Datenschutzerklärung

1. Verantwortliche Stelle

frag.hugo Informationssicherheit GmbH, Spaldingstraße 64-68, 20097 Hamburg, info@fraghugo.de. Weitere Angaben im Impressum.

1a. Datenschutzbeauftragter

Wir haben einen externen Datenschutzbeauftragten bestellt: datuno GmbH, Kiebitzhörn 15, 22885 Barsbüttel, Telefon +49 40 22 853 843-0, datenschutz@datuno.de.

2. Diese Website

Die Website setzt keine Cookies und bindet keine externen Schriften, Karten oder Videos ein. Zur Reichweitenmessung läuft Matomo auf einem eigenen Server (siehe unten) — ohne Cookies und ohne Weitergabe an Dritte. Deshalb gibt es hier auch kein Einwilligungsbanner.

Reichweitenmessung (Matomo)

Wir messen, welche Seiten aufgerufen werden und welche Inhalte weiterführen. Dafür nutzen wir Matomo — eine Analyse-Software, die auf einem von uns verwalteten Server in Deutschland läuft und nicht als Dienst eines Analyse-Anbieters eingekauft ist. Die Daten gehen an keinen Auswertungsdienst und in kein Drittland. Der Server wird bei der Mittwald CM Service GmbH & Co. KG (Espelkamp, Deutschland) betrieben; die Instanz wird von der hagel IT-Services GmbH verwaltet. Beide sind insoweit unsere Auftragsverarbeiter (Ziffer 5).

Die Messung arbeitet ohne Cookies. Es wird nichts auf deinem Gerät gespeichert und nichts von dort ausgelesen. Verarbeitet werden die aufgerufene Seite, die zuvor besuchte Seite, Zeitpunkt, ungefähre Herkunft, Browser- und Gerätetyp sowie die Bildschirmgröße. Zusätzlich halten wir fest, wenn ein Formular erfolgreich abgeschickt oder eine Vorlage angefordert wurde — und bei mehrstufigen Formularen, welchen Schritt jemand erreicht hat. So sehen wir, an welcher Frage ein Formular hakt. Die eingegebenen Inhalte werden dabei nicht übertragen — weder die Antworten noch die Adressdaten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es zu erkennen, welche Inhalte gebraucht werden und wo die Website nicht trägt. Da ohne Cookies gemessen wird und kein Zugriff auf deine Endeinrichtung erfolgt, ist dafür keine Einwilligung erforderlich. Du kannst der Messung jederzeit widersprechen, indem du in deinem Browser Do Not Track aktivierst — Matomo wertet das aus — oder uns unter info@yupana.de schreibst.

Spam-Schutz der Formulare (Cloudflare Turnstile)

Auf Seiten mit Formularen laden wir Cloudflare Turnstile, um automatisierte Einsendungen abzuwehren. Dabei werden technische Angaben zum Browser und zur Anfrage an Cloudflare übermittelt und dort geprüft. Turnstile setzt keine Werbe-Cookies und erstellt kein Nutzungsprofil. Das Skript lädt erst, wenn du das Formular anfasst — wer nur liest, stellt keine Verbindung her. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Abwehr von Missbrauch. Cloudflare ist Auftragsverarbeiter (Ziffer 5).

Server-Logs

Beim Abruf werden technisch notwendige Daten verarbeitet (IP-Adresse, Zeitpunkt, abgerufene Ressource, Browsertyp). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am sicheren Betrieb. Diese Daten fallen beim Auslieferungsdienst Cloudflare an und werden dort nach kurzer Zeit gelöscht.

Kontaktformular

Wenn du das Formular auf /kontakt nutzt, verarbeiten wir deine Angaben ausschließlich, um deine Nachricht zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Der Versand läuft über einen Auftragsverarbeiter (siehe Ziffer 5). Zusätzlich schicken wir dir gelegentlich fachliche E-Mails zu den Themen dieser Website; Rechtsgrundlage, Widerspruchsrecht und Abgrenzung zum Newsletter stehen unter „Downloads“. Eine Weitergabe an Dritte findet nicht statt.

