heraus; ohne eigene Kopie müssten wir bei einem Wechsel von allen Kundinnen und Kunden ein neues Mandat einholen. Kartendaten geben Sie dagegen ausschließlich bei Stripe ein. Außerdem bewahren wir den Wortlaut des erteilten Mandats verschlüsselt auf, dazu die Mandatsreferenz sowie Zeitpunkt, IP-Adresse und Browserkennung der Erteilung — das ist der Nachweis, den wir Ihrer Bank auf Verlangen vorlegen müssen.

An Stripe übermitteln wir Ihre Rechnungsdaten, den einzuziehenden Betrag und eine Vorgangskennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), für den Mandatsnachweis zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

Wie lange: Die vollständige IBAN löschen wir, sobald das Mandat widerrufen oder ungültig geworden ist; die letzten vier Stellen bleiben, damit Sie und wir über das Konto sprechen können. Wortlaut des Mandats, IP-Adresse und Browserkennung löschen wir vierzehn Monate nach dem letzten Einzug — so lange müssen wir das Mandat vorlegen können. Der Nachweis selbst bleibt danach mit Referenz, Gläubiger-Identifikations­nummer und den letzten vier Stellen bestehen. Die Rückmeldungen des Zahlungsdienstleisters zu einzelnen Vorgängen (Zahlungseingang, Fehlschlag, Rückbuchung) bewahren wir 400 Tage im Original auf und kürzen sie danach auf die reinen Buchungsangaben. Rechnungen und Abrechnungen unterliegen davon unabhängig den handels- und steuerrechtlichen Fristen (Ziffer 16).

Zur Rollenverteilung: Für die Ausführung der Zahlung handelt Stripe auf unsere Weisung. Für seine eigenen aufsichtsrechtlichen Pflichten — insbesondere Geldwäscheprävention und Betrugsabwehr — ist Stripe eigenständig verantwortlich und unterliegt insoweit nicht unseren Weisungen. Wir selbst sind bei der Abwicklung Ihrer Zahlung eigener Verantwortlicher und nicht Ihr Auftragsverarbeiter: Verarbeitet werden Ihre Rechnungs- und Zahlungsdaten, nicht die Daten Ihrer Kundinnen und Kunden. Der Auftragsverarbeitungsvertrag regelt das ausdrücklich (§ 6 Absatz 6).

Eine Übermittlung an Stripe-Konzerngesellschaften außerhalb der EU ist über EU-Standardvertragsklauseln abgesichert; siehe auch Ziffer 15.

11. Fahrtkosten, Reisekosten und Umkreissuche: Google Maps Platform

Für Adresssuche, Routenberechnung und Umkreissuche (Fahrtkosten, Angebote, Interessenten) nutzt myLevius die Google Maps Platform (Places, Geocoding, Distance Matrix, Directions API), Anbieter Google Ireland Limited, Dublin. Die Abfragen laufen ausschließlich über unseren eigenen Server; an Google gehen die eingegebenen Adressdaten und unsere Server-IP, nicht Ihre. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO; bei Kundendaten verarbeiten wir im Auftrag (Ziffer 2).

Google verarbeitet diese Daten auch zu eigenen Zwecken als eigenständig Verantwortlicher, geregelt über Googles eigene Maps-Platform-Bedingungen, die automatisch mit Einrichtung eines Zugangsschlüssels gelten; ein gesonderter Auftragsverarbeitungsvertrag ist dafür nicht vorgesehen. Ergänzend gelten die Nutzungsbedingungen von Google (policies.google.com/terms) sowie die Datenschutzerklärung von Google (policies.google.com/privacy). Eine Übermittlung in die USA ist möglich (Ziffer 15). Die Abfragen erfolgen ausschließlich auf aktive Eingabe oder Auswahl; Anschriften und Kilometer lassen sich jederzeit auch von Hand erfassen.

12. Kartendarstellung und Standortsuche (OpenStreetMap)

Karten in der Besuchsplanung liefert die quelloffene Bibliothek Leaflet mit Kartenmaterial der OpenStreetMap Foundation (Cambridge, Vereinigtes Königreich); Kartenausschnitte laufen über unseren Server, an OpenStreetMap gehen dabei nur Koordinaten und unsere Server-IP.

Bei der Funktion „Meinen Standort verwenden" fragt Ihr Browser stattdessen direkt den Dienst Nominatim der OpenStreetMap Foundation an und übermittelt dabei Ihre IP-Adresse und Koordinaten ins Vereinigte Königreich, abgesichert durch den Angemessenheitsbeschluss der EU-Kommission. Die Funktion ist freiwillig und setzt Ihre ausdrückliche Standortfreigabe voraus; Sie können den Ort auch von Hand eingeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

13. Bestätigung von Umsatzsteuer-Identifikationsnummern über VIES

Auf Ihre Veranlassung können Umsatzsteuer-Identifikationsnummern von Geschäftspartnern über das VIES-System der Europäischen Kommission bestätigt werden (§ 18e UStG). Übermittelt wird ausschließlich die eingegebene USt-IdNr.; das Prüfergebnis wird beim Kontakt gespeichert. Die Europäische Kommission ist hierbei eigenständig verantwortlich, kein Auftragsverarbeiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c bzw. lit. f DSGVO; die Abfrage erfolgt nur auf aktive Auslösung durch die Nutzerin oder den Nutzer.

14. Empfänger Ihrer Daten

Eine Weitergabe an Dritte erfolgt nur bei gesetzlicher Pflicht oder mit Ihrer Einwilligung. Als Auftragsverarbeiter nach Art. 28 DSGVO setzen wir ein:

• IT & Eventservice Pokorny, Markgröninger Straße 29, 70825 Korntal-Münchingen: Betrieb der Anwendung myLevius (Serverstandort Deutschland)
• netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe: Betrieb der Website und Versand unserer E-Mails

Mit beiden besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Hosting und E-Mail-Versand finden ausschließlich in Deutschland statt.

Eine Doppelrolle hat unser Zahlungsdienstleister Stripe Payments Europe, Limited, Dublin (Zahlungsabwicklung bei kostenpflichtigen Tarifen, Ziffer 10): Für die Ausführung der Zahlung handelt Stripe auf unsere Weisung, für seine eigenen aufsichtsrechtlichen Pflichten (Geldwäscheprävention, Betrugsabwehr) ist Stripe eigenständig verantwortlich. Maßgeblich ist insoweit Stripes eigene Datenschutzerklärung. Zur Zahlungsabwicklung siehe außerdem Ziffer 15.

Als eigenständig Verantwortliche, nicht als unsere Auftragsverarbeiter, erhalten außerdem Daten:

• Google Ireland Limited: Anmeldung mit einem Google-Konto (Ziffer 9) sowie Adress-, Umkreis- und Entfernungsdienste der Google Maps Platform (Ziffer 11)
• OpenStreetMap Foundation, Cambridge: Kartenmaterial und Standortsuche (Ziffer 12)
• Europäische Kommission: Bestätigung von USt-IdNr. über VIES (Ziffer 13)

Verbinden Sie myLevius selbst mit einem System außerhalb unserer Plattform, sind Sie für diese Übermittlungen verantwortlich. Das betrifft:

• einen eigenen SMTP-Zugang für den Versand; ist zusätzlich ein IMAP-Zugang hinterlegt, legt die Anwendung Kopien versendeter Nachrichten in Ihrem eigenen Postfach ab
• die optionale, standardmäßig deaktivierte Anbindung einer eigenen Nextcloud-Instanz – über sie laufen dann sowohl die CardDAV-Synchronisation Ihrer Kontakte als auch die Ablage Ihrer Angebots-, Rechnungs- und Mahnungsdokumente
• Zugangstoken, die Sie über das API-Modul für eigene oder fremde Software ausstellen

15. Übermittlung in Drittländer

Ihre Daten werden grundsätzlich in Deutschland bzw., bei der Zahlungsabwicklung, in der EU verarbeitet. Bei der Anmeldung mit einem Google-Konto, den Google-Maps-Diensten (Ziffer 11) und bei Stripe (Ziffer 10) kann es zu einer Übermittlung in die USA kommen, abgesichert über das EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln (Art. 46 DSGVO).

Bei der Standortsuche über Nominatim (Ziffer 12) ist eine Übermittlung ins Vereinigte Königreich möglich, abgesichert durch den Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich.

16. Speicherdauer

Wir speichern personenbezogene Daten nur so lange wie nötig oder gesetzlich vorgeschrieben (z. B. handels- und steuerrechtlich bis zu zehn Jahre); konkrete Fristen finden Sie bei den jeweiligen Ziffern oben. Adress- und Geodaten, die zu einem Beleg übernommen wurden – etwa zu einer Fahrt in den Fahrtkosten oder einem Angebot –, werden beim Speichern festgeschrieben und teilen dessen Aufbewahrungsfrist.

Für die Zahlungsabwicklung (Ziffer 10) gilt: Den Nachweis eines SEPA-Mandats — Wortlaut, IP-Adresse und Browserkennung der Erteilung — bewahren wir vierzehn Monate nach der letzten Einreichung auf, so lange müssen wir ihn Ihrer Bank vorlegen können. Ein hinterlegtes Zahlungsmittel bleibt gespeichert, bis Sie es widerrufen oder ersetzen, längstens bis zum Vertragsende zuzüglich der drei Monate, in denen Ihre Daten nach Vertragsende noch lesend zugänglich sind; die vollständige IBAN löschen wir bereits mit dem Widerruf des Mandats. Zahlungsereignisse und Einzugsversuche (Kennung, Betrag, Zustand, Zeitpunkt) sind Buchungsbelege und bleiben zehn Jahre (§ 147 AO); die Rohfassung der Rückmeldungen des Zahlungsdienstleisters kürzen wir nach 400 Tagen auf diese Angaben.

Für Support-Anfragen (Ziffer 20) gelten eigene, kürzere Fristen: Beigefügte Dateien löschen wir sechs Monate nach Eingang, den Vorgang selbst zwei Jahre nach seinem Abschluss. Wird der Zugang des Mandanten gelöscht, löschen wir auch seine noch offenen Support-Anfragen.

Anträge auf eine neue Anmeldeadresse (Ziffer 5) und Vorschläge eines Vertriebspartners (Ziffer 4) löschen wir 30 Tage nach ihrer Anlage.

17. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere eine durchgängige Transportverschlüsselung (TLS), die Verschlüsselung sensibler personenbezogener Felder in der Datenbank und eine verpflichtende Zwei-Faktor-Authentisierung.

18. Pflicht zur Bereitstellung von Daten

Für die Nutzung von myLevius ist die Bereitstellung der zur Einrichtung und Anmeldung des Kontos erforderlichen Daten notwendig. Ohne diese Daten kann kein Zugang bereitgestellt werden.

19. Ihre Rechte als betroffene Person

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Betrifft Ihre Anfrage Daten, für die einer unserer Kunden verantwortlich ist (Ziffer 2), wenden Sie sich bitte an diesen; wir leiten Anfragen erforderlichenfalls weiter. Zur Ausübung Ihrer Rechte genügt eine Nachricht an info@mylevius.de .

Soweit wir Daten aufgrund berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie dieser Verarbeitung aus Gründen Ihrer besonderen Situation jederzeit widersprechen (Art. 21 DSGVO); wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, zwingende schutzwürdige Gründe überwiegen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
Telefon: 0711/615541-0 · E-Mail: poststelle@lfdi.bwl.de

20. Support-Anfragen aus der Anwendung

In myLevius können Sie uns aus der Anwendung heraus eine Support-Anfrage senden. Dabei verarbeiten wir:

a) Angaben, die immer mitgehen – Kennung und Domain Ihres Mandanten, Ihr gebuchter Tarif, Ihr Name, Ihre E-Mail-Adresse und Ihre Rolle sowie die Seite, von der aus Sie die Anfrage gestellt haben, dazu Betreff und Wortlaut Ihrer Nachricht und von Ihnen beigefügte Dateien. Ohne diese Angaben könnten wir Ihre Anfrage nicht zuordnen und nicht beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags, vgl. AGB Kap. 2 Abs. 8).

