Falkoro

Datenschutzerklärung

Datenschutzerklaerung fuer Falkoro

Falkoro — Template v0.1
Stand: 21.07.2026
Status: Arbeitsentwurf fuer Pilotphase, nicht anwaltlich geprueft

Wichtiger Hinweis: Diese Datenschutzerklaerung ist eine Vorlage. Vor Veroeffentlichung muessen Anbieteradresse, eingesetzte Dienste, echte Speicherfristen, Cookie-/Analytics-Setup, DPA/SCC/DPF-Status und Kundenland final geprueft werden.

Wann brauche ich das?

Diese Datenschutzerklaerung wird im Footer, im Onboarding und in den Account-Einstellungen verlinkt. Sie informiert Nutzer, Kunden und betroffene Dritte ueber die Verarbeitung personenbezogener Daten durch Falkoro. Sie deckt Website, App, Support, Zahlungsabwicklung, KI-Funktionen und kundenaktivierte Integrationen ab.

Inhaltsverzeichnis

  1. Verantwortlicher
  2. Datenschutzkontakt und Datenschutzbeauftragter
  3. Grundsaetze der Verarbeitung
  4. Nutzung der Website
  5. Nutzung der Falkoro-App
  6. Kundenkonto, Authentifizierung und Rollen
  7. Rechnungen, Belege, Kontakte und Projekte
  8. E-Mail-Onboarding-Scan und Gmail/Google Workspace OAuth
  9. KI-Verarbeitung durch Claude/Anthropic
  10. Zahlungsabwicklung und Abrechnung
  11. Support, Kommunikation und Fehleranalyse
  12. Cookies, lokale Speichertechnologien und Tracking
  13. Unterauftragnehmer und Drittdienste
  14. Drittlanduebermittlungen
  15. Speicherdauer und Loeschung
  16. Betroffenenrechte
  17. Automatisierte Entscheidungen
  18. Sicherheit
  19. Beschwerderecht bei Aufsichtsbehoerden
  20. Aenderungen dieser Datenschutzerklaerung
  21. Anpassungs-Checkliste
  22. Quellen

1. Verantwortlicher

Verantwortlich fuer die Verarbeitung personenbezogener Daten ist:

Kienappel.IT (Kienappel IT-Dienstleistungen)
Meixnerstraße 6, 4060 Leonding, Österreich
E-Mail: kontakt@falkoro.de
Telefon: +49 178 1984330
Website: https://falkoro.de
Steuernummer: 46 555/3394

Vertreten durch: Mario Kienappel (Inhaber)

Falls Falkoro ueber eine andere Entitaet betrieben wird, z. B. eine deutsche GmbH, oesterreichische Einzelunternehmung oder estnische OUe, muessen diese Angaben entsprechend ersetzt werden.

2. Datenschutzkontakt und Datenschutzbeauftragter

Du erreichst uns in Datenschutzfragen unter:

datenschutz@falkoro.de

Ein Datenschutzbeauftragter ist derzeit nicht benannt, sofern keine gesetzliche Pflicht besteht. In Deutschland kann eine Pflicht insbesondere nach Art. 37 DSGVO oder § 38 BDSG entstehen, zum Beispiel wenn in der Regel mindestens 20 Personen staendig mit der automatisierten Verarbeitung personenbezogener Daten beschaeftigt sind oder wenn Art, Umfang oder Zweck der Verarbeitung eine Benennung erfordern. In Oesterreich gilt im Wesentlichen Art. 37 DSGVO; eine starre nationale 20-Personen-Schwelle wie in Deutschland besteht dort nicht.

Pilot-Empfehlung: Solange Falkoro klein bleibt, keine besonderen Kategorien personenbezogener Daten grossflaechig verarbeitet und keine systematische Ueberwachung im grossen Umfang betreibt, ist ein Pflicht-DSB voraussichtlich nicht zwingend. Diese Einschaetzung muss bei Wachstum, neuen Modulen oder sensibleren Daten erneut geprueft werden.

