Stand: Oktober 2026

1. Geltungsbereich

Diese Datenschutzerklärung informiert Sie über die Verarbeitung personenbezogener Daten bei der Nutzung unserer Website papernaut.de und der Anwendung Papernaut. Beide Angebote werden technisch getrennt betrieben. Abschnitt 3 beschreibt die Website, Abschnitt 4 die Anwendung; die übrigen Abschnitte enthalten gemeinsame Angaben.

Die Verarbeitung von Kundendokumenten im Auftrag erläutern wir ergänzend unter Auftragsverarbeitung (AVV/ADV). Dort finden Sie die Einzelheiten zu Dienstleistern, Speicherfristen sowie Löschung und Rückgabe.

2. Anbieter, Kontakt und datenschutzrechtliche Rollen

Anbieter der Website und der Anwendung sowie Verantwortlicher für den Websitebetrieb, die Registrierung und Kontoverwaltung, Systemnachrichten, Vertrags- und Zahlungsabwicklung, Kontaktanfragen sowie die Sicherheit und den technischen Betrieb des Dienstes ist:

Garden of Concepts GmbH Eisenbahnstraße 5 D 63500 Seligenstadt Deutschland Telefon: 06182 77285 50 E-Mail: support@papernaut.de

Weitere Pflichtangaben finden Sie im Impressum.

Soweit Sie als Kunde über Zwecke und Mittel der Verarbeitung personenbezogener Daten in Ihren Dokumenten entscheiden, sind Sie Verantwortlicher und wir Auftragsverarbeiter. Die Einzelheiten dieser Verarbeitung, die eingesetzten Dienstleister sowie Löschung und Rückgabe richten sich nach dem Vertrag zur Auftragsverarbeitung. Unsere AVV-Informationen beschreiben die Grundlagen; der vollständige Vertrag wird im Rahmen der Zusammenarbeit bereitgestellt.

3. Verarbeitung auf der Website

3.1 Hosting

Die Marketing-Website papernaut.de wird als statische Website über Cloudflare Workers bereitgestellt. Nur die Formulare (Abschnitte 3.5 und 3.6) verarbeitet ein Programm auf Cloudflare Workers. Die Angaben in diesem Abschnitt betreffen die Website. Den Betrieb der Anwendung beschreiben wir in Abschnitt 4.

Anbieter: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA.

Beim Aufruf der Website verarbeitet Cloudflare technische Zugriffsdaten (z. B. IP-Adresse, Datum/Uhrzeit, angeforderte Ressource, User-Agent) auf seinen Edge-Servern, um die Website auszuliefern sowie Stabilität und Sicherheit zu gewährleisten. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln im Data Processing Addendum von Cloudflare.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem und effizientem Betrieb).

3.2 Cookies und Einwilligungen (TDDDG)

Wir setzen auf dieser Website keine Tracking- oder Marketing-Cookies ein.

Ihre Auswahl im Cookie-Banner speichern wir im lokalen Speicher Ihres Browsers (Schlüssel papernaut.cookieConsent.v1). Das ist technisch erforderlich, damit wir Ihre Entscheidung respektieren; Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG. Sie können die Auswahl jederzeit über „Cookie-Einstellungen“ im Footer ändern oder widerrufen.

Analyse-Dienste (Abschnitt 3.3) laden wir erst, nachdem Sie der Kategorie „Analyse“ zugestimmt haben. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Eine Marketing-Technologie setzen wir derzeit nicht ein.

3.3 Reichweitenmessung mit Cloudflare Web Analytics

Mit Ihrer Einwilligung messen wir mit Cloudflare Web Analytics, welche Seiten aufgerufen werden und wie schnell sie laden. Das Messskript wird von static.cloudflareinsights.com nachgeladen. Ohne Einwilligung wird es nicht geladen und es erfolgt keine Verbindung zu diesem Server.

Anbieter: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA.

Verarbeitete Daten: Aufgerufene Seite, Referrer, Zeitpunkt, Ladezeit- und Leistungsmesswerte (Core Web Vitals), Browser, Betriebssystem, Gerätetyp und ungefährer Standort (Land) sowie die IP-Adresse, die für die Übertragung technisch anfällt. Nach Angabe von Cloudflare setzt der Dienst keine Cookies, nutzt kein localStorage für die Messung, erstellt keine Fingerabdrücke einzelner Personen aus IP-Adresse oder User-Agent und verfolgt Besucher nicht über die Websites verschiedener Kunden hinweg. Wir erhalten die Statistiken ausschließlich aggregiert.

Rechtsgrundlage: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Das Skript liest Informationen aus Ihrem Browser aus; deshalb holen wir die Einwilligung auch ein, obwohl keine Cookies gesetzt werden. Sie können sie jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ im Footer widerrufen. Ein Widerruf wirkt ab dem nächsten Seitenaufruf, die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Drittlandübermittlung: Cloudflare, Inc. verarbeitet Daten auch in den USA. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln im Data Processing Addendum von Cloudflare.

3.4 Weiterleitung zur Registrierung

Wenn Sie auf „Jetzt anmelden“ klicken, gelangen Sie zur getrennt betriebenen Anwendung Papernaut. Die dortige Verarbeitung bei Registrierung und Nutzung erläutert Abschnitt 4 dieser Datenschutzerklärung.

3.5 Kontaktformular

Wenn Sie das Kontaktformular nutzen, verarbeiten wir Ihre Angaben (Anliegen, Name, E-Mail-Adresse, Nachricht und, falls angegeben, Firma, Kundennummer und Telefonnummer), um Ihr Anliegen zu bearbeiten.

Ablauf: Ein Programm auf Cloudflare Workers nimmt das Formular entgegen, speichert die Angaben in einer Datenbank bei Cloudflare (Cloudflare D1), deren Speicherort auf die EU beschränkt ist, und leitet sie per E-Mail über Lettermint B.V. (Niederlande) an unser Postfach weiter. Eine automatische Antwort an die angegebene Adresse senden wir nicht.

Missbrauchsschutz: Zusammen mit den Angaben speichern wir den Eingangszeitpunkt und einen Hashwert Ihrer IP-Adresse. Er wird mit einem geheimen Schlüssel und dem aktuellen Datum gebildet, wechselt also täglich, und lässt keinen Rückschluss auf die IP-Adresse zu. Wir nutzen ihn nur, um massenhafte Anfragen von derselben Adresse zu begrenzen. Die IP-Adresse selbst speichern wir nicht. Zusätzlich prüft Cloudflare Turnstile, ob das Formular von einem Menschen abgeschickt wird. Turnstile wird nur auf den Formularseiten von challenges.cloudflare.com geladen und verarbeitet dafür technische Merkmale Ihres Browsers und Geräts sowie Ihre IP-Adresse. Anbieter ist Cloudflare, Inc. (Anschrift und Drittlandübermittlung wie in Abschnitt 3.1).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung Ihrer Anfrage und am Schutz des Formulars vor Missbrauch). Der Zugriff von Turnstile auf Informationen in Ihrem Browser ist für den von Ihnen gewünschten Versand des Formulars unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Speicherdauer: Die Datenbank löscht Ihre Anfrage automatisch 30 Tage nach Eingang. Die weitergeleitete E-Mail löschen wir, sobald Ihr Anliegen erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

3.6 Kündigungsformular

Über das Kündigungsformular können Sie Ihren Vertrag ohne Anmeldung kündigen. Wir verarbeiten Ihre Angaben (Name, E-Mail-Adresse, Angaben zum Vertrag, Art und Zeitpunkt der Kündigung und, bei einer außerordentlichen Kündigung, den Grund), um die Kündigung zu bearbeiten, Ihnen den Eingang zu bestätigen und den Eingang nachweisen zu können.

Ablauf: Wie beim Kontaktformular (Abschnitt 3.5) werden die Angaben in Cloudflare D1 gespeichert und per E-Mail über Lettermint an uns weitergeleitet. Zusätzlich erhalten Sie sofort eine Eingangsbestätigung mit Inhalt, Datum und Uhrzeit an die angegebene E-Mail-Adresse. Cloudflare Turnstile und der Hashwert der IP-Adresse dienen auch hier dem Schutz vor Missbrauch. Eine Kündigung lehnen wir wegen eines nicht bestandenen Turnstile-Tests nicht ab, sondern prüfen sie nur genauer.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung und Beendigung des Vertrags) und Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312k BGB (Bestätigung der Kündigung). Für Turnstile gilt Abschnitt 3.5.

