Version: 2026-10-14-v2

Datenschutzerklärung für PHEREXO-Websites und PHEREXO Core

1. Verantwortlicher

Ronny Moritz, Einzelunternehmer, handelnd unter PHEREXO
Bathwiesenweg 3, 63633 Birstein, Deutschland
Telefon: +49 (0) 6054 9174370
E-Mail: office@pherexo.com

Ein Datenschutzbeauftragter ist nicht benannt. Datenschutzanfragen richten Sie bitte an die oben genannte E-Mail-Adresse.

2. Geltungsbereich und Rollen

Diese Erklärung gilt für die PHEREXO-Landingpages, core.pherexo.com, die PHEREXO-Core-Anwendung und die darüber bereitgestellten technischen Prüftools. PHEREXO verarbeitet Konto-, Vertrags-, Abrechnungs-, Sicherheits- und Kommunikationsdaten in eigener Verantwortung. Bei personenbezogenen Daten, die Geschäftskunden in Dokumenten und Prüfvorgängen verwalten, ist regelmäßig der jeweilige Kunde Verantwortlicher und PHEREXO Auftragsverarbeiter nach Art. 28 DSGVO.

3. Hosting, Webzugriff und Serverprotokolle

Websites, PHP-API, Datenbank, privater Dateispeicher und E-Mail-Infrastruktur werden auf Leistungen der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin betrieben. Beim Abruf werden insbesondere IP-Adresse, Datum und Uhrzeit, URL, Referrer, Statuscode, übertragene Datenmenge, Browser, Betriebssystem und sicherheitsrelevante Ereignisse verarbeitet.

Zwecke sind Bereitstellung, Fehleranalyse, Stabilität und Abwehr von Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren Betrieb. STRATO verarbeitet Hostingdaten auf Grundlage eines Vertrags nach Art. 28 DSGVO. Nicht anonymisierte Sicherheits-IP-Daten werden nach STRATO-Angaben regelmäßig höchstens sieben Tage gespeichert, soweit kein Sicherheitsvorfall eine längere Beweissicherung erfordert.

4. Technisch notwendige Cookies und lokaler Browserspeicher

PHEREXO Core verwendet technisch notwendige Session-Cookies, insbesondere für Anmeldung und mandantenbezogene Sitzung. Sie sind regelmäßig als HttpOnly und SameSite=Lax ausgestaltet und werden bei HTTPS sicher übertragen.

Local Storage kann Sprache, Einwilligungs-/Datenschutzauswahl, Nutzer- und Tenant-Kontext, Anwendungszustand sowie lokal erforderliche Konfigurationen speichern. Die Landingpage speichert die Datenschutzwahl derzeit bis zu 180 Tage; Sprach-/Ländereinstellungen bleiben bis zur Änderung oder Browserlöschung erhalten. Authentifizierungszustände werden beim Logout entfernt, soweit technisch vorgesehen; sonstige lokale Einstellungen verbleiben bis zum Überschreiben oder Löschen im Browser.

Rechtsgrundlage für den Zugriff auf zwingend erforderliche Endgeräteinformationen ist § 25 Abs. 2 Nr. 2 TDDDG; die nachfolgende Verarbeitung beruht auf Art. 6 Abs. 1 lit. b oder f DSGVO. Analyse-, Werbe- oder Marketingcookies werden derzeit nicht eingesetzt. Werden solche Dienste später aktiviert, erfolgt dies nur nach vorheriger Anpassung dieser Erklärung und – soweit erforderlich – Einwilligung.

5. Bestellung, Stripe Checkout und Abonnement

Beim Checkout verarbeiten wir insbesondere Unternehmensname, geschäftliche E-Mail-Adresse, B2B-Bestätigung, Tarif, Checkout-/Subscription-/Customer-Kennungen, Zahlungsstatus, Rechnungsmetadaten, Partnerzuordnung und Zeitstempel. Stripe verarbeitet zusätzlich Zahlungsinstrument-, Rechnungs-, Geräte-, Netzwerk-, Betrugspräventions- und Transaktionsdaten. Vollständige Karten- oder Bankzugangsdaten werden nicht an PHEREXO übermittelt.

Zahlungsdienstleister ist abhängig vom Stripe-Konto und der jeweils eingesetzten Zahlungsleistung insbesondere Stripe Payments Europe, Limited (SPEL), 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Nach den Stripe-Datenschutzhinweisen kann außerdem Stripe Technology Company, Limited (STC), Irland, als Hauptniederlassung für bestimmte Verarbeitungen in Europa verantwortlich sein. Bei regulierten Zahlungsdiensten können weitere lokale Stripe-Gesellschaften gemeinsam verantwortlich sein.

