Datenschutzerklärung

Stand: 22.10.2026. Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten bei der Nutzung von centurioerp.com gemäß Datenschutz-Grundverordnung (DSGVO). centurioerp.com ist ein reines B2B-Angebot für Unternehmen; Vertragspartner ist stets das jeweilige Unternehmen (der Mandant), nicht die einzelne Person.

1. Verantwortlicher

2. Rollenverteilung: wer entscheidet über welche Daten

Für die Stammdaten Ihres eigenen Kundenkontos (Firmenname, Rechnungsadresse, Ansprechpartner Ihres Vertrags) sind wir Verantwortlicher im Sinne der DSGVO. Für die Geschäfts- und Personendaten, die Sie oder Ihre Mitarbeitenden innerhalb Ihres Mandanten einstellen — etwa Kunden-, Lieferanten-, Mitarbeiter- oder Belegdaten —, handeln wir als Auftragsverarbeiter nach Art. 28 DSGVO; verantwortlich dafür bleibt Ihr Unternehmen. Ein Auftragsverarbeitungsvertrag steht auf Anfrage zur Verfügung.

3. Welche Daten wir verarbeiten

Registrierung und Kontoführung (Art. 6 Abs. 1 lit. b DSGVO):

• Firmenname und Stammdaten Ihres Unternehmens (Adresse, USt-IdNr., Steuernummer, Bankdaten, soweit von Ihnen hinterlegt)
• Name, E-Mail-Adresse und Passwort (als bcrypt-Hash, nie im Klartext) Ihrer Benutzerkonten
• Von Ihnen eingestellte Geschäftsdaten: Kunden, Lieferanten, Belege, Verträge, Aufträge, Termine, Chat- und Aufgabeninhalte
• Hochgeladene Dokumente: Fotos, Scans, PDFs, Sprachaufnahmen, E-Mail-Anhänge

Technische Nutzungsdaten (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an Betriebssicherheit):

• IP-Adresse, Zeitpunkt und aufgerufene Seite in den Zugriffsprotokollen des Webservers, 14 Tage aufbewahrt
• Anwendungs-/Fehlerprotokolle des Servers, kurzfristig und technisch bedingt gespeichert
• Unveränderliche Audit-Protokolle Ihrer Mandantendaten (append-only) für Nachvollziehbarkeit von Änderungen — Teil der Vertragsleistung, nicht Teil unserer Website-Analyse

Es werden keine Werbe-Cookies, kein Tracking und keine Analyse-Dienste Dritter eingesetzt. Einzelheiten zu technisch notwendigen Cookies und Browserspeicher finden Sie in der Cookie-Richtlinie.

4. Zwecke der Verarbeitung

• Bereitstellung und Betrieb der Plattform (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO)
• KI-gestützte Verarbeitung Ihrer Dokumente — jede KI-Aktion mit Konfidenzwert und Freigabepflicht durch eine Person, keine automatisierte Entscheidung mit Rechtswirkung im Sinne von Art. 22 DSGVO
• Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten nach den jeweils einschlägigen steuer- und handelsrechtlichen Vorschriften (Art. 6 Abs. 1 lit. c DSGVO)
• Kommunikation mit Ihnen zu Vertrag und Support

5. KI-Verarbeitung

Für KI-Funktionen (Belegextraktion, Klassifikation, Übersetzung, Sprachbefehle) werden die betreffenden Dokument- oder Textinhalte an einen KI-Sprachmodell-Anbieter übermittelt:

• Ohne eigene Konfiguration nutzt Ihr Mandant standardmäßig unser Kontingent bei Google (Gemini API, Google Ireland Ltd. als EU-Vertragspartner; die Anfrage kann dabei außerhalb der EU verarbeitet werden — Google hat sich hierfür auf EU-Standardvertragsklauseln bzw. das EU-U.S. Data Privacy Framework verpflichtet).
• Ab der Stufe „Professional“ können Sie stattdessen einen eigenen Schlüssel für OpenAI, Google Gemini, Anthropic Claude, Azure OpenAI (auch mit EU-Region wählbar) oder einen weiteren OpenAI-kompatiblen Anbieter hinterlegen (BYOK). Der Schlüssel wird verschlüsselt gespeichert (Fernet/AES), nie protokolliert und ist jederzeit löschbar; die KI-Anfragen laufen dann direkt zwischen Ihrem Mandanten und dem von Ihnen gewählten Anbieter.

In keinem Fall werden Inhalte zum Training der Modelle der Anbieter freigegeben, soweit deren Standardkonditionen für API-Nutzung dies ausschließen; das hängt vom jeweils gewählten Anbieter ab und liegt außerhalb unserer Kontrolle bei BYOK.

6. Empfänger und weitere Auftragsverarbeiter

Wir setzen folgende Auftragsverarbeiter bzw. Empfänger ein:

• Hosting/Server: IONOS SE, Deutschland (Serverstandort Frankfurt am Main)
• Objektspeicher für hochgeladene Dokumente: Hetzner Online GmbH, Standort Helsinki, Finnland (EU)
• KI-Verarbeitung: siehe Ziffer 5 — Google (Standard) bzw. der von Ihnen gewählte BYOK-Anbieter
• Video-/Sprachbesprechungen: sofern Sie diese Funktion nutzen, läuft die Verbindung über den öffentlichen Dienst meet.jit.si (8x8, Inc.); wir betreiben diesen Server nicht selbst
• Zahlungsabwicklung für kostenpflichtige Leistungen: je nach gewählter Zahlart Stripe Payments Europe, Ltd. (Irland), PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) oder Unzer E-Com GmbH (Deutschland) — diese erhalten die zur Zahlungsabwicklung erforderlichen Daten (u. a. Name, Rechnungsadresse, Zahlungsmittel) unmittelbar von Ihnen
• Versand von System-E-Mails: über unseren eigenen Mailserver

Eine Übermittlung in Drittländer außerhalb der in Ziffer 5 und 6 genannten Fälle findet nicht statt. Wir verkaufen keine Daten und geben keine Daten zu Werbezwecken weiter.

7. Speicherdauer

Vertragsdaten speichern wir für die Dauer des Vertragsverhältnisses. Gesetzliche Aufbewahrungsfristen — je nach Mitgliedstaat bis zu 10 Jahre nach den einschlägigen steuer- und handelsrechtlichen Vorschriften — bleiben unberührt. Nach Vertragsende und Ablauf der Fristen werden Daten gelöscht, sofern Sie nicht zuvor einen Export angefordert haben.

8. Ihre Rechte

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)

Wenden Sie sich dazu an [email protected]. Bei Daten, für die Ihr Unternehmen Verantwortlicher ist (Ziffer 2), leiten wir Ihre Anfrage an den zuständigen Mandanten weiter bzw. bitten Sie, sich direkt an diesen zu wenden.

9. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO) — insbesondere bei der Behörde des EU-Mitgliedstaats Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

10. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein: TLS-Verschlüsselung der Verbindung, Passwort-Hashing mit bcrypt, AES-Verschlüsselung hinterlegter API-Schlüssel, strikte Mandantentrennung durch Row-Level-Security auf Datenbankebene, unveränderliche (append-only) Audit-Protokolle für Datenänderungen sowie regelmäßige Backups.