3. Grundsaetze der Verarbeitung

Wir verarbeiten personenbezogene Daten nach den Grundsaetzen der DSGVO:

  • Rechtmaessigkeit, Transparenz und Fairness;
  • Zweckbindung;
  • Datenminimierung;
  • Richtigkeit;
  • Speicherbegrenzung;
  • Integritaet und Vertraulichkeit;
  • Rechenschaftspflicht.

Je nach Verarbeitung stuetzen wir uns insbesondere auf folgende Rechtsgrundlagen:

Rechtsgrundlage Bedeutung fuer Falkoro
Art. 6 Abs. 1 lit. b DSGVO Vertragserfuellung und vorvertragliche Massnahmen, z. B. Account, App-Nutzung, Abrechnung
Art. 6 Abs. 1 lit. c DSGVO Gesetzliche Pflichten, z. B. steuerliche Aufbewahrung, Buchhaltungsnachweise
Art. 6 Abs. 1 lit. f DSGVO Berechtigte Interessen, z. B. Sicherheit, Missbrauchsschutz, Audit-Logs, Support, Fehleranalyse
Art. 6 Abs. 1 lit. a DSGVO Einwilligung, z. B. Newsletter, nicht notwendige Cookies, optionale Integrationen soweit erforderlich
Art. 28 DSGVO Auftragsverarbeitung gegenueber B2B-Kunden, wenn Falkoro Daten im Auftrag verarbeitet

4. Nutzung der Website

Beim Besuch der Website koennen technisch erforderliche Daten verarbeitet werden:

  • IP-Adresse;
  • Datum und Uhrzeit des Zugriffs;
  • aufgerufene Seiten;
  • Browser- und Geraeteinformationen;
  • Referrer-URL;
  • technische Logdaten;
  • Cookie-/Session-Informationen, soweit erforderlich.

Zwecke: Auslieferung der Website, IT-Sicherheit, Fehleranalyse, Missbrauchsschutz und technische Stabilitaet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und funktionsfaehigen Betrieb der Website.

Falls Newsletter, Kontaktformulare, Web-Analytics, Chat-Tools oder Marketing-Tags eingesetzt werden, muessen diese hier ergaenzt werden.

5. Nutzung der Falkoro-App

Wenn du die Falkoro-App nutzt, verarbeiten wir Daten, die fuer Betrieb, Sicherheit und Vertragserfuellung erforderlich sind:

  • Accountdaten: Name, E-Mail, Firma, Rolle, Berechtigungen;
  • Vertrags- und Tarifdaten;
  • technische Nutzungsdaten, z. B. Login-Zeitpunkte, Session-Status, IP-Adresse, Device-/Browserdaten;
  • App-Inhalte, die du oder dein Unternehmen in Falkoro eingeben oder hochladen;
  • Protokoll- und Audit-Daten.

Zwecke: Bereitstellung der App, Zugriffsschutz, Mandantentrennung, Support, Produktverbesserung, Nachvollziehbarkeit fachlicher Aktionen und Erfuellung vertraglicher Pflichten.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b, lit. f und, soweit gesetzliche Pflichten betroffen sind, lit. c DSGVO.

6. Kundenkonto, Authentifizierung und Rollen

Falkoro nutzt einen externen Authentifizierungsdienst, derzeit Clerk, fuer Login, Session-Management und Nutzerverwaltung.

Verarbeitet werden koennen:

  • Name und E-Mail-Adresse;
  • Login-Metadaten;
  • Session- und Token-Informationen;
  • Rollen und Berechtigungen;
  • Sicherheitsereignisse.

Zwecke: Sicherer Login, Zugriffsschutz, Verwaltung von Nutzerrollen und Schutz vor unberechtigtem Zugriff.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO fuer die Nutzung des Accounts und Art. 6 Abs. 1 lit. f DSGVO fuer Sicherheit und Missbrauchsschutz.

