Datenschutzerklärung

Polafin ist ein internes Werkzeug zur Liquiditäts- und Budgetplanung der Polar Dienstleistungen GmbH. Es steht nicht öffentlich zur Verfügung: es gibt keine Registrierung, jeder Zugang wird vom Unternehmen selbst angelegt, und ohne Anmeldung sind nur diese Seite, das Impressum und die Anmeldemaske erreichbar.

Zugangsdaten. Benutzername und Name der angemeldeten Person, das Passwort ausschließlich als scrypt-Hash (das Passwort selbst wird nicht gespeichert), der Zeitpunkt der letzten Anmeldung sowie fehlgeschlagene Anmeldeversuche, um das Erraten von Passwörtern zu bremsen. Zu einem fehlgeschlagenen Versuch wird dabei die IP-Adresse zusammen mit dem eingegebenen Benutzernamen als Sperrschlüssel gespeichert; der Eintrag verfällt nach kurzer Zeit und wird nach einer erfolgreichen Anmeldung gelöscht. Wiederherstellungscodes werden nur als SHA-256-Hash abgelegt.

Kontoumsätze der eigenen Geschäftskonten. Buchungstag, Betrag, Verwendungszweck, Name des Zahlungspartners, Kontostand und die Referenz der Bank. Diese Umsätze enthalten personenbezogene Daten Dritter — etwa Namen von Beschäftigten bei Lohnzahlungen oder Namen von Kundinnen und Kunden bei Zahlungseingängen.

Kundenstammdaten. Name, Kundennummer und IBAN, damit Zahlungseingänge dem richtigen Auftrag zugeordnet werden können.

Auswertungen des Steuerberaters. Zahlen aus hochgeladenen BWA-Dateien zum Abgleich mit den Kontobewegungen.

Herkunft der Daten: der Abruf beim eigenen Kreditinstitut, der Import von Kontoauszügen (CSV, MT940) und BWA-Dateien, der Buchungsstapel des Steuerberaters (DATEV-EXTF-Datei, mit Debitorennummer, Kundenname und Belegnummer), eine eingelesene Kundenliste (Name, Kundennummer, IBAN) sowie Eingaben in der Anwendung selbst.

Die Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO (Erfüllung von Verträgen mit Kundinnen, Kunden und Beschäftigten), lit. c DSGVO (handels- und steuerrechtliche Pflichten) und lit. f DSGVO (berechtigtes Interesse an einer belastbaren Übersicht über die eigene Zahlungsfähigkeit).

Vercel Inc. betreibt die Anwendung. Die Ausführung ist auf die Region Frankfurt am Main festgelegt.

Neon betreibt die Datenbank. Sie liegt in der AWS-Region eu-central-1, Frankfurt am Main.

Enable Banking Oy, Otakaari 5, 02150 Espoo, Finnland stellt den Kontoinformationsdienst nach der zweiten Zahlungsdiensterichtlinie (PSD2) bereit, über den die Umsätze der eigenen Geschäftskonten abgerufen werden. Der Zugriff wurde vom Kontoinhaber bei der Bank selbst freigegeben und ist auf das Lesen von Umsätzen und Kontostand beschränkt.

Sicherung. Einmal täglich wird eine vollständige Kopie der Datenbank auf einem Rechner des Unternehmens erstellt und in dessen iCloud-Speicher (Apple) abgelegt, weil der Datenbankanbieter selbst nur wenige Stunden zurückreicht.

Eine Übermittlung an weitere Empfänger findet nicht statt. Es gibt keine Werbung, keine Reichweitenmessung und keine Weitergabe zu fremden Zwecken.

Die Anwendung setzt ein einziges Cookie: finanzplan_session. Es enthält nur eine zufällige Sitzungskennung, ist für JavaScript nicht lesbar (httpOnly), wird nur über HTTPS übertragen (secure), nicht an fremde Seiten mitgesendet (SameSite=Lax) und verfällt nach einem Tag — mit „Angemeldet bleiben“ nach 30 Tagen. Dieses Cookie ist für den Betrieb erforderlich; ohne es ist keine Anmeldung möglich.

Im Browser werden zusätzlich zwei Einstellungen gespeichert: ob die Seitenleiste eingeklappt ist und ob helle oder dunkle Darstellung gewählt wurde. Beides verlässt das Gerät nicht.

Es werden keine Zählpixel, keine Analyse- oder Tracking-Dienste, keine Werbenetzwerke und keine externen Schriftarten oder Skripte eingesetzt. Deshalb gibt es auch keinen Cookie-Banner: es gibt nichts einzuwilligen.

Buchungs- und Belegdaten unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO) und werden bis zu deren Ablauf aufbewahrt. Sitzungen verfallen automatisch und werden gelöscht. Fehlgeschlagene Anmeldeversuche werden nach erfolgreicher Anmeldung entfernt.

Die Anwendung schlägt vor, welcher Kategorie oder welchem Kunden eine Zahlung zuzuordnen ist. Diese Vorschläge werden von einem Menschen bestätigt oder geändert; eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO mit rechtlicher Wirkung findet nicht statt.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21). Wenden Sie sich dazu an info@polar.ms.

Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.