Datenschutzerklärung

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten bei der Nutzung des ICAN.AI Belegservice (nachfolgend „Dienst"), einer Software zur automatisierten Erfassung und Extraktion von Geschäftsbelegen (z. B. Rechnungen, Lieferscheine). Der Dienst richtet sich ausschließlich an Unternehmen (B2B).

Stand: 30. August 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für den Betrieb dieser Plattform ist:

i can GmbH – Ihr Systemhaus Rotkreuzstraße 2A 97080 Würzburg Deutschland

Telefon: +49 (0) 931 465560 E-Mail: info@ican.de

Vertreten durch die Geschäftsführung: Johannes Grüner, Thomas Schäfer, Pascal Reininger, Sebastian Erhard

2. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

Der Dienst wird von Unternehmenskunden („Mandanten") genutzt, die eigene Geschäftsbelege hochladen und verarbeiten lassen. Für die Inhalte der hochgeladenen Belege — einschließlich der darin ggf. enthaltenen personenbezogenen Daten — ist in der Regel der jeweilige Mandant der datenschutzrechtlich Verantwortliche. Der Betreiber des Dienstes verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines mit dem Mandanten geschlossenen Auftragsverarbeitungsvertrags, ausschließlich nach dessen Weisungen und zu den vertraglich vereinbarten Zwecken.

Für die Daten, die der Betreiber zum Betrieb der Plattform selbst verarbeitet — insbesondere Nutzerkonten, Anmeldevorgänge, Nutzungs- und Abrechnungsdaten sowie Server-Logs — ist der Betreiber selbst Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Betroffene Personen, deren Daten in hochgeladenen Belegen enthalten sind (z. B. Ansprechpartner eines Lieferanten), wenden sich mit Anfragen zu diesen Daten vorrangig an den jeweiligen Mandanten als Verantwortlichen. Der Betreiber unterstützt die Mandanten bei der Beantwortung solcher Anfragen im Rahmen des Auftragsverarbeitungsvertrags.

3. Verarbeitungszwecke und Rechtsgrundlagen

3.1 Belegverarbeitung (Kernfunktion)

Hochgeladene Belege (PDF-Dateien und Bilder) werden per Texterkennung (OCR) und einem lokal betriebenen KI-Sprachmodell analysiert; strukturierte Daten (z. B. Rechnungsnummer, Beträge, Lieferantenangaben, Positionen) werden extrahiert und dem Mandanten bereitgestellt. Der Upload erfolgt über die Weboberfläche, die API oder einen überwachten Dateiordner („Hot Folder").

• Rechtsgrundlage im Verhältnis zum Mandanten: Erfüllung des Nutzungsvertrags, Art. 6 Abs. 1 lit. b DSGVO.
• Für personenbezogene Daten Dritter in den Belegen: Verarbeitung im Auftrag des Mandanten nach Art. 28 DSGVO; die Rechtsgrundlage bestimmt der Mandant als Verantwortlicher.

Die gesamte Beleganalyse — einschließlich der KI-gestützten Extraktion — findet ausschließlich auf eigener Infrastruktur des Betreibers statt. Es werden keine Cloud-KI-Dienste und keine externen KI-Schnittstellen verwendet; Beleginhalte werden zu keinem Zeitpunkt an KI-Anbieter oder sonstige externe Auswertungsdienste übermittelt.

3.2 Nutzerkonten und Anmeldung

Zur Nutzung des Dienstes werden Benutzerkonten geführt (E-Mail-Adresse, Name, Rolle, Mandantenzuordnung, Zeitpunkt der letzten Anmeldung). Die Anmeldung erfolgt wahlweise:

• über einen lokalen Passwort-Login (Passwörter werden ausschließlich als kryptografische Hashes gespeichert) oder
• über Single Sign-on mit Microsoft Entra ID (siehe Abschnitt 5.2), sofern der Mandant dies nutzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes für den Mandanten und dessen Nutzer).

3.3 Webhooks (Ergebnisübermittlung)

Auf Wunsch des Mandanten übermittelt der Dienst Extraktionsergebnisse automatisch an vom Mandanten selbst konfigurierte Endpunkte (Webhooks), z. B. an dessen Buchhaltungs- oder ERP-System. Empfänger und Ziel dieser Übermittlung bestimmt allein der Mandant.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Weisung des Mandanten im Rahmen der Auftragsverarbeitung.

3.4 Feedback- und Wunsch-Modul

Angemeldete Nutzer können über ein Feedback-Modul Meldungen (z. B. Korrekturwünsche, Fehlerberichte) absenden, optional mit Bezug auf einen konkreten Beleg. Diese Meldungen werden dem zuständigen Reseller und der Betreiber-Administration zur Bearbeitung angezeigt. Verarbeitet werden dabei der Meldungstext, der absendende Nutzer und ggf. die Beleg-Referenz.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Support als Teil des Dienstes) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Dienstes).

3.5 Nutzungs- und Abrechnungsdaten

Zur Abrechnung und Kapazitätssteuerung werden Nutzungszähler geführt (z. B. Anzahl verarbeiteter Belege pro Tag und Mandant). Diese Daten sind auf Mandantenebene aggregiert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsabrechnung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an ordnungsgemäßem Betrieb und Missbrauchsvermeidung).

3.6 Server-Logs

Beim Zugriff auf den Dienst fallen technisch bedingt Protokolldaten an (Webserver- und Anwendungs-Logs), insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und übermittelte Browser-Kennung. Die Logs dienen der Sicherstellung des Betriebs, der Fehleranalyse und der Abwehr von Angriffen. Eine Auswertung zu Marketing- oder Profiling-Zwecken findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Stabilität des Dienstes).

4. Kategorien verarbeiteter Daten

• Beleginhalte: sämtliche in hochgeladenen Belegen enthaltene Angaben, darunter ggf. personenbezogene Daten wie Namen, Anschriften, E-Mail-Adressen, Telefonnummern, USt-Identifikationsnummern, Bankverbindungen (IBAN), Beträge und Leistungsbeschreibungen.
• Extrahierte Daten: die aus den Belegen gewonnenen strukturierten Felder und Positionen einschließlich manueller Korrekturen durch Nutzer.
• Nutzerkontodaten: E-Mail-Adresse, Name, Rolle, Mandantenzuordnung, Zeitpunkt der letzten Anmeldung, Passwort-Hash (bei lokalem Login) bzw. die vom SSO-Anbieter übermittelte Kennung.
• Nutzungs- und Abrechnungsdaten: Zähler zu verarbeiteten Belegen je Tag und Mandant.
• Feedback-Daten: Meldungstexte, absendender Nutzer, ggf. Beleg-Referenz.
• Protokolldaten: IP-Adresse, Zeitstempel, aufgerufene Ressourcen, technische Metadaten (Server-Logs).

5. Empfänger der Daten

5.1 Reseller

Der Dienst kann über Vertriebspartner („Reseller") bereitgestellt werden. Der zuständige Reseller erhält Zugriff ausschließlich auf Daten der ihm zugeordneten Mandanten, und zwar abhängig von der vertraglichen Konfiguration des jeweiligen Mandanten:

• entweder nur auf aggregierte Nutzungskennzahlen (Metriken) — ohne Zugriff auf Beleginhalte —
• oder, sofern der Mandant dies vertraglich vereinbart und freigegeben hat, zusätzlich auf die Belegdaten des Mandanten (z. B. zu Supportzwecken).

Feedback-Meldungen von Nutzern werden dem zuständigen Reseller und der Betreiber-Administration zur Bearbeitung angezeigt.

5.2 Microsoft (bei Anmeldung über Entra ID)

Nutzt ein Mandant die Anmeldung per Single Sign-on über Microsoft Entra ID, findet beim Anmeldevorgang ein Datenaustausch mit Microsoft statt (u. a. Identitäts- und Anmeldedaten des Nutzers). Für diese Verarbeitung gelten ergänzend die Datenschutzbestimmungen von Microsoft. Je nach Konfiguration des vom Mandanten genutzten Microsoft-Dienstes kann dabei eine Übermittlung in Drittländer (insbesondere die USA) nicht ausgeschlossen werden; Microsoft stützt solche Übermittlungen nach eigenen Angaben u. a. auf Angemessenheitsbeschlüsse (EU-U.S. Data Privacy Framework) und EU-Standardvertragsklauseln. Beleginhalte werden im Rahmen des SSO nicht an Microsoft übermittelt.

Wer den lokalen Passwort-Login nutzt, dessen Anmeldedaten werden nicht an Microsoft übermittelt.

5.3 Vom Mandanten bestimmte Empfänger (Webhooks, API)

Extraktionsergebnisse werden an die vom Mandanten konfigurierten Webhook-Endpunkte bzw. an die von ihm angebundenen Systeme übermittelt. Diese Empfänger wählt und verantwortet der Mandant.

5.4 Sonstige Empfänger

Innerhalb des Betreibers erhalten nur diejenigen Stellen Zugriff, die ihn für Betrieb, Support und Abrechnung benötigen (Betreiber-Administration).

