Privacy

Privacy Policy

Information on the processing of personal data under Art. 13 GDPR.

Last updated: 16 October 2026

1. Datenschutz auf einen Blick

Die folgenden Hinweise geben einen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie die Website vaytax.com besuchen oder den Dienst Vaytax nutzen. Vaytax ist ein Online-Dienst zur Umsatzsteuer-Compliance für Unternehmen mit steuerlichen Pflichten in Deutschland. Dabei werden insbesondere auch steuerliche und finanzielle Daten verarbeitet.

2. Verantwortlicher

FRADECO GmbH
Deutsch-Französische Steuerberatungsgesellschaft
Simrockstraße 92
53619 Rheinbreitbach
Deutschland

E-Mail: contact@vaytax.com
Website: vaytax.com

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

3. Datenschutzbeauftragter

Die FRADECO GmbH ist nach Art. 37 DSGVO i. V. m. § 38 BDSG derzeit nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Für datenschutzrechtliche Anfragen wenden Sie sich bitte an die oben genannte Adresse oder per E-Mail an contact@vaytax.com.

4. Arten der verarbeiteten Daten

Im Rahmen der Nutzung von Vaytax verarbeiten wir insbesondere folgende Kategorien personenbezogener Daten:

a) Kontodaten

E-Mail-Adresse, Passwort (ausschließlich als kryptografischer Hash gespeichert), Authentifizierungs-Token.

b) Unternehmensdaten

Firmenname, Rechtsform, Anschrift, Land, Branche.

c) Steuerliche Daten

Steuernummer, Umsatzsteuer-Identifikationsnummer (USt-IdNr.), zuständiges Finanzamt, Umsatzsteuer-Voranmeldungswerte (Kennzahlen/KZ-Werte), Umsatzsteuerbeträge, Abgabezeiträume.

d) Finanzdaten

IBAN, SEPA-Lastschriftmandat, Zahlungsreferenzen.

e) Vertreterdaten

Name, Geburtsdatum, E-Mail-Adresse des gesetzlichen Vertreters bzw. Bevollmächtigten.

f) Dokumentendaten

Hochgeladene PDF-Dokumente, generierte XLSX- und CSV-Dateien, Steuererklärungen und Voranmeldungen.

Hierzu zählen auch von Ihnen hochgeladene Umsatz- und Buchhaltungsberichte (z. B. Amazon VAT Transactions Report, easybill Rechnungsausgangsbuch, DATEV-Buchungsstapel aus lexoffice, sevDesk oder vergleichbaren Programmen) im CSV- oder Excel-Format. Diese Berichte können personenbezogene Daten Ihrer eigenen Kund:innen und Geschäftspartner enthalten, insbesondere Namen, Umsatzsteuer-Identifikationsnummern, Länder- und Rechnungsangaben. Wir verarbeiten diese Daten ausschließlich zur Erstellung und Abgabe Ihrer Umsatzsteuer-Voranmeldung und der Zusammenfassenden Meldung, also zur Erfüllung unserer vertraglichen Leistung (Art. 6 Abs. 1 lit. b DSGVO) und der damit verbundenen steuerlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO). Eine Auswertung zu anderen Zwecken, eine Weitergabe an Dritte außerhalb der Abgabe gegenüber dem Finanzamt sowie eine Nutzung zum Training von KI-Modellen finden nicht statt. Das Auslesen der Berichte erfolgt rechnerisch und ohne KI-Verarbeitung; die Speicherung erfolgt in der EU (Supabase, Frankfurt); zusätzlich legen wir eine Kopie in unserer Mandantenakte bei Google Workspace ab (siehe Abschnitt 6). Für die Rechtmäßigkeit der Übermittlung dieser Daten an uns sind Sie als Verantwortliche:r verantwortlich; wir handeln insoweit als Auftragsverarbeiter bzw. im Rahmen des Steuerberatungsmandats.

g) Nutzungsdaten

Seitenaufrufe, Sitzungskennungen (ausschließlich über sessionStorage, nicht über Cookies), Zeitstempel, verwendeter Browser und Betriebssystem, IP-Adresse (in Server-Logs).

Tritt im Kundenbereich ein technischer Fehler auf, speichern wir in unserer eigenen Datenbank (Supabase, Frankfurt) die Fehlermeldung, die betroffene Seite und Programmstelle, die Kennung Ihres Browsers (User-Agent) und, wenn Sie angemeldet sind, Ihre Konto-Kennung, damit wir den Fehler beheben und Sie gegebenenfalls darauf ansprechen können. Rechtsgrundlage ist unser berechtigtes Interesse an einem fehlerfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Fehlermeldung über „Report a problem“. Über den Link „Report a problem“ im Kundenbereich können Sie uns einen Fehler melden; das ist nur angemeldet möglich. Dabei übermitteln wir Ihre Nachricht, die Adresse der aufgerufenen Seite, Ihre Konto-Kennung, die Kennung Ihres Browsers (User-Agent), eine kurze technische Beschreibung der Ansicht (etwa geöffneter Bereich, Formularschritt, Fenstergröße und Browsersprache) und standardmäßig ein Bildschirmfoto der aktuellen Seite. Das Bildschirmfoto zeigt alles, was auf der Seite steht, also gegebenenfalls auch steuerliche Angaben. Entfernen Sie vor dem Absenden das Häkchen „Include a picture of this screen“, wird kein Bild erstellt. Für das Bildschirmfoto lädt Ihr Browser eine Programmbibliothek von cdnjs (siehe Abschnitt 6). Meldung und Bildschirmfoto speichern wir in unserer eigenen Datenbank (Supabase, Frankfurt). Unser Team erhält dazu einen Hinweis in Slack (siehe Abschnitt 6) mit Ihrem Firmennamen oder Ihrer E-Mail-Adresse, Ihrer Mandantennummer, Ihrer Nachricht und der Seitenadresse; das Bildschirmfoto selbst wird nicht an Slack übermittelt. Zweck ist die Behebung des gemeldeten Fehlers; Rechtsgrundlage ist unser berechtigtes Interesse an einem fehlerfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Eine automatische Löschfrist gibt es dafür derzeit nicht: Meldung und Bildschirmfoto bleiben gespeichert, bis Ihr Kundenkonto gelöscht wird, und für den Hinweis in Slack haben wir keine Löschfrist eingerichtet.

5. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten Ihre personenbezogenen Daten auf Grundlage folgender Rechtsgrundlagen:

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Verarbeitung von Konto-, Unternehmens-, Steuer-, Finanz- und Vertreterdaten, soweit dies zur Erbringung des Vaytax-Dienstes (Umsatzsteuer-Compliance, Voranmeldungen, ELSTER-Übermittlung) erforderlich ist.
Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung steuerlicher Unterlagen und Daten gemäß § 147 AO und § 257 HGB (gesetzliche Aufbewahrungsfristen von bis zu 10 Jahren).
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Cookie-freie Nutzungsanalyse zur Verbesserung des Dienstes, Gewährleistung der IT-Sicherheit, Betrugsprävention.

