Datenschutzerklärung

Stand: November 2026

1. Verantwortlicher

Dogan Mermertas, Spoken (Einzelunternehmen), Hermine-von-Parish-Str. 3, 81245 München, Deutschland
E-Mail: support@spoken.host · Kontaktformular

Ein Datenschutzbeauftragter ist nicht benannt, da die Voraussetzungen von Art. 37 DSGVO und § 38 BDSG nicht vorliegen.

2. Überblick und Rollenverteilung

Das KMU Controlling Tool ist eine Software für Unternehmen (Kalkulation, Planung, Kennzahlen). Es gibt zwei Arten von Daten:

Daten von Websitebesuchern, Interessenten, Kunden und deren Nutzern (z. B. Name, E-Mail-Adresse, Firmenname, Abrechnungsdaten, Anfragen, Sicherheitsprotokolle): Hierfür sind wir Verantwortlicher im Sinne der DSGVO. Diese Datenschutzerklärung beschreibt diese Verarbeitung.
Inhalte, die ein Kunde in der App erfasst (Unternehmenszahlen sowie personenbezogene Daten wie Namen, Arbeitszeiten und Löhne seiner Mitarbeiter oder Namen und Anschriften von Ansprechpartnern bei seinen Kunden und Lieferanten): Verantwortlich ist der jeweilige Kunde. Wir verarbeiten diese Daten ausschließlich in seinem Auftrag und nach seiner Weisung auf Grundlage des Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO). Betroffene wenden sich mit Anliegen zu diesen Daten bitte an den jeweiligen Kunden; Anfragen, die uns erreichen, leiten wir an ihn weiter.

3. Hosting und Serverstandort

Website, App und Datenbank laufen auf einem Server der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland, die als Auftragsverarbeiter (Art. 28 DSGVO) für uns tätig und an die DSGVO gebunden ist. Der Server steht im Rechenzentrum von netcup in Manassas (Virginia, USA). Sämtliche in dieser Erklärung genannten Daten werden daher in den USA gespeichert und verarbeitet, also außerhalb der Europäischen Union. Zum Schutz dieser Daten sind alle Verbindungen TLS-verschlüsselt, und alle Inhalte, die Kunden in der App erfassen, werden zusätzlich verschlüsselt gespeichert (AES-256-GCM, mit einem eigenen Schlüssel je Kundenkonto); der Hauptschlüssel liegt nicht in der Datenbank.

4. Aufruf der Website, Sicherheits- und Fehlerprotokolle

Beim Aufruf der Website verarbeitet der Server technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung), um die Seiten auszuliefern. Der Webserver führt kein Zugriffsprotokoll. Zum sicheren und stabilen Betrieb verarbeiten wir außerdem:

Anfrageprotokoll der Programmierschnittstelle (API): IP-Adresse, Zeitpunkt, Methode, aufgerufene Adresse (ohne Inhalte, Kennungen und Zugangsschlüssel), Namen verwendeter Parameter, Antwortcode, Antwortzeit, Browserkennung und – bei angemeldeten Nutzern – die E-Mail-Adresse. Automatische Löschung nach 30 Tagen.
Schutz vor Missbrauch: Zähler für Anmelde-, Registrierungs- und ähnliche Versuche je IP-Adresse, E-Mail-Adresse oder Konto. Sie werden nach höchstens 24 Stunden gelöscht.
Sicherheitshinweise: Eingaben werden automatisch auf typische Angriffsmuster geprüft. Bei verdächtigen Vorgängen (z. B. gehäufte fehlgeschlagene Anmeldungen, Suche nach Schwachstellen, gefälschte Sitzungen) wird ein Hinweis mit IP-Adresse, Zeitpunkt, Anfrage und gegebenenfalls der verwendeten E-Mail-Adresse gespeichert und nach 90 Tagen automatisch gelöscht; der Betreiber wird per E-Mail benachrichtigt. IP-Adressen, von denen Angriffe ausgehen, können für eine festgelegte Zeit oder bis zur manuellen Aufhebung gesperrt werden.
Verwaltungsprotokoll: Maßnahmen, die wir als Betreiber an Konten vornehmen (z. B. Verlängerung der Testphase, Zurücksetzen der Zwei-Faktor-Anmeldung, Sperren einer IP-Adresse, Löschung), mit Zeitpunkt und betroffenem Konto bzw. betroffener IP-Adresse. Automatische Löschung nach zwölf Monaten (zusätzlich Art. 5 Abs. 2 DSGVO, Rechenschaftspflicht).
Technische Fehlerprotokolle der Server-Software werden in der Größe begrenzt und fortlaufend überschrieben.
Datensicherungen: Die Datenbank wird täglich gesichert; jede Sicherung wird nach 14 Tagen überschrieben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere, stabile und gegen Angriffe geschützte Betrieb des Dienstes (vgl. Art. 32 DSGVO).

