Datenschutzerklärung

← Zurück zur Übersicht

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO:

Heiko Bläsi
FRYA — Intelligente Buchhaltung (Einzelunternehmen)
Bergstraße 22
75053 Gondelsheim
E-Mail: kontakt@myfrya.de

Ein Datenschutzbeauftragter ist nicht benannt; eine gesetzliche Benennungspflicht besteht derzeit nicht (§ 38 BDSG).

2. Verarbeitete Datenarten

Im Rahmen der Nutzung von FRYA werden folgende Kategorien personenbezogener und betrieblicher Daten verarbeitet:

• Dokumente: Hochgeladene Geschäftsdokumente (Rechnungen, Lieferscheine, Verträge) inkl. Dateiname, Inhaltstext, Metadaten und OCR-Ergebnis. Belege können personenbezogene Daten enthalten (Namen, Anschriften, Steuernummern/USt-IdNrn., Bankverbindungen wie IBAN/BIC).
• OCR-Daten: Maschinenlesbarer Volltext aus gescannten Dokumenten (Dokumentenspeicher und OCR laufen self-hosted auf eigener Infrastruktur; die KI-Extraktion erfolgt über die in Abschnitt 5.1 und 7 genannten Auftragsverarbeiter).
• Buchungsdaten: Konten, Beträge, Buchungstexte, Belegnummern, Zahlungsfristen aus dem integrierten Buchhaltungssystem.
• Chat-/Kommunikationsdaten: Nachrichten zwischen dir und dem KI-Assistenten in der App (Verlauf kurzzeitig in Redis, 24-Stunden-Ablauf), optional Telegram-Nachrichten (siehe Abschnitt 7a) und per E-Mail eingereichte Belege.
• Nutzerdaten: Benutzername, E-Mail-Adresse, Rolle, Passwort-Hash (PBKDF2, kein Klartext), Zeitstempel deiner Zustimmungen (z. B. Alpha-Tester-Vereinbarung, KI-Transparenzhinweis).
• Protokolldaten: Audit-Log (append-only, kryptografisch verkettet) mit Zeitstempel, Aktion, ausführendem System/Nutzer; technische Server-Logs (IP-Adresse, Zeitpunkt, aufgerufener Endpunkt) zur Sicherstellung des Betriebs.

3. Zweck der Verarbeitung

• Bereitstellung des Nutzerkontos und der App-Funktionen
• Automatisierte Verarbeitung und Klassifizierung eingehender Geschäftsdokumente
• KI-gestützte Buchungsvorschläge und Fristüberwachung
• Kommunikation in der App sowie — sofern von dir genutzt — über Telegram oder E-Mail
• Erfüllung gesetzlicher Aufbewahrungspflichten (§ 147 AO, § 257 HGB, GoBD)
• IT-Sicherheit, Fehleranalyse und Missbrauchsabwehr

4. Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Bereitstellung der Plattform, Konto, Belegverarbeitung, Alpha-Testbetrieb einschließlich Auswertung von Nutzungsabläufen und Fehlerprotokollen zur Verbesserung der Software)
• Art. 6 Abs. 1 lit. c DSGVO — Gesetzliche Verpflichtung (Aufbewahrung nach § 147 AO / § 257 HGB, GoBD)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigte Interessen: Gewährleistung der IT-Sicherheit (Server-Logs, Rate-Limiting), Fehleranalyse über das self-hosted Monitoring, Abwehr missbräuchlicher Nutzung

Die Bereitstellung deiner Konto-Daten (insbesondere E-Mail-Adresse) ist für den Vertragsschluss erforderlich — ohne sie können Konto und Belegverarbeitung nicht bereitgestellt werden (Art. 13 Abs. 2 lit. e DSGVO).

5. KI-Verarbeitung (EU AI Act Art. 50 Transparenzhinweis)

FRYA ist ein KI-gestütztes Buchhaltungssystem. Wir setzen Künstliche Intelligenz (Large Language Models, LLMs) ein, um:

• Belege automatisiert zu erfassen und zu klassifizieren (OCR + Semantik-Analyse)
• Buchungsvorschläge nach SKR03-Kontenrahmen zu erstellen
• Steuerliche Hinweise zu geben (Aufbewahrungsfristen, Vorsteuer-Relevanz, Skonto)
• Plausibilitätsprüfungen und Risiko-Indikationen zu liefern

5.1 Eingesetzte KI-Modelle und Anbieter

Sämtliche KI-Modelle werden ausschließlich in Rechenzentren innerhalb der Europäischen Union betrieben. Es findet keine Übermittlung personenbezogener Daten in Drittländer statt. Alle Anbieter sind als Auftragsverarbeiter gem. Art. 28 DSGVO eingebunden (siehe AVV-Übersicht).

