Die Online-Steuererklärung von Steuersoft

Datenschutzerklärung

für STS-Online · Stand: 30.09.2026

Mit dieser Erklärung informieren wir Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten bei der Nutzung von STS-Online verarbeitet werden, zu welchen Zwecken, auf welcher Rechtsgrundlage und welche Rechte Ihnen zustehen.

1. Verantwortlicher

Steuersoft GmbH
Wallstraße 7, 66740 Saarlouis
Handelsregister: HRB 24335, Amtsgericht Saarbrücken
Vertreten durch den Geschäftsführer Berthold Frankenreiter
E-Mail: info@steuersoft.de

2. Datenschutzbeauftragter

Für die Steuersoft GmbH und die Steuer-Online MF GmbH ist folgender externer Datenschutzbeauftragter benannt:

Nina Rümmele
Perfekter Datenschutz (OT) GmbH
Am Paradeplatz 20, 69126 Heidelberg
E-Mail: Kunden@perfekter-datenschutz.de
Telefon: 069 2475 10 260

3. Nutzung für Mandanten oder Mitglieder

STS-Online ist ein Steuerprogramm im Browser. Bearbeiten Sie damit beruflich die Steuerfälle Dritter (etwa als Beratungsstelle, Kanzlei oder Lohnsteuerhilfeverein), sind Sie bzw. Ihre Organisation für deren Daten Verantwortlicher im Sinne der DSGVO. Wir verarbeiten diese Daten dann ausschließlich in Ihrem Auftrag und nach Ihrer Weisung (Art. 28 DSGVO) auf Grundlage des mit Ihnen geschlossenen Vertrags zur Auftragsverarbeitung. Die nachfolgenden Angaben beschreiben die technische Verarbeitung durch die Plattform; die Information der betroffenen Mandanten oder Mitglieder obliegt dem jeweiligen Verantwortlichen.

4. Hosting und Zugriffsprotokolle

Die Plattform wird auf Servern der Hetzner Online GmbH in Rechenzentren in Deutschland betrieben.

Beim Aufruf der Seiten verarbeitet der Webserver technisch notwendige Verbindungsdaten. In den Zugriffsprotokollen speichern wir ausschließlich eine gekürzte IP-Adresse (der letzte Block wird entfernt, sodass kein Rückschluss auf einen einzelnen Anschluss möglich ist), Datum und Uhrzeit, die aufgerufene Adresse, den Statuscode, die übertragene Datenmenge und die Browserfamilie. Aufrufe der Programmierschnittstelle, über die Steuerdaten übertragen werden, werden nicht protokolliert.

Zweck ist der sichere und stabile Betrieb sowie die Abwehr von Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Betriebssicherheit. Die Protokolle werden nach 14 Tagen automatisch gelöscht. Zum Schutz vor Angriffen werden Anmeldeversuche außerdem kurzzeitig gezählt und bei Häufung gebremst.

5. Benutzerkonto und Anmeldung

Für Ihr Benutzerkonto verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, Ihre Organisation und Ihre Rolle darin. Ein Passwort speichern wir ausschließlich als nicht umkehrbaren Prüfwert. Für die Anmeldung per E-Mail-Link senden wir Ihnen einen Link, der 30 Minuten gültig ist; Einladungen neuer Mitglieder einer Organisation sind 7 Tage gültig. Wenn Sie die Zwei-Faktor-Anmeldung einrichten, speichern wir das dafür nötige Geheimnis geschützt ab.

Anmelde- und Einladungs-E-Mails werden über den E-Mail-Dienst der IONOS SE (Deutschland) versandt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos) sowie Art. 6 Abs. 1 lit. f DSGVO (Schutz vor unbefugtem Zugriff).

6. Cookies und lokale Speicherung

Nach der Anmeldung erhalten Sie ein kurzlebiges Zugangs-Token, das im lokalen Speicher Ihres Browsers (localStorage) abgelegt wird und nach 2 Stunden abläuft. Damit Sie nicht ständig neu anmelden müssen, setzen wir zusätzlich ein Cookie zur Erneuerung der Anmeldung. Es ist für Skripte nicht auslesbar, wird nur verschlüsselt übertragen und läuft nach 30 Tagen ab. Beides ist unbedingt erforderlich, um den von Ihnen gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht erforderlich.