Stripe handelt abhängig vom konkreten Verarbeitungsvorgang teilweise als Auftragsverarbeiter von PHEREXO und teilweise als eigener oder gemeinsamer Verantwortlicher. Als eigener Verantwortlicher verarbeitet Stripe Daten insbesondere zur Auswahl und Einbindung von Banken und Zahlungsartenanbietern, Betrugs- und Missbrauchsprävention, Vermeidung finanzieller Schäden, Erfüllung geldwäsche-, identitäts-, finanzaufsichts- und zahlungsrechtlicher Pflichten sowie zur internen Abwicklung und Verbesserung seiner Zahlungsdienste.

An Stripe können insbesondere Name, Unternehmensname, geschäftliche E-Mail-Adresse, Rechnungsanschrift, Steuerstatus/-kennung, Tarif und Leistungsbeschreibung, Betrag, Währung, Checkout-, Customer-, Payment-, Invoice- und Subscription-Kennungen, Zahlungsstatus, IP-Adresse, Geräte-/Browserinformationen sowie die vom Kunden unmittelbar bei Stripe angegebenen Zahlungsdaten übermittelt werden. Bei Stripe Connect können zusätzlich Partner-, Identitäts-, Bank- und Auszahlungsdaten verarbeitet werden. Stripe erhält regulär keine Dokumente, Lieferkettendaten oder sonstigen fachbezogenen Inhalte aus den PHEREXO-Prüftools.

Weitere Informationen enthalten die Stripe-Datenschutzrichtlinie, das Stripe Privacy Center und die Stripe Data Processing Agreement.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Vertrag und Abrechnung, Art. 6 Abs. 1 lit. c DSGVO für handels- und steuerrechtliche Pflichten sowie Art. 6 Abs. 1 lit. f DSGVO für Betrugsprävention und Rechtsdurchsetzung.

Stripe und seine Dienstleister können Daten außerhalb des EWR verarbeiten. Stripe sieht hierfür je nach Fall einen Angemessenheitsbeschluss einschließlich des EU-US Data Privacy Framework, EU-Standardvertragsklauseln und ergänzende Schutzmaßnahmen nach dem Stripe Data Transfers Addendum vor.

6. Registrierung, Login, Tenants und Berechtigungen

Wir verarbeiten geschäftliche E-Mail-Adresse, Anzeigename, Unternehmensname, Rollen, Berechtigungen, Passwort-Hash, Aktivierungs-/Reset-Token, Login-, Sitzungs- und Sicherheitsdaten sowie Stripe-Subscription-/Tenant-Zuordnung. Das Passwort selbst wird nicht im Klartext gespeichert.

Jede bezahlte Subscription kann einen eigenen Tenant begründen. Dieselbe E-Mail-Adresse kann daher mehreren getrennten Tenants zugeordnet sein. Die Zuordnung erfolgt über interne und Stripe-bezogene eindeutige Kennungen, nicht allein über Unternehmensname oder E-Mail. Zweck ist die sichere Bereitstellung und Trennung von Kundenarbeitsräumen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie für Sicherheitsprotokolle Art. 6 Abs. 1 lit. f DSGVO.

7. Nutzung der technischen Prüftools

Je nach Nutzung verarbeiten wir in unseren Tools insbesondere:

• Nutzer-, Rollen-, Aufgaben- und Freigabedaten;
• Lieferanten-, Kunden-, Hersteller-, Erzeuger- und Kontaktdaten;
• Produkt-, Mengen-, Liefer-, Bestell-, Rechnungs- und Zolltarif-/CN-HS-Daten;
• Länder-, Produktions-, Geolokations-, Polygon- und Herkunftsdaten;
• technische Hinweis-, Abgleich-, Maßnahmen-, DDS-/Referenz-, Nachweis- und Vorgangsdaten;
• hochgeladene PDF-, Bild-, XML-, Text- und sonstige Geschäftsdokumente;
• Integritätswerte, Zeitstempel, Ereignisse und Exporte.

Zwecke sind die vom Kunden veranlasste Dokumentation, der technische Datenabgleich, die Anzeige unverbindlicher Hinweise, Berichtserstellung, Dokumentenablage und der Export. Die Tools führen keine rechtliche Compliance-, Audit-, Behörden- oder Zertifizierungsprüfung durch. Soweit PHEREXO im Auftrag verarbeitet, bestimmt der Kunde Zwecke und Rechtsgrundlagen und es gilt die AVV. Besondere Kategorien nach Art. 9 DSGVO sind für die reguläre Nutzung nicht vorgesehen.

8. Automatisierte Prüfungen, OCR und KI

Funktionen können Texte extrahieren, Daten strukturieren, technisch hinterlegte Kriterien anwenden, mögliche Auffälligkeiten markieren oder Vorschläge erzeugen. Diese Ergebnisse sind unverbindliche technische Ausgaben und keine Bestätigung rechtlicher Konformität. Sie werden nicht als ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO eingesetzt. Der Nutzer muss sämtliche Ergebnisse unabhängig prüfen.

