Datenschutzerklärung

Diese Datenschutzerklärung informiert die Nutzer der Webanwendung Penzum gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (DSGVO) sowie des ungarischen Gesetzes CXII/2011 über das Recht auf informationelle Selbstbestimmung und Informationsfreiheit (Infotv.) über die Verarbeitung ihrer personenbezogenen Daten.

Diese Erklärung ist über die Sprachauswahl oben rechts auf Ungarisch, Englisch und Deutsch verfügbar. Im Falle von Auslegungsunterschieden ist der ungarische Text maßgeblich.

1. Verantwortlicher

Der Verantwortliche ist ein Einzelunternehmer. Die Bestellung eines eigenen Datenschutzbeauftragten (DSB) ist nicht verpflichtend und ist nicht erfolgt; bei Fragen zum Datenschutz wenden Sie sich bitte direkt an den Verantwortlichen unter den oben genannten Kontaktdaten.

2. Grundsätze der Verarbeitung

Der Verantwortliche verarbeitet personenbezogene Daten nach folgenden Grundsätzen:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz — die Rechtsgrundlage der Verarbeitung ist in jedem Fall bestimmbar.
• Zweckbindung — Daten werden nur für festgelegte, eindeutige und rechtmäßige Zwecke erhoben.
• Datenminimierung — es werden nur die für den Zweck erforderlichen Daten verarbeitet.
• Richtigkeit — Daten werden aktuell gehalten; Nutzer können ihre eigenen Daten jederzeit ändern.
• Speicherbegrenzung — Daten werden nicht länger als erforderlich gespeichert.
• Integrität und Vertraulichkeit — geeignete technische und organisatorische Maßnahmen schützen die Daten.

3. Verarbeitete personenbezogene Daten und Rechtsgrundlagen

3.1 Für Registrierung und Kontoverwaltung erforderliche Daten

3.2 Finanz- und Steuerdaten (Kernfunktion des Dienstes)

3.3 Besondere Kategorie personenbezogener Daten — Gesundheitsstatus

Penzum ermöglicht die Erfassung eines Status „dauerhaft krank / mit Behinderung lebend”, der nach dem ungarischen Einkommensteuergesetz für die Berechnung der Steuervergünstigung bei schwerer Behinderung erforderlich ist. Diese Angabe stellt eine besondere Kategorie personenbezogener Daten gemäß Art. 9 DSGVO(Gesundheitsdaten) dar.

Wir verarbeiten diese Angabe nur, wenn Sie sie ausdrücklich machen; Sie können sie jederzeit in den Einstellungen löschen. Die Löschung wirkt sich nicht rückwirkend auf bereits berechnete Steuerschätzungen aus.

3.4 Zahlungsdaten

Die Abonnementgebühr wird über den Zahlungsdienstleister Stripe, Inc.eingezogen. Kartendaten (Nummer, CVV, Ablaufdatum) werden ausschließlich von Stripe gespeichert und verarbeitet — sie gelangen niemals in die Systeme des Verantwortlichen. Der Verantwortliche speichert ausschließlich folgende, von Stripe zurückgegebene Daten:

• Stripe Customer ID (Kundenkennung)
• Stripe Subscription ID (Abonnement-Kennung)
• Abonnementstatus und Name des aktuellen Tarifs
• Nächstes Abrechnungsdatum

Rechtsgrundlage für die Verarbeitung der Zahlungsdaten: Vertragserfüllung (DSGVO Art. 6 Abs. 1 lit. b); Speicherdauer: 5 Jahre ab Beendigung des Vertragsverhältnisses.

3.5 Technische Daten und Protokolldaten

Vercel, Inc. und Supabase, Inc., die die Infrastruktur von Penzum betreiben, können im Rahmen der Diensterbringung automatisch folgende technische Daten protokollieren:

• IP-Adresse (Herkunft der Anfrage)
• HTTP-Anfrage-Metadaten (Zeitstempel, Endpunkt, Antwortcode)
• Browser- und Gerätetyp (User-Agent)

Rechtsgrundlage: berechtigtes Interesse (DSGVO Art. 6 Abs. 1 lit. f) — Aufrechterhaltung der Sicherheit und Stabilität des Dienstes sowie Missbrauchsprävention. Protokolle werden höchstens 30 Tage aufbewahrt, sofern nicht die Untersuchung eines Sicherheitsvorfalls eine längere Aufbewahrung erfordert.

3.6 KI-Berater — Datenübermittlung an Anthropic PBC

Die Funktion „KI-Berater” von Penzum nutzt den KI-Dienst Claude von Anthropic PBC (USA). Bei jedem Beratungsgespräch übermittelt das System als Kontext folgende Daten an die Anthropic-API:

• Name, Steuerform, Einzelunternehmer-Typ, Geburtsdatum, Geschlecht
• Sofern erfasst: Status „dauerhaft krank / mit Behinderung lebend” (siehe Abschnitt 3.3 — besondere Datenkategorie)
• Zusammenfassungen von Einnahmen, Ausgaben und Steuerpflichten, Kundennamen sowie die Umsatzkonzentration je Kunde
• Aus früheren Gesprächen durch die KI extrahierte, kurze „dauerhafte Fakten” (z. B. eine geplante Änderung der Steuerform)
• Falls der Nutzer dem Gespräch ein Dokument beifügt (z. B. ein Schreiben der Steuerbehörde): der vollständige Inhalt dieses Dokuments, ausschließlich zur Erstellung der jeweiligen Antwort

Beigefügte Dokumente werden bei Penzum nicht dauerhaft gespeichert — die hochgeladene Datei wird unmittelbar nach Erstellung der Antwort gelöscht. Anthropic bewahrt den kommerziellen API-Verkehr (einschließlich des Inhalts beigefügter Dokumente) standardmäßig höchstens 30 Tage zu Sicherheitszwecken auf und löscht ihn danach automatisch; ausgenommen sind von automatisierten Missbrauchserkennungssystemen markierte Inhalte, die Anthropic nach eigener Richtlinie länger (bis zu 2 Jahre) aufbewahren kann. Anthropic verwendet Ein- und Ausgabedaten ohne ausdrückliche Erlaubnis nicht zum Training seiner Modelle.

Rechtsgrundlage für die EU-US-Datenübermittlung sind die Standardvertragsklauseln der Europäischen Kommission (gemäß Durchführungsbeschluss (EU) 2021/914), die durch den Auftragsverarbeitungsvertrag (Data Processing Addendum) von Anthropic automatisch — ohne gesonderte Unterschrift — Bestandteil jeder kommerziellen API-Kundenbeziehung sind.

Rechtsgrundlage für die Übermittlung personenbezogener Daten an Anthropic: Vertragserfüllung (DSGVO Art. 6 Abs. 1 lit. b) — der KI-Berater ist eine optionale Funktion des Dienstes, die der Nutzer aktiv in Anspruch nimmt. Für die Übermittlung besonderer (Gesundheits-)Daten gilt die in Abschnitt 3.3 beschriebene ausdrückliche Einwilligung. In der mobilen App muss der Nutzer vor dem ersten Öffnen des KI-Beraters eine gesonderte, ausdrückliche Einwilligung zu dieser Datenübermittlung erteilen — ohne diese kann die Funktion in der mobilen App nicht genutzt werden.

3.7 Tägliche Finanztipps — eine weitere KI-Funktion von Anthropic PBC

Auf dem nach der Anmeldung angezeigten Dashboard zeigt Penzum täglich bis zu 7 kurze, personalisierte Finanztipps an, die ebenfalls vom Anthropic-Claude-Modell erstellt werden. Dafür übermittelt das System an die Anthropic-API ausschließlich aggregierte Finanzkennzahlen (Steuerform, Einzelunternehmer-Typ, Einnahmen- und Ausgabensummen des laufenden Jahres, Ausnutzung der Kleinunternehmer-Umsatzsteuerbefreiungsgrenze, geschätzte Steuer- und Abgabenlast, Fälligkeiten/Beträge anstehender Steuerpflichten) — keinen Namen, keine E-Mail-Adresse und keine sonstige direkte Kennung. Die Tipps werden automatisch erzeugt, höchstens einmal täglich pro Anmeldung; diese Funktion kann derzeit nicht einzeln deaktiviert werden, da sie als Kernbestandteil des Dashboards betrachtet wird. Die Aufbewahrungsregeln entsprechen denen in Abschnitt 3.6. Rechtsgrundlage: Vertragserfüllung (DSGVO Art. 6 Abs. 1 lit. b).

