Datenschutzhinweise

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist: Merkursoft, Kernerweg 22, 89520 Heidenheim a. d. Brenz, Deutschland, E-Mail: info@merkursoft.de.

Soweit eine vertretungsberechtigte Person anzugeben ist, gilt die im Impressum oder Angebot benannte Person. Datenschutzanfragen können jederzeit an info@merkursoft.de gerichtet werden.

Für personenbezogene Daten, die Kunden in MerkurFaktura eingeben, importieren oder dort verarbeiten lassen, ist in der Regel der jeweilige Kunde Verantwortlicher. Dies betrifft insbesondere Daten von Endkunden, Lieferanten, Mitarbeitenden, Ansprechpartnern, Rechnungs-, Fahrzeug-, Buchungs-, Zahlungs- oder Kommunikationsdaten.

Merkursoft verarbeitet diese Daten grundsätzlich als Auftragsverarbeiter nach Art. 28 DSGVO und nur nach Maßgabe des Vertrags, des Auftragsverarbeitungsvertrags, dokumentierter Weisungen des Kunden oder gesetzlicher Pflichten.

Der Kunde ist für die Rechtmäßigkeit der Datenerhebung, die Information betroffener Personen, erforderliche Einwilligungen, Lösch- und Aufbewahrungsfristen sowie die Bearbeitung von Betroffenenrechten gegenüber seinen Endkunden verantwortlich.

Die nachfolgende Übersicht beschreibt die wichtigsten Verarbeitungsvorgänge. Je nach gebuchtem Leistungsumfang können einzelne Vorgänge entfallen oder zusätzliche Vorgänge hinzukommen.

Die Website und MerkurFaktura verwenden technisch notwendige Cookies oder vergleichbare Technologien, um Login, Session, Sicherheit, Spracheinstellungen und grundlegende Funktionen bereitzustellen. Diese Technologien sind erforderlich, damit der ausdrücklich gewünschte digitale Dienst bereitgestellt werden kann.

Nicht notwendige Cookies, Tracking-, Analyse- oder Marketingdienste werden nur eingesetzt, wenn der Nutzer zuvor wirksam eingewilligt hat. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Die frühere Formulierung, wonach durch bloße Nutzung der Website eine Zustimmung zu Cookies erklärt wird, wird durch diese differenzierte Regelung ersetzt.

MerkurFaktura setzt nach der Anmeldung zwei technisch notwendige httpOnly-Cookies: mf_at (Zugangstoken, standardmäßig 15 Minuten gültig) und mf_rt (Aktualisierungstoken, standardmäßig 7 Tage gültig). Das Cookie sidebar_state merkt sich, ob die Seitenleiste auf- oder zugeklappt ist. Spracheinstellung (mf_lang) und Farbschema (theme) werden im lokalen Speicher des Browsers abgelegt. Tracking-, Analyse- oder Marketing-Cookies setzt MerkurFaktura nicht.

MerkurFaktura versendet Belege und Zahlungserinnerungen per E-Mail im Auftrag des Kunden — über das Gmail- oder Microsoft-365-Postfach, das der Kunde in den Einstellungen verbunden hat, oder, wenn kein Postfach verbunden ist, über den SMTP-Server, den der Kunde dort hinterlegt. Dabei werden Empfängeradressen (An, Cc, Bcc), Betreff, Nachricht und das Beleg-PDF an den jeweiligen Anbieter bzw. Server übergeben. Die Nachricht selbst wird in MerkurFaktura nicht gespeichert; am Beleg wird ein Versandprotokoll mit Zeitpunkt, Versandweg, Absender, Empfängeradressen, Betreff und Name des Anhangs geführt. Das SMTP-Passwort wird verschlüsselt gespeichert.

Wenn Sie Ihr Microsoft-Konto verbinden, fragen wir die Berechtigungen ab, E-Mails in Ihrem Namen zu senden (Mail.Send), Ihr Profil mit Ihrer E-Mail-Adresse zu lesen (User.Read) und den Zugriff ohne erneute Anmeldung aufrechtzuerhalten (offline_access). Wir verwenden diese ausschließlich, um die von Ihnen erstellten Belege und Zahlungserinnerungen aus Ihrem eigenen Postfach an Ihre Kunden zu versenden und Ihnen anzuzeigen, welches Konto verbunden ist; die versendeten Nachrichten erscheinen in Ihrem Ordner „Gesendete Elemente“. MerkurFaktura liest, importiert oder speichert die Inhalte Ihres Postfachs nicht. Für das Google-Konto gilt der folgende Abschnitt.

Wenn Sie Ihr Google-Konto verbinden, um E-Mails aus MerkurFaktura zu versenden, fragen wir zwei Berechtigungen ab: das Senden von E-Mails in Ihrem Namen (Bereich gmail.send) und den Zugriff auf die E-Mail-Adresse Ihres Google-Kontos (Bereich userinfo.email). Wir verwenden diese ausschließlich, um die von Ihnen erstellten Rechnungen und Zahlungserinnerungen aus Ihrem eigenen Postfach an Ihre Kunden zu versenden und Ihnen anzuzeigen, welches Konto verbunden ist.

MerkurFaktura liest, importiert oder speichert die Inhalte Ihres Postfachs nicht und verwendet diese Daten niemals für Werbung oder verkauft sie an Dritte. Die für den Versand in Ihrem Namen erforderlichen OAuth-Zugriffs- und Aktualisierungstokens werden verschlüsselt gespeichert. Sie können das Postfach jederzeit in Ihren Einstellungen trennen, wodurch die bei uns gespeicherten Tokens gelöscht werden, oder die Berechtigung vollständig auf der Sicherheitsseite Ihres Google-Kontos widerrufen.

Die Verwendung und Weitergabe von Informationen, die MerkurFaktura von Google APIs erhält, entspricht der Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), einschließlich der Limited-Use-Anforderungen.

MerkurFaktura bietet eine optionale KI-gestützte Belegerfassung („MerkurScan“). Lädt ein Nutzer einen Beleg (PDF, JPG oder PNG) hoch, wird die Datei in MerkurFaktura gespeichert und — sofern die Funktion auf der Installation eingerichtet ist — zum Auslesen an Google Gemini übermittelt, betrieben über Google Cloud Vertex AI in der Region europe-west3 (Frankfurt am Main). Ausgelesen werden insbesondere Lieferant mit Anschrift, USt-IdNr. und ggf. IBAN, Belegnummer und -datum, Positionen, Beträge und Steuersätze; Belege können auch personenbezogene Daten Dritter enthalten.

Das strukturierte Ergebnis wird beim Beleg gespeichert und dient ausschließlich als Vorschlag für die Erfassung einer Ausgabe (Konto, Steuersatz, Beträge). Die vollständige Antwort des KI-Dienstes wird nicht gespeichert. Der Vorschlag wird vor der Buchung vom Nutzer geprüft und bestätigt; es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt.

Google Cloud EMEA Limited, Dublin, Irland, wird als Auftragsverarbeiter eingesetzt. Nach den Vertragsbedingungen von Google Cloud werden die übermittelten Inhalte nicht zum Training von KI-Modellen verwendet. Ein Zugriff aus Drittländern, insbesondere den USA, kann nicht vollständig ausgeschlossen werden; er ist durch EU-Standardvertragsklauseln und die Zertifizierung von Google LLC nach dem EU-US Data Privacy Framework abgesichert.

Ist die KI-Belegerfassung nicht eingerichtet, werden Belege nur in MerkurFaktura gespeichert und von Hand erfasst; eine Übermittlung an Google findet dann nicht statt. Gespeicherte Belege unterliegen der gesetzlichen Aufbewahrungspflicht von 10 Jahren; nicht gebuchte Belege können von einem Administrator gelöscht werden.

Personenbezogene Daten werden nur an Empfänger weitergegeben, soweit dies für die Vertragserfüllung, den Betrieb der Systeme, die Abrechnung, gesetzliche Pflichten, Sicherheitszwecke oder die Durchsetzung berechtigter Ansprüche erforderlich ist.

Hosting erfolgt über Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Weitere Dienstleister können insbesondere E-Mail-, Support-, Zahlungs-, Sicherheits- oder Backup-Dienste sein, sofern sie für den konkreten Leistungsumfang erforderlich sind. Für die KI-Belegerfassung wird Google Cloud EMEA Limited (Vertex AI, Region Frankfurt) eingesetzt.

Soweit Dienstleister personenbezogene Daten im Auftrag verarbeiten, werden Verträge zur Auftragsverarbeitung abgeschlossen.

Beleg-PDFs und E-Rechnungen erzeugt ein eigener PDF-Dienst, der innerhalb derselben Installation betrieben wird und selbst keine Daten speichert.

Ist ein Postfach verbunden, versendet MerkurFaktura E-Mails über die Schnittstelle des E-Mail-Anbieters, den der Kunde selbst gewählt hat (Google Gmail API bzw. Microsoft Graph); diese Anbieter erhalten die zu versendende Nachricht als E-Mail-Anbieter des Kunden.

Eine Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn hierfür eine geeignete Rechtsgrundlage besteht, zum Beispiel ein Angemessenheitsbeschluss, EU-Standardvertragsklauseln oder eine ausdrückliche Einwilligung.

Wenn Funktionen von Drittanbietern mit möglichem Drittlandbezug aktiviert werden, werden die betroffenen Nutzer oder Kunden im Rahmen der Produkt-, Datenschutz- oder Consent-Informationen darüber informiert.

Bei der KI-Belegerfassung erfolgt die Verarbeitung in der Region Frankfurt am Main; zu einem möglichen Drittlandbezug über Google LLC siehe den Abschnitt „KI-Belegerfassung (MerkurScan)“.

Beim Versand über ein verbundenes Gmail- oder Microsoft-365-Postfach gelten die Vertrags- und Datenschutzbedingungen, die der Kunde mit Google bzw. Microsoft vereinbart hat; ein Drittlandbezug (USA) kann dabei nicht ausgeschlossen werden.

Merkursoft speichert personenbezogene Daten nur solange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Kontakt- und Supportdaten werden regelmäßig gelöscht, wenn die Anfrage abgeschlossen ist und keine gesetzlichen Aufbewahrungs- oder Nachweispflichten bestehen. Vertrags-, Rechnungs- und Buchungsunterlagen werden regelmäßig entsprechend handels- und steuerrechtlicher Aufbewahrungspflichten gespeichert.

Kundendaten in MerkurFaktura werden nach Vertragsende nach Maßgabe des Vertrags und des Auftragsverarbeitungsvertrags zurückgegeben oder gelöscht, soweit keine gesetzlichen Pflichten entgegenstehen.

Betroffene Personen haben nach Maßgabe der DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen bestimmte Verarbeitungen.

Soweit eine Verarbeitung auf Einwilligung beruht, kann die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Betroffene Personen haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig kann insbesondere die Aufsichtsbehörde des gewöhnlichen Aufenthaltsortes, des Arbeitsplatzes oder des Sitzes von Merkursoft sein.

Bei Daten, die ein Kunde als Verantwortlicher in MerkurFaktura verarbeitet, sind Betroffenenrechte grundsätzlich gegenüber dem jeweiligen Kunden geltend zu machen. Merkursoft unterstützt den Kunden im Rahmen des Auftragsverarbeitungsvertrags.

Merkursoft setzt angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten gegen Verlust, Zerstörung, unbefugten Zugriff, Manipulation oder Offenlegung zu schützen.

Hierzu können insbesondere Transportverschlüsselung, Zugriffskontrollen, Rollen- und Rechtekonzepte, Protokollierung, Backup-Verfahren, Berechtigungskonzepte, Sicherheitsupdates und organisatorische Schutzmaßnahmen gehören.

Der Kunde ist verpflichtet, eigene Benutzerkonten, Passwörter, Endgeräte und interne Berechtigungen angemessen zu schützen.

Merkursoft kann diese Datenschutzhinweise aktualisieren, wenn sich Rechtslage, technische Abläufe, Funktionen, Dienstleister oder Geschäftsprozesse ändern. Die jeweils aktuelle Fassung wird auf der Website oder im Kundenbereich bereitgestellt.