Nach dem derzeit geprüften Architekturstand ist für den Kernbetrieb keine externe KI-/OCR-API als Empfänger von Kundendokumenten belegt. Vor Aktivierung eines solchen Anbieters werden Empfänger, Zweck, Datenkategorien, Speicherort, Löschfristen und Drittlandtransfer ergänzt und vertraglich abgesichert.

9. Dokumentenablage, Integrität und Exporte

Originaldokumente und PHX-/Nachweiscontainer können in tenantbezogenen privaten Verzeichnissen auf dem STRATO-Webspace gespeichert werden. Metadaten und Integritäts-/Hashwerte werden in der Datenbank geführt. Berichte, Smart-PDFs, technische Anhänge und GoBD-orientierte Exporte können vom berechtigten Nutzer erzeugt werden.

Eine revisionsorientierte Speicherung darf nicht mit einer unbegrenzten datenschutzrechtlichen Aufbewahrung verwechselt werden. Der Kunde muss für seine Inhalte angemessene Lösch- und Aufbewahrungsfristen festlegen.

10. E-Mail-Kommunikation

Aktivierungs-, Passwort-, Vertrags-, Partner- und Supportnachrichten werden über STRATO-SMTP versandt. Verarbeitet werden Empfänger, Absender, Betreff, Inhalt, Versandzeitpunkt, Zustellstatus und technische Metadaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Sicherheitsnachrichten Art. 6 Abs. 1 lit. f DSGVO und bei gesetzlichen Mitteilungen Art. 6 Abs. 1 lit. c DSGVO.

11. Kooperationspartner

Bei Bewerbungen und Teilnahme verarbeiten wir Name/Organisation, Partnertyp, Ansprechpartner, geschäftliche Kontaktdaten, Website, Anschrift, Notizen, Empfehlungskennung, zugeordnete Kunden/Subscriptions, Provisionsereignisse, Auszahlungsstatus und Stripe-Connect-Kennung. Zweck ist Prüfung, Vertragsdurchführung, Zuordnung bezahlter Rechnungen, Provisionsabrechnung und Betrugsprävention.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, c und f DSGVO. Stripe kann für Onboarding, Identitätsprüfung und Auszahlung weitere Daten in eigener Verantwortung verarbeiten. Partner erhalten keine Inhalte der Prüftool-Tenants der geworbenen Kunden.

12. Empfänger

Empfänger sind nur, soweit erforderlich:

• STRATO als Hosting-, Datenbank-, Speicher- und E-Mail-Dienstleister;
• Stripe sowie beteiligte Banken, Zahlungsartenanbieter, Betrugspräventions- und Identitätsdienste;
• OpenAI Ireland Ltd. und deren vertraglich eingesetzte Unterauftragsverarbeiter, soweit OpenAI Codex kontrolliert für Entwicklung, technische Administration, Fehleranalyse oder Support eingesetzt wird;
• autorisierte Mitarbeitende und sorgfältig verpflichtete Supportkräfte;
• Steuerberatung, Buchhaltung, Rechtsberatung, Versicherer und Prüfer;
• Behörden, Gerichte oder sonstige Stellen bei gesetzlicher Pflicht oder Rechtsdurchsetzung;
• vom Kunden autorisierte Nutzer und Empfänger von Exporten.

Wir verkaufen keine Kundendaten und geben keine Inhalte der Prüftools zu fremden Werbezwecken weiter.

13. KI-gestützte Entwicklung, Administration und Live-Wartung mit OpenAI Codex

PHEREXO kann OpenAI Codex zur Entwicklung, Quellcodeanalyse, Fehlerbehebung, Sicherheitsprüfung, technischen Administration und kontrollierten Wartung der PHEREXO-Live-Umgebung einsetzen. Anbieter für Nutzer im EWR ist im Rahmen geeigneter Geschäftsangebote insbesondere OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. OpenAI kann weitere Unterauftragsverarbeiter einsetzen.

Google Search Console

Wir nutzen Google Search Console, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, um die Indexierung und Sichtbarkeit unserer öffentlich erreichbaren Websites in der Google-Suche zu überwachen. Wir erhalten zusammengefasste Berichte, insbesondere zu Suchanfragen, aufgerufenen Seiten, Ländern, Gerätetypen, Impressionen, Klicks, Klickrate, durchschnittlicher Position und technischen Indexierungsfehlern.

Zwecke sind technische Optimierung, Fehlererkennung und Verbesserung der Auffindbarkeit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im zuverlässigen und auffindbaren Betrieb der Website. Durch Search Console werden auf unserer Website keine zusätzlichen Cookies oder Skripte gesetzt. Google verarbeitet Daten nach der eigenen Datenschutzerklärung und den jeweils geltenden Aufbewahrungsfristen; mögliche Drittlandübermittlungen erfolgen auf Grundlage der von Google vorgesehenen Garantien.

