← Zurück zu Levamio Forderungs-Agent

Datenschutzerklärung „Levamio Forderungs-Agent“ (Web-App für Unternehmen)

Version 1.0 – Freigabekandidat 1.0 – noch nicht freigegeben. Interner Kopf, Stand 20.10.2026: Fassung zum Launch; Freigabe durch Tassilo ausstehend; Kanzleiprüfung nach ersten Umsätzen. Freigabe-Sperre: ENTWURF bis zur Freigabe („Freigabe Rechtstexte Levamio 1.0“) – nicht veröffentlichen. Dieser Kopf (alle „>“-Zeilen unter der Überschrift) wird nach der Freigabe entfernt; öffentlich bleibt nur „Stand: 20.10.2026“ am Ende. Erstellt mit KI-Unterstützung nach Struktur und Stil der Vorlage „Unser Dubai“, keine Rechtsberatung, keine anwaltliche Prüfung. Offen formulierte Stellen und fehlende Angaben: FREIGABE_KOMPAKT.md. Geplante URL: https://levamio.com/apps/forderungen/datenschutz.
Grundlage ist eine Code-Inventur von apps/forderungs-agent/ am 20.10.2026 (migrations/0001_init.sql, src/server/app.ts, src/server/mail/mailer.ts, src/server/ai/textgen.ts, src/server/billing/stripe.ts, src/server/integrations/*): Cloudflare Workers + D1 (Location-Hint Westeuropa), Bot-Schutz beim Login über Cloudflare Turnstile, Versand über Resend, KI-Vorschläge optional über Anthropic, Abrechnung über Stripe, lesende Anbindung lexoffice/sevDesk; ergänzt um docs/README.md (Abschnitte 5–7b), docs/DEPLOY.md, migrations/0002–0004, src/server/repo.ts (Löschfristen): Bestätigung der Antwortadresse per E-Mail, Versandlimits, Missbrauchs-Meldelink, Datenexport, Konto-Löschung, Zustimmungsnachweis AGB/AVV. Kein Supabase, keine App-Stores.
Diese Erklärung betrifft (A) die Nutzer (Unternehmen und deren Mitarbeitende), für deren Daten wir Verantwortlicher sind, und (B) die Kunden der Nutzer (Rechnungsempfänger), deren Daten wir im Auftrag der Nutzer verarbeiten – dafür gilt der Auftragsverarbeitungsvertrag (avv-forderungs-agent.md).

1. Verantwortlicher

NEXTLEVEL CORPORATE SERVICE PROVIDER - FZCO, Building A1, IFZA Business Park, Dubai Digital Park, Dubai Silicon Oasis, Dubai, Vereinigte Arabische Emirate (DIEZ License No. 67837), vertreten durch Tassilo Peter Seitz. Levamio ist ein Angebot der NEXTLEVEL CORPORATE SERVICE PROVIDER - FZCO (im Folgenden „wir“).
E-Mail für Datenschutzfragen: [email protected] (allgemeiner Support: [email protected])

Vertreter in der EU (Art. 27 DSGVO): Wir sitzen nicht in der EU. Soweit wir einen Vertreter nach Art. 27 DSGVO benennen, nennen wir ihn hier. Mit allen Anliegen zum Datenschutz können Sie sich jederzeit direkt an uns wenden.
Datenschutzbeauftragter: derzeit nicht benannt.

2. Unsere Rollen

---

Teil A – Daten der Nutzer

3. Überblick

Wir treffen keine automatisierten Einzelentscheidungen nach Art. 22 DSGVO. Wir verkaufen keine Daten. Werbe-E-Mails senden wir nur mit Einwilligung oder im Rahmen von § 7 Abs. 3 UWG mit Widerspruchsmöglichkeit.

Pflicht zur Bereitstellung: Die Angaben für Registrierung, Anmeldung und Abrechnung sind für den Vertragsschluss erforderlich; ohne sie können Sie den Dienst nicht nutzen. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht.

4. Cookies

Die Web-App setzt nur ein technisch erforderliches Cookie: ein Sitzungs-Cookie (lv_session, HttpOnly, 30 Tage) für die Anmeldung. Der Schutz gegen Cross-Site-Request-Forgery arbeitet ohne Cookie (Prüfung der Herkunft der Anfrage). Auf der Anmeldeseite lädt das Turnstile-Widget von Cloudflare. Turnstile kann dabei technisch erforderliche Informationen im Browser verarbeiten oder speichern, soweit dies für die Bot-Prüfung nötig ist. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO. Analyse-, Werbe- oder Tracking-Cookies setzen wir nicht. Beim Bezahlen leitet die App zu Stripe weiter; dort gelten die Cookie-Regeln von Stripe.

5. Abrechnung über Stripe

Abos schließen Sie über Stripe Checkout ab. Stripe erhebt Zahlungs- und Rechnungsdaten (Name, Rechnungsanschrift, USt-IdNr., Zahlungsmittel) und verarbeitet sie für die Zahlungsabwicklung und Betrugsprävention teils als eigener Verantwortlicher, im Übrigen als unser Auftragsverarbeiter. Wir erhalten keine vollständigen Kartendaten, sondern Kennungen, Status und Rechnungsangaben.

6. Speicherdauer (Teil A)

• Konto und Firmenprofil: bis zur Kündigung bzw. Löschung des Kontos; danach Löschung in der Regel innerhalb von 30 Tagen, soweit keine Aufbewahrungspflicht besteht. Sie können Konto und Firma jederzeit selbst in den Einstellungen löschen („Konto und Firma löschen“, nach Eingabe des Firmennamens); dabei werden alle Daten der Firma und Nutzer ohne weitere Firma sofort gelöscht und ein laufendes Stripe-Abo beendet.
• Anmeldelinks: 15 Minuten gültig; abgelaufene Einträge löschen wir in der Regel einen Tag nach Ablauf.
• Bestätigungslinks für die Antwortadresse: 7 Tage gültig; Einträge werden nach 31 Tagen gelöscht.
• Zähler für Ratenlimits (gehashte IP- bzw. E-Mail-Adresse): 24 Stunden.
• Fehlerprotokoll und Protokolle der täglichen Läufe: 90 Tage.
• Missbrauchsmeldungen: 365 Tage (Ziffer 10).
• Zustimmungsnachweis AGB/AVV: solange die Firma besteht.
• Sitzungen: 30 Tage bzw. bis zur Abmeldung.
• Verschlüsselte API-Schlüssel: bis Sie die Anbindung trennen (sofortige Löschung) oder das Konto gelöscht wird.
• Abrechnungs- und Vertragsdaten: für die Dauer der gesetzlichen Aufbewahrungsfristen (je nach Rechtslage bis zu 10 Jahre).
• Server-Logs: in der Regel höchstens 30 Tage.
• Support-Anfragen: bis zu 3 Jahre nach Abschluss.

---

Teil B – Daten der Kunden der Nutzer (Auftragsverarbeitung)

7. Was wir im Auftrag verarbeiten

Der Nutzer entscheidet, welche Rechnungen nachgefasst werden, und gibt Texte und Sequenzen frei. Dafür verarbeiten wir in seinem Auftrag:

• Kundendaten: Name, E-Mail-Adresse, Sprache, Art (Unternehmen/Privatkunde), externe Kennung, Ton- und Zeitplan-Einstellungen, Bezeichnung, Zeitpunkt der Sequenz-Freigabe;
• Rechnungsdaten: Rechnungsnummer, Betrag, offener Betrag, Währung, Rechnungs- und Fälligkeitsdatum, Status, Zahlungszeitpunkt, Pause, Grund für den Stopp, Zeitpunkt der letzten Synchronisierung;
• Erinnerungen: Stufe, geplanter Tag, Betreff, Text, Herkunft des Textes (Vorlage, KI-Vorschlag, Nutzer), Freigabe, Versandzeitpunkt, Kennung des Versanddienstes, Fehler;
• Versandprotokoll: jedes Ereignis zur Rechnung (z. B. geplant, freigegeben, versendet, gestoppt).

Quellen sind CSV-Dateien des Nutzers, manuelle Eingaben oder – lesend – das Buchhaltungskonto des Nutzers bei lexoffice/Lexware Office oder sevDesk.

8. Versand der Zahlungserinnerungen (Resend)

Der Versand echter Zahlungserinnerungen wird schrittweise freigeschaltet. Erinnerungen versenden wir über Resend (Resend, Inc., USA; Versandregion EU). Absender ist der Nutzer: Die E-Mail trägt dessen Firmennamen mit dem Zusatz „über Levamio“ (englisch „via Levamio“) und eine Absenderadresse unserer Versanddomain (eigene Domains der Nutzer sind derzeit nicht möglich), dessen zuvor per Bestätigungslink verifizierte Antwortadresse und im Fuß die Absenderangaben des Nutzers, den Hinweis, dass der Nutzer die Erinnerung mit Levamio versendet hat, sowie einen Link „Missbrauch melden“. Antworten gehen direkt an den Nutzer, nicht an uns. Resend erhält Empfängeradresse, Absender, Betreff und Text sowie technische Zustellangaben. Öffnungs- und Klick-Tracking nutzen wir nicht.

9. KI-Textvorschläge (Anthropic, optional)

Nur wenn der Nutzer einen KI-Vorschlag anfordert und die Funktion aktiviert ist, senden wir an Anthropic (Anthropic PBC, USA): Firmenname des Nutzers, Name des Kunden, Rechnungsnummer, offenen Betrag, Fälligkeitsdatum, Stufe, Ton, Sprache, Art des Kunden und einen optionalen Hinweis des Nutzers. Nicht gesendet werden E-Mail-Adressen, Bankverbindungen oder Zahlungsangaben. Vorschläge werden vor Übernahme gefiltert und müssen vom Nutzer übernommen und freigegeben werden. Nach den derzeitigen Angaben von Anthropic werden API-Daten nicht zum Training verwendet und in der Regel innerhalb von 30 Tagen gelöscht; länger nur in Ausnahmefällen (z. B. bei markierten Verstößen gegen die Nutzungsrichtlinien oder gesetzlichen Pflichten).

