Stand: 19. August 2026 (Entwurf)
<EntwurfHinweis /> in der Seite löschen).DocuWhale liest, analysiert und sortiert deine Dokumente — das geht nicht ohne die Verarbeitung von Daten, oft auch sensibler. Diese Erklärung beschreibt, was mit deinen Daten in der DocuWhale Business-Web-App passiert: welche Daten wir verarbeiten, wofür, mit welchen Dienstleistern, wie lange — und welche Rechte du hast. Wir haben sie so geschrieben, wie das Produkt spricht: direkt und ohne Ausflüchte.
Verantwortlich für die Datenverarbeitung in dieser Web-App ist:
Pascal Raub – Flying Chair AI
Grüne Str. 70
27749 Delmenhorst
Deutschland
E-Mail: info@docuwhale.de
[PRÜFEN: Ist ein Datenschutzbeauftragter zu benennen (Art. 37 DSGVO, § 38 BDSG — u. a. ab 20 Personen mit ständiger automatisierter Verarbeitung oder bei umfangreicher Verarbeitung besonderer Kategorien)? Angesichts der Verarbeitung von Gesundheitsdaten als Kerntätigkeit bitte ausdrücklich prüfen. Falls ja: Kontaktdaten hier ergänzen.]
Für die Nutzung brauchst du ein Konto. Die Anmeldung läuft über Supabase (Auth-Dienst). Du kannst dich registrieren mit:
Dabei verarbeiten wir: E-Mail-Adresse, Anmeldeverfahren, Zeitpunkte der Anmeldung sowie die technischen Sitzungsdaten (Cookies, siehe Abschnitt 10). Bei der Anmeldung über Google oder Apple erhalten wir von dort deine E-Mail-Adresse und ggf. deinen Namen; umgekehrt erfährt der jeweilige Anbieter, dass du dich bei DocuWhale anmeldest. Für dein Profil speichern wir außerdem den Kontotyp (geschäftlich oder privat) und — bei Geschäftskonten — Firmenname, Umsatzsteuer-Identifikationsnummer und Schreibweisen deiner Firma („Aliase“), damit die Analyse eigene Belege von fremden unterscheiden kann.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Der Kern von DocuWhale: Du lädst Dokumente hoch (PDF oder Bilder) — per Upload in der App oder per E-Mail (Abschnitt 5) — und DocuWhale liest sie, erkennt, worum es geht, und leitet daraus Ablage, Aufgaben, Fristen und Buchhaltungsdaten ab. Dafür passiert im Einzelnen:
Welche Daten das betrifft: alles, was in deinen Dokumenten steht. Das können personenbezogene Daten von dir und von Dritten sein (Namen, Adressen, Kundennummern), Finanzdaten (Rechnungsbeträge, Bankverbindungen, Umsätze) und auch besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO — etwa Gesundheitsdaten aus Arztbriefen oder Rezepten oder biometrische Daten wie dein Foto auf Ausweisdokumenten.
Einwilligung, ausdrücklich und protokolliert: Die KI-Analyse findet nur statt, wenn du eingewilligt hast. Die App zeigt dir vor dem ersten Upload einen Einwilligungsdialog, der genau das beschreibt; ohne Einwilligung lehnt das System jeden Upload ab. Deine Entscheidung wird mit Zeitpunkt, Konto und Textversion der Einwilligung protokolliert — als Ereignisprotokoll, damit erteilte und widerrufene Einwilligungen nachweisbar bleiben (Art. 7 Abs. 1 DSGVO). Eine IP-Adresse erheben wir dabei in der Web-App nicht. Du kannst die Einwilligung jederzeit in den Einstellungen widerrufen; danach nimmt DocuWhale keine neuen Dokumente mehr an. Bereits erstellte Analysen bleiben vom Widerruf unberührt (Art. 7 Abs. 3 DSGVO) — du kannst sie aber jederzeit einzeln oder über den Papierkorb löschen.
