Datenschutzerklärung – Kasseneck-Plattform

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Post Now e.U.
Ali Aktas, BSc
Siezenheimer Straße 35, 5020 Salzburg, Österreich
FN 545129k · UID ATU76279224
E-Mail: hello@kasseneck.at
Telefon: +43 670 301 5780

Ein Datenschutzbeauftragter ist gesetzlich nicht zu bestellen. Anfragen zum Datenschutz richten Sie bitte an hello@kasseneck.at.

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

Bei der Nutzung der Plattform verarbeiten wir Daten in zwei unterschiedlichen Rollen:

Als Verantwortlicher verarbeiten wir die Daten, die für Ihr Kasseneck-Konto und unsere Vertragsbeziehung mit Ihnen anfallen (Abschnitt 3).

Als Auftragsverarbeiter verarbeiten wir die personenbezogenen Daten, die Sie selbst in die Plattform eingeben – insbesondere Daten Ihrer Kundinnen und Kunden, Ihrer Mitarbeiterinnen und Mitarbeiter sowie Ihrer Geschäftspartner (Abschnitt 4). Für diese Daten sind Sie der Verantwortliche; wir verarbeiten sie ausschließlich weisungsgebunden auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO), den wir mit Ihnen abschließen.

3. Daten zu Ihrem Konto (wir als Verantwortlicher)

Zur Bereitstellung des Kontos und zur Vertragserfüllung verarbeiten wir:

• Registrierungs- und Stammdaten: Firmenname, Name der Ansprechpartner, E-Mail-Adresse, Telefonnummer, Anschrift, Website.
• Steuerdaten: Steuernummer, UID-Nummer, GLN, Kleinunternehmer-Status, Firmenbuchdaten, Bundesland.
• Bankverbindung (IBAN, BIC, Kontoinhaber) für Rechnungen, SEPA-Aufträge und die Abrechnung.
• Zugangs- und Authentifizierungsdaten: Konto-Kennung, E-Mail-Adresse und Anmeldedaten über Firebase Authentication, API-Schlüssel und Kassen-Token; optional die Anmeldung über ID Austria (Abschnitt 9).
• FinanzOnline-Zugangsdaten (Teilnehmer-ID, Benutzer-ID und PIN), um Ihre gesetzlichen RKSV-Meldungen in Ihrem Auftrag durchzuführen.
• Nutzungs- und Abrechnungsdaten: gebuchte Module, Umfang der Nutzung von KI-Funktionen (Anzahl der Abrufe und Kosten, keine Inhalte), Zahlungsstatus.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), lit. c (Erfüllung rechtlicher Verpflichtungen nach RKSV, BAO und FinanzOnline-Vorgaben) sowie lit. f (berechtigtes Interesse an einem sicheren, stabilen Betrieb).

4. Daten, die Sie in der Plattform verarbeiten (wir als Auftragsverarbeiter)

Je nach genutzten Modulen speichern und verarbeiten wir in Ihrem Auftrag insbesondere:

• Beleg- und Rechnungsdaten einschließlich der Daten Ihrer Kundinnen und Kunden (Name, Anschrift, UID-Nummer, Beträge, Leistungsbeschreibung).
• Personal- und Lohndaten Ihrer Mitarbeiterinnen und Mitarbeiter (Name, Anschrift, Sozialversicherungsnummer, Bankverbindung, familienbezogene Angaben, Gehalt, Beschäftigungsdaten, Lohnzettel/L16 sowie von Ihnen hochgeladene Dokumente wie Verträge oder Ausweise).
• Bank- und Zahlungsdaten aus importierten Kontoauszügen und SEPA-Mandaten (Name, IBAN und Verwendungszweck Ihrer Geschäftspartner).

Diese Daten verarbeiten wir ausschließlich zu den Zwecken, die sich aus dem Vertrag und Ihren Weisungen ergeben, und geben sie nicht für eigene Zwecke weiter. Einzelheiten, Sub-Auftragsverarbeiter und technisch-organisatorische Maßnahmen regelt der Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Betroffene Personen (z. B. Ihre Mitarbeiter oder Kunden) wenden sich mit ihren Rechten an Sie als Verantwortlichen; wir unterstützen Sie dabei.

4a. UID-Prüfung Ihrer Rechnungskunden

Für Rechnungen an Unternehmer prüft Kasseneck in Ihrem Auftrag die UID-Nummer Ihrer Kundinnen und Kunden – beim Anlegen oder Ändern eines Kunden, vor dem Festschreiben einer Rechnung und vor geplanten SEPA-Rechnungsläufen. Bei Einzelunternehmern sind Name und Anschrift aus dem Register personenbezogene Daten. Verantwortlicher sind auch hier Sie; wir handeln als Auftragsverarbeiter (Abschnitt 2).

• Was übermittelt wird: die UID-Nummer Ihres Kunden und Ihre eigene UID-Nummer; bei einer Prüfung über VIES zusätzlich Name und Anschrift Ihres Kunden, wie Sie sie erfasst haben, damit das Register sie bestätigen kann.
• An wen: vorrangig an das MwSt-Informationsaustauschsystem VIES der Europäischen Kommission (Art. 31 Verordnung (EU) Nr. 904/2010), das die Anfrage an die Steuerverwaltung des Mitgliedstaats weitergibt, der die UID-Nummer erteilt hat. An das Bundesministerium für Finanzen über FinanzOnline mit Ihrem FinanzOnline-Zugang (Bestätigungsverfahren nach Art. 28 Abs. 2 UStG 1994) nur, wenn Sie die UID-Prüfung über das Finanzamt eingeschaltet haben, und dann nur, wenn VIES Name und Anschrift nicht bestätigt, nicht antwortet oder die Nummer als ungültig meldet. Diese Stellen verarbeiten die Daten in eigener Verantwortung.
• Was gespeichert wird: das Ergebnis (gültig oder ungültig), die von der Behörde gemeldeten Registerdaten (Name, Anschrift) und deren Abgleich mit Ihren Kundendaten, Datum und Uhrzeit, gegebenenfalls die VIES-Konsultationsnummer sowie – bei einer Prüfung über das Finanzamt – die Bestätigung, die FinanzOnline am Folgetag in Ihre DataBox zustellt. Diese Bestätigung holen wir mit Ihrem Zugang aus der DataBox ab und bewahren sie unverändert auf.
• Zweck und Rechtsgrundlage: Nachweis der gültigen UID-Nummer für die Steuerfreiheit innergemeinschaftlicher Lieferungen (Art. 7 UStG 1994, Anhang Binnenmarkt), für den Übergang der Steuerschuld und die Rechnungsangaben (§ 11 UStG 1994) und als Beleg nach § 132 BAO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.
• Nachweis auf der Rechnung: Die Rechnung trägt einen kurzen Prüfvermerk mit Prüfcode und QR-Code. Wer den Code kennt, sieht unter check.kasseneck.at nur, ob ein gültiger Nachweis vorliegt und von welchem Tag; Aussteller, Empfänger, UID-Nummer, Zeitpunkt und Quelle erst mit der genauen Rechnungsnummer. Fehlversuche sind je Tag begrenzt, Detailabfragen werden nicht protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (überprüfbarer Nachweis gegenüber Rechnungsempfänger und Finanzverwaltung).
• Speicherdauer: Prüfprotokoll und Bestätigungen sind unveränderlich und werden wie die Rechnung sieben Jahre aufbewahrt (§ 132 BAO), darüber hinaus, solange sie für ein anhängiges Abgabenverfahren von Bedeutung sind.

5. KI-gestützte Funktionen

Die Plattform bietet optionale KI-Funktionen: einen Kontierungsvorschlag für die Einnahmen-Ausgaben-Rechnung (E1a) und die automatische Auslesung von Belegen (Foto/PDF → strukturierte Felder). Diese laufen über Google Vertex AI in der EU-Region (Modell Anthropic Claude Haiku; als Ausweichmodell Google Gemini in europe-west4).

Für den Kontierungsvorschlag minimieren wir den übermittelten Text vor der Übergabe an das Modell (IBAN, E-Mail-Adressen und Telefonnummern werden durch Platzhalter ersetzt). Bei der Belegauslesung wird die hochgeladene Beleg-Datei vollständig an den KI-Dienst übermittelt; sie kann personenbezogene Daten Dritter (z. B. des ausstellenden Unternehmens) enthalten. Die Verarbeitung erfolgt in der EU. Wir protokollieren die Inhalte der Anfragen nicht; gespeichert werden nur anonyme Nutzungszähler (Anzahl der Abrufe, Token- und Kostenwerte). Die übermittelten Inhalte werden nur zur Beantwortung der jeweiligen Anfrage verarbeitet und von uns nicht dauerhaft gespeichert.

6. RKSV, Signatur und FinanzOnline

Zur Erfüllung der Registrierkassensicherheitsverordnung übermitteln wir in Ihrem Auftrag die erforderlichen Daten an FinanzOnline (Bundesministerium für Finanzen, Österreich) – etwa zur Registrierung von Kasse und Signatureinheit sowie zur Belegprüfung. Jeder Barumsatz wird über eine zertifizierte Signaturerstellungseinheit signiert und im Datenerfassungsprotokoll (DEP) verkettet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den Vorgaben der RKSV und der Bundesabgabenordnung (BAO).

Ihren FinanzOnline-Zugang richten Sie als „Benutzer für Registrierkassen-WebService“ ein; er dient nur der Kassen-Meldung. Schalten Sie für die UID-Prüfung über das Finanzamt einen „Benutzer für WebService“ frei, darf dieser Zugang in FinanzOnline mehr. Wir öffnen daraus ausschließlich UID-Bestätigungen (Abschnitt 4a); um die Art des Zugangs zu erkennen, fragen wir – nur solange die UID-Prüfung über das Finanzamt eingeschaltet ist – die Liste der Protokolle des letzten Tages ab und speichern sie nicht. Wir übermitteln nur, was Sie in Kasseneck auslösen.

7. Kartenzahlung

Für die Kartenzahlung binden wir die Zahlungsdienstleister hobex, myPOS, Stripe und GP tom (Global Payments) an. Vollständige Kartennummern oder Sicherheitscodes werden dabei nicht über unsere Systeme verarbeitet – diese Daten verbleiben beim jeweiligen Terminal bzw. Zahlungsdienstleister. An die Zahlungsdienstleister übermittelt werden Transaktionsdaten wie Betrag, Referenz- und Transaktions-IDs; bei Stripe können optional E-Mail-Adresse und Telefonnummer der zahlenden Person übermittelt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zahlen Sie über das Terminal eines anderen Anbieters, etwa SumUp, das über eine verbundene Kassen-App oder ohne Anbindung läuft, schließen Sie den Vertrag direkt mit diesem Anbieter, und die Zahlung wird dort verarbeitet. Kasseneck speichert davon nur, was für den Beleg nötig ist, etwa Betrag, Kartentyp und Transaktions-ID.

7a. Die Kassen-App auf Ihrem Gerät

Die App Kasseneck Kasse (iOS und Android) ist das Kassengerät zu Ihrem Konto. Sie legt kein eigenes Benutzerkonto an: Das Gerät wird mit einem Kopplungs-Code aus dem Panel an eine Ihrer Kassen gebunden, danach melden sich Ihre Kassiere mit einer PIN an.

Was auf dem Gerät bleibt

• Die Kopplung an Ihre Kasse – im gesicherten Speicher des Betriebssystems, nicht in gewöhnlichen Einstellungen.
• Ein Prüfmerkmal der Kassier-PIN für das Entsperren am Tresen. Die PIN selbst wird nicht gespeichert. Beim Entkoppeln wird das Merkmal gelöscht.
• Zuletzt geladene Artikel und Einstellungen, damit die Kasse nach einem Neustart sofort arbeitet.

Was das Gerät übermittelt

An unsere Server gehen die Belegdaten (Positionen, Beträge, Steuersätze, Zahlungsart, Trinkgeld), die Kennung des angemeldeten Kassiers und die Geräte-Kennung. Das ist die Verarbeitung, für die Sie Verantwortlicher sind und wir Auftragsverarbeiter (Abschnitt 4). Die Aufbewahrung folgt der Registrierkassen­sicherheits­verordnung und § 132 BAO – ein Beleg ist unveränderlich und lässt sich weder ändern noch löschen.

Berechtigungen und wozu

• Bluetooth – ausschließlich, um einen Bondrucker zu finden und anzusprechen. Es werden keine Standortdaten daraus abgeleitet.
• Lokales Netzwerk – um einen Bondrucker oder ein Kartenterminal im Kassennetz über seine Adresse zu erreichen.

Die App fragt keinen Standort ab, greift nicht auf Kontakte, Fotos, Mikrofon oder Kamera zu und enthält keine Analyse-, Tracking- oder Werbebibliotheken. Es findet kein Tracking im Sinne der Vorgaben der App-Stores statt, und Daten werden nicht mit Daten anderer Unternehmen zusammengeführt.

Kartenzahlung am Gerät

Bei angebundenen Kartenterminals gibt der Gast seine Karte am Terminal ein. Die App erhält davon nur die Rückmeldung der Transaktion – im Wesentlichen Betrag, Freigabe und eine maskierte Kartennummer – und druckt sie auf den Beleg. Die vollständige Kartennummer und der PIN-Code erreichen die App zu keinem Zeitpunkt.