14. Speicherdauer

• Nicht abgeschlossene Checkout-Kontexte: regelmäßig bis zu 7 Tage.
• Nicht zugeordnete temporäre Uploads: regelmäßig bis zu 24 Stunden, soweit der Bereinigungsprozess erfolgreich läuft.
• Aktive Konto-, Tenant-, Dokument- und Prüfvorgangsdaten: für die Vertragsdauer und nach Kundenweisung bzw. den vom Kunden festgelegten Aufbewahrungsregeln.
• Operative Daten gekündigter, stornierter oder erstatteter Tenants: grundsätzlich Sperrung und Löschung nach etwa 30 Tagen, vorbehaltlich Export, Rechtsverfolgung und gesetzlicher Pflichten.
• Sicherheitslogs: grundsätzlich nur solange zur Erkennung und Aufklärung erforderlich; STRATO nennt für nicht anonymisierte IP-Adressen regelmäßig höchstens 7 Tage.
• Backups: bis zur turnusmäßigen Überschreibung; bis dahin ist die Nutzung auf Wiederherstellung und Sicherheit beschränkt.
• OpenAI-Codex-Arbeitskontext: nach den Regeln des konkret eingesetzten OpenAI-Geschäftsdienstes. API-Missbrauchsüberwachungsdaten können ohne genehmigte abweichende Kontrolle grundsätzlich bis zu 30 Tage gespeichert werden. Lokale Diagnosekopien werden gelöscht, sobald sie für Fehlerbehebung, Sicherheit oder Rechtsnachweise nicht mehr benötigt werden.

Bestehen mehrere Subscriptions derselben E-Mail-Adresse, wird die Löschung tenant- und subscriptionbezogen durchgeführt und darf aktive andere Tenants nicht erfassen.

15. Datensicherheit

Zu den Maßnahmen gehören insbesondere TLS-Transport, sichere Session-Cookies, Passwort-Hashing, serverseitige Rollen- und Tenant-Prüfungen, logische Tenant-Trennung, private Dateispeicherung, Integritätswerte, signierte Stripe-Webhooks, Backup- und Wiederherstellungsprozesse, Änderungs-/Patchkontrollen und beschränkte administrative Zugriffe. Bei Codex-Livezugriffen gelten zusätzlich Datenminimierung, das Verbot der Übermittlung von Geheimnissen, menschliche Prüfung produktiver Änderungen, aufgabenbezogene Berechtigungen, Dokumentation und anschließende Entfernung temporärer Zugriffe. Absolute Sicherheit kann nicht garantiert werden.

16. Betroffenenrechte

Betroffene haben nach den gesetzlichen Voraussetzungen Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft. Außerdem besteht ein Beschwerderecht nach Art. 77 DSGVO.

17. Beschwerderecht und zuständige Datenschutzaufsichtsbehörde

Betroffene Personen können sich nach Art. 77 DSGVO unbeschadet anderer Rechtsbehelfe bei einer Datenschutzaufsichtsbehörde beschweren. Für PHEREXO ist aufgrund des Unternehmenssitzes insbesondere folgende Aufsichtsbehörde zuständig:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
vertreten durch Prof. Dr. Alexander Roßnagel
Wilhelmstraße 7
65185 Wiesbaden
Deutschland
Telefon: +49 (0) 611 1408-0
E-Mail: poststelle@datenschutz.hessen.de
Website: https://datenschutz.hessen.de/

Der HBDI ist die unabhängige staatliche Datenschutzaufsichtsbehörde und nicht der betriebliche Datenschutzbeauftragte von PHEREXO. Ein betrieblicher Datenschutzbeauftragter ist derzeit nicht benannt. Ob eine gesetzliche Benennungspflicht besteht, muss anhand von Beschäftigtenzahl, Umfang und Art der konkreten Datenverarbeitung fortlaufend geprüft werden.

18. Pflicht zur Bereitstellung

Vertrags-, Konto- und Zahlungsdaten sind für Vertragsschluss und Nutzung erforderlich. Ohne diese Daten kann der Dienst nicht bereitgestellt werden. Bei optionalen Feldern ist die Bereitstellung freiwillig.

19. Änderungen

Wir aktualisieren diese Erklärung bei Änderungen der Rechtslage, Architektur oder Empfänger. Wesentliche Änderungen werden angemessen kenntlich gemacht. Vor dem Einsatz neuer Analytics-, Marketing-, externer KI-/OCR-, CRM- oder Newsletterdienste wird die Erklärung angepasst und, soweit erforderlich, eine Einwilligung eingeholt.