Speicherdauer: Wir speichern Kündigungen, solange Ansprüche aus dem Vertrag geltend gemacht werden können. Die Datenbank löscht sie automatisch vier Jahre nach Eingang, also nach Ablauf der dreijährigen Verjährungsfrist, die erst am Ende des Eingangsjahres beginnt. Länger bewahren wir sie nur auf, soweit gesetzliche Aufbewahrungspflichten bestehen.

3.7 Rückruf-Buchung

Über die Seite Rückruf vereinbaren können Sie uns bitten, Sie an einem Wunschtag in einem Zeitfenster anzurufen. Wir verarbeiten Ihre Angaben (Anlass, Name, E-Mail-Adresse, Telefonnummer, Wunschtag und Zeitfenster und, falls angegeben, Tarifwunsch, Kundennummer, Firma und Thema), um den Termin mit Ihnen abzustimmen und Sie anzurufen. Ihre Telefonnummer nutzen wir nur für diesen Rückruf, nicht für Werbung.

Ablauf: Wie beim Kontaktformular (Abschnitt 3.5) werden die Angaben in Cloudflare D1 gespeichert und per E-Mail über Lettermint an uns weitergeleitet. Zusätzlich senden wir Ihnen eine Eingangsbestätigung an die angegebene E-Mail-Adresse. Sie enthält nur Vorgangsnummer, Anlass, Wunschtag und Zeitfenster, keine weiteren Angaben aus dem Formular. Damit niemand das Formular nutzt, um fremde Postfächer zu füllen, senden wir an dieselbe Adresse höchstens eine Bestätigung pro Tag. Den Termin selbst bestätigen wir per E-Mail aus unserem Postfach. Cloudflare Turnstile und der Hashwert der IP-Adresse dienen auch hier dem Schutz vor Missbrauch.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage; bei Bestandskunden Erfüllung des Vertrags, etwa für den Einführungstermin) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz des Formulars vor Missbrauch). Für Turnstile gilt Abschnitt 3.5.

4. Verarbeitung in der Anwendung Papernaut

4.1 Betrieb und Kundendokumente

Die Anwendung wird getrennt von der Marketing-Website betrieben. Sie läuft in einem Rechenzentrum in Amsterdam (Niederlande). Die für Kundendokumente eingesetzten Dienstleister verarbeiten Daten auch an weiteren Standorten innerhalb der EU.

Informationen zur Speicherung und Verschlüsselung von Dokumenten, zu Backups, zur KI-Verarbeitung und zu den eingesetzten Unterauftragsverarbeitern finden Sie unter Auftragsverarbeitung (AVV/ADV).

KI-Verarbeitung von Dokumenten

Wenn Sie ein Dokument hochladen, in der Papernaut-App fotografieren oder per E-Mail-Import übernehmen, verarbeiten wir es automatisch mit KI-Diensten. Dafür senden wir den Inhalt des Dokuments (erkannter Text und Seitenbilder) an folgende Dienstleister, die ihn ausschließlich zur Verarbeitung nach unserer Weisung einsetzen:

Mistral AI SAS, Frankreich: Texterkennung und Dokumentenverständnis
TensorX Ltd, Irland (Inferenz in Dublin und Helsinki): Klassifikation, Extraktion, Embeddings
Lyceum Technology Germany GmbH, Deutschland: Klassifikation, Extraktion, Embeddings
Scaleway SAS, Frankreich: Klassifikation, Extraktion, Embeddings

Zweck ist, Dokumente zu erkennen, einzuordnen und Angaben wie Absender, Datum und Betrag auszulesen. Kontodaten wie Name, E-Mail-Adresse oder Passwort senden wir nicht an diese Dienstleister. Nach den vereinbarten Bedingungen speichern die Dienstleister die Inhalte nicht und verwenden sie nicht zum Training von Modellen. Alle Dienstleister verarbeiten die Daten in der EU und sind durch einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO gebunden, der ein gleichwertiges Schutzniveau sicherstellt (siehe Auftragsverarbeitung). Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). In der Papernaut-App holen wir zusätzlich Ihre ausdrückliche Zustimmung ein, bevor das erste Dokument hochgeladen wird.

4.2 E-Mail-Kommunikation und optionaler E-Mail-Import

Für transaktionale E-Mails, etwa Einladungen und das Zurücksetzen von Passwörtern, nutzen wir Lettermint B.V. (Niederlande). Dabei werden die für den Versand erforderlichen Angaben wie Name, E-Mail-Adresse und Nachrichteninhalt verarbeitet. Dieser Versand ist unabhängig davon, ob Sie den E-Mail-Import nutzen.

Der E-Mail-Import ist optional. Nur wenn Sie ihn nutzen und E-Mails an die dafür vorgesehene Papernaut-Adresse senden oder weiterleiten, erhält Lettermint zusätzlich die eingehenden Nachrichten einschließlich ihrer persönlichen Inhalte und Dokumentanhänge. Ohne Nutzung dieser Funktion werden Ihre in Papernaut hochgeladenen Dokumente nicht an Lettermint übermittelt.

Die Datenkategorien und Speicherfristen für beide Verarbeitungen beschreiben wir getrennt in der Auftragsverarbeitung, Abschnitt 8. Dort finden Sie insbesondere die 28-tägige Aufbewahrung gespeicherter Inbound-Anhänge und Originalmails. Die gesonderten Regeln für Sicherungskopien und die davon unabhängige Speicherung importierter Dokumente in Papernaut erläutert Abschnitt 10.

4.3 Konto, Anmeldung und Sicherheit

Für Registrierung, Anmeldung und Kontoverwaltung verarbeiten wir insbesondere Name, E-Mail-Adresse, Konto- und Organisationskennungen sowie Authentifizierungs- und Sitzungsdaten. Unser eigenbetriebener Identitätsdienst verwaltet die Anmeldung. Die Verarbeitung dient der Bereitstellung des Kontos und der Absicherung von Zugängen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für eigene Vertragspartner; bei Nutzern eines Organisationskontos stützen wir die erforderliche Kontoverwaltung auf unser berechtigtes Interesse an der Bereitstellung und Absicherung des vertraglich vereinbarten Dienstes (Art. 6 Abs. 1 lit. f DSGVO).

Zum Schutz bestimmter Anmelde- und Wiederherstellungsformulare vor automatisierten Angriffen setzen wir Cloudflare Turnstile ein. Dabei verarbeitet Cloudflare technische Daten des Browseraufrufs, insbesondere die IP-Adresse und Browser-Signale. E-Mail-Adressen und Dokumentinhalte übermitteln wir für die Turnstile-Prüfung nicht an Cloudflare. Rechtsgrundlage für unsere Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten und des Dienstes). Cloudflare, Inc. hat seinen Sitz in den USA; die Hinweise zum EU-US Data Privacy Framework und zu Standardvertragsklauseln in Abschnitt 3.1 gelten entsprechend.

4.4 Abrechnung

Bei der Buchung eines kostenpflichtigen Tarifs verarbeiten wir die Angaben zum Rechnungskontakt, zum Tarif sowie Zahlungs- und Rechnungsstatus. Für die Zahlungsabwicklung nutzen wir Mollie B.V. (Niederlande). Zahlungsdaten wie Karten- oder Kontodaten geben Sie auf der Zahlungsseite von Mollie ein; wir erhalten diese Daten nicht als vollständige Zahlungsdaten. Rechtsgrundlagen unserer Verarbeitung sind Art. 6 Abs. 1 lit. b DSGVO bei eigenen Vertragspartnern, Art. 6 Abs. 1 lit. f DSGVO für die Abrechnung gegenüber Organisationen mit benannten Rechnungskontakten sowie Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Aufbewahrungspflichten bestehen.

4.5 Technische Betriebsdaten

Für Fehlererkennung, Sicherheit und Verfügbarkeit verarbeiten wir technische Protokolle, Metriken und Traces. Dabei können insbesondere Zeitpunkte, technische Kennungen und Angaben zu fehlgeschlagenen Vorgängen anfallen. Für die Betriebsüberwachung nutzen wir Scaleway Cockpit der Scaleway SAS (Frankreich). Die Daten werden im Rechenzentrum in Amsterdam (Niederlande) verarbeitet. Eine Übermittlung in ein Drittland ist dafür nicht vorgesehen. Dokumentinhalte sind nicht Gegenstand der vorgesehenen Telemetrie. Rechtsgrundlage für unsere Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb).

