Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und in der Ocost-Plattform im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Maxim Vlah
Rader Str. 16
42399 Hückeswagen
Deutschland

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter maximvlah@ocost.de.

2. Überblick

Ocost ist eine Software für Einkauf und Finanzen, die sich ausschließlich an Unternehmen richtet. Wir verarbeiten personenbezogene Daten in zwei Rollen:

• als Verantwortlicher für die Daten, die wir für Ihr Konto, die Anmeldung, den Vertrag mit Ihrem Unternehmen und den sicheren Betrieb brauchen;
• als Auftragsverarbeiter (Art. 28 DSGVO) für die Inhalte, die unsere Kunden in Ocost einbringen: Dokumente, E-Mails an die Adresse des Unternehmens, Chats, Spracheingaben und Angaben zu ihrem Team. Verantwortlich dafür ist das jeweilige Kundenunternehmen; wir verarbeiten diese Daten nur nach seinen Weisungen.

Alle Daten verarbeiten wir auf Servern in Deutschland bzw. in der EU: bei den unten genannten Dienstleistern und auf von uns selbst betriebenen Servern, auf denen Modelle für die Suche und das Einordnen von Dokumenten laufen. Wir setzen keine Werbung, keine Analyse- und keine Tracking-Dienste ein.

3. Konto und Anmeldung

Wenn Sie ein Konto anlegen oder in ein Unternehmen eingeladen werden, verarbeiten wir Ihren Namen, Ihre geschäftliche E-Mail-Adresse, Ihr Passwort (nur als sicherer Hash), das Unternehmen, zu dem Sie gehören, Ihre Rollen und Freigabegrenzen sowie Ihre Sprache und Einstellungen. Zur Bestätigung Ihrer E-Mail-Adresse und zum Zurücksetzen des Passworts senden wir Ihnen einen Code per E-Mail.

Zweck ist, Ihnen den Zugang zu Ocost zu geben und ihn zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit Ihrem Unternehmen bzw. Ihnen) und, soweit Sie als Beschäftigte oder Beschäftigter eines Kunden eingeladen werden, Art. 6 Abs. 1 lit. f DSGVO (unser und das Interesse des Kunden, seinen Beschäftigten einen sicheren Zugang zu geben).

4. Einrichtung eines Unternehmens

Bei der Einrichtung schlägt Ocost die Angaben zum Unternehmen vor: aus dem Handelsregister (über OpenRegister), aus der Prüfung der Umsatzsteuer-Identifikationsnummer bei der Europäischen Kommission (VIES), von der Website des Unternehmens und aus hochgeladenen Dokumenten. Diese Quellen können Namen von Geschäftsführern, Inhabern oder Ansprechpartnern enthalten.

Zweck ist, Ihnen das Abtippen zu ersparen; Sie bestätigen jede Angabe selbst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und, für die Daten Dritter aus öffentlichen Registern, Art. 6 Abs. 1 lit. f DSGVO (Interesse an zutreffenden Firmendaten).

5. Dokumente und ihr Auslesen

Unsere Kunden laden Rechnungen, Lieferscheine, Bestellungen, Verträge und andere Dokumente hoch, fotografieren sie oder senden sie per E-Mail an die Adresse ihres Unternehmens. Ocost liest diese Dokumente aus, ordnet sie zu und legt sie ab. Elektronische Rechnungen (z. B. XRechnung, ZUGFeRD) lesen wir ohne KI; gescannte Dokumente und Fotos liest ein KI-Modell (siehe „KI-Anbieter“). Die Dokumente können personenbezogene Daten enthalten, etwa Namen, Kontaktdaten und Unterschriften von Ansprechpartnern.

Diese Verarbeitung erfolgt im Auftrag des Kunden (Art. 28 DSGVO). Ocost trifft dabei keine Entscheidungen mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO: Ocost bereitet Entscheidungen vor, Menschen im Kundenunternehmen treffen sie oder legen die Regeln dafür fest.

6. Chat und Spracheingabe

Im Chat können Sie Ocost Fragen stellen und Aufgaben geben, per Text oder per Sprache. Ihre Eingaben, Ocosts Antworten und die dabei genutzten Quellen speichern wir als Verlauf des Chats in Ihrem Unternehmen. Spracheingaben werden während des Sprechens in Text umgewandelt; die Tonaufnahme selbst speichern wir nicht.

Auch diese Verarbeitung erfolgt im Auftrag des Kunden (Art. 28 DSGVO).

7. E-Mails

Wir senden Ihnen nur E-Mails, die für die Nutzung nötig sind: Codes zur Anmeldung und Bestätigung, Einladungen und Hinweise zu Ihrem Konto (Art. 6 Abs. 1 lit. b DSGVO). Newsletter oder Werbung senden wir nicht. E-Mails, die an die Adresse Ihres Unternehmens bei Ocost gehen, empfangen und verarbeiten wir im Auftrag Ihres Unternehmens wie hochgeladene Dokumente.

