Datenschutzerklärung
Stand: 24. September 2026
1. Verantwortlicher
Luis Andrés-Vázquez
Graunstraße 30
13355 Berlin, Deutschland
E-Mail: hello@taxcat.eu
2. Das Wichtigste vorab
Diese Website ist eine statische Informationsseite. Sie verwendet keine Cookies, kein Tracking, keine Analyse-Dienste und bindet keine Inhalte von Drittservern ein (Schriftarten werden selbst gehostet, es werden keine Google Fonts oder CDNs geladen). Es gibt keine Registrierung; das einzige Formular ist das Kontaktformular im Impressum (siehe Abschnitt 4).
3. Hosting und Server-Logfiles
Diese Website wird mit Firebase Hosting von Google bereitgestellt; das Kontaktformular läuft auf Google Cloud Run in europe-west3 (Frankfurt). Dabei werden technisch notwendige Zugriffsdaten wie IP-Adresse, Zeitpunkt, angeforderte URL und User-Agent für Auslieferung und Sicherheit verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb der Website). Informationen zu Google, möglichen internationalen Verarbeitungen und Schutzmaßnahmen stehen in Abschnitt 5.
4. Kontaktformular im Impressum
Das Kontaktformular verarbeitet E-Mail-Adresse, Betreff und Nachricht als Pflichtangaben, eine freiwillige Referenz sowie Sprache und Übermittlungszeit. Bitte senden Sie nur Problembeschreibungen und geschwärzte Beispiele, keine Rechnungen, Belege, Steuerunterlagen, Passwörter oder Zugangsschlüssel. Anhänge werden nicht angenommen.
Die Absendung wird von Google Cloud Run in europe-west3 verarbeitet (siehe Abschnitt 3). Eine TaxCat-Funktion prüft vorher die Anfragelimits. Sie erhält technische Prüfdaten, darunter IP-Adresse und Sprache, weder Absenderadresse noch Referenz oder Nachrichtentext; kurzlebige Zähler verwenden daraus abgeleitete Kennungen. Danach wird die Nachricht über Gmail (Google) an hello@taxcat.eu zugestellt und an das Inhaberpostfach weitergeleitet. Google und gegebenenfalls beteiligte Maildienstleister verarbeiten die Nachricht; globale Verarbeitung einschließlich USA ist möglich. Informationen zu Empfängern und anwendbaren Garantien können Sie unter hello@taxcat.eu anfordern.
Zweck ist die Bearbeitung Ihrer Anfrage und der Schutz vor Missbrauch, nicht Werbung oder Profilbildung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für erforderliche vorvertragliche oder vertragliche Schritte mit Ihnen; ansonsten Art. 6 Abs. 1 lit. f DSGVO für die Beantwortung geschäftlicher Anfragen und verhältnismäßige Missbrauchsprävention. Angaben sind freiwillig; ohne Pflichtfelder kann das Formular nicht verarbeitet werden. Für Anfragen können Sie auch hello@taxcat.eu verwenden; dieselben Inhaltsbeschränkungen gelten. Die Fristen stehen in Abschnitt 6.
5. Die TaxCat-App selbst
Die TaxCat-App ist „local-first": Geschäftsdaten (Rechnungen, Kunden, Ausgaben und Steuerdaten) werden weiterhin in der IndexedDB im Browser auf Ihrem eigenen Gerät vorgehalten, sodass Sie offline weiterarbeiten können. Für die Nutzung von app.taxcat.eu ist seit dem 14. August 2026 ein TaxCat-Konto erforderlich; für Konto und Synchronisierung nutzt TaxCat Firebase Authentication, Cloud Firestore und Cloud Storage for Firebase von Google. Dabei werden Kontodaten (insbesondere E-Mail-Adresse, Benutzer-ID sowie Sicherheitsdaten wie IP-Adresse und User-Agent), synchronisierte Geschäftsdatensätze und von Ihnen hochgeladene Belege verarbeitet. Bei „Mit Google anmelden“ übermittelt Google nach Ihrer Auswahl das grundlegende Kontoprofil an Firebase. Frühere Scanner-API-Schlüssel werden beim Start gelöscht; Berechtigungen für lokale Backup-Ordner bleiben vom Sync ausgeschlossen.