Kein Training: Deine Inhalte werden nicht zum Training von KI-Modellen verwendet. [PRÜFEN: siehe Abschnitt 2 — Vertragsgrundlage bei Google verifizieren]
Rechtsgrundlage: Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) für die KI-Analyse; Art. 6 Abs. 1 lit. b DSGVO für die Speicherung und Bereitstellung deiner Dokumente als Teil des Dienstes.
Du bekommst eine persönliche E-Mail-Eingangsadresse, an die du (oder dein Scanner, oder eine Weiterleitungsregel) Belege schicken kannst. Technisch läuft das über Cloudflare Email Routing: Cloudflare nimmt die E-Mail entgegen und reicht sie an unser Backend weiter, wo die Anhänge dieselbe Analyse durchlaufen wie ein Upload. Dabei verarbeiten wir Absenderadresse, Betreff, Empfangszeitpunkt, die Anhänge selbst sowie den Verarbeitungsstatus (übernommen, abgelehnt, Duplikat) — den Status zeigen wir dir in den Einstellungen, damit du siehst, ob ankommt, was du schickst. Du kannst die Eingangsadresse jederzeit wechseln; die alte wird dann sofort ungültig.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die KI-Analyse der Anhänge gilt Abschnitt 4.
Du kannst deine Unterlagen per Chat durchsuchen und Fragen dazu stellen. Deine Chat-Nachrichten und die Antworten werden gespeichert, damit der Verlauf erhalten bleibt; zur Beantwortung werden deine Frage und relevante Dokumentinhalte an die Google Gemini API übermittelt. Es gilt dieselbe Einwilligung wie für die Dokumentenanalyse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a bzw. lit. b DSGVO.
Geschäftskonten buchen ihr Abo über Stripe. Beim Kauf wirst du zu Stripe weitergeleitet; dort gibst du deine Zahlungsdaten direkt bei Stripe ein — wir sehen und speichern keine vollständigen Zahlungsdaten, sondern erhalten von Stripe nur eine Kundenkennung, den gebuchten Plan und den Abo-Status. Rechnungen, Zahlungsmittel und Kündigung verwaltest du im Stripe-Kundenportal. Stripe verarbeitet deine Zahlungsdaten insoweit (auch) in eigener Verantwortung, etwa zur Betrugsprävention. Privatkonten buchen nicht über diese Web-App, sondern über die App-Stores (Apple App Store, Google Play) — dafür gelten die Datenschutzhinweise der mobilen App und der Store-Betreiber.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung) und Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrung von Rechnungsdaten).
Tritt in der App oder im Backend ein Fehler auf, wird ein Fehlerbericht an Sentry übermittelt: Fehlermeldung, Stacktrace, Zeitpunkt, Softwareversion und technische Umgebungsdaten. Wir haben die Berichte bewusst so konfiguriert, dass keine Dokumentinhalte, OCR-Texte, Chat-Inhalte oder Zugangstoken darin landen. [PRÜFEN: Umfang der Sentry-Redaction bestätigen (werden IP-Adressen und E-Mail-Adressen übermittelt oder unterdrückt?) und ob Sentry mit EU-Data-Residency betrieben wird]
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einem stabilen, sicheren Dienst.
