Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Für Anfragen zu Ihren Betroffenenrechten (Art. 15–22 DSGVO, insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder Widerspruch) nutzen Sie bitte bevorzugt datenschutz@ksklar.de.

Datenschutzbeauftragter:Ein Datenschutzbeauftragter wurde nicht benannt, da die gesetzlichen Schwellenwerte gemäß § 38 BDSG (≥ 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind) und Art. 37 Abs. 1 DSGVO (Kerntätigkeit mit umfangreicher regelmäßiger systematischer Überwachung oder umfangreicher Verarbeitung besonderer Kategorien) nicht erreicht sind. Datenschutzanfragen richten Sie bitte an datenschutz@ksklar.de.

2. Übersicht der Verarbeitungen

KSKlar ist eine B2B-SaaS-Lösung zur automatisierten Künstlersozialabgabe-Compliance. Im Rahmen der Nutzung unseres Dienstes verarbeiten wir personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Anwendung sowie unserer Inhalte und Leistungen erforderlich ist.

3. Hosting und Infrastruktur

Unsere gesamte Infrastruktur wird bei der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) betrieben. Dies umfasst:

• Die Webanwendung auf einem Hetzner CX23 VPS (Standort: Nürnberg, Deutschland)
• Die PostgreSQL-Datenbank für sämtliche Geschäftsdaten
• SeaweedFS als S3-kompatibler Dateispeicher für hochgeladene Rechnungsdokumente

Sämtliche Daten verbleiben ausschließlich auf Servern in Deutschland. Es findet kein Drittlandtransfer für das Hosting statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen und sicheren Bereitstellung). Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO ist mit Hetzner abgeschlossen.

4. Authentifizierung

Die Authentifizierung erfolgt über Better Auth, eine self-hosted Open-Source-Authentifizierungslösung. Die gesamte Authentifizierungslogik läuft auf unserer eigenen Infrastruktur bei Hetzner. Es werden keine Daten an Drittanbieter-Auth-Dienste übermittelt.

Bei der Authentifizierung werden folgende Cookies gesetzt:

• Session-Cookie (httpOnly, secure, sameSite=lax), Dauer: bis zum Logout oder nach 7 Tagen Inaktivität
• CSRF-Token: Schutz vor Cross-Site Request Forgery

Passwörter werden ausschließlich als kryptographische Hashes gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

5. KI-gestützte Klassifikation (Mistral AI)

Zur automatischen Erkennung und Klassifikation von KSK-pflichtigen Rechnungen setzen wir Mistral AI (Paris, Frankreich) ein. Mistral AI ist ein EU-Unternehmen; es findet kein Drittlandtransfer statt. Mistral AI verwendet Ihre Daten nicht für das Training ihrer KI-Modelle (vertraglich im Data-Processing-Agreement nach Art. 28 DSGVO zugesichert, entsprechende Workspace-Einstellung ist aktiviert) und speichert API-Anfragen gemäß Mistral-Datenschutzerklärung standardmäßig maximal 30 Tage (zur Missbrauchserkennung und Fehlerdiagnose, branchenüblicher Standard), anschließend automatische Löschung. Eine vertragliche Zero-Retention-Option (sofortige Löschung nach jeder Anfrage) ist bei Mistral nur über einen Enterprise-Vertrag verfügbar und als Upgrade-Pfad vorgesehen.

Dabei kommen zwei Modelle zum Einsatz:

• Mistral OCR (aktuelles Document-AI-Modell von Mistral AI): Extraktion von Textinhalten aus hochgeladenen Rechnungsdokumenten (PDF/Bilder)
• Mistral Large 3: KSK-Klassifikation der extrahierten Rechnungsdaten

Die Verarbeitung erfolgt in zwei getrennten Schrittenmit unterschiedlichem Datenumfang. Wir benennen beide hier ausdrücklich, weil sich der Datenumfang in Schritt 1 (Texterkennung) wesentlich von Schritt 2 (Klassifikation) unterscheidet:

Die Original-Rechnungsdokumente verbleiben nach erfolgreicher Klassifikation auf unserem Server (Hetzner DE, verschlüsseltes SeaweedFS-Storage). Der von Mistral OCR zurückgelieferte Volltext wird bei neuen Rechnungen gar nicht mehr dauerhaft gespeichert: Aus der OCR-Verarbeitung übernehmen wir ausschließlich strukturierte Rechnungsangaben sowie PII-freie technische Metadaten (Positionskoordinaten, Konfidenzwerte). Dauerhaft gespeichert werden daraus Name des Rechnungsstellers, Rechnungsnummer, Rechnungsdatum, Netto- und Bruttobetrag sowie Leistungsbeschreibung. Dieser Umfang ist nicht deckungsgleich mit Schritt 2: Die Rechnungsnummer wird gespeichert, aber nicht an die Klassifikations-KI gesendet; die Stadt des Rechnungsstellers wird weder gespeichert noch an die Klassifikations-KI gesendet. Bereits vor dieser Umstellung gespeicherte Volltexte aus dem Altbestand werden automatisiert gelöscht: spätestens 30 Tage nach abgeschlossener Prüfung der Klassifikation und in jedem Fall innerhalb von 90 Tagen, unabhängig vom Prüfstatus. Bei Account-Anonymisierung gemäß Art. 17 DSGVO erfolgt die Löschung ebenfalls.