5.2 Ihre Kontrolle über KI-Vorschläge

KI-Vorschläge sind niemals automatisch verbindlich. Die finale Kontrolle bleibt stets bei Ihnen bzw. dem autorisierten Operator:

• Jeder Buchungsvorschlag muss vor Festschreibung explizit freigegeben werden
• Vorschläge können jederzeit korrigiert oder abgelehnt werden
• Confidence-Scores zeigen die KI-Sicherheit jedes Vorschlags an
• Bei niedriger Confidence (< 40 %) werden Vorschläge zwingend zur manuellen Prüfung weitergeleitet
• KI-generierte Inhalte sind im UI mit dem Badge „KI-Vorschlag · bitte prüfen“ gekennzeichnet

5.3 Rechtsgrundlage der KI-Verarbeitung

Die KI-Verarbeitung erfolgt auf Basis von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Sie haben FRYA als KI-System gewählt) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtungen GoBD/HGB/AO).

5.4 EU AI Act Konformität (Verordnung (EU) 2024/1689)

FRYA erfüllt die Transparenzpflichten nach Art. 50 EU AI Act:

• Art. 50 Abs. 1 — Sichtbare Kennzeichnung als KI-System in der Benutzeroberfläche (permanenter Hinweis-Banner)
• Art. 50 Abs. 2 — Gilt für uns: Frya erzeugt Texte (Chat-Antworten, Beleg-Zusammenfassungen). Diese Texte werden wir maschinenlesbar als KI-erzeugt markieren, sobald die technischen Standards dafür vorliegen. Bilder, Ton oder Video erzeugt Frya nicht.
• Art. 50 Abs. 3 — Nicht anwendbar: FRYA verarbeitet keine biometrischen Inputs und führt keine Emotionserkennung durch
• Art. 50 Abs. 4 — Nicht anwendbar: FRYA-Texte sind privat zwischen System und autorisiertem Nutzer und nicht zur öffentlichen Verbreitung bestimmt

5.5 Kein Profiling, keine automatisierten Einzelfallentscheidungen

FRYA nutzt KI ausschließlich zur Verarbeitung Ihrer Buchhaltungsbelege. Es findet kein automatisiertes Profiling oder Scoring Ihrer Person statt. Vollautomatische Entscheidungen mit rechtlicher Wirkung gem. Art. 22 DSGVO finden nicht statt — jede buchhalterisch relevante Entscheidung erfordert eine menschliche Freigabe.

5.6 Trainingsdaten

Ihre Belege und Buchungsdaten werden nicht zum Training von KI-Modellen verwendet. Die eingesetzten LLM-Anbieter (IONOS, AWS Bedrock) garantieren vertraglich, dass Inferenz-Anfragen nicht zur Modell-Verbesserung herangezogen werden.

6. Speicherdauer

Es gelten die durch das Vierte Bürokratieentlastungsgesetz (BEG IV, seit 01.01.2025) geänderten gesetzlichen Aufbewahrungsfristen:

• Buchungsbelege und Rechnungen: 8 Jahre (§ 147 Abs. 1 Nr. 4, Abs. 3 AO; § 257 Abs. 4 HGB; § 14b UStG).
• Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse: 10 Jahre (§ 147 Abs. 1 Nr. 1, Abs. 3 AO).
• Empfangene und abgesandte Handels-/Geschäftsbriefe: 6 Jahre (§ 147 Abs. 1 Nr. 2, 3, Abs. 3 AO).
• Die Fristen beginnen mit dem Schluss des jeweiligen Kalenderjahres (§ 147 Abs. 4 AO) und laufen nicht ab, solange die steuerliche Festsetzungsfrist noch nicht abgelaufen ist (§ 147 Abs. 3 Satz 5 AO) — im Einzelfall also länger.
• Chat-Verlauf (Redis): automatische Löschung nach 24 Stunden; langfristige Nutzer-Präferenzen bis zum Widerruf bzw. Vertragsende.
• Konto- und sonstige operative Daten: für die Dauer des Vertragsverhältnisses; nach Vertragsende Exportfenster von 90 Tagen, danach Löschung (Details: AGB § 9, AVV § 10).
• Audit-Log: append-only; Aufbewahrung für die Dauer der gesetzlichen Aufbewahrungspflicht.
• Steuerlich aufbewahrungspflichtige Daten werden bei Löschbegehren anonymisiert statt gelöscht, soweit die Aufbewahrungspflicht der Löschung entgegensteht (Art. 17 Abs. 3 lit. b DSGVO).

7. Auftragsverarbeiter und Empfänger

Mit allen genannten Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Dokumentenspeicher (Paperless-ngx), Fehler-Monitoring (GlitchTip, mit PII-Bereinigung) und LLM-Tracing (Langfuse) betreiben wir selbst auf eigener Infrastruktur in Deutschland — dabei verlassen keine Daten unseren Server.

7a. Telegram und E-Mail-Eingang (optional)

Wenn du Belege über Telegram an FRYA sendest, verarbeitet die Telegram Messenger Inc. (VAE/außerhalb der EU) deine Nachrichtendaten nach ihren eigenen Datenschutzbestimmungen — dieser Kanal ist optional und wird durch dich veranlasst; nutze ihn nur, wenn du damit einverstanden bist. Gleiches gilt für die Einreichung per E-Mail über deinen E-Mail-Anbieter. Innerhalb von FRYA werden die Inhalte anschließend wie Web-Uploads verarbeitet.

7b. Drittlandübermittlung (AWS)

Die KI-Verarbeitung über Amazon Bedrock findet ausschließlich in EU-Rechenzentren (Region Frankfurt) statt; Vertragspartner ist die Amazon Web Services EMEA SARL (Luxemburg). Der Dienst speichert Ein- und Ausgaben nicht und nutzt sie nicht zum Modell-Training; der Modellanbieter hat keinen Zugriff auf die Inferenz-Umgebung. Da AWS zu einem US-Konzern gehört, kann ein Zugriff aus den USA (z. B. aufgrund behördlicher Anordnung, CLOUD Act) nicht vollständig ausgeschlossen werden. Für diesen Fall bestehen als Garantien die EU-Standardvertragsklauseln (Beschluss (EU) 2021/914), die Bestandteil des mit AWS geschlossenen Auftragsverarbeitungsvertrags sind, sowie ergänzend die Zertifizierung von AWS unter dem EU-US Data Privacy Framework. Eine Kopie der Garantien kannst du über die in Abschnitt 1 genannten Kontaktdaten anfordern (Art. 13 Abs. 1 lit. f DSGVO).

8. Rechte der betroffenen Personen

Sie haben folgende Rechte gem. DSGVO:

• Auskunft (Art. 15): Kopie der Sie betreffenden Daten
• Berichtigung (Art. 16): Korrektur unrichtiger Daten
• Löschung (Art. 17): „Recht auf Vergessenwerden" — während gesetzlicher Aufbewahrungsfristen nur eingeschränkt möglich (Art. 17 Abs. 3 lit. b DSGVO, siehe Abschnitt 6)
• Einschränkung der Verarbeitung (Art. 18)
• Datenportabilität (Art. 20): Export Ihrer Daten in einem maschinenlesbaren Format
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3): jederzeit mit Wirkung für die Zukunft, so einfach wie die Erteilung (formlos an kontakt@myfrya.de)

Außerdem haben Sie das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO, siehe Abschnitt 10).

9. Kontakt für Datenschutzanfragen

Heiko Bläsi, Bergstraße 22, 75053 Gondelsheim
E-Mail: kontakt@myfrya.de
Ein Datenschutzbeauftragter ist nicht benannt (keine gesetzliche Pflicht, § 38 BDSG).

10. Zuständige Aufsichtsbehörde

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW)
Heilbronner Straße 35, 70191 Stuttgart
Telefon: 0711 615541-0
E-Mail: poststelle@lfdi.bwl.de
https://www.baden-wuerttemberg.datenschutz.de

11. Cookies und lokale Speicherung (§ 25 TDDDG)

FRYA setzt ausschließlich technisch notwendige Cookies und Speichertechnologien ein (Session-/Login-Token, Sicherheits-Token, lokale Einstellungen der App). Diese sind unbedingt erforderlich, um den von dir ausdrücklich gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG) — eine Einwilligung ist dafür nicht erforderlich, ein Cookie-Banner wird nicht angezeigt. Es findet kein Tracking zu Werbe- oder Analysezwecken statt.

12. Daten Dritter in hochgeladenen Belegen

Hochgeladene Belege enthalten regelmäßig personenbezogene Daten Dritter (z. B. von Lieferanten oder Kunden des Nutzers). Für diese Daten ist der jeweilige Nutzer Verantwortlicher; FRYA verarbeitet sie als Auftragsverarbeiter nach Maßgabe des Auftragsverarbeitungsvertrags (AVV). Betroffene wenden sich für Auskünfte zu diesen Daten an den jeweiligen Nutzer als Verantwortlichen.

13. Stand und Änderungen

Stand dieser Datenschutzerklärung: 06.07.2026. Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert; die jeweils aktuelle Fassung ist in der App und unter dieser Adresse abrufbar.