Steuermann

Art. 13 und 14 DSGVO · Stand 28. September 2026

Datenschutzerklärung

Diese Erklärung beschreibt die Verarbeitung personenbezogener Daten auf der öffentlichen Website und bei der Nutzung der Software „Steuermann“. Für Daten, die eine Kanzlei in Steuermann zu ihren Mandanten, Interessenten und Angeboten verarbeitet, ist die Kanzlei verantwortlich; Appwood verarbeitet diese Daten im Auftrag. Die Einzelheiten regelt die AVV.

1. Verantwortlicher

Appwood UG (haftungsbeschränkt)
Breite Str. 98
38640 Goslar, Deutschland
E-Mail: kontakt@appwood.de

Vertreten durch den Geschäftsführer Steve Attwood.

2. Aufruf der Website und Sicherheitsprotokolle

Beim Aufruf können IP-Adresse, Zeitpunkt, angeforderte Adresse, übertragene Datenmenge, Statuscode sowie Browser- und Betriebssystemangaben verarbeitet werden. Die Verarbeitung ist erforderlich, um die Website auszuliefern, Störungen zu untersuchen und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und zuverlässige Betrieb des Dienstes.

Betriebs- und Sicherheitsprotokolle werden gelöscht oder anonymisiert, sobald sie für diese Zwecke und etwaige Rechtsverfolgung nicht mehr erforderlich sind. Bei einem konkreten Sicherheitsvorfall dürfen betroffene Einträge bis zu dessen abschließender Klärung aufbewahrt werden.

Für eine Übersicht über die Nutzung zählen wir Aufrufe von Startseite, Gebührenrechner, Hilfe und Registrierung ohne Besucherkennung. Auf der Website enthält eine gesonderte, vorübergehende Zählspur nur Tagesdatum, Seitenkategorie, Abrufart, Kampagnenzuordnung, Antwortstatus und feste technische Protokollfelder. Die Abrufart unterscheidet allein zwischen Browsern und automatisierten Abrufen, etwa durch Suchmaschinen, Link-Vorschauen oder Verfügbarkeitsprüfungen; dafür wird die vom Browser übermittelte Kennung (User-Agent) beim Abruf ausgewertet, aber nicht gespeichert. Trägt die aufgerufene Adresse eine von uns vergebene Kampagnenkennung (Parameter utm_campaign, etwa aus einer Anzeige oder einem Newsletter), ordnen wir den Aufruf zusätzlich dieser Kennung zu. Dafür vergleichen wir den Parameter beim Abruf mit einer festen Liste unserer Kennungen; in die Zählspur gelangt nur, welcher Listeneintrag zutraf oder dass keiner zutraf. IP-Adressen, vollständige Adressen mit allen URL-Parametern, sämtliche Header einschließlich der Browserkennung und genaue Besuchszeiten werden vor dem Schreiben entfernt. Die Zählspur wird alle zehn Minuten zu Tageszahlen zusammengefasst; vollständig verarbeitete, geschlossene Dateien werden anschließend geleert oder gelöscht. Bei der Registrierung wird unmittelbar ein Tageszähler erhöht, ebenfalls getrennt nach Abrufart. Tageszahlen halten wir 400 Tage vor. Sicherheitsprotokolle werden hierfür nicht ausgewertet oder verknüpft. Es entstehen keine Besucherprofile, und für die Zählung werden weder Cookies gesetzt noch Daten aus dem Browserspeicher gelesen.

3. Cookies und Browserspeicher

Steuermann verwendet keine externen Analyse-Dienste und keine Werbe- oder Profiling-Dienste und lädt Schriften, Stylesheets und Anwendungsskripte vom eigenen Server. Soweit eine Sitzung benötigt wird, setzt die Anwendung ein technisch notwendiges Sitzungs-Cookie. Es hält insbesondere Anmeldung, CSRF-Schutz und die aktive Kanzlei zusammen. Auch das öffentliche Kontaktformular benötigt dieses Cookie, um Anfragen und die Spam-Prüfung der Formularsitzung zuzuordnen. Das Cookie ist für JavaScript nicht lesbar (HttpOnly), wird in Produktion nur verschlüsselt übertragen (Secure), ist auf SameSite=Lax beschränkt und läuft bei einer dauerhaften Anmeldung spätestens nach zwölf Stunden ab. Rechtsgrundlagen sind § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 lit. b und f DSGVO.

Der Gebührenrechner auf der Website rechnet ausschließlich in Ihrem Browser. Eingegebene Werte werden weder an uns übertragen noch gespeichert; die Seite setzt dafür kein Cookie, liest und schreibt keinen Browserspeicher und trägt Ihre Eingaben nicht in die Adresszeile ein. Ohne JavaScript zeigt die Seite die vollständige Gebührentabelle.

Die Videos auf den Hilfeseiten („Erste Schritte“) werden erst nach einem Klick auf „Abspielen“ von einem Objektspeicher bei OVHcloud in der EU geladen; dabei erhält OVHcloud die in Abschnitt 2 genannten Zugriffsdaten, insbesondere die IP-Adresse. Es werden dabei keine Cookies gesetzt und kein Drittanbieter-Player eingebunden (Art. 6 Abs. 1 lit. f DSGVO).

Nach dem Speichern auf langen Einstellungsseiten legt ein Skript vorübergehend Pfad, Zeitstempel, Abschnittskennung und Scrollposition im sessionStorage des Browsers ab. Der Eintrag wird beim nächsten Laden gelesen und sofort entfernt; nach zehn Sekunden wird er nicht mehr verwendet. Er wird nicht an einen Drittanbieter übertragen.

4. Registrierung, Benutzerkonto und Kanzleiverwaltung

Für Registrierung und Betrieb verarbeiten wir insbesondere E-Mail-Adresse, Passwort-Hash, Anmelde- und Sperrinformationen, gegebenenfalls ein verschlüsseltes MFA-Geheimnis, Kanzleiname, Anschrift, USt-IdNr., Mitgliedschaften, Rollen, Einladungen sowie Zeit und Version der angenommenen Vertragsunterlagen. Bei Einzelunternehmern ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage. Für Beschäftigte und sonstige Benutzer der Kanzlei stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse besteht in Durchführung und Absicherung des Kanzleivertrags.

Zum Schutz vor automatisierten Registrierungen berechnet Ihr Browser vor dem Versand der Aktivierungsmail eine Rechenaufgabe mit der selbst gehosteten Software ALTCHA. Unser Server prüft die Lösung und ordnet sie der Formularsitzung zu. Wie beim Kontaktformular (Abschnitt 8) kommen alle dafür benötigten Dateien von unserem Server; wir übertragen keine Daten an einen CAPTCHA-Anbieter, zeichnen keine Maus- oder Tastatureingaben auf und setzen keine zusätzlichen Cookies. Eine Aufgabe gilt zehn Minuten und kann einmal verwendet werden; zum Erkennen erneut verwendeter Aufgaben speichern wir eine zweckgebundene kryptografische Kennung der Aufgabe, die nach 24 Stunden beim nächsten stündlichen Bereinigungslauf gelöscht wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse besteht darin, Mails an unbeteiligte Personen zu verhindern.

Bei der Registrierung können Sie freiwillig angeben, wie Sie auf Steuermann aufmerksam geworden sind (Auswahl aus einer festen Liste, kein Freitext). Die Angabe wird der Kanzlei zugeordnet gespeichert und ausschließlich zusammengefasst je Antwort ausgewertet, um unsere Vertriebswege zu beurteilen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auswertung der eigenen Vertriebskanäle). Sie können die Frage ohne Nachteil unbeantwortet lassen.

Registrierungs-, Einladungs- und Rücksetzlinks sind zeitlich beschränkt und werden nur als kryptografischer Hash gespeichert. Einen Registrierungsvorgang samt E-Mail-Adresse löschen wir 14 Tage nachdem der Link verwendet wurde oder abgelaufen ist, auch wenn die Registrierung nie abgeschlossen wurde. Benutzerkonten ohne aktive Kanzleizuordnung werden nach einer Schonfrist zur Löschung vorgemerkt; die Anwendung ist derzeit auf 30 Tage eingestellt. Gesetzliche Pflichten und ein bestehender Super-Administrator- Zugang bleiben unberührt.

5. Vertrag, Abrechnung und Stripe

Für Vertrag und Abrechnung verarbeiten wir Vertragsstammdaten, gewählten Tarif, Gutschein- und Abonnementstatus, Stripe-Kunden- und Abonnementkennungen, Rechnungsdaten sowie Zahlungsstatus. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und, für handels- und steuerrechtliche Nachweise, Art. 6 Abs. 1 lit. c DSGVO.

