Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für diese Website ist die Lotzer Digital UG (haftungsbeschränkt), Diepholzer Straße 7, 27751 Delmenhorst, Deutschland, E-Mail: info@lotzer.de, Telefon: +49 (0) 4221 123 78 64. Benvero ist ein Produkt der Lotzer Digital UG (haftungsbeschränkt).

2. Unsere Rolle: Auftragsverarbeiter

Für die in Benvero verarbeiteten Beschäftigtendaten ist das jeweilige Kundenunternehmen (der Arbeitgeber) Verantwortlicher. Wir verarbeiten diese Daten ausschließlich weisungsgebunden in seinem Auftrag nach Art. 28 DSGVO. Beschäftigte richten Auskunfts- und Löschverlangen daher zunächst an ihren Arbeitgeber; wir unterstützen ihn dabei.

Für den Besuch dieser Website und für unsere eigene Kundenverwaltung sind wir selbst Verantwortlicher.

3. Besuch dieser Website

Beim Aufruf unserer Seiten verarbeitet unser Server technisch notwendige Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Statuscode, Referrer, Browserkennung). Rechtsgrundlage ist unser berechtigtes Interesse an Bereitstellung und Sicherheit (Art. 6 Abs. 1 lit. f DSGVO). Diese Protokolle löschen wir nach spätestens 30 Tagen.

Wir binden keine externen Schriftarten, Karten oder Videodienste ein; es findet keine Übermittlung an Dritte allein durch den Seitenaufruf statt.

4. Verarbeitete Daten in der Anwendung

Im Auftrag des jeweiligen Arbeitgebers verarbeiten wir:

• Stammdaten der Mitarbeitenden: Name, Personalnummer, geschäftliche E-Mail-Adresse, Kostenstelle, IBAN (verschlüsselt gespeichert)
• Belege und Rechnungen samt der daraus erkannten Daten: Rechnungssteller, Anschrift, Datum, Beträge, Umsatzsteuer, Einzelpositionen
• Auslagen- und Reisekostendaten: Anlass, Reiseziel und -zeitraum, Fahrtstrecken, Pauschalen, bei Bewirtungen die Namen der bewirteten Personen (§ 4 Abs. 5 EStG)
• Kartendaten in reduzierter Form: Bezeichnung, die letzten vier Ziffern, Karteninhaber:in, Status — niemals vollständige Kartennummern
• Positionen hochgeladener Kreditkartenabrechnungen: Händlername, Datum, Betrag, Kontierung
• Zahlungsdaten für Erstattungen: Empfänger-IBAN und Verwendungszweck der erzeugten SEPA-Datei
• Protokolldaten: technische Zugriffs- und Änderungsprotokolle (Audit-Log) mit Verursacher und Zeitpunkt

5. Zwecke und Rechtsgrundlagen

Die Verarbeitung erfolgt zur Bereitstellung der Beleg-, Auslagen- und Abrechnungsverwaltung im Auftrag des Arbeitgebers (Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit einem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO), zur Erfüllung steuer- und handelsrechtlicher Aufzeichnungspflichten (Art. 6 Abs. 1 lit. c DSGVO) sowie zur Gewährleistung der IT-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO).

6. Automatisierte Belegerkennung (KI)

Hochgeladene Belege durchlaufen eine Texterkennung und eine anschließende KI-gestützte Strukturierung. Die Verarbeitung findet ausschließlich in der Europäischen Union statt (Region Frankfurt). Belegdaten werden nicht zum Training von KI-Modellen verwendet.

