Datenschutzerklärung

Stand: November 2026

Diese Erklärung informiert gemäß Art. 13 und 14 Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten bei der Nutzung der Website sakto.ai und des Dienstes sakto verarbeitet werden.

1. Verantwortlicher

genannt unter https://sakto.ai/legal/owner.txt, genannt unter https://sakto.ai/legal/owner.txt, Österreich, gemeinsam handelnd als Gesellschafter der Gesellschaft bürgerlichen Rechts „sakto“ (GesbR, nicht im Firmenbuch eingetragen), die solidarisch haften; E-Mail: genannt unter https://sakto.ai/legal/owner.txt. Sobald die Gesellschafter zur Fortführung von sakto eine Gesellschaft gegründet haben, tritt diese an ihre Stelle, und diese Erklärung nennt sie.

Kontakt für Datenschutzfragen: hello@sakto.ai, oder per Post an sakto, genannt unter https://sakto.ai/legal/owner.txt, Österreich. Ein Datenschutzbeauftragter ist nicht bestellt, weil Art. 37 DSGVO keinen verlangt.

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

Als Verantwortlicher verarbeiten wir die Daten, die für Ihr Benutzerkonto, die Anmeldung, Ihr Team und dessen Sicherheit, die E-Mails, die wir senden, und den sicheren Betrieb der Website nötig sind (Abschnitte 3.1, 3.2 und 3.3), die bei uns gebuchten Gespräche (Abschnitt 3.6) und die Nutzungszählungen (Abschnitt 4) sowie die Aufzeichnungen aus Abschnitt 3.4, soweit wir sie selbst verwenden.

Als Auftragsverarbeiter verarbeiten wir die Inhalte, die Kunden hochladen oder in sakto erfassen (Saldenlisten, Businesspläne, Kontenbezeichnungen, Zuordnungen, Szenarien und Exporte, Abschnitt 3.5), und die Aufzeichnungen, die sakto bei den Mandaten eines Kunden führt: wer ein Mandat abgeschlossen oder wieder geöffnet hat und wer seine Daten gelesen oder exportiert hat (Abschnitte 3.2 und 3.4). Verantwortlicher für diese Daten ist der Kunde, mit dem wir dazu einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO schließen. Betroffene Personen wenden sich mit Anfragen zu diesen Daten bitte an den jeweiligen Kunden.

3. Welche Daten wir verarbeiten

3.1 Aufruf der Website (Server-Logs)

Bei jedem Aufruf protokolliert unser Webserver (Caddy) technische Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Statuscode, übertragene Datenmenge, Browserkennung (User-Agent) und verweisende Seite. Anmelde-Token werden vor dem Schreiben aus den Adressen entfernt; Cookie-Inhalte werden nicht protokolliert.

Zweck: Betrieb, Fehlersuche und Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionierenden Dienst). Speicherdauer: Es gibt keine feste Frist; die Logs sind der Größe nach begrenzt. Jeder Dienst auf unserem Server (etwa der Webserver oder die Anwendung) bewahrt höchstens 50 MB Logs auf (5 Dateien zu je 10 MB); ist diese Grenze erreicht, werden seine ältesten Einträge überschrieben. Wird der Container eines Dienstes neu erstellt, etwa bei einem Update, werden seine Logs ebenfalls gelöscht; zuvor speichert das Update eine komprimierte Kopie davon auf demselben Server, damit sich ein fehlgeschlagenes Update untersuchen lässt, und diese Kopie wird nach 7 Tagen gelöscht.

Für die Statistik aus Abschnitt 4 schreibt der Webserver ein zweites Log ohne IP-Adresse, User-Agent und Abfrageparameter: Zeitpunkt, Methode, Adresse, Status, Dauer und Größe jeder Anfrage, aufbewahrt höchstens 72 Stunden (höchstens 10 Dateien zu je 10 MB). Das Betriebssystem des Servers protokolliert Anmeldungen von Administratoren per SSH und abgewiesene Versuche, mit den IP-Adressen der Administratoren und derer, die es versucht haben; diese Systemprotokolle werden wöchentlich rotiert und etwa vier Wochen aufbewahrt.

Tritt ein Fehler auf, werden wir in einem privaten Chat beim Nachrichtendienst Telegram alarmiert. Diese Alarme enthalten keine hochgeladenen Inhalte, keine E-Mail- oder IP-Adressen und keine Namen, sondern nur technische Angaben (etwa die Art des Fehlers und den betroffenen Teil des Dienstes), eine Anfragenummer und einen kurzen Einweg-Hashwert der Nutzerkennung. Kann sakto eine hochgeladene Datei nicht lesen, beschreibt der Alarm ihren Aufbau (etwa Dateityp, Größenbereich und welche bekannten Spaltenüberschriften sie hat), nie ihre Namen oder Zahlen. Der Chat löscht seine Nachrichten automatisch einen Monat nach dem Senden (Selbstlösch-Timer von Telegram). Den Hashwert behandeln wir als pseudonymes personenbezogenes Datum: Er nennt niemanden, wir könnten ihn aber einem Konto zuordnen. Telegram ist daher Empfänger dieser Alarme (Abschnitt 4); Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionierenden Dienst (Art. 6 Abs. 1 lit. f DSGVO).