Vertragspartner von TaxCat für Firebase Paid Services und die genutzten Google-Cloud-Dienste (einschließlich Cloud Run und Vertex AI) ist Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland. Google verarbeitet Kundendaten nach den Firebase Data Processing and Security Terms grundsätzlich als Auftragsverarbeiter. Firestore ist für TaxCat in der EU-Multiregion eur3 eingerichtet; Dateien liegen regional in europe-west3 (Frankfurt). Firebase Authentication wird laut Firebase ausschließlich in US-Rechenzentren betrieben. Auch Support und Dienste ohne feste Standortzusage können außerhalb des EWR verarbeitet werden. Google sieht hierfür unter anderem die anwendbaren EU-Standardvertragsklauseln und, soweit einschlägig, das EU-US Data Privacy Framework vor.
Die App unter app.taxcat.eu wird über Firebase Hosting bereitgestellt; ihre API läuft auf Google Cloud Run in europe-west3. Sie speichert für Anmeldung, Geräteeinstellungen und Offline-Arbeit notwendige Sitzungsdaten und lokale Kopien im Browser. Diese technisch erforderliche Speicherung dient dem ausdrücklich angeforderten Dienst (§ 25 Abs. 2 Nr. 2 TDDDG); sie ist kein Marketing-Tracking. Erstanmeldung und bestimmte Funktionen erfordern eine Verbindung. Es werden keine Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ausschließlich automatisiert nach Art. 22 DSGVO getroffen.
TaxCat ist für eigene Konto-, Vertrags-, Support- und Sicherheitszwecke Verantwortlicher. Erforderliche Vertragsverarbeitung mit Ihnen beruht auf Art. 6 Abs. 1 lit. b DSGVO; die Betreuung von Ansprechpartnern eines Unternehmenskunden und verhältnismäßige Sicherheit auf Art. 6 Abs. 1 lit. f DSGVO. Gesetzliche Pflichten stützen sich auf Art. 6 Abs. 1 lit. c DSGVO, soweit tatsächlich einschlägig. Für personenbezogene Geschäftsinhalte, die Sie als Verantwortlicher hochladen, bestimmt Ihr Unternehmen die Rechtsgrundlage; TaxCat handelt insoweit nach Ihren Weisungen. Art. 6 Abs. 1 lit. b ist keine pauschale Grundlage für Daten Ihrer Kunden.
TaxCat hat diesen Vertragspartner am 22. September 2026 anhand des direkten, mit dem TaxCat-Projekt verknüpften Google-Cloud-Abrechnungskontos, eines von Google ausgestellten Kontoauszugs und der Vertragspartnertabelle von Google bestätigt; weder ein Reseller noch eine abweichende Individualvereinbarung wurde festgestellt. Es gelten die bei Einrichtung des Kontos online akzeptierten Google-Bedingungen einschließlich der Datenverarbeitungsbedingungen; für Übermittlungen außerhalb des EWR sieht Google die oben genannten Garantien vor. Informationen und verfügbare Schutzgarantien können über hello@taxcat.eu angefragt werden; eine ausschließlich europäische Verarbeitung wird nicht zugesagt.
Soweit synchronisierte Geschäftsdaten personenbezogene Daten Dritter enthalten, für die Sie Verantwortlicher sind, verarbeitet TaxCat diese Daten ausschließlich auf Ihre Weisung als Auftragsverarbeiter; Google ist insoweit Unterauftragsverarbeiter. Die Kunden-AVV nach Art. 28 DSGVO wird zusammen mit den B2B-Bedingungen vor neuen Uploads solcher Daten ausdrücklich angenommen. Ohne Annahme sollen keine neuen personenbezogenen Geschäftsdaten Dritter hochgeladen werden; bestehende Daten bleiben zugänglich, exportierbar und löschbar.
Optionaler Rechnungsversand über ein verbundenes Google-Postfach
Die Google-Anmeldung am TaxCat-Konto und die Verbindung eines Google-Postfachs sind zwei getrennte Vorgänge. Nur wenn Sie im Rechnungsdialog ausdrücklich „Google-Postfach verbinden“ wählen, bittet TaxCat zusätzlich um die eng begrenzte Google-Berechtigung gmail.send. Diese erlaubt ausschließlich das Versenden von Nachrichten in Ihrem Namen. TaxCat fordert keinen Zugriff zum Lesen, Ändern oder Löschen Ihres Postfachs, auf Entwürfe, Kontakte, Kalender oder Drive an.
