Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 der Datenschutz-Grundverordnung (DSGVO) und im Sinne von Art. 5 lit. j des schweizerischen Bundesgesetzes über den Datenschutz (DSG) ist die

Vareon Global Limited 24a Baggot Street Upper Dublin 4, D04 N528 Irland

Eingetragen beim Companies Registration Office, Nr. 827285 Director: Pascal Marcel Kalweit E-Mail: support@fiscanto.com

(nachfolgend „Vareon“, „wir“ oder „uns“). Fiscanto ist ein Angebot der Vareon.

Anfragen zum Datenschutz richten Sie bitte per E-Mail an support@fiscanto.com oder postalisch an die oben genannte Anschrift mit dem Zusatz „Datenschutz“.

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht benannt. Die Voraussetzungen, unter denen nach Art. 37 Abs. 1 DSGVO ein Datenschutzbeauftragter zu benennen ist, liegen nach unserer Prüfung nicht vor. Ansprechpartner in Datenschutzfragen ist die in Abschnitt 1 genannte Stelle.

3. Geltungsbereich

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten

• beim Besuch der Website fiscanto.com (einschliesslich der Weiterleitungen von fiscanto.eu und der www.-Adressen),
• bei der Kontaktaufnahme per E-Mail,
• bei der Anmeldung an der Anwendung Fiscanto unter app.fiscanto.com und deren Unterdomains und
• bei der Registrierung und Teilnahme am Pilotbetrieb von Fiscanto unter test.app.fiscanto.com.

4. Besuch der Website

(1) Die Website fiscanto.com ist statisch aufgebaut. Sie setzt keine Cookies, greift nicht auf Informationen in Ihrem Endgerät zu und verwendet keine Analyse- oder Trackingwerkzeuge. Schriftarten und Bilder werden von unserem eigenen Server ausgeliefert; Inhalte von Drittanbietern werden nicht eingebunden. Die Website enthält keine Formulare.

(2) Um die Seiten an Ihren Browser auszuliefern, muss unser Server Ihre IP-Adresse technisch verarbeiten. Im Zugriffsprotokoll des Servers speichern wir ausschliesslich Datum und Uhrzeit des Abrufs, die aufgerufene Seite ohne Abfrageparameter, den HTTP-Statuscode und die übertragene Datenmenge. Die IP-Adresse, Angaben zu Browser und Betriebssystem (User-Agent) sowie Cookies werden nicht protokolliert.

(3) Zweck des Zugriffsprotokolls ist der technische Betrieb der Website, insbesondere die Fehleranalyse und die Erkennung von Störungen und Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem stabilen und sicheren Betrieb der Website.

(4) Die Protokolleinträge werden nach 14 Tagen gelöscht.

(5) Die Verbindung zur Website ist per TLS verschlüsselt. Die hierfür verwendeten Zertifikate stellt die Zertifizierungsstelle Let’s Encrypt aus; dabei werden keine Daten von Besucherinnen und Besuchern an Let’s Encrypt übermittelt.

5. Kontaktaufnahme per E-Mail

(1) Wenn Sie uns per E-Mail schreiben, zum Beispiel an support@fiscanto.com, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, soweit Sie ihn angeben, den Inhalt Ihrer Nachricht sowie die technischen Angaben der E-Mail (zum Beispiel Datum und Uhrzeit) zur Bearbeitung und Beantwortung Ihrer Anfrage.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen bestehenden Vertrag oder vorvertragliche Massnahmen betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Beantwortung von Anfragen.

(3) Wir speichern Ihre Nachricht und unsere Antwort so lange, wie es für die Bearbeitung Ihrer Anfrage erforderlich ist. Ist die Korrespondenz geschäftsrelevant, bewahren wir sie darüber hinaus für die Dauer der gesetzlichen Aufbewahrungspflichten auf (Art. 6 Abs. 1 lit. c DSGVO).

(4) Unsere E-Mail-Postfächer werden von der Hetzner Online GmbH in Deutschland betrieben (Abschnitt 10).

6. Anwendung Fiscanto

(1) Die Anwendung Fiscanto unter app.fiscanto.com und deren Unterdomains wird von Unternehmen der eigenen Unternehmensgruppe genutzt. Unter test.app.fiscanto.com betreiben wir zudem einen Pilotbetrieb, an dem eingeladene Unternehmen teilnehmen (Abschnitt 7). Eine öffentliche Registrierung ist nicht möglich.

(2) Daten in der Anwendung. Die Daten, die die nutzenden Unternehmen in Fiscanto verarbeiten (zum Beispiel Rechnungen, Kunden- und Lieferantendaten, Belege, Bank- und Buchungsdaten), verarbeitet Vareon im Auftrag und nach Weisung des jeweiligen Unternehmens auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO. Verantwortlich für diese Daten ist das jeweilige Unternehmen. Betroffene Personen wenden sich mit Anliegen zu diesen Daten bitte an das Unternehmen, das Fiscanto einsetzt.

(3) Anmeldung und Sicherheit. Für die Anmeldedaten der Nutzerinnen und Nutzer ist Vareon selbst verantwortlich. Wir verarbeiten hierzu:

• E-Mail-Adresse und Name,
• das Passwort ausschliesslich als Hashwert,
• Angaben zum zweiten Faktor bzw. zu Passkeys sowie Wiederherstellungscodes (nur als Hashwert),
• Sitzungseinträge (Zeitpunkt der Anmeldung und letzten Aktivität, Anmeldeart, IP-Adresse sowie eine aus der Browserkennung abgeleitete Gerätebezeichnung, zum Beispiel „Firefox auf Windows“),
• bekannte Geräte (zufälliger Gerätewert nur als Hashwert, Gerätebezeichnung, Zeitpunkt der ersten und letzten Anmeldung, letzte IP-Adresse),
• sicherheitsrelevante Ereignisse (zum Beispiel Anmeldungen, Änderungen von Rollen und Zugangsfaktoren).

Zweck ist die Bereitstellung eines geschützten Zugangs, die Abwehr unbefugter Zugriffe und die Benachrichtigung bei Anmeldungen von einem neuen Gerät. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren Zugang zur Anwendung. Zugleich erfüllen wir damit unsere Pflichten aus Art. 32 DSGVO (Art. 6 Abs. 1 lit. c DSGVO). Soweit Sie selbst unser Vertragspartner sind, ist Rechtsgrundlage zudem Art. 6 Abs. 1 lit. b DSGVO.

(4) Beendete Sitzungseinträge werden nach 30 Tagen gelöscht, bekannte Geräte nach 400 Tagen ohne Anmeldung. Die Anmeldedaten selbst speichern wir, solange das Benutzerkonto besteht. Sicherheitsrelevante Ereignisse sind Teil des unveränderlichen Ereignisprotokolls der jeweiligen Instanz und werden nach den Regelungen des Vertrags zur Auftragsverarbeitung aufbewahrt.

(5) Systemnachrichten. Für das Zurücksetzen von Passwörtern, für Einladungen, für Sicherheitsbenachrichtigungen und für Mitteilungen zum Pilotbetrieb versendet die Anwendung E-Mails über die Adresse noreply@fiscanto.com. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, im Rahmen eines Vertrags mit Ihnen Art. 6 Abs. 1 lit. b DSGVO.

(6) Cookies in der Anwendung. Die Anwendung setzt ausschliesslich Cookies, die für den von Ihnen genutzten Dienst unbedingt erforderlich sind:

Im Kundenportal, das nutzende Unternehmen ihren Rechnungsempfängern bereitstellen können, werden entsprechend ein Sitzungs-Cookie (8 Stunden) und, bei Auswahl einer Sprache, ein Sprach-Cookie (1 Jahr) gesetzt.

Rechtsgrundlage für das Speichern und Auslesen dieser Cookies ist Regulation 5(5) der European Communities (Electronic Communications Networks and Services) (Privacy and Electronic Communications) Regulations 2011 (S.I. No. 336/2011) bzw. für Nutzerinnen und Nutzer in Deutschland § 25 Abs. 2 Nr. 2 TDDDG. Eine Einwilligung ist hierfür nicht erforderlich. Die weitere Verarbeitung beruht auf Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb der Anwendung).

7. Pilotbetrieb

(1) Unter test.app.fiscanto.com stellen wir Fiscanto eingeladenen Unternehmen im Rahmen eines unentgeltlichen Pilotbetriebs zur Verfügung. Die Registrierung ist nur über einen Einladungslink mit Zugangscode möglich. Die teilnehmenden Unternehmen legen in der Anwendung eigene Firmen an und arbeiten dort mit ihren eigenen Geschäftsdaten.

(2) Registrierung und Pilotvertrag. Bei der Registrierung verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und Ihr Passwort (nur als Hashwert) sowie die Angaben zu dem Unternehmen, für das Sie sich registrieren. Wenn Sie die Pilotbedingungen und den Vertrag zur Auftragsverarbeitung annehmen, speichern wir die angenommene Fassung, den Zeitpunkt der Annahme sowie das Benutzerkonto und die Firma, für die die Annahme erfolgt. Zweck ist die Durchführung des Pilotvertrags, der Nachweis des Vertragsschlusses sowie Mitteilungen zum Pilotbetrieb, zum Beispiel über Änderungen der Bedingungen, eine Verlängerung, das Pilotende oder eine bevorstehende Löschung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst unser Vertragspartner sind; handeln Sie für ein Unternehmen, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Durchführung des Vertrags mit diesem Unternehmen und im Nachweis seines Abschlusses.

(3) Rollenverteilung. Für die Benutzerkonten, Anmelde- und Sicherheitsdaten (Abschnitt 6 Abs. 3) und die Vertragsdaten des Pilots ist Vareon Verantwortlicher. Die Geschäftsdaten, die die teilnehmenden Unternehmen in der Anwendung verarbeiten, verarbeitet Vareon als Auftragsverarbeiter auf Grundlage des Vertrags zur Auftragsverarbeitung, den jedes teilnehmende Unternehmen für den Pilotbetrieb abschliesst (Abschnitt 6 Abs. 2).

(4) E-Mail-Versand im Pilotbetrieb. Teilnehmende Unternehmen können Belege und Mitteilungen an ihre Kunden über die Adresse noreply@fiscanto.com oder über einen eigenen E-Mail-Server versenden. Dieser Versand erfolgt im Auftrag des jeweiligen Unternehmens; verantwortlich ist das Unternehmen.

(5) Speicherdauer. Benutzerkonten speichern wir, solange sie bestehen. Vertragsdaten und Nachweise der Annahme der Pilotbedingungen und des Vertrags zur Auftragsverarbeitung bewahren wir für die Dauer des Pilotbetriebs und danach bis zum Ablauf der Verjährungsfristen für Ansprüche aus dem Pilotvertrag auf.

8. KI-Funktionen über einen eigenen Anbieter des Unternehmens

(1) KI-Funktionen der Anwendung, zum Beispiel das Auslesen von Belegen oder Buchungsvorschläge, stehen nur zur Verfügung, wenn ein nutzendes Unternehmen in der Anwendung einen eigenen API-Schlüssel eines KI-Anbieters hinterlegt; derzeit ist dies die Anthropic PBC, USA. Vareon selbst setzt für die Anwendung keinen KI-Anbieter ein und nutzt Daten nicht zum Training von KI-Modellen.

(2) Hat ein Unternehmen einen solchen Schlüssel hinterlegt, übermittelt die Anwendung bei Nutzung einer KI-Funktion die hierfür erforderlichen Daten, insbesondere Beleginhalte, die personenbezogene Daten enthalten können, im Auftrag des Unternehmens an dessen Zugang beim KI-Anbieter. Das Unternehmen hat mit dem KI-Anbieter einen eigenen Vertrag; Vareon ist nicht Vertragspartner des KI-Anbieters. Die Verarbeitung beim KI-Anbieter erfolgt nicht ausschliesslich in der Europäischen Union.

(3) Verantwortlich für diese Übermittlung und für die Verarbeitung beim KI-Anbieter ist das Unternehmen, das den Schlüssel hinterlegt hat. Informationen hierzu, einschliesslich der Garantien für die Übermittlung in die USA, erhalten betroffene Personen von diesem Unternehmen.

(4) KI-Funktionen liefern ausschliesslich Vorschläge, die von den Nutzerinnen und Nutzern geprüft werden. Sie treffen keine Entscheidungen.

9. Hosting, Datensicherung und Domains

(1) Website, Anwendung und Datenbanken werden auf einem dedizierten Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, im Rechenzentrum Helsinki (Finnland, Europäische Union) betrieben. Der Pilotbetrieb läuft auf demselben Server als eigene Instanz mit eigener Datenbank. Die Festplatten des Servers sind verschlüsselt.

(2) Wir sichern die Daten der Anwendung täglich. Die Sicherungen werden verschlüsselt auf dem Server für 14 Tage und in einem Speicher der Hetzner Online GmbH im Rechenzentrum Falkenstein (Deutschland) aufbewahrt; dort werden die täglichen Stände 30 Tage und die monatlichen Stände 3 Monate aufbewahrt. Für die Instanz der Unternehmensgruppe besteht zusätzlich eine fortlaufende verschlüsselte Datenbanksicherung, die nach fünf wöchentlichen Vollsicherungen überschrieben wird. Daten, die im laufenden Bestand gelöscht wurden, sind damit spätestens nach vier Monaten auch aus den Sicherungen entfernt.

(3) Die Namensauflösung (DNS) für unsere Domains erfolgt ebenfalls bei der Hetzner Online GmbH. Registriert sind die Domains bei der INWX in Berlin; INWX übernimmt nur die Domainverwaltung und erhält keine Daten von Besucherinnen und Besuchern.

(4) Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (stabiler und sicherer Betrieb) sowie Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 32 DSGVO.

10. Empfänger

(1) Innerhalb von Vareon erhalten nur die Personen Zugriff auf personenbezogene Daten, die sie zur Erfüllung ihrer Aufgaben benötigen.

(2) Als Auftragsverarbeiter setzen wir die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, ein: für den Server (Rechenzentrum Helsinki, Finnland), die Datensicherung (Rechenzentrum Falkenstein, Deutschland), das DNS sowie die E-Mail-Postfächer und den E-Mail-Versand über noreply@fiscanto.com (Deutschland).

(3) Dienste, die ein nutzendes Unternehmen selbst einbindet, etwa einen KI-Anbieter (Abschnitt 8) oder einen eigenen E-Mail-Server, erhalten Daten im Auftrag und in der Verantwortung dieses Unternehmens.

(4) Darüber hinaus geben wir personenbezogene Daten nur weiter, soweit wir hierzu gesetzlich verpflichtet sind, etwa gegenüber Behörden, oder soweit dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, etwa gegenüber unseren zur Verschwiegenheit verpflichteten rechtlichen oder steuerlichen Beratern (Art. 6 Abs. 1 lit. c bzw. lit. f DSGVO).

11. Übermittlung in Drittländer

Vareon übermittelt keine personenbezogenen Daten in Länder ausserhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Bindet ein nutzendes Unternehmen einen KI-Anbieter mit Sitz in den USA ein (Abschnitt 8), erfolgt die Übermittlung im Auftrag und in der Verantwortung dieses Unternehmens.

12. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

Nach Ablauf der Fristen werden die Daten gelöscht. Ist eine Löschung wegen gesetzlicher Aufbewahrungspflichten ausgeschlossen, wird die Verarbeitung eingeschränkt.

13. Pflicht zur Bereitstellung und automatisierte Entscheidungen

(1) Für den Besuch der Website müssen Sie keine personenbezogenen Daten angeben. Die Bereitstellung Ihrer E-Mail-Adresse ist erforderlich, wenn Sie eine Antwort auf Ihre Anfrage wünschen. Für die Nutzung der Anwendung und die Teilnahme am Pilotbetrieb sind die Anmeldedaten erforderlich; ohne sie ist ein Zugang nicht möglich. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht.

(2) Eine ausschliesslich automatisierte Entscheidung im Einzelfall einschliesslich Profiling im Sinne von Art. 22 DSGVO bzw. Art. 21 DSG findet nicht statt.

14. Ihre Rechte

(1) Sie haben nach Massgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO).

(2) Widerspruchsrecht (Art. 21 DSGVO). Sie können aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit einer Verarbeitung widersprechen, die auf Art. 6 Abs. 1 lit. f DSGVO beruht. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe für die Verarbeitung nach, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

(3) Zur Ausübung Ihrer Rechte genügt eine Nachricht an die in Abschnitt 1 genannte Stelle. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO); in begründeten Fällen kann sich die Frist um zwei weitere Monate verlängern.

15. Beschwerderecht

(1) Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständige federführende Aufsichtsbehörde für Vareon ist die

Data Protection Commission 21 Fitzwilliam Square South Dublin 2, D02 RD28 Irland www.dataprotection.ie

(2) Sie können sich auch an jede andere Aufsichtsbehörde in der Europäischen Union wenden, insbesondere an die Aufsichtsbehörde in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmasslichen Verstosses.

16. Ergänzende Hinweise für Personen in der Schweiz

(1) Für Bearbeitungen, die sich auf Personen in der Schweiz auswirken, gilt ergänzend das DSG. Vareon bearbeitet Personendaten in der Europäischen Union (Finnland und Deutschland); diese Staaten gewährleisten nach Anhang 1 der Datenschutzverordnung (DSV) einen angemessenen Datenschutz. Für die Bekanntgabe an einen KI-Anbieter, den ein nutzendes Unternehmen einbindet, gilt Abschnitt 8.

(2) Sie haben insbesondere das Recht auf Auskunft (Art. 25 DSG), auf Herausgabe oder Übertragung Ihrer Personendaten (Art. 28 DSG) sowie auf Berichtigung, Löschung und Widerspruch gegen eine Bearbeitung (Art. 32 DSG).

(3) Zuständige Aufsichtsbehörde in der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch.

17. Datensicherheit

Wir treffen technische und organisatorische Massnahmen nach Art. 32 DSGVO bzw. Art. 8 DSG, unter anderem: Transportverschlüsselung (TLS), verschlüsselte Festplatten und verschlüsselte Datensicherungen, Anmeldung mit zweitem Faktor (verpflichtend für Inhaber, Administratoren und Buchhaltung), serverseitige Trennung der Daten der nutzenden Unternehmen, Rollen- und Rechtekonzept, ein unveränderliches Ereignisprotokoll, regelmässige Sicherheitsupdates und Wiederherstellungstests.

18. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitungen oder die Rechtslage ändern. Bevor neue Funktionen der Website oder der Anwendung in Betrieb genommen werden, die weitere Verarbeitungen personenbezogener Daten mit sich bringen, aktualisieren wir diese Datenschutzerklärung. Massgeblich ist die jeweils auf der Website veröffentlichte Fassung.

Stand: 13. Oktober 2026

English version

1. Controller

The controller within the meaning of Art. 4(7) of the General Data Protection Regulation (GDPR) and Art. 5(j) of the Swiss Federal Act on Data Protection (FADP) is

Vareon Global Limited 24a Baggot Street Upper Dublin 4, D04 N528 Ireland

Registered with the Companies Registration Office, no. 827285 Director: Pascal Marcel Kalweit Email: support@fiscanto.com

(“Vareon”, “we” or “us”). Fiscanto is offered by Vareon.

Please send data protection enquiries by email to support@fiscanto.com or by post to the address above, marked “Data Protection”.

2. Data protection officer

We have not designated a data protection officer. Having reviewed the matter, we consider that the conditions under which Art. 37(1) GDPR requires the designation of a data protection officer are not met. Data protection enquiries should be sent to the contact in section 1.

3. Scope

This privacy notice explains how personal data is processed

• when you visit the website fiscanto.com (including the redirects from fiscanto.eu and the www. addresses),
• when you contact us by email,
• when you sign in to the Fiscanto application at app.fiscanto.com and its subdomains, and
• when you register for and take part in the Fiscanto pilot at test.app.fiscanto.com.

4. Website visits

(1) The website fiscanto.com is static. It does not set cookies, does not access information on your device and does not use analytics or tracking tools. Fonts and images are served from our own server; no third-party content is embedded. The website does not contain any forms.

(2) To deliver the pages to your browser, our server has to process your IP address for technical reasons. In the server access log we store only the date and time of the request, the page requested without query parameters, the HTTP status code and the amount of data transferred. The IP address, browser and operating system information (user agent) and cookies are not logged.

(3) The access log serves the technical operation of the website, in particular error analysis and the detection of faults and attacks. The legal basis is Art. 6(1)(f) GDPR; our legitimate interest is the stable and secure operation of the website.

(4) Log entries are deleted after 14 days.

(5) Connections to the website are encrypted using TLS. The certificates used for this are issued by the certificate authority Let’s Encrypt; no visitor data is transmitted to Let’s Encrypt in the process.

5. Contacting us by email

(1) If you email us, for example at support@fiscanto.com, we process your email address, your name where you provide it, the content of your message and the technical details of the email (e.g. date and time) in order to handle and answer your enquiry.

(2) The legal basis is Art. 6(1)(b) GDPR where your enquiry relates to an existing contract or to pre-contractual steps, otherwise Art. 6(1)(f) GDPR; our legitimate interest is answering enquiries.

(3) We keep your message and our reply for as long as necessary to deal with your enquiry. Where the correspondence is business-relevant, we also retain it for the duration of the statutory retention obligations (Art. 6(1)(c) GDPR).

(4) Our mailboxes are operated by Hetzner Online GmbH in Germany (section 10).

6. The Fiscanto application

(1) The Fiscanto application at app.fiscanto.com and its subdomains is used by companies within our own group of companies. In addition, we operate a pilot at test.app.fiscanto.com in which invited businesses take part (section 7). Public registration is not available.

(2) Data in the application. Data that the companies using Fiscanto process in it (e.g. invoices, customer and supplier data, receipts, bank and accounting data) is processed by Vareon on behalf of and on the instructions of the respective company under a data processing agreement pursuant to Art. 28 GDPR. The respective company is the controller of that data. Data subjects should address requests concerning that data to the company using Fiscanto.

(3) Sign-in and security. Vareon is itself the controller of users’ sign-in data. For this purpose we process:

• email address and name,
• the password, stored only as a hash,
• information on the second factor or passkeys and recovery codes (only as a hash),
• session records (time of sign-in and last activity, sign-in method, IP address and a device label derived from the browser identifier, e.g. “Firefox on Windows”),
• known devices (random device value stored only as a hash, device label, time of first and last sign-in, last IP address),
• security-relevant events (e.g. sign-ins, changes to roles and authentication factors).

The purpose is to provide protected access, to prevent unauthorised access and to notify you of sign-ins from a new device. The legal basis is Art. 6(1)(f) GDPR; our legitimate interest is secure access to the application. This also fulfils our obligations under Art. 32 GDPR (Art. 6(1)(c) GDPR). Where you are yourself our contracting party, the legal basis is also Art. 6(1)(b) GDPR.

(4) Ended session records are deleted after 30 days, known devices after 400 days without sign-in. Sign-in data itself is kept for as long as the user account exists. Security-relevant events form part of the immutable event log of the respective instance and are retained in accordance with the data processing agreement.

(5) Service emails. For password resets, invitations, security notifications and notices concerning the pilot the application sends emails from noreply@fiscanto.com. The legal basis is Art. 6(1)(f) GDPR or, within a contract with you, Art. 6(1)(b) GDPR.

