Datenschutz.
In der Plattform.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung in der Plattform ist:

Anbieter und Betreiber der Plattform sowie Entwicklerin der Software Finaure ist die JSLM Products & Services GmbH (nachfolgend „wir“). Weitere Angaben finden Sie im Impressum.

2. Geltungsbereich und Rollen

Diese Erklärung gilt für die Nutzung der Finaure-Plattform (Anwendung nach der Anmeldung) durch unsere Kunden und alle von ihnen eingeladenen Nutzer, etwa Familienmitglieder, Assistenz oder Berater, sowie für Externe, die über einen Freigabe-Link auf einzelne Inhalte zugreifen. Für den Besuch unserer Website gilt die Datenschutzerklärung der Website.

Zwei Rollen: Für Ihr Kundenkonto, die Abrechnung und die Sicherheit der Plattform sind wir Verantwortlicher. Pflegen Sie als Kunde Daten Dritter ein (z. B. von Mietern, Arbeitnehmern, Vertragspartnern oder Familienangehörigen), sind Sie für diese Daten Verantwortlicher und wir verarbeiten sie als Ihr Auftragsverarbeiter nach dem Auftragsverarbeitungsvertrag (AGB Anlage 3).

3. Wo Ihre Daten liegen

Alle dauerhaft gespeicherten Daten, also Stamm-, Vermögens- und Transaktionsdaten, Dokumente und Sitzungen, liegen bei Supabase auf Servern in der Europäischen Union (Deutschland), verschlüsselt im Ruhezustand und bei der Übertragung. Die Anwendungsoberfläche wird über Netlify ausgeliefert; dort werden keine Nutzerdaten gespeichert.

Einige Empfänger haben ihren Sitz außerhalb der EU oder gehören zu Unternehmen in den USA, etwa Anthropic für die KI-Verarbeitung (Ziffer 8), Cloudflare für den Bot-Schutz und Google für die freiwillige Anmeldung mit Google (Ziffer 5). Alle Empfänger und die Garantien für Übermittlungen in Drittländer finden Sie in Ziffer 15.

4. Verarbeitete Daten

• Konto- und Stammdaten: Name, E-Mail-Adresse, Rechnungsadresse, Rollen, Einstellungen, gewählte Lizenzstufe.
• Vermögens- und Finanzdaten: Entitäten und Beteiligungen, Vermögenswerte, Bankkonten mit Salden und Umsätzen, Depots, Verträge, Belege, Planungsdaten.
• Dokumente und Bilder: von Ihnen hochgeladene Dateien (PDF, JPG, PNG) und die daraus extrahierten Inhalte.
• Daten Dritter, die Sie einpflegen (siehe Ziffer 2).
• Technische Daten und Protokolle:Anmeldeereignisse, Audit-Ereignisse, Fehler- und Funktionsprotokolle (Ziffer 17).
• Keine Bank-Zugangsdaten: Ihre Online-Banking-Zugangsdaten erreichen uns zu keinem Zeitpunkt (Ziffer 9).

5. Registrierung und Anmeldung

Bei der Registrierung verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, Ihre Rechnungsadresse und die gewählte Lizenzstufe. Ihre E-Mail-Adresse wird vor der Freischaltung bestätigt. Passwörter speichern wir nur als kryptografischen Hash.

Zum Schutz vor automatisierten Registrierungen nutzen wir Cloudflare Turnstile (Cloudflare, Inc., USA). Dabei werden Ihre IP-Adresse und technische Browser-Signale an Cloudflare übermittelt, um Menschen von Bots zu unterscheiden.

Sie können sich wahlweise mit Ihrem Google-Konto anmelden. Die Anmeldeseite leitet Sie dann zu Google weiter; nach Ihrer Bestätigung übermittelt uns Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) Ihre E-Mail-Adresse, Ihren Namen, gegebenenfalls Ihr Profilbild und eine Google-Kennung. Ihr Google-Passwort erhalten wir nicht. Die Anmeldung mit Google ist freiwillig; Sie können sich ebenso mit E-Mail-Adresse und Passwort anmelden. Für die Verarbeitung bei Google gilt die Datenschutzerklärung von Google.

