handled.

Datenschutzerklärung

Fassung vom 13.09.2026

Handled ist eine Plattform der In Digital Form GmbH, mit der Betriebe ihre Belege sammeln, prüfen und der Steuerberatung übergeben. Diese Erklärung sagt, welche Daten dabei verarbeitet werden, wozu, und welche Rechte Sie haben.

1. Verantwortlicher

In Digital Form GmbH, Bachstraße 4, 5161 Elixhausen, Österreich. UID ATU77603327. Anfragen zum Datenschutz: office@indigitalform.com.

2. Zwei Rollen

Für die Daten Ihres Benutzerkontos (Name, E-Mail-Adresse, Anmeldungen) sind wir Verantwortlicher. Für die Unterlagen Ihres Betriebs – Belege, Kontoumsätze, Kontakte, Kalender, Arbeitszeiten – ist Ihr Betrieb der Verantwortliche; wir verarbeiten sie in seinem Auftrag nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Personen, die auf diesen Unterlagen genannt sind (Lieferanten, Kunden, Beschäftigte), informiert der Betrieb.

3. Welche Daten verarbeitet werden

  • Konto: Name, E-Mail-Adresse, Zugehörigkeit zu einem Betrieb, Rolle, Zeitpunkt der Anmeldung. Die Anmeldung läuft über unseren Anmeldedienst unter iam.indigitalform.com.
  • Belege: die hochgeladenen oder abgeholten Dateien im Original, der daraus gelesene Text und die Werte, die daraus abgeleitet und bestätigt wurden (Art, Gegenpartei, Datum, Betrag, Referenz).
  • Kontoumsätze: Auszüge, die der Betrieb als Datei einspielt, samt Buchungstext, Betrag und Gegenpartei. Handled greift nicht selbst auf Bankkonten zu.
  • Angebundene Quellen: Zugangsdaten zu Postfächern, Laufwerken und Kalendern, die der Betrieb anbindet; sie werden verschlüsselt gespeichert und nur lesend genutzt. Aus Postfächern werden Nachrichten mit Anhängen abgeholt, nichts wird dort verändert oder gelöscht.
  • Kontakte, Aufgaben, Arbeitszeiten, Termine: was der Betrieb und seine Beschäftigten dort selbst eintragen.
  • Assistent: die Fragen, die Sie dem Assistenten stellen, und seine Antworten, bei einer Sprachnachricht auch die Aufnahme selbst.
  • Anmerkungen Ihrer Steuerberatung: was eine Steuerberatung über einen Freigabelink zu einem Zeitraum zurückschreibt, und wann der Link geöffnet wurde.
  • Anfragen: was jemand auf der Startseite einträgt, bevor es einen Vertrag gibt — für welche Teile von Handled Interesse besteht, Rechtsform, Land, wie viele Personen dort arbeiten, ungefähr wie viele Belege im Monat anfallen, wo sie heute landen, ob es eine Steuerberatung gibt, sowie Name, E-Mail-Adresse und Telefonnummer für die Antwort.
  • Serverprotokolle: IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserkennung, kurzfristig zur Fehlersuche und Abwehr von Angriffen.

4. Zwecke und Rechtsgrundlagen

  • Betrieb der Plattform und Ihres Kontos: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO.
  • Verarbeitung der Betriebsunterlagen: im Auftrag des Betriebs, Art. 28 DSGVO.
  • Aufbewahrung von Belegen: gesetzliche Pflichten des Betriebs (§ 132 BAO, § 147 AO), Art. 6 Abs. 1 lit. c DSGVO.
  • Beantwortung einer Anfrage und Erstellung eines Angebots: vorvertragliche Maßnahmen auf Ihre Anfrage hin, Art. 6 Abs. 1 lit. b DSGVO.
  • Sicherheit und Fehlersuche: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO.

5. KI-Unterstützung

Handled liest Belege mit Hilfe von Sprachmodellen und schlägt Art, Gegenpartei, Datum und Betrag vor. Ein Vorschlag wird erst durch Bestätigung gültig; der Betrieb kann für einzelne Belegarten festlegen, dass sichere Vorschläge ohne Durchsicht übernommen werden, und jeden Wert nachträglich ändern. Der Abgleich von Zahlungen mit Belegen erfolgt ohne KI nach nachvollziehbaren Regeln. Es gibt keine automatisierte Entscheidung mit rechtlicher Wirkung gegenüber einer Person im Sinn von Art. 22 DSGVO.

6. Empfänger

  • KI-Dienst: Für Texterkennung, Zuordnung, den Assistenten und das Abtippen von Sprachnachrichten werden der Text oder das Bild eines Belegs – oder eben diese Aufnahme – an den Dienst übermittelt, den der Betrieb gewählt hat. Die Wahl wird je Zweck in den Einstellungen getroffen, und die Seite sagt dort, wo gerechnet wird. *Standard* geht an OpenRouter, Inc. (USA), der die Anfrage an das jeweils eingesetzte Modell weitergibt, derzeit Modelle von Google; das ist eine Übermittlung in ein Drittland und durch Standardvertragsklauseln nach Art. 46 DSGVO abgesichert. *EU-Verarbeitung* geht an Mistral AI (Frankreich), dessen Endpunkt in Rechenzentren in der EU und der EFTA antwortet. Sprachnachrichten werden ausschließlich über die EU-Route abgetippt. Keiner der Anbieter nutzt die Daten zum Training.
  • Google, Microsoft: nur wenn der Betrieb ein Google-Drive, einen Google-Kalender oder einen Microsoft-365-Kalender anbindet. Handled liest dann über die Schnittstelle des Anbieters; siehe Abschnitt 7.
  • Telegram: nur wenn Sie Ihr Telegram-Konto verbinden und dem ausdrücklich zustimmen. Ihre Tagesübersicht wird dann dorthin geschickt – Sie bestimmen, ob Termine namentlich oder nur gezählt genannt werden – und eine Frage, die Sie dem Bot schicken, getippt oder gesprochen, erreicht Handled auf demselben Weg und wird dort beantwortet. Telegram Messenger Inc. befördert beide Richtungen.
  • Ihre Steuerberatung: Legt jemand im Betrieb einen Freigabelink für einen Zeitraum an, sieht die darauf genannte Steuerberatung die Zahlungen dieses Zeitraums, die Belege dahinter und was der Betrieb dazu vermerkt hat – nur lesend, bis der Link abläuft oder widerrufen wird. Einen Link bekommt nur eine Steuerberatung, die der Betrieb selbst eingetragen hat; er kann den Export stattdessen weiterhin selbst übergeben.
  • Post, die Handled verschickt: die Tagesübersicht, der Link für die Steuerberatung und alles, was der Assistent verschicken soll, gehen über das Postfach hinaus, das der Betrieb zum Versand eingerichtet hat, und damit über dessen eigenen Mailanbieter. Sie gehen an Adressen, die in Handled hinterlegt sind – die Menschen, die im Betrieb arbeiten, und die eingetragenen Steuerberatungen –, und ein Empfängerfeld gibt es nirgends.
  • Schriftarten und Skripte: keine. Die Schriftart und die eine Browser-Bibliothek, die die Seiten brauchen, liefert Handled selbst aus; kein Content-Delivery-Netz erfährt also, welche Seiten Sie öffnen.
  • Hosting: Handled läuft auf Servern, die wir in der Europäischen Union betreiben.

7. Verbindungen zu Google- und Microsoft-Konten

Wird ein Google- oder Microsoft-Konto angebunden, holt Handled nur die Berechtigungen ein, die für den gewählten Zweck nötig sind: Drive nur lesend, der eigene Kalender lesend und zum Eintragen bestätigter Termine, der Firmenkalender nur lesend. Die Zugangstoken werden verschlüsselt gespeichert und können jederzeit in den Einstellungen oder beim Anbieter widerrufen werden. Die Verwendung und Weitergabe von Daten aus Google-Schnittstellen richtet sich nach der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.

8. Cookies

Handled setzt nur Cookies, die für den Betrieb notwendig sind: Sitzung, Schutz vor gefälschten Formularen, gewählte Sprache, gewähltes Farbschema und gewählte Seitenbreite. Eine Steuerberatung, die einen Freigabelink öffnet, erhält dafür ein Cookie, das nur auf den Seiten der Steuerberatung mitgeschickt wird. Der Anmeldedienst setzt eigene Sitzungscookies. Es gibt keine Cookies zu Werbe- oder Analysezwecken und keine Reichweitenmessung.

9. Speicherdauer

Belege und Kontoumsätze bleiben so lange gespeichert, wie der Betrieb sie aufbewahren muss oder will; nach Vertragsende werden sie auf Wunsch exportiert und anschließend gelöscht. Kontodaten werden mit dem Konto gelöscht. Eine Anfrage bleibt als Nachweis erhalten, wer wann gefragt hat, damit ein Betrieb, der ein Jahr später erneut anfragt, nicht vor einer leeren Seite steht; sie wird auf Wunsch gelöscht. Serverprotokolle werden nach 14 Tagen gelöscht.

10. Sicherheit

Übertragung ausschließlich verschlüsselt, Zugangsdaten zu Fremdsystemen verschlüsselt gespeichert, Daten jedes Betriebs in einer eigenen Datenbank und einem eigenen Speicherbereich, Zugriff nur nach Anmeldung und Rolle.

11. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Betrifft die Anfrage Unterlagen Ihres Betriebs, leiten wir sie an diesen weiter. Beschwerden nimmt die Österreichische Datenschutzbehörde entgegen, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at.

12. Änderungen

Diese Erklärung wird angepasst, wenn sich Handled ändert. Das Datum oben sagt, welche Fassung gilt; Änderungen werden in der App angekündigt.