8. Protokolle und Sicherheit

Beim Aufruf von Ocost verarbeiten unsere Server technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser und Fehlermeldungen. Greifen unsere Mitarbeitenden für den Support auf ein Unternehmen zu, halten wir fest, wer wann zugegriffen und was geändert hat. Zweck ist, Ocost bereitzustellen, Fehler zu beheben und Missbrauch und Angriffe zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse an einem sicheren und stabilen Betrieb) und, soweit Aufbewahrungspflichten bestehen, Art. 6 Abs. 1 lit. c DSGVO.

9. Vertrag und Abrechnung

Für den Vertrag mit Ihrem Unternehmen verarbeiten wir die Firmendaten, die Namen und Kontaktdaten der Ansprechpartner, den gewählten Tarif, die Nutzung im Rahmen seiner Grenzen sowie Rechnungen und Zahlungen (Art. 6 Abs. 1 lit. b DSGVO). Rechnungen und Buchungsbelege bewahren wir auf, solange Handels- und Steuerrecht es verlangen (Art. 6 Abs. 1 lit. c DSGVO).

10. Auftragsverarbeitung (AVV)

Soweit wir personenbezogene Daten im Auftrag unserer Kunden verarbeiten, schließen wir mit ihnen einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (AVV). Sie erhalten ihn auf Anfrage unter maximvlah@ocost.de. Darin sind auch die technischen und organisatorischen Maßnahmen und die Unterauftragsverarbeiter festgelegt.

11. Unterauftragsverarbeiter

Wir setzen die folgenden Dienstleister ein. Mit jedem besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Ändert sich diese Liste, informieren wir unsere Kunden vorab, wie im AVV vereinbart.

12. KI-Anbieter

Standardmäßig verarbeitet Mistral AI über seinen EU-Endpunkt alle Anfragen an ein KI-Sprachmodell, etwa im Chat, beim Auslesen gescannter Dokumente, beim Zuordnen von Belegen, beim Erstellen von Dokumenten, bei der Einrichtung und bei der Spracheingabe und -ausgabe. Die Modelle für die Suche und das Einordnen von Dokumenten führen wir selbst auf von uns betriebenen Servern aus.

Auf Wunsch eines Kunden können wir stattdessen Google Cloud mit Rechenzentren in der EU nutzen oder KI-Modelle, die wir selbst auf von uns betriebenen Servern ausführen, sodass kein externer KI-Anbieter die Daten sieht. Das vereinbaren wir mit dem jeweiligen Kunden gesondert, zum Beispiel im AVV.

13. Übermittlung in Drittländer

Wir übermitteln keine personenbezogenen Daten in Länder außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums.

14. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist:

• Kontodaten, solange Ihr Konto besteht; danach löschen wir sie, soweit keine Aufbewahrungspflicht besteht.
• Inhalte unserer Kunden, solange der Vertrag läuft. Was der Kunde in Ocost löscht, liegt im Papierkorb, bis es endgültig gelöscht wird; nach Vertragsende löschen wir die Inhalte oder geben sie zurück, wie im AVV vereinbart.
• Unsere eigenen Bücher zehn Jahre und Buchungsbelege wie Rechnungen acht Jahre, wie § 147 AO und § 257 HGB es verlangen.

15. Cookies und lokaler Speicher

Ocost setzt nur Cookies, die für den Dienst unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG); deshalb fragen wir nicht nach einer Einwilligung:

• die Sitzung, die Sie nach der Anmeldung angemeldet hält;
• während der Anmeldung, Registrierung oder einer Einladung kurze Cookies, die den nächsten Schritt kennen;
• während eines Support-Zugriffs unserer Mitarbeitenden oder wenn ein Inhaber Ocost aus Sicht einer anderen Rolle ansieht, ein Cookie, das diesen Zugriff kennzeichnet;
• Ihre Auswahl von Sprache, Farbschema, Seitenleiste und Unternehmen, damit die Seite gleich richtig erscheint.

Im Speicher Ihres Browsers merken wir uns außerdem die eingegebene E-Mail-Adresse zwischen den Schritten der Anmeldung und die Anordnung der Karte auf „Heute“. Analyse-, Werbe- oder Tracking-Cookies setzen wir nicht, und wir binden keine Inhalte Dritter ein, die Sie verfolgen.

16. Ihre Rechte

Sie haben das Recht auf

• Auskunft über Ihre Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) und
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO).

Schreiben Sie uns dazu an maximvlah@ocost.de. Betrifft Ihr Anliegen Daten, die wir im Auftrag eines Kunden verarbeiten, leiten wir es an diesen weiter und unterstützen ihn bei der Antwort.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), etwa bei der Behörde Ihres Wohnorts, Ihres Arbeitsplatzes oder am Sitz von Maxim Vlah (Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen).

17. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich Ocost oder die Rechtslage ändert. Es gilt die Fassung, die hier steht; das Datum oben zeigt die letzte Änderung.