Widerruf der Einwilligung:Die Einwilligung in die KI-Analyse kann jederzeit mit Wirkung für die Zukunft in den Einstellungen widerrufen werden (Art. 7 Abs. 3 DSGVO). Bei Widerruf wird die KI-Klassifikation deaktiviert; bereits klassifizierte Rechnungen bleiben unverändert (Art. 17 Abs. 3 lit. b DSGVO i. V. m. § 257 HGB, § 147 AO).

Weitere Details zur KI-gestützten Verarbeitung finden Sie auf unserer Detailseite zur KI-Analyse.

6. E-Mail-Versand (Brevo)

Für den Versand von Transaktions-E-Mails nutzen wir Brevo (ehemals Sendinblue), Brevo SA, 7 rue de Madrid, 75008 Paris, Frankreich. Brevo verarbeitet die Daten innerhalb der EU (Frankreich/Deutschland).

Transaktions-Mails umfassen: Registrierungsbestätigungen, Passwort-Zurücksetzungen, Fristenerinnerungen (z. B. Entgeltmeldung, Vorauszahlung) und Systembenachrichtigungen.

Verarbeitete Daten: E-Mail-Adresse, Name. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Ein AVV gemäß Art. 28 DSGVO ist mit Brevo abgeschlossen.

7. Zahlungsabwicklung (Mollie)

Für die Zahlungsabwicklung nutzen wir Mollie. Unser Vertragspartner ist Mollie B.V. (Keizersgracht 126, 1015 CW Amsterdam, Niederlande). Mollie verarbeitet die Zahlungsdaten als Auftragsverarbeiter in unserem Auftrag. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist abgeschlossen.

Die Zahlungen erfolgen per SEPA-Lastschrift auf Grundlage eines erteilten SEPA-Mandats. Dabei werden folgende Daten an Mollie übermittelt: Name, E-Mail-Adresse, Rechnungs-Adresse, SEPA-Mandat-Referenz (Mandate-ID, nicht IBAN-Klartext) und Mollie-Customer-ID. Konto- oder Kartendaten im Klartext werden ausschließlich von Mollie verarbeitet und nicht auf unseren Servern gespeichert.

SEPA-Mandate werden von Mollie gemäß den Vorgaben für Zahlungsdienstleister 14 Monate nach der letzten Nutzung aufbewahrt.

Keine Drittlandübermittlung: Mollie B.V. hat ihren Sitz in den Niederlanden und verarbeitet die Daten innerhalb der Europäischen Union. Eine Übermittlung in ein Drittland außerhalb der EU oder des EWR findet nicht statt.

Rechtsgrundlage der Verarbeitung: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung aus PSD2 und Geldwäscherecht). Weitere Informationen zur Datenverarbeitung durch Mollie finden Sie in der Datenschutzerklärung von Mollie.

8. Webanalyse (Plausible Analytics)

Wir verwenden Plausible Analytics für die Webanalyse. Plausible ist self-hosted auf unserem eigenen Server bei Hetzner (analytics.ksklar.de).

Plausible arbeitet cookieless: Es werden keine Cookies gesetzt und keine dauerhaften Nutzerprofile gebildet. Die IP-Adresse wird ausschließlich serverseitig und kurzzeitig zu einem täglich wechselnden, nicht rückrechenbaren Hash-Wert verarbeitet, um Besuche zu zählen und Bot-Traffic herauszufiltern; sie wird nicht im Klartext gespeichert. Die ausgewerteten Statistiken sind aggregiert.

Da Plausible cookieless arbeitet und nicht auf Informationen in Ihrem Endgerät zugreift, ist nach unserer Einschätzung kein Cookie-Consent-Banner erforderlich. Rechtsgrundlage der datensparsamen Reichweitenmessung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer anonymisierten Nutzungsauswertung).

9. Umfrage (Marktforschung)

Auf unserer Website bieten wir unter ksklar.de/umfrage eine freiwillige Umfrage zur Künstlersozialabgabe an. Die Teilnahme ist ohne Angabe personenbezogener Daten möglich; die Angabe einer E-Mail-Adresse ist optional.

Verarbeitete Daten: Ihre Umfrage-Antworten, optional Ihre E-Mail-Adresse, Kampagnenparameter aus der Aufruf-URL (utm_source, utm_medium, utm_campaign), technische Metadaten (User-Agent, Referrer) sowie Ihre IP-Adresse ausschließlich als nicht rückrechenbarer SHA-256-Hash zum Schutz vor Missbrauch (Rate-Limiting).

Zwecke: Anonymisierte Auswertung der Umfrage zu Marktforschungszwecken, Auswertung der Kampagnen-Herkunft (UTM-Attribution) sowie, bei Angabe Ihrer E-Mail-Adresse und entsprechender Einwilligung, die Zusendung Ihres Rabattcodes und gelegentlicher Produkt-Updates per E-Mail. Ihre E-Mail-Adresse wird nur gespeichert, wenn Sie beide Einwilligungen (Rabattcode/Produkt-Updates und Datenschutzhinweise) erteilt haben. Der E-Mail-Versand erfolgt im Double-Opt-In-Verfahren über Brevo (siehe Abschnitt 6); der Bestätigungslink ist 24 Stunden gültig.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Verarbeitung des IP-Hashs zum Schutz vor Missbrauch erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Absicherung des Angebots). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, per E-Mail an kontakt@ksklar.de oder über den Abmeldelink in jeder E-Mail.

Speicherdauer: Die Umfrage-Antworten und die optional angegebene E-Mail-Adresse speichern wir bis zum Widerruf Ihrer Einwilligung beziehungsweise bis zu einem Löschantrag (siehe Betroffenenrechte).

10. Schriftarten

Wir verwenden die Schriftart „Geist“ von Google Fonts. Die Schriftart wird über next/font/google zur Build-Zeit eingebunden und anschließend self-hosted ausgeliefert. Es finden keine Anfragen an Google-Server zur Laufzeit statt. Es erfolgt kein Drittlandtransfer.

11. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies:

• Session-Cookie (Better Auth): Authentifizierung und Session-Verwaltung
• CSRF-Token: Schutz vor Cross-Site Request Forgery

Es werden keine Marketing-Cookies, Tracking-Cookies oder Analyse-Cookies eingesetzt. Wir verwenden kein Google Analytics, kein Facebook Pixel und keine vergleichbaren Tracking-Dienste. Plausible Analytics arbeitet vollständig ohne Cookies.

Da ausschließlich technisch notwendige Cookies zum Einsatz kommen, ist gemäß TDDDG § 25 Abs. 2 nach unserer Einschätzung kein Cookie-Consent-Banner erforderlich.

12. Aufbewahrungsfristen

Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

• Rechnungen und Assessments: 10 Jahre gemäß § 257 HGB und § 147 AO
• OCR-Rohdaten: Werden automatisiert gelöscht, spätestens 30 Tage nach abgeschlossener Prüfung der Klassifikation
• Account-Daten: Bei Löschung des Kontos sofort entfernt; steuerrelevante Daten werden anonymisiert und für die gesetzliche Aufbewahrungsfrist vorgehalten
• Server-Logfiles: Automatische Löschung nach 30 Tagen

13. Datensicherung (Backups)

Zur Absicherung gegen Datenverlust erstellen wir verschlüsselte Sicherungskopien (Backups) unserer Datenbanken und Datei-Speicher (BorgBackup). Die Backups werden auf einer Hetzner Storage Box in Deutschland (Rechenzentrum Falkenstein) gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Ausfallsicherheit und Wiederherstellbarkeit).

Backups werden rotierend vorgehalten: täglich für 90 Tage, monatlich für 12 Monate und jährlich für 2 Jahre; danach werden sie automatisch gelöscht. Werden Daten im Live-System gelöscht (etwa bei einer Konto-Löschung), sind sie damit nicht sofort aus allen Sicherungskopien entfernt, sondern erst mit dem Auslaufen der jeweiligen Backup-Generation im Rahmen dieser Rotation. Backups werden ausschließlich zur Wiederherstellung genutzt und nicht zu anderen Zwecken ausgewertet.

14. Betroffenenrechte

Ihnen stehen folgende Rechte gegenüber uns hinsichtlich Ihrer personenbezogenen Daten zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenportabilität (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Zur Wahrnehmung Ihrer Rechte nutzen Sie bitte bevorzugt unsere Datenschutz-Kontaktadresse: datenschutz@ksklar.de (oder alternativ kontakt@ksklar.de).

Sie haben außerdem das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren:

15. Auftragsverarbeiter und Dienstleister

Für den Betrieb der Business-E-Mail-Postfächer kontakt@ksklar.de und datenschutz@ksklar.de nutzen wir den E-Mail-Dienst der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen). Die Server stehen ausschließlich in Deutschland. Die Verarbeitung ist durch den bestehenden Auftragsverarbeitungsvertrag mit Hetzner gemäß Art. 28 DSGVO abgedeckt (dieselbe Rechtsperson wie der Hosting-Anbieter). Keine Drittlandübermittlung.

16. Änderungen der Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.