Drittlandhinweis: Clerk ist ein US-Anbieter. Nach aktueller Recherche verweist Clerk oeffentlich auf EU-US Data Privacy Framework und DPA/SCC-Regelungen. Der konkrete Status muss vor Produktivstart im Vendor-Register dokumentiert werden.

7. Rechnungen, Belege, Kontakte und Projekte

Falkoro verarbeitet Daten, die Kunden in der App erfassen oder hochladen:

  • Kunden- und Lieferantendaten;
  • Namen, Firmen, Anschriften, E-Mail-Adressen, USt-IdNr.;
  • Rechnungsnummern, Leistungsbeschreibungen, Positionen, Betraege, Steuerangaben, Zahlungsfristen;
  • PDFs, Bilder und andere Belege;
  • Projekt- und Notizdaten;
  • Mahnstatus und Zahlungsinformationen, soweit genutzt.

Zwecke: Rechnungserstellung, Belegverwaltung, Vorbereitung von Buchhaltungsprozessen, Mahnwesen, Kontakt- und Projektverwaltung, Export und Nachvollziehbarkeit.

Rechtsgrundlagen: Gegenueber direkten Falkoro-Kunden Art. 6 Abs. 1 lit. b, lit. c und lit. f DSGVO. Soweit Falkoro diese Daten fuer B2B-Kunden verarbeitet, handelt Falkoro regelmaessig als Auftragsverarbeiter nach Art. 28 DSGVO; der Kunde bleibt Verantwortlicher fuer die Rechtmaessigkeit der Erfassung und Nutzung dieser Daten.

8. E-Mail-Onboarding-Scan und Gmail/Google Workspace OAuth

Wenn der Kunde die Gmail-/Google-Workspace-Verbindung aktiviert, kann Falkoro auf freigegebene E-Mail-Daten zugreifen, um relevante Rechnungen, Belege, Kontakte und Onboarding-Informationen zu erkennen.

Verarbeitet werden koennen:

  • E-Mail-Metadaten wie Absender, Empfaenger, Betreff, Datum;
  • Textauszuege aus E-Mails;
  • Anhaenge wie PDF-Rechnungen oder Belegbilder;
  • technische OAuth-Token und Verbindungsstatus;
  • Analyseergebnisse und erkannte Datensaetze.

Zwecke: Beschleunigung des Onboardings, Erkennung relevanter Rechnungs- und Belegdaten, Vorbereitung der App-Einrichtung.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO fuer die gewuenschte Dienstleistung, Art. 6 Abs. 1 lit. f DSGVO fuer technische Sicherheit und Protokollierung. Falls fuer bestimmte Postfachinhalte eine Einwilligung erforderlich ist, ist der Kunde fuer deren Einholung verantwortlich.

Wichtig: Der Kunde darf nur Postfaecher verbinden, fuer die er berechtigt ist und fuer deren Inhalte er eine passende Rechtsgrundlage hat. Falkoro scannt nur im Rahmen der erteilten OAuth-Berechtigungen und der produktseitigen Konfiguration.

9. KI-Verarbeitung durch Claude/Anthropic

Falkoro nutzt KI-Funktionen, um Belege, E-Mails und Rechnungsinformationen zu strukturieren. Dabei koennen Inhalte an den KI-Anbieter Anthropic uebermittelt werden.

Verarbeitet werden koennen:

  • Textauszuege aus Rechnungen, Belegen und E-Mails;
  • relevante Metadaten;
  • Prompts und technische Kontextdaten;
  • KI-Antworten, erkannte Felder, Klassifizierungen und Vorschlaege.

Zwecke: OCR-nahe Extraktion, Klassifizierung, Datenvorbefuellung, Beleg-/E-Mail-Analyse und Produktivitaetsfunktionen.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO fuer die Bereitstellung der beauftragten App-Funktionen; Art. 6 Abs. 1 lit. f DSGVO fuer technische Verbesserung, Sicherheit und Fehleranalyse, soweit anwendbar.