Beim Versand übermittelt Ihr Browser die Absenderadresse, Empfängeradresse, den von Ihnen bearbeiteten Betreff und Nachrichtentext sowie die ausgewählte Rechnung als PDF unmittelbar an die Gmail API. Google verarbeitet die Nachricht und den Anhang, stellt sie zu und verwaltet gesendete Nachrichten sowie Unzustellbarkeitsmeldungen nach den Einstellungen Ihres Google-Kontos. Zur einmaligen Prüfung, welches Postfach verbunden wurde, leitet eine TaxCat-Serverfunktion den kurzlebigen Zugriffstoken an den Google-UserInfo-Dienst weiter und erhält die bestätigte E-Mail-Adresse und eine nicht sprechende Google-Konto-ID. Die Serverfunktion protokolliert oder speichert weder Token noch Nachricht, Empfänger oder PDF. Der Zugriffstoken bleibt nur im Arbeitsspeicher des geöffneten Tabs und wird durch „Postfach trennen“, Neuladen oder Schließen des Tabs aus TaxCat entfernt.
TaxCat speichert in Firestore lediglich einen technischen Versandbeleg mit Rechnungs-ID, Anbieter, nicht sprechender Anbieter-Konto-ID, Zeitstempel, Ergebnis, einer Prüfsumme des Anhangs und gegebenenfalls einem begrenzten Fehlercode. Empfänger, Absender, Betreff, Nachrichtentext, PDF/MIME-Inhalt, Zugriffstoken und rohe Google-Antworten werden dort nicht gespeichert. Diese Versandbelege sind im Kontoexport nur in redigierter Form enthalten und werden bei der Löschung des TaxCat-Kontos gelöscht. Die Google-Berechtigung können Sie jederzeit zusätzlich in den Einstellungen für Drittanbieterzugriff Ihres Google-Kontos widerrufen.
Empfänger und Weitergabe von Google-Nutzerdaten: TaxCat übermittelt oder legt diese Daten ausschließlich gegenüber den folgenden Empfängern offen: (1) Google für die TaxCat-Serverfunktion in Cloud Run (europe-west3), UserInfo, Gmail API, die Zustellung der E-Mail und den technischen Versandbeleg in Cloud Firestore; und (2) den von Ihnen ausgewählten E-Mail-Empfängern sowie deren E-Mail-Anbietern, soweit dies zur Zustellung der von Ihnen ausdrücklich versandten Nachricht und Rechnung erforderlich ist. TaxCat teilt, überträgt oder legt Google-Nutzerdaten keinen anderen Dritten gegenüber offen, außer wenn dies gesetzlich vorgeschrieben oder zur Untersuchung von Sicherheitsvorfällen oder Missbrauch erforderlich ist.
Die Nutzung und Übertragung von Informationen, die TaxCat über Google APIs erhält, erfolgt gemäß der Google API Services User Data Policy einschließlich der Anforderungen zur Limited Use. Diese Daten werden ausschließlich für die sichtbare, vom Nutzer ausgelöste Rechnungsversandfunktion verwendet, nicht für Werbung, Profilbildung, Verkauf, Kreditwürdigkeitsentscheidungen oder das Training allgemeiner KI- oder Machine-Learning-Modelle.
Der Versand erfolgt auf Ihre ausdrückliche Anweisung zur Erfüllung der von Ihnen angeforderten App-Funktion (Art. 6 Abs. 1 lit. b DSGVO); soweit die Rechnung Daten Ihrer Kunden enthält, bleiben Sie für Inhalt, Empfänger und Rechtsgrundlage des Versands verantwortlich.