5. Nutzungsstatistik

Für eine eigene Nutzungsstatistik zählen wir Seitenaufrufe auf unserem Server, ohne Cookies, ohne Speicherung im Browser und ohne Dienste Dritter. Dabei speichern wir die aufgerufene Seite, den Zeitpunkt, die verweisende Website (nur deren Domain), die Sprache sowie Geräte-, Browser- und Betriebssystemtyp. IP-Adressen werden dafür nicht gespeichert: Wiederkehrende Besuche an einem Tag erkennen wir an einem Prüfwert aus IP-Adresse und Browserkennung, der mit einem täglich neuen Zufallswert gebildet wird; der Zufallswert wird nach zwei Tagen gelöscht, danach lässt sich der Prüfwert niemandem mehr zuordnen. Bei angemeldeten Nutzern ordnen wir Seitenaufrufe dem Nutzerkonto zu, um die Nutzung des Dienstes zu verstehen und zu verbessern. Ist in Ihrem Browser „Do Not Track“ oder „Global Privacy Control“ aktiviert, zählen wir Sie nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Verbesserung des Angebots). Die Einträge werden nach 180 Tagen automatisch gelöscht.

6. Cookies und lokale Speicherung

Wir verwenden ein einziges, technisch notwendiges Cookie („__Host-sid“), das Ihre Anmeldung speichert. Es enthält nur eine zufällige Sitzungskennung, gilt 30 Tage ab der letzten Nutzung, höchstens sechs Monate, und wird bei der Abmeldung gelöscht. Rechtsgrundlage für das Speichern ist § 25 Abs. 2 Nr. 2 TDDDG, für die Verarbeitung Art. 6 Abs. 1 lit. b DSGVO. Analyse-, Tracking- oder Werbe-Cookies setzen wir nicht, und wir binden keine Inhalte Dritter ein (keine externen Schriftarten, Skripte, Karten oder Social-Media-Plugins).

Im lokalen Speicher Ihres Browsers legt die App Anzeigeeinstellungen ab: die Sprache, das gewählte Design (hell oder dunkel) und das zuletzt gewählte Unternehmen. Diese Angaben verlassen Ihr Gerät nicht und dienen nur der von Ihnen gewünschten Darstellung (§ 25 Abs. 2 Nr. 2 TDDDG). Sie können sie jederzeit über die Einstellungen Ihres Browsers löschen.

Für den Abschluss eines Abonnements und die Abo-Verwaltung leiten wir Sie auf Seiten von Stripe weiter (Abschnitt 9); dort gelten die Cookie-Angaben von Stripe.

7. Registrierung und Nutzerkonto

Für die Registrierung verarbeiten wir den Firmennamen, Ihren Namen, Ihre E-Mail-Adresse, Ihr Passwort und Ihre Sprache. Das Passwort wird nur als kryptografischer Hashwert (scrypt) gespeichert. Zur Bestätigung der E-Mail-Adresse (Link 48 Stunden gültig), zum Zurücksetzen des Passworts (Link eine Stunde gültig), für Team-Einladungen (Link sieben Tage gültig) und für Sicherheitshinweise zu Ihrem Konto senden wir Ihnen E-Mails. Registrierungen, deren E-Mail-Adresse nicht innerhalb von 30 Tagen bestätigt wird, löschen wir automatisch.

Lädt ein Kunde Teammitglieder ein, verarbeiten wir die vom Kunden angegebene E-Mail-Adresse und Rolle der eingeladenen Person und senden ihr die Einladung; nimmt sie an, legen wir ein Nutzerkonto mit ihrem Namen an. Wer die freiwillige Zwei-Faktor-Anmeldung nutzt, für den speichern wir den geheimen Schlüssel der Authenticator-App verschlüsselt und die Wiederherstellungscodes als Hashwert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei eingeladenen Personen zusätzlich Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Kunden und unseres, seinem Team den Zugang zu ermöglichen). Kontodaten speichern wir, bis das Konto gelöscht wird. Der Kontoinhaber kann das Konto samt aller Daten jederzeit selbst in den Einstellungen löschen und Teammitglieder entfernen. Mit der Löschung entfernen wir sofort alle Konto- und App-Daten; Einträge in den Protokollen nach Abschnitt 4 und 5 laufen mit den dort genannten Fristen aus, Datensicherungen nach 14 Tagen. Rechnungsdaten bewahren wir nach Abschnitt 9 auf.

8. Nutzung der App

Die Inhalte, die Kunden in der App erfassen, verarbeiten wir als Auftragsverarbeiter ausschließlich zur Bereitstellung der App (Abschnitt 2). Wir nutzen sie nicht für eigene Zwecke, werten sie nicht aus und geben sie nicht weiter. Zugriff haben die Nutzer des jeweiligen Kundenkontos mit den Rechten ihrer Rolle (z. B. sieht die Rolle „Fertigung“ keine Löhne); wir selbst greifen nur darauf zu, soweit es für Betrieb und Sicherheit nötig ist oder der Kunde uns im Support darum bittet. Damit nachvollziehbar ist, wer Daten angelegt, geändert oder gelöscht hat, führt die App ein Änderungsprotokoll (Zeitpunkt, handelnde Person, Art der Aktion, verschlüsselte Bezeichnung des Eintrags; keine Zahlen oder Inhalte). Es ist nur für den Kontoinhaber einsehbar und wird nach zwölf Monaten automatisch gelöscht.