Die Erkennung bereitet Daten lediglich vor: Jedes erkannte Feld ist einsehbar und korrigierbar, das ursprüngliche Erkennungsergebnis bleibt im Protokoll erhalten. Über Freigabe und Buchung entscheiden ausschließlich Menschen; eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

7. Empfänger und Unterauftragnehmer

Wir setzen sorgfältig ausgewählte Dienstleister als Unterauftragnehmer ein, jeweils gebunden durch einen Vertrag nach Art. 28 DSGVO: Amazon Web Services (Texterkennung und KI-Strukturierung über Amazon Textract und Amazon Bedrock, Region Frankfurt) sowie unseren Hosting- und Speicherdienstleister mit Serverstandort in der Europäischen Union. Die vollständige, namentliche Unterauftragnehmerliste ist Bestandteil des Auftragsverarbeitungsvertrags.

Im Rahmen dieser Auftragsverarbeitung findet keine Übermittlung in Drittländer statt: Belege, Beschäftigten- und Abrechnungsdaten bleiben vollständig in der Europäischen Union. Für die Reichweiten- und Anzeigenmessung auf unseren öffentlichen Seiten gilt Abschnitt 10; sie betrifft die Anwendung nicht. Bei aktivierter DATEV-Anbindung übermitteln wir Buchungsdaten und Belegbilder auf Weisung des Kunden an die DATEV eG bzw. an die von ihm beauftragte Steuerkanzlei. Erstattungen führen wir nicht aus: Die erzeugte SEPA-Datei gibt der Kunde in seinem eigenen Online-Banking frei.

Den Auftragsverarbeitungsvertrag samt aktueller Unterauftragnehmerliste stellen wir Kunden vor Vertragsschluss zur Verfügung; er kann über die im Impressum genannte Kontaktadresse angefordert werden.

8. Speicherdauer

Buchungsrelevante Daten (Belege, Abrechnungen, Auslagen, Buchungen) bewahren wir gemäß §§ 147 AO, 257 HGB bis zu zehn Jahre auf; sie werden innerhalb dieser Frist nicht gelöscht, sondern archiviert. Übrige personenbezogene Daten löschen wir, sobald der Zweck der Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Nach Vertragsende geben wir die Daten des Kunden zurück oder löschen sie nach seiner Weisung, soweit keine Aufbewahrungspflicht besteht.

9. Cookies und Einwilligung

Technisch notwendige Cookies setzen wir ohne Einwilligung ein (§ 25 Abs. 2 TDDDG): die Sitzung, der CSRF-Schutz, Oberflächeneinstellungen und das Cookie, in dem Ihre Entscheidung zu diesem Banner gespeichert wird. Sie enthalten keine Kennungen zu Werbezwecken.

Alles darüber hinaus setzen wir erst nach Ihrer Einwilligung. Auf unseren Marketing-Seiten und im Registrierungsablauf messen wir zu zwei getrennten Zwecken: „Statistik“ erfasst, wie unsere Seite genutzt wird, „Marketing“ erfasst, welche unserer Anzeigen zu einer Registrierung führen. Sie können beides erlauben, nur die Statistik erlauben oder beides ablehnen — im Banner ist jede dieser Möglichkeiten ein Klick. Für einen Zweck, den Sie nicht erlauben, wird kein Skript des betreffenden Anbieters geladen und keines seiner Cookies gesetzt; die Seite funktioniert in jedem Fall vollständig. Ihre Entscheidung gilt sechs Monate; Sie können sie jederzeit über den Link „Cookie-Einstellungen“ im Fußbereich ändern. Der Widerruf wirkt für die Zukunft (Art. 7 Abs. 3 DSGVO) — bereits gesetzte Kennungen der widerrufenen Kategorie löschen wir dabei.