(6) Cookies in the application. The application only sets cookies that are strictly necessary for the service you use:

In the customer portal, which companies using Fiscanto can provide to their invoice recipients, a session cookie (8 hours) and, if a language is selected, a language cookie (1 year) are set accordingly.

The legal basis for storing and accessing these cookies is Regulation 5(5) of the European Communities (Electronic Communications Networks and Services) (Privacy and Electronic Communications) Regulations 2011 (S.I. No. 336/2011) and, for users in Germany, section 25(2) no. 2 TDDDG. No consent is required for this. Subsequent processing is based on Art. 6(1)(f) GDPR (secure operation of the application).

7. Pilot

(1) At test.app.fiscanto.com we make Fiscanto available to invited businesses as part of a pilot free of charge. Registration is only possible via an invitation link with an access code. The participating businesses create their own companies in the application and work there with their own business data.

(2) Registration and pilot contract. When you register, we process your name, your email address and your password (only as a hash) as well as the details of the business for which you register. When you accept the pilot terms and the data processing agreement, we store the accepted version, the time of acceptance and the user account and company for which acceptance is given. The purpose is to perform the pilot contract, to evidence its conclusion and to send notices concerning the pilot, for example about changes to the terms, an extension, the end of the pilot or an upcoming deletion. The legal basis is Art. 6(1)(b) GDPR where you are yourself our contracting party; where you act on behalf of a business, the legal basis is Art. 6(1)(f) GDPR; our legitimate interest is performing the contract with that business and evidencing its conclusion.

(3) Allocation of roles. Vareon is the controller of user accounts, sign-in and security data (section 6(3)) and the pilot contract data. Vareon processes the business data that participating businesses process in the application as a processor under the data processing agreement that each participating business concludes for the pilot (section 6(2)).

(4) Sending emails in the pilot. Participating businesses can send documents and messages to their customers via the address noreply@fiscanto.com or via their own email server. Such emails are sent on behalf of the respective business, which is responsible for them.

(5) Retention. We keep user accounts for as long as they exist. We retain contract data and records of acceptance of the pilot terms and the data processing agreement for the duration of the pilot and thereafter until the limitation periods for claims under the pilot contract have expired.

8. AI functions via the business’s own provider

(1) AI functions of the application, for example reading documents or posting suggestions, are only available if a business using the application stores its own API key of an AI provider in the application; currently this is Anthropic PBC, USA. Vareon itself does not use an AI provider for the application and does not use data to train AI models.

(2) Where a business has stored such a key, the application transmits the data required for an AI function when it is used, in particular document content that may contain personal data, on behalf of the business to the business’s account with the AI provider. The business has its own contract with the AI provider; Vareon is not a contracting party of the AI provider. Processing by the AI provider does not take place exclusively in the European Union.

(3) The business that stored the key is responsible for this transmission and for the processing by the AI provider. Data subjects receive information on this, including the safeguards for the transfer to the USA, from that business.

(4) AI functions only provide suggestions, which are reviewed by the users. They do not make decisions.

9. Hosting, backups and domains

(1) The website, the application and the databases run on a dedicated server of Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany, in its Helsinki data centre (Finland, European Union). The pilot runs on the same server as a separate instance with its own database. The server’s disks are encrypted.

(2) We back up the application data daily. The backups are kept in encrypted form on the server for 14 days and in storage provided by Hetzner Online GmbH in its Falkenstein data centre (Germany), where daily snapshots are retained for 30 days and monthly snapshots for 3 months. For the group instance there is in addition a continuous encrypted database backup, which is overwritten after five weekly full backups. Data deleted from the live data is therefore removed from the backups after four months at the latest.

(3) DNS for our domains is also provided by Hetzner Online GmbH. The domains are registered with INWX in Berlin; INWX only manages the domains and does not receive any visitor data.

(4) The legal basis is Art. 6(1)(f) GDPR (stable and secure operation) and Art. 6(1)(c) GDPR in conjunction with Art. 32 GDPR.