Zahlungen und das Kundenportal werden über Stripe bereitgestellt. Die Anwendung übermittelt dafür insbesondere E-Mail-Adresse, Kanzleiname und eine interne Kanzlei- Kennung an Stripe. Zahlungsdaten werden auf den von Stripe gehosteten Seiten erfasst; Steuermann speichert keine vollständigen Karten- oder Kontodaten. Vertragspartner für Stripe-Dienste im EWR ist regelmäßig Stripe Payments Europe, Limited, Irland. Stripe verarbeitet Daten abhängig von der Funktion als Auftragsverarbeiter und als eigener Verantwortlicher. Bei Übermittlungen außerhalb des EWR nutzt Stripe nach eigenen Angaben insbesondere den EU-U.S. Data Privacy Framework und Standardvertragsklauseln. Einzelheiten finden Sie in der Stripe-Datenschutzrichtlinie und im Stripe-DPA.

6. Kanzlei-, Mandanten- und Angebotsdaten

Die Kanzlei kann in Steuermann Mandanten- und Interessentenstammdaten, Ansprechpartner, Leistungs- und Gegenstandswerte, Gebührenentscheidungen, Angebotstexte, Unterschriften, Briefpapier sowie Angebots-PDFs verarbeiten. Zweck, Rechtsgrundlage und Löschfristen bestimmt die Kanzlei. Appwood verarbeitet diese Daten ausschließlich für Bereitstellung, Sicherung, Support und vertragsgemäße Weiterentwicklung des Dienstes nach dokumentierter Weisung der Kanzlei.

Kanzleidaten werden serverseitig nach Mandant getrennt. Finale PDF-Dokumente liegen in privatem Objektspeicher oder ersatzweise in der Datenbank. Bei Nutzung des Objektspeichers werden sie zusätzlich anwendungsseitig verschlüsselt.

7. Freigabelinks und Audit-Protokoll

Eine Kanzlei kann für ein finales Angebots-PDF einen widerrufbaren Freigabelink erstellen. Der Klartext-Token wird nicht gespeichert; der Link ist derzeit höchstens sieben Tage und zehn Downloads gültig. Beim Download werden Zeitpunkt, Zähler und IP-Adresse im Sicherheits- und Nachweisprotokoll erfasst. Für diese Verarbeitung ist die Kanzlei verantwortlich; Appwood handelt als Auftragsverarbeiter. Die Kanzlei muss Empfänger über die Verarbeitung informieren und den Link nur über einen geeigneten Kanal versenden.

8. E-Mail-Versand, Support und Feedback

Aktivierungs-, Einladungs-, Sicherheits- und Servicemails werden zunächst in einer ausfallsicheren Versandwarteschlange gespeichert. Verarbeitet werden Empfänger, Betreff, Text- und HTML-Inhalt, Versandstatus, Versuche und Fehlermeldungen. Die Zustellung erfolgt über ein E-Mail-Postfach bei OVHcloud (OVH GmbH/OVH SAS) in der EU; OVHcloud erhält dabei Empfängeradresse, Betreff und Inhalt der jeweiligen Nachricht. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b oder f DSGVO. Unser berechtigtes Interesse ist eine nachvollziehbare, zuverlässige Zustellung. Erfolgreich versendete sowie endgültig gescheiterte Mails löschen wir samt Inhalt und Metadaten nach 30 Tagen; für Kontaktanfragen gelten die kürzeren Fristen unten.

Wenn Sie Support anfragen oder Feedback absenden, verarbeiten wir Ihre Kontaktdaten, Nachricht, Kanzleizuordnung und die zur Bearbeitung erforderlichen technischen Angaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b oder f DSGVO.

Das öffentliche Kontaktformular erfordert keine Anmeldung. Wir verarbeiten Ihre E-Mail-Adresse, Ihre Nachricht und, falls angegeben, Ihren Namen zur Bearbeitung der Anfrage. Anfragen werden gespeichert und nach der Spam-Prüfung oder einer manuellen Freigabe an unser Kontaktpostfach übermittelt; die Antwort erfolgt per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses, Anfragen zu beantworten. Es wird keine automatische Bestätigungsmail versendet.

Zum Schutz vor automatisierten Nachrichten berechnet Ihr Browser beim Absenden eine Rechenaufgabe mit der selbst gehosteten Software ALTCHA. Unser Server prüft die Lösung und ordnet sie der Formularsitzung zu. Alle dafür benötigten Dateien kommen von unserem Server; wir übertragen keine Daten an einen CAPTCHA-Anbieter. Die Prüfung zeichnet keine Maus- oder Tastatureingaben auf, erstellt kein Besucherprofil und setzt keine zusätzlichen Cookies. Eine Aufgabe gilt zehn Minuten und kann einmal verwendet werden.

Zusätzlich begrenzen wir die Anzahl von Anfragen und Nachrichten. Dafür leiten wir aus der IP-Adresse und der angegebenen E-Mail-Adresse zweckgebundene kryptografische Kennungen ab; die Begrenzungshistorie enthält diese Kennungen und Zeitpunkte, keine Klartextadressen. Die Kennungen sind pseudonym, nicht anonym. Die Historie zur Begrenzung und zum Erkennen erneut verwendeter Aufgaben wird nach 24 Stunden beim nächsten stündlichen Bereinigungslauf gelöscht. Rechtsgrundlage für diese Schutzmaßnahmen ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht darin, den Kontaktweg vor Missbrauch zu schützen und erreichbar zu halten.

Wir prüfen Formulareingaben außerdem mit lokalen Regeln auf Hinweise auf automatisierten Versand. Auffällige Anfragen werden zur internen Prüfung zurückgehalten und zunächst nicht per E-Mail zugestellt. Berechtigte Betreiber können diese Anfragen lesen, freigeben oder löschen. Auch eine berechtigte Anfrage kann von diesen Regeln erfasst werden. Die Prüfung erfolgt ohne externe Spam-Dienste. Zurückgehaltene Anfragen werden derzeit sieben Tage ab Eingang aufbewahrt und anschließend beim nächsten stündlichen Bereinigungslauf gelöscht, sofern sie nicht zuvor freigegeben oder gelöscht wurden. Rechtsgrundlage ist das in diesem Abschnitt beschriebene berechtigte Interesse am Schutz vor Missbrauch.

Erfolgreich versendete Kontaktanfragen werden nach sieben Tagen beim nächsten stündlichen Bereinigungslauf aus der Versandwarteschlange gelöscht. Für endgültig gescheiterte oder durch die Empfängerfreigabe blockierte Nachrichten ist die Aufbewahrung derzeit auf 30 Tage eingestellt. Diese Fristen betreffen die Kopie in der Anwendung. Im Kontaktpostfach verarbeiten wir die Korrespondenz, solange sie für die Bearbeitung der Anfrage, bestehende Ansprüche oder gesetzliche Aufbewahrungspflichten erforderlich ist.

9. Empfänger und Auftragsverarbeiter

Empfänger erhalten nur die für ihre Aufgabe erforderlichen Daten. Dazu gehören:

Die Kerninfrastruktur von Steuermann wird in Rechenzentren innerhalb der EU betrieben; auch der E-Mail-Versand läuft über OVHcloud in der EU. Eine Drittlandübermittlung kann im Rahmen der Stripe-Dienste stattfinden. Sie erfolgt nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO.

10. Speicherdauer und Vertragsende

Wir speichern personenbezogene Daten nur solange, wie sie für den jeweiligen Zweck, die Vertragserfüllung, Sicherheitsnachweise oder gesetzliche Pflichten benötigt werden. Vor Vertragsende kann die Kanzlei einen strukturierten Datenexport abrufen und finale Angebote als PDF sichern. Nach Deaktivierung wird der Zugang gesperrt; die endgültige Kanzleilöschung wird durch den Betreiber kontrolliert ausgeführt. Dabei werden operative Kanzleidaten gelöscht und der Schlüssel für verschlüsselte Dokumente vernichtet. Gesetzlich aufzubewahrende Rechnungs- und Buchungsnachweise werden von der Kanzlei getrennt weiter aufbewahrt. Sicherungskopien werden nicht wieder in den Produktivbetrieb übernommen, außer dies ist für eine Wiederherstellung erforderlich, und nach Ablauf ihres Sicherungszyklus überschrieben.

11. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Die als Pflichtfelder gekennzeichneten Angaben werden für Konto und Vertrag oder für die Bearbeitung einer Kontaktanfrage benötigt. Ohne die jeweiligen Angaben kann die betreffende Funktion nicht genutzt werden. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt; ein Profiling findet ebenfalls nicht statt.

12. Ihre Rechte

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann mit Wirkung für die Zukunft widerrufen werden. Bitte wenden Sie sich an kontakt@appwood.de. Betrifft Ihr Anliegen Daten, die eine Kanzlei in eigener Verantwortung verarbeitet, richten Sie es zuerst an diese Kanzlei; wir unterstützen sie bei der Bearbeitung.

Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere beim Landesbeauftragten für den Datenschutz Niedersachsen.

13. Aktualisierung

Wir passen diese Erklärung an, wenn sich Verarbeitung, Dienstleister oder Rechtslage wesentlich ändern. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar.

← Zur Startseite