Datenschutzerklärung

Diese Erklärung gilt für Besucher der Cashbox-Website (cashbox.events) sowie für Organisationen und Nutzer der Cashbox-Anwendung.

Wenn Sie Cashbox über Ihren Arbeitgeber oder Ihre Produktionsfirma nutzen, ist diese Organisation Verantwortlicher für die Event-, Ausgaben-, Einnahmen- und Belegdaten, die Ihr Team eingibt. Cashbox handelt in ihrem Auftrag als Auftragsverarbeiter.

Für die Website selbst und für Ihren persönlichen Kontodatensatz (Name, E-Mail, Anmeldung) ist Cashbox Verantwortlicher.

Konto- und Anmeldedaten: Name, E-Mail-Adresse, Profilfoto (falls angegeben), gehashte Zugangsdaten oder Kennungen föderierter Anmeldungen (z. B. Google), Mitgliedschaft in Organisationen, Rolle und bevorzugte Sprache.

Konfiguration der Organisation: Name der Organisation, Steuernummer, Standardwährung, Gebietsschema, Kategorien, Freigabe-Schwellenwerte, Katalog der Steuersätze und eingeladene Mitglieder.

Von Ihrem Team eingegebene Finanzdaten: Events, Budgets, Ausgaben (einschließlich Lieferant, Beträge, Daten, Steuerzeilen, Kurs-Snapshots), Einnahmepositionen, Freigaben, Notizen und die zugehörige Audit-Historie.

Hochgeladene Dateien: Rechnungen und Belege als Anhänge sowie optionale Screenshots zu Support- oder Fehlermeldungen. Sie werden in Firebase Storage unter Ihrer Organisation gespeichert. Eine CSV-Datei, die Sie importieren, wird in Ihrem Browser gelesen und nie selbst gespeichert – gespeichert werden nur die Zeilen, die Sie bestätigen, als Ausgaben- oder Einnahmedatensätze.

Abrechnungsdaten: Tarif, Abostatus, Rechnungs-E-Mail, USt-IdNr. und Rechnungshistorie. Kartendaten verarbeitet Stripe; sie werden nie auf Servern von Cashbox gespeichert.

Kommunikation: der Inhalt von Nachrichten, die Sie über unser Kontaktformular, das Supportformular, Fehlermeldungen oder direkt per E-Mail senden.

Technische Daten: IP-Adresse, Browser, Gerätetyp, ungefährer Standort aus der IP-Adresse, Zeitstempel und übliche Serverprotokolle zur Sicherheit, Missbrauchsverhinderung und Fehlersuche.

Für den Betrieb des Dienstes: Nutzer authentifizieren, die Daten Ihrer Organisation anzeigen, Freigaben durchführen, Summen berechnen, transaktionale E-Mails senden (Einladungen, Freigaben, Passwort-Zurücksetzung) und einen manipulationssicheren Audit-Trail führen.

Für den Support: auf Kontakt-, Support- und Fehlermeldungen antworten und gemeldete Probleme untersuchen.

Zur Unterstützung von Importen: Wenn Sie eine CSV-Datei importieren, werden ihre Spaltenüberschriften und eine Auswahl ihrer Zeilen an die Gemini-API von Google gesendet, um eine Spaltenzuordnung vorzuschlagen. Sie bestätigen die Zuordnung, bevor etwas gespeichert wird, und ist der Dienst nicht verfügbar, ordnet der Import anhand der Namen zu.

Für Abrechnung und Abos: Tarif-Limits (aktive Events, Nutzer) durchsetzen, Zahlungen über Stripe abwickeln und Quittungen ausstellen.

Für die Sicherheit des Dienstes: Missbrauch erkennen, Betrug verhindern, Einsendungen begrenzen und andere Kunden schützen.

Zur Verbesserung des Produkts: aggregierte Nutzungsmuster und Zuverlässigkeit verstehen. Wir verkaufen keine personenbezogenen Daten und nutzen die Finanzdaten Ihrer Organisation nicht zum Training externer Modelle.

Vertragserfüllung: Bereitstellung des Dienstes für die Organisation und den Nutzer, die sich registriert haben.

Berechtigte Interessen: Absicherung des Dienstes, Verhinderung von Missbrauch, Beantwortung von Anfragen und Verbesserung der Zuverlässigkeit, abgewogen gegen Ihre Rechte.

Rechtliche Verpflichtungen: Erfüllung buchhalterischer, steuerlicher und anderer gesetzlicher Anforderungen (zum Beispiel Aufbewahrung von Rechnungsdaten).

Einwilligung: wenn Sie uns freiwillig zusätzliche Informationen senden, etwa einen Screenshot zu einer Fehlermeldung.

Wir teilen Daten mit einer kleinen Zahl von Infrastruktur- und Dienstleistern, ausschließlich um Cashbox zu betreiben:

Google Cloud / Firebase – Authentifizierung, Firestore-Datenbank und Cloud Storage (Datenregion: EU, soweit verfügbar).

Vercel – Hosting und Auslieferung der Anwendung. Verarbeitet Anfragen an die Website und die API und führt übliche Serverprotokolle.

Stripe – Abo-Abrechnung und Zahlungen; verarbeitet Ihre Kartendaten in seiner eigenen PCI-konformen Umgebung.

Resend – Versand der transaktionalen E-Mails und Benachrichtigungen aus dem Produkt.

Google Gemini – Spaltenzuordnung beim CSV-Import. Beim Import einer Datei werden ihre Spaltenüberschriften, ihre ersten 15 Zeilen und die darin enthaltenen unterschiedlichen Kategorie- oder Einnahmequellenwerte an die Gemini-API gesendet, damit sie vorschlagen kann, welche Spalte welche ist. Der Vorschlag ist eine Empfehlung, die Sie bestätigen, und der Import funktioniert auch, wenn der Aufruf fehlschlägt.