Die Zwei-Faktor-Anmeldung (TOTP) funktioniert mit jeder gängigen Authenticator-App und läuft vollständig über unsere Anmeldeinfrastruktur bei Supabase, ohne weiteren Drittanbieter. Die acht Wiederherstellungscodes speichern wir nur als Hash. Sitzungen haben ein Ablaufdatum, können von Ihnen beendet werden und enden nach einer von Ihnen einstellbaren Inaktivitätszeit automatisch.

6. Nutzung der Plattform

Wir verarbeiten die von Ihnen eingegebenen, hochgeladenen oder über die Bankanbindung abgerufenen Daten, um Ihnen die Funktionen der Plattform bereitzustellen: Vermögens- und Strukturübersichten, Auswertungen, Planungen, Aufgaben, Berichte und Exporte für Ihren Berater. Hochgeladene Dokumente werden mandantengetrennt gespeichert und nur nach Anmeldung über kurzlebige signierte Links abgerufen.

7. Rollen, Protokolle, Support

Kunden laden Nutzer ein und vergeben Rollen je Entität (Eigentümer, Admin, Verwalter, Assistent, Mitglied, Berater). Welche Daten ein Nutzer sieht, wird serverseitig durchgesetzt. Sicherheitsrelevante Aktionen werden in einem Audit-Protokoll erfasst, das nur Eigentümer und Admins einsehen können.

Support: Zugriffe unserer Mitarbeitenden auf einen Mandanten erfolgen nur, soweit sie zur Lösung einer Anfrage erforderlich sind; sie werden protokolliert und dem Eigentümer in der Plattform angezeigt. Wir haben keinen Zugriff auf Zahlungen oder Bankanbindungen. Servicefälle wie das Zurücksetzen der Zwei-Faktor-Anmeldung bearbeiten wir nach einer Identitätsprüfung per Bestätigungs-E-Mail, ohne auf Inhalte zuzugreifen.

8. KI-Funktionen

Für KI-Funktionen setzen wir die Anthropic Claude API (Anthropic PBC, USA) als Auftragsverarbeiter ein, also die kommerzielle Schnittstelle und nicht das Endkundenprodukt. Nach dem jeweils geltenden Vertrag mit Anthropic werden Inhalte nach der Verarbeitung nicht gespeichert und nicht zum Training von KI-Modellen verwendet (derzeit: Zero Data Retention). Wir senden je Funktion nur die erforderlichen Daten:

Bei der Dokumentanalyse ist das Dokument selbst Gegenstand der Verarbeitung: Enthält es Namen, etwa auf einer Rechnung, werden diese im Dokument analysiert. Erkannte Fahrzeugkennzeichen oder Fahrgestellnummern werden am Vermögenswert gespeichert und nicht an den Chat-Assistenten weitergegeben.

Transparenz und Kontrolle: Jede KI-Interaktion ist als solche gekennzeichnet (Art. 50 KI-Verordnung). KI-Ergebnisse sind Vorschläge, die Sie bestätigen oder ändern. SmartAssist nutzen Sie erst nach Ihrer ausdrücklichen Einwilligung, die Sie jederzeit in den Einstellungen widerrufen können; für Uploads gibt es einen KI-freien, manuellen Weg. Jede SmartAssist-Antwort zeigt, auf welchen Daten sie beruht. Wertindikationen für Sachwerte sind Schätzungen aus Modellwissen ohne Marktdaten und keine Bewertung. Wir protokollieren nur, dass eine Analyse stattfand, nicht deren Inhalt oder Ergebnis.