b) Technische Analysedaten – nur mit Ihrer Einwilligung – Programmstand, Browserkennung, Fenstergröße, Sprache und Zeitzone, die in Ihrem Mandanten aktiven Module, ob Sie einen eigenen Mailserver hinterlegt haben, Ihre Besteuerungsart sowie, wenn Sie von einer Belegseite aus schreiben, Art und Nummer des dort geöffneten Objekts (etwa „Rechnung #123“) und die Kennung einer zuvor angezeigten Fehlermeldung. Inhalte Ihrer Belege, Kunden-, Bank- oder Zahlungsdaten gehören nicht dazu und werden nicht übermittelt. Vor dem Absenden sehen Sie diese Angaben vollständig und mit den tatsächlichen Werten und entscheiden ausdrücklich, ob sie mitgehen sollen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO; Ihre Einwilligung ist freiwillig, und Sie können Ihre Anfrage auch ohne diese Angaben senden.

Ihre Anfrage geht per E-Mail an unser Support-Postfach und wird zusätzlich in unserer internen Verwaltungsoberfläche als Vorgang geführt. Jeder Zugriff unserer Beschäftigten auf den Wortlaut oder auf beigefügte Dateien wird protokolliert (AVV § 12 Abs. 4). Empfänger sind ausschließlich wir selbst; ein Ticketsystem eines Dritten setzen wir dafür nicht ein. Zu den Löschfristen siehe Ziffer 16.

Beantwortet Ihre Anfrage eine steuerliche Frage zu einem einzelnen Sachverhalt, dürfen wir darauf nicht antworten (§ 5 StBerG); das ist keine Frage des Datenschutzes, sondern der Zuständigkeit — bitte wenden Sie sich dafür an Ihre Steuerberatung.

21. Nachweise über den Abschluss von AGB und AVV

Den Abschluss unserer Allgemeinen Geschäftsbedingungen und des Auftragsverarbeitungsvertrags halten wir in einem zentralen, mandantenübergreifenden Register fest. Für diese Verarbeitung sind wir selbst verantwortlich; sie stützt sich auf unser berechtigtes Interesse am Nachweis des Vertragsschlusses (Art. 6 Abs. 1 lit. f DSGVO). Die Einträge sind fortlaufend kryptografisch verkettet und werden zusätzlich mit einem Zeitstempel versehen; ein einzelner Eintrag lässt sich deshalb nicht entfernen, ohne den Nachweiswert aller späteren Einträge aufzuheben. Aus demselben Grund bleiben die Nachweise auch nach Beendigung des Vertragsverhältnisses und nach Löschung des Zugangs erhalten. Die ihn betreffenden Einträge kann der Kunde samt Prüfwert und Zeitstempel jederzeit in der Anwendung abrufen. Einzelheiten regelt § 10 Abs. 3 des Auftragsverarbeitungsvertrags.

22. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 Abs. 1 und 4 DSGVO findet nicht statt. Die Anwendung trifft keine Entscheidungen über Personen, die ihnen gegenüber rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen.

23. Änderungen dieser Datenschutzerklärung

Wir schreiben diese Erklärung fort, wenn sich die Verarbeitung oder die Rechtslage ändert. Jede Fassung trägt eine eigene Nummer und einen eigenen Stand; beide stehen am Kopf dieser Seite. Maßgeblich ist stets die hier veröffentlichte Fassung. Anders als bei den Allgemeinen Geschäftsbedingungen und beim Auftragsverarbeitungsvertrag ist für eine Änderung dieser Erklärung keine Zustimmung erforderlich und keine Frist vorgesehen — sie ist eine Information nach Art. 13 und 14 DSGVO und kein Vertrag.