Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist der Betreiber dieses Portals, Robin Sebastian. Die Kontaktaufnahme erfolgt über die Ihnen bekannten Kommunikationswege (Umgebungskanal).

2. Zweck und Rechtsgrundlagen

Dieses Portal dient ausschließlich der sicheren Übermittlung von Steuerunterlagen an den Steuerberater. Es werden keine Analyse-, Tracking-, Profilbildungs- oder Werbefunktionen eingesetzt.

2.1 Sicherheitsprotokollierung — Art. 6 Abs. 1 lit. f DSGVO

Zum Schutz des Portals vor Missbrauch und Angriffen werden protokolliert:

• IP-Adresse, Datum und Uhrzeit sowie Ergebnis (erfolgreich / fehlgeschlagen) von Anmeldeversuchen — für die Fehlversuchssperre (Brute-Force-Schutz)
• IP-Adresse, Datum und Uhrzeit sowie Art durchgeführter Aktionen (Anmeldung, Ordner anlegen, Hochladen, Löschen, Herunterladen, Abmeldung)

Rechtsgrundlage ist das berechtigte Interesse an der Gewährleistung der IT-Sicherheit und der Integrität der übermittelten Daten.

2.2 Hochgeladene Dokumente — Art. 6 Abs. 1 lit. b DSGVO

Die von Ihnen übertragenen Dateien samt Ordner- und Dateinamen werden gespeichert, um die Übergabe an den Steuerberater (Steuerberatungsmandat) durchzuführen. Eine darüber hinausgehende inhaltliche Auswertung findet nicht statt.

3. Datenkategorien und Datenminimierung

Es werden ausschließlich folgende personenbezogene Daten verarbeitet:

• IP-Adresse
• Datum und Uhrzeit (Zeitstempel)
• Ergebnis von Anmeldeversuchen / Art der Aktion
• Sitzungskennung (pseudonym, technisch notwendig)
• hochgeladene Dateien und deren Namen

Keine Speicherung von Browser- oder Gerätedaten (User-Agent), keine Fingerprints, keine Werbe- oder Analyse-Cookies, keine Einbindung Drittanbieter (Fonts, Skripte, CDN).

4. Cookies

Es werden ausschließlich technisch notwendige Cookies gesetzt (alle mit HttpOnly und SameSite=Lax, über HTTPS verschlüsselt):

• sessionid — Sitzungscookie, hält die Anmeldung, erlischt nach 2 Stunden Inaktivität
• csrftoken — sitzungsbasierter Schutz vor Cross-Site-Request-Forgery, erlischt mit der Browsersitzung

Diese Cookies sind für den technischen Betrieb erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) — ihre Nutzung wird daher nicht von einer Einwilligung abhängig gemacht. Eine Zustimmung zu Tracking-Cookies gibt es nicht, da solche nicht eingesetzt werden.

5. Übermittlung und Hosting

• Keine Weitergabe personenbezogener Daten an Dritte.
• Hosting innerhalb der Europäischen Union; keine Drittlandübermittlung.
• Sämtliche Übertragungen erfolgen verschlüsselt über HTTPS/TLS; im Produktivbetrieb zusätzlich HSTS.

6. Speicherdauer und Löschung

• Anmeldeversuchsprotokoll: 30 Tage, danach automatische Löschung
• Aktionsprotokoll (Audit): 90 Tage, danach automatische Löschung
• Hochgeladene Dateien: bis zum Abschluss der Übergabe; Löschung auf Anweisung des Verantwortlichen bzw. auf Ihren Wunsch

Die Löschung erfolgt automatisch bei jeder erfolgreichen Anmeldung (enforced retention). Die oben genannten Fristen sind die Obergrenze des Portals; eine kürzere Aufbewahrung ist konfigurierbar.

7. Ihre Rechte als betroffene Person

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Eine erteilte Zustimmung zur Verarbeitung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

8. Datensicherheit

• Zwei-Faktor-Zugang (shared Passwort + Steuer-ID), konstante Zeit-Vergleiche
• Fehlversuchssperre pro IP (5 Versuche / 15 Minuten)
• CSRF-Schutz, Clickjacking-Schutz (X-Frame-Options: DENY), MIME-Sniffing-Schutz
• Strenge Pfadbegrenzung für Dateioperationen (kein Path-Traversal)

Zurück zur Anmeldung