Drittlandhinweis: Anthropic ist ein US-Anbieter. In der Pilot-Dokumentation sollte konservativ mit EU-Standardvertragsklauseln und zusaetzlicher Transparenz gearbeitet werden, solange kein belastbarer aktueller DPF-Nachweis fuer die konkrete Verarbeitung dokumentiert ist.

Keine automatisierte Entscheidung: Die KI extrahiert und schlaegt Daten vor. Rechtlich oder wirtschaftlich relevante Entscheidungen, z. B. Rechnung freigeben, Mahnung versenden oder Daten exportieren, trifft der Nutzer.

10. Zahlungsabwicklung und Abrechnung

Fuer Subscription-Billing und Zahlungen kann Falkoro Stripe einsetzen.

Verarbeitet werden koennen:

  • Name, Firma, Rechnungsadresse;
  • E-Mail-Adresse;
  • Zahlungsstatus;
  • Zahlungsmetadaten;
  • Rechnungs- und Vertragsdaten;
  • steuerlich erforderliche Angaben.

Zwecke: Zahlungsabwicklung, Abrechnung, Buchhaltung, Betrugspraevention und steuerliche Pflichten.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und lit. c DSGVO; fuer Betrugspraevention und Sicherheit Art. 6 Abs. 1 lit. f DSGVO.

Stripe kann als Zahlungsdienstleister eigene Verantwortlichkeiten haben. Details ergeben sich aus den Stripe-Datenschutz- und Vertragsunterlagen.

11. Support, Kommunikation und Fehleranalyse

Wenn du uns kontaktierst oder Support nutzt, verarbeiten wir:

  • Name, Firma, E-Mail-Adresse, Telefonnummer;
  • Inhalt deiner Anfrage;
  • Screenshots, Fehlerberichte und technische Diagnosedaten;
  • Kommunikationshistorie;
  • Vertrags- und Accountbezug.

Zwecke: Beantwortung von Anfragen, Fehleranalyse, Produktunterstuetzung, Nachweis und Verbesserung der Servicequalitaet.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen und Art. 6 Abs. 1 lit. f DSGVO fuer effizienten Support, Dokumentation und IT-Sicherheit.

12. Cookies, lokale Speichertechnologien und Tracking

Falkoro verwendet in der App derzeit nur technisch notwendige Cookies und vergleichbare Speichertechnologien, soweit diese fuer Login, Session, Sicherheit und App-Funktion erforderlich sind.

Beispiele:

  • Auth-/Session-Cookies;
  • CSRF-/Security-Cookies;
  • technisch notwendige lokale Speicherwerte fuer App-Funktion und Sicherheit.

Rechtsgrundlage fuer Zugriff auf Endgeraete: In Deutschland ist § 25 TDDDG relevant. Fuer unbedingt erforderliche Cookies ist in der Regel keine Einwilligung erforderlich. Fuer nicht notwendige Cookies, Marketing-Tags, Session-Replay, externe Analytics oder vergleichbare Technologien ist regelmaessig eine Einwilligung erforderlich.

Pilot-Entscheidung: Solange keine Marketing-Cookies, kein Session-Replay und kein nicht notwendiges Analytics eingebaut sind, ist ein Cookie-Banner fuer die App voraussichtlich nicht erforderlich. Sobald Cloudflare Web Analytics, Plausible, Google Analytics, Meta Pixel, LinkedIn Insight Tag oder aehnliche Dienste eingebaut werden, muss das Cookie-/Consent-Konzept neu geprueft werden.

13. Unterauftragnehmer und Drittdienste

Falkoro setzt zur Bereitstellung der App technische Dienstleister ein. Die aktuelle Liste wird in einer Subprozessor-Seite oder im AVV gepflegt.

Anbieter Zweck Sitz / Region Hinweis
Vercel Hosting, Deployment, Serverless/Edge USA; Region Frankfurt soweit konfiguriert EU-only nur zusagen, wenn technisch belegt
Supabase Datenbank, Postgres, RLS, Vault USA-Anbieter; Projektregion Frankfurt/AWS eu-central-1 Region im Projekt dokumentieren
Clerk Authentifizierung USA DPF laut Anbieterangaben, SCCs als Fallback
Cloudflare R2 Datei-/Objektspeicher Global/auto-region, falls nicht anders konfiguriert Keine EU-only-Zusage ohne Jurisdictional Restrictions
Anthropic KI-Verarbeitung via Claude USA Konservativ: SCCs; DPF nur bei aktuellem Nachweis
Inngest Async-Queue/Workflows USA SCC/Transferstatus vor Produktivstart dokumentieren
Stripe Zahlungsabwicklung Irland/EU plus Stripe-Gruppe DPA und Service Provider List pruefen
Google Workspace/Gmail Kundenaktivierte OAuth-Integration EU/USA je nach Google-Dienst Rolle separat pruefen
Lexoffice Optionaler Buchhaltungsexport Deutschland Kundenaktivierte Integration

14. Drittlanduebermittlungen

Bei einzelnen Dienstleistern kann eine Verarbeitung in Laendern ausserhalb der EU/des EWR stattfinden, insbesondere in den USA.

Drittlandtransfers erfolgen nur, soweit eine geeignete Grundlage vorliegt, insbesondere:

  • Angemessenheitsbeschluss der EU-Kommission;
  • EU-US Data Privacy Framework, soweit der konkrete Anbieter wirksam zertifiziert ist;
  • EU-Standardvertragsklauseln;
  • zusaetzliche technische und organisatorische Schutzmassnahmen.

Falkoro dokumentiert den aktuellen Transferstatus im Vendor-Register. Aufgrund moeglicher Aenderungen bei DPF, Anbieterzertifizierungen und Rechtsprechung sollte dieser Status mindestens alle 6 Monate geprueft werden.

15. Speicherdauer und Loeschung

Wir speichern personenbezogene Daten nur so lange, wie es fuer den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Datenkategorie Regelfrist / Arbeitswert Hinweis
Account- und Vertragsdaten Vertragsdauer plus Nachweis-/Verjaehrungsfristen Ggf. 6 Jahre fuer Geschaeftsbriefe/vertragsrelevante Unterlagen
Rechnungen und steuerlich relevante Belege DE je nach Dokumenttyp 6, 8 oder 10 Jahre Nicht pauschal fuer alle Daten gleich; aktuelle AO/HGB/BMF-Lage pruefen
Rechnungen und steuerlich relevante Belege AT regelmaessig 7 Jahre, Sonderfaelle laenger BAO und Spezialfaelle pruefen, z. B. Grundstuecke/OSS
Onboarding-Scan-Cache 90 Tage Nur soweit nicht in produktive Datensaetze uebernommen
technische Logs 30 Tage Laenger bei Sicherheitsvorfaellen oder Nachweiszwecken
Audit-Logs zweckabhaengig, ggf. laenger GoBD-/Nachweiszwecke beachten
Supportanfragen Abschluss plus Nachweisfrist Loeschung/Anonymisierung nach Zweckfortfall
Backups Backup-Zyklus Einzelne Inhalte koennen ggf. erst mit Backup-Ueberschreibung geloescht werden

Wenn Daten gesetzlichen Aufbewahrungspflichten unterliegen, werden sie nicht fuer andere Zwecke genutzt und nach Ablauf der Frist geloescht oder anonymisiert.

16. Betroffenenrechte

Betroffene Personen haben nach Massgabe der DSGVO insbesondere folgende Rechte:

  • Auskunft nach Art. 15 DSGVO;
  • Berichtigung nach Art. 16 DSGVO;
  • Loeschung nach Art. 17 DSGVO;
  • Einschraenkung der Verarbeitung nach Art. 18 DSGVO;
  • Datenuebertragbarkeit nach Art. 20 DSGVO;
  • Widerspruch nach Art. 21 DSGVO;
  • Widerruf einer Einwilligung mit Wirkung fuer die Zukunft.

Anfragen koennen an datenschutz@falkoro.de gerichtet werden.

Wenn Falkoro Daten im Auftrag eines B2B-Kunden verarbeitet, leiten wir Betroffenenanfragen grundsaetzlich an den verantwortlichen Kunden weiter oder bearbeiten sie nach dessen Weisung.

17. Automatisierte Entscheidungen

Falkoro trifft keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die gegenueber betroffenen Personen rechtliche Wirkung entfalten oder sie in aehnlicher Weise erheblich beeintraechtigen.

KI-Funktionen liefern Vorschlaege, Extraktionen, Klassifizierungen oder Vorbefuellungen. Nutzer pruefen und bestaetigen Ergebnisse selbst.

18. Sicherheit

Wir setzen technische und organisatorische Massnahmen ein, um personenbezogene Daten zu schuetzen. Dazu gehoeren insbesondere:

  • Transportverschluesselung per HTTPS/TLS;
  • Zugriffsschutz und Authentifizierung;
  • rollenbasierte Berechtigungen;
  • Mandantentrennung;
  • Row Level Security in PostgreSQL, soweit technisch umgesetzt;
  • Secret-Management fuer API-Schluessel und OAuth-Tokens;
  • Backups und Wiederherstellungsprozesse;
  • Audit-Logs und technische Protokollierung;
  • Vendor- und Subprozessor-Dokumentation.

Die konkreten Massnahmen sind im AVV/TOM-Anhang beschrieben.

19. Beschwerderecht bei Aufsichtsbehoerden

Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehoerde zu beschweren.

Zustaendige Aufsichtsbehoerde fuer Kienappel.IT (Kienappel IT-Dienstleistungen) ist:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien, Österreich
https://www.dsb.gv.at

Fuer Deutschland koennen je nach Bundesland andere Landesdatenschutzbehoerden zustaendig sein. Fuer Oesterreich ist die Datenschutzbehoerde erreichbar unter: https://www.dsb.gv.at/

20. Aenderungen dieser Datenschutzerklaerung

Wir koennen diese Datenschutzerklaerung anpassen, wenn sich Falkoro, eingesetzte Dienstleister, Rechtslage oder Verarbeitungsvorgaenge aendern. Die jeweils aktuelle Fassung ist unter https://falkoro.de/legal/datenschutzerklaerung abrufbar.

21. Anpassungs-Checkliste vor Veroeffentlichung

  • Anbieter-Entitaet festlegen: DE, AT, EE-OUe oder andere Struktur.
  • Anbieterdaten (Name, Adresse, E-Mail, Telefon, Steuernummer) eingesetzt — 21.07.2026.
  • Datenschutzkontakt datenschutz@falkoro.de produktiv einrichten (Postfach anlegen).
  • Zustaendige Aufsichtsbehoerde festgelegt: Österreichische Datenschutzbehörde (www.dsb.gv.at) — 21.07.2026.
  • DSB-Pflicht fuer konkrete Teamgroesse und Datenverarbeitung pruefen.
  • Cloudflare R2-Region/Jurisdiction-Konfiguration dokumentieren; keine EU-only-Zusage ohne Nachweis.
  • DPF/SCC-Status fuer Clerk, Anthropic, Inngest, Cloudflare, Vercel und Stripe aktualisieren.
  • Google Workspace/Gmail und Lexoffice rollenmaessig klaeren: Unterauftrag, Integration oder eigenstaendige Verantwortung.
  • Tatsaechliche Speicherfristen fuer DE/AT finalisieren.
  • Website-Tracking, Newsletter, Support-Chat, Error-Tracking, Analytics und Marketing-Pixel ergaenzen oder ausdruecklich ausschliessen.
  • KI-Logging und Training-Use mit Anthropic-Vertrag/DPA abgleichen.
  • Datenschutzerklaerung im Footer, Sign-up, Onboarding und Account verlinken.

22. Quellen / Pruefgrundlagen