Datenschutzerklärung

1. Verantwortlicher

TaxGraph GmbH
Hans-Dürrmeier-Weg 2
80339 München

Email: ludwig@tax-graph.com, tim@tax-graph.com

Kein Datenschutzbeauftragter benannt.

2. Rollenverteilung (Verantwortlicher / Auftragsverarbeiter)

TaxGraph nimmt je nach Verarbeitungsvorgang zwei unterschiedliche Rollen ein:

• Verantwortlicher: Für die Daten, die bei Besuch der Website sowie bei Registrierung, Kontoverwaltung und Abrechnung anfallen (z. B. Stammdaten, Kontodaten, Nutzungsdaten der Website), ist TaxGraph Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.
• Auftragsverarbeiter: Soweit Kunden über die MCP- bzw. Agent-to-Agent-Schnittstelle Recherche-Anfragen übermitteln, die personenbezogene Daten ihrer Mandanten enthalten können, verarbeitet TaxGraph diese ausschließlich im Auftrag und nach Weisung des Kunden (Art. 28 DSGVO). Verantwortlicher ist insoweit der Kunde. Grundlage ist der mit dem Kunden geschlossene Auftragsverarbeitungsvertrag (AVV).

3. Bereitstellung des Dienstes

Der steuerrechtliche Rechercheservice von TaxGraph wird ausschließlich über einen MCP-Server (Model Context Protocol) sowie über das Agent-to-Agent-Protokoll bereitgestellt und ist für die Integration in KI-Systeme des Kunden (z. B. Claude, Microsoft Copilot, Langdock) konzipiert. Eine eigenständige Webanwendung oder grafische Benutzeroberfläche für die Recherche wird nicht angeboten.

Die Website (tax-graph.com) dient der Darstellung des Angebots, der Dokumentation, der Registrierung und Kontoverwaltung sowie der Abrechnung. Die nachfolgenden Angaben unterscheiden, wo erforderlich, zwischen der Verarbeitung im Rahmen der Website und der Verarbeitung im Rahmen des MCP-Dienstes.

4. Zweck und Rechtsgrundlagen der Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung und Nutzung unseres Dienstes sowie zur Erfüllung vertraglicher und gesetzlicher Pflichten erforderlich ist.

Wir erheben und verarbeiten folgende personenbezogene Daten:

• Stammdaten: Name, Email-Adresse
• Konto- und Vertragsdaten: Nutzer-ID, Kontodaten, Abrechnungsdaten
• Nutzungsdaten der Website: Nutzungsverhalten auf der Website, soweit zugeordnet zur Nutzer-ID (siehe Abschnitt 6)
• Recherche-Inhalte (Kunden-Input): Über die MCP-/Agent-to-Agent-Schnittstelle übermittelte Anfragen. Diese können naturgemäß personenbezogene Daten der Mandanten des Kunden enthalten (z. B. Namen, Adressen, Steuernummern, Finanzinformationen) sowie potenziell besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheitsdaten bei Krankheitskosten oder Schwerbehinderung). Diese Daten verarbeiten wir ausschließlich als Auftragsverarbeiter im Auftrag des Kunden (siehe Abschnitt 2).
• Recherche-Ergebnisse und verwendete Quellen

Zwecke der Datenverarbeitung:

• Bereitstellung des steuerrechtlichen Rechercheservice über MCP und Agent-to-Agent-Protokoll
• Registrierung, Nutzerverwaltung, Authentifizierung und Abrechnung
• Analyse und Verbesserung von Website und Dienst
• Erkennung und Vermeidung von Missbrauch und unerlaubten Zugriffen

Rechtsgrundlage:

Die Verarbeitung erfolgt primär auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags über die Nutzung von TaxGraph und der damit verbundenen Recherche-Dienstleistung).

Für die Analyse und Optimierung von Website und Dienst stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Sofern eine Einwilligung über unser Cookie-Banner oder die Datenschutzeinstellungen eingeholt wird, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO.

Soweit wir Recherche-Inhalte im Auftrag des Kunden verarbeiten, erfolgt dies auf Grundlage des Auftragsverarbeitungsvertrags (Art. 28 DSGVO); datenschutzrechtlich Verantwortlicher ist insoweit der Kunde.

5. Empfänger / Auftragsverarbeiter

Zur Erbringung unserer Dienstleistung setzen wir die folgenden Auftragsverarbeiter ein. Die Verarbeitung erfolgt ausschließlich in der Europäischen Union, mit Ausnahme des unter 5.2 genannten Drittlandtransfers.

