AI-ReceiptZur Startseite

Rechtliches

Datenschutzerklärung

Stand: 16. Juli 2026 · Testphase

Mit dieser Erklärung informieren wir Sie gemäß Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) über die Verarbeitung personenbezogener Daten bei der Nutzung von AI-Receipt (nachfolgend „der Dienst“ oder „AI-Receipt“), erreichbar unter www.ai-receipt.com. AI-Receipt verarbeitet Belege (z. B. Restaurant-, Hotel- oder Tankquittungen) und extrahiert daraus mit Unterstützung künstlicher Intelligenz die steuerrelevanten Daten. Belege können dabei auch personenbezogene und finanzielle Daten Dritter enthalten; wir gehen mit diesen Angaben entsprechend sorgfältig um.

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

  • QI Investment S.à r.l.
  • 9, Rue du Laboratoire
  • L-1911 Luxemburg, Luxemburg
  • Handelsregister (RCS Luxembourg): B270920
  • USt-IdNr.: LU34290274
  • E-Mail: hello@ai-receipt.com

Einen gesonderten Datenschutzbeauftragten haben wir nicht bestellt, da hierzu keine gesetzliche Verpflichtung besteht. Für alle Anliegen zum Datenschutz wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

2. Welche Daten wir verarbeiten

a) Konto- und Anmeldedaten

Zur Registrierung und Anmeldung verarbeiten wir Ihre E-Mail-Adresse und ein von Ihnen gewähltes (verschlüsselt gespeichertes) Passwort sowie den Zeitpunkt der Registrierung und Anmeldung. Diese Daten werden über unseren Auftragsverarbeiter Supabase verwaltet.

b) Belege und daraus extrahierte Daten

Wenn Sie einen Beleg hochladen (über das Web-Dashboard oder per WhatsApp), verarbeiten wir die Belegdatei selbst (JPEG, PNG, WebP oder PDF) sowie die daraus automatisiert ausgelesenen Inhalte: Name und Anschrift des ausstellenden Unternehmens, Belegdatum, Beleg-/ Rechnungsnummer, Beträge, Steuersätze und Steuerbeträge, Währung, Zahlart und Belegart. Belege können darüber hinaus weitere Angaben enthalten, die Sie oder Dritte betreffen (z. B. bei bewirteten Personen oder handschriftlichen Vermerken). Diese Inhalte werden zu Buchführungs- und Steuerzwecken verarbeitet.

c) WhatsApp-Einreichung

Nutzen Sie die Einreichung per WhatsApp, verarbeiten wir Ihre in den Einstellungen hinterlegte WhatsApp-Nummer, um eingehende Nachrichten Ihrem Konto zuzuordnen, sowie die von Ihnen gesendete Beleg-Aufnahme und die technischen Metadaten der Nachricht. Nachrichten von nicht zugeordneten (unbekannten) Nummern werden nicht gespeichert; der Absender erhält lediglich einen Hinweis, seine Nummer im Konto zu hinterlegen.

d) Technische Daten

Beim Aufruf des Dienstes fallen technisch notwendige Daten an, die unser Hosting-Dienstleister verarbeitet (z. B. IP-Adresse, Datum/Uhrzeit des Zugriffs, angeforderte Ressource, Browsertyp). Diese Daten sind für den sicheren und stabilen Betrieb erforderlich. Wir setzen keine Tracking- oder Analyse-Cookies und keine Werbe-Tools ein.

3. Zwecke und Rechtsgrundlagen

  • Bereitstellung des Nutzerkontos und des Dienstes (Registrierung, Anmeldung, Speicherung und Verwaltung Ihrer Belege) — Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen).
  • Automatisierte Auslesung der Belegdaten (KI-gestützte Extraktion) zur Erbringung der von Ihnen angeforderten Kernfunktion — Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung i. S. d. Art. 22 DSGVO statt; die ausgelesenen Werte dienen Ihrer Prüfung und Weiterverarbeitung und können von Ihnen bearbeitet werden.
  • Empfang von Belegen per WhatsApp — Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO auf Ihre Veranlassung.
  • Sicherer, stabiler und missbrauchsfreier Betrieb (Hosting, Protokollierung, Signaturprüfung eingehender Webhooks) — Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen und abgesicherten Dienst).

4. Empfänger und Auftragsverarbeiter

Zur Erbringung des Dienstes setzen wir sorgfältig ausgewählte Dienstleister ein, die personenbezogene Daten ausschließlich weisungsgebunden in unserem Auftrag verarbeiten (Art. 28 DSGVO). Mit diesen Anbietern bestehen Auftragsverarbeitungsverträge. Es handelt sich um:

Supabase — Datenbank, Authentifizierung und Speicher

Supabase (Supabase, Inc.) hostet unsere Datenbank, die Nutzer- Authentifizierung und den Speicher der Belegdateien. Hier liegen Ihre Konto-, Beleg- und extrahierten Daten. Die von uns genutzte Supabase-Instanz wird in der EU-Region (Frankfurt, Deutschland) betrieben.

OpenAI — KI-gestützte Belegauslesung

Zur automatisierten Auslesung übermitteln wir das Belegbild an OpenAI (OpenAI, L.L.C., USA) und lassen es durch das Vision-Modell gpt-4o analysieren. OpenAI erhält damit die auf dem jeweiligen Beleg abgebildeten Inhalte — einschließlich etwaiger personenbezogener und finanzieller Angaben (Händler, Anschrift, Datum, Beträge, Steuerdaten und alles Weitere, was auf dem Beleg sichtbar ist). Die Übermittlung erfolgt ausschließlich zum Zweck der Datenextraktion für den jeweiligen Beleg. Nach den Zusagen von OpenAI werden über die API übermittelte Daten nicht zum Training der Modelle verwendet. Da Belege sensible und Dritte betreffende Angaben enthalten können, beschränken wir die Übermittlung strikt auf den hochgeladenen Beleg und die zur Auslesung erforderliche Anfrage.

Twilio / WhatsApp — Einreichung von Belegen per Messenger

Für die Beleg-Einreichung per WhatsApp nutzen wir Twilio (Twilio Inc., USA). Senden Sie eine Beleg-Aufnahme an unsere WhatsApp-Nummer, nimmt Twilio die Nachricht und das Medium entgegen und stellt sie unserem Dienst über einen signaturgeprüften Webhook zur weiteren Verarbeitung bereit. Verarbeitet werden dabei Ihre Absender-/WhatsApp-Nummer, das Beleg-Medium und die Nachrichten-Metadaten. Für die WhatsApp-Nachricht selbst gelten zusätzlich die Datenschutzbestimmungen des Messenger-Betreibers (Meta/WhatsApp), auf die wir keinen Einfluss haben.

Vercel — Hosting

Der Dienst wird bei Vercel (Vercel Inc., USA) gehostet. Vercel verarbeitet die für die Auslieferung der Anwendung technisch notwendigen Zugriffs- und Protokolldaten (z. B. IP-Adresse, Zeitpunkt, angeforderte Ressource).

5. Übermittlung in Drittländer

OpenAI, Twilio und Vercel haben ihren Sitz in den USA; eine Verarbeitung in den USA findet statt bzw. kann nicht ausgeschlossen werden. Diese Übermittlungen stützen wir auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Soweit der jeweilige Anbieter unter dem EU-U.S. Data Privacy Framework (DPF) zertifiziert ist, erfolgt die Übermittlung zusätzlich auf Grundlage des Angemessenheitsbeschlusses der Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Trotz dieser Garantien kann in Drittländern kein mit dem EU-Recht vollständig gleichwertiges Datenschutzniveau garantiert werden; hierauf weisen wir ausdrücklich hin. Die Datenbank- und Speicherverarbeitung bei Supabase erfolgt demgegenüber in der EU (Frankfurt).

6. Speicherdauer

Ihre Konto- und Belegdaten speichern wir, solange Ihr Konto besteht und Sie den Dienst nutzen. Einzelne Belege können Sie jederzeit selbst im Dashboard löschen; die zugehörige Datei wird dann aus dem Speicher entfernt. Löschen Sie Ihr Konto bzw. fordern Sie dessen Löschung an, werden Ihre personenbezogenen Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die an OpenAI übermittelten Belegbilder werden dort nur vorübergehend zur Bearbeitung der Anfrage verarbeitet und nicht zu Trainingszwecken gespeichert. Beleg-Aufnahmen von unbekannten WhatsApp-Nummern werden nicht gespeichert.

7. Ihre Rechte

Ihnen stehen als betroffener Person nach der DSGVO die folgenden Rechte zu:

  • Auskunft (Art. 15 DSGVO) über die zu Ihnen verarbeiteten Daten;
  • Berichtigung (Art. 16 DSGVO) unrichtiger oder Vervollständigung unvollständiger Daten;
  • Löschung (Art. 17 DSGVO), „Recht auf Vergessenwerden“;
  • Einschränkung der Verarbeitung (Art. 18 DSGVO);
  • Datenübertragbarkeit (Art. 20 DSGVO) in einem strukturierten, gängigen und maschinenlesbaren Format;
  • Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen, aus Gründen Ihrer besonderen Situation.

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an hello@ai-receipt.com.

Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt. Da der Verantwortliche seinen Sitz in Luxemburg hat, ist die zuständige Aufsichtsbehörde die Commission nationale pour la protection des données (CNPD), 15, Boulevard du Jazz, L-4370 Belvaux, Luxemburg (www.cnpd.public.lu). Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Arbeitsplatzes wenden.

8. Widerruf und Pflicht zur Bereitstellung

Soweit eine Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Die Bereitstellung der Konto- und Belegdaten ist zur Nutzung des Dienstes erforderlich; ohne diese Daten können wir den Dienst nicht erbringen.

9. Datensicherheit

Der Zugriff auf den Dienst erfolgt verschlüsselt (TLS). Der Zugriff auf Ihre Daten in der Datenbank ist durch nutzerbezogene Zugriffsbeschränkungen (Row-Level-Security) abgesichert; eingehende WhatsApp-Webhooks werden anhand einer kryptografischen Signatur geprüft, unsignierte oder nicht übereinstimmende Anfragen werden abgewiesen.

10. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Bei wesentlichen Änderungen — etwa bei Einführung weiterer Verarbeitungen oder Dienstleister — aktualisieren wir den oben genannten Stand. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.