Fragen zum Datenschutz

Hier steht, was du in Nemix ERP selbst zu deinen Daten tun kannst: Auskunft herunterladen, Einwilligungen setzen, dein Konto anonymisieren lassen, fremde Sitzungen beenden und das Protokoll einsehen. Die Funktionen liegen auf fünf verschiedenen Seiten, die alle über die Adresszeile oder die Befehlspalette erreichbar sind.

Die Menüeinträge „Datenschutz (DSGVO)" und „Audit-Log" in der Einstellungen-Übersicht sind für Administratoren markiert.

Eigene Daten herunterladen

1. Öffne die Einstellungen und dort in der Gruppe „Sicherheit" den Eintrag „Datenschutz (DSGVO)".
2. Klick im Abschnitt „Meine Daten" bei „Datenexport anfordern" auf „ZIP herunterladen".
3. Warte kurz. Es erscheint „Datenexport wird vorbereitet…".

Geklappt hat es, wenn „Datenexport heruntergeladen" erscheint und die Datei im Download-Ordner liegt.

Trotz der Beschriftung „ZIP herunterladen" bekommst du eine JSON-Datei mit dem festen Namen dsgvo-export.json. Darin stehen dein Nutzerprofil, das Einwilligungsprotokoll und bis zu 5000 Audit-Zeilen deines eigenen Nutzers. Als Verantwortlicher ist „AiNemix UG (haftungsbeschränkt)" hinterlegt, als Datenschutzkontakt datenschutz@ainemix.com.

Enthält die Datei das Feld mode: 'demo' und leere Listen, war die Datenbank nicht erreichbar. Das ist keine gültige Auskunft. Fordere den Export dann später erneut an.

Auf der zweiten Seite unter /privacy verspricht die Karte „Datenexport herunterladen" ein ZIP mit JSON und CSV. Der Knopf „Export starten" verlangt Admin-Rechte. Ohne diese Rolle antwortet er mit 403.

Einwilligungen ändern

1. Öffne Einstellungen, dann „Datenschutz (DSGVO)".
2. Leg im Abschnitt „Einwilligungen" den Schalter neben der gewünschten Zeile um.

Geklappt hat es, wenn unter dem Schalter „Zuletzt geändert: " mit Datum und Uhrzeit steht.

Einen Speichern-Knopf gibt es nicht, die Änderung geht sofort raus. Der Bestätigungs-Hinweis nennt den technischen Schlüssel statt der Beschriftung, also etwa Einwilligung "ai_training" erteilt. Dieser Hinweis erscheint, ohne dass die Antwort des Servers geprüft wird. Verlass dich deshalb auf die Zeile „Zuletzt geändert: ", nicht auf den Hinweis.

Der Cookie-Banner heißt „Cookies & Datenschutz" und hat die Knöpfe „Details", „Auswahl speichern", „Alle ablehnen" und „Alle akzeptieren". Seine Kategorien heißen „Notwendig" (fest an), „Analytics" und „Marketing". Deine Wahl wird im Browser gespeichert und zusätzlich an den Server gemeldet. Die Datenschutzerklärung sagt an anderer Stelle, Nemix setze ausschließlich technisch notwendige Cookies und ein Einwilligungsbanner sei nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich. Der Banner erscheint trotzdem auf jeder Seite.

Konto löschen lassen

1. Öffne Einstellungen, dann „Datenschutz (DSGVO)".
2. Klick im Abschnitt „Meine Daten" auf „Konto löschen". Daneben steht „Anonymisierung mit 30-Tage-Grace-Period (DSGVO Art. 17)".
3. Lies den Text im Dialog: „Dein Konto wird anonymisiert. Nach 30 Tagen werden alle personenbezogenen Daten endgültig gelöscht. Buchhaltungsrelevante Einträge bleiben aus gesetzlichen Gründen (GoBD) maskiert erhalten."
4. Trag dein Passwort in das Feld „Passwort zur Bestätigung" ein.
5. Klick auf „Endgültig löschen". Mit „Abbrechen" brichst du ab.

Geklappt hat es, wenn die Meldung das Datum der endgültigen Löschung nennt.

Dein Konto ist danach sofort anonymisiert. Die E-Mail wird zu deleted-<userId>@anonymized.invalid, der Name zu „Gelöschter Nutzer", der Passwort-Hash wird entfernt. Zeilen werden dabei nicht physisch entfernt. Sie bekommen einen Löschzeitpunkt und ihre personenbezogenen Spalten werden geleert. Die endgültige Entfernung nach der 30-Tage-Frist ist im Programm als offene Aufgabe der Datenbankbetreuung vermerkt.

Daten eines Kunden oder Kontakts löschen

Diese Aufgabe setzt die Rolle admin voraus.

1. Ruf /privacy auf und wähl den Reiter „Daten löschen".
2. Wähl unter „Typ" zwischen „Kunde", „Kontakt" und „Mitarbeiter:in".
3. Trag die UUID in das Feld „ID" ein.
4. Trag unter „Begründung (wird im Audit-Log gespeichert)" mindestens 3 Zeichen ein.
5. Klick auf „Löschung einleiten…".
6. Tipp im Bestätigungsdialog das Wort LÖSCHEN ein und klick auf „Jetzt löschen".

Geklappt hat es, wenn die Quittung die Anzahl der Datensätze und den Audit-Hash nennt.

Bei Kunden werden diese Spalten geleert: name, email, phone, company, address, tags, notes, iban, tax_id, sensitive_data. Die Quittung nennt außerdem den Prüfwert des Exports, eine Nachweis-Kennung und die Tabellen ohne Mandantentrennung, in denen nicht gelöscht wurde. Mehr als 3 Löschungen je Stunde und Mandant lehnt das Programm mit „Rate limit exceeded" ab. Die Wartezeit steht in der Antwort.

Fremde Sitzungen beenden

1. Öffne /settings/security.
2. Scroll zur Karte „Aktive Sitzungen". Darunter steht „Geräte und Browser, die aktuell mit deinem Account angemeldet sind."
3. Klick in der Zeile der fremden Sitzung auf „Beenden".
4. Oder klick oben rechts auf „Alle anderen beenden". Dieser Knopf erscheint erst ab zwei Sitzungen.

Geklappt hat es, wenn die Zeile verschwindet und „Sitzung beendet" beziehungsweise „Alle anderen Sitzungen beendet" erscheint.

Die Spalten heißen „Gerät", „Browser", „Region", „Letzte Aktivität" und „Aktion". Unter „Region" steht die rohe IP-Adresse, nicht ein Ort. Deine eigene Sitzung trägt das Kennzeichen „Aktuell" und hat keinen Beenden-Knopf. Ist in der Liste keine Zeile als „Aktuell" markiert, konnte das Programm deine Sitzung nicht auflösen. „Alle anderen beenden" meldet dich in diesem Fall auch selbst ab.

Die Karte „Login-Historie" verspricht „Anmeldeversuche der letzten 30 Tage." Gezeigt werden aber nur erfolgreiche Anmeldungen, höchstens 200 Einträge, und der Status steht immer auf Erfolg. Ein fehlgeschlagener Anmeldeversuch taucht dort nie auf.

Zweiter Faktor

Der zweite Faktor lässt sich im aktuellen Stand nicht einrichten. Die Karte „Zwei-Faktor-Authentifizierung" auf /settings/security zeigt drei Zustände: „Aktiv", „Nicht aktiv" und unbekannt. Solange der Zustand unbekannt ist, bleibt der Einrichten-Knopf aus. Alle zugehörigen Aufrufe antworten mit „2FA backend not wired". Auch der eingeblendete QR-Code ist ein Platzhalter und nicht scannbar. Vorgesehen sind 10 Wiederherstellungscodes, jeder genau einmal nutzbar, als Datei nemix-2fa-recovery-codes.txt.

Was du tun kannst, wenn du bereits Codes hast, steht unter 2FA-Recovery.

Für das Passwort gilt: mindestens 12 Zeichen mit Zahl und Sonderzeichen. Geprüft wird schon während der Eingabe, der Speichern-Knopf bleibt bis dahin gesperrt.

Protokoll ansehen und ausleiten

1. Öffne /settings/security und klick in der Karte „Audit-Log" auf „Audit-Log öffnen". Die Seite „KI-Audit-Log" zeigt die letzten 50 Einträge.
2. Für Zeitraum und Ausleitung ruf stattdessen /audit auf.
3. Setz dort die Filter „Von" und „Bis".
4. Klick auf „CSV-Export (IDEA)".