4.6 Problemmeldungen

In Papernaut können Sie uns melden, dass ein Dokument falsch erkannt oder nicht verarbeitet wurde. Sie wählen selbst, was Sie mitgeben. Vor dem Absenden zeigt Papernaut genau, was wir erhalten:

immer, was nicht stimmt (eine oder mehrere Kategorien, auf Wunsch der richtige oder ein von Ihnen genannter Dokumenttyp und betroffene Felder), die Kennungen von Konto, Workspace und Dokument sowie Ihre Benutzerkennung
auf Wunsch eine Beschreibung, technische Angaben zur Datei und ihrer Verarbeitung (etwa Dateityp, Größe, Status und Fehlercodes, kein Inhalt), den Dateinamen und eine KI-Diagnose
auf Wunsch die Begründungen der KI; sie können Auszüge aus dem Dokument enthalten
nur mit Ihrer ausdrücklichen Zustimmung eine Kopie der Datei

Für die KI-Diagnose verarbeiten wir das Dokument erneut mit den in Abschnitt 4.1 genannten KI-Dienstleistern. An uns geht nur das Ergebnis, ohne Dokumentinhalt, außer Sie teilen die Begründungen.

Zweck ist, Fehler in der Erkennung und Verarbeitung zu finden und zu beheben. Lesen kann die Meldungen nur ein kleiner Kreis unseres Support-Teams; für Rückfragen nutzen wir Ihre E-Mail-Adresse. Wir verwenden Meldungen nicht zum Training von Modellen und geben sie nicht weiter. Über eine neue Meldung informiert uns eine interne E-Mail ohne deren Inhalt.

Meldung und Dateikopie löschen wir nach 7 Tagen automatisch. Wegen der Versionierung unseres Speichers kann eine gelöschte Kopie noch bis zu zwei Tage länger in der Speicherschicht verbleiben, ohne dass sie jemand abruft. Wird das Dokument vorher endgültig gelöscht, löschen wir die Meldung mit.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie mit dem Absenden und für die Dateikopie gesondert erteilen. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an support@papernaut.de; wir löschen die Meldung dann sofort. Soweit eine Meldung Dokumentinhalte betrifft, die Ihr Konto als Verantwortlicher verarbeitet, handeln wir dabei als Auftragsverarbeiter auf Ihre Weisung (siehe Auftragsverarbeitung).

5. Kontaktaufnahme

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir die von Ihnen übermittelten Daten (z. B. Name, E-Mail-Adresse, Inhalt der Nachricht) zur Bearbeitung Ihres Anliegens.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/Vertragserfüllung) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kommunikation).

Für das Kontakt- und das Kündigungsformular auf der Website gelten die Abschnitte 3.5 und 3.6.

6. Ihre Rechte

Sie haben nach der DSGVO insbesondere folgende Rechte:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch (Art. 21 DSGVO)
Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

Außerdem haben Sie das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO).

Bei Fragen erreichen Sie uns unter support@papernaut.de. Betrifft Ihr Anliegen Daten, die ein Kunde in seinen Dokumenten verarbeitet, ist dieser Kunde der zuständige Verantwortliche. Wir unterstützen ihn bei der Bearbeitung von Betroffenenanfragen nach Maßgabe der Auftragsverarbeitung.

7. Speicherdauer

Konto- und Abrechnungsdaten verarbeiten wir für die Dauer der Vertragsbeziehung und anschließend nur, soweit gesetzliche Aufbewahrungspflichten oder die Geltendmachung oder Abwehr von Ansprüchen dies erfordern. Technische Protokolle bewahren wir nur so lange auf, wie sie für Sicherheit, Fehlersuche und Betrieb benötigt werden. Die besonderen Speicherfristen für Lettermint und die Regeln für Kundendokumente finden Sie in den AVV-Informationen; den Zugriff nach Vertragsende beschreiben die AGB.

8. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich rechtliche Anforderungen ändern oder wir neue Funktionen/Tools einsetzen. Es gilt die jeweils aktuelle Version, die auf dieser Website veröffentlicht ist.