Außerdem legt die Anwendung im lokalen Speicher Ihres Browsers Einstellungen ab, etwa die Wahl zwischen hellem und dunklem Erscheinungsbild und die zuletzt verwendete Anmeldeadresse. Diese Daten verbleiben auf Ihrem Gerät und können jederzeit über die Browsereinstellungen gelöscht werden.

Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies ein und binden keine Inhalte externer Anbieter (etwa Schriftarten oder Skripte aus Content-Delivery-Netzen) ein. Alle Bestandteile der Seite werden von unserem eigenen Server ausgeliefert.

7. Steuerfälle und Belege

Für die Erstellung von Steuererklärungen verarbeitet die Plattform die Daten, die Sie eingeben oder hochladen: Angaben zu den steuerpflichtigen Personen, Einkünften, Ausgaben, Kindern und weiteren Umständen sowie Belege, Bescheide und Vollmachten. Die Daten werden getrennt je Organisation gespeichert, damit Sie die Fälle über längere Zeit bearbeiten können.

Hochgeladene Belege werden auf unserem Server ausgelesen und den passenden Angaben zugeordnet. Die Originalbelege werden verschlüsselt aufbewahrt, damit sie Ihnen in der Akte zur Verfügung stehen und bei Bedarf der Finanzverwaltung vorgelegt werden können. Korrigieren Sie eine Belegzuordnung, merkt sich das System daraus allgemeine Merkmale des Belegtyps – ohne Namen, Beträge oder andere fallbezogene Angaben –, um künftige Belege Ihrer Organisation besser zuzuordnen; an unsere Belegerkennung geht dabei nur eine anonyme Rückmeldung ohne Belegtext und Fallbezug.

Steuerdaten können besondere Kategorien personenbezogener Daten enthalten, etwa die Religionszugehörigkeit (Kirchensteuer) oder Angaben zur Gesundheit (Krankheitskosten, Behinderung). Diese werden nur verarbeitet, soweit sie für die Steuererklärung angegeben werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für besondere Kategorien Art. 9 Abs. 2 lit. a DSGVO; bei der Nutzung für Dritte richtet sie sich nach dem Verhältnis zwischen Ihnen und Ihren Mandanten bzw. Mitgliedern (siehe Abschnitt 3).

8. Austausch mit der Finanzverwaltung

Auf Ihre Veranlassung übermittelt die Plattform Steuererklärungen und Anträge elektronisch an die Finanzverwaltung (§ 87a AO) und ruft dort bereitgestellte Daten, Bescheide und Nachrichten ab. Dafür nutzen wir einen von uns betriebenen Übermittlungsdienst. Hinterlegte Zertifikate für die Authentifizierung werden verschlüsselt gespeichert. Zur Vorhaltung von Belegen für die Finanzverwaltung werden die freigegebenen Belege an einen von uns betriebenen Belegserver übergeben. Die Finanzverwaltung ist insoweit eigenständiger Empfänger. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.

9. Einsatz von Künstlicher Intelligenz

Für einzelne Funktionen setzen wir generative KI-Modelle ein, die wir über den Dienst Amazon Bedrock der Amazon Web Services EMEA SARL in der Region Frankfurt am Main (EU) nutzen. Das betrifft:

  • die Einordnung von Belegen, wenn die Erkennung auf unserem Server unsicher ist – dabei wird nur ein zuvor pseudonymisierter Text übermittelt,
  • die KI-Prüfung einer Erklärung auf Auffälligkeiten und Optimierungsmöglichkeiten sowie die Analyse von Steuerbescheiden, sofern Sie diese Funktionen aufrufen,
  • den Steuer-Assistenten für Fragen zum Steuerrecht, sofern Sie ihn nutzen.

Die Anfragen laufen über von uns betriebene Dienste; die Daten verbleiben in der EU-Region und werden vom Anbieter nicht zum Training der Modelle verwendet. Die Ergebnisse sind maschinell erzeugte Vorschläge. Sie ersetzen keine steuerliche Beratung und werden erst übernommen, wenn Sie sie bestätigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für besondere Kategorien Art. 9 Abs. 2 lit. a DSGVO.

