Datenschutzerklärung

Stand: 12. Oktober 2026

Das Wichtigste in Kürze

• Diese Website setzt keine Cookies, nutzt kein Tracking und lädt keine Schriften und keine Skripte von fremden Servern.
• Die Website merkt sich Sprache und Hell oder Dunkel nur, wenn Sie diese selbst wählen. Die App unter /app speichert Arbeitsstände, Lizenz, Profil und Mandantenliste in Ihrem Browser. Diese Angaben verlassen Ihr Gerät nicht.
• Die App unter /app rechnet in Ihrem Browser. Ihre Buchhaltungsdaten werden nicht an uns übertragen.
• Personenbezogene Daten verarbeiten wir nur beim Aufruf der Seite (Server-Logfiles), bei einer Bestellung und wenn Sie uns über das Kontaktformular oder per E-Mail schreiben.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist Loris Mähr, handelnd für die in Gründung befindliche maehrsteuern UG (haftungsbeschränkt), Krumme Gasse 71, 99330 Geratal OT Gossel, Deutschland. Kontakt: [email protected] oder über das Kontaktformular. Weitere Angaben stehen im Impressum.

2. Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten benannt, weil dazu keine Pflicht besteht (Art. 37 DSGVO, § 38 BDSG). Bei Fragen zum Datenschutz wenden Sie sich an die oben genannte Adresse.

3. Hosting, E-Mail und Server-Logfiles

Diese Website und das Formular-Skript liegen beim Hoster GoDaddy (GoDaddy.com, LLC und verbundene Unternehmen der GoDaddy-Gruppe, USA). Die Namensauflösung (DNS) der Domain maehr-bs.de und die Weiterleitung eingehender E-Mails an unser Postfach übernimmt Cloudflare (Cloudflare, Inc., USA); das Postfach selbst liegt bei Google (Gmail, Google LLC, USA). Nachrichten aus den Formularen versenden wir über den E-Mail-Dienst Brevo (Sendinblue GmbH, Berlin) oder über den Mailserver von GoDaddy. Beim Aufruf einer Seite verarbeitet der Server technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge sowie Browser-Kennung und Herkunftsseite. Zweck ist die Auslieferung der Seite, die Stabilität und die Abwehr von Angriffen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und zuverlässige Betrieb der Website.
• Auftragsverarbeitung: GoDaddy, Cloudflare und Brevo verarbeiten die Daten in unserem Auftrag nach Art. 28 DSGVO auf Grundlage ihrer Auftragsverarbeitungsverträge (Data Processing Addendum), die Bestandteil der jeweiligen Vertragsbedingungen sind. Google verarbeitet E-Mails in unserem Postfach nach den Nutzungs- und Datenschutzbestimmungen von Google.
• Drittlandübermittlung: Da GoDaddy, Cloudflare und Google ihren Sitz in den USA haben, kann eine Übermittlung in ein Drittland stattfinden. Sie stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist, und im Übrigen auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
• Speicherdauer: Die Logfiles löscht der Hoster nach seinen Vorgaben automatisch; Cloudflare speichert weitergeleitete E-Mails nicht dauerhaft; wir selbst werten sie nicht aus und führen sie nicht mit anderen Daten zusammen.
• Wir setzen keine Analyse- oder Statistikdienste ein.

4. Speicherung im Browser (Website und App)

Website. Die Website (Startseite, Impressum, Datenschutz, AGB) legt im lokalen Speicher (localStorage) Ihres Browsers nur dann etwas ab, wenn Sie es selbst auslösen: die Sprache, wenn Sie die Sprachwahl benutzen, und das Farbschema, wenn Sie zwischen Hell und Dunkel wechseln. Ohne diese Handlung bleibt der Speicher leer. Eine Vorauswahl nach Ihrer Browsersprache oder über einen Adressparameter (?sprache=) gilt nur für die aktuelle Ansicht und wird nicht gespeichert.

App unter /app. Die App liegt auf demselben Ursprung wie die Website und speichert in Ihrem Browser, damit Ihre Arbeit erhalten bleibt. Im localStorage und in der Browser-Datenbank IndexedDB liegen, nach Kategorien:

• Arbeitsstände und Eingaben der Module (zum Beispiel Salden, Anlagen, Rückstellungen),
• die Liste Ihrer Mandanten (Gesellschaften) und Ihr Profil (Zuschnitt der App),
• Ihr Lizenzschlüssel,
• importierte Rohdateien wie Exporte und Belege (IndexedDB),
• Einstellungen der Oberfläche (zum Beispiel Ansicht, auf- und zugeklappte Bereiche, