Sicherheit & Datenschutz bei Belegmappe
Belegmappe.at wurde von Beginn an für die Anforderungen von Selbstständigen, Unternehmen und ihren Steuerberater:innen entwickelt. Diese Seite fasst die wichtigsten technischen und organisatorischen Maßnahmen zusammen — auch für Compliance-Verantwortliche in Kanzleien.
Sechs Säulen unserer DSGVO-Konformität
EU-Hosting (Frankfurt)
Server, Datenbank und Datei-Speicher liegen ausschließlich in der EU (primär Region Frankfurt). Kein Routine-Transfer in Drittländer für Inhaltsdaten.
Fly.io Region fra · Wasabi EU-Central · PostgreSQL EU
Verschlüsselung
Verbindungen ausschließlich über TLS 1.2+. Dateien werden serverseitig mit AES-256 verschlüsselt gespeichert. Passwörter werden nie im Klartext gespeichert (Clerk verwaltet Auth).
TLS 1.2+ · AES-256 at rest · Token-basierte Auth
AVV nach Art. 28 DSGVO
Vollständiger Auftragsverarbeitungsvertrag liegt zur Einsicht bereit und gilt bei Vertragsabschluss automatisch. Unterzeichnete PDF-Version auf Anfrage.
Inklusive TOM-Beschreibung & Subprozessor-Liste
Löschrecht (Art. 17)
Konto-Löschung ist vollständig im Self-Service: Export erzwingen → E-Mail-Bestätigung → Hard-Delete aller Dateien (Wasabi), Datenbank-Einträge, Clerk-Account und Stripe-Kunde.
Belege, Bankdaten, Audit-Log, Profile — alles weg
Manipulationssicheres Audit-Log
Jede Status-Änderung am Beleg (gebucht, freigegeben, bezahlt) wird unveränderlich mit SHA-256-Hash-Chain protokolliert — wie eine Blockchain. Freigaben werden ebenfalls geloggt.
Append-only · 10 Jahre Aufbewahrung
GoBD/E-Rechnung-konform
Vollexport als ZIP mit CSV-Tabellen (Semikolon, ISO-8859-1) und GoBD-Indexdatei. Originalbelege bleiben in unveränderter Form gespeichert (Immutability auf Datenbank-Ebene).
10 Jahre Aufbewahrungspflicht abgedeckt
Was bedeutet das konkret für Steuerberater:innen?
Wenn Klient:innen eine Mappe mit Ihrer Kanzlei teilen, gilt:
Sie erhalten ausschließlich die Rechte, die der Klient ausdrücklich vergibt (z.B. nur Lesen, oder zusätzlich Upload, Bearbeitung, Löschung, Export).
Jede Freigabe und jeder Entzug wird mit Zeitstempel und IP-Adresse im manipulationssicheren Audit-Log dokumentiert.
Sie können Belege jederzeit als ZIP exportieren (GoBD-konform) und in Ihre BMD/RZL/DATEV-Workflows übernehmen.
Sie sehen nur die Mappen, die Ihnen aktiv freigegeben wurden — kein Cross-Klient-Zugriff, klare Mandantentrennung auf Datenbank-Ebene.
Klient:innen können Freigaben jederzeit einseitig widerrufen. Sie als Steuerberater:in verlieren dann sofort den Zugriff, ohne Risiko für Sie.
Sie bleiben rechtlich Verantwortliche für die Verarbeitung der von Ihren Mandanten an Sie übergebenen Daten — Belegmappe ist Ihre Auftragsverarbeiterin (siehe AVV).