• Zuordnung Ihres Anzeigenklicks (Marketing) — von uns gesetzt, kein Drittanbieter beteiligt. Zweck: erkennen zu können, über welche unserer Anzeigen Sie zu uns gefunden haben, auch wenn zwischen dem Klick und einer Registrierung mehrere Tage liegen. Gespeichert werden ausschließlich die Kampagnenangaben, die bereits in der aufgerufenen Adresse stehen (utm_source, utm_medium, utm_campaign, utm_content, utm_term) sowie die Klick-Kennungen, die Meta und Google selbst an diese Adresse anhängen (fbclid, gclid). Das Cookie enthält keine Angaben zu Ihrer Person und keine Kennung, die Sie auf fremden Seiten wiedererkennbar macht; es wird nicht an Dritte übermittelt. Laufzeit 90 Tage. Ohne Ihre Einwilligung in die Kategorie „Marketing“ wird es nicht gesetzt — die Zuordnung bleibt dann auf Ihre laufende Sitzung beschränkt.
• Google Analytics (Statistik) — Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Zweck: Reichweitenmessung, also welche Seiten wie oft und wie lange aufgerufen werden und über welchen Weg Besucher zu uns finden. Verarbeitet werden IP-Adresse, Browser- und Geräteangaben, die aufgerufene Seite, Verweisquelle sowie die Kennungen _ga und _ga_1PCXRT8DLH, mit denen wiederkehrende Besuche derselben Sitzung zugeordnet werden. Die IP-Adresse wird von Google gekürzt, bevor sie gespeichert wird. Die Messung dient uns ausschließlich zur Auswertung unserer eigenen Seiten; wir verknüpfen sie nicht mit Konten in Benvero.
• Meta-Pixel und Conversions API (Marketing) — Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland. Zweck: Messung und Optimierung unserer Anzeigen auf Instagram und Facebook. Verarbeitet werden Ihre IP-Adresse, Angaben zu Browser und Endgerät, die aufgerufene Seite, die von Meta gesetzten Kennungen (_fbp, _fbc) sowie bei einer Registrierung Ihre E-Mail-Adresse in Form eines nicht umkehrbaren Hashwerts (SHA-256). Die Übermittlung erfolgt teils aus Ihrem Browser, teils von unserem Server (Conversions API); beide Wege tragen dieselbe Ereignis-Kennung, damit ein Vorgang nicht doppelt gezählt wird.
• Google Ads (Marketing) — Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Zweck: Messung von Anzeigen in der Google-Suche. Verarbeitet werden IP-Adresse, Browser- und Geräteangaben, die aufgerufene Seite und die Kennung _gcl_au. Die Personalisierung von Werbung ist abgeschaltet.

10. Gemeinsame Verantwortlichkeit und Drittlandtransfer

Für die Erhebung und Übermittlung der Daten über das Meta-Pixel und die Conversions API sind wir gemeinsam mit Meta Platforms Ireland Ltd. verantwortlich (Art. 26 DSGVO). In einer Zusatzvereinbarung hat Meta die Verantwortung für die anschließende Verarbeitung sowie für die Betroffenenrechte nach Art. 15 bis 20 DSGVO übernommen; Sie können Ihre Rechte deshalb auch unmittelbar gegenüber Meta geltend machen. Das Wesentliche dieser Vereinbarung ist unter facebook.com/legal/controller_addendum abrufbar. Entsprechendes gilt für die Messung mit Google Ads und Google Analytics.

Beide Anbieter verarbeiten Daten auch in den Vereinigten Staaten. Die Übermittlung stützt sich auf Ihre ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO) sowie darauf, dass beide Unternehmen nach dem EU-US Data Privacy Framework zertifiziert sind (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023). Wir weisen darauf hin, dass US-Behörden unter bestimmten Voraussetzungen Zugriff auf solche Daten nehmen können und dass ein den europäischen Standards vollständig entsprechender Rechtsschutz nicht in jedem Fall gewährleistet ist.

Rechtsgrundlage für das Setzen und Auslesen der Kennungen auf Ihrem Endgerät ist § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Belegverarbeitung in Benvero selbst ist davon nicht berührt: Sie findet ausschließlich in der Europäischen Union statt.

11. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Wenden Sie sich dazu an info@lotzer.de; betreffen die Daten Ihr Arbeitsverhältnis, richten Sie das Verlangen bitte an Ihren Arbeitgeber als Verantwortlichen. Außerdem steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu; für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen.