Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung Ihrer personenbezogenen Daten ist die blaumedia GmbH, Friedrich-Ebert-Hof 6, 22763 Hamburg, Deutschland. Geschäftsführer: Dennis Oliver Paul. Eingetragen beim Amtsgericht Hamburg, HRB 198611. E-Mail: privacy@paperhero.io.

Für personenbezogene Daten, die in den von Ihnen hochgeladenen Dokumenten enthalten sind, sind Sie der Verantwortliche und wir handeln als Ihr Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags (siehe unseren AV-Vertrag sowie Abschnitt 4).

2. Welche Daten wir verarbeiten

Je nach Nutzung von PaperHero verarbeiten wir folgende Kategorien personenbezogener Daten:

• •Kontodaten: Vor- und Nachname, E-Mail-Adresse, Passwort (nur als scrypt-Hash gespeichert), Sprache und Zeitzone sowie – sofern aktiviert – Einstellungen zur Zwei-Faktor-Authentifizierung und zu Verschlüsselungsschlüsseln.
• •Dokumentendaten: die von Ihnen hochgeladenen Dateien (PDFs, Bilder, Scans), der daraus extrahierte Text, Suchindizes (Embeddings) und von Ihnen vergebene Metadaten (Namen, Ordner, Tags). Dokumente können personenbezogene Daten über Sie oder Dritte enthalten; Sie entscheiden, was Sie hochladen.
• •KI-Eingaben und -Ausgaben: die Fragen, die Sie dem KI-Assistenten stellen, die zur Beantwortung an KI-Modelle übermittelten Dokumenteninhalte sowie die Antworten.
• •Nutzungs- und technische Daten: Protokolldaten wie IP-Adresse, Zeitstempel, Geräte- und Browserinformationen sowie durchgeführte Aktionen, die für Betrieb und Sicherheit erforderlich sind.
• •Zahlungsdaten: Ihre Rechnungsangaben und Ihr Abonnementstatus. Kartendaten werden von unseren Zahlungsdienstleistern verarbeitet (Stripe für die Website, Apple für In-App-Käufe); wir erhalten und speichern keine vollständigen Kartennummern.
• •Kommunikationsdaten: der Inhalt von Support-Anfragen und E-Mails, die Sie uns senden.
• •Daten aus dem E-Mail-Eingang (optional): bei Aktivierung der Weiterleitung die an Ihre persönliche PaperHero-Adresse gesendeten Anhänge (siehe Abschnitt 6).

3. Zwecke und Rechtsgrundlagen

Wir verarbeiten Ihre Daten auf folgenden Rechtsgrundlagen gemäß Art. 6 Abs. 1 DSGVO:

• •Bereitstellung des Dienstes (Konto, Dokumentenspeicherung, OCR, Suche, KI-Assistent, Freigaben, mobile Apps): Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO.
• •Zahlung, Abrechnung und gesetzliche Aufbewahrung: Art. 6 Abs. 1 lit. b und lit. c DSGVO (u. a. handels- und steuerrechtliche Aufbewahrungspflichten).
• •Sicherheit, Missbrauchsprävention und Betriebsprotokolle: berechtigtes Interesse an einem sicheren Dienst, Art. 6 Abs. 1 lit. f DSGVO.
• •Datenschutzfreundliche, cookielose Analyse: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO; cookiebasierte Analyse und Marketing: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.
• •Dienstbezogene Kommunikation und Support: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

4. Dokumente und KI-Verarbeitung

Ihre Dokumente werden verschlüsselt gespeichert (siehe Abschnitt 8). Neu hochgeladene Dateien gelangen jedoch zunächst in Ihren persönlichen Posteingang (Inbox); dort führt PaperHero die Texterkennung (OCR) durch, erstellt Vorschaubilder und berechnet die Suchindizes, um Ihre Dokumente durchsuchbar und nutzbar zu machen und Ihnen zu ermöglichen, einem KI-Assistenten Fragen zu Ihren Dokumenten zu stellen.

Ihr Posteingang ist persönlich. Da Posteingangs-Inhalte zu diesem Zeitpunkt noch keinem festen Empfängerkreis zugeordnet sind, liegen sie auf unseren Servern in der EU bis zum Import unverschlüsselt vor. Erst beim Import wird die Datei verschlüsselt und den Nutzern zugänglich gemacht, die über den gewählten Zielordner berechtigt sind; in einem Mehrnutzer-Konto können Administratoren Posteingangs-Inhalte verwalten.

Suchindizes (Embeddings) werden stets auf unseren eigenen Servern in der EU berechnet und nicht an Dritte weitergegeben.

Texterkennung und KI-Assistent: In den Tarifen Small und Medium werden Dokumenteninhalte und Ihre KI-Eingaben durch externe KI-Anbieter – OpenAI, Anthropic, Google und Mistral – verarbeitet, die wir ausschließlich über ein in der EU gehostetes KI-Gateway (Requesty.ai) und über in der EU gelegene Modell-Endpunkte ansprechen. Im Tarif Big können Sie zusätzlich KI-Modelle wählen, die wir selbst auf eigenen Servern in der EU betreiben, sodass diese Inhalte vollständig innerhalb unserer eigenen Infrastruktur verarbeitet werden; Sie können jedoch weiterhin die externen Anbieter wählen.

Mit diesen Anbietern bestehen Auftragsverarbeitungsverträge. Ihre Dokumenteninhalte und KI-Eingaben werden ausschließlich zur Erbringung der von Ihnen angeforderten Funktion verwendet und nicht zum Training der KI-Modelle der Anbieter genutzt.

5. Mobile Apps (iOS und Android)

Mit unseren iOS- und Android-Apps können Sie Dokumente scannen, fotografieren, hochladen und verwalten. Die Apps fordern Zugriff auf Ihre Kamera ausschließlich zum Scannen von Dokumenten an; aufgenommene Bilder werden wie jeder andere Upload für Ihr Konto verarbeitet.

Die Apps enthalten keine Werbung, keine Analyse- oder Tracking-SDKs und keine Tracker von Drittanbietern; wir erstellen keine Werbeprofile. In der iOS-App abgeschlossene Abonnements werden über Apple abgewickelt (siehe Abschnitt 9).

6. E-Mail-Eingang (optional)

Wenn Sie den E-Mail-Eingang aktivieren, erhalten Sie eine persönliche PaperHero-E-Mail-Adresse. Dorthin gesendete Nachrichten werden über eine verschlüsselte Verbindung von unserem eigenen Mailserver (mail.blaumedia.com) abgerufen; unterstützte Anhänge (PDF, JPEG, PNG) werden als Dokumente importiert, im Übrigen wird die Nachricht nicht gespeichert. Sie können zulässige Absender per Whitelist einschränken und die Funktion jederzeit deaktivieren.

7. Hosting und Speicherort

PaperHero wird auf Infrastruktur von Hetzner innerhalb der Europäischen Union betrieben, mit Rechenzentren in Deutschland; Teile der Infrastruktur können sich in anderen EU-Mitgliedstaaten befinden (z. B. Finnland). Ihre Dokumente und Kontodaten werden auf dieser EU-Infrastruktur gespeichert.

8. Verschlüsselung und Sicherheit

Jeder Nutzer verfügt über ein persönliches Schlüsselpaar. Ihr privater Schlüssel ist durch Ihr Passwort geschützt (Schlüsselableitung mit scrypt, Verschlüsselung mit AES) und wird mit Ihrem Passwort auf Ihrem Gerät entsperrt. Dokumente werden im Ruhezustand mit einem dokumentspezifischen Schlüssel verschlüsselt; alle Verbindungen sind zusätzlich per TLS geschützt.

Beim normalen Ansehen und Herunterladen Ihrer Dokumente erfolgt die Entschlüsselung lokal auf Ihrem Gerät. Unser Server stellt dabei ausschließlich die verschlüsselten Daten bereit; Ihr privater Schlüssel und Ihre entschlüsselten Dokumentinhalte werden nicht an uns übertragen.

Nur wenn Sie die Such- oder KI-Funktionen nutzen, wird Ihr Schlüssel für die jeweilige Anfrage an unseren Dienst übermittelt, damit die betreffenden Inhalte (Ihre Dokumente und der Suchindex) serverseitig entschlüsselt und – wie in Abschnitt 4 beschrieben – für Suche und KI-Verarbeitung genutzt werden können. In den Tarifen Small und Medium schließt dies die Übermittlung an unser in der EU gehostetes KI-Gateway ein.

Standardmäßig bewahren wir Ihren privaten Schlüssel ausschließlich in der mit Ihrem Passwort verschlüsselten Form auf; im Klartext speichern wir ihn nicht, sodass wir Ihre Dokumente nicht aus eigenem Antrieb lesen können. Optional können Sie die Ende-zu-Ende-Verschlüsselung aktivieren – dann löschen wir diese serverseitige Kopie, und Ihre Schlüssel verbleiben ausschließlich auf Ihren eigenen Geräten.

Passwörter werden ausschließlich als scrypt-Hash gespeichert. Die Daten jedes Kunden sind in einer eigenen Datenbank und einem eigenen Speicherbereich isoliert. Alle Verbindungen sind TLS-verschlüsselt, und es steht eine Zwei-Faktor-Authentifizierung zur Verfügung.

9. Empfänger und Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, die Daten in unserem Auftrag gemäß Art. 28 DSGVO verarbeiten, sowie wenige eigenständige Empfänger, soweit dies zur Erbringung des Dienstes erforderlich ist:

• •Hetzner Online GmbH (Deutschland / EU) – Hosting und Speicherung.
• •Requesty.ai zusammen mit OpenAI, Anthropic, Google und Mistral – KI-Texterkennung und KI-Assistent (in der EU gelegene Endpunkte; Tarife Small/Medium und optional Big).
• •Mailserver der blaumedia GmbH (mail.blaumedia.com) – Transaktions-E-Mails und E-Mail-Eingang.
• •Unser selbst gehostetes CRM (Twenty), betrieben auf eigener EU-Infrastruktur – Kunden- und Abonnementverwaltung.
• •Stripe Payments Europe, Ltd. – Zahlungsabwicklung für Website-Abonnements.
• •Apple – Zahlungsabwicklung und Abonnementverwaltung für In-App-Käufe in der iOS-App; bei In-App-Käufen ist Apple Verkäufer (seller of record) und verarbeitet die zugehörigen Zahlungsdaten nach eigenen Bedingungen.
• •Google Ireland Ltd. / Google LLC – nur bei Einwilligung in Marketing-Cookies (Google-Ads-Conversion-Messung).

10. Internationale Datenübermittlungen

Unsere Kernverarbeitung – Hosting, Dokumentenspeicherung, Suchindizes und KI-Verarbeitung über das EU-Gateway – findet innerhalb der EU statt. Soweit ein Empfänger Daten außerhalb der EU verarbeiten kann (insbesondere Google für Marketing oder Zahlungsdienstleister), geschieht dies nur auf einer gültigen Rechtsgrundlage, etwa Ihrer Einwilligung (Art. 49 Abs. 1 lit. a DSGVO) oder EU-Standardvertragsklauseln (Art. 46 DSGVO).

11. Speicherdauer und Löschung

Wir speichern Ihre Daten, solange Ihr Konto besteht. Wenn Sie Ihr Konto löschen (in der App, im Kundenportal oder durch Kontaktaufnahme mit uns), wird der Zugriff sofort deaktiviert und Ihre Dokumente, Kontodaten und Suchindizes werden innerhalb von 30 Tagen gelöscht.

Rechnungen und Buchführungsunterlagen bewahren wir für die gesetzliche Dauer von bis zu 10 Jahren auf (§ 147 AO, § 257 HGB). Soweit Daten zur Erfüllung gesetzlicher Pflichten oder zur Geltendmachung oder Abwehr von Rechtsansprüchen erforderlich sind, bewahren wir sie so lange auf, wie dies hierfür erforderlich ist.

12. Ihre Rechte

Sie haben folgende Rechte hinsichtlich Ihrer personenbezogenen Daten. Zur Ausübung wenden Sie sich an privacy@paperhero.io; Kontoinhaber können ihre Daten zudem direkt in der App oder im Kundenportal exportieren und ihr Konto löschen.

• •Auskunft (Art. 15), Berichtigung (Art. 16) und Löschung (Art. 17) DSGVO.
• •Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) DSGVO.
• •Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung (Art. 21 DSGVO).
• •Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
• •Beschwerderecht bei einer Aufsichtsbehörde – für uns der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

13. Cookies und Analyse

Wir verwenden essentielle Cookies, die für den Betrieb der Plattform erforderlich sind (Authentifizierung, Einstellungen). Für die Webanalyse nutzen wir Matomo, ein selbst gehostetes Open-Source-Tool, das wir auf eigener Infrastruktur in Deutschland betreiben – es findet keine Datenübertragung an Dritte statt. Standardmäßig läuft Matomo im cookielosen Modus mit anonymisierten IP-Adressen auf Grundlage unseres berechtigten Interesses am Verständnis der Produktnutzung (Art. 6 Abs. 1 lit. f DSGVO). Mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) setzen wir zusätzlich First-Party-Cookies (z. B. _pk_id, _pk_ses), um wiederkehrende Besucher wiederzuerkennen. Wenn Sie zusätzlich in die Kategorie „Marketing“ einwilligen, nutzen wir Google Ads zur Conversion-Messung und für Remarketing; dabei werden Cookies gesetzt und Daten an Google in die USA übertragen – ein Google-Skript wird erst nach Ihrer Einwilligung geladen, die Sie jederzeit widerrufen können. Ihre Auswahl können Sie jederzeit über „Cookie-Einstellungen“ im Footer ändern.

14. Kinder

PaperHero richtet sich nicht an Kinder. Für einen Vertragsschluss mit uns müssen Sie mindestens 18 Jahre alt sein; wir verarbeiten nicht wissentlich Daten von Minderjährigen.

15. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, um Änderungen des Dienstes oder gesetzlicher Anforderungen zu berücksichtigen. Über wesentliche Änderungen informieren wir Sie per E-Mail oder in der App. Das oben genannte Datum gibt die aktuelle Fassung an.

Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte erreichen Sie uns unter:

privacy@paperhero.io

blaumedia GmbH
Friedrich-Ebert-Hof 6
22763 Hamburg
Deutschland