Smahoma Accounting ist eine Buchhaltungsanwendung für Unternehmen. Sie verarbeitet naturgemäß personenbezogene Daten — die eigenen Kontodaten der Nutzerinnen und Nutzer und die Geschäftsdaten der Organisation, für die gebucht wird. Diese Erklärung sagt, welche das sind, warum sie verarbeitet werden und wie lange sie bleiben.
Für die Daten Ihres eigenen Kontos (E-Mail, Name, Anmeldungen) ist der Betreiber Verantwortlicher im Sinne der DSGVO.
Für die Buchhaltungsdaten, die Sie in Ihrer Organisation erfassen — Kunden, Lieferanten, Rechnungen, Belege, Bankumsätze — ist Ihre Organisation Verantwortliche und der Betreiber Auftragsverarbeiter. Der Betreiber verarbeitet diese Daten nur auf Weisung Ihrer Organisation, nicht für eigene Zwecke. Grundlage ist ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO).
Konto und Anmeldung: E-Mail-Adresse, Anzeigename, Passwort (nur als Argon2id-Hash), zweiter Faktor (Geheimnis verschlüsselt gespeichert), aktive Sitzungen mit IP-Adresse und Browserkennung.
Buchhaltungsdaten Ihrer Organisation:
Protokoll: Jede schreibende Handlung wird in einem fälschungssicheren Protokoll festgehalten — wer, wann, was, von welcher IP-Adresse. Das ist eine Anforderung ordnungsmäßiger Buchführung, keine Verhaltensbeobachtung. IP-Adresse und Browserkennung werden nach 90 Tagen aus dem Protokoll entfernt; der fachliche Vorgang bleibt.
Vertrag (Art. 6 Abs. 1 lit. b): Bereitstellung des Kontos und der Anwendung.
Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): Aufbewahrung von Buchhaltungsunterlagen und die Unveränderbarkeit gebuchter Sätze.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Sicherheit des Betriebs — Anmeldeprotokoll, Sperren nach Fehlversuchen, Schadsoftwareprüfung hochgeladener Dateien.
Anwendung, Datenbank und Belegspeicher laufen auf einem Server in Falkenstein, Deutschland (Hetzner Online GmbH). Die Daten verlassen die Europäische Union nicht.
Die Trennung zwischen Organisationen wird nicht nur in der Anwendung geprüft, sondern von der Datenbank selbst erzwungen (Row Level Security). Ohne gesetzten Organisationskontext liefert eine Abfrage null Zeilen.
Weitergegeben wird nur, was der jeweilige Dienst zur Erfüllung braucht:
Belegtexte an einen externen KI-Dienst zu geben, ist bewusst nicht der Auslieferungszustand. Diese Verarbeitung findet nur statt, wenn der Betreiber sie ausdrücklich einschaltet; ist sie aus, werden Belege ausschließlich lokal verarbeitet oder von Hand erfasst.
Buchhaltungsunterlagen unterliegen gesetzlicher Aufbewahrung — in Österreich sieben Jahre (§ 132 BAO), in Rumänien bis zu zehn. Innerhalb dieser Frist können gebuchte Belege und Rechnungen nicht gelöscht werden; die rechtliche Verpflichtung geht vor.
Kontodaten werden gelöscht, wenn das Konto gelöscht wird. Eine Organisation, deren Löschung verlangt wird, wird nach 72 Stunden Widerrufsfrist entfernt, soweit keine Aufbewahrungsfrist entgegensteht.
Sitzungen enden spätestens nach 30 Tagen, ohne Nutzung nach 12 Stunden. Sicherungskopien laufen nach ihrer eigenen Frist ab; in bestehende, verschlüsselte Sicherungen wird nicht eingegriffen.
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Ein vollständiger Export aller Daten Ihrer Organisation lässt sich jederzeit in der Anwendung selbst auslösen — maschinenlesbar, einschließlich der Belege.
Wenden Sie sich an support@smahoma.com. Betrifft Ihr Anliegen Buchhaltungsdaten, ist Ihre Organisation die richtige Adresse; der Betreiber unterstützt sie dabei.
Sie können sich außerdem bei einer Aufsichtsbehörde beschweren — in Österreich bei der Datenschutzbehörde, Barichgasse 40–42, 1030 Wien.
Keine Werbung, keine Weitergabe zu Werbezwecken, kein Verkauf von Daten. Keine Analysedienste Dritter, keine Werbekennungen, kein Nutzerprofiling. Es werden keine Cookies gesetzt außer denen, die die Anmeldung braucht — und die verschwinden mit der Abmeldung.
Die mobilen Apps zeigen dieselbe Anwendung wie der Browser; sie führen keine eigene Datenhaltung. Auf dem Gerät bleiben nur das Anmeldemerkmal und Ihre Anzeigeeinstellungen.
Auf die Kamera greift die App nur zu, wenn Sie einen Beleg fotografieren; das Bild geht dann denselben Weg wie ein hochgeladener Beleg. Ohne Ihre ausdrückliche Erlaubnis öffnet sich die Kamera nicht.