Rechtliches
Datenschutzerklärung
Datenschutzerklärung der GKM Global GmbH für gkm-buchhaltung.de und das Kundenportal: welche Daten wir verarbeiten, wozu, wie lange und Ihre Rechte.
Diese Datenschutzerklärung gilt für gkm-buchhaltung.de, für rekana.de und für die Software Rekana. Verantwortlich ist in allen Fällen die GKM Global GmbH.
1. Verantwortlicher
GKM Global GmbH, Geschäftsbereich GKM Buchhaltung
Gerhofstraße 1–3, c/o WeWork, 20354 Hamburg
Telefon 040 2989 6395, E-Mail info@gkm-buchhaltung.de
Vertreten durch den Geschäftsführer Gagik Kreuz.
2. Allgemeines
Wir verarbeiten personenbezogene Daten nur, soweit es für den Betrieb dieser Website, die Bearbeitung Ihrer Anfragen, vorvertragliche Maßnahmen, die Erfüllung von Verträgen oder unsere berechtigten Interessen erforderlich ist. Wir verkaufen keine Daten.
3. Hosting und Server-Logfiles
Website und Kundenportal laufen auf einem eigenen Server der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, in einem Rechenzentrum in Spanien, also innerhalb der EU. Beim Aufruf übermittelt Ihr Browser technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, verweisende Seite sowie Browser und Betriebssystem.
Zweck ist der sichere und stabile Betrieb der Website. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logdaten werden nach 14 Tagen gelöscht, außer ein Sicherheitsvorfall muss aufgeklärt werden. Der Anbieter verarbeitet die Daten als Auftragsverarbeiter nach Art. 28 DSGVO.
5. Kontakt per E-Mail oder Telefon
Wenn Sie uns anrufen oder schreiben, verarbeiten wir Ihre Angaben, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag mit Ihnen geht, sonst Art. 6 Abs. 1 lit. f DSGVO. Normale E-Mails sind nicht Ende-zu-Ende verschlüsselt. Senden Sie vertrauliche Unterlagen bitte über das Kundenportal oder nach Absprache.
6. Rückruf-Formular und Anfragen „Mandant werden“ und „Steuerberater finden“
Im Rückruf-Formular auf der Kontaktseite verarbeiten wir Name, Telefon, auf Wunsch die E-Mail-Adresse, das gewünschte Zeitfenster, die Sprache des Gesprächs, das Thema und Ihre Nachricht. In der Anfrage „Mandant werden“ verarbeiten wir Name, Firma, Ort, E-Mail-Adresse und auf Wunsch Telefon, dazu Rechtsform, Branche, gewünschte Leistungen, ungefähre Zahl der Buchungen und Mitarbeiter, die Wahl des Steuerberaters und den gewünschten Start. Pflichtfelder sind markiert.
Die Angaben gehen per E-Mail an uns und dienen der Antwort und der Erstellung eines Angebots. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Angaben im Namen eines Unternehmens Art. 6 Abs. 1 lit. f DSGVO. Für E-Mails nutzen wir Microsoft 365 der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, als Auftragsverarbeiter nach Art. 28 DSGVO.
Anfrage „Steuerberater finden“
Suchen Sie über uns einen Steuerberater, verarbeiten wir zusätzlich Angaben zu Ihrem Unternehmen, Ihrer Situation und Ihrem Bedarf: Rechtsform, Branche, Ort, Mitarbeiterzahl und Umsatz als Spanne, bisheriger Steuerberater und Wechselgründe, gewünschte Leistungen, Rückstände, Dringlichkeit und Fristen, Arbeitsweise, Sprache, genutzte Systeme sowie Ihre Kontaktdaten. Zweck ist das Erstgespräch, eine Bedarfsaufnahme ohne steuerliche Beratung, und der Vorschlag eines Steuerberaters, mit dem wir zusammenarbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
An den vorgeschlagenen Steuerberater geben wir nur die Angaben weiter, die er für ein Angebot braucht, und nur mit Ihrer ausdrücklichen Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Wir speichern dazu den Wortlaut, die Fassung und den Zeitpunkt der Einwilligung. Sie können sie jederzeit mit Wirkung für die Zukunft per E-Mail an info@gkm-buchhaltung.de widerrufen. Der Steuerberater verarbeitet die Daten danach als eigener Verantwortlicher.
