Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

_____
_____
_____ _____
E-Mail: _____
Telefon: _____

2. Erhobene Daten und Verarbeitungszwecke

a) Zugangsdaten (Login)

Zur Nutzung der Plattform ATRIUM werden E-Mail-Adresse und Passwort (als Bcrypt-Hash gespeichert) verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

b) Rechnungs- und Belegdaten

Im Rahmen der Nutzung werden Rechnungsdaten (Lieferantenname, Beträge, Datum, Dateianhänge) hochgeladen und zur Berechnung von CO₂-Emissionen nach dem GHG Protocol verarbeitet. Diese Daten werden ausschließlich für den jeweiligen Mandanten gespeichert und nicht an Dritte weitergegeben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

c) Protokolldaten (Server-Logs)

Beim Zugriff auf die Plattform werden automatisch technische Protokolldaten erfasst (IP-Adresse, Zeitstempel, aufgerufene URL, HTTP-Statuscode). Diese dienen ausschließlich der Systemsicherheit und werden nach 7 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

3. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck der Verarbeitung entfällt oder der Nutzer eine Löschung verlangt. Daten, die steuerrechtlichen Aufbewahrungspflichten unterliegen (§ 147 AO: 10 Jahre; § 257 HGB: 6 Jahre), werden entsprechend länger gespeichert.

4. Hosting und technische Infrastruktur

Die Plattform wird auf Servern in Deutschland betrieben. Der Serverbetreiber handelt als Auftragsverarbeiter gemäß Art. 28 DSGVO; ein entsprechender Auftragsverarbeitungsvertrag (AVV) ist abgeschlossen.

5. Automatische Belegverarbeitung

a) Zweck und Funktionsweise

Zur automatischen Extraktion von Rechnungsfeldern (Lieferantenname, Betrag, Datum) sowie zur Vorschlagserstellung für Emissionskategorien nach dem GHG Protocol verarbeitet ATRIUM die Inhalte hochgeladener Belege automatisiert (Texte aus PDF-Dokumenten, gescannte Seiten als Bild und Tabelleninhalte aus Excel-Dateien). Das Ergebnis (extrahierte Felder und Kategorie-Vorschlag) wird in der Plattform gespeichert.

b) Verarbeitung ausschließlich auf eigenen Servern

Die automatische Verarbeitung erfolgt vollständig auf den eigenen Servern des Anbieters innerhalb der Europäischen Union (Standort Deutschland). Es findet keine Übermittlung der Beleginhalte an externe Dienste oder Anbieter Dritter statt; insbesondere werden keine externen Cloud- oder Drittanbieter-Dienste zur Verarbeitung eingebunden. Eine Übermittlung in Drittländer im Sinne der Art. 44 ff. DSGVO findet nicht statt.

c) Verarbeitete Daten und Datensparsamkeit

Verarbeitet werden ausschließlich die für die Kategorisierung notwendigen Inhalte: Rechnungstexte, Lieferantenbezeichnungen, Beträge und Leistungsbeschreibungen. Authentifizierungsdaten, Passwörter oder nicht rechnungsbezogene personenbezogene Daten werden hierfür nicht verarbeitet. Soweit Rechnungen personenbezogene Angaben enthalten (z. B. Name eines Einzelunternehmers als Lieferant), werden diese nur im für den Zweck erforderlichen Umfang verarbeitet.

d) Rechtsgrundlage

Rechtsgrundlage für die automatische Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, da die automatische Kategorisierung eine vertraglich vereinbarte Kernfunktion der Plattform darstellt). Sofern es sich um Daten handelt, die nicht unmittelbar vertragsrelevant sind, stützt sich die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten und fehlerarmen CO₂-Bilanzierung).

6. Weitergabe an Dritte

Eine Weitergabe personenbezogener Daten an Dritte erfolgt nur soweit dies zur Vertragserfüllung erforderlich oder gesetzlich vorgeschrieben ist. Eingesetzte Auftragsverarbeiter (insbesondere der Hosting-Anbieter) sind vertraglich gemäß Art. 28 DSGVO zur DSGVO-konformen Verarbeitung verpflichtet und dürfen Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten.

7. Cookies und Sitzungsdaten

Die Plattform verwendet ausschließlich technisch notwendige Cookies zur Authentifizierung: Das Sitzungs-Token (atrium_token) wird als httpOnly-Cookie gesetzt (für JavaScript nicht auslesbar, SameSite=Lax, in Produktion Secure) und beim Abmelden serverseitig gelöscht. Es werden keine Tracking-Cookies, keine Werbe-Cookies und keine Analyse-Dienste Dritter eingesetzt. Beim ersten Besuch weist ein Cookie-Hinweis darauf hin.

8. Betroffenenrechte

Sie haben gemäß DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO): Welche Daten über Sie gespeichert sind
• Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO): Löschung Ihrer Daten („Recht auf Vergessenwerden")
• Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO): Erhalt Ihrer Daten in maschinenlesbarem Format
• Widerspruch (Art. 21 DSGVO): Widerspruch gegen die Verarbeitung

Zur Ausübung Ihrer Rechte wenden Sie sich an: _____

9. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständige Aufsichtsbehörde für _____ ist:

_____
_____
_____

10. Datenschutzbeauftragter

_____