Darüber hinaus werden Daten nicht an Dritte weitergegeben, es sei denn, eine gesetzliche Verpflichtung besteht. Eine Übermittlung in Drittländer findet — abgesehen von dem in Abschnitt 5.2 beschriebenen Fall der Microsoft-Anmeldung — nicht statt.

6. Speicherdauer und Löschung

• Original-Belege (Dateien): Hochgeladene Belegdateien werden nach Ablauf der je Mandant konfigurierten Aufbewahrungsfrist automatisch gelöscht. Der Dienst ist kein Archivsystem; ein Anspruch auf dauerhafte Speicherung der Belegdateien besteht nicht. Für die gesetzeskonforme Archivierung seiner Belege (z. B. nach handels- und steuerrechtlichen Vorschriften) ist der jeweilige Mandant selbst verantwortlich.
• Extrahierte Daten und Metadaten: Die aus den Belegen extrahierten strukturierten Daten sowie Verarbeitungs-Metadaten bleiben auch nach Löschung der Belegdatei gespeichert, solange das Vertragsverhältnis mit dem Mandanten besteht bzw. bis der Mandant ihre Löschung veranlasst.
• Nutzerkonten: für die Dauer des Nutzungsverhältnisses; danach Löschung bzw. Sperrung nach Maßgabe des Vertrags mit dem Mandanten.
• Nutzungs- und Abrechnungsdaten: für die Dauer des Vertragsverhältnisses sowie darüber hinaus, soweit gesetzliche Aufbewahrungspflichten (z. B. für Abrechnungsunterlagen) dies erfordern.
• Server-Logs: werden spätestens nach 14 Tagen gelöscht bzw. rotiert.
• Backups: Gelöschte Daten können für eine begrenzte Zeit noch in Datensicherungen enthalten sein. Datensicherungen werden maximal 14 Tage vorgehalten und danach rollierend überschrieben; eine Löschung ist damit spätestens 14 Tage nach ihrer Durchführung auch in den Sicherungen wirksam.

7. Rechte der betroffenen Personen

Betroffene Personen haben nach der DSGVO — jeweils unter den gesetzlichen Voraussetzungen — folgende Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind, aus Gründen der besonderen Situation der betroffenen Person (Art. 21 DSGVO).

Zur Ausübung dieser Rechte genügt eine Nachricht an die in Abschnitt 1 genannten Kontaktdaten. Betrifft die Anfrage Daten aus hochgeladenen Belegen, für die ein Mandant Verantwortlicher ist, leiten wir sie an diesen weiter bzw. verweisen an ihn (siehe Abschnitt 2).

Zudem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), insbesondere bei der Aufsichtsbehörde am gewöhnlichen Aufenthaltsort, Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes. Für den Betreiber zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

8. Sicherheit der Verarbeitung

Der Betreiber trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Lokale Verarbeitung: OCR und KI-Extraktion laufen vollständig auf eigener Infrastruktur des Betreibers; es werden keine Cloud-KI-Dienste eingesetzt und keine Beleginhalte an externe KI-Anbieter übermittelt.
• Mandantentrennung: Die Daten der Mandanten werden logisch strikt getrennt; Nutzer und Reseller sehen ausschließlich Daten der ihnen zugeordneten Mandanten im Rahmen ihrer Berechtigungen.
• Transportverschlüsselung: Die Übertragung zwischen Browser bzw. API- Clients und dem Dienst erfolgt verschlüsselt (TLS).
• Zugriffskontrolle: Rollen- und berechtigungsbasierter Zugriff; Passwörter werden ausschließlich als kryptografische Hashes gespeichert.
• Automatische Löschung: Belegdateien werden nach Ablauf der konfigurierten Aufbewahrungsfrist automatisiert gelöscht.

9. Cookies

Der Dienst verwendet ausschließlich technisch notwendige Cookies, insbesondere ein Session-Cookie zur Anmeldung und Sitzungsverwaltung. Diese Cookies sind für den Betrieb des Dienstes erforderlich; eine Einwilligung ist hierfür nicht notwendig (§ 25 Abs. 2 Nr. 2 TDDDG). Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt und keine Analyse-Tools verwendet.

10. Keine automatisierte Entscheidungsfindung

Die KI-gestützte Extraktion dient ausschließlich der Datenerfassung aus Belegen. Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung gegenüber betroffenen Personen im Sinne von Art. 22 DSGVO findet nicht statt; extrahierte Daten können von Nutzern eingesehen und korrigiert werden.

11. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird bei Bedarf angepasst, etwa bei Änderungen des Dienstes oder der Rechtslage. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung; das Datum des Stands ist oben angegeben.