8. Empfänger und Sub-Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen die datenschutzrechtlich erforderlichen Verträge (Art. 28 DSGVO bzw. – bei Drittlandsbezug – EU-Standard­vertrags­klauseln) bestehen. Die Verarbeitung Ihrer Nutzdaten erfolgt in der EU.

9. Anmeldung mit ID Austria

Sie können sich optional mit ID Austria anmelden. Dabei erhalten wir vom staatlichen eID-System Ihren Vor- und Nachnamen sowie ein bereichsspezifisches Personenkennzeichen (bPK). Das bPK speichern wir niemals im Klartext, sondern ausschließlich als kryptografischen Hash-Wert (SHA-256), der allein dazu dient, Ihre ID-Austria-Anmeldung mit Ihrem bestehenden Konto zu verknüpfen. Aus einer ID-Austria-Anmeldung wird kein neues Konto angelegt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anmeldung/Vertragserfüllung); die Anmeldung ist freiwillig.

10. Speicherdauer und Löschung

Steuerlich und nach RKSV relevante Daten (insbesondere Belege, das Datenerfassungsprotokoll und Rechnungen) bewahren wir entsprechend den gesetzlichen Aufbewahrungspflichten auf – in der Regel sieben Jahre gemäß § 132 BAO, teils länger. Diese Daten sind nach RKSV zudem unveränderbar. Konto- und Stammdaten verarbeiten wir für die Dauer der Vertragsbeziehung. Nach Wegfall des Zwecks und Ablauf gesetzlicher Aufbewahrungsfristen werden die Daten gelöscht. Auftragsverarbeitete Daten (Abschnitt 4) werden nach Beendigung des Vertrags nach Ihrer Wahl gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

10a. Konto und Gerät löschen

Gerät entkoppeln: In der Kassen-App lässt sich das Gerät jederzeit entkoppeln (Einstellungen → Entkoppeln). Dabei werden die auf dem Gerät gespeicherten Anmeldedaten gelöscht; die App kehrt auf den Startbildschirm zurück. Der Inhaber kann ein Gerät auch aus der Ferne widerrufen – es kassiert danach sofort nicht mehr.

Konto löschen: Ein Kasseneck-Konto entsteht nicht in der App, sondern über den Vertragsabschluss. Zur Löschung genügt eine formlose Nachricht an hello@kasseneck.at; wir bestätigen sie und nennen, was gelöscht wurde. Der ausführliche Weg steht auf der Seite Konto und Daten löschen.

Was dabei nicht gelöscht werden darf: Belege, das Datenerfassungsprotokoll und Rechnungen unterliegen der Aufbewahrungspflicht nach § 132 BAO und sind nach RKSV unveränderbar. Sie bleiben deshalb bis zum Ablauf der Frist bestehen – auch nach einer Kontolöschung. Wir stellen sie Ihnen auf Wunsch vorher zur Verfügung. Alles, was nicht unter eine Aufbewahrungspflicht fällt, wird gelöscht.

11. Sicherheit der Verarbeitung

Wir treffen technische und organisatorische Maßnahmen zum Schutz Ihrer Daten: Die Übertragung erfolgt ausschließlich verschlüsselt (TLS). Der Zugriff auf Daten ist strikt nach dem Prinzip der geringsten Rechte geregelt (grundsätzlich „alles verboten, sofern nicht ausdrücklich erlaubt“); Zugangsdaten und Geheimnisse sind über die Kunden-Schnittstellen nicht abrufbar. Die Verarbeitung findet in Rechenzentren innerhalb der EU statt. Anmelde-Kennzeichen wie das bPK werden nur als Hash-Wert gespeichert.

12. Ihre Rechte

Ihnen stehen nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) zu. Zur Ausübung genügt eine formlose Nachricht an hello@kasseneck.at. Betrifft Ihre Anfrage Daten, die wir im Auftrag eines anderen Verantwortlichen verarbeiten (z. B. als Mitarbeiter oder Kunde eines Kasseneck-Nutzers), wenden Sie sich bitte an diesen Verantwortlichen; wir leiten Ihre Anfrage andernfalls weiter.

13. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. In Österreich ist dies die:

Österreichische Datenschutzbehörde
Barichgasse 40-42, 1030 Wien
E-Mail: dsb@dsb.gv.at

Stand: Oktober 2026