10. Hinweis für Empfänger einer Zahlungserinnerung

Wenn Sie eine Zahlungserinnerung erhalten haben, die „über Levamio“ bzw. „mit Levamio versendet“ wurde: Verantwortlich für Ihre Daten und für die Forderung ist das Unternehmen, das Ihnen die Rechnung gestellt hat. Wir stellen diesem Unternehmen nur die Software bereit. Bitte wenden Sie sich mit Fragen zur Rechnung, zur Zahlung und zu Ihren Datenschutzrechten an dieses Unternehmen (Antwort auf die E-Mail genügt). Erreicht uns Ihre Anfrage, leiten wir sie an das Unternehmen weiter. Levamio treibt keine Forderungen ein, nimmt keine Zahlungen entgegen und kauft keine Forderungen an.

Missbrauch melden: Halten Sie eine solche E-Mail für unerwünscht oder verdächtig (z. B. Phishing), können Sie sie über den Link im Fuß der E-Mail melden. Wir speichern dann die Kennung der gemeldeten Erinnerung, die betroffene Firma, Ihre optionale Nachricht und den Zeitpunkt für 365 Tage; Ihre IP-Adresse verwenden wir nur als Hashwert zur Begrenzung der Meldungen (höchstens 5 je Stunde, Löschung nach 24 Stunden). Ab Meldungen zu drei verschiedenen Erinnerungen derselben Firma innerhalb von 7 Tagen sperren wir deren Versand automatisch. Für diese Verarbeitung sind wir Verantwortlicher; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Empfänger und unseres Versandwegs vor Missbrauch).

11. Speicherdauer (Teil B)

Wir speichern Daten der Kunden des Nutzers, solange der Nutzer sie in der App führt. Das Versandprotokoll löschen wir automatisch nach 730 Tagen (zwei Jahren). Der Nutzer kann die Daten jederzeit exportieren (JSON bzw. Rechnungen als CSV) und mit seinem Konto löschen; einzelne Rechnungen kann er in der App löschen. Nach Vertragsende löschen wir sie nach Maßgabe des Auftragsverarbeitungsvertrags in der Regel innerhalb von 30 Tagen, sofern der Nutzer sie nicht vorher exportiert hat. Aufbewahrungspflichten (z. B. nach HGB/AO) erfüllt der Nutzer in seinen eigenen Systemen; die App ist kein Archiv.

---

12. Empfänger und Drittländer

Drittländer: Für die USA gilt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, sonst die Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Vereinigte Arabische Emirate: Wir sitzen in den VAE; dafür besteht kein Angemessenheitsbeschluss. Wir wenden die DSGVO an, soweit sie für unser Angebot gilt, und greifen auf die in der EU gespeicherten Daten nur über verschlüsselte, authentifizierte Verbindungen zu. Für Daten der Kunden der Nutzer gelten die Regelungen im Auftragsverarbeitungsvertrag; für den Zugriff aus den VAE sind dort die Standardvertragsklauseln der EU-Kommission (Modul 2) vereinbart (AVV Ziffer 7).

13. Sicherheit

Verschlüsselte Übertragung (HTTPS), Verschlüsselung der API-Schlüssel (AES-GCM), Anmeldelinks, Bestätigungslinks und Sitzungen nur als Hashwerte, Bot-Schutz (Turnstile) und Ratenlimits beim Login, strikte Trennung der Daten je Unternehmen in jeder Abfrage, Schutz gegen Cross-Site-Request-Forgery, Prüfung der Signatur von Stripe-Webhooks, Filter gegen unzulässige Formulierungen vor dem Versand, Versand nur nach Freigabe und an eine bestätigte Antwortadresse, Versandlimits, Missbrauchs-Meldelink mit automatischer Sperre, globale Notbremse für den Versand. Einzelheiten in der Anlage zum Auftragsverarbeitungsvertrag.

14. Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21). Anfragen an [email protected]; wir antworten in der Regel innerhalb eines Monats. Als Empfänger einer Zahlungserinnerung wenden Sie sich bitte an das Unternehmen, das Ihnen die Rechnung gestellt hat (Ziffer 10). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-/EWR-Staat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes, in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO, z. B. Bot-Schutz, Missbrauchsschutz, Missbrauchsmeldungen, Betrieb), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Werbung: Der Verwendung Ihrer E-Mail-Adresse für Werbung können Sie jederzeit widersprechen; ein formloser Hinweis an [email protected] genügt.

15. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen, Dienstleister oder die Rechtslage ändern; über wesentliche Änderungen informieren wir Nutzer per E-Mail. Die aktuelle Fassung steht unter https://levamio.com/apps/forderungen/datenschutz.

Stand: 20.10.2026