10. Programmierschnittstelle

Organisationen können Programmen von Software-Anbietern über eine Programmierschnittstelle Zugriff auf ihre Daten gewähren. Zur Nachvollziehbarkeit protokollieren wir diese Zugriffe (Zeitpunkt, Zugang, aufgerufene Funktion, Ergebnis) ohne Inhalte und löschen das Protokoll nach 90 Tagen. Benachrichtigungen an die von Ihnen hinterlegten Empfänger-Adressen (Webhooks) werden 30 Tage lang protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

11. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies für die Erbringung des Dienstes erforderlich ist oder Sie es veranlassen. Eingesetzt werden:

  • Hetzner Online GmbH, Deutschland – Hosting der Server,
  • IONOS SE, Deutschland – Versand von E-Mails,
  • Amazon Web Services EMEA SARL, Luxemburg – KI-Modelle (Amazon Bedrock, Region Frankfurt am Main).

Mit allen Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Die jeweils aktuelle Liste der Unterauftragnehmer stellen wir auf Anfrage zur Verfügung. Weitere Empfänger sind die Finanzbehörden, soweit Sie Daten an diese übermitteln, sowie Software-Anbieter, denen Ihre Organisation selbst einen Zugang eingerichtet hat. Eine Weitergabe zu Werbezwecken findet nicht statt.

12. Übermittlung in Drittländer

Die Verarbeitung findet in der Europäischen Union statt. Eine Übermittlung in Drittländer ist nicht vorgesehen. Soweit Konzerngesellschaften eines Dienstleisters mit Sitz außerhalb der EU nicht ausgeschlossen werden können, stützen wir uns auf das EU-US Data Privacy Framework und/oder Standardvertragsklauseln der EU-Kommission.

13. Speicherdauer

  • Zugriffsprotokolle: 14 Tage,
  • Anmeldelink: 30 Minuten gültig; Einladungen: 7 Tage; Zugangs-Token: 2 Stunden; Erneuerungs-Cookie: 30 Tage,
  • Kontodaten: bis zur Löschung des Kontos,
  • Steuerfälle und Belege: solange die Organisation sie benötigt bzw. bis zur Löschung oder Beendigung des Vertrags; gesetzliche Aufbewahrungsfristen (z. B. nach Abgabenordnung und Handelsgesetzbuch) bleiben unberührt,
  • Protokoll der Schnittstellen-Zugriffe: 90 Tage; Webhook-Protokoll: 30 Tage,
  • reine Zählwerte zur Qualität der Belegerkennung (ohne Falldaten): bis zu 400 Tage.

14. Ihre Rechte

Sie haben gegenüber uns das Recht auf

  • Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO),
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO),
  • Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
  • Datenübertragbarkeit (Art. 20 DSGVO),
  • Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO),
  • Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Wenden Sie sich dazu an info@steuersoft.de oder an unseren Datenschutzbeauftragten. Wurden Ihre Daten von einer Beratungsstelle, Kanzlei oder einem Verein mit der Plattform bearbeitet, richten Sie Ihr Anliegen bitte an diese Stelle; wir unterstützen sie bei der Erfüllung.

15. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist:

Unabhängiges Datenschutzzentrum Saarland
Fritz-Dobisch-Straße 12, 66111 Saarbrücken

16. Weitere Hinweise

Keine automatisierte Einzelentscheidung

Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt. Die Plattform liefert Berechnungen und Vorschläge; über Übernahme und Übermittlung entscheiden stets Sie.

Pflicht zur Bereitstellung

Die Bereitstellung Ihrer Daten ist gegenüber uns weder gesetzlich noch vertraglich vorgeschrieben. Ohne die für eine Funktion erforderlichen Angaben kann diese Funktion jedoch nicht genutzt werden.

Sicherheit

Alle Verbindungen sind nach dem Stand der Technik verschlüsselt. Die Daten verschiedener Organisationen werden strikt getrennt gehalten, und der Zugriff ist auf berechtigte Personen beschränkt.