Downloads (Vorlagen und Anleitungen)

Forderst du über /downloads oder einen Beitrag eine Vorlage an, verarbeiten wir deine E-Mail-Adresse, um dir die Datei zu schicken und einmal nachzufragen, ob sie geholfen hat (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Protokolliert werden dazu die angeforderte Vorlage, die Seite, von der das Formular abgeschickt wurde, sowie Zeitpunkt, Herkunftsland, verweisende Seite und Browserkennung. Dieses Protokoll löscht sich nach 60 Tagen selbst.

Fachliche E-Mails und dein Widerspruchsrecht. Zusätzlich zur angeforderten Datei schicken wir dir über den Versanddienstleister Brevo (Ziffer 5) gelegentlich fachliche E-Mails zu den Themen dieser Website — Kosten, Verträge, Lizenzen und Auswertungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 7 Abs. 3 UWG: unser berechtigtes Interesse, Menschen, die eine fachliche Vorlage angefordert haben, zu verwandten eigenen Angeboten zu informieren.

Du kannst dem jederzeit widersprechen — ohne Angabe von Gründen und ohne andere Kosten als die der Übermittlung nach Basistarif. Dafür genügt der Abmeldelink am Ende jeder dieser E-Mails oder eine formlose Nachricht an datenschutz@datuno.de. Nach deinem Widerspruch endet der Versand dauerhaft. Auf dieses Recht weisen wir dich bei der Erhebung deiner Adresse und in jeder einzelnen E-Mail hin.

Der Newsletter ist davon getrennt: Er beruht auf deiner ausdrücklichen Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und wird erst versandt, wenn du den Link in der Bestätigungsmail angeklickt hast. Eine Weitergabe an Dritte zu Werbezwecken findet in keinem Fall statt.

Support-Meldungen

Meldungen über /support (Problem, Frage, Idee) verarbeiten wir, um sie zu bearbeiten und dir zu antworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Übermittelt werden deine Angaben aus dem Formular — Art des Anliegens, Beschreibung, E-Mail-Adresse und, falls angegeben, dein Name.

Wohin die Meldung geht. Sie wird per E-Mail an das Support-Postfach der frag.hugo Informationssicherheit GmbH zugestellt und dort von einer Mitarbeiterin oder einem Mitarbeiter gelesen und beantwortet. Der Versand läuft über Brevo (Sendinblue GmbH, Deutschland), das Postfach über Microsoft 365. Eine Übermittlung in ein Drittland findet dabei nicht statt. Die Zahl der Meldungen je E-Mail-Adresse ist auf zehn pro Tag begrenzt; dafür führen wir einen Tageszähler zu deiner Adresse.

Wenn daraus eine Änderung am Produkt wird. Beschreibt deine Meldung einen Fehler oder eine Idee, die wir umsetzen wollen, legt ein Mitarbeiter dazu einen Vorgang in unserem internen Entwicklungssystem an — als Ticket in einem nicht öffentlichen Repository bei GitHub (GitHub, Inc., USA). Übertragen wird dabei die Sachbeschreibung; deine Kontaktdaten bleiben im Support-Postfach. Kundenmeldungen laufen seit dem 9. September 2026 nicht mehr unmittelbar in dieses System.

Unabhängig davon protokollieren wir die Meldung für 60 Tage (Zeitpunkt, Herkunftsland, verweisende Seite, Browserkennung), damit sie nicht verloren geht, falls der Versand gerade nicht erreichbar ist.

Chat-Assistent

Auf den meisten Seiten steht unten rechts ein KI-Assistent zur Verfügung. Was du dort schreibst, wird zur Beantwortung an Azure OpenAI Service in der Region Frankfurt (Deutschland) übermittelt — ein Drittlandtransfer findet nicht statt. Die Inhalte werden nicht zum Training von Modellen verwendet.

Gespräche speichern wir nicht. Der Verlauf lebt im Speicher deines Browsers und ist mit dem Schließen des Tabs weg; wir legen kein Gesprächsarchiv an. Zur Missbrauchsabwehr wird kurzzeitig ein Zähler pro IP-Adresse geführt (Löschung nach zwei Minuten). Gibst du im Chat freiwillig deine E-Mail-Adresse an, damit wir dir antworten können, behandeln wir sie wie eine Anfrage über das Kontaktformular (Ziffer 5, Brevo). Bank- oder Kontodaten gehören nicht in dieses Fenster — der Assistent fragt auch nie danach.

3. Die Anwendung (app.yupana.de)

Yupana verarbeitet Unternehmensdaten im Auftrag des jeweiligen Kunden. Dazu gehören Kontobewegungen, Belegdaten, Vertragsdaten, betriebswirtschaftliche Auswertungen sowie — soweit Microsoft 365 angebunden ist — Lizenzzuweisungen und Anmeldezeitpunkte von Beschäftigten. Diese Verarbeitung erfolgt weisungsgebunden auf Grundlage eines Auftragsverarbeitungsvertrags; verantwortlich im Sinne der DSGVO ist der Kunde.

Zugang

Der Zugang erfolgt über einen Anmeldelink, den wir an die angegebene E-Mail-Adresse senden, oder über das Microsoft-365-Konto. Wir speichern dafür Name, E-Mail-Adresse und die Rolle innerhalb der Organisation. Passwörter speichern wir nicht, weil es keine gibt.

Selbstanmeldung: Prüfung der Firmendomain

Wer sich ohne vorheriges Gespräch anmeldet, durchläuft eine automatische Prüfung des Domain-Anteils der angegebenen Adresse. Dabei fragen wir öffentlich verfügbare Informationen zu dieser Domain ab: den Mailserver-Eintrag (MX) im Domain Name System sowie die Startseite und eine mögliche Anbieterkennzeichnung nach § 5 DDG (Impressum). Abgerufen wird ausschließlich die Domain — nicht der persönliche Teil der Adresse und keine Inhalte aus deinem Postfach. Ergebnis der Prüfung ist eine Einstufung (Firmendomain, allgemeiner E-Mail-Anbieter oder unklar, Wegwerf-Adresse); sie entscheidet darüber, ob der Test direkt beginnt — das gilt auch für Adressen bei allgemeinen Anbietern —, ob die Anmeldung als Anfrage an eine Firma geht, die mit derselben Domain schon bei Yupana ist, oder ob sie abgelehnt wird, weil es eine Wegwerf-Adresse ist. Grundlage ist unser berechtigtes Interesse an der Abwehr missbräuchlicher Anmeldungen (Art. 6 Abs. 1 lit. f DSGVO). Über jede Selbstanmeldung informieren wir uns intern per E-Mail, um Interessenten ansprechen zu können; auch das stützt sich auf Art. 6 Abs. 1 lit. f DSGVO. Widerspruch genügt formlos an die unten genannte Adresse.

Kostenloser Test (14 Tage)

Zweck. Wer sich anmeldet, bekommt eine eigene, leere Firma und kann Yupana 14 Tage lang mit den eigenen Zahlen testen. Dafür verarbeiten wir die Angaben zur Person (Name, E-Mail-Adresse, Rolle) und zur Firma (Name, Branche) sowie die Daten, die du selbst einliest. Die eingelesenen Unternehmensdaten verarbeiten wir schon im Test im Auftrag deiner Firma nach dem Auftragsverarbeitungsvertrag, den du bei der Anmeldung annimmst; verantwortlich für sie ist deine Firma.

Rechtsgrundlage für die Angaben zu Person und Firma ist der Testvertrag nach § 3 der AGB (Art. 6 Abs. 1 lit. b DSGVO). Bei der Anmeldung speichern wir außerdem, welche Fassung von AGB und AVV du wann angenommen hast — als Nachweis des Vertragsschlusses (Art. 6 Abs. 1 lit. b und f DSGVO).

E-Mails im Test. Während des Tests schreiben wir dir zum Stand deines Tests: bei der Anmeldung, in den ersten Tagen mit Hilfe zum Einrichten (nur, solange noch keine eigenen Zahlen da sind), zur Halbzeit, kurz vor und am Ende des Tests, zur Ankündigung der Löschung und nach der Löschung. Diese Mails gehören zum Testvertrag (Art. 6 Abs. 1 lit. b DSGVO) und sind keine Werbung. Du kannst sie jederzeit abbestellen — über den Link in jeder Mail oder in den Einstellungen. Ausgenommen sind die Ankündigung und die Bestätigung der Löschung, weil sie dich über das Schicksal deiner Daten informieren.

Speicherdauer und Löschung. Der Test dauert 14 Tage ab der Anmeldung; wer bis zum zwölften Tag noch keine eigenen Zahlen einlesen konnte, kann ihn einmal um eine Woche verlängern. Danach bleiben die Daten 30 Tage lesbar und exportierbar. Wird bis dahin kein Paket gebucht, löschen wir die Firma mit allen darin verarbeiteten Daten vollständig — in der Regel am 45. Tag nach der Anmeldung, nach einer Verlängerung eine Woche später. Wir kündigen die Löschung eine Woche vorher per E-Mail an und bestätigen sie danach. Bucht deine Firma ein Paket, bleiben die Daten erhalten, und es gelten die Fristen für Kunden (Ziffer 6).

Protokollierung

Freigaben, Änderungen, Anmeldungen und Exporte werden protokolliert (Audit-Log) — Grundlage ist das berechtigte Interesse an Nachvollziehbarkeit sowie handels- und steuerrechtliche Aufbewahrungspflichten des Kunden. Diese Einträge bleiben, solange der Vertrag läuft: Ein Freigabe-Nachweis, der nach einem Quartal verschwindet, ist keiner.

Zusätzlich hält die Anwendung fest, welche Ansicht wann von wem geöffnet wurde. Diese Einträge dienen ausschließlich dazu, im Streitfall nachvollziehen zu können, wer Einblick in Finanzdaten hatte. Sie sind für den Inhaber-Zugang der jeweiligen Organisation sichtbar (Einstellungen → Protokoll) und werden nach 90 Tagen automatisch gelöscht; ein täglicher Lauf entfernt sie. Eine Auswertung von Arbeitsverhalten oder Arbeitszeit findet nicht statt und ist mit diesen Daten wegen der Frist auch nicht möglich.

Lesen von PDF-Dateien

Auf den Seiten /analyse, /documents und /bwa/import wird ein hochgeladenes PDF im Browser selbst gelesen. Das dafür nötige Hilfsprogramm (pdf.js) liefern wir seit dem 25. August 2026 von unseren eigenen Servern aus. Zuvor kam es von einem weltweiten Auslieferungsnetz, das dabei IP-Adresse und Browserkennung erfuhr; diese Verbindung entfällt jetzt vollständig. Beim Lesen einer BWA verlässt damit weder die Datei noch eine Verbindungsangabe den Verantwortungsbereich.

4. Künstliche Intelligenz

Sprachmodelle werden ausschließlich auf ausdrückliche Anforderung genutzt — es gibt keine automatischen oder zeitgesteuerten KI-Läufe. Übermittelt werden aggregierte Auswertungsdaten (z. B. Positionen einer BWA), keine Kontonummern und keine vollständigen Belegdateien, soweit der Kunde nicht selbst ein Dokument zur Analyse hochlädt. Die Modelle werden mit diesen Daten nicht trainiert. Jede erzeugte Zahl wird vor der Anzeige gegen die Datenbasis geprüft.

Web-Recherche zu Zahlungsempfängern. Um aus einem kryptischen Empfängernamen auf dem Kontoauszug ein brauchbares Lieferantenprofil zu machen, wird auf Anforderung eine Suchanfrage an den Suchdienst DataForSEO (DataForSEO OÜ, Estland) geschickt. Übermittelt wird ausschließlich der Empfängername, wie er in der Buchung steht — keine IBAN, kein Betrag, kein Verwendungszweck und keine Angaben zum Konto. Das Ergebnis wird zwischengespeichert, damit derselbe Empfänger nur einmal recherchiert werden muss.

5. Auftragsverarbeiter

Dienstleister	Zweck	Ort
Cloudflare Germany GmbH	Auslieferung, Anwendungslaufzeit, Zugangsschutz	EU-Region
Hetzner Online GmbH	Datenbank-Hosting	Deutschland
Brevo (Sendinblue GmbH)	Transaktionale E-Mails	EU
Microsoft (Azure OpenAI Service)	Chat-Assistent auf der Website	Frankfurt, Deutschland
OpenAI, L.L.C.	Sprachmodelle für Texterzeugung und Belegauswertung	USA (Standardvertragsklauseln)
DataForSEO OÜ	Web-Recherche zu Zahlungsempfängern (nur auf Anforderung)	Estland (EU); Übermittlung in Drittländer nur mit Standardvertragsklauseln
Microsoft Ireland Operations Ltd. (Microsoft 365)	Support-Postfach der Betreiberin	EU
GitHub, Inc.	Ablage interner Entwicklungsvorgänge (nur die Sachbeschreibung, keine Kontaktdaten)	USA
hagel IT-Services GmbH	Betrieb des internen Entwicklungssystems und der Matomo-Instanz (Übergang)	Hamburg
Mittwald CM Service GmbH & Co. KG	Server für die Reichweitenmessung (Matomo)	Espelkamp, Deutschland
Stripe Payments Europe Ltd.	Zahlungsabwicklung (ab Buchung eines Pakets)	EU