5.1 Microsoft Azure (Hosting und KI-Verarbeitung)

Anbieter: Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA (EU-Tochtergesellschaft: Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland)

Hosting: Unser Dienst wird auf Microsoft Azure in der Region Germany West Central (Frankfurt) betrieben. Wir nutzen Azure Kubernetes Service (AKS) für die Anwendungsbereitstellung, Azure PostgreSQL Flexible Server für die Datenhaltung, Azure Blob Storage für die Datenspeicherung sowie Azure Key Vault für die sichere Verwaltung von Zugangsdaten.

KI-Verarbeitung: Zur Verarbeitung von Anfragen und zur Aufbereitung der Recherche-Ergebnisse setzen wir Large Language Models über den Azure OpenAI Service ein. Die Verarbeitung erfolgt innerhalb der EU. Die übermittelten Inhalte werden nicht zum Training der Modelle verwendet.

Sämtliche Daten werden ausschließlich in der EU gespeichert und verarbeitet. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO ist über das Microsoft Online Services Data Protection Addendum (DPA) abgeschlossen. Es findet kein Drittlandtransfer statt.

Website: https://azure.microsoft.com
DSGVO-Informationen: https://www.microsoft.com/de-de/trust-center/privacy/gdpr-overview
Compliance: https://learn.microsoft.com/de-de/azure/compliance/

5.2 Clerk (Authentifizierung)

Anbieter: Clerk, Inc., 1 Letterman Drive, Suite D4700, San Francisco, CA 94129, USA

Verarbeitete Daten: Name, Email-Adresse, Passwort (gehasht), Login-Zeitpunkte und Session-Daten.

Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO ist abgeschlossen.

Drittlandtransfer: Clerk verarbeitet Daten in den USA. Die Übermittlung ist durch die Teilnahme von Clerk am EU-U.S. Data Privacy Framework (DPF) gemäß Art. 45 DSGVO abgesichert.

Website: https://clerk.com
Datenschutzerklärung: https://clerk.com/legal/privacy
DPF Notice: https://clerk.com/legal/dpf-notice

5.3 PostHog (Nutzungsanalyse)

Siehe Abschnitt 6.

Eine sonstige Weitergabe personenbezogener Daten an Dritte erfolgt nicht, es sei denn, dies ist gesetzlich vorgeschrieben.

7. Speicherdauer

Wir löschen personenbezogene Daten nach Ablauf der folgenden Fristen automatisiert. Die Durchsetzung der Fristen erfolgt über regelmäßige Löschläufe.

• Accountdaten (Name, Email-Adresse, Nutzerprofil): Vertragsdauer zuzüglich 5 Jahre.
• Kunden- und Vertragsdaten (insbesondere Abrechnungsdaten): Vertragsdauer zuzüglich 10 Jahre aufgrund gesetzlicher und handelsrechtlicher Aufbewahrungsfristen.
• Recherche-Anfragen (MCP-Anfragen): 30 Tage, danach automatische Löschung.
• Logs (Login, API-Anfragen, Fehler): 90 Tage.
• Nutzungsdaten (PostHog): 90 Tage, danach automatisch gelöscht.

8. Rechte der betroffenen Personen

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen das Recht:

• Auskunft über Ihre gespeicherten personenbezogenen Daten zu erhalten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten zu verlangen (Art. 16 DSGVO)
• Löschung oder Einschränkung der Verarbeitung (Art. 17, 18 DSGVO)
• Widerspruch gegen die Verarbeitung einzulegen, sofern diese auf berechtigtem Interesse beruht (Art. 21 DSGVO)
• Datenübertragbarkeit zu verlangen (Art. 20 DSGVO)
• eine erteilte Einwilligung jederzeit zu widerrufen (Art. 7 Abs. 3 DSGVO)
• sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO)

Sie können Ihre Rechte einfach und unkompliziert per Email an uns ausüben: ludwig@tax-graph.com oder tim@tax-graph.com

Soweit wir personenbezogene Daten als Auftragsverarbeiter im Auftrag eines Kunden verarbeiten (insbesondere Recherche-Inhalte mit Mandantendaten), richten Sie Betroffenenanfragen bitte an den jeweiligen Kunden als Verantwortlichen. Wir unterstützen den Kunden bei der Erfüllung dieser Anfragen gemäß Art. 28 Abs. 3 DSGVO und leiten direkt an uns gerichtete Anfragen unverzüglich an ihn weiter.

9. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO findet nicht statt.

10. Pflicht zur Bereitstellung der Daten

Die Bereitstellung bestimmter personenbezogener Daten (insbesondere Accountdaten) ist zur Nutzung unserer Dienstleistung erforderlich. Ohne diese Daten ist eine Nutzung des Dienstes leider nicht möglich.