„Problem melden“: Schreiben Sie uns über „Problem melden“ eine Nachricht, wird sie in unserer Datenbank auf unserem Server in Deutschland gespeichert: Ihr Text, die gewählte Kategorie, Ihre Nutzerkennung, der Zeitpunkt und eine Anfragenummer. Der Telegram-Chat erfährt nur, dass eine Nachricht eingegangen ist: ihre Nummer, die Kategorie, den Bildschirm, auf dem Sie waren, und Ihre letzten Schritte in sakto – nie Ihren Text und keine Zahlen, Namen oder Dateien. Wir lesen den Text auf unserem Server und antworten innerhalb eines Werktags an die E-Mail-Adresse, mit der Sie sich anmelden. Den Text formulieren Sie selbst; schreiben Sie bitte keine Namen von Mandanten und keine vertraulichen Zahlen hinein. Enthält er dennoch Kundendaten, behandeln wir sie als Kundendaten nach dem Auftragsverarbeitungsvertrag. Zweck: Fehler beheben, sakto verbessern und Ihnen antworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Ihr und unser Interesse an einem funktionierenden Dienst). Speicherdauer: 6 Monate ab Eingang der Nachricht, oder kürzer mit Ihrem Konto (Abschnitt 7).

3.2 Benutzerkonto und Anmeldung

Die Anmeldung erfolgt ohne Passwort über einen Anmeldelink per E-Mail. Dafür verarbeiten wir:

Ihre E-Mail-Adresse und, falls vorhanden, einen Anzeigenamen sowie die Sprache, in der sakto Ihnen E-Mails schreibt
Zeitpunkt der Kontoerstellung und der letzten Anmeldung
den Anmeldelink: gespeichert wird nur ein Hashwert, der Link ist 15 Minuten gültig und nur einmal verwendbar
eine Sitzungskennung (Cookie, siehe Abschnitt 6), gültig bis 8 Stunden ohne Nutzung, höchstens 30 Tage, oder bis zur Abmeldung
zur Begrenzung von Anmeldeversuchen kurzzeitig IP-Adresse und E-Mail-Adresse im Arbeitsspeicher des Servers
nur wenn Sie die Anmeldung mit zweitem Faktor einschalten (optional, außer der Inhaber Ihres Teams verlangt sie von allen Mitgliedern; dann können Sie sakto erst nutzen, wenn Sie sie eingerichtet haben, und sie nicht ausschalten, solange sie verlangt wird): den geheimen Schlüssel Ihrer Authenticator-App, verschlüsselt gespeichert, und wann Sie sie eingeschaltet haben; den Zeitschritt des zuletzt angenommenen Codes, damit jeder Code nur einmal gilt; je einen schlüsselabhängigen Hashwert Ihrer 10 Wiederherstellungscodes (die Codes selbst werden Ihnen einmal angezeigt und nicht gespeichert); je Sitzung, ob sie mit einem Code bestätigt wurde. Jeder Code-Versuch wird mit Ihrer Nutzerkennung, dem Zeitpunkt und dem Ergebnis (richtig oder falsch) in unserer Datenbank gespeichert, um die Versuche je Konto zu begrenzen, und 30 Tage aufbewahrt. Codes bei der Anmeldung werden zusätzlich je IP-Adresse im Arbeitsspeicher des Servers begrenzt. Das Ausschalten löscht Schlüssel und Wiederherstellungscodes.
ein Zugriffsprotokoll je Mandat: Wenn Sie (oder ein von Ihnen verbundener KI-Assistent) die Abschlüsse, den Businessplan oder die Rechnungszeilen einer Gesellschaft öffnen, Dateien hochladen, eine Datei, eine Gesellschaft oder das Mandat löschen, ein Databook exportieren, eine Datei herunterladen oder als Inhaber des Teams alle Daten des Teams exportieren, oder wenn ein Assistent Daten des Mandats liest, speichern wir Ihre Nutzerkennung, die Art der Anmeldung (Browser oder Token bzw. Verbindung des Assistenten), die Aktion und den Zeitpunkt – keine Beträge oder Namen. Jedes Mitglied des Teams, dem das Mandat gehört, kann es einsehen; es wird mit der Organisation gelöscht. Wir führen es als Teil des Mandats des Kunden in dessen Auftrag (Abschnitt 2).
ein Sicherheitsprotokoll je Team: Wenn Sie sich anmelden (und wenn ein Code des zweiten Faktors falsch ist), sich überall abmelden, den zweiten Faktor ein- oder ausschalten und als Inhaber des Teams jemanden einladen, eine Einladung zurückziehen, ein Mitglied entfernen, das Team umbenennen, KI-Assistenten ein- oder ausschalten oder die Anmeldung mit zweitem Faktor von allen Mitgliedern verlangen (oder nicht mehr verlangen), oder wenn Sie eine Einladung, die Nutzungsbedingungen oder als Inhaber des Teams den Auftragsverarbeitungsvertrag annehmen, ein Team verlassen oder wir ein anderes Mitglied zum Inhaber des Teams machen, speichern wir Ihre Nutzerkennung, die Aktion, die Kennung des betroffenen Mitglieds oder der Einladung und den Zeitpunkt – keine Adressen, Beträge oder Namen. Nur der Inhaber des Teams kann es einsehen; es wird so lange wie das Team aufbewahrt und mit der Organisation gelöscht.
wenn Sie in einem Team arbeiten: den Namen des Teams, seine Mitglieder (E-Mail-Adresse, Rolle, Beitrittsdatum) und Einladungen (eingeladene E-Mail-Adresse, wer eingeladen hat, wann, und nur einen Hashwert des Einladungslinks, der 7 Tage gültig ist; eine beendete Einladung – angenommen, zurückgezogen oder abgelaufen – wird 90 Tage später gelöscht). Teammitglieder sehen die E-Mail-Adressen der anderen Mitglieder. Laden Sie Kollegen ein, verarbeiten wir deren E-Mail-Adresse, um die Einladung zu versenden (Art. 6 Abs. 1 lit. f DSGVO: Ihr Interesse und das Ihrer Organisation an der Zusammenarbeit in sakto). Wenn Sie eingeladen wurden: Ihre E-Mail-Adresse haben wir von der Kollegin oder dem Kollegen erhalten, die oder der Sie eingeladen hat (Art. 14 DSGVO). Wir verwenden sie nur, um Ihnen die Einladung zu senden, und, wenn Sie annehmen, für Ihr Konto; nehmen Sie nicht an, wird der Eintrag der Einladung 90 Tage nach ihrem Ende gelöscht (Abschnitt 7).
wenn Ihre E-Mail-Adresse oder deren Domain auf unserer Registrierungsliste steht (die Kunden, mit denen wir eine Pilotphase vereinbart haben): den Eintrag (eine Adresse oder eine Domain) und wann wir ihn angelegt haben; er erlaubt Ihnen die Registrierung in einen eigenen Arbeitsbereich. Alle anderen registrieren sich in einen Demo-Arbeitsbereich, der die ganze App bietet, aber nur die fiktiven Dateien der Demo annimmt, bis wir ihn freischalten. Zweck: sakto nur vereinbarten Pilotkunden öffnen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen und die Pilotvereinbarung). Wir speichern einen Eintrag, bis wir ihn entfernen; der Eintrag einer Adresse wird außerdem mit ihrem Konto gelöscht.
welche Fassung der Nutzungsbedingungen Sie wann angenommen haben und, wenn Sie Inhaber eines Teams sind, welche Fassung des Auftragsverarbeitungsvertrags für das Team wann und von wem angenommen wurde; jede Annahme wird außerdem im Sicherheitsprotokoll des Teams festgehalten. Zweck: belegen, was vereinbart wurde. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO. Gespeichert beim Konto und beim Team und mit ihnen gelöscht.
wenn Ihr Team ein Logo hochlädt: das Bild (PNG oder JPEG, bis 512 KB), gespeichert ohne seine Metadaten wie Kamera-, Orts- oder Urheberangaben. Es erscheint auf dem Deckblatt jedes Databooks, das Ihr Team exportiert, und alle Teammitglieder sehen es; nur der Inhaber des Teams kann es hochladen, ersetzen oder entfernen. Zweck: das Logo Ihres Teams auf seinen Databooks zeigen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Wir speichern es, bis der Inhaber des Teams es entfernt oder ersetzt oder das Team gelöscht wird, und löschen es dann.

Ein Konto wird angelegt, sobald für eine E-Mail-Adresse ein Anmeldelink angefordert wird. Zweck: Bereitstellung des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen). Ohne E-Mail-Adresse ist eine Anmeldung nicht möglich.

3.3 E-Mail-Versand

Anmeldelinks, Team-Einladungen, einen Hinweis, dass die Anmeldung mit zweitem Faktor eingeschaltet wurde, einen Hinweis, dass falsche Codes des zweiten Faktors die Anmeldeversuche aufgebraucht haben, eine Warnung, bevor ein abgeschlossenes Mandat automatisch gelöscht wird (Abschnitt 7), einen Hinweis an die Inhaberin oder den Inhaber eines Teams, bevor seine Pilotphase endet, und einen Hinweis an die Inhaber eines Teams, dass alle Daten des Teams exportiert wurden, versenden wir über den Dienstleister Lettermint (siehe Abschnitt 4). Dabei werden Empfängeradresse, Betreff, Inhalt der E-Mail und Versandmetadaten verarbeitet. Der Inhalt ist der Anmelde- oder Einladungslink; eine Einladung nennt zusätzlich die E-Mail-Adresse der einladenden Person und den Namen des Teams; eine Löschwarnung nennt kein Mandat, ihr Link bezeichnet das Mandat nur über eine zufällige Kennung; die beiden Hinweise zum zweiten Faktor nennen nur den Zeitpunkt; der Hinweis zur Pilotphase nennt deren letzten Tag und verlinkt die Seite des Teams; der Hinweis zum Export nennt die E-Mail-Adresse des Mitglieds, das exportiert hat, und den Zeitpunkt und verlinkt die Seite des Teams. Unser Server protokolliert die Empfängeradresse nicht. Kommt eine E-Mail nicht an oder wird sie als Spam markiert, meldet Lettermint das unserem Server; er behält davon nur, wie viele es je Art waren, nie die Adresse. Lettermint bewahrt eine versandte E-Mail höchstens 28 Tage und ihre Zustellereignisse höchstens 90 Tage auf (Abschnitt 7). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Anmeldelinks, Hinweise zum zweiten Faktor, Löschwarnungen und Hinweise zur Pilotphase; für Einladungen Art. 6 Abs. 1 lit. f DSGVO (das Interesse der einladenden Person und ihrer Organisation an der Zusammenarbeit in sakto); für den Hinweis zum Export Art. 6 Abs. 1 lit. f DSGVO (das Interesse des Teams zu erfahren, wenn alle seine Daten sakto verlassen, damit ein Export über eine gestohlene Sitzung auffällt).