Beim Aufruf der Web-App fallen technische Zugriffsdaten an (IP-Adresse, Zeitpunkt, aufgerufene Ressource, User-Agent), die von der Hosting-Infrastruktur (Google Cloud Run) protokolliert werden. Wir nutzen sie ausschließlich für Betrieb, Fehlersuche und Abwehr von Angriffen. Inhalte deiner Dokumente werden nicht in Logs geschrieben — das ist eine ausdrückliche Betriebsregel dieses Systems.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Wir setzen ausschließlich technisch notwendige Cookies — deshalb brauchst du hier auch kein Cookie-Banner wegzuklicken:
sb-): halten deine Anmeldung. Ohne sie müsstest du dich bei jedem Klick neu anmelden. Lebensdauer: für die Dauer der Sitzung bzw. bis zur Abmeldung.dw_weiter: merkt sich, welche Seite du aufrufen wolltest, damit du nach der Anmeldung dort landest und nicht auf der Startseite. Lebensdauer: 10 Minuten bei der Anmeldung über Google oder Apple; 7 Tage, wenn du über einen Einladungslink ein Konto anlegst — so lange, wie die Einladung gilt, weil der Weg über die Bestätigungsmail führt.dw_beitritt: enthält das Kennzeichen aus deinem Einladungslink und sagt DocuWhale, dass du dem Team beitreten wolltest. Damit wird die Einladung nach der Bestätigung deiner E-Mail-Adresse ohne weiteren Klick eingelöst. Lebensdauer: 7 Tage; wird gelöscht, sobald du beigetreten bist.dw_bereich: merkt sich, ob du zuletzt im privaten oder im geschäftlichen Bereich gearbeitet hast, damit du beim nächsten Besuch dort weitermachst. Er enthält nur dieses eine Wort. Lebensdauer: 1 Jahr — der Bereich ist eine Arbeitsgewohnheit und keine Sitzung; er wird gelöscht, sobald du die Auswahl aufhebst.dw_ansicht: merkt sich, welche Ansicht du oben gewählt hast — „Privat“ oder „Selbstständig“ —, damit die Listen beim nächsten Besuch wieder nur diese Dokumente zeigen. Er enthält nur die Kennung deines persönlichen Bereichs und dieses eine Wort. Lebensdauer: 1 Jahr; er wird gelöscht, sobald du „Alle“ wählst oder den Bereich wechselst.dw_zuordnen_gefragt: merkt sich, dass wir dich in dieser Sitzung schon gefragt haben, ob noch nicht zugeordnete Dokumente „Privat“ oder „Selbstständig“ sind — damit die Frage nicht bei jedem Seitenaufruf wiederkommt. Er enthält keine Angaben zu dir. Lebensdauer: bis du den Browser schließt; beim Abmelden und bei einer neuen Anmeldung über die Anmeldeseite wird er außerdem gelöscht.dw_wiederherstellung: wird gesetzt, wenn du einem Link zum Zurücksetzen deines Passworts folgst, und hält die daraus entstandene Sitzung so lange auf der Passwort-Seite fest, bis du ein neues Passwort gesetzt hast. Er enthält keine Angaben zu dir. Lebensdauer: 15 Minuten; wird beim Speichern des neuen Passworts und beim Abmelden gelöscht.__cf_bm).Es gibt kein Tracking, keine Analyse-, keine Marketing-Cookies und keine Einbindung von Werbenetzwerken.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich) i. V. m. Art. 6 Abs. 1 lit. b DSGVO.
Wir betreiben DocuWhale nicht allein. Die folgenden Dienstleister verarbeiten Daten in unserem Auftrag (Art. 28 DSGVO) bzw. — bei Stripe teilweise — in eigener Verantwortung:
| Dienstleister | Zweck | Sitz / Verarbeitungsregion |
|---|---|---|
| Google Cloud (Google Cloud EMEA Ltd., Irland / Google LLC, USA) | Hosting des Backends (Cloud Run), Texterkennung (Document AI), KI-Analyse und Embeddings (Gemini API) | Backend: europe-west4 (Niederlande); Document AI: EU-Prozessor [PRÜFEN: Region verifizieren, s. Abschnitt 4]; Gemini API: [PRÜFEN: Verarbeitungsregion der Gemini API dokumentieren — ohne vertragliche Regionszusage ist eine Verarbeitung außerhalb der EU möglich] |
| Supabase, Inc. (USA) | Datenbank (PostgreSQL), Dateispeicher (Storage), Anmeldung/Authentifizierung | Projekt-Hosting: [PRÜFEN: Region des Supabase-Projekts im Dashboard nachsehen (Project Settings → General → Region) und hier eintragen] |
| Cloudflare, Inc. (USA) / Cloudflare Germany GmbH | E-Mail-Eingang (Email Routing) für deine persönliche Eingangsadresse | Weltweites Netz; [PRÜFEN: Verarbeitungsstandorte für Email Routing dokumentieren] |
| Stripe Payments Europe, Ltd. (Irland) / Stripe, Inc. (USA) | Zahlungsabwicklung der Geschäfts-Abos, Kundenportal | Irland / USA |
| Functional Software, Inc. (Sentry, USA) | Fehlerdiagnose (Backend und Apps) | USA [PRÜFEN: bzw. EU, falls EU-Data-Residency gebucht ist — bestätigen] |
[PRÜFEN: Mit allen fünf Anbietern müssen Auftragsverarbeitungsverträge (DPA) abgeschlossen bzw. deren Standard-DPAs akzeptiert sein — bitte prüfen und ablegen]
Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind oder du eingewilligt hast. Wir verkaufen keine Daten.
Einige der genannten Anbieter haben ihren Sitz in den USA oder können Daten dort verarbeiten. Für diese Übermittlungen stützen wir uns auf Angemessenheitsbeschlüsse (EU-US Data Privacy Framework, soweit der jeweilige Anbieter zertifiziert ist) und ergänzend auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). [PRÜFEN: Für jeden Anbieter einzeln verifizieren und dokumentieren: aktuelle DPF-Zertifizierung (Google LLC, Cloudflare Inc., Stripe Inc., Functional Software Inc., Supabase Inc.) bzw. abgeschlossene SCCs; Fortbestand des DPF-Angemessenheitsbeschlusses beobachten]
In den Dokumenten, die du hochlädst, stehen häufig Daten anderer Personen — deiner Kunden, Lieferanten, Mitarbeiter oder Vertragspartner. Dafür gilt: Du bleibst für diese Inhalte verantwortlich. Wenn du DocuWhale geschäftlich einsetzt, verarbeitest du diese Daten als Verantwortlicher im Sinne der DSGVO, und wir verarbeiten sie in deinem Auftrag. Dafür stellen wir dir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bereit (siehe AVV). Lade nur Dokumente hoch, die du rechtmäßig verarbeiten darfst. [PRÜFEN: Rollenabgrenzung juristisch prüfen: Für welche Verarbeitungen ist DocuWhale Auftragsverarbeiter des Geschäftskunden, für welche (z. B. Abrechnung, Missbrauchsabwehr, Fehlerdiagnose) eigener Verantwortlicher? Die Informationspflichten nach Art. 14 DSGVO gegenüber Dritten liegen in der Auftragsverarbeitung beim Kunden — Formulierung entsprechend absichern.]
Nach der DSGVO hast du gegenüber uns diese Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21) sowie das Recht, erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3).
Die wichtigsten davon musst du bei uns nicht beantragen — sie sind in der App eingebaut, unter Einstellungen → „Deine Daten“:
Für alles Weitere — Berichtigung, Einschränkung, Widerspruch — erreichst du uns unter info@docuwhale.de. Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), etwa bei der für deinen Wohnort oder unseren Sitz zuständigen Behörde: Die Landesbeauftragte für den Datenschutz Niedersachsen. [PRÜFEN: Diese Behörde ist aus der Geschäftsanschrift abgeleitet (Delmenhorst liegt in Niedersachsen) und nicht vom Betreiber angegeben — bitte bestätigen und, falls gewünscht, um Anschrift und Webadresse der Behörde ergänzen.]
Die KI-Analyse sortiert, fasst zusammen und schlägt vor — sie trifft keine Entscheidung mit rechtlicher Wirkung dir gegenüber im Sinne von Art. 22 DSGVO. Ob ein Vorschlag (etwa eine Aufgabe oder eine Kategorisierung) umgesetzt wird, entscheidest du.
Wenn sich der Dienst oder die Rechtslage ändert, passen wir diese Erklärung an. Die jeweils aktuelle Fassung findest du unter dieser Adresse; das Stand-Datum oben zeigt die letzte Änderung. Über wesentliche Änderungen informieren wir dich in der App oder per E-Mail.