Sicherheit & Vertrauen
Für Geschäftsführung, IT und Datenschutzbeauftragte · Stand: Juli 2026
Das Wichtigste zuerst
Wir können Ihre Daten nicht weitergeben — wir haben sie nie. Zettelfuchs läuft als lokale Anwendung auf Ihrem Rechner. Ihre Lieferscheine, Lieferanten, Preise und Mengen liegen bei Ihnen: in Ihrer Excel-Datei, Ihrem Archiv-Ordner, Ihrem Artikel-Katalog. Es gibt kein Zettelfuchs-Konto, keinen Zettelfuchs-Server und keine Cloud, auf der Ihre Belege landen.
Was geht wohin? Vollständige Transparenz.
| Daten | Wohin | Wann |
|---|---|---|
| Digitale PDFs | Nur Ihr Rechner | immer |
| Tabellen-Exporte (TMS/ERP) | Nur Ihr Rechner | immer |
| Excel-Export, Archiv, Artikel-Katalog | Nur Ihr Rechner | immer |
| Fotos/Scans | Claude-API (Anthropic, USA)* | nur wenn Sie bewusst ein Foto hochladen |
| Zwei Adressen (Streckenschätzung) | OpenStreetMap/Nominatim | nur per Klick, Ergebnis lokal gecacht |
*Anthropic ist unter dem EU-US Data Privacy Framework zertifiziert, bietet einen Auftragsverarbeitungsvertrag mit Standardvertragsklauseln und verwendet API-Daten nicht zum Training seiner Modelle. Auf Wunsch läuft die Foto-Erkennung über Ihren eigenen API-Schlüssel — dann sind wir vollständig aus der Datenkette.
Revisionssicher nach BAO & GoBD
Die optionale Belegablage speichert jedes Original unveränderbar (Write-once) mit SHA-256-Prüfsumme und Audit-Protokoll — und einer eingebauten Integritätsprüfung, die jede nachträgliche Veränderung erkennt. Damit erfüllen Sie die Kernanforderung des § 132 BAO (Österreich, 7 Jahre) bzw. der GoBD (Deutschland, 8 Jahre): bloßes PDF-Speichern reicht dort nicht, Unveränderbarkeit schon.
Wie wir Software-Sicherheit ernst nehmen
- Injection-Schutz: Alle Exporte (Excel, DATEV, CSV) neutralisieren Formel-Injection aus präparierten Belegen; Datenbankzugriffe sind durchgehend parametrisiert.
- Über 130 automatisierte Tests laufen bei jeder Code-Änderung (Continuous Integration) — inklusive Sicherheits-Regressionstests, die Angriffe nachstellen.
- Abhängigkeits-Audits: Die verwendeten Software-Bibliotheken werden regelmäßig auf bekannte Schwachstellen (CVEs) geprüft und aktualisiert.
- Keine Geheimnisse im Code: API-Schlüssel liegen ausschließlich in Ihrer lokalen Konfiguration.
- Website ohne Tracking: keine Cookies, keine Analyse-Dienste, lokal gehostete Schriften.
DSGVO — sauber geregelt
- Privacy by Design (Art. 25): Die Architektur minimiert Datenflüsse, statt sie nachträglich zu regeln — Ihre Daten bleiben Herr im eigenen Haus.
- Auftragsverarbeitungsvertrag (Art. 28): Für die optionalen Datenflüsse stellen wir auf Anfrage einen AVV inkl. TOM-Anhang bereit. Für die lokale Kernverarbeitung ist keiner nötig — wir verarbeiten dabei schlicht nichts.
- Vertraulichkeit im Pilotprojekt: Vor dem ersten Test unterzeichnen wir auf Wunsch eine Vertraulichkeitszusage — Ihre Belege werden nie für Marketing, Referenzen oder andere Kunden verwendet.
- Betroffenenrechte: Da die Daten bei Ihnen liegen, behalten Sie jederzeit die volle Kontrolle über Auskunft, Berichtigung und Löschung.
Details zur Website-Datenverarbeitung: Datenschutzerklärung.
Fragen Ihrer IT oder Ihres Datenschutzbeauftragten?
Wir beantworten sie gern direkt — inklusive AVV-Entwurf, TOM-Liste und Vertraulichkeitszusage vor dem Pilotstart: kontakt.zettelfuchs@gmail.com