3.4 Protokoll von Mandatsänderungen

Wird ein Mandat abgeschlossen oder wieder geöffnet, speichern wir, wer dies wann getan hat, damit ein ausgelieferter Bericht nachvollziehbar bleibt. Wie das Zugriffsprotokoll (Abschnitt 3.2) ist dieser Eintrag Teil des Mandats des Kunden, und wir führen ihn in dessen Auftrag (Abschnitt 2). Soweit wir diese Aufzeichnungen selbst verwenden, um einen Sicherheitsvorfall oder den Missbrauch eines Kontos aufzuklären, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse, sakto sicher zu halten und belegen zu können, wer einen ausgelieferten Bericht wann geändert hat.

3.5 Hochgeladene Inhalte (Auftragsverarbeitung)

Kunden laden Saldenlisten und Businesspläne (Excel-Dateien), DATEV-Buchungsexporte, deren Rechnungszeilen Kunden und Lieferanten nennen, Rechnungslisten (Excel oder CSV), die die fakturierten Kunden nennen, und E-Rechnungen (ZUGFeRD, Factur-X, XRechnung), die die fakturierten Kunden nennen, oft mit Anschrift, Ansprechpartner und Bankverbindung, hoch und erfassen Zuordnungen, Umbenennungen, Szenarien mit Begründungen und Belegen, Prognosen und Exporte. Diese Daten sind in erster Linie Unternehmensdaten, können aber personenbezogene Daten enthalten – etwa Namen von Gesellschaftern, Mitarbeitern, Kunden oder Lieferanten in Kontenbezeichnungen (z. B. Personenkonten oder Gesellschafterdarlehen), in den Kunden- und Lieferantennamen von Buchungsexporten, Rechnungslisten und E-Rechnungen sowie in Dateinamen. Auf Wunsch enthält ein exportiertes Databook auch die hochgeladenen Dateien selbst, jede auf einem eigenen Tabellenblatt.

In einem Mandat gespeicherte Dateien und ausgelieferte Berichte werden verschlüsselt abgelegt (AES-256-GCM, ein eigener Schlüssel je Mandat).
In der Schnellanalyse wird die Datei auf dem Server im Arbeitsspeicher verarbeitet und nicht gespeichert. Die daraus gelesenen Zahlen hält der Server bis zu 5 Minuten nach ihrer letzten Verwendung im Arbeitsspeicher, nur für Ihr Konto, damit eine Änderung die Datei nicht erneut senden muss; sie werden nie auf einen Datenträger oder in die Datenbank geschrieben, und eine Abmeldung verwirft sie. Ihr Browser behält eine Kopie der Datei, damit die Analyse nach einem Neuladen der Seite erhalten bleibt (siehe Abschnitt 6).
Was Sie in einer Schnellanalyse eingeben – Szenario-Bereinigungen mit ihren Begründungen, Prognosetreiber, den Liquiditätsplan, Mitarbeiterzahlen und Bewertungsangaben – wird in Ihrem Konto auf unserem Server gespeichert, zugeordnet über einen Fingerabdruck (Hashwert) der Datei statt der Datei selbst, damit es nach einem Neuladen und auf einem anderen Gerät erhalten bleibt. Es wird 90 Tage nach der letzten Änderung automatisch gelöscht, oder mit Ihrem Konto (siehe Abschnitt 7).
Übersetzung: „Übersetzen“ in der Kontenansicht übersetzt deutsche Kontenbezeichnungen auf unserem Server mit einem eingebauten Wörterbuch. Kontenbezeichnungen werden dafür nicht an Dritte übermittelt; Bezeichnungen, die das Wörterbuch nicht kennt, behalten ihren deutschen Namen.
KI-Assistenten (optional): Ein Nutzer kann einen KI-Assistenten seiner Wahl (z. B. Claude von Anthropic) mit seinem Konto verbinden, per Token oder indem er die Verbindung in sakto bestätigt. Der Assistent kann dann die Abschlüsse, Bereinigungen und Zahlen der Mandate dieses Nutzers lesen und Bereinigungen, Register-Posten und Zuordnungsänderungen vorschlagen, die erst nach Annahme durch den Nutzer wirksam werden. Ist die Verbindung nicht auf Lesen beschränkt, kann er außerdem Mandate und Gesellschaften anlegen, Summen- und Saldenlisten hochladen und Databooks exportieren (ein finales Databook wird als ausgeliefert aufbewahrt), so wie der Nutzer es in der App könnte; jeder dieser Schritte wird in der Historie des Mandats unter dem Namen des Assistenten festgehalten. Außerdem kann er die Checkliste der Datenanforderung des Mandats abhaken (angefordert, erhalten, nicht vorhanden), was das Zugriffsprotokoll des Mandats festhält. Was der Assistent liest, geht auf Weisung des Nutzers an den Anbieter des Assistenten; diesen Anbieter wählt und beauftragt der Kunde, nicht wir, und er ist nicht unser Unterauftragsverarbeiter. Ohne verbundenen Assistenten wird nichts übermittelt; jede Verbindung lässt sich jederzeit unter „KI-Assistent verbinden“ beenden.

Wir verarbeiten diese Inhalte ausschließlich im Auftrag und nach Weisung des Kunden. Einzelheiten regelt der Auftragsverarbeitungsvertrag.

3.6 Gespräch buchen

Auf der Website können Sie über unsere Buchungsseite in Google Kalender ein Gespräch mit uns buchen (Google Workspace, siehe Abschnitt 4). Google verarbeitet dabei Ihren Vor- und Nachnamen, Ihre E-Mail-Adresse und den gewählten Termin; das Gespräch selbst findet in Google Meet statt. Zweck: das Gespräch über sakto und einen Pilot zu vereinbaren und zu führen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage) und Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, mit Interessenten über sakto zu sprechen). Bitte nennen Sie in der Buchung und im Gespräch keine Mandantendateien oder Mandantennamen. Speicherdauer: Abschnitt 7.

4. Empfänger und Auftragsverarbeiter

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Server (Rechenzentrum Nürnberg), Datenbank, gespeicherte Dateien und verschlüsselte Sicherungskopien (Falkenstein, Deutschland).
Google Workspace (Google Cloud EMEA Ltd., Dublin, Irland) – unsere geschäftliche E-Mail, Dokumente und Kalender: die Korrespondenz mit Ihnen, auch Anfragen zu Ihren Daten (Abschnitt 8), und über unsere Buchungsseite gebuchte Gespräche mit ihrem Google-Meet-Link (Abschnitt 3.6).
Telegram (Betreiber mit Sitz außerhalb der EU) – Zustellung unserer Fehleralarme an uns und des Hinweises, dass eine Nachricht aus „Problem melden“ eingegangen ist, ohne ihren Text (Abschnitt 3.1). Die Alarme enthalten keine Kundendaten; Telegram ist daher kein Unterauftragsverarbeiter nach unserem Auftragsverarbeitungsvertrag.
Lettermint B.V., Willemsvaart 16 B, 8019 AB Zwolle, Niederlande – Versand der E-Mails aus Abschnitt 3.3. Lettermint speichert und verarbeitet die E-Mails in der EU.

Kein Auftragsverarbeiter für Nutzerdaten, aber der Vollständigkeit halber: Die DNS-Einträge von sakto.ai verwaltet Cloudflare, Inc.; der Datenverkehr läuft nicht über Cloudflare, sondern direkt zu unserem Server. TLS-Zertifikate stellt Let's Encrypt (Internet Security Research Group) aus; dabei wird nur der Domainname übermittelt. Der Quellcode und die Software-Images liegen bei GitHub; dorthin gelangen keine Nutzer- oder Kundendaten. Wir entwickeln sakto mit KI-Werkzeugen (Claude Code von Anthropic); sie sehen nie Nutzer- oder Kundendaten.

Wir setzen keine Analyse-, Tracking- oder Werbedienste ein und binden keine Inhalte Dritter ein (Schriftarten werden von unserem eigenen Server geladen). Um zu sehen, wie sakto genutzt wird, zählt unser eigener Server Ereignisse wie Anmeldungen, Uploads, Exporte und abgelehnte Dateien und speichert nur die Summen je Tag und Woche, ohne Cookie und ohne Analysedienst und ohne personenbezogene Daten in den Zählungen (keine Namen, E-Mail-Adressen, Kennungen oder Dateinamen); eine wöchentliche Zusammenfassung dieser Summen erreicht uns im in Abschnitt 3.1 beschriebenen Alarm-Chat. Der Server zählt die Ereignisse in seinem Arbeitsspeicher zusammen und schreibt nur die Summen des Tages in seine Datenbank, mindestens einmal pro Minute; einzelne Ereignisse werden nicht gespeichert. Damit dieselbe Datei nur einmal am Tag gezählt wird, merkt er sich bis zum Ende des Tages im Arbeitsspeicher einen Einweg-Hashwert aus Nutzerkennung und Datei. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse zu wissen, wie sakto genutzt wird, um es zu verbessern).

Jede Nacht kopiert der Server außerdem seine Produktsignale auf ein getrenntes Speicherkonto bei Hetzner, das nichts anderes enthält; von dort werten wir sie auf unseren eigenen Rechnern aus: die geprüften Fehlerberichte aus Abschnitt 3.1 (ohne den Hashwert der Nutzerkennung und nie den Text einer Nachricht) und Zählungen je Tag, etwa Anfragen je Route und Status und die eigenen Werte des Servers (Last, Arbeitsspeicher, Festplatte, Sicherungen). Sie enthalten bauartbedingt keine personenbezogenen Daten: keine Namen, E-Mail- oder IP-Adressen, Nutzerkennungen oder Dateinamen. Der Server bewahrt sie 30 Tage auf; die Kopien bleiben, bis wir sie löschen.

5. Übermittlung in Drittländer

Zwei Empfänger können Daten außerhalb der EU verarbeiten:

Telegram: die Alarme aus Abschnitt 3.1.
Google Workspace: unsere Korrespondenz mit Ihnen (Abschnitt 4) und über unsere Buchungsseite gebuchte Gespräche (Abschnitt 3.6). Google kann diese Daten in den USA und in anderen Ländern verarbeiten, in denen Google oder seine Unterauftragsverarbeiter tätig sind. Nach Googles Bedingungen zur Datenverarbeitung stützen sich solche Übermittlungen auf den EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework), nach dem Google LLC zertifiziert ist (Angemessenheitsbeschluss, Art. 45 DSGVO), und auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Alle übrigen Verarbeitungen finden in der EU statt.

6. Cookies und Speicher im Browser

Der bloße Besuch der Website speichert nichts in Ihrem Browser: Eine Einstellung wird erst gespeichert, wenn Sie sie ändern, die übrigen unten genannten Einträge erst, wenn Sie sich anmelden oder die Funktion nutzen, der sie dienen. sakto lädt keine Schriften, Skripte, Bilder, Videos oder sonstigen Inhalte von anderen Servern, daher kann keine andere Website über unsere etwas in Ihrem Browser speichern. Links auf andere Websites (unsere Buchungsseite bei Google, LinkedIn, Hetzner) laden nichts, bevor Sie sie anklicken; dort gelten deren eigene Cookies und Datenschutzhinweise.

Cookie: sakto setzt genau ein Cookie, „__Host-sakto_session“, und nur bei der Anmeldung. Es enthält eine zufällige Sitzungskennung, ist für Skripte nicht lesbar (HttpOnly), wird nur verschlüsselt übertragen (Secure) und wird nicht mitgesendet, wenn eine andere Website auf sakto verlinkt oder Anfragen an sakto sendet, außer wenn Sie einem Link dorthin folgen (SameSite=Lax). Ihr Browser löscht es nach 30 Tagen oder bei der Abmeldung; unser Server akzeptiert es nach 8 Stunden ohne Nutzung nicht mehr. Ohne dieses Cookie ist keine Anmeldung möglich.

Lokaler Speicher (localStorage): Der Browser speichert auf Ihrem Gerät, unter Schlüsseln, die mit „sakto.“ beginnen:

Einstellungen: die Sprache (`sakto.lang`), das Zahlenformat (`sakto.numFormat`) und weitere wie den geöffneten Reiter, Spaltenbreiten, Diagramm- oder Tabellenansichten und die bei einem Export weggelassenen Blätter. Jede wird erst gespeichert, wenn Sie sie ändern (das Rechnungslegungsschema Ihrer letzten Schnellanalyse, sobald Sie eine öffnen), und bleibt auch nach der Abmeldung erhalten, bis Sie sie in Ihrem Browser löschen;
Arbeitsdaten (Schlüssel, die mit `sakto.whatif.`, `sakto.scenarios.`, `sakto.forecast.`, `sakto.forecasts.` und `sakto.cashPlanning.` beginnen): ungespeicherte Szenarien, Prognosetreiber, Liquiditätspläne, eine Zwischenkopie gespeicherter Szenarien und Prognose-Momentaufnahmen sowie welche Änderungen der Server noch nicht bestätigt hat;
den Entwurf einer Nachricht aus „Problem melden“ und eine Nachricht, die bei unterbrochener Verbindung auf das Senden wartet (`sakto.feedback.` mit Ihrer Nutzerkennung): höchstens 7 Tage aufbewahrt und bei der Abmeldung gelöscht;
eine laufende Anmeldung (`sakto.pendingInvite`, `sakto.pendingConnect`, `sakto.pendingReturn`): die geöffnete Team-Einladung, die Verbindungsanfrage eines KI-Assistenten oder die Seite, auf der Sie einen Anmeldelink angefordert haben, damit der Link dort weiterführt. Gespeichert, wenn Sie die Einladung öffnen oder den Link anfordern, bei der Anmeldung verbraucht, nach 15 Minuten nicht mehr verwendet und bei der Abmeldung gelöscht;
technische Einträge: wem die Arbeitsdaten in diesem Browser gehören (`sakto.localData.owner`, Ihre Nutzerkennung), ob Ihr erster Besuch eines Demo-Arbeitsbereichs die Demo geöffnet hat (`sakto.demoOpened.` mit Ihrer Nutzerkennung) und ein Signal an Ihre anderen Tabs, dass Sie sich abgemeldet haben (`sakto.signedOut`, sofort nach dem Setzen wieder entfernt).