Übermittlung in Drittländer

Für die USA besteht seit dem 10. Juli 2023 ein Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework), der allerdings nur für dort zertifizierte Unternehmen gilt. Wo ein Empfänger nicht zertifiziert ist, stützen wir die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss 2021/914) samt einer Prüfung der Rechtslage im Zielland. Eine Kopie dieser Garantien stellen wir auf Anfrage bereit — formlos an datenschutz@datuno.de. Trotz dieser Garantien lässt sich ein Zugriff durch Behörden des Ziellands nicht vollständig ausschließen; darauf weisen wir ausdrücklich hin.

5a. Keine automatisierte Entscheidung im Einzelfall

Eine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt; ein Profiling ebenso wenig. Die unter Ziffer 3 beschriebene Einstufung einer Domain entscheidet allein darüber, ob ein kostenloser Test sofort beginnt, als Anfrage an eine bestehende Firma läuft oder — bei einer Wegwerf-Adresse — nicht angelegt wird. Mit jeder anderen Adresse, auch bei einem allgemeinen E-Mail-Anbieter, ist der Test möglich. Wer mit der Einstufung nicht einverstanden ist, schreibt uns; ein Mensch sieht sie sich an.

6. Speicherdauer

Daten in der Anwendung werden gelöscht, sobald der Kunde es verlangt oder das Vertragsverhältnis endet, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Im Einzelnen:

Was	Wann gelöscht
Kostenloser Test ohne Buchung (Firma mit allen Daten)	30 Tage nach Testende, in der Regel am 45. Tag nach der Anmeldung; Ankündigung eine Woche vorher
Nachweis, dass AGB und Auftragsverarbeitungsvertrag angenommen wurden (Adresse, Firmenname, Fassung, Zeitpunkt — keine Zahlen der Firma)	drei Jahre nach der Annahme, getrennt von den Daten der Firma aufbewahrt (Art. 6 Abs. 1 lit. c und f DSGVO: Nachweis des Vertrags über die Auftragsverarbeitung)
Daten eines gebuchten Kunden	spätestens 90 Tage nach Vertragsende, nach Herausgabe eines Exports
Protokoll, welche Ansicht wann geöffnet wurde	nach 90 Tagen, täglich
Protokoll über Freigaben, Änderungen, Anmeldungen, Exporte	mit den Daten der Firma
Protokoll der Formulareinsendungen (Downloads, Support)	nach 60 Tagen
Anfragen über das Kontaktformular	zwölf Monate nach der letzten Nachricht
Rechnungen und Zahlungsbelege	nach acht Jahren (§ 147 AO)
Handels- und Geschäftsbriefe	nach sechs Jahren (§ 257 HGB)
Adresse im Newsletter oder für fachliche E-Mails	bei Widerruf oder Widerspruch; danach nur noch in einer Sperrliste, damit dich keine Mail mehr erreicht
Server-Protokolle beim Auslieferungsdienst, Messdaten in Matomo	nach kurzer Zeit; die genauen Fristen tragen wir nach, sobald sie festgelegt sind

6a. Musst du diese Daten angeben?

Nein. Die Angabe ist weder gesetzlich noch vertraglich vorgeschrieben, und du bist nicht verpflichtet, sie zu machen. Ohne E-Mail-Adresse können wir dir allerdings weder eine Vorlage schicken noch einen Test einrichten noch auf eine Anfrage antworten — insoweit ist die Angabe für den jeweiligen Zweck erforderlich.

7. Deine Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung — etwa in den Newsletter — kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt. Dir steht außerdem das Recht auf Beschwerde bei einer Aufsichtsbehörde zu (Art. 77 DSGVO); zuständig für uns ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit. Wende dich an datenschutz@datuno.de — Kunden erhalten einen Datenexport (CSV/JSON) auf Anfrage.