6. Empfänger und Auftragsverarbeiter

Zur Erbringung unseres Dienstes setzen wir folgende Dienstleister ein, mit denen ggf. Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO geschlossen wurden:

Supabase Inc., Datenbank, Authentifizierung, Dateispeicher. Datenstandort: EU (eu-central-1, Frankfurt). Datenschutzerklärung
Cloudflare Inc., Website-Hosting (Cloudflare Pages), CDN, DDoS-Schutz. Datenverarbeitung in der EU. Datenschutzerklärung
Resend Inc., Versand unserer E-Mails: transaktionale E-Mails (Registrierungsbestätigung, Benachrichtigungen, Erinnerungen an Fristen und fehlende Unterlagen, einschließlich angehängter Dokumente), den Newsletter und die Fristen-Übersicht, für die Sie sich gesondert angemeldet haben, sowie Nachfass-E-Mails zu einer Anfrage, die Sie an uns gerichtet haben (siehe Abschnitt 10). Sitz: USA. Datenschutzerklärung
Anthropic, PBC, KI-gestützte Analyse hochgeladener Finanzamt-Briefe zur Erstellung der automatischen Zusammenfassung und Übersetzung auf /finanzamt-letter (nur nach ausdrücklicher Einwilligung über die Checkbox beim Upload). Sitz: USA. Außerdem werden von Mandant:innen im Kundenbereich hochgeladene Finanzamt-Schreiben und Bescheide zur Erkennung von Fristen und zur Erstellung einer Zusammenfassung vorübergehend über dieselbe API verarbeitet (siehe Abschnitt 7). Ebenso werden Notizen und Unterlagen zu Beratungsfällen zur Erstellung eines Antwortentwurfs verarbeitet. Ebenso werden die Unterlagen, die Sie bei der Anmeldung und im Onboarding hochladen (insbesondere Ausweisdokumente, SEPA-Lastschriftmandat, Vollmacht, Gesellschaftsverträge und Handelsregisterauszüge), sowie hochgeladene Eingangsrechnungen ausgelesen und auf Vollständigkeit und Plausibilität geprüft (siehe Abschnitt 7). Die Inhalte werden nicht zum Training von KI-Modellen verwendet. Datenschutzerklärung
Stripe Payments Europe, Ltd., Zahlungsabwicklung (einmalige Registrierungsgebühr, monatliches/jährliches Abonnement). Sitz: Irland (Mutterunternehmen Stripe, Inc., USA). Verarbeitete Daten: Name, E-Mail, Rechnungsadresse, Zahlungsmittel-Metadaten (Kartennummer und CVC werden ausschließlich von Stripe verarbeitet, nicht durch Vaytax). Datenschutzerklärung
Google Ireland Limited / Google LLC, (a) Reichweitenanalyse mittels Google Analytics 4 und (b) Conversion-Messung mit Google Ads; (a) und (b) jeweils nur nach ausdrücklicher Einwilligung über unseren Consent-Dialog (siehe Abschnitt 9). IP-Anonymisierung ist aktiviert. Unsere Google-Analytics-Property ist für zusammengefasste Auswertungen mit unserem Google-Ads-Konto und mit der Google Search Console verknüpft (siehe Abschnitt 9 b). Sitz: Dublin, Irland (EU) bzw. Mountain View, USA. Datenschutzerklärung
Functional Software, Inc. (Sentry), Erkennung technischer Fehler auf unserer Website und im Kundenbereich. Übermittelt werden nur technische Fehlerdaten (Fehlermeldung, betroffene Datei und Zeile, Browser- und Betriebssystemversion, aufgerufene Seite ohne URL-Parameter); keine Cookies, keine Nutzerkennung, keine Aufzeichnung von Sitzungen und keine Formulareingaben. Die IP-Adresse wird nicht gespeichert. Datenstandort: EU (Frankfurt). Sitz: USA. Datenschutzerklärung
Google Ireland Limited (Google Workspace), Führung der elektronischen Mandantenakte: Von Ihnen hochgeladene und von uns erstellte Dokumente werden zusätzlich in einer geteilten Ablage in Google Drive gespeichert, auf die nur unser Team Zugriff hat. Außerdem wird unser geschäftliches E-Mail-Postfach bei Google Workspace (Gmail) geführt; E-Mails von und an Mandant:innen werden zur Fallbearbeitung in unseren Kundenbereich übernommen. Datenstandort: Google-Rechenzentren weltweit, auch in den USA (Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert, Art. 45 DSGVO). Rechtsgrundlage ist die Durchführung des Mandats (Art. 6 Abs. 1 lit. b DSGVO) und die Aufbewahrungspflicht (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 66 StBerG). Datenschutzerklärung
Google Cloud (Google Ireland Limited), Betrieb unseres Übermittlungsdienstes für ELSTER (Google Cloud Run, Region Frankfurt). Über diesen Dienst werden Ihre Steuerdaten zur Übermittlung an die Finanzverwaltung aufbereitet, signiert und übertragen. Protokolle des Dienstes werden nach 30 Tagen gelöscht; sie enthalten keine Steuerdaten. Rechtsgrundlage ist die Durchführung des Mandats (Art. 6 Abs. 1 lit. b DSGVO). Datenschutzerklärung
Slack Technologies Limited (Irland) / Slack Technologies, LLC (USA), interne Kommunikation unseres Teams. Hierüber erhält unser Team Hinweise auf eingehende Anfragen und technische Probleme; diese Hinweise können Ihren Firmennamen, Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht enthalten. Rechtsgrundlage ist die Durchführung des Mandats bzw. die Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Die Übermittlung in die USA erfolgt auf Grundlage des EU-U.S. Data Privacy Framework und ergänzend von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Datenschutzerklärung
Volentio JSD Limited (jsDelivr), Auslieferung von Programmbibliotheken über cdn.jsdelivr.net (insbesondere des Datenbank-Clients, der auf vielen unserer Seiten geladen wird, sowie der PDF- und ZIP-Erzeugung). Beim Laden einer solchen Datei erhält der Anbieter technisch bedingt Ihre IP-Adresse sowie Angaben Ihres Browsers. Nach eigenen Angaben liefert jsDelivr die Dateien über beauftragte Netzwerkdienstleister aus, die dabei ebenfalls Ihre IP-Adresse erhalten. Sitz: England und Wales (Vereinigtes Königreich). Grundlage der Übermittlung ist der Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich (Art. 45 DSGVO). Rechtsgrundlage ist unser berechtigtes Interesse an einer zuverlässigen Bereitstellung unserer Website (Art. 6 Abs. 1 lit. f DSGVO). Datenschutzerklärung
Cloudflare, Inc. (cdnjs), Auslieferung von Programmbibliotheken über cdnjs.cloudflare.com (PDF-Erzeugung und die Bildschirmaufnahme beim Melden eines Problems). Beim Laden erhält der Anbieter technisch bedingt Ihre IP-Adresse sowie Angaben Ihres Browsers. Sitz: San Francisco, USA. Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO) und stützt sich ergänzend auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage ist unser berechtigtes Interesse an einer zuverlässigen Bereitstellung unserer Website (Art. 6 Abs. 1 lit. f DSGVO). Datenschutzerklärung

Darüber hinaus werden im Rahmen der Steuerberatungstätigkeit Daten an folgende Stellen übermittelt:

ELSTER (Elektronische Steuererklärung), Übermittlung von Umsatzsteuer-Voranmeldungen an die deutsche Finanzverwaltung.
DATEV eG, Steuerberatungssoftware, soweit im Rahmen der Mandatsbearbeitung durch den Steuerberater erforderlich.
Bundeszentralamt für Steuern (BZSt), qualifizierte Bestätigung von Umsatzsteuer-Identifikationsnummern (§ 18e UStG). Hierfür übermitteln wir die zu prüfende Nummer sowie Firmenname und Anschrift des Unternehmens, dem die Nummer gehört. Rechtsgrundlage ist die Durchführung des Mandats bzw. die Erfüllung steuerlicher Sorgfaltspflichten (Art. 6 Abs. 1 lit. b und c DSGVO).

7. Übermittlung in Drittländer

Die Datenbank und primäre Datenverarbeitung erfolgen in der EU (Supabase eu-central-1, Frankfurt; Cloudflare EU).

Resend Inc. hat seinen Sitz in den USA. Die Datenübermittlung erfolgt auf Grundlage von Standardvertragsklauseln (Standard Contractual Clauses, SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO. Über Resend werden E-Mail-Adressen, Nachrichteninhalte und Anhänge der in Abschnitt 6 genannten E-Mails verarbeitet.

Anthropic, PBC hat ihren Sitz in den USA. Auf /finanzamt-letter hochgeladene Briefe werden zur Erstellung der automatischen Zusammenfassung vorübergehend über die Anthropic-API verarbeitet. Rechtsgrundlage ist die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), erteilt über die Checkbox beim Upload; die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Die Inhalte werden nicht zum Training von KI-Modellen verwendet; die dauerhafte Speicherung der Dokumente erfolgt ausschließlich in der EU (Supabase, Frankfurt).

Von Ihnen im Kundenbereich hochgeladene Finanzamt-Schreiben und Bescheide werden zur Erkennung von Fristen und zur Erstellung einer Zusammenfassung vorübergehend über die API von Anthropic, PBC (USA) verarbeitet. Rechtsgrundlage ist die Durchführung des Mandats (Art. 6 Abs. 1 lit. b DSGVO); die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die Inhalte werden nicht zum Training von KI-Modellen verwendet; die dauerhafte Speicherung erfolgt in der EU (Supabase, Frankfurt); zusätzlich legen wir eine Kopie in unserer Mandantenakte bei Google Workspace ab (siehe Abschnitt 6).

Notizen und Unterlagen zu Beratungsfällen werden zur Erstellung eines Antwortentwurfs vorübergehend über die API von Anthropic, PBC (USA) verarbeitet. Ebenso werden Nachrichten, die Mandant:innen im Kundenbereich oder per E-Mail an uns senden, über dieselbe API verarbeitet, um zu erkennen, ob eine Antwort nötig ist, und eine Kurzfassung für unser Team zu erstellen. Ebenso werden die Angaben, die Mandant:innen bei der Anmeldung und auf Rückfragen des Finanzamts machen, über dieselbe API verarbeitet, um sie für die Übermittlung an das Finanzamt ins Deutsche zu übersetzen. Rechtsgrundlage ist die Durchführung des Mandats (Art. 6 Abs. 1 lit. b DSGVO); die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die Inhalte werden nicht zum Training von KI-Modellen verwendet.

Die Unterlagen, die Sie bei der Anmeldung und im Onboarding hochladen (insbesondere Ausweisdokumente, SEPA-Lastschriftmandat, Vollmacht, Gesellschaftsverträge und Handelsregisterauszüge), sowie hochgeladene Eingangsrechnungen werden über die API von Anthropic, PBC (USA) ausgelesen und auf Vollständigkeit und Plausibilität geprüft, damit unser Team fehlende oder unstimmige Angaben früh erkennt. Rechtsgrundlage ist die Durchführung des Mandats (Art. 6 Abs. 1 lit. b DSGVO); die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die Inhalte werden nicht zum Training von KI-Modellen verwendet.

Sämtliche in diesem Abschnitt genannten KI-Verarbeitungen erfolgen unmittelbar über die API von Anthropic, PBC (USA), auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Stripe verarbeitet Zahlungsdaten primär in der EU (Stripe Payments Europe, Ltd., Irland), kann diese jedoch zu Verarbeitungs- und Betrugsschutzzwecken an die Stripe, Inc. (USA) übermitteln. Die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln und der Stripe-Zertifizierung unter dem EU-U.S. Data Privacy Framework.

Google Analytics 4 und Google Ads werden von Servern der Google Ireland Limited (EU) bzw. Google LLC (USA) ausgeliefert. Google ist unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Google Workspace (Google Drive, Gmail): Die Daten werden in Google-Rechenzentren weltweit gespeichert, auch in den USA. Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO). Unser Übermittlungsdienst für ELSTER (Google Cloud Run) läuft in der Region Frankfurt.

Slack: Slack Technologies, LLC, USA; zertifiziert unter dem EU-U.S. Data Privacy Framework (Art. 45 DSGVO). Die Hinweise an unser Team werden in den USA gespeichert.

Programmbibliotheken (jsDelivr, cdnjs): Sitz der Anbieter und Grundlage der Übermittlung sind in Abschnitt 6 genannt.

Sentry (Functional Software, Inc.) hat seinen Sitz in den USA; die Fehlerdaten werden in der EU (Frankfurt) gespeichert. Rechtsgrundlage ist unser berechtigtes Interesse an einem fehlerfreien Betrieb unserer Website und des Kundenbereichs (Art. 6 Abs. 1 lit. f DSGVO). Sentry ist unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

8. Speicherdauer

Steuerliche Daten und Dokumente: bis zu 10 Jahre nach Ablauf des jeweiligen Kalenderjahres (§ 147 AO, § 257 HGB: 10 Jahre für Bücher und Aufzeichnungen, 8 Jahre für Buchungsbelege wie Rechnungen, 6 Jahre für sonstige Unterlagen).
Kontodaten: Bis zur Beendigung des Mandats bzw. bis zu Ihrem Löschverlangen. Die Löschung Ihres Kundenkontos können Sie jederzeit per E-Mail an contact@vaytax.com verlangen; wir löschen die Daten dann unverzüglich, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Eine Löschfunktion im Kundenbereich selbst gibt es derzeit nicht.
Nutzungsdaten (Analytics): Maximal 90 Tage. Anonyme Tageszahlen ohne Personenbezug bewahren wir unbegrenzt auf.
Technische Fehlerdaten (Sentry): Maximal 90 Tage.
Fehlerprotokolle des Kundenbereichs (eigene Datenbank): Maximal 90 Tage.
Fehlermeldungen über „Report a problem“ (einschließlich Bildschirmfoto): Keine automatische Löschfrist; sie werden mit Ihrem Kundenkonto gelöscht.
Protokolle unseres Übermittlungsdienstes für ELSTER (Google Cloud Run): Maximal 30 Tage; sie enthalten keine Steuerdaten.
Server-Logdateien: Maximal 30 Tage.
Benachrichtigung „Prüfung wieder verfügbar“ (USt-IdNr.-Prüfer): Wenn die Prüfung einer Umsatzsteuer-Identifikationsnummer behördenseitig nicht erreichbar ist, können Sie sich mit Ihrer E-Mail-Adresse für genau eine Nachricht eintragen, sobald die Prüfung für das betreffende Land wieder funktioniert (Art. 6 Abs. 1 lit. b DSGVO, auf Ihre Anfrage); die geprüfte USt-IdNr. speichern wir nur, wenn Sie dem ausdrücklich zustimmen (Art. 6 Abs. 1 lit. a DSGVO). Gespeicherte E-Mail-Adressen (und die USt-IdNr., nur mit Ihrer Zustimmung) werden gelöscht, sobald die eine Benachrichtigung versandt ist, spätestens 30 Tage nach der Eintragung, falls die Prüfung bis dahin nicht zurückgekehrt ist.

9. Cookies, Tracking und Einwilligung

Wir unterscheiden zwischen technisch notwendigen Speichermechanismen und einwilligungspflichtigen Tracking-Technologien:

a) Technisch notwendige Speicherung (ohne Einwilligung)

Für die Anmeldung und Sitzungsverwaltung im eingeloggten Bereich nutzen wir die localStorage- bzw. sessionStorage-API des Browsers (z. B. Speicherung des Authentifizierungs-Tokens nach erfolgreichem Login). Diese Speicherung ist gemäß § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, da sie für die Erbringung des vom Nutzer ausdrücklich gewünschten Dienstes zwingend erforderlich ist. Cookies im klassischen Sinne setzen wir hierfür nicht ein.

Haben Sie mit der Registrierung begonnen, speichern wir Ihre bisherigen Eingaben bis zu sieben Tage lokal in Ihrem Browser (localStorage), damit Sie die Registrierung fortsetzen können, ohne alles erneut einzugeben; Passwörter werden dabei nicht gespeichert. Ebenso bleiben Ihre Antworten aus unserem VAT-Check (etwa was Sie verkaufen und wo Ihr Unternehmen sitzt) bis zu sieben Tage lokal in Ihrem Browser, damit die Registrierung daran anknüpfen kann. Diese Daten verlassen Ihren Browser erst, wenn Sie die Registrierung absenden. Sie können sie jederzeit löschen, indem Sie die Website-Daten für vaytax.com in Ihrem Browser löschen.

b) Reichweitenanalyse mit Google Analytics 4 (nur mit Einwilligung)

Auf den öffentlich zugänglichen Seiten von vaytax.com setzen wir Google Analytics 4 (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) zur statistischen Auswertung der Nutzung ein. Die IP-Anonymisierung ist aktiviert (anonymize_ip: true).

Unsere Google-Analytics-Property ist mit unserem Google-Ads-Konto und mit der Google Search Console verknüpft. Die Verknüpfungen dienen ausschließlich zusammengefassten Auswertungen, etwa welche Anzeigen und welche Suchanfragen zu Besuchen und Anfragen führen. Sie betreffen nur Besucherinnen und Besucher, die der Reichweitenanalyse zugestimmt haben; die Verknüpfung mit Google Ads betrifft zusätzlich nur diejenigen, die auch der Anzeigenmessung zugestimmt haben.

Das Skript von Google Analytics wird erst geladen, nachdem Sie im Consent-Dialog der Reichweitenanalyse zugestimmt haben („Alle akzeptieren“ oder unter „Anpassen“ die Option „Analyse“). Bis zu Ihrer Entscheidung baut Ihr Browser keine Verbindung zu Google Analytics auf; es werden weder Cookies gesetzt noch Daten an Google übermittelt. Dies gilt für alle Besucherinnen und Besucher, unabhängig von ihrem Standort. Wählen Sie „Nur essenzielle“ oder ausschließlich die Anzeigenmessung, wird Google Analytics nicht geladen. Beide Schaltflächen sind gleichwertig gestaltet. Nach Ihrer Zustimmung werden die folgenden Cookies gesetzt:

_ga, Speicherdauer: 2 Jahre, Zweck: Unterscheidung von Nutzern.
_ga_RV3B10TLX3, Speicherdauer: 2 Jahre, Zweck: Sitzungspersistenz für GA4.

An Google Analytics übermitteln wir neben dem Seitenaufruf nur allgemeine Ereignisangaben, etwa welcher Schritt eines Formulars erreicht wurde, das gewählte Land oder den Tarif. Namen, Firmennamen, E-Mail-Adressen, Dateinamen, Fehlermeldungen und interne Kennungen werden nicht an Google übermittelt; dies ist technisch durch eine abschließende Liste zulässiger Ereignisangaben sichergestellt. Die Adresse der aufgerufenen Seite erhält Google ohne Parameter; erhalten bleiben nur Kampagnenkennzeichen (utm_-Parameter) mit kurzen Werten aus einfachen Zeichen, andere Werte (etwa eine E-Mail-Adresse) werden verworfen. Den Google-Klick-Identifikator enthält die Adresse nur, wenn Sie auch der Anzeigenmessung zugestimmt haben. Von der verweisenden Website erhält Google nur die Domain.

c) Conversion-Messung mit Google Ads (nur mit Einwilligung)

Auf den öffentlich zugänglichen Seiten von vaytax.com setzen wir ergänzend zur Reichweitenanalyse das Conversion-Tracking von Google Ads (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) ein. Damit messen wir, wie viele Besucherinnen und Besucher, die über eine bezahlte Anzeige von Google auf unsere Website gelangt sind, im weiteren Verlauf eine für uns relevante Handlung ausführen (zum Beispiel Registrierung, Anfrage für ein Finanzamt-Schreiben oder Vertragsabschluss).

Beim Klick auf eine unserer Google-Anzeigen hängt Google an die Ziel-URL automatisch einen sogenannten Google-Klick-Identifikator (Parameter ?gclid=...) an. Diese Kennung speichern wir nur, wenn Sie im Consent-Dialog der Anzeigenmessung zugestimmt haben („Alle akzeptieren“ oder unter „Anpassen“ die Option „Anzeigenmessung“). Sie wird dann lokal in Ihrem Browser abgelegt (localStorage, Schlüssel vd_gclid) und nach 90 Tagen nicht mehr verwendet. Ohne Zustimmung wird die Kennung nicht gespeichert und nicht verwendet. Die Kennung enthält keine Klartextdaten; sie dient ausschließlich der Zuordnung einer Anfrage oder eines Vertragsabschlusses zu dem ursprünglichen Anzeigen-Klick.

Conversion-Ereignisse übermitteln wir ausschließlich aus unserem Backend über die Google-Ads-API, wenn aus einem Anzeigen-Klick eine Anfrage an uns (Kontaktformular, VAT-Check, Finanzamt-Brief), eine Kontoerstellung, der Abschluss der Registrierung oder ein Vertragsabschluss hervorgeht. Diese Übermittlung erfolgt nur, wenn Sie der Anzeigenmessung zugestimmt haben (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG). Haben Sie „Nur essenzielle“ gewählt oder keine Auswahl getroffen, wird nichts übermittelt. Ihre Auswahl und deren Zeitpunkt speichern wir bei Anfragen zusammen mit der Anfrage und, wenn Sie ein Kundenkonto haben, in Ihrem Konto, damit wir sie bei jeder späteren Übermittlung beachten und Ihre Einwilligung nachweisen können. Übertragen werden ausschließlich der Klick-Identifikator, das Conversion-Ereignis, der Conversion-Wert in Euro sowie ein interner Auftragsbezug. Ihr Name, Ihre E-Mail-Adresse oder andere Profildaten werden im Rahmen dieser Messung nicht an Google übermittelt.

Haben Sie sowohl der Reichweitenanalyse als auch der Anzeigenmessung zugestimmt, lädt Ihr Browser zusätzlich das Google-Ads-Tag. Google erhält dabei die Adresse der aufgerufenen Seite einschließlich eines etwaigen Klick-Identifikators und kann eigene Cookies setzen. Conversion-Ereignisse sendet unsere Website nicht aus Ihrem Browser an Google Ads. Ohne Zustimmung zur Anzeigenmessung wird das Google-Ads-Tag nicht geladen.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie im Consent-Dialog „Nur essenzielle“ wählen (Link „Cookie-Einstellungen ändern“ unter e). Dabei wird der in Ihrem Browser gespeicherte Klick-Identifikator gelöscht. Conversion-Ereignisse zu diesem Klick, die bereits zur Übermittlung vorgemerkt, aber noch nicht an Google gesendet sind, werden storniert. Sind Sie in Ihrem Kundenkonto angemeldet, oder melden Sie sich später in diesem Browser an, vermerken wir den Widerruf in Ihrem Konto, löschen auch den dort gespeicherten Klick-Identifikator und stornieren die für Ihr Konto vorgemerkten Conversion-Ereignisse; danach findet keine Übermittlung an Google Ads mehr statt. Bereits an Google übermittelte Conversion-Ereignisse können Sie zusätzlich über die Datenschutzeinstellungen Ihres Google-Kontos verwalten.

Speicherdauer: Der lokal in Ihrem Browser abgelegte Klick-Identifikator wird nach 90 Tagen nicht mehr verwendet und beim nächsten Zugriff unserer Website darauf aus Ihrem Browser entfernt; mit „Nur essenzielle“ wird er sofort gelöscht. Ein in Ihrem Kundenkonto gespeicherter Klick-Identifikator wird mit dem Widerruf gelöscht. Die an Google Ads übermittelten Conversion-Ereignisse werden gemäß den Aufbewahrungsfristen von Google Ads gespeichert; Einzelheiten und Widerspruchsmöglichkeiten finden Sie in der Datenschutzerklärung von Google.

d) Rechtsgrundlage

Für die Reichweitenanalyse mit Google Analytics und die Conversion-Messung mit Google Ads, einschließlich der serverseitigen Übermittlung des Google-Klick-Identifikators: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG (Einwilligung), für jeden der beiden Zwecke gesondert. Für technisch notwendige Speicherung: Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 25 Abs. 2 Nr. 2 TDDDG.

e) Widerruf der Einwilligung

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Klicken Sie hierzu auf den folgenden Link: Cookie-Einstellungen ändern. Der Link widerruft zunächst alle Einwilligungen und öffnet danach den Consent-Dialog, in dem Sie neu wählen können. Sind Sie in Ihrem Kundenkonto angemeldet, wird der Widerruf auch in Ihrem Konto vermerkt; noch nicht an Google gesendete Conversion-Ereignisse werden storniert (siehe Abschnitt c). Alternativ können Sie die gesetzten Cookies in den Einstellungen Ihres Browsers löschen.

f) Ergänzende cookie-freie Reichweitenmessung

Unabhängig von der Einwilligung erfassen wir ohne Cookies Nutzungsdaten auf unseren eigenen Servern (Supabase, Frankfurt): die aufgerufene Seite, den Zeitpunkt, eine zufällige Sitzungskennung, die nur für den geöffneten Browser-Tab gilt (sessionStorage), die Domain der verweisenden Website (nicht deren vollständige Adresse), Kampagnenkennzeichen der aufgerufenen Adresse (utm_-Parameter, nur kurze Werte aus einfachen Zeichen), die Kennung Ihres Browsers (User-Agent) und die Fenstergröße sowie Ereignisse wie das Absenden eines Formulars. Sind Sie in Ihrem Kundenkonto angemeldet, wird der Eintrag mit Ihrer Konto-Kennung verknüpft. IP-Adressen, Namen, Firmennamen und Dateinamen speichern wir in diesen Daten nicht. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung unseres Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden nach 90 Tagen gelöscht; anonyme Tageszahlen ohne Personenbezug bewahren wir unbegrenzt auf.

g) Empfehlungs- und Partner-Kennungen

Wenn Sie unsere Website über einen Empfehlungslink oder einen Partnerlink aufrufen, enthält die Adresse einen kurzen Code (Parameter ?ref=... bzw. ?via=...). Dieser Code wird lokal in Ihrem Browser gespeichert (localStorage, Schlüssel vd_ref bzw. vd_via). Der Eintrag wird nach 90 Tagen nicht mehr verwendet und beim nächsten Zugriff unserer Website darauf aus Ihrem Browser entfernt.

Der Code bezeichnet die empfehlende Person oder den Partner, nicht Sie. Er enthält keine Angaben zu Ihrer Person. Buchen Sie einen kostenpflichtigen Dienst, übermitteln wir den Code an unseren Zahlungsdienstleister Stripe, damit ein vereinbarter Rabatt angewendet und die Empfehlung abgerechnet werden kann; darüber hinaus wird er an keinen Dritten übermittelt. Verwendet wird er ausschließlich dann, wenn Sie sich registrieren oder eine Anfrage absenden, damit wir die Empfehlung der richtigen Stelle zuordnen können. Rechtsgrundlage ist unser berechtigtes Interesse an der Zuordnung von Empfehlungen (Art. 6 Abs. 1 lit. f DSGVO).

Sie können diese Einträge jederzeit selbst entfernen, indem Sie in Ihrem Browser die Website-Daten für vaytax.com löschen. Rufen Sie unsere Website ohne einen solchen Link auf, wird nichts gespeichert.

h) Herkunft Ihres ersten Besuchs

Kommen Sie erkennbar von einer anderen Website zu uns (etwa aus einer Suchmaschine oder einem KI-Assistenten), speichern wir lokal in Ihrem Browser (localStorage, Schlüssel vd_ft) fest, woher dieser erste Besuch kam. Der Eintrag wird nach 90 Tagen nicht mehr verwendet und beim nächsten Zugriff unserer Website darauf aus Ihrem Browser entfernt.

Gespeichert wird ausschließlich die Domain der verweisenden Website (also z. B. https://chatgpt.com, nicht die vollständige Adresse der Seite oder eines Gesprächs), ein etwaiger Kampagnen-Parameter ?utm_source=... (nur ein kurzer Wert aus einfachen Zeichen), die von Ihnen zuerst aufgerufene Unterseite und der Zeitpunkt. Der Eintrag enthält keine Angaben zu Ihrer Person und wird an keinen Dritten übermittelt.

Zweck ist allein die Frage, über welchen Kanal Interessenten uns finden. Diese Angabe geht sonst verloren, sobald Sie den Browser-Tab schließen, obwohl zwischen dem ersten Besuch und einer Anfrage bei uns typischerweise mehrere Wochen liegen. Der erste erkennbare Besuch wird festgehalten und durch spätere Besuche nicht überschrieben. Rechtsgrundlage ist unser berechtigtes Interesse an der Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO).

Sie können den Eintrag jederzeit selbst entfernen, indem Sie in Ihrem Browser die Website-Daten für vaytax.com löschen. Rufen Sie unsere Website direkt auf, ohne erkennbare Herkunft, wird nichts gespeichert.

10. Newsletter, Fristen-Übersicht und Nachfass-E-Mails

Newsletter und Fristen-Übersicht. Wenn Sie sich für unseren Newsletter oder unsere Übersicht der Umsatzsteuer-Fristen anmelden, verwenden wir Ihre E-Mail-Adresse für deren Versand. Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Wir senden Ihnen zunächst eine E-Mail mit einem Bestätigungslink und erinnern Sie gegebenenfalls einmal daran. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sich jederzeit über den Abmeldelink in jeder E-Mail abmelden.

Nachfass-E-Mails zu Ihrer Anfrage. Haben Sie uns über ein Formular eine Anfrage gesendet (zum Beispiel VAT-Check, Kontaktformular oder eine begonnene Registrierung), senden wir Ihnen dazu eine begrenzte Zahl von E-Mails mit weiteren Informationen zu Ihrem Anliegen. Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO) bzw. unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Sie können diesen E-Mails jederzeit über den Abmeldelink oder per E-Mail an contact@vaytax.com widersprechen.

11. SSL-/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung aller Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://“ auf „https://“ wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

12. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten verlangen.
Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Recht auf Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie können verlangen, dass wir Ihnen Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format übermitteln.
Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten widersprechen, sofern die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: contact@vaytax.com

13. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Postfach 30 40
55020 Mainz
www.datenschutz.rlp.de

14. Hosting

Diese Website wird über Cloudflare Pages gehostet. Beim Aufruf der Website werden automatisch technische Informationen in Server-Log-Dateien gespeichert (IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, Browser-Typ, Betriebssystem).

Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA. Cloudflare verarbeitet Daten in der EU. Weitere Informationen: Cloudflare Datenschutzerklärung.

15. Schriftarten

Die Schriftarten dieser Website liegen auf unserem eigenen Server und werden beim Aufruf einer Seite von dort geladen. Dabei wird keine Verbindung zu Servern von Google oder anderen Schriftanbietern hergestellt.

16. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.

Stand: 16. Oktober 2026.

A German version of this Privacy Policy is available via the language toggle above.

1. Privacy at a glance

The following provides an overview of what happens to your personal data when you visit vaytax.com or use the Vaytax service. Vaytax is an online VAT-compliance service for businesses with German tax obligations. As such, tax and financial data are also processed.

2. Controller

FRADECO GmbH
Deutsch-Französische Steuerberatungsgesellschaft
Simrockstraße 92
53619 Rheinbreitbach
Germany

E-mail: contact@vaytax.com
Website: vaytax.com

The controller is the natural or legal person who alone or jointly determines the purposes and means of processing personal data.

3. Data Protection Officer

FRADECO GmbH is currently not required to appoint a Data Protection Officer under Art. 37 GDPR in conjunction with § 38 BDSG. For data-protection enquiries, please contact us at the address above or by e-mail at contact@vaytax.com.

4. Categories of data processed

In the course of using Vaytax, we process the following categories of personal data:

a) Account data

E-mail address, password (stored solely as a cryptographic hash), authentication tokens.

b) Company data

Company name, legal form, address, country, sector.

c) Tax data

Tax number (Steuernummer), VAT identification number (USt-IdNr.), competent tax office (Finanzamt), VAT preliminary return values (Kennzahlen / KZ values), VAT amounts, filing periods.

d) Financial data

IBAN, SEPA direct debit mandate, payment references.

e) Representative data

Name, date of birth, e-mail address of the legal representative or authorized agent.

f) Document data

Uploaded PDF documents, generated XLSX and CSV files, tax returns and preliminary returns.

