1. Verantwortlicher

MG Beratungs- und Beteiligungsgesellschaft mbH, Im Eichholz 64, 30657 Hannover, vertreten durch den Geschäftsführer Michail Gershanovych.
E-Mail: info@cashupp.app · Registergericht: Amtsgericht Hannover, HRB 212844.

2. Was ist CashUPP?

CashUPP (cashupp.app) ist eine Software für Unternehmens-Finanzverwaltung: Kontoübersichten, Umsatzauswertung, Liquiditätsplanung, Buchhaltungsvorbereitung und Personalverwaltung. Die Nutzung richtet sich an Unternehmen (B2B).

3. Hosting und technische Infrastruktur

Die Anwendung wird auf Servern der Hetzner Online GmbH (Deutschland) betrieben (Auftragsverarbeitung gemäß Art. 28 DSGVO). Zur Absicherung und Auslieferung wird Cloudflare, Inc. (USA) als Web-Proxy/CDN eingesetzt; die Übermittlung stützt sich auf das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln. Sämtliche Verbindungen sind TLS-verschlüsselt. Zugangsdaten zu Bankschnittstellen werden zusätzlich mit AES-256-GCM verschlüsselt gespeichert; es werden tägliche Backups erstellt.

4. Server-Logs und Cookies

Beim Aufruf der Anwendung verarbeiten wir technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Ressource, User-Agent) zur Bereitstellung und Absicherung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). CashUPP verwendet ausschließlich technisch notwendige Session-Cookies für die Anmeldung (§ 25 Abs. 2 TDDDG; Art. 6 Abs. 1 lit. b DSGVO). Es findet kein Tracking zu Werbezwecken statt; es werden keine Analyse- oder Marketing-Cookies gesetzt.

5. Nutzerkonto

Bei der Registrierung verarbeiten wir Name, E-Mail-Adresse, Passwort (nur als Hash) sowie Firmenzugehörigkeit und Rolle — zur Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO). Sicherheitsrelevante Ereignisse (An-/Abmeldungen, Einstellungsänderungen) werden in einem Audit-Protokoll gespeichert (Art. 6 Abs. 1 lit. f DSGVO — Nachvollziehbarkeit und Missbrauchsschutz).

6. Bankkonten-Anbindung (finAPI)

Für den Abruf von Kontoinformationen nutzt CashUPP die Schnittstelle der finAPI GmbH, Adams-Lehmann-Straße 44, 80797 München — ein von der BaFin beaufsichtigter Kontoinformationsdienst. Die Anbindung eines Bankkontos erfolgt ausschließlich nach ausdrücklicher Freigabe (PSD2-Einwilligung) durch den Kontoinhaber im Anmeldedialog der Bank bzw. finAPI. Verarbeitet werden Kontostammdaten, Salden und Umsatzdaten (Art. 6 Abs. 1 lit. b DSGVO). Die Bank-Zugangsdaten werden von CashUPP zu keinem Zeitpunkt gespeichert. Für die eigene Verarbeitung ist finAPI datenschutzrechtlich (mit-)verantwortlich; Informationen unter finapi.io.

7. Personalverwaltung (HR-Modul)

Im HR-Modul verarbeitet das jeweilige Unternehmen (Mandant) als Verantwortlicher Daten seiner Beschäftigten (Stammdaten, Vertrags- und Gehaltsdaten, Sozialversicherungs- und Steuermerkmale, Dokumente) auf Grundlage von § 26 BDSG bzw. Art. 6 Abs. 1 lit. b DSGVO. Die MG Beratungs- und Beteiligungsgesellschaft mbH stellt hierfür die Plattform als Auftragsverarbeiter bereit (Art. 28 DSGVO); ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist unter cashupp.app/legal/avv abrufbar und wird Vertragsbestandteil. Beschäftigte können vom Arbeitgeber per E-Mail-Link eingeladen werden, eigene Daten über ein geschütztes Formular einzureichen.

8. KI-gestützte Funktionen

Für optionale Funktionen (z. B. automatisches Auslesen hochgeladener Dokumente, Kategorisierungs-Vorschläge, Formulierungshilfen) werden Inhalte an die API von Anthropic (Claude-Modelle; Anthropic PBC, USA / Anthropic Ireland Ltd.) übermittelt. Die Übermittlung erfolgt zur Vertragserfüllung bzw. auf Grundlage berechtigten Interesses an effizienter Dokumentenverarbeitung (Art. 6 Abs. 1 lit. b/f DSGVO), abgesichert über EU-Standardvertragsklauseln. API-Eingaben werden von Anthropic nach eigenen Angaben nicht zum Training der Modelle verwendet. KI-Ergebnisse sind Vorschläge und werden durch Nutzer geprüft.

9. E-Mail-Versand

System-E-Mails (Einladungen, Erinnerungen, Benachrichtigungen) versenden wir über Brevo (Sendinblue GmbH, Köpenicker Str. 126, 10179 Berlin) als Auftragsverarbeiter (Art. 28 DSGVO).

10. Handelsregister-Abfragen

Zur Übernahme von Firmenstammdaten kann eine Abfrage öffentlicher Registerdaten über handelsregister.ai erfolgen (Art. 6 Abs. 1 lit. b/f DSGVO; Quelle: öffentliches Handelsregister).

11. Speicherdauer

Daten werden gelöscht, sobald sie für die Zwecke nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten (insb. §§ 147 AO, 257 HGB: 6–10 Jahre für Buchungsbelege und Geschäftsunterlagen) entgegenstehen. Mandanten können die Löschung ihres Datenbestands verlangen; Konten inaktiver Mandanten werden nach Vertragsende und Ablauf der Aufbewahrungsfristen gelöscht.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigten Interesses (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen — die PSD2-Bankfreigabe zusätzlich direkt bei Ihrer Bank. Wenden Sie sich hierzu an info@cashupp.app. Beschwerderecht: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

13. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen oder Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.