Der von TaxCat verwaltete Dokumentenscanner ist nur für eine geschlossene Testgruppe freigeschaltet. TaxCat übermittelt nur die von Ihnen nach einem vorgeschalteten Hinweis zum Scannen ausgewählten Rechnungen und Belege an Google Cloud Vertex AI (gemini-3.1-flash-lite, EU-Multiregion). Zweck ist ausschließlich, Buchhaltungsfelder wie Beteiligte, Datum, Betrag, Umsatzsteuer und Positionen zu extrahieren. Das Ergebnis ist ein Entwurf, den Sie vor der Übernahme prüfen müssen. TaxCat aktiviert dabei kein Grounding, keine Anbieterdateien und keinen Kontext-Cache; ein eigener API-Schlüssel oder frei wählbarer KI-Anbieter wird nicht angeboten. Sie können den Scanner abschalten und stattdessen die manuelle Eingabe oder die lokale PDF-Texterkennung nutzen.
Die Anfrage passiert zuerst die TaxCat-Serverfunktion in Google Cloud Run in europe-west3 (Frankfurt) und anschließend Vertex AI in der EU-Multiregion. Google erklärt, Kundendaten nicht ohne vorherige Erlaubnis oder Anweisung zum Trainieren oder Feinabstimmen von KI-/ML-Modellen zu verwenden. Für TaxCats Google-Cloud-Projekt hat Google am 22. September 2026 die Ausnahme von der Protokollierung von Prompts zur Missbrauchserkennung genehmigt. Der Scanner bleibt dennoch auf die geschlossene Testgruppe beschränkt; eine allgemeine Freigabe ist eine gesonderte Entscheidung. Für personenbezogene Daten Dritter bleibt regelmäßig Ihr Unternehmen Verantwortlicher, TaxCat Auftragsverarbeiter und Google Unterauftragsverarbeiter.
Die geschlossene Scanner-Beta ist auf ausdrücklich freigeschaltete Konten beschränkt. Nach Annahme der Kunden-AVV können berechtigte Geschäftskunden auch echte Rechnungen und Belege mit personenbezogenen Daten Dritter im vereinbarten Umfang auswählen. Die genehmigte Ausnahme betrifft die Prompt-Protokollierung zur Missbrauchserkennung; für andere, von Google gesondert dokumentierte Prüfungen wird keine Aufbewahrung von null Tagen zugesagt. Die Nutzung ist optional; manuelle Erfassung benötigt keine Übermittlung an Vertex AI.
6. Speicherdauer, Export und Löschung
Synchronisierte Geschäftsdaten bleiben während des Kontos gespeichert, bis eine zulässige Löschung oder der vollständige Kontoabschluss erfolgt. Ausgestellte Rechnungen sind gegen einzelne nachträgliche Löschung im normalen Editor geschützt. Der vollständige Abschluss erstellt und überprüft zunächst einen Export, zeigt einen Aufbewahrungshinweis und löscht anschließend auch ausgestellte Rechnungen, Anhänge und den Auth-Benutzer. Ihre eigenen steuerlichen Aufbewahrungspflichten erfüllen Sie mit gesicherten Exporten; TaxCat hält die Inhalte dafür nicht nach Vertragsende vor. Eine gesonderte Cloud-Sicherung oder historische Wiederherstellung ist nicht zugesagt.
Ein minimaler serverseitiger Abschlussnachweis bleibt getrennt erhalten: Konto-/Vorgangskennung, Zeitpunkte, Exportprüfsumme und aggregierte Löschzahlen, keine Rechnungsinhalte. Er kann weiterhin personenbezogen sein. TaxCat verarbeitet ihn als Verantwortlicher zum Nachweis des Abschlusses und zur Abwehr unberechtigter Wiederholungen oder Ansprüche auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Die eingestellte Frist endet am 1. Januar des vierten Jahres nach Abschluss (Abschluss 2026: 1. Januar 2030). Danach veranlasst Firestore TTL die Löschung; dies garantiert keine sekundengenaue physische Entfernung. Erforderlichkeit und berechtigte Einwände gegen diese Aufbewahrung werden im Einzelfall geprüft.
Auch die geschäftliche Annahme der B2B-Bedingungen und AVV wird als eigener Nachweis gespeichert: Kennung und E-Mail-Adresse des authentifizierten TaxCat-Kontos, Zeitpunkt, Erklärung zur geschäftlichen Nutzung, Sprachwahl sowie Versions- und Prüfsummen der Texte. Name, Geschäftsanschrift und gesonderte Kontaktadresse werden hierfür nicht abgefragt. Der Nachweis enthält keine Rechnungsinhalte. Nach Kontoschluss gilt für ihn dieselbe Ablaufregel wie für den Abschlussnachweis; während eines aktiven Vertrags ist er für den Nachweis der vereinbarten Bedingungen erforderlich.
Bei Abmeldung oder Kontoabschluss entfernt TaxCat die lokalen App-Kopien dieses Browsers: Firestore-Cache, Dateicache, Geräteeinstellungen und kontobezogene Oberflächeneinstellungen. Eine fehlgeschlagene Bereinigung wird vor dem nächsten Arbeitsstart erneut versucht. Ein länger offline gebliebenes Gerät kann erst bei seiner Rückkehr reagieren. Selbst heruntergeladene Exporte und lokale Backupdateien werden nicht aus der Ferne gelöscht.
Supportinhalte werden gelöscht, sobald ihre Bearbeitung abgeschlossen ist und kein konkreter Aufbewahrungsgrund besteht; gesonderte Support-Arbeitskopien spätestens sieben Tage nach Fallabschluss. Nur für Vertragsansprüche erforderliche, minimierte Korrespondenz wird grundsätzlich bis zum Ende des dritten Kalenderjahres nach Abschluss aufbewahrt. Ein offener Streit oder eine konkrete gesetzliche Pflicht kann eine längere Aufbewahrung erforderlicher Teile rechtfertigen. Die Zielvorgabe für gewöhnliche, nicht sicherheitsrelevante technische Logs beträgt höchstens 30 Tage; sie ist keine bestätigte Höchstfrist sämtlicher Provider- und Mailprotokolle. Sicherheitsnachweise erhalten eine am Fall orientierte Löschfrist. Für künftige eigene Rechnungen von TaxCat gilt bei Anwendbarkeit § 14b UStG grundsätzlich eine achtjährige Frist ab Jahresende; derzeit ist kein Endkunden-Billing aktiv.
Firebase nennt für Authentifizierungs-IP-Protokolle einige Wochen und für die Entfernung übriger Auth-Daten aus aktiven und Sicherungssystemen nach Kontolöschung bis zu 180 Tage. Die Firebase-Verarbeitungsbedingungen sehen für angewiesene Löschungen ebenfalls bis zu 180 Tage vor, vorbehaltlich gesetzlich erforderlicher Speicherung. Bei Ende des Providervertrags zwischen TaxCat und Google kann eine Wiederherstellungsphase von bis zu 30 Tagen vor der anschließenden Löschfrist liegen. Diese Restfristen sind keine aktive weitere Nutzung Ihrer Geschäftsunterlagen durch TaxCat.
7. Ihre Rechte
Sie haben gegenüber dem Verantwortlichen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit.
Schreiben Sie für Datenschutzanfragen an hello@taxcat.eu, zunächst ohne vertrauliche Anhänge; die Identität wird verhältnismäßig geprüft und nötigenfalls ein sicherer Weg abgestimmt. Dies gilt auch ohne Kontozugang oder wenn Sie Löschung ohne vorherigen Download wünschen. Für Geschäftsdaten eines TaxCat-Kunden leiten wir die Anfrage an den zuständigen Verantwortlichen weiter und unterstützen ihn. Für eigene Verarbeitungen antwortet TaxCat grundsätzlich innerhalb eines Monats; zulässige Verlängerungen werden begründet mitgeteilt. Soweit eine Verarbeitung auf Einwilligung beruht, ist diese für die Zukunft widerrufbar. Vertragsannahme und Datenschutzinformation sind kein allgemeines Einwilligungsverlangen.
8. Änderungen und Anbieterlisten
Die jeweils aktuellen Unterauftragsverarbeiter von Firebase und Google Cloud sind unter firebase.google.com/terms/subprocessors und cloud.google.com/terms/subprocessors veröffentlicht. Vor Einführung von Endkunden-Billing, Analytics, weiteren Firebase-Produkten oder einer anderen KI-Route wird diese Erklärung um den jeweiligen Anbieter, Zweck, Datentransfer und die Speicherdauer ergänzt.