This also includes the sales and accounting reports you upload (for example the Amazon VAT Transactions Report, the easybill outgoing-invoice journal (Rechnungsausgangsbuch), or DATEV booking batches from lexoffice, sevDesk or similar software) in CSV or Excel format. These reports may contain personal data of your own customers and business partners, in particular names, VAT identification numbers, country and invoice details. We process this data solely to prepare and file your VAT return and your EC sales list, that is, to perform our contractual service (Art. 6 (1) (b) GDPR) and the tax obligations connected with it (Art. 6 (1) (c) GDPR). It is not analysed for any other purpose, not passed to third parties other than in the filing with the tax office, and not used to train AI models. The reports are read by calculation and without AI processing; they are stored in the EU (Supabase, Frankfurt), and we also keep a copy in our client file in Google Workspace (see section 6). As the controller, you are responsible for the lawfulness of transmitting this data to us; in this respect we act as a processor or within the scope of the tax-advisory engagement.

g) Usage data

Page views, session identifiers (via sessionStorage only, not cookies), timestamps, browser and operating system, IP address (in server logs).

If a technical error occurs in the client area, we store in our own database (Supabase, Frankfurt) the error message, the affected page and code location, your browser’s identifier (user agent) and, if you are signed in, your account ID, so that we can fix the error and contact you about it if needed. The legal basis is our legitimate interest in error-free operation (Art. 6 (1) (f) GDPR).

Reporting a fault via “Report a problem”. The “Report a problem” link in the client area lets you tell us about a fault; it works only when you are signed in. It sends us your message, the address of the page you are on, your account ID, your browser’s identifier (user agent), a short technical description of the view (such as the open section, the form step, the window size and the browser language) and, by default, a screenshot of the current page. The screenshot shows everything on the page, which may include tax details. If you untick “Include a picture of this screen” before sending, no picture is taken. To take the screenshot your browser loads a code library from cdnjs (see section 6). We store the report and the screenshot in our own database (Supabase, Frankfurt). Our team receives a notice in Slack (see section 6) with your company name or e-mail address, your client number, your message and the page address; the screenshot itself is not sent to Slack. The purpose is to fix the reported fault; the legal basis is our legitimate interest in error-free operation (Art. 6 (1) (f) GDPR). There is currently no automatic deletion period: the report and the screenshot are kept until your client account is deleted, and we have set no deletion period for the notice in Slack.

5. Legal basis for processing

We process your personal data on the following legal bases:

Performance of a contract (Art. 6 (1) (b) GDPR): processing of account, company, tax, financial and representative data, where necessary to provide the Vaytax service (VAT compliance, preliminary returns, ELSTER submission).
Legal obligation (Art. 6 (1) (c) GDPR): retention of tax records and data under § 147 AO and § 257 HGB (statutory retention periods of up to 10 years).
Legitimate interest (Art. 6 (1) (f) GDPR): cookie-free usage analytics to improve the service, IT security, fraud prevention.

6. Recipients and processors

We engage the following service providers, with whom data-processing agreements (DPAs) under Art. 28 GDPR have been concluded where applicable:

Supabase Inc., database, authentication, file storage. Data location: EU (eu-central-1, Frankfurt). Privacy policy
Cloudflare Inc., website hosting (Cloudflare Pages), CDN, DDoS protection. EU data processing. Privacy policy
Resend Inc., sending our e-mails: transactional e-mails (registration confirmation, notifications, reminders about deadlines and missing documents, including attached documents), the newsletter and the VAT deadline overview you have signed up for separately, and follow-up e-mails about an enquiry you sent us (see section 10). Based in: USA. Privacy policy
Anthropic, PBC, AI-assisted analysis of Finanzamt letters uploaded on /finanzamt-letter, producing the instant summary and translation (only with explicit consent via the upload checkbox). Based in: USA. Finanzamt letters and notices that clients upload in the client area are also processed transiently via the same API to detect deadlines and produce a summary (see section 7). Notes and documents on advisory cases are likewise processed to produce a draft answer. The documents you upload during registration and onboarding (in particular identity documents, the SEPA direct debit mandate, the power of attorney, articles of association and commercial register extracts) and uploaded supplier invoices are likewise read and checked for completeness and plausibility (see section 7). Contents are not used to train AI models. Privacy policy
Stripe Payments Europe, Ltd., payment processing (one-time registration fee, monthly/annual subscription). Based in: Ireland (parent: Stripe, Inc., USA). Data processed: name, e-mail, billing address, payment method metadata (card numbers and CVC are processed solely by Stripe, not Vaytax). Privacy policy
Google Ireland Limited / Google LLC, (a) audience measurement via Google Analytics 4 and (b) conversion measurement via Google Ads; (a) and (b) each only with explicit consent via our consent dialog (see section 9). IP anonymisation is enabled. Our Google Analytics property is linked to our Google Ads account and to Google Search Console for aggregated reporting (see section 9 b). Based in: Dublin, Ireland (EU) and Mountain View, USA. Privacy policy
Functional Software, Inc. (Sentry), detection of technical errors on our website and in the client area. Only technical error data is sent (error message, affected file and line, browser and operating system version, the page visited without URL parameters); no cookies, no user identifier, no session recording and no form entries. The IP address is not stored. Data location: EU (Frankfurt). Based in: USA. Privacy policy
Google Ireland Limited (Google Workspace), our electronic client file: documents you upload and documents we produce are also stored in a shared folder in Google Drive that only our team can access. Our business mailbox is also run on Google Workspace (Gmail); e-mails to and from clients are brought into our client area for case handling. Data location: Google data centres worldwide, including the USA (Google LLC is certified under the EU-U.S. Data Privacy Framework, Art. 45 GDPR). The legal basis is the performance of the engagement (Art. 6 (1) (b) GDPR) and the retention obligation (Art. 6 (1) (c) GDPR in conjunction with § 66 StBerG). Privacy policy
Google Cloud (Google Ireland Limited), operation of our ELSTER submission service (Google Cloud Run, Frankfurt region). Through this service your tax data is prepared, signed and transmitted to the German tax administration. The service’s logs are deleted after 30 days and contain no tax data. The legal basis is the performance of the engagement (Art. 6 (1) (b) GDPR). Privacy policy
Slack Technologies Limited (Ireland) / Slack Technologies, LLC (USA), our team’s internal communication. Our team receives notices of incoming enquiries and technical problems there; these notices may contain your company name, your e-mail address and the content of your message. The legal basis is the performance of the engagement or the handling of your enquiry (Art. 6 (1) (b) GDPR). The transfer to the USA is based on the EU-U.S. Data Privacy Framework and, additionally, Standard Contractual Clauses (Art. 46 (2) (c) GDPR). Privacy policy
Volentio JSD Limited (jsDelivr), delivery of code libraries via cdn.jsdelivr.net (in particular the database client loaded on many of our pages, and PDF and ZIP generation). When such a file is loaded, the provider necessarily receives your IP address and details sent by your browser. According to jsDelivr, the files are delivered through network service providers it engages, which also receive your IP address. Based in: England and Wales (United Kingdom). The transfer is based on the European Commission’s adequacy decision for the United Kingdom (Art. 45 GDPR). The legal basis is our legitimate interest in delivering our website reliably (Art. 6 (1) (f) GDPR). Privacy policy
Cloudflare, Inc. (cdnjs), delivery of code libraries via cdnjs.cloudflare.com (PDF generation and the screenshot taken when you report a problem). When a file is loaded, the provider necessarily receives your IP address and details sent by your browser. Based in: San Francisco, USA. Cloudflare is certified under the EU-U.S. Data Privacy Framework (Art. 45 GDPR) and additionally relies on Standard Contractual Clauses (Art. 46 (2) (c) GDPR). The legal basis is our legitimate interest in delivering our website reliably (Art. 6 (1) (f) GDPR). Privacy policy

In addition, as part of the tax-advisory work, data is transmitted to:

ELSTER (electronic tax declaration), transmission of preliminary VAT returns to the German tax administration.
DATEV eG, tax-advisory software, where required for case handling by the Tax Advisor.
Bundeszentralamt für Steuern (BZSt, Federal Central Tax Office), qualified confirmation of VAT identification numbers (§ 18e UStG). For this we transmit the number to be checked and the name and address of the company it belongs to. The legal basis is the performance of the engagement or compliance with tax due-diligence obligations (Art. 6 (1) (b) and (c) GDPR).