9. Bankanbindung (finAPI)

Bankkonten binden Sie über die finAPI GmbH, München an, einen von der BaFin beaufsichtigten Kontoinformations- und Zahlungsauslösedienst. Die Anmeldung bei Ihrer Bank einschließlich starker Kundenauthentifizierung findet direkt zwischen Ihnen, finAPI und Ihrer Bank statt; Ihre Online-Banking-Zugangsdaten erreichen uns nie. Wir erhalten und speichern Kontoinformationen wie Salden, Umsätze und Depotbestände in der EU. Bankzugänge sind je Nutzer gespeichert. Die Einwilligung zum Kontozugriff erteilen und verwalten Sie bei finAPI und Ihrer Bank. Zahlungsläufe geben Sie in der Plattform nach dem eingerichteten Freigabeverfahren frei; die Zahlung wird über finAPI ausgelöst und im Verfahren Ihrer Bank autorisiert und ausgeführt. Zahlungen laufen ausschließlich über finAPI; Finaure selbst hat zu keinem Zeitpunkt Zugriff auf Ihr Geld. Bei Vertragsende werden die bei finAPI angelegten Zugänge im Rahmen der Löschung entfernt.

10. Abrechnung

Die Abonnement-Abrechnung erfolgt über den Abrechnungsdienst Fynn (Fynn GmbH, Barthelstraße 4, 50823 Köln). Zahlungsdaten wie Karten- oder Kontodaten werden ausschließlich dort bzw. beim jeweiligen Zahlungsdienstleister verarbeitet; wir speichern nur den Abo-Status und Referenznummern. Für einzelne Bestandsverträge nutzen wir noch Stripe (Stripe Payments Europe, Ltd., Irland); diese Anbindung wird abgelöst. Ende der Testphase und Lizenzstufe werden uns über gesicherte, signaturgeprüfte Benachrichtigungen des Abrechnungsdienstes mitgeteilt.

11. E-Mails

System-E-Mails (z. B. Einladungen, Fristen, Hinweise zum Vertrag, Berichts-Benachrichtigungen) versenden wir über Brevo (Sendinblue SAS, Paris). Unsere E-Mails enthalten keine Vermögenszahlen und keine Anhänge; Berichte stellen wir als Download-Link bereit, der nach 14 Tagen abläuft. In unseren Protokollen speichern wir von der Empfängeradresse nur einen Hash.

Wenn Sie uns per E-Mail schreiben, wird Ihre Nachricht in unseren Postfächern bei Hostinger (Hostinger International Ltd., Zypern) empfangen und mit Microsoft 365 (Microsoft Ireland Operations Ltd.) bearbeitet.

12. Links für Externe

Sie können einzelne Aufgaben, Datenräume oder Berichte über Links für Externe freigeben, etwa für Ihren Berater oder Ihren Notar. Die Links beruhen auf 256-Bit-Zufallstoken, von denen wir nur einen Hash speichern. Sie gelten nur für einen Vorgang, sind befristet (Aufgaben 14 Tage, Datenräume 30 Tage, Berichte 14 Tage), jederzeit widerrufbar und gegen automatisierte Zugriffe geschützt. Jeder Zugriff wird mit Zeitpunkt sowie gehashter IP-Adresse und Browserkennung protokolliert und ist für Sie einsehbar. Die Auswahl der Empfänger liegt bei Ihnen.

13. Missbrauchs- und Bot-Erkennung

Um automatisierte Zugriffe ohne unsere Zustimmung zu erkennen, werten wir nutzdatenfreie Signale aus: Interaktionszähler, für Menschen unsichtbare Köder-Elemente und ein zufälliges Sitzungs-Pseudonym je Browser-Tab, das mit dem Tab endet. Es findet kein geräteübergreifendes Tracking statt; es werden keine Cookies zu Werbe- oder Analysezwecken gesetzt. Der Speicherzugriff ist für die Sicherheit des Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Bei einem Verdacht informieren wir den Betreiber und beenden gegebenenfalls die Sitzung.