Eingesetzte Subprozessoren
Vollständige Liste mit Adressen und Vertragsdetails: /subprocessors
| Anbieter | Zweck | Standort | Transfermechanismus |
|---|---|---|---|
| Clerk Inc. | Authentifizierung, Login, Session-Verwaltung | USA (DPF-zertifiziert) | EU-US Data Privacy Framework + SCC |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung, Abonnements, Rechnungen | Irland (EU) | EU-Vertragspartei |
| Wasabi Technologies | Datei-Speicher (Belege, PDFs) | EU (Amsterdam/Frankfurt) | EU-Vertragspartei |
| Fly.io | Anwendungs-Hosting, Datenbank | Frankfurt (EU) | SCC |
| Brevo (Sendinblue) | Transaktions-E-Mails (Freigaben, Bestätigungen) | Frankreich (EU) | EU-Vertragspartei |
| Sentry | Fehler-Monitoring (technische Stabilität) | EU-Region (DE-Ingest) | SCC + PII-Filter |
Betroffenenrechte — Artikel-Mapping
So setzt Belegmappe die einzelnen Rechte der DSGVO technisch um:
| Artikel | Recht | Umsetzung in Belegmappe |
|---|---|---|
| Art. 15 | Auskunftsrecht | ZIP-Vollexport jederzeit in Einstellungen → Exporte abrufbar |
| Art. 16 | Berichtigung | Jedes Feld direkt in der App editierbar (Beleg-Metadaten, Profile) |
| Art. 17 | Löschung | Self-Service Konto-Löschung mit Hard-Delete von Dateien + Datenbank + Clerk |
| Art. 18 | Einschränkung | Konto pausierbar; Daten bleiben bestehen, kein Zugriff Dritter |
| Art. 20 | Datenübertragbarkeit | Maschinenlesbarer ZIP-Export (CSV nach GoBD-Standard) |
| Art. 21 | Widerspruch | Marketing-E-Mails einzeln abbestellbar; kein berechtigtes Interesse-Tracking |
| Art. 28 | Auftragsverarbeitung | AVV verfügbar, gilt automatisch bei Vertragsabschluss |
| Art. 32 | Sicherheit der Verarbeitung | TLS, AES-256, Rate-Limiting, Audit-Log, getrennte Mandanten (per User-ID) |
| Art. 33/34 | Meldung von Verletzungen | Benachrichtigung an Verantwortliche innerhalb 72h nach Kenntnisnahme |
Häufige Fragen aus Kanzleien
Sind die Daten meiner Klient:innen in der EU?+
Ja. Anwendung, Datenbank und Datei-Speicher laufen in Frankfurt. Auth-Daten werden über Clerk verarbeitet (USA, EU-US DPF zertifiziert). Zahlungen über Stripe Ireland (EU). Inhaltsdaten (Belege, Rechnungen, Bankdaten) verlassen die EU nie.
Was passiert, wenn ein Klient seine Mappe mit mir teilt?+
Sie sehen die freigegebene Mappe nur mit den explizit erteilten Rechten (Ansicht, Upload, Bearbeiten, Löschen, Export). Jede Freigabe und jeder Entzug wird mit Zeitstempel im Audit-Log protokolliert. Klient:innen können Freigaben jederzeit widerrufen.
Wer hat Zugriff auf die Daten? Auch RDGY Software?+
Standardmäßig: niemand außer dem Klienten und den freigegebenen Personen. Support-Zugriffe erfolgen nur auf ausdrückliche Anfrage und werden protokolliert. RDGY-Mitarbeiter:innen können nicht ohne Weiteres Belege einsehen.
Was passiert mit den Daten nach Vertragsende?+
Vor der Löschung ist ein vollständiger ZIP-Export erforderlich (E-Mail-bestätigt). Nach Bestätigung werden alle Belege, Bankdaten, Profile, Audit-Logs gelöscht; der Clerk-Account wird mitgelöscht. Stripe-Rechnungen bleiben aus steuerrechtlichen Gründen 10 Jahre bestehen (anonymisiert).
Kann ich für meine Kanzlei eine eigene AVV-PDF erhalten?+
Ja. Der Standard-AVV ist online einsehbar und gilt automatisch bei Vertragsabschluss. Eine unterzeichnete PDF-Fassung — bei Bedarf mit individuellen Anpassungen — senden wir per E-Mail an hi@belegmappe.at.
Werden die Belege OCR-verarbeitet? Wenn ja, wo?+
OCR-Verarbeitung erfolgt innerhalb der EU-Infrastruktur. Es werden keine Belege an externe KI-Anbieter (OpenAI, Anthropic etc.) übertragen.
Rechtliche Dokumente
Datenschutzerklärung
Vollständige Information nach Art. 13/14 DSGVO
Auftragsverarbeitungsvertrag
Standard-AVV nach Art. 28 DSGVO
AVV als PDF
Direkter Download — unterzeichnete Fassung auf Anfrage
Unterauftragsverarbeiter
Liste aller eingesetzten Subprozessoren
Cookie-Information
TKG 2021 + DSGVO konform
AGB
Allgemeine Geschäftsbedingungen
Impressum
Anbieter-Identifikation
Sie wollen mehr Details?
Wir stellen auf Anfrage gerne folgende Unterlagen zur Verfügung: unterzeichnete AVV-Fassung, ausführliche TOM-Beschreibung (Technische und Organisatorische Maßnahmen), Penetrationstest-Berichte (sobald verfügbar) sowie individuelle Datenschutz-Gespräche mit Ihrem internen Datenschutzteam.
Stand: Juni 2026 · Diese Übersicht ersetzt keine Rechtsberatung. Bei rechtlich verbindlichen Fragen wenden Sie sich an einen Rechtsanwalt oder Datenschutzbeauftragten.