7. Transfer to third countries

The database and primary data processing take place in the EU (Supabase eu-central-1, Frankfurt; Cloudflare EU).

Resend Inc. is based in the USA. Data transfer is on the basis of Standard Contractual Clauses (SCCs) under Art. 46 (2) (c) GDPR. E-mail addresses, message contents and attachments of the e-mails listed in section 6 are processed via Resend.

Anthropic, PBC is based in the USA. Letters uploaded on /finanzamt-letter are processed transiently via the Anthropic API to produce the instant summary. The legal basis is consent (Art. 6 (1) (a) GDPR), given via the upload checkbox; the transfer is on the basis of Standard Contractual Clauses under Art. 46 (2) (c) GDPR. Contents are not used to train AI models; permanent storage of the documents takes place exclusively in the EU (Supabase, Frankfurt).

Finanzamt letters and notices you upload in the client area are processed transiently via the API of Anthropic, PBC (USA) to detect deadlines and produce a summary. The legal basis is the performance of the engagement (Art. 6 (1) (b) GDPR); the transfer is on the basis of Standard Contractual Clauses (Art. 46 (2) (c) GDPR). Contents are not used to train AI models; permanent storage takes place in the EU (Supabase, Frankfurt); we also keep a copy in our client file in Google Workspace (see section 6).

Notes and documents on advisory cases are processed transiently via the API of Anthropic, PBC (USA) to produce a draft answer. Likewise, messages that clients send us in the client area or by email are processed via the same API to detect whether a reply is needed and to produce a short summary for our team. Likewise, the information clients give during registration and in answer to the tax office's questions is processed through the same API to translate it into German for submission to the tax office. The legal basis is the performance of the engagement (Art. 6 (1) (b) GDPR); the transfer is on the basis of Standard Contractual Clauses (Art. 46 (2) (c) GDPR). Contents are not used to train AI models.

The documents you upload during registration and onboarding (in particular identity documents, the SEPA direct debit mandate, the power of attorney, articles of association and commercial register extracts) and uploaded supplier invoices are read via the API of Anthropic, PBC (USA) and checked for completeness and plausibility, so that our team spots missing or inconsistent information early. The legal basis is the performance of the engagement (Art. 6 (1) (b) GDPR); the transfer is on the basis of Standard Contractual Clauses (Art. 46 (2) (c) GDPR). Contents are not used to train AI models.

All AI processing named in this section runs directly through the API of Anthropic, PBC (USA), on the basis of Standard Contractual Clauses (Art. 46 (2) (c) GDPR).

Stripe processes payment data primarily in the EU (Stripe Payments Europe, Ltd., Ireland) but may transfer it to Stripe, Inc. (USA) for processing and fraud-prevention purposes. The transfer is on the basis of Standard Contractual Clauses and Stripe’s certification under the EU-U.S. Data Privacy Framework.

Google Analytics 4 and Google Ads are delivered from servers of Google Ireland Limited (EU) and Google LLC (USA). Google is certified under the EU-U.S. Data Privacy Framework; Standard Contractual Clauses additionally apply under Art. 46 (2) (c) GDPR.

Google Workspace (Google Drive, Gmail): the data is stored in Google data centres worldwide, including the USA. Google LLC is certified under the EU-U.S. Data Privacy Framework (Art. 45 GDPR). Our ELSTER submission service (Google Cloud Run) runs in the Frankfurt region.

Slack: Slack Technologies, LLC, USA; certified under the EU-U.S. Data Privacy Framework (Art. 45 GDPR). The notices to our team are stored in the USA.

Code libraries (jsDelivr, cdnjs): the providers’ seats and the basis of each transfer are given in section 6.

Sentry (Functional Software, Inc.) is based in the USA; the error data is stored in the EU (Frankfurt). The legal basis is our legitimate interest in operating our website and client area without errors (Art. 6(1)(f) GDPR). Sentry is certified under the EU-U.S. Data Privacy Framework; Standard Contractual Clauses additionally apply under Art. 46 (2) (c) GDPR.

8. Storage period

Tax data and documents: up to 10 years from the end of the relevant calendar year (§ 147 AO, § 257 HGB: 10 years for books and records, 8 years for booking vouchers such as invoices, 6 years for other documents).
Account data: until the end of the engagement or until you ask us to delete it. You can ask for your client account to be deleted at any time by e-mail to contact@vaytax.com; we then delete the data promptly unless statutory retention obligations apply. There is currently no delete function in the client area itself.
Usage data (analytics): max. 90 days. We keep anonymous daily totals with no personal reference indefinitely.
Technical error data (Sentry): max. 90 days.
Client-area error logs (our own database): max. 90 days.
Fault reports via “Report a problem” (including the screenshot): no automatic deletion period; they are deleted with your client account.
Logs of our ELSTER submission service (Google Cloud Run): max. 30 days; they contain no tax data.
"Check is back" notification (VAT ID checker): when the VAT ID check is down on the authorities' side, you can leave your email address for exactly one message once the check for that country works again (Art. 6 (1) (b) GDPR, at your request); we store the VAT number you checked only if you expressly agree (Art. 6 (1) (a) GDPR). Stored email addresses (and the VAT number, only if you agreed) are deleted as soon as the one notification has been sent, and at the latest 30 days after sign-up if the check has not come back.

9. Cookies, tracking and consent

We distinguish between technically necessary storage mechanisms and consent-based tracking technologies:

a) Technically necessary storage (no consent needed)

For login and session management in the authenticated area we use the browser’s localStorage / sessionStorage APIs (e.g. storing the authentication token after successful login). Under § 25 (2) No. 2 TDDDG this storage is permitted without consent because it is strictly necessary to provide the service the user has expressly requested. Cookies in the classical sense are not used for this purpose.

If you have started registering, we keep what you have entered so far for up to seven days locally in your browser (localStorage), so that you can continue without entering everything again; passwords are never kept. Your answers from our VAT check (for example what you sell and where your company is based) likewise stay in your browser for up to seven days, so that the registration can pick them up. This data does not leave your browser until you submit the registration. You can delete it at any time by clearing site data for vaytax.com in your browser.

b) Audience measurement with Google Analytics 4 (consent only)

On the public pages of vaytax.com we use Google Analytics 4 (provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland) for statistical evaluation of usage. IP anonymisation is enabled (anonymize_ip: true).

Our Google Analytics property is linked to our Google Ads account and to Google Search Console. The links serve aggregated reporting only, for example which ads and which search queries lead to visits and enquiries. They cover only visitors who agreed to audience measurement; the link to Google Ads additionally covers only those who also agreed to ad measurement.

The Google Analytics script is loaded only after you have agreed to audience measurement in the consent dialog (“Accept all”, or the “Analytics” option under “Customize”). Until you decide, your browser makes no connection to Google Analytics; no cookies are set and no data is sent to Google. This applies to every visitor, wherever they are. If you choose “Essential only”, or ad measurement only, Google Analytics is not loaded. Both buttons carry equal weight. Once you have agreed, the following cookies are set:

_ga, storage period: 2 years, purpose: distinguishing users.
_ga_RV3B10TLX3, storage period: 2 years, purpose: session persistence for GA4.

Besides the page view, we send Google Analytics only general event details, such as which step of a form was reached, the country chosen or the plan. Names, company names, e-mail addresses, file names, error messages and internal identifiers are not sent to Google; this is enforced technically by a closed list of permitted event details. Google receives the address of the page without its parameters; only campaign tags (utm_ parameters) with short values made of plain characters are kept, and any other value (an e-mail address, for example) is dropped. The address includes the Google click identifier only if you have also agreed to ad measurement. Of the referring website, Google receives the domain only.

c) Conversion measurement via Google Ads (consent only)

In addition to audience measurement, the publicly accessible pages of vaytax.com use Google Ads conversion tracking (provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland). This lets us measure how many visitors who arrived via a paid Google ad subsequently complete an action relevant to us (for example creating an account, requesting a Finanzamt letter quote, or completing a purchase).

When you click one of our Google ads, Google automatically appends a Google click identifier (URL parameter ?gclid=...) to the destination URL. We keep this identifier only if you have agreed to ad measurement in the consent dialog (“Accept all”, or the “Ad measurement” option under “Customize”). It is then stored locally in your browser (localStorage, key vd_gclid) and is no longer used after 90 days. Without your consent the identifier is neither stored nor used. It contains no plain-text personal data; it serves solely to link an enquiry or a purchase to the original ad click.

We send conversion events only from our backend via the Google Ads API, when an ad click leads to an enquiry to us (contact form, VAT check, Finanzamt letter), an account being created, a completed registration or a purchase. This transmission takes place only if you have agreed to ad measurement (Art. 6 (1) (a) GDPR in conjunction with § 25 (1) TDDDG). If you chose “Essential only” or have not made a choice, nothing is transmitted. We store your choice and when you made it with your enquiry and, if you have a client account, in your account, so that we respect it on every later transmission and can prove your consent. We transmit only the click identifier, the conversion event, the conversion value in euros and an internal order reference. We do not send Google your name, e-mail address or any other profile information as part of this measurement.

If you have agreed to both audience measurement and ad measurement, your browser also loads the Google Ads tag. Google then receives the address of the page, including any click identifier, and may set its own cookies. Our website does not send conversion events from your browser to Google Ads. Without your consent to ad measurement the Google Ads tag is not loaded.

You may withdraw your consent at any time with future effect by choosing “Essential only” in the consent dialog (link “Change cookie settings” under e). The click identifier stored in your browser is then deleted. Conversion events for that click that are already queued for transmission but not yet sent to Google are cancelled. If you are signed in to your client account, or sign in later in this browser, we record the withdrawal in your account, delete the click identifier stored there as well and cancel the conversion events queued for your account; after that nothing more is sent to Google Ads. Conversion events already transmitted to Google can additionally be managed via the privacy settings of your Google account.

Retention period: the click identifier stored locally in your browser is no longer used after 90 days and is removed from your browser the next time our website reads it; choosing “Essential only” deletes it at once. A click identifier stored in your client account is deleted when you withdraw consent. Conversion events transmitted to Google Ads are retained in accordance with Google Ads retention policies; for details and objection options see the Google privacy policy.

d) Legal basis

For audience measurement with Google Analytics and conversion measurement with Google Ads, including the server-side transmission of the Google click identifier: Art. 6 (1) (a) GDPR in conjunction with § 25 (1) TDDDG (consent), given separately for each of the two purposes. For technically necessary storage: Art. 6 (1) (b) GDPR in conjunction with § 25 (2) No. 2 TDDDG.

e) Withdrawal of consent

You may withdraw your consent at any time with future effect. The lawfulness of processing carried out before the withdrawal is unaffected. To withdraw, click here: Change cookie settings. The link first withdraws all consents and then opens the consent dialog, where you can choose again. If you are signed in to your client account, the withdrawal is also recorded in your account; conversion events not yet sent to Google are cancelled (see section c). Alternatively, delete the cookies via your browser settings.

f) Supplementary cookie-free audience measurement

Independent of consent, we collect usage data without cookies on our own servers (Supabase, Frankfurt): the page opened, the time, a random session ID that is valid only for the open browser tab (sessionStorage), the domain of the referring website (not its full address), campaign tags of the page address (utm_ parameters, short plain values only), your browser’s identifier (user agent) and the window size, and events such as submitting a form. If you are signed in to your client account, the entry is linked to your account ID. We do not store IP addresses, names, company names or file names in this data. The legal basis is our legitimate interest in improving our service (Art. 6 (1) (f) GDPR). The data is deleted after 90 days; we keep anonymous daily totals with no personal reference indefinitely.

g) Referral and partner identifiers

If you reach our website through a referral link or a partner link, the address carries a short code (URL parameter ?ref=... or ?via=...). That code is stored locally in your browser (localStorage, keys vd_ref and vd_via). The entry is no longer used after 90 days and is removed from your browser the next time our website reads it.

The code identifies the person or partner who referred you, not you. It holds no information about you. If you book a paid service, we pass the code to our payment provider Stripe so that an agreed discount can be applied and the referral settled; beyond that it is never transmitted to any third party. It is read only if you go on to register or submit an enquiry, so that we can credit the referral correctly. The legal basis is our legitimate interest in attributing referrals (Art. 6 (1) (f) GDPR).

You can remove these entries yourself at any time by clearing site data for vaytax.com in your browser. If you visit our website without such a link, nothing is stored.

h) Where your first visit came from

If you reach us from an identifiable source (a search engine or an AI assistant, for example), we record where that first visit came from locally in your browser (localStorage, key vd_ft). The entry is no longer used after 90 days and is removed from your browser the next time our website reads it.

Only the domain of the referring site is stored (for example https://chatgpt.com, not the full address of the page or of a conversation), any ?utm_source=... campaign parameter (a short plain value only), the first page of ours you opened, and the time. The entry contains no information about you and is never transmitted to any third party.

Its only purpose is to answer which channel brings people to us. That information is otherwise lost the moment you close the browser tab, even though several weeks typically pass between a first visit and an enquiry. The first identifiable visit is kept and is not overwritten by later ones. The legal basis is our legitimate interest in measuring reach (Art. 6 (1) (f) GDPR).

You can remove the entry yourself at any time by clearing site data for vaytax.com in your browser. If you come to us directly, with no identifiable source, nothing is stored.

10. Newsletter, VAT deadline overview and follow-up e-mails

Newsletter and VAT deadline overview. If you sign up for our newsletter or our overview of VAT deadlines, we use your e-mail address to send them. Sign-up uses double opt-in: we first send you an e-mail with a confirmation link and may remind you of it once. The legal basis is your consent (Art. 6 (1) (a) GDPR). You can unsubscribe at any time via the link in every e-mail.

Follow-up e-mails about your enquiry. If you have sent us an enquiry through a form (for example the VAT check, the contact form or a registration you started), we send you a limited number of e-mails with further information on your request. The legal basis is taking steps at your request before entering into a contract (Art. 6 (1) (b) GDPR) or our legitimate interest (Art. 6 (1) (f) GDPR). You can object to these e-mails at any time via the unsubscribe link or by e-mail to contact@vaytax.com.

11. SSL/TLS encryption

This website uses SSL/TLS encryption for security and to protect the transmission of all content. You can recognise an encrypted connection by the change in the browser’s address bar from “http://” to “https://” and by the lock icon.

12. Your rights as a data subject

You have the following rights regarding your personal data:

Right of access (Art. 15 GDPR): you may request information about your stored personal data.
Right to rectification (Art. 16 GDPR): you may request the correction of inaccurate data.
Right to erasure (Art. 17 GDPR): you may request deletion of your data, subject to statutory retention obligations.
Right to restriction (Art. 18 GDPR): you may request the restriction of processing.
Right to data portability (Art. 20 GDPR): you may request your data in a structured, common, machine-readable format.
Right to object (Art. 21 GDPR): you may object to processing based on Art. 6 (1) (f) GDPR.

To exercise your rights, please contact: contact@vaytax.com

13. Right to lodge a complaint

Without prejudice to any other administrative or judicial remedy, you have the right to lodge a complaint with a data-protection supervisory authority (Art. 77 GDPR). Our competent authority is:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Postfach 30 40
55020 Mainz, Germany
www.datenschutz.rlp.de

14. Hosting

This website is hosted via Cloudflare Pages. When the website is accessed, technical information is automatically stored in server log files (IP address, date and time of access, page accessed, browser type, operating system).

Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA. Cloudflare processes data in the EU. More information: Cloudflare privacy policy.

15. Fonts

The fonts on this website are stored on our own server and loaded from there when you open a page. No connection is made to the servers of Google or any other font provider.

16. Changes to this Privacy Notice

We reserve the right to amend this Privacy Notice to keep it in line with current legal requirements or to reflect changes to our services. The new Privacy Notice will apply on your next visit.

Last updated: 16 October 2026.