Sicherheit & Nachweisführung

Wo liegen die Belege?

• Dateien: Hetzner Object Storage, Rechenzentrum Falkenstein (Deutschland).
• Datenbank: Supabase, Region Frankfurt (Deutschland).
• Anwendung: Vercel Inc. (USA) — Serverfunktionen in der Region Frankfurt; die Auslieferung erfolgt über das weltweite Edge-Netzwerk von Vercel.

Die Belegdateien selbst werden ausschließlich in deutschen Rechenzentren gespeichert. Weitere beteiligte Dienstleister, teils mit Sitz außerhalb der EU, sind unten aufgeführt.

Wie funktioniert die Nachweiskette?

• Zu jeder hochgeladenen Datei wird beim Hochladen im Browser des Mandanten eine SHA-256-Prüfsumme berechnet und protokolliert. Beim Ansehen und im ZIP-Export gleicht der Browser der Kanzlei die Datei erneut damit ab und warnt bei einer Abweichung.
• Vorgänge wie Versand der Anfrage, Upload, Erinnerung und Export werden mit Zeitstempel in einem Prüfprotokoll festgehalten. Protokolleinträge lassen sich in der Anwendung nachträglich nicht ändern oder löschen. Nach Vertragsende werden sie zusammen mit Ihren übrigen Daten gelöscht; das Prüfprotokoll können Sie vorher unter „Datenexport“ als CSV herunterladen.
• Hochgeladene Dateien lassen sich in der Anwendung weder ändern noch löschen.
• Der ZIP-Export einer Monatsanfrage enthält alle Belege samt Index-Datei mit den Prüfsummen.

Ein GoBD-Testat oder -Zertifikat gibt es nicht. SteuerdokHub ist kein Archivsystem und übernimmt keine Aufbewahrung nach § 147 AO — übernehmen Sie die Belege regelmäßig per ZIP-Export in Ihre eigene Ablage.

Auftragsverarbeitung (Art. 28 DSGVO)

• Der AV-Vertrag nach Art. 28 DSGVO ist direkt in der Anwendung einsehbar und akzeptierbar. Die Annahme wird mit Zeitstempel dokumentiert — Sie haben den Nachweis also ohne separaten Schriftverkehr.

AV-Vertrag ansehen →

Welche Dienstleister sind beteiligt?

• Hetzner Online GmbH (Deutschland) — Speicherung der Belege.
• Supabase Inc. — Datenbank, Region Frankfurt.
• Vercel Inc. (USA) — Anwendungs-Hosting, Serverfunktionen in der Region Frankfurt, weltweites Edge-Netzwerk.
• Brevo SAS (Frankreich) — Versand der E-Mails an Mandanten und Kanzlei.
• Functional Software Inc. (Sentry, USA) — Fehlerüberwachung, derzeit nicht im Einsatz; es werden keine Daten übertragen.
• Google Ireland Ltd. (Google Workspace) — Support-Postfach hallo@steuerdokhub.de; nur Inhalte, die Sie selbst an den Support senden.
• Anthropic PBC (USA) — Auswertung des Support-Postfachs durch eine KI-Assistenz; Inhalte von Support-Anfragen können verarbeitet werden. Bitte senden Sie keine Mandantennamen und keine Dokumente an den Support. Die KI-Dokumentklassifikation ist für Kanzleien nicht freigeschaltet.
• Stripe — ausschließlich für die Zahlungsabwicklung des Abonnements. Belegdaten werden nicht an Stripe übermittelt.

Die vollständigen Angaben inklusive Rechtsgrundlagen und Zertifizierungen stehen in der Datenschutzerklärung.

Datenschutzerklärung →

Was sieht der Mandant?

• Der Mandant erhält einen persönlichen Upload-Link. Er legt kein Konto an, vergibt kein Passwort und installiert keine App.
• Der Link ist auf den jeweiligen Mandanten ausgestellt und zeitlich befristet. Ein Mandant sieht ausschließlich seinen eigenen Upload-Bereich — niemals Daten anderer Mandanten.
• Upload-Seiten sind per robots.txt für Suchmaschinen gesperrt.

Wem gehören die Daten?

• Ihrer Kanzlei. Sie können die Belege jeder Monatsanfrage — gesamt oder je Mandant — jederzeit als ZIP-Archiv exportieren, ohne Aufpreis. SteuerdokHub übernimmt keine Aufbewahrung nach § 147 AO; exportieren Sie den Bestand daher vollständig vor dem Vertragsende.