Datenschutzerklärung
Stand: 19. August 2026
1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
FiBot – Alexander Meis
Im Herrental 29
53489 Sinzig
Telefon: +49 171 7629145
E-Mail: info@fibot.de
2. Übersicht der Verarbeitungen
Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten und die Zwecke ihrer Verarbeitung zusammen:
- Bestandsdaten (Name, Adresse, E-Mail)
- Nutzungsdaten (Login-Zeiten, Seitenaufrufe, Funktionsnutzung)
- Inhaltsdaten (hochgeladene Dokumente, extrahierte Texte, Metadaten)
- Finanzdaten (Bankverbindungen, Transaktionsdaten via FinAPI)
- Vertragsdaten (Mietverträge, Lieferanteninformationen)
- Kommunikationsdaten (E-Mail-Adressen, E-Mail-Inhalte beim automatischen Import)
3. Rechtsgrundlagen
Die Verarbeitung personenbezogener Daten erfolgt auf Basis folgender Rechtsgrundlagen:
| Rechtsgrundlage | Anwendungsfall |
|---|---|
| Art. 6 Abs. 1 lit. b DSGVO | Vertragserfüllung: Bereitstellung des Dienstes, Nutzerkonto, Dokumentenverwaltung |
| Art. 6 Abs. 1 lit. a DSGVO | Einwilligung: Bankanbindung via FinAPI, E-Mail-Import, Dropbox-Synchronisierung |
| Art. 6 Abs. 1 lit. f DSGVO | Berechtigte Interessen: Sicherheit der Plattform, Fehleranalyse, Verbesserung des Dienstes |
| Art. 6 Abs. 1 lit. c DSGVO | Gesetzliche Pflicht: Aufbewahrungspflichten, Steuerrecht |
4. Erhebung und Verarbeitung von Daten
4.1 Registrierung und Nutzerkonto
Bei der Registrierung erheben wir:
- E-Mail-Adresse
- Passwort (verschlüsselt gespeichert)
- Nutzername
Diese Daten werden zur Bereitstellung des Nutzerkontos und zur Authentifizierung benötigt (Art. 6 Abs. 1 lit. b DSGVO). Jeder Nutzer erhält ein eindeutiges Token (user_token), das die strikte Trennung der Daten zwischen verschiedenen Nutzern gewährleistet (Multi-Tenant-Isolation).
4.2 Dokumenten-Upload und -Verarbeitung
Beim Upload und der Verarbeitung von Dokumenten werden folgende Daten verarbeitet:
- Dokumentdateien – Die hochgeladenen PDF-Dateien werden in einem nutzerspezifischen Verzeichnis gespeichert.
- OCR-Texterkennung – Hochgeladene Dokumente werden automatisch per OCR (via Tesseract OCR) verarbeitet. Dabei wird der Textinhalt des Dokuments extrahiert und in der Datenbank gespeichert, um eine Volltextsuche zu ermöglichen.
- Metadaten – Dateiname, Upload-Datum, Dateigröße, Prüfsumme (Checksum zur Duplikaterkennung), extrahierte Keywords.
- KI-gestützte Belegerkennung – Zur Erkennung von Dokumenttyp, Absender, Empfänger, Rechnungsnummer, Beträgen, Steuersatz, IBAN und weiteren Rechnungsdaten wird das Dokument (Text und Seitenbild) durch ein Sprachmodell (LLM) analysiert – standardmäßig auf FiBot-eigener Infrastruktur, optional über Mistral AI. Einzelheiten siehe Abschnitt 4.8.
- Automatisch erkannte Inhalte – IBAN-Nummern, Rechnungsbeträge, Datumsangaben und Lieferanteninformationen, die aus dem Dokumentinhalt extrahiert werden.
Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
4.3 E-Mail-Import
Jeder Nutzer kann eine individuelle FiBot-Empfangsadresse erhalten. E-Mails, die an diese Adresse gesendet werden, gehen in einem von FiBot betriebenen Postfach ein und werden automatisiert verarbeitet:
- Absender-E-Mail-Adresse
- E-Mail-Betreff und Zeitstempel
- Anhänge (ausschließlich PDF-Dateien)
Der E-Mail-Inhalt (Body) wird nicht in FiBot gespeichert. FiBot greift nicht auf das private Postfach des Nutzers zu. Die Verarbeitung erfolgt auf Basis der Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO).
4.4 Bankanbindung (FinAPI)
Bei Nutzung der Bankanbindung werden über den Drittanbieter FinAPI folgende Daten verarbeitet:
- Bankverbindungsdaten (IBAN, BIC, Kontobezeichnung)
- Kontostände
- Transaktionsdaten (Buchungsdatum, Betrag, Verwendungszweck, Gegenpartei)
Die Datenübermittlung an FinAPI erfolgt verschlüsselt. FiBot speichert keine Bankzugangsdaten – die Authentifizierung erfolgt ausschließlich über FinAPI. Die Verarbeitung erfolgt auf Basis der ausdrücklichen Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung kann jederzeit widerrufen werden.