10. Recipients

(1) Within Vareon, access to personal data is granted only to persons who need it to perform their tasks.

(2) We use Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany, as a processor for the server (Helsinki data centre, Finland), backups (Falkenstein data centre, Germany), DNS and the email mailboxes and the sending of emails via noreply@fiscanto.com (Germany).

(3) Services that a business using the application integrates itself, such as an AI provider (section 8) or its own email server, receive data on behalf and under the responsibility of that business.

(4) Beyond this, we disclose personal data only where we are legally obliged to do so, e.g. to authorities, or where necessary to establish, exercise or defend legal claims, e.g. to our legal or tax advisers, who are bound by professional secrecy (Art. 6(1)(c) or (f) GDPR).

11. Transfers to third countries

Vareon does not transfer personal data to countries outside the European Union or the European Economic Area. Where a business using the application integrates an AI provider based in the USA (section 8), the transfer takes place on behalf and under the responsibility of that business.

12. Retention

We store personal data only for as long as necessary for the respective purpose or as required by statutory retention obligations:

After these periods have expired, the data is deleted. Where deletion is precluded by statutory retention obligations, processing is restricted.

13. Obligation to provide data and automated decision-making

(1) You do not need to provide any personal data to visit the website. Your email address is required if you would like a reply to your enquiry. Sign-in data is required to use the application and to take part in the pilot; access is not possible without it. There is no statutory obligation to provide data.

(2) No decisions based solely on automated processing, including profiling, within the meaning of Art. 22 GDPR or Art. 21 FADP are made.

14. Your rights

(1) Subject to the statutory conditions, you have the right of access (Art. 15 GDPR), rectification (Art. 16 GDPR), erasure (Art. 17 GDPR), restriction of processing (Art. 18 GDPR) and data portability (Art. 20 GDPR).

(2) Right to object (Art. 21 GDPR). You may object at any time, on grounds relating to your particular situation, to processing based on Art. 6(1)(f) GDPR. We will then no longer process the data unless we demonstrate compelling legitimate grounds for the processing which override your interests, rights and freedoms, or the processing serves the establishment, exercise or defence of legal claims.

(3) To exercise your rights, a message to the contact in section 1 is sufficient. We will respond within one month (Art. 12(3) GDPR); where justified, this period may be extended by two further months.

15. Right to lodge a complaint

(1) You have the right to lodge a complaint with a data protection supervisory authority (Art. 77 GDPR). The lead supervisory authority for Vareon is the

Data Protection Commission 21 Fitzwilliam Square South Dublin 2, D02 RD28 Ireland www.dataprotection.ie

(2) You may also contact any other supervisory authority in the European Union, in particular the authority in the Member State of your habitual residence, place of work or place of the alleged infringement.

16. Additional information for persons in Switzerland

(1) The FADP additionally applies to processing that has an effect on persons in Switzerland. Vareon processes personal data in the European Union (Finland and Germany); according to Annex 1 of the Swiss Data Protection Ordinance (DPO), these countries provide an adequate level of data protection. Section 8 applies to disclosures to an AI provider integrated by a business using the application.

(2) In particular, you have the right of access (Art. 25 FADP), the right to the release or transfer of your personal data (Art. 28 FADP) and the rights to rectification, erasure and to object to processing (Art. 32 FADP).

(3) The competent supervisory authority in Switzerland is the Federal Data Protection and Information Commissioner (FDPIC), Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch.

17. Data security

We implement technical and organisational measures pursuant to Art. 32 GDPR and Art. 8 FADP, including transport encryption (TLS), encrypted disks and encrypted backups, sign-in with a second factor (mandatory for owners, administrators and accounting users), server-side separation of the data of the businesses using the application, a role and permission concept, an immutable event log, regular security updates and restore tests.

18. Changes

We update this privacy notice when processing activities or the legal framework change. Before new features of the website or the application that involve further processing of personal data are put into operation, we will update this privacy notice. The version published on the website applies.

Last updated: 13 October 2026