Arbeitsdaten, die technischen Einträge und alles, was Ihre Nutzerkennung nennt, werden bei der Abmeldung von Ihrem Gerät gelöscht, ebenso wenn Ihre Sitzung ohne Abmeldung geendet hat, sobald sakto das bemerkt – in einem geöffneten Tab oder beim nächsten Öffnen von sakto in diesem Browser. Meldet sich auf demselben Gerät eine andere Person an, werden die Arbeitsdaten der vorherigen Person ebenfalls gelöscht. Unabhängig von diesen Daten auf Ihrem Gerät werden die Eingaben in den Reitern auf unserem Server gespeichert: in einem Mandat beim Mandat, in einer Schnellanalyse in Ihrem Konto (siehe Abschnitt 3.5).

Tab-Speicher (sessionStorage): In der Schnellanalyse speichert Ihr Browser eine Kopie der zuletzt hochgeladenen Saldenliste und des Businessplans (`sakto.lastFile.` und `sakto.lastPlan.` mit Ihrer Nutzerkennung), damit Sie sie nach dem Neuladen im selben Tab erneut öffnen können. Diese Kopien werden beim Schließen des Tabs, bei der Abmeldung oder mit „Datei vergessen“ gelöscht. Ein geöffneter Tab verwirft außerdem Kopien, die älter als sieben Tage sind. Kopien aus früheren sakto-Versionen im lokalen Speicher werden beim Öffnen der App entfernt.

Keine Einwilligung erforderlich: Cookie, lokaler Speicher und Tab-Speicher sind unbedingt erforderlich, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen – die Anmeldung, die Analyse, an der Sie arbeiten, eine Einstellung, die Sie geändert haben – und werden erst geschrieben, wenn Sie ihn nutzen (§ 165 Abs. 3 Telekommunikationsgesetz 2021; für Deutschland § 25 Abs. 2 Nr. 2 TDDDG). Es gibt keine Analyse-, Marketing- oder Drittanbieter-Cookies und keine Inhalte anderer Websites. Deshalb zeigen wir kein Cookie-Banner.

7. Speicherdauer

Konto: bis Sie es im Dienst löschen („Konto löschen“, nach Eingabe Ihrer E-Mail-Adresse zur Bestätigung) oder die Löschung per E-Mail an genannt unter https://sakto.ai/legal/owner.txt verlangen. Das Löschen des Kontos schließt es zuerst: Sie werden auf allen Geräten abgemeldet, Ihre Verbindungen zu KI-Assistenten enden, und die Arbeitsdaten im Browser werden wie bei der Abmeldung entfernt. 7 Tage später wird es endgültig gelöscht: Ihre Benutzerdaten, Sitzungen und Anmeldelinks, Ihre Verbindungen zu KI-Assistenten (Tokens, Refresh-Tokens, offene Autorisierungscodes und eine Assistenten-Registrierung, die kein anderer Nutzer verbunden hat), Ihre Nachrichten aus „Problem melden“ sowie alle Mandate, Gesellschaften, Dateien samt Schlüsseln, Szenarien, Zuordnungen, Umbenennungen, Overrides, Anpassungsvorschläge, Register- und Zuordnungsvorschläge, Prognose-Snapshots, Liquiditätspläne, das Zugriffsprotokoll und das Sicherheitsprotokoll des Teams. Bis dahin können Sie die Löschung rückgängig machen, indem Sie sich mit einem Anmeldelink wieder anmelden. Sind Sie in einem Team mit weiteren Mitgliedern, bleiben das Team und seine Mandate bestehen: Was Sie dort angelegt haben, geht an den Inhaber des Teams über, und der letzte Inhaber eines Teams muss die übrigen Mitglieder entfernen, bevor er sein Konto löscht. Kopien in Sicherungskopien bleiben bis zu deren Ablauf bestehen (siehe unten).
Team-Einladungen: Der Link ist 7 Tage gültig; der Eintrag der Einladung (eingeladene Adresse, wer eingeladen hat, wann) bleibt bis 90 Tage nach dem Ende der Einladung (angenommen, zurückgezogen oder abgelaufen) und wird dann automatisch gelöscht, oder früher mit der Organisation des Teams.
Teams: der Name eines Teams, seine Einstellungen und welche Fassung des Auftragsverarbeitungsvertrags für das Team von wem angenommen wurde, bleiben so lange wie das Team bestehen und werden mit ihm gelöscht: mit dem Konto seines letzten Mitglieds oder nach Vertragsende gemäß Auftragsverarbeitungsvertrag.
Team-Logo: bis der Inhaber des Teams es entfernt oder ersetzt oder das Team gelöscht wird.
Registrierungsliste: ein Eintrag, bis wir ihn entfernen; der Eintrag einer Adresse wird außerdem mit ihrem Konto gelöscht. Angenommene Fassungen der Nutzungsbedingungen und des Auftragsverarbeitungsvertrags: beim Konto und beim Team. Demo-Arbeitsbereich: wie jeder Arbeitsbereich, bis er mit dem Konto gelöscht oder von uns freigeschaltet wird.
Nachrichten aus „Problem melden“: werden 6 Monate nach Eingang automatisch gelöscht, oder früher mit dem Konto.
Alarm-Chat (Telegram): Seine Nachrichten werden einen Monat nach dem Senden automatisch gelöscht.
Gebuchte Gespräche: Der Kalendereintrag mit Ihrem Namen und Ihrer E-Mail-Adresse wird 12 Monate nach dem Gespräch gelöscht, es sei denn, es folgt eine Pilotvereinbarung.
Nie angemeldete Konten: Ein Konto, das durch Anfordern eines Anmeldelinks entstanden ist, der nie benutzt wurde, wird 7 Tage nach der Anlage automatisch entfernt.
Eingaben einer Schnellanalyse: werden automatisch gelöscht, sobald 90 Tage lang keine Eingabe zu der Datei geändert wurde, oder früher mit dem Konto.
Anmeldelinks: 15 Minuten gültig, einmal verwendbar; Sitzungen: 8 Stunden ohne Nutzung, höchstens 30 Tage, oder bis zur Abmeldung. Benutzte und abgelaufene Anmeldelinks, abgelaufene Sitzungen und KI-Assistenten-Tokens, abgelaufene Autorisierungscodes sowie KI-Assistenten-Registrierungen, die binnen eines Tages niemand verbunden hat, werden innerhalb einer Stunde automatisch entfernt.
Verbindungen zu KI-Assistenten: Ein Token gilt höchstens 90 Tage ab seiner Erstellung, eine in sakto bestätigte Verbindung höchstens 90 Tage ab ihrer Bestätigung; danach wird sie innerhalb einer Stunde entfernt, oder früher, wenn Sie sie beenden, sich überall abmelden oder Ihr Konto löschen.
E-Mails bei Lettermint: eine versandte E-Mail höchstens 28 Tage, ihre Zustellereignisse höchstens 90 Tage.
Code-Versuche (Anmeldung mit zweitem Faktor): 30 Tage aufbewahrt, danach automatisch entfernt, oder früher mit dem Konto.
Mandate, Gesellschaften, Dateien, Szenarien, Zuordnungen: bis Sie sie im Dienst löschen bzw. nach Vertragsende gemäß Auftragsverarbeitungsvertrag. Ein abgeschlossenes Mandat mit Löschdatum wird nach diesem Datum automatisch gelöscht; an die Person, die es angelegt hat, und die Inhaber des Teams wird mindestens 7 Tage vorher eine Warn-E-Mail gesendet; eine Warnung, die nicht zugestellt werden kann, schiebt die Löschung nicht auf. Solange die Pilotphase eines Teams pausiert oder beendet ist, wird die automatische Löschung seiner abgeschlossenen Mandate aufgeschoben, bis die Pilotphase wieder aktiv ist; nach Vertragsende werden die Daten gemäß Auftragsverarbeitungsvertrag gelöscht. Wird ein Mandat gelöscht, wird auch sein Schlüssel gelöscht; Kopien seiner Dateien in älteren Sicherungskopien, die auch den Schlüssel enthalten, bleiben bis zum Ablauf der Sicherungen bestehen (siehe unten).
Sicherungskopien: tägliche, verschlüsselte Sicherung der Datenbank, aufbewahrt 14 Tage auf dem Server und auf einem getrennten Speicher bei Hetzner, zuzüglich der Snapshots dieses Speichers (7 Tage) und, falls eingeschaltet, der Server-Sicherungen von Hetzner (7 Tage). Im regulären Betrieb sind gelöschte Daten längstens 21 Tage nach der Löschung in Sicherungskopien enthalten. Schlägt ein Sicherungslauf fehl, oder nachdem unser Server neu aufgesetzt wurde (bis er 14 Tage eigener Sicherungen hält), entfernt erst der nächste erfolgreiche Lauf ältere Kopien auf dem getrennten Speicher; sie können dann länger bestehen.
Server-Logs: höchstens 50 MB je Dienst, die ältesten Einträge werden zuerst überschrieben; keine feste Frist (siehe 3.1). Die bei einem Update gespeicherte Kopie: 7 Tage. Das Statistik-Log des Webservers: 72 Stunden. Die Protokolle des Betriebssystems: etwa vier Wochen.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Wenden Sie sich dazu an genannt unter https://sakto.ai/legal/owner.txt.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Ihre Daten auf Grundlage unserer berechtigten Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO: Server-Logs, Alarme und Nachrichten aus „Problem melden“ (Abschnitt 3.1), Einladungen (Abschnitte 3.2 und 3.3), der Hinweis zum Export (Abschnitt 3.3), unsere eigene Verwendung der Aufzeichnungen (Abschnitt 3.4), gebuchte Gespräche (Abschnitt 3.6) und Nutzungszählungen (Abschnitt 4)), können Sie dem aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten sie dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Sie können sich bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem EU-Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes; in Deutschland etwa bei der Datenschutzaufsichtsbehörde Ihres Bundeslandes. In Österreich ist das die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at, dsb@dsb.gv.at.

9. Sicherheit

Die Verbindung zwischen Ihrem Browser und unserem Server ist TLS-verschlüsselt (HTTPS). Gespeicherte Dateien sind je Mandat verschlüsselt, Sicherungskopien sind verschlüsselt, und jede Organisation sieht nur ihre eigenen Daten. Eine Übersicht der technischen und organisatorischen Maßnahmen ist Teil des Auftragsverarbeitungsvertrags.

10. Keine automatisierte Entscheidungsfindung

Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und erstellen keine Profile.

11. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.