Datenschutzerklärung

SyncroGate ist eine serverlose Integrations-Middleware zur automatisierten Synchronisation von Zahlungs- und Bestelldaten (Stripe) in die Finanzbuchhaltung (Lexware Office oder sevdesk). Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Vertragserfüllung & Registrierung (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung der Nutzerkonten, Authentifizierung (GitHub/Google/E-Mail), Abwicklung von Abonnements sowie Ausführung der gebuchten Daten-Pipelines.
• Auftragsverarbeitung (Art. 28 DSGVO): Soweit wir über Stripe-Webhooks Daten der Endkunden unserer Nutzer (Name, E-Mail, Rechnungsadresse, Steuernummern) entgegennehmen und an Lexware Office oder sevdesk übermitteln, handeln wir als Auftragsverarbeiter. Hierfür schließen wir mit unseren Mandanten einen AV-Vertrag ab.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Gesetzliche Aufbewahrungs- und Dokumentationspflichten gemäß HGB, AO und GoBD für steuerlich relevante Rechnungs- und Transaktionsdaten.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Gewährleistung der Systemsicherheit, Vermeidung von Duplikaten (Idempotenzprüfung) und Abwehr missbräuchlicher API-Aufrufe.

Um unser Informationsangebot auf der öffentlichen Website (Startseite, Blog, Dokumentation) zu verbessern, erfassen wir anonymisierte Statistiken zu Seitenaufrufen. Hierfür setzen wir den Dienst PostHog ein. Wir haben PostHog so konfiguriert, dass es den strengsten Datenschutzanforderungen entspricht:

• Keine Cookies (Cookieless): Es werden keine Cookies, LocalStorage-Einträge oder andere Daten auf Ihrem Endgerät gespeichert. Das Tracking ist rein sitzungsbasiert im Arbeitsspeicher (RAM).
• IP-Anonymisierung: Ihre IP-Adresse wird vom PostHog-Server sofort verworfen und nicht gespeichert.
• Kein Profiling: Es werden keine Nutzerprofile angelegt, keine Tastenanschläge aufgezeichnet und keine Session-Recordings (Videoaufnahmen) durchgeführt.
• Striktes Blacklisting für sensible Bereiche: Das gesamte Kunden-Dashboard, die Login-Seiten, der Admin-Bereich sowie sämtliche API-Routen sind von der Erfassung technisch vollständig ausgenommen. Es fließen keinerlei Daten aus dem eingeloggten Zustand an PostHog.
• Hosting in der EU: Das PostHog-Projekt wird in der Europäischen Union gehostet.

Rechtsgrundlage hierfür ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der statistischen Analyse des Nutzerverhaltens zu Optimierungs- und Marketingzwecken. Da das Tracking cookiefrei und anonymisiert erfolgt, ist nach dem TTDSG keine explizite Einwilligung (Cookie-Banner) erforderlich.

Sensible Schnittstellenschlüssel (insbesondere Lexware Office- und sevdesk-API-Keys sowie Stripe Webhook-Signing-Secrets) werden in unserer Datenbank niemals im Klartext gespeichert. Die Speicherung erfolgt ausschließlich verschlüsselt mittels AES-256-GCM (Advanced Encryption Standard im Galois/Counter Mode mit authentifizierter Verschlüsselung). Die kryptografischen Schlüssel werden isoliert auf Serverebene verwaltet.

SyncroGate fungiert als technische Integrations-Middleware und nicht als originäres Buchführungs- oder Archivierungssystem. Die gesetzlichen Aufbewahrungsfristen für steuerlich relevante Buchungs- und Rechnungsbelege (gemäß § 147 AO und § 257 HGB) verbleiben vollumfänglich und unmittelbar in den angebundenen Zielsystemen (Stripe, Lexware Office, sevdesk).

Zur Einhaltung des Grundsatzes der Datenminimierung und Speicherbegrenzung (Art. 5 Abs. 1 lit. c und e DSGVO) werden auf unseren Servern verarbeitete Daten nach festgelegten Zeitfenstern automatisiert bereinigt:

• Eingehende Webhook-Payloads (inbound_events): Rohdaten empfangener Stripe-Webhooks (inklusive Fehlerprotokollen und Übertragungsparametern) werden für maximal 30 Tage für Fehleranalysen, manuelle Retries und Auditzwecke vorgehalten und anschließend unwiderruflich gelöscht.
• Beleg- und Transaktionsmetadaten (synced_invoices): Strukturierte Metadaten verarbeiteter Rechnungen (Stripe-Referenz, Lexware Office- bzw. sevdesk-Dokument-ID, Betrag, Zeitstempel) werden für 90 Tage gespeichert, um die gesetzliche Umsatzsteuervoranmeldung, quartalsweise Buchhaltungsabstimmungen sowie den Export für den Bankabgleich lückenlos zu gewährleisten. Nach Ablauf von 90 Tagen werden diese Datensätze automatisch entfernt.

Sie haben jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten (Art. 15 DSGVO), deren Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).

Wenden Sie sich hierzu bitte per E-Mail an datenschutz@syncrogate.dev. Zudem steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu (Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit).