Datenschutzerklärung

Stand: 10.10.2026

1. Verantwortlicher und Kontakt

Cyntro Systems GmbH, Theodor-Körner-Gasse 7, 8720 Knittelfeld, Österreich, E-Mail: office@cyntro.at.

2. Zwei Rollen

Für die Belege, Bankbewegungen und Geschäftspartnerdaten, die ein Unternehmen in CynTax hochlädt, ist dieses Unternehmen der Verantwortliche. Cyntro verarbeitet diese Daten als Auftragsverarbeiter nach dem Auftragsverarbeitungsvertrag (/avv) und nur nach dessen Weisung. Wer als Geschäftspartner oder Mitarbeiter eines solchen Unternehmens Auskunft wünscht, wendet sich zuerst an dieses Unternehmen.

Diese Erklärung betrifft die Verarbeitungen, für die Cyntro selbst Verantwortlicher ist (Abschnitte 3 und 6), und beschreibt ergänzend die KI-Verarbeitung (Abschnitt 4), die Empfänger einschließlich der Bankanbindung (Abschnitt 5), Cookies und Reichweitenzählung (Abschnitt 7), die Steuerberatung (Abschnitt 8) und die App (Abschnitt 9).

3. Verarbeitungen, Zwecke, Rechtsgrundlagen (Cyntro als Verantwortlicher)

Aufruf der Website. Beim Aufruf werden technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserkennung) durch den Hosting-Anbieter verarbeitet, um die Seite auszuliefern und Angriffe abzuwehren. Rechtsgrundlage: berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Speicherung: kurzfristig.

Registrierung und Konto. Firmenname, E-Mail-Adresse, Passwort (nur als Hash), Einladungscode sowie eine gehashte IP-Adresse zur Abwehr automatisierter Anmeldungen. Zeitpunkt und Stand der angenommenen Vertragsdokumente werden als Vertragsnachweis gespeichert. Rechtsgrundlagen: Vertrag (Art. 6 Abs. 1 lit. b), Sicherheit und Nachweis (lit. f). Ohne Firmenname und E-Mail-Adresse ist kein Konto möglich.

Nutzung der Software. Anmeldesitzung, gewählte Mandantenansicht, Rollenzuordnung und ein Protokoll administrativer Zugriffe durch Cyntro. Rechtsgrundlagen: Vertrag (lit. b), Sicherheit (lit. f).

Verbundene Agenten. Verbindet ein Kunde ein Programm („Agent") über einen Zugangsschlüssel oder eine Anmeldung mit CynTax, speichert Cyntro den Zugang (Bezeichnung, gewählte Rechte, Tagesgrenze für abgelegte Belege, Zustimmung mit Zeitpunkt, Textfassung und zustimmender Person; bei der Anmeldung zusätzlich die Angaben, mit denen sich das Programm anmeldet, etwa Name und Rückleitungsadresse) und protokolliert die Anfragen des Agenten mit Zeitpunkt, Aktion, gekürzter Eingabe und Ergebnis. Lohn- und Abgabenbelege mit Namen und Bezügen von Mitarbeitenden sieht ein Agent nur, wenn der Kunde ihm das Recht „Löhne und Abgaben ansehen“ ausdrücklich einräumt; ohne dieses Recht bleiben sie für Agenten verborgen. Zweck: Zurechnung der Aktionen, Missbrauchsabwehr und Nachweis gegenüber dem Kunden. Rechtsgrundlagen: Vertrag (lit. b), Sicherheit und Nachweis (lit. f). Welche Daten der Agent abruft und an wen er sie weitergibt, etwa an seinen eigenen Anbieter, bestimmt der Kunde; dieser Anbieter arbeitet nicht im Auftrag von Cyntro. Cyntro empfiehlt, einen Agenten nur mit einem Geschäftskonto oder einem Vertrag zur Auftragsverarbeitung beim Anbieter des Agenten zu verbinden, weist beim Verbinden darauf hin und lässt sich das vom Kunden bestätigen.

Abrechnung. Rechnungs- und Zahlungsdaten des Kunden. Rechtsgrundlagen: Vertrag (lit. b), gesetzliche Aufbewahrungspflicht (lit. c, § 132 BAO).

Kommunikation. Inhalte von Anfragen an office@cyntro.at sowie Transaktions-E-Mails (Registrierung, Passwort-Zurücksetzen, Rechnungen, Mahnungen, Konto-Löschungsbestätigung). Rechtsgrundlagen: Vertrag (lit. b) oder berechtigtes Interesse an der Beantwortung/am sicheren Betrieb (lit. f).

Weitere Nutzer. Richtet Cyntro auf Wunsch eines Kunden weitere Nutzer für dessen Unternehmen ein, etwa Mitarbeitende, erhält Cyntro deren E-Mail-Adresse vom Kunden (Art. 14 DSGVO). Rechtsgrundlage: Vertrag mit dem Kunden (lit. b), berechtigtes Interesse an der Zugangsverwaltung (lit. f). Ohne E-Mail-Adresse ist keine Einladung möglich (Art. 13 Abs. 2 lit. e DSGVO).

4. KI-Verarbeitung

CynTax setzt KI-Dienste für folgende Funktionen ein — jeweils, um Ihre eigenen, in CynTax hochgeladenen Daten auszuwerten, nicht um sie für fremde Zwecke zu nutzen:

• Belegextraktion: Erkennung von Geschäftspartner, Beträgen, Umsatzsteuer-Behandlung und Kontovorschlag aus hochgeladenen Belegen.
• Bank-PDF-Auswertung: Umwandlung hochgeladener Bankauszugs-PDFs in strukturierte Bewegungsdaten.
• Beleg-Chat: Erklärung des Systemvorschlags zu einem einzelnen Beleg und Zitat hinterlegter allgemeiner Regeln; keine Beurteilung einer freien Rechtsfrage im Einzelfall.
• Kaufmännischer KI-Assistent („Fibi"): Beantwortung von Fragen zu Ihren eigenen Unternehmensdaten. Fibi erteilt keine Steuer-, Rechts- oder Finanzberatung, hat keine Schreibrechte und schlägt keine Handlungen vor; jede Nutzung setzt eine einmalige Kenntnisnahme dieses Hinweises voraus. Frage und Antwort werden mit Zeitpunkt und Quellenangabe gespeichert, damit der Wortlaut einer Antwort nachvollziehbar bleibt und wir die Qualität der Antworten prüfen können; diese Aufzeichnungen sind nur für Sie selbst einsehbar und werden nach 12 Monaten automatisch gelöscht, bei Löschung des Mandantenkontos sofort. Nutzt Ihr Unternehmen das Gedächtnis von Fibi, speichert Fibi Ziele, Entscheidungen und Aussagen zu Ihrem Unternehmen nur, wenn eine Person Ihres Unternehmens den jeweiligen Eintrag ausdrücklich bestätigt. Diese Einträge sind für die Nutzer Ihres Unternehmens sichtbar und korrigierbar; an Ihre Steuerberatung gehen sie nur, wenn Sie einen Eintrag dafür ausdrücklich freigeben.
• Monatsbericht: automatisierte Zusammenfassung der Monatsdaten mit Hinweisen für die Steuerberatung.

Empfänger. Für die KI-Funktionen (Belegextraktion, Bank-PDF-Auswertung, Beleg-Chat, kaufmännischer KI-Assistent, interne Qualitätsprüfung der Antworten des kaufmännischen KI-Assistenten und Monatsbericht) setzt Cyntro KI-Modelle von drei Anbietern ein: Google Cloud (Vertex AI und Gemini API), Anthropic und OpenAI. Für die Qualitätsprüfung werden nur Frage und Antwort übermittelt, in denen erkennbare Personennamen und Kennungen (etwa IBAN, E-Mail-Adresse, Telefon- oder Steuernummer) vorher geschwärzt werden. Welcher Anbieter für welche Funktion arbeitet, legt Cyntro fest und kann es ändern, etwa als Ersatz, wenn ein Anbieter ausfällt oder ein Ergebnis nicht zuverlässig ist, oder aus Qualitätsgründen. Keiner der Anbieter verwendet die verarbeiteten Daten zum Training seiner Modelle (Einzelheiten und Quellen: /avv Anhang 2).

Drittland. Google verarbeitet bei Vertex AI am Standort „global" und bei der Gemini API ohne festgelegten Standort — beides ist ausdrücklich keine von Google zugesicherte EU-Datenresidenz, auch wenn Vertragspartner für Kunden im EWR in beiden Fällen Google Cloud EMEA Limited (Irland) ist. Anthropic und OpenAI verarbeiten durch die mit ihren EWR-Vertragspartnern (Anthropic Ireland, Limited; OpenAI Ireland Ltd.) verbundenen US-Unternehmen. Grundlage: für Google bei Vertex AI das Google Cloud Data Processing Addendum und bei der Gemini API (kostenpflichtiger Dienst) das „Data Processing Addendum for Products Where Google is a Data Processor", jeweils einschließlich der darin enthaltenen EU-Standardvertrags­klauseln (Art. 46 Abs. 2 lit. c DSGVO), ergänzt um den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework vom 10.07.2023 (Art. 45 DSGVO), soweit der Empfänger zertifiziert ist; für Anthropic und OpenAI dieselbe Grundlage laut deren Auftragsverarbeitungsvertrag.

Keine automatisierte Entscheidung. Jeder KI-Vorschlag wird von Ihnen bestätigt, bevor er wirkt. Eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt.

5. Empfänger und weitere Auftragsverarbeiter

Neben den KI-Diensten aus Abschnitt 4 setzt Cyntro einen Hosting-Anbieter, einen Anbieter für Datenbank, Dateispeicher und Anmeldung, einen Anbieter für den Versand von Transaktions-E-Mails und einen Dienst für die Push-Benachrichtigungen der App (Expo, Abschnitt 9) ein. Die vollständige Liste mit Sitz, Verarbeitungsort und Übermittlungsgrundlage steht im Auftragsverarbeitungsvertrag (/avv, Anhang 2). Steuerberatungen erhalten keinen Zugang zu CynTax (Abschnitt 8). An Behörden werden Daten nur bei gesetzlicher Pflicht übermittelt.

Bankanbindung über finAPI. Richten Sie eine Bankanbindung ein, melden Sie sich über ein Formular der finAPI GmbH (Adams-Lehmann-Straße 44, 80797 München) bei Ihrer Bank an. finAPI ist ein von der BaFin beaufsichtigtes Zahlungsinstitut und erbringt den Kontoinformationsdienst aufgrund eines eigenen Vertrags mit Ihnen als eigenständig Verantwortlicher. Ihre Zugangsdaten zum Online-Banking gibt finAPI nicht an Cyntro weiter. Cyntro erhält von finAPI die Kontostände und Umsätze der von Ihnen freigegebenen Konten, ruft sie automatisch und ausschließlich lesend ab und verarbeitet sie für Ihr Unternehmen nach dem Auftragsverarbeitungsvertrag. Wie finAPI Ihre Daten verarbeitet, steht in der Datenschutzinformation von finAPI: https://live.finapi.io/dpp?version=v1.7.

6. Speicherdauer

• Kontodaten: bis 30 Tage nach Vertragsende (Exportfrist), danach automatische Löschung, soweit keine gesetzliche Pflicht oder ein laufendes Verfahren entgegensteht. Löscht ein Nutzer sein Konto in der Software, werden seine Anmeldedaten sofort entfernt.
• Belege, Bankdaten, Chatverläufe der Kunden: nach dem Auftragsverarbeitungsvertrag (/avv § 9); die gesetzliche Aufbewahrungsfrist für Bücher und Belege (§ 132 BAO, in der Regel 7 Jahre) trifft den Kunden als Verantwortlichen, nicht Cyntro.
• Vertragsnachweise (angenommener Stand von AGB/Datenschutzerklärung/AVV): dauerhaft als Beweismittel.
• Abrechnungsdaten von Cyntro selbst: 7 Jahre (§ 132 BAO).
• Zugriffsprotokolle des Hosting-Anbieters: kurzfristig.
• Protokoll administrativer Zugriffe durch Cyntro: dauerhaft als Sicherheitsnachweis; freie Detailangaben werden bei der Löschung des Mandantenkontos gekürzt.
• Zugänge und Protokoll verbundener Agenten: bis zur Löschung des Mandantenkontos, auch nach dem Trennen eines Agenten. Abgelaufene Anmeldedaten werden täglich entfernt, Programmanmeldungen, die binnen 30 Tagen zu keiner Verbindung geführt haben, ebenso.
• Bankanbindung (Verbindung, verbundene Konten, Nutzer beim Kontoinformationsdienst): bis zur Löschung des Mandantenkontos; dabei veranlasst Cyntro auch die Löschung Ihres Nutzers bei finAPI. finAPI kann Daten aufgrund eigener gesetzlicher Pflichten länger aufbewahren.
• Push-Gerätekennungen: bis zur Löschung des Nutzerkontos oder des Mandantenkontos.
• Gespräche mit dem kaufmännischen KI-Assistenten: 12 Monate ab dem jeweiligen Gespräch; danach werden Frage, Antwort und Quellenangabe automatisch gelöscht, bei Löschung des Mandantenkontos sofort. Der Nachweis Ihrer Kenntnisnahme des KI-Hinweises bleibt als Vertragsnachweis erhalten.
• Gedächtnis des KI-Assistenten: bestätigte Einträge bleiben gespeichert, bis sie in Ihrem Unternehmen gelöscht werden oder das Mandantenkonto gelöscht wird; sie verfallen nicht mit der 12-Monats-Frist der Gespräche. Nicht bestätigte Vorschläge verfallen nach höchstens 24 Stunden.
• Reichweitenzählung der öffentlichen Seiten: Summen je Tag, 25 Monate; danach automatische Löschung (Abschnitt 7).

7. Cookies und Reichweitenzählung

CynTax setzt technisch notwendige Speicherungen im Browser ein (Anmeldung, Mandantenauswahl, Oberflächeneinstellungen). Dafür ist keine Einwilligung erforderlich (§ 165 Abs. 3 TKG 2021).

Reichweitenzählung. Um zu sehen, wie oft die öffentlichen Seiten von CynTax aufgerufen werden und woher die Besuche kommen, zählt Cyntro Seitenaufrufe auf dem eigenen Server, und zwar aus der Anfrage, die Ihr Browser beim Aufruf ohnehin sendet. Gezählt werden die Startseite, „So arbeitet das System“, die Hilfe, die Registrierung, die Rechtstexte und das Impressum. Ausgewertet werden: die aufgerufene Seite, der Tag, ob Sie direkt, von einer anderen Seite von CynTax oder von einer fremden Seite kommen (bei einer Seite von CynTax deren Adresse innerhalb von CynTax, bei einer fremden Seite nur deren Rechnername, etwa „www.google.at“, nie die genaue Adresse), Kampagnenangaben im Link (utm_source, utm_medium, utm_campaign) und eine grobe Geräteklasse (Handy, Tablet, Computer, Automat oder unbekannt), die aus der Browserkennung abgeleitet wird. Klicks auf den App-Store-Hinweis und auf „Zugang anfragen“ laufen über eine eigene Weiterleitungsadresse von CynTax und werden ebenso gezählt.

Gespeichert werden nur Summen je Tag, zum Beispiel „12 Aufrufe der Startseite von www.google.at mit einem Handy am 28.09.“, keine einzelnen Aufrufe. Ihre IP-Adresse und Ihre Browserkennung werden dafür nicht gespeichert, auch nicht gekürzt oder in veränderter Form, und es gibt keine Wiedererkennung über mehrere Aufrufe. In Ihrem Gerät wird dafür nichts gespeichert und nichts abgefragt: kein Cookie, kein Skript, kein Zählpixel. Es ist kein fremder Messdienst beteiligt; die Summen liegen in der Datenbank von CynTax (Anbieter siehe Abschnitt 5), nur Cyntro wertet sie aus, und sie werden nicht an Dritte weitergegeben. Rechtsgrundlage für die kurze Verarbeitung der Anfrage ist unser berechtigtes Interesse, die Reichweite unserer Website zu kennen und sie zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Die Summen werden nach 25 Monaten automatisch gelöscht.

Kein Einwilligungsbanner. Weil für die Reichweitenzählung nichts in Ihrem Gerät gespeichert oder abgefragt wird und keine Wiedererkennung stattfindet, ist dafür keine Einwilligung nötig; CynTax zeigt deshalb kein Einwilligungsbanner. Setzt Cyntro künftig einen Dienst ein, der eine Einwilligung braucht, fragt CynTax vorher danach, und dieser Abschnitt wird um dessen Namen, Zweck und Speicherdauer ergänzt.

8. Steuerberatung

CynTax gibt Steuerberatungen keinen eigenen Zugang. Das Monatspaket (Import-Datei für die Kanzleisoftware, Monatsbericht, offene Punkte mit Vermerken) lädt der Kunde herunter und gibt es selbst an seine Steuerberatung weiter; Cyntro übermittelt dabei nichts an die Steuerberatung.

9. App-spezifische Hinweise (iOS)

Die iOS-App CynTax nutzt die Kamera Ihres Geräts, um Belege direkt zu fotografieren und hochzuladen; die Aufnahme wird wie jeder andere Beleg-Upload verarbeitet (Abschnitt 4). Push-Benachrichtigungen sind, sofern in der App aktiviert, gerätebezogen und mandantengebunden gespeichert; Sie können sie in den Geräteeinstellungen deaktivieren. Versendet werden sie über den Push-Dienst Expo (650 Industries, Inc., USA), der sie an den Mitteilungsdienst von Apple weitergibt; dabei werden die Gerätekennung und der Text der Mitteilung übermittelt. Die Mitteilungen enthalten nur allgemeine Hinweise (etwa die Zahl offener Fragen oder den abgeschlossenen Monat), keine Beleg- oder Bankdaten. Grundlage der Übermittlung in die USA: EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist (/avv Anhang 2). Bietet die App eine biometrische Entsperrung (Face ID/Touch ID) an, verarbeitet Apple diese Daten ausschließlich lokal auf dem Gerät — Cyntro erhält dabei zu keinem Zeitpunkt biometrische Daten.

10. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 15 bis 21 DSGVO). Anfragen an office@cyntro.at.

11. Beschwerderecht

Sie können sich mit einer Beschwerde an die Österreichische Datenschutzbehörde wenden: Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at.

12. Änderungen

Diese Erklärung wird angepasst, wenn sich die Verarbeitungen ändern. Maßgeblich ist der oben genannte Stand.

Freigegebene Version 3.10.0 (2026-10-10)SHA-256 322010dbd076100ade41e1c7c4f6aae688618eabf36d42547c3826864e8dbcd9