14. Marktdaten ohne Personenbezug

Kurse, Edelmetallpreise, Wechselkurse und öffentliche Nachrichten-Feeds rufen wir ausschließlich von unseren Servern ab (u. a. Twelve Data, Metals-API, Frankfurter API/EZB sowie öffentliche Nachrichtenquellen). Dabei werden nur Wertpapier-Symbole bzw. Feed-Abrufe übermittelt, keine Daten über Sie und nicht Ihre IP-Adresse.

15. Empfänger und Übermittlung in Drittländer

Wir verkaufen keine Daten. Wir geben Daten nur an die folgenden Dienstleister weiter, die wir als Auftragsverarbeiter vertraglich gebunden haben (Art. 28 DSGVO), oder wenn wir gesetzlich dazu verpflichtet sind. Die vollständige Liste finden Sie in AGB Anlage 4.

Soweit ein Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist, beruht die Übermittlung auf dem Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), im Übrigen auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien erhalten Sie auf Anfrage.

16. Rechtsgrundlagen

Die Bereitstellung der Konto- und Vertragsdaten ist für den Vertragsschluss erforderlich; ohne sie können wir Ihnen die Plattform nicht zur Verfügung stellen. Alle weiteren Angaben entscheiden Sie selbst.

17. Speicherdauer und Löschung

Nach Vertragsende haben Sie 90 Tage lesenden Zugriff und können ein vollständiges Export-Paket abrufen (alle Dokumente sowie die Kerndaten als CSV). Wir erinnern Sie zu Beginn sowie 30 und 7 Tage vor Ablauf. Danach löschen wir alle Daten Ihres Mandanten endgültig, einschließlich der Dokumente und der Zugänge bei finAPI. Auf Wunsch löschen wir früher. Nicht protokolliert werden Dokumentinhalte, KI-Antworten, Bank-Zugangsdaten und Passwörter.

18. Ihre Rechte

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Auskunft (Art. 15) und Datenübertragbarkeit (Art. 20), in der Plattform über das Export-Paket
• Berichtigung (Art. 16), direkt in der Plattform
• Löschung (Art. 17) mit protokollierter Endlöschung
• Einschränkung der Verarbeitung (Art. 18)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3), etwa für SmartAssist in den Einstellungen

Eine E-Mail an info@finaure.eu genügt. Betrifft Ihre Anfrage Daten, die ein Kunde als Verantwortlicher eingepflegt hat (Ziffer 2), leiten wir sie an diesen weiter.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Staat Ihres gewöhnlichen Aufenthalts. Für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden. Weitere Aufsichtsbehörden: Österreich – Datenschutzbehörde (DSB); Italien – Garante per la protezione dei dati personali; Frankreich – CNIL; Spanien – AEPD; Kroatien – AZOP.

19. Datensicherheit

Hosting in der EU auf SOC-2-Type-2-zertifizierter Infrastruktur, Verschlüsselung im Ruhezustand (AES-256) und bei der Übertragung (TLS 1.2 oder höher), serverseitig erzwungene Mandantentrennung (Row Level Security), Rollen- und Sichtbarkeitsmodell, Zwei-Faktor-Anmeldung, Vier-Augen-Prinzip für Zahlungen, Sicherheits-Header, Sitzungs-Timeout und tägliche Backups. Die vollständige Beschreibung finden Sie in den technischen und organisatorischen Maßnahmen (AGB Anlage 3, Teil B).

20. Weitere Hinweise

Keine automatisierten Entscheidungen: Es finden keine Entscheidungen im Sinne von Art. 22 DSGVO statt. Der Hinweis auf eine höhere Lizenzstufe bei gestiegenem Bruttovermögen ist ein Angebot; der Preis ändert sich erst nach Ihrer Bestätigung.

Änderungen: Wir passen diese Erklärung an, wenn sich Verarbeitungen ändern, etwa bei neuen Funktionen oder Dienstleistern. Maßgeblich ist die jeweils hier veröffentlichte Fassung.

Stand: Oktober 2026