Geklappt hat es, wenn eine CSV mit den Spalten timestamp, tenant, user, action, entity, entity_id, diff_summary, hmac im Download-Ordner liegt.

Beide Seiten setzen mindestens die Rolle admin voraus. Bleibt die Liste auf /settings/audit leer und es kommt keine Meldung, fehlt dir die Rolle. Fehlende Rechte sehen dort aus wie „keine Einträge". Die Filter „Status" und „Bestaetigt" auf dieser Seite bewirken nichts, weil die Seite beide Werte fest setzt. Der Filter „Mandant" auf /audit wird ebenfalls nicht ausgewertet, der Abfragebereich ist immer dein eigener Mandant. Die CSV beginnt mit einem BOM und nutzt CRLF als Zeilenende.

Die Hashkette prüfst du so:

1. Ruf /audit auf.
2. Klick in der Karte „Kettenintegrität" auf „Integritätscheck".

Geklappt hat es, wenn in der Karte „Intakt" mit der Zahl der geprüften Einträge steht. Meldet sie stattdessen einen Bruch mit Index und Grund, ist eine Zeile nachträglich verändert worden. Das ist nicht selbst lösbar und gehört an den Betreiber. Fehlt der Signierschlüssel in der Umgebung, verweigert die Prüfung die Arbeit, statt fälschlich „in Ordnung" zu melden.

Der ähnlich benannte Knopf „Integrität prüfen (Admin)" auf der Datenschutz-Seite führt ins Leere. Er ruft einen Pfad, den es nicht gibt. Benutz die Karte auf /audit.

Wer deine Daten mitverarbeitet

Der Abschnitt „Datenverarbeitung" auf der Datenschutz-Seite zeigt je Dienstleister Name, Land, Zweck und Rechtsgrundlage.

Übermittlungen in die USA laufen laut Datenschutzerklärung über Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Zum Speicherort gibt es zwei Angaben: Das Verarbeitungsverzeichnis nennt Hostinger in Litauen, die Beschreibung der Produktionsumgebung nennt AWS in eu-central-1 mit Sicherung nach eu-north-1 in Stockholm. Welche davon für deinen Mandanten gilt, geht aus dem Programm nicht hervor. Frag im Zweifel beim Datenschutzkontakt nach.

Weitere Fristen aus dem Programm: Anmelde-Sitzungen 30 Tage, KI-Aktions-Protokoll 3650 Tage, Kundendaten 3650 Tage mit IBAN als verschlüsseltem Feld. Laut Datenschutzerklärung bleiben Stammdaten bis 3 Jahre nach Vertragsende, Kundendaten sowie IBAN, USt-ID und Audit-Log je 10 Jahre.

Als technische Maßnahmen nennt die Datenschutzerklärung AES-256-GCM für IBAN und USt-ID mit einem eigenen Schlüssel je Mandant, TLS 1.3, eine HMAC-SHA256-Hashkette für das Audit-Log, tägliche verschlüsselte Sicherungen und Rechteverwaltung nach Rollen. Der Schlüssel je Mandant wird aus einem Hauptschlüssel abgeleitet, es liegt kein eigenes Geheimnis je Mandant.

Wie lange Belege liegen bleiben müssen

Das Fristende ist immer der 31.12. des Startjahres plus die Jahre aus der Tabelle (§ 147 Abs. 4 AO). Die vier Zustände am Beleg heißen unbefristet, laufend, bald (Ende in höchstens 365 Tagen) und abgelaufen. Ein unbefristeter Vertrag ohne Enddatum bekommt bewusst kein Aufbewahrungsende und wird nie zum Löschen vorgeschlagen. Eine Hemmung der Frist bei laufender Prüfung oder Einspruch wird nicht berechnet. Das musst du selbst im Blick behalten. Mehr dazu steht unter Dokumente und DMS.

Die GoBD-Verfahrensdokumentation liegt unter /settings/compliance/verfahrensdoku. Der Knopf dort heißt „PDF generieren & herunterladen".

Wofür die KI deine Eingaben nutzt und wie du das Kontingent siehst, steht unter KI.