4. Auftragsverarbeiter

Der Verantwortliche setzt folgende Auftragsverarbeiter ein. Diese handeln ausschließlich nach Weisung und im Namen des Verantwortlichen:

Jeder der oben genannten Auftragsverarbeiter verfügt für die EU-US-Datenübermittlung entweder über Standardvertragsklauseln (SCCs) oder eine Zertifizierung nach dem EU-US Data Privacy Framework.

5. Weitergabe an Dritte

Der Verantwortliche gibt personenbezogene Daten nicht an Dritte (außer den oben genannten Auftragsverarbeitern) weiter, außer:

• wenn dies gesetzlich vorgeschrieben ist (z. B. behördliche Anfrage),
• wenn die betroffene Person ausdrücklich eingewilligt hat,
• wenn dies zum Schutz berechtigter Interessen des Verantwortlichen erforderlich ist (z. B. zur Geltendmachung von Rechtsansprüchen).

6. Ihre Rechte als betroffene Person

Gemäß Kapitel III der DSGVO stehen Ihnen bezüglich der Verarbeitung Ihrer personenbezogenen Daten folgende Rechte zu. Zur Ausübung Ihrer Rechte schreiben Sie bitte an support@penzum.app — wir antworten innerhalb von 30 Tagen.

6.1 Auskunftsrecht (DSGVO Art. 15)

Sie können Auskunft darüber verlangen, ob wir Ihre personenbezogenen Daten verarbeiten, und gegebenenfalls eine Kopie davon erhalten.

6.2 Recht auf Berichtigung (DSGVO Art. 16)

Sie können die Berichtigung unrichtiger oder unvollständiger personenbezogener Daten verlangen. Die meisten Ihrer Daten können Sie selbst auf der Penzum-Einstellungsseite ändern.

6.3 Recht auf Löschung („Recht auf Vergessenwerden“, DSGVO Art. 17)

Sie können die Löschung Ihrer personenbezogenen Daten verlangen, wenn deren Verarbeitung nicht mehr erforderlich ist, Sie Ihre Einwilligung widerrufen haben oder der Verarbeitung widersprechen und kein rechtmäßiger Grund für die weitere Speicherung besteht. Bitte beachten Sie, dass gesetzlich vorgeschriebene Daten (z. B. Abrechnungsdaten während der gesetzlichen Buchführungsfrist) vor Ablauf dieser Frist nicht gelöscht werden können.

Ihr Konto — und damit der Großteil Ihrer verarbeiteten Daten — kann auf der Penzum-Einstellungsseite gelöscht werden.

6.4 Recht auf Einschränkung der Verarbeitung (DSGVO Art. 18)

Sie können die Einschränkung der Verarbeitung verlangen, z. B. solange Sie die Richtigkeit der Daten bestreiten (bis zur Klärung) oder solange ein Widerspruch gegen die Verarbeitung (siehe 6.6) geprüft wird.

6.5 Recht auf Datenübertragbarkeit (DSGVO Art. 20)

Ihre in Penzum erfassten Daten (Einnahmen, Ausgaben, Daten zur Hauptbeschäftigung) können Sie im Einstellungsmenü in einem maschinenlesbaren Format (CSV/JSON) exportieren. Bei einem Antrag auf Datenübertragbarkeit senden wir Ihnen die Daten auch per E-Mail zu.

6.6 Widerspruchsrecht (DSGVO Art. 21)

Sie können der auf berechtigtem Interesse beruhenden Verarbeitung (z. B. Protokolldaten, Verarbeitung zu Sicherheitszwecken) widersprechen. Der Verantwortliche prüft dann, ob sein berechtigtes Interesse Ihre Interessen überwiegt.

6.7 Widerruf der Einwilligung

Beruht eine Verarbeitung auf einer Einwilligung (z. B. Verarbeitung besonderer Gesundheitsdaten), können Sie diese jederzeit widerrufen — dies berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

7. Datensicherheit

Der Verantwortliche wendet folgende technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten an:

• Verschlüsselung bei der Übertragung: die gesamte Kommunikation erfolgt über HTTPS/TLS.
• Verschlüsselung bei der Speicherung: die Datenbank (Supabase / PostgreSQL) speichert Daten auf verschlüsselten Datenträgern.
• Passwortsicherheit: Passwörter werden als bcrypt-Hash gespeichert; Klartext-Passwörter werden niemals erfasst.
• Zugriffskontrolle: Row-Level-Security-Regeln (RLS) stellen sicher, dass jeder Nutzer ausschließlich auf seine eigenen Daten zugreifen kann.
• Administrativer Zugriff: serverseitige Vorgänge sind nur über einen Service-Role-Schlüssel aus serverseitig ausgeführtem Code erreichbar; der Schlüssel gelangt niemals auf die Client-Seite.
• Zwei-Faktor-Authentifizierung: 2FA ist beim Infrastrukturzugriff des Verantwortlichen aktiviert.

8. Datenschutzverletzungen

Im Falle einer Verletzung des Schutzes personenbezogener Daten (z. B. unbefugter Zugriff, Datenleck) benachrichtigt der Verantwortliche gemäß Art. 33 DSGVO die Aufsichtsbehörde (NAIH) innerhalb von 72 Stunden, sofern die Verletzung ein Risiko für die betroffenen Personen darstellt. Besteht ein hohes Risiko, werden gemäß Art. 34 DSGVO auch die betroffenen Nutzer benachrichtigt.

9. Cookies

Penzum verwendet folgende Arten von Cookies:

Auf seinen öffentlichen, nicht angemeldeten Seiten (Startseite, Blog, Funktionen-/Preisseite, Registrierung, Onboarding) verwendet Penzum Google Analytics 4 zur Reichweitenmessung, ausschließlich mit Ihrer Einwilligung (Consent Mode) — bei Ablehnung im Cookie-Banner erfolgt keine Messung. Im angemeldeten Nutzerbereich (Dashboard und die darunterliegenden Seiten) läuft kein Analyse-Skript; dort findet kein mit Ihren Finanzdaten verbundenes Tracking statt.

10. Recht auf Beschwerde bei einer Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht, bei der zuständigen Aufsichtsbehörde Beschwerde einzulegen:

Bei Ablehnung eines Antrags durch den Verantwortlichen können Sie auch den Rechtsweg beschreiten (nach dem ungarischen Bürgerlichen Gesetzbuch und dem Infotv.).

11. Automatisierte Entscheidungsfindung und Profiling

Penzum trifft keine automatisierten Einzelentscheidungen im Sinne von Art. 22 DSGVO. Steuerschätzungen und Berechnungen dienen ausschließlich Informationszwecken; damit ist keine automatisch verknüpfte Entscheidung mit rechtlicher oder ähnlich bedeutsamer wirtschaftlicher Wirkung verbunden.

12. Änderungen dieser Erklärung

Der Verantwortliche behält sich das Recht vor, diese Erklärung zu ändern. Über wesentliche Änderungen werden Nutzer per E-Mail und/oder durch eine Benachrichtigung innerhalb des Dienstes mindestens 30 Tage vor Inkrafttreten der Änderung informiert. Die weitere Nutzung des Dienstes nach Inkrafttreten der geänderten Erklärung gilt als Zustimmung; ein Nutzer, der die Änderung nicht akzeptiert, ist berechtigt, sein Konto zu löschen.

Die jeweils gültige Fassung dieser Erklärung ist stets unter penzum.app/privacy abrufbar.