Google Analytics – Webanalyse auf unseren öffentlichen Seiten, nur mit Ihrer Einwilligung geladen; IP-Adressen werden anonymisiert.

Mit jedem Unterauftragsverarbeiter bestehen schriftliche Auftragsverarbeitungsverträge, und wir teilen nur die für den jeweiligen Dienst minimal nötigen Daten. Internationale Übermittlungen sind, soweit zutreffend, durch Standardvertragsklauseln abgedeckt.

Daten, die in einer Organisation erfasst werden (Events, Ausgaben, Einnahmen, Anhänge, Audit-Einträge), sind für andere Mitglieder dieser Organisation entsprechend ihrer Rolle sichtbar.

Inhaber und Administratoren einer Organisation sehen die Mitglieder, Einladungen, Rollenänderungen und den vollständigen Finanzdatensatz. Inhaber können die Daten ihrer Organisation jederzeit exportieren oder löschen.

Wir verkaufen keine personenbezogenen Daten und geben sie nicht an Dritte für deren eigene Werbung weiter.

Wir können Informationen offenlegen, wenn das Gesetz es verlangt, auf gültige behördliche oder gerichtliche Anordnung hin oder wenn es zum Schutz des Dienstes, unserer Nutzer oder unserer Rechte vernünftigerweise erforderlich ist.

Konto- und Organisationsdaten werden aufbewahrt, solange die Organisation aktiv ist. Wird ein Abo gekündigt, bleiben die Daten für eine kurze Übergangszeit erhalten, um einen Export zu ermöglichen, und werden danach auf Anfrage gelöscht oder anonymisiert.

Rechnungs-, Steuer- und Buchhaltungsdaten können länger aufbewahrt werden, wenn estnisches und EU-Recht dies verlangen (bei Buchhaltungsunterlagen in der Regel bis zu 7 Jahre).

Serverprotokolle und Sicherheitsdaten werden für einen ihrem Zweck angemessenen, begrenzten Zeitraum aufbewahrt.

Daten werden per TLS übertragen und auf verwalteter Infrastruktur mit Verschlüsselung im Ruhezustand gespeichert. Zugriffe sind rollenbasiert und werden sowohl in der Anwendung als auch auf Datenbankebene über Sicherheitsregeln durchgesetzt.

Jeder Schreibvorgang an Finanzdaten wird in einem Audit-Protokoll mit Person, Zeitstempel und Änderung erfasst. Kein System ist vollkommen sicher – wenn Sie glauben, dass Ihr Konto kompromittiert wurde, kontaktieren Sie uns sofort.

Nach der DSGVO und vergleichbaren Gesetzen können Sie Auskunft über Ihre personenbezogenen Daten, deren Berichtigung oder Löschung verlangen, bestimmten Verarbeitungen widersprechen oder sie einschränken lassen und eine übertragbare Kopie Ihrer Daten anfordern.

Inhaber können die Finanzdaten ihrer Organisation direkt aus dem Produkt exportieren. Für Anfragen zu persönlichen Konten schreiben Sie an hello@cashbox.events, mit genug Angaben, damit wir den Datensatz zuordnen können.

Wenn Sie meinen, dass wir Ihre Anfrage nicht angemessen behandelt haben, können Sie sich bei der estnischen Datenschutzaufsicht (Andmekaitse Inspektsioon) oder bei der Aufsichtsbehörde des EU-Mitgliedstaats Ihres Wohnsitzes beschweren.

Cashbox verwendet eine kleine Zahl unbedingt erforderlicher Cookies, um Sie angemeldet zu halten, vor Cross-Site-Request-Forgery zu schützen und Ihre Spracheinstellung zu speichern. Sie sind für den Dienst erforderlich und nicht optional.

Mit Ihrer Einwilligung nutzen wir außerdem Google Analytics 4, um zu verstehen, wie Besucher unsere öffentliche Website finden und nutzen. Es wird erst geladen, nachdem Sie im Cookie-Banner zugestimmt haben – lehnen Sie ab oder ignorieren Sie das Banner, wird kein Analyseskript geladen und kein Analyse-Cookie gesetzt.

Wenn Sie zustimmen, speichern wir auch die Kampagnenparameter (etwa utm_source oder gclid) aus dem Link, über den Sie zuerst auf die Website gekommen sind, damit wir erkennen, welches Marketing zu einer Registrierung geführt hat. Wenn Sie ablehnen, werden sie verworfen und verlassen Ihren Browser nie.

Sie können Ihre Wahl jederzeit ändern, indem Sie die Daten dieser Website in Ihrem Browser löschen; dann erscheint das Banner erneut. Unabhängig davon fragen wir mindestens alle sechs Monate erneut.

Cashbox ist ein Produkt für Unternehmen und richtet sich nicht an Kinder unter 16 Jahren. Wenn Sie glauben, dass eine minderjährige Person ein Konto angelegt hat, kontaktieren Sie uns, und wir entfernen es.

Wir können diese Erklärung anpassen, wenn sich das Produkt weiterentwickelt. Wesentliche Änderungen werden auf der Seite hervorgehoben und, wo angebracht, den Inhabern der Organisationen per E-Mail mitgeteilt.

Das Datum „Zuletzt aktualisiert“ oben auf dieser Seite zeigt immer die aktuelle Fassung.

Für Fragen zum Datenschutz, Anfragen betroffener Personen oder Angaben zu Unterauftragsverarbeitern wenden Sie sich an hello@cashbox.events.