Speicherung der Anfragen und Herkunft
Anfragen aus allen Formularen speichern wir zusätzlich in unserem Kundenportal, um sie zu bearbeiten und auszuwerten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer geordneten Bearbeitung und an der Auswertung unserer Werbung. Nur wenn Sie im Hinweis am Seitenende zustimmen, merkt sich Ihr Browser für die Dauer des Besuchs im Sitzungsspeicher, über welche Seite oder Kampagne Sie zu uns kamen, ohne Cookie; mit einer Anfrage speichern wir diese Angabe dazu. Rechtsgrundlage dafür ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Ihre Entscheidung selbst bewahrt der Browser sechs Monate auf, danach fragen wir erneut. Sie können die Einwilligung jederzeit über „Einwilligung ändern“ am Seitenende widerrufen; ohne Einwilligung funktioniert die Website genauso. Wie lange wir Anfragen speichern, steht in Abschnitt 12. Nach dem Absenden erhalten Sie eine Bestätigung per E-Mail, beim Rückruf nur, wenn Sie eine E-Mail-Adresse angeben.
Füllen Sie „Mandant werden“ oder „Steuerberater finden“ aus, speichert Ihr Browser den Zwischenstand im Sitzungsspeicher, nur für diesen Tab. So geht beim Zurückgehen oder Neuladen nichts verloren. Der Zwischenstand bleibt auf Ihrem Gerät und wird nicht an uns übertragen; Ihre Angaben erhalten wir erst mit dem Absenden. Danach löscht das Formular den Zwischenstand, sonst endet er mit dem Schließen des Tabs. Eine Einwilligung braucht es dafür nicht, weil der Speicher nur dem Ausfüllen dient, das Sie selbst begonnen haben (§ 25 Abs. 2 Nr. 2 TDDDG).
7. Kundenportal
Im Kundenportal verarbeiten wir die Daten, die wir für den Zugang und die Zusammenarbeit brauchen: Name, E-Mail-Adresse, das Passwort nur als Hash, den Schlüssel für den zweiten Faktor, sobald er eingerichtet ist, hochgeladene und bereitgestellte Unterlagen sowie elektronische Unterschriften mit Zeitpunkt, IP-Adresse und Prüfsumme des Dokuments. Jede hochgeladene Datei prüft unser Server vor dem Speichern auf Schadsoftware; Dritte sind daran nicht beteiligt.
Für die Anmeldung setzen wir ein technisch notwendiges Sitzungs-Cookie. Es endet mit der Abmeldung, spätestens nach zwölf Stunden. Wählen Sie bei der Anmeldung „Diesem Gerät 30 Tage vertrauen“, merkt sich ein weiteres Cookie dieses Gerät für diese Zeit, damit dort das Passwort genügt; Sie können es im Portal jederzeit widerrufen. Wählen Sie vor der Anmeldung eine Sprache, speichert ein Cookie nur diese Wahl für ein Jahr. Alle drei setzen wir nur auf Ihre Anforderung, sie brauchen keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Anmeldungen, Unterschriften und Abrufe von Unterlagen protokollieren wir zum Nachweis und zum Schutz vor Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für das Protokoll Art. 6 Abs. 1 lit. f DSGVO. Einzelheiten stehen in den Datenschutzhinweisen für Mandanten, die Sie im Portal erhalten.
Bestellung von Rekana Rechnung
Bestellen Sie Rekana Rechnung online, verarbeiten wir die Angaben der Bestellung: Firma, Rechtsform, Name der bestellenden Person, Anschrift, E-Mail-Adresse, auf Wunsch Telefon, Steuernummer oder Umsatzsteuer-Identifikationsnummer, bei einer Gründung ohne Nummer das Datum der Gewerbeanmeldung oder der Anzeige beim Finanzamt, die gewählte Rechnungsvorlage, die Sprache der Seite und die Sprache Ihrer Rechnungen, bei Zahlung per SEPA-Lastschrift Kontoinhaber, IBAN und auf Wunsch BIC. Ihre Bestätigung als Unternehmer, Ihre Zustimmung zu den AGB und zum Vertrag zur Auftragsverarbeitung und das SEPA-Lastschriftmandat speichern wir mit Wortlaut, Fassung, Zeitpunkt, IP-Adresse und Browserkennung zum Nachweis.
Zweck ist der Abschluss und die Durchführung des Vertrags, die Freischaltung Ihres Zugangs und die monatliche Abrechnung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Damit es die kostenlose Testzeit nur einmal je Unternehmen und Werkzeug gibt, gleichen wir E-Mail-Adresse, Steuernummer oder Umsatzsteuer-Identifikationsnummer und IBAN mit früheren Bestellungen ab; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Rechnungen und Vertragsdaten bewahren wir nach § 147 AO und § 257 HGB auf; Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. c DSGVO.
Zahlen Sie per SEPA-Lastschrift, reichen wir die Lastschrift mit Mandatsreferenz, Kontoinhaber, IBAN und Betrag bei der Bank der GKM Global GmbH ein; die Bank verarbeitet diese Daten für den Einzug. Bestätigen Sie eine Bestellung nicht innerhalb von 14 Tagen über den Link in unserer E-Mail, oder richten Sie danach den zweiten Faktor nicht innerhalb weiterer 14 Tage ein, löschen wir die Bestellung mit ihren Angaben.
Die Daten, die Sie in der Software selbst erfassen, etwa Kunden, Rechnungen, Kontoumsätze und Belege, verarbeiten wir im Auftrag Ihres Unternehmens nach dem Vertrag zur Auftragsverarbeitung in Anlage 2 der AGB.
Kontoauszüge und Belege
Laden Sie im Portal Kontoauszüge eines Geschäftskontos als Datei im Format CAMT, MT940, CSV oder Excel hoch, verarbeiten wir die Kontoumsätze mit Gegenpartei, IBAN, Verwendungszweck, Betrag und Datum, die Kontostände aus den Auszügen, die hochgeladenen Belege und Ihre Kategorien. Eine Verbindung zu Ihrer Bank, über die Umsätze abgerufen werden, gibt es nicht. Aus PDF-Belegen liest unser Server Betrag, Datum, Rechnungsnummer und Namen, um sie den Umsätzen zuzuordnen; Dritte sind daran nicht beteiligt. Exporte als Excel, CSV oder PDF erzeugt der Server nur auf Ihre Anforderung.
Rechnungen schreiben mit Rekana Rechnung
Schreiben Sie Rechnungen im Portal, speichern wir die Belege mit den Angaben Ihrer Kunden und versenden sie auf Ihren Wunsch im Auftrag Ihres Unternehmens: E-Rechnungen über Microsoft 365 von unserer Adresse e-rechnung@gkm-buchhaltung.de, wie in Abschnitt 8 beschrieben, oder über Ihr eigenes Postfach. Jeder Versand wird mit Empfänger, Zeitpunkt und Prüfsumme der Dateien protokolliert.
Zugang für Mitarbeiter unserer Mandanten
Führen wir die Lohnabrechnung für ein Unternehmen, kann es seinen Mitarbeitern einen eigenen Zugang zum Kundenportal geben. Dafür verarbeiten wir im Auftrag des Arbeitgebers als Auftragsverarbeiter nach Art. 28 DSGVO: Name, E-Mail-Adresse und auf Wunsch die Personalnummer, die der Arbeitgeber einträgt, das Datum des Austritts, das Passwort nur als Hash, auf Wunsch den Schlüssel für den zweiten Faktor, die gewählte Sprache sowie Anmeldungen und Abrufe mit Zeitpunkt und IP-Adresse. Im Zugang stellen wir die Lohnabrechnungen des Mitarbeiters bereit und, wenn der Arbeitgeber ihn verknüpft, seinen Personalfragebogen. Neue Abrechnungen kündigen wir per E-Mail an, ohne Anhang und ohne Angaben aus der Abrechnung.
Verantwortlich ist der Arbeitgeber. Rechtsgrundlage ist die Durchführung des Beschäftigungsverhältnisses mit der Pflicht des Arbeitgebers zur Abrechnung nach § 108 GewO, Art. 6 Abs. 1 lit. b und c DSGVO. Der Arbeitgeber entscheidet je Mitarbeiter, ob dieser die Abrechnung online oder auf Papier erhält. Sperrt der Arbeitgeber den Zugang oder stellt er auf Papier um, endet die Anmeldung sofort. Ein Jahr nach dem Austritt endet der Zugang: Passwort, zweiter Faktor, Backup-Codes und Anmeldungen löschen wir dann; die Abrechnungen bleiben beim Arbeitgeber für dessen Aufbewahrungspflichten. Ihre Rechte nach Abschnitt 14 machen Mitarbeiter gegenüber ihrem Arbeitgeber geltend; Anfragen an uns leiten wir an ihn weiter.
Zeiterfassung Rekana Zeit
Rechnen wir für ein Unternehmen die Löhne ab, kann es für seine Mitarbeiter die Zeiterfassung Rekana Zeit nutzen. Wir betreiben sie im Auftrag des Arbeitgebers als Auftragsverarbeiter nach Art. 28 DSGVO; verantwortlich ist der Arbeitgeber. Wir speichern die Buchungen mit Uhrzeit, Nachträge mit Grund, die Prüfung durch den Arbeitgeber, die Bestätigung des Monats, das Gerät, mit dem gestempelt wird, und die IP-Adresse beim Stempeln. Einen Standort fragt die Zeiterfassung nicht ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO mit den Aufzeichnungspflichten des Arbeitgebers nach § 3 Abs. 2 Nr. 1 ArbSchG, § 16 Abs. 2 ArbZG und § 17 MiLoG.
Das Handy koppelt der Mitarbeiter mit einem Code seines Arbeitgebers. Dafür setzen wir ein technisch notwendiges Cookie, das dieses Gerät wiedererkennt, 90 Tage ab der letzten Nutzung. Ohne Netz legt der Browser Buchungen auf dem Gerät ab und sendet sie nach, sobald wieder eine Verbindung besteht. Cookie und Speicher dienen nur der Zeiterfassung, die der Mitarbeiter selbst aufruft; eine Einwilligung brauchen sie nach § 25 Abs. 2 Nr. 2 TDDDG nicht.
Schaltet der Mitarbeiter Erinnerungen am Handy ein, stellt sie der Mitteilungsdienst seines Browsers oder Betriebssystems zu, je nach Gerät von Apple, Google, Mozilla oder Microsoft. Unser Server übergibt diesem Dienst die Adresse, unter der das Gerät dort erreichbar ist, und die verschlüsselte Mitteilung; lesen kann sie nur das Gerät. Eine Verarbeitung in den USA ist dabei möglich, siehe Abschnitt 11. Erinnerungen lassen sich jederzeit ausschalten.
Die Aufzeichnungen bleiben mindestens zwei Jahre gespeichert, als Teil der Lohnunterlagen bis zu sechs Jahre, und werden danach gelöscht. Ihre Rechte nach Abschnitt 14 machen Mitarbeiter gegenüber ihrem Arbeitgeber geltend; Anfragen an uns leiten wir an ihn weiter.
8. Rechnungsversand
Unternehmen, die Rekana Rechnung im Kundenportal nutzen, können ihre E-Rechnungen über GKM Buchhaltung von der Adresse e-rechnung@gkm-buchhaltung.de versenden. Verantwortlicher für die Verarbeitung der Daten der Empfänger ist das Unternehmen, das die Rechnung stellt und in der E-Mail genannt ist. Die GKM Global GmbH handelt dabei als Auftragsverarbeiter nach Art. 28 DSGVO.
Verarbeitet werden Name, Anschrift und E-Mail-Adresse des Empfängers und seiner Ansprechpartner, die Angaben der Rechnung und ihrer Anhänge sowie die Versanddaten: Zeitpunkt, Absender, Empfänger, Betreff, Nachrichten-ID, Prüfsummen der Dateien und die Antwort des Mailservers. Zweck ist der Versand der Rechnung und der Nachweis des Versands.
Die E-Mails werden über Microsoft 365 versandt. Microsoft Ireland Operations Limited ist Unterauftragsverarbeiter der GKM Global GmbH; Ort der Verarbeitung und Garantien bei einem Zugriff aus Drittländern richten sich nach dem Vertrag zur Auftragsverarbeitung und nach Abschnitt 11 dieser Erklärung.
Das Versandprotokoll und die versandte Nachricht gehören zum Beleg und werden mit ihm gespeichert, mindestens für die Dauer seiner Aufbewahrungspflicht nach § 147 AO und § 14b UStG. Endet der Vertrag des Unternehmens mit der GKM Global GmbH, bleiben sie für dessen Lesezugang gespeichert und werden danach gelöscht: bei Kunden, die Rekana Rechnung online bestellt haben, mit dem Ende des zehnten Kalenderjahres nach dem Vertragsende, bei Mandanten mit dem Ablauf der Aufbewahrungsfrist der letzten Rechnung.
Nachrichten an e-rechnung@gkm-buchhaltung.de gehen an die GKM Global GmbH; sie werden dort nicht gelesen, nicht weitergeleitet und spätestens 45 Tage nach Eingang gelöscht. Für diese Nachrichten ist die GKM Global GmbH selbst Verantwortlicher; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse ist der Betrieb einer Versandadresse, deren Eingang nicht bearbeitet wird. Für Fragen zur Rechnung wenden Sie sich bitte an das Unternehmen, das die Rechnung gestellt hat.
Ihre Rechte auf Auskunft, Berichtigung oder Löschung, Einschränkung der Verarbeitung, Widerspruch gegen die Verarbeitung und Datenübertragbarkeit nach Art. 15 bis 21 DSGVO machen Sie gegenüber diesem Unternehmen geltend. Zudem haben Sie das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren; für die GKM Global GmbH ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit zuständig.
Die Seite gkm-buchhaltung.de/zertifikat mit den Hinweisen zur Signatur dieser E-Mails setzt keine Cookies und misst keine Besuche.
9. Buchhaltung in DATEV
Führen wir für Ihr Unternehmen die Buchhaltung oder die Lohnabrechnung, verarbeiten wir die Buchungs- und Lohndaten im Auftrag Ihres Unternehmens nach Art. 28 DSGVO. Verantwortlich für diese Daten ist Ihr Unternehmen; die Einzelheiten regelt der Vertrag zur Auftragsverarbeitung, den wir mit ihm schließen. Die Verarbeitung dient der Erfüllung seiner Buchführungs-, Aufzeichnungs- und Meldepflichten (Art. 6 Abs. 1 lit. c DSGVO) und der Durchführung seiner Verträge (Art. 6 Abs. 1 lit. b DSGVO). Für besondere Kategorien personenbezogener Daten der Beschäftigten in der Lohnabrechnung ist Rechtsgrundlage Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit den arbeits-, steuer- und sozialversicherungsrechtlichen Pflichten des Arbeitgebers. Wo die Buchhaltung geführt wird, vereinbaren wir mit Ihrem Unternehmen. Es gibt drei Wege:
- Im DATEV-Bestand unseres Partner-Steuerberaters. Wir buchen in einem Datenbestand, den ein Steuerberater, mit dem wir zusammenarbeiten, unter seiner Beraternummer in DATEV führt. Er stellt uns diese Umgebung als Unterauftragsverarbeiter bereit; der Vertrag zur Auftragsverarbeitung mit Ihrem Unternehmen nennt ihn. Als Inhaber des Bestandes hat er technisch Zugriff. Er ist berufsrechtlich zur Verschwiegenheit verpflichtet (§ 57 Abs. 1 StBerG). Beauftragt Ihr Unternehmen ihn oder erteilt es ihm eine Vollmacht zur Vertretung in Steuersachen, verarbeitet er die Daten im DATEV-Bestand für seine steuerlichen Aufgaben als eigener Verantwortlicher; für die Buchhaltung durch uns bleibt er Unterauftragsverarbeiter. Ihr Unternehmen kann jederzeit verlangen, dass wir die Buchhaltung auf einem der anderen Wege führen.
- Im DATEV-Bestand Ihres eigenen Steuerberaters. Wir buchen dort über einen Zugang, den Ihr Steuerberater uns einrichtet, oder liefern ihm die Buchhaltung im DATEV-Format. Ihr Steuerberater verarbeitet die Daten für seine Aufgaben als eigener Verantwortlicher.
- In Lexware Office. Ihr Unternehmen schließt selbst einen Vertrag mit dem Anbieter und richtet uns dort einen Zugang ein. Die Daten liegen dann beim Anbieter von Lexware Office, der sie im Auftrag Ihres Unternehmens verarbeitet.
Die DATEV-Bestände liegen im Rechenzentrum der DATEV eG, Paumgartnerstraße 6–14, 90429 Nürnberg, in Deutschland. Zugriffe aus Drittländern sind nur ausnahmsweise bei Wartung durch weitere Auftragsverarbeiter der DATEV möglich, auf Grundlage von Angemessenheitsbeschlüssen oder EU-Standardvertragsklauseln (Art. 45, 46 DSGVO). DATEV verarbeitet die Daten als Auftragsverarbeiter des Steuerberaters, unter dessen Beraternummer der Bestand geführt wird, im Bestand unseres Partner-Steuerberaters also in der Kette über uns und ihn, und übermittelt auch die gesetzlichen Meldungen an Finanzverwaltung, Sozialversicherungsträger und Berufsgenossenschaft. Empfänger der Buchhaltungsdaten sind je nach Weg die DATEV eG, unser Partner-Steuerberater als Unterauftragsverarbeiter und, soweit Ihr Unternehmen ihn beauftragt hat, als eigener Verantwortlicher, Ihr eigener Steuerberater als eigener Verantwortlicher oder der Anbieter von Lexware Office als Auftragsverarbeiter Ihres Unternehmens sowie die Stellen, an die das Gesetz Meldungen vorschreibt, außerdem die weiteren Unterauftragsverarbeiter, die der Vertrag zur Auftragsverarbeitung für Fernzugriff, E-Mail, Ablage und KI-Anwendungen nennt. Endet der Vertrag, übertragen wir den Bestand an Ihr Unternehmen oder einen Nachfolger, den es bestimmt; im Übrigen gilt Abschnitt 12.
10. Empfänger
Zugriff haben nur Beschäftigte von GKM, die Ihre Anfrage bearbeiten, sowie unsere Dienstleister für Hosting, E-Mail und IT als Auftragsverarbeiter. Wählen Sie einen Steuerberater, mit dem wir zusammenarbeiten, geben wir Ihre Kontaktdaten und Angaben zum Auftrag mit Ihrer Zustimmung an ihn weiter. Er verarbeitet diese dann in eigener Verantwortung. Wer die Daten der Buchhaltung erhält, steht in Abschnitt 9. Behörden erhalten Daten nur, wenn das Gesetz es verlangt.