9. Zahlungsabwicklung

Abonnements werden über Stripe abgewickelt (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Zahlungsdaten (z. B. Karten- oder Kontodaten) geben Sie direkt auf Seiten von Stripe ein; sie gelangen nicht auf unsere Server. Wir übermitteln an Stripe Firmenname, Name, E-Mail-Adresse, Rechnungsanschrift, gegebenenfalls die USt-IdNr., die Sprache, eine interne Kontonummer und den gewählten Tarif, und wir erhalten von Stripe den Stand des Abonnements (Tarif, Status, Laufzeit) sowie Rechnungen. Stripe verarbeitet diese Daten teils in unserem Auftrag, teils als eigenständig Verantwortlicher, etwa zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten; Einzelheiten: stripe.com/de/privacy. Stripe kann Daten an die Muttergesellschaft Stripe, LLC in den USA übermitteln; diese ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO: Rechnungen und Buchungsbelege bewahren wir für die gesetzliche Frist auf (derzeit acht Jahre, § 147 AO, § 257 HGB, § 14b UStG), auch wenn das Konto gelöscht wird.

10. E-Mail-Versand, Kontakt und Kontaktformular

Unser E-Mail-Postfach und der Versand der E-Mails der App laufen über den Dienst Titan der Titan Solution Ltd SEZC (Cayman Islands), der die Daten bei Amazon Web Services in den USA speichert. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des Auftragsverarbeitungsvertrags von Titan sind.

Wenn Sie uns per E-Mail oder über das Kontaktformular schreiben, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, gegebenenfalls Firma, Inhalt der Nachricht), um Ihre Anfrage zu beantworten. Das Kontaktformular speichert nichts in der App, sondern leitet die Nachricht per E-Mail an unser Postfach weiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage einen Vertrag betrifft oder auf einen Vertragsschluss zielt, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Wir löschen die Nachrichten, wenn die Anfrage erledigt ist, es sei denn, gesetzliche Aufbewahrungspflichten stehen entgegen (für Geschäftsbriefe sechs Jahre, § 257 HGB, § 147 AO).

11. Empfänger

Personenbezogene Daten erhalten nur die oben genannten Dienstleister, soweit es für ihre Aufgabe erforderlich ist: netcup (Hosting), Stripe (Zahlungen) und Titan (E-Mail, mit Amazon Web Services als Unterauftragnehmer), außerdem Behörden, soweit wir gesetzlich dazu verpflichtet sind. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

12. Verarbeitung außerhalb der EU

Zusammengefasst werden Daten außerhalb der EU verarbeitet: in den USA durch den Serverstandort bei netcup (Abschnitt 3), durch Stripe (Data Privacy Framework, Abschnitt 9) und durch Amazon Web Services für Titan (Standardvertragsklauseln, Abschnitt 10) sowie durch Titan selbst (Cayman Islands, Standardvertragsklauseln). Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage an support@spoken.host.

13. Pflicht zur Bereitstellung

Die Angaben bei der Registrierung und für die Abrechnung sind für den Vertrag erforderlich; ohne sie können wir kein Konto anlegen bzw. kein Abonnement abrechnen. Die Verbindungsdaten beim Aufruf der Website sind technisch notwendig. Alle anderen Angaben sind freiwillig.

14. Datensicherheit

Die Übertragung erfolgt ausschließlich verschlüsselt (HTTPS/TLS). Passwörter werden gehasht, die Inhalte der App verschlüsselt gespeichert, und die Datenbank ist nicht aus dem Internet erreichbar. Anmeldeversuche sind begrenzt, eine Zwei-Faktor-Anmeldung ist möglich, und jedes Kundenkonto sieht ausschließlich seine eigenen Daten. Weitere Maßnahmen beschreibt Anlage 1 des Vertrags zur Auftragsverarbeitung.

15. Ihre Rechte

Sie haben nach der DSGVO das Recht auf

Auskunft über die zu Ihnen gespeicherten Daten (Art. 15),
Berichtigung unrichtiger Daten (Art. 16),
Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18),
Datenübertragbarkeit (Art. 20).

Wenden Sie sich dazu an support@spoken.host. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), z. B. beim für uns zuständigen Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

Widerspruchsrecht nach Art. 21 DSGVO

Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) verarbeiten, können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Ein formloser Widerspruch an support@spoken.host genügt.

16. Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die Auswertungen der App sind Rechenhilfen für den Kunden und treffen keine Entscheidungen über Personen.

17. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.