Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

IT Service David Weist
c/o Postflex #10518
Emsdettener Str. 10
48268 Greven
E-Mail: datenschutz@claero.de

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht nicht vorliegen.

2. Rollenverteilung: Claero als Auftragsverarbeiter

Claero ist eine Software für Steuerberatungskanzleien zur Digitalisierung von Mandantenformularen. Dabei ist zu unterscheiden:

Für die Daten von Mandanten, die über einen Formular-Link Angaben machen oder Dokumente elektronisch signieren, ist die jeweilige Kanzlei datenschutzrechtlich Verantwortlicher. Claero verarbeitet diese Daten ausschließlich im Auftrag der Kanzlei auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Mandanten wenden sich zur Ausübung ihrer Betroffenenrechte bitte an ihre Kanzlei.

Für die Daten von Website-Besuchern und Kanzlei-Nutzern (Registrierung, Konto, Abrechnung) ist Claero selbst Verantwortlicher. Hierauf bezieht sich diese Datenschutzerklärung.

3. Hosting und Server-Logdateien

Diese Website wird bei Vercel Inc. gehostet (Auslieferung über EU-Regionen, Frankfurt). Beim Aufruf der Website werden automatisch Informationen in Server-Logdateien verarbeitet: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, Browsertyp und Betriebssystem. Diese Daten dienen der Sicherstellung eines störungsfreien Betriebs und der Sicherheit der Systeme. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb der Website).

4. Cookies

Claero verwendet ausschließlich technisch notwendige Cookies für die Anmeldung und Sitzungsverwaltung (Session-Cookies). Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO sowie § 25 Abs. 2 Nr. 2 TDDDG. Eine Einwilligung ist für technisch notwendige Cookies nicht erforderlich; ein Cookie-Banner wird daher nicht eingesetzt.

5. Registrierung und Nutzerkonto

Bei der Registrierung verarbeiten wir E-Mail-Adresse, Passwort (gehasht), Name sowie den Kanzleinamen und optional ein Kanzlei-Logo. Diese Daten sind für die Bereitstellung des Dienstes erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Daten werden bis zur Löschung des Kontos gespeichert; gesetzliche Aufbewahrungspflichten (insbesondere § 147 AO, § 257 HGB — bis zu 10 Jahre für abrechnungsrelevante Daten) bleiben unberührt.

6. Zahlungsabwicklung

Die Zahlungsabwicklung erfolgt über Stripe Payments Europe, Limited (Dublin, Irland). Zahlungsdaten (z. B. Kreditkartendaten) werden direkt von Stripe erhoben und verarbeitet; Claero erhält keine Klartext-Zahlungsdaten, sondern lediglich Statusinformationen zum Abonnement. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: stripe.com/de/privacy

7. E-Mail- und SMS-Versand

Transaktionale E-Mails (z. B. Formular-Links, Erinnerungen, Benachrichtigungen, Team-Einladungen) versenden wir über Amazon Web Services (SES, Region Frankfurt). SMS-Nachrichten (Einmalcodes zur Signatur-Identifikation und Erinnerungen) versenden wir über seven communications GmbH & Co. KG (Kiel, Deutschland), ersatzweise über AWS SNS. Der Versand an Mandanten erfolgt im Auftrag der jeweiligen Kanzlei (Art. 28 DSGVO); der Versand an Kanzlei-Nutzer auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

8. Elektronische Signatur (FES)

Beim elektronischen Signieren von Formularen werden im Auftrag der Kanzlei verarbeitet: die gezeichnete Unterschrift einschließlich Stift-/Bewegungsdaten, Name und Kontaktdaten des Unterzeichners, IP-Adresse, Browserinformationen, Zeitstempel sowie kryptografische Prüfsummen. Diese Daten dienen der Beweissicherung der fortgeschrittenen elektronischen Signatur gemäß Art. 26 eIDAS-Verordnung. An den Zeitstempeldienst DigiCert Inc. wird ausschließlich ein Hashwert übermittelt — keine personenbezogenen Daten.

9. Schutz vor Missbrauch (Rate-Limiting)

Zum Schutz öffentlich erreichbarer Endpunkte (z. B. Formularübermittlung) verarbeiten wir IP-Adressen kurzzeitig zur Begrenzung der Zugriffsrate über Upstash Inc. (Speicherung in EU-Region Frankfurt). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Systeme vor Missbrauch).

10. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister als Auftragsverarbeiter bzw. Subunternehmer ein:

11. Datenübermittlung in Drittländer

Die produktive Verarbeitung erfolgt in EU-Rechenzentren (Region Frankfurt). Soweit im Zusammenhang mit US-amerikanischen Muttergesellschaften (Vercel, PlanetScale, Upstash, Stripe, DigiCert) Drittlandtransfers nicht ausgeschlossen werden können, sind diese über Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 und — soweit die Anbieter zertifiziert sind — über das EU-US Data Privacy Framework abgesichert.

12. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck der Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Kontodaten werden bis zur Löschung des Kontos gespeichert. Bei Löschung einer Kanzlei werden sämtliche Dokumente, Signaturdaten und Dateien unwiderruflich entfernt; Claero bewahrt keine Kopien auf. Abrechnungsrelevante Daten unterliegen der 10-jährigen Aufbewahrungsfrist (§ 147 AO, § 257 HGB).

13. Ihre Rechte

Sie haben gegenüber dem Verantwortlichen folgende Rechte:

• Auskunft über Ihre verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine E-Mail an datenschutz@claero.de. Betrifft Ihr Anliegen Daten, die Sie als Mandant über einen Formular-Link eingegeben haben, wenden Sie sich bitte an die Kanzlei, von der Sie den Link erhalten haben.

Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für uns ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

14. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO findet nicht statt.

Stand: Juli 2026