11. Übermittlung in Drittländer
Die Website selbst übermittelt keine Daten in Staaten außerhalb der EU und des EWR. Microsoft verarbeitet unsere E-Mails grundsätzlich in der EU. Ein Zugriff durch die Konzernmutter Microsoft Corporation in den USA ist nicht ausgeschlossen. Er stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, unter dem Microsoft zertifiziert ist (Art. 45 DSGVO), und ergänzend auf Standardvertragsklauseln (Art. 46 DSGVO). Schaltet ein Mitarbeiter in der Zeiterfassung Rekana Zeit Erinnerungen ein, übergibt unser Server die verschlüsselte Mitteilung an den Mitteilungsdienst seines Browsers bei Apple, Google, Mozilla oder Microsoft; dabei ist eine Verarbeitung in den USA möglich. Für DATEV gilt die Ausnahme bei Wartung, die in Abschnitt 9 beschrieben ist. Für die Buchhaltungsdaten gelten im Übrigen die Regeln zur Übermittlung in Drittländer im Vertrag zur Auftragsverarbeitung.
12. Speicherdauer
Server-Logfiles 14 Tage. Zugangsdaten des Kundenportals bis zum Ende des Zugangs. Das Protokoll der Anmeldungen, Unterschriften und Abrufe bewahren wir zum Nachweis für die Dauer des Vertrages und der gesetzlichen Aufbewahrungsfristen auf. Anfragen ohne Vertragsschluss mit uns anonymisieren wir sechs Monate nach der letzten Bearbeitung, auch wenn wir Sie an einen Steuerberater übergeben haben: Name, Firma, Ort, Kontaktdaten, die Angaben aus dem Formular, unsere Notizen dazu und die IP-Adresse Ihrer Einwilligung werden gelöscht. Für unsere Auswertung bleiben nur Art, Herkunft, Branche, Rechtsform und Bearbeitungsstand der Anfrage ohne Bezug zu Ihrer Person. Die E-Mails zu diesen Anfragen löschen wir zum selben Zeitpunkt aus unserem Postfach. Kommt ein Vertrag zustande, gelten die gesetzlichen Aufbewahrungsfristen: sechs Jahre für Geschäftsbriefe, acht Jahre für Buchungsbelege, zehn Jahre für Bücher und Abschlüsse. Kontoumsätze und hochgeladene Belege im Portal bleiben für die Dauer des Vertrages gespeichert; danach geben wir sie heraus oder löschen sie nach dem Vertrag zur Auftragsverarbeitung. Bei Kunden, die Rekana Rechnung online bestellt haben, bleiben die Daten der Software nach Vertragsende im Lesezugang gespeichert, bis zum Ende des zehnten Kalenderjahres nach dem Vertragsende, und werden danach gelöscht; auf Verlangen löschen wir früher. Bei Mandanten bleiben ausgestellte Belege aus Rekana Rechnung mit Versandprotokoll und versandter Nachricht für den Lesezugang gespeichert, bis die Aufbewahrungsfrist der letzten Rechnung abgelaufen ist, und werden danach gelöscht. Aus den Datensicherungen verschwinden gelöschte Daten spätestens nach 30 Tagen. Nachrichten an e-rechnung@gkm-buchhaltung.de löschen wir spätestens 45 Tage nach Eingang, siehe Abschnitt 8.
13. Datensicherheit
Die Verbindung zur Website ist mit TLS verschlüsselt, erkennbar an „https://“ in der Adresse. Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten.
14. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15 bis 20 DSGVO). Verarbeiten wir Daten auf Grundlage berechtigter Interessen, können Sie aus Gründen Ihrer besonderen Situation widersprechen (Art. 21 DSGVO). Eine Einwilligung können Sie jederzeit für die Zukunft widerrufen. Eine Nachricht an info@gkm-buchhaltung.de genügt.
Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, für uns zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.
15. Automatisierte Entscheidungen
Wir treffen keine ausschließlich automatisierten Entscheidungen und erstellen keine Profile.
Stand: November 2026