4.5 DATEV-Export
Bei Nutzung der DATEV-Export-Funktion werden Dokumente und zugehörige Metadaten per E-Mail an die vom Nutzer angegebene DATEV-Adresse (Steuerberater) gesendet. Die Verarbeitung erfolgt auf Anweisung und im Auftrag des Nutzers (Art. 6 Abs. 1 lit. b DSGVO).
4.6 Dropbox-Integration
Bei aktivierter Dropbox-Integration werden Dokumente automatisch in das Dropbox-Konto des Nutzers hochgeladen. Die Authentifizierung erfolgt über OAuth2. FiBot speichert lediglich das Access-Token, nicht das Dropbox-Passwort. Die Verarbeitung erfolgt auf Basis der Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO).
4.7 Immobilien-Modul
Bei Nutzung des optionalen Immobilien-Moduls werden zusätzlich folgende personenbezogene Daten verarbeitet:
- Mieterdaten: Name, Vorname, Adresse, Telefonnummer, E-Mail-Adresse
- Vertragsdaten: Vertragslaufzeit, Miethöhe, Nebenkosten
- Zahlungsdaten: IBAN des Mieters, Zahlungshistorie
- Verbrauchsdaten: Zählerstände für Nebenkostenabrechnungen
Diese Daten werden zur Vertragserfüllung verarbeitet (Art. 6 Abs. 1 lit. b DSGVO). Der Nutzer ist als Vermieter selbst datenschutzrechtlich verantwortlich für die Daten seiner Mieter und hat diese entsprechend zu informieren.
4.8 KI-gestützte Belegerkennung und Einsatz von Mistral AI
Zur automatischen Erkennung von Belegdaten (Dokumenttyp, Absender, Empfänger, Rechnungsnummer, Beträge, Steuersatz, IBAN, Zusammenfassung) analysiert FiBot hochgeladene oder per E-Mail eingelieferte Dokumente mit einem Sprachmodell (Large Language Model, LLM). Dabei werden der per OCR extrahierte Text sowie ein Bild der ersten Seite des Dokuments verarbeitet.
Standard: Verarbeitung auf eigener Infrastruktur. Im Regelfall erfolgt die KI-Analyse auf von FiBot selbst betriebenen Systemen in Deutschland. Es findet keine Übermittlung an Dritte statt; die Dokumente verlassen die Infrastruktur von FiBot nicht.
Optional: Mistral AI. Für einzelne Nutzerkonten kann – insbesondere für schwierige oder mehrseitige Dokumente – der KI-Dienst der Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich („Mistral AI") eingesetzt werden. In diesem Fall wird das jeweilige PDF-Dokument verschlüsselt (TLS) an die Schnittstelle von Mistral AI übermittelt und dort ausschließlich zum Zweck der Datenextraktion verarbeitet. Nach den Nutzungsbedingungen von Mistral AI für die API werden die übermittelten Inhalte nicht zum Training von KI-Modellen verwendet und nicht dauerhaft gespeichert. Die Verarbeitung findet innerhalb der Europäischen Union statt; Mistral AI ist als Auftragsverarbeiter im Sinne von Art. 28 DSGVO an unsere Weisungen gebunden. Eine Übermittlung in Drittländer außerhalb der EU/des EWR erfolgt nicht.
Umfang der übermittelten Daten: Das betreffende Dokument mit allen darin enthaltenen Angaben – je nach Inhalt also auch personenbezogene Daten wie Namen, Adressen, Bankverbindungen oder Vertragsdaten des Nutzers oder Dritter (z. B. Lieferanten, Mieter).
Rechtsgrundlage: Die KI-Belegerkennung ist Bestandteil des vertraglich geschuldeten Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Der Einsatz von Mistral AI als optionaler externer Dienst wird nur für Nutzerkonten aktiviert, die dem zugestimmt haben bzw. dies wünschen (Art. 6 Abs. 1 lit. a DSGVO); diese Einstellung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Nutzer können unter info@fibot.de jederzeit erfragen, welcher KI-Anbieter für ihr Konto aktiv ist, oder die ausschließliche Verarbeitung auf FiBot-eigener Infrastruktur verlangen.
Keine automatisierte Entscheidung: Die Ergebnisse der KI-Erkennung dienen ausschließlich als Vorschläge zur Zuordnung und Erfassung von Belegen. Sie werden dem Nutzer angezeigt, können jederzeit manuell korrigiert werden und führen zu keiner automatisierten Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO.
Speicherdauer: Die aus der KI-Analyse gewonnenen Strukturdaten (z. B. Betrag, Datum, Absender, Zusammenfassung) werden zusammen mit dem Beleg in FiBot gespeichert und mit diesem gelöscht (siehe Abschnitt 6).
5. Automatisierte Verarbeitung
Der Dienst nutzt automatisierte Verarbeitungsprozesse:
- OCR-Texterkennung – Automatische Extraktion von Text aus PDF-Dokumenten
- Auto-Tagging – Automatische Zuordnung von Dokumenten zu Lieferanten und Kategorien basierend auf hinterlegten Suchbegriffen
- KI-Extraktion – Automatische Erkennung von Dokumenttyp, Rechnungsbeträgen, IBANs, Datumsangaben und Absendern durch ein Sprachmodell; Zuordnungen ab einer Konfidenz von 80 % werden automatisch übernommen und bleiben jederzeit manuell änderbar
- Zahlungsabgleich – Automatischer Abgleich von Banktransaktionen mit Verträgen
Es findet kein Profiling im Sinne des Art. 22 DSGVO statt. Die automatisierten Ergebnisse dienen ausschließlich als Vorschläge und können vom Nutzer jederzeit manuell korrigiert werden.
6. Speicherdauer
- Nutzerkonto-Daten – Bis zur Löschung des Kontos
- Dokumente und Metadaten – Bis zur Löschung durch den Nutzer oder 30 Tage nach Vertragsende
- Transaktionsdaten – Für die Dauer der Nutzung, jahrgangsweise partitioniert
- Log-Daten – 90 Tage
- Abrechnungsdaten – 10 Jahre gemäß handels- und steuerrechtlichen Aufbewahrungspflichten
7. Empfänger und Drittanbieter
Personenbezogene Daten werden an folgende Drittanbieter übermittelt, sofern der Nutzer die entsprechenden Funktionen aktiviert:
| Drittanbieter | Zweck | Daten |
|---|---|---|
| FinAPI GmbH | Bankanbindung und Transaktionsabruf | Bankzugangsdaten (nur bei FinAPI), Transaktionsdaten |
| Tesseract OCR (lokal) | Optische Zeichenerkennung | PDF-Dokumentinhalte (werden lokal auf dem Server verarbeitet, keine Datenübermittlung an Dritte) |
| KI-Belegerkennung (eigene Infrastruktur, Deutschland) | Extraktion von Rechnungsdaten per Sprachmodell | Dokumenttext und Seitenbild (Verarbeitung auf FiBot-eigenen Systemen, keine Datenübermittlung an Dritte) |
| Mistral AI SAS, Paris (nur bei optionaler Aktivierung) | Extraktion von Rechnungsdaten per Sprachmodell | PDF-Dokument (verschlüsselte Übermittlung, Auftragsverarbeitung innerhalb der EU) |
| Dropbox Inc. | Cloud-Sicherung von Dokumenten | PDF-Dokumente, Dateinamen |
Darüber hinaus erfolgt keine Weitergabe personenbezogener Daten an Dritte, es sei denn, der Nutzer weist dies ausdrücklich an (z.B. DATEV-Export an den Steuerberater).
8. Datensicherheit
Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten, insbesondere:
- SSL/TLS-Verschlüsselung sämtlicher Datenübertragungen
- Multi-Tenant-Isolation: Strikte Datentrennung zwischen Nutzern durch individuelle Nutzer-Tokens
- Verschlüsselte Speicherung von Passwörtern (Hashing)
- CSRF-Schutz (Cross-Site Request Forgery) durch rotierende Tokens
- Eigentumsvalidierung: Jeder Datenzugriff wird gegen den Nutzer-Token geprüft (Custom Validation Rules)
- Regelmäßige Datensicherungen
- Speicherung aller Daten auf Servern in der Europäischen Union
9. Cookies und Tracking
Der Dienst verwendet ausschließlich technisch notwendige Cookies für:
- Session-Verwaltung (Anmeldestatus)
- CSRF-Schutz (Sicherheits-Token)
Es werden keine Tracking-Cookies, Analyse-Tools oder Werbe-Cookies eingesetzt. Es erfolgt kein Tracking des Nutzerverhaltens zu Werbezwecken.
10. Ihre Rechte
Als betroffene Person stehen Ihnen folgende Rechte zu:
- Auskunftsrecht (Art. 15 DSGVO) – Sie haben das Recht, Auskunft über die von uns verarbeiteten personenbezogenen Daten zu erhalten.
- Recht auf Berichtigung (Art. 16 DSGVO) – Sie können die Berichtigung unrichtiger Daten verlangen.
- Recht auf Löschung (Art. 17 DSGVO) – Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
- Recht auf Einschränkung (Art. 18 DSGVO) – Sie können die Einschränkung der Verarbeitung verlangen.
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO) – Sie können die Herausgabe Ihrer Daten in einem gängigen, maschinenlesbaren Format verlangen.
- Widerspruchsrecht (Art. 21 DSGVO) – Sie können der Verarbeitung auf Basis berechtigter Interessen widersprechen.
- Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) – Erteilte Einwilligungen (z.B. Bankanbindung, E-Mail-Import) können jederzeit mit Wirkung für die Zukunft widerrufen werden.
Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: info@fibot.de
11. Beschwerderecht
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Die zuständige Aufsichtsbehörde richtet sich nach dem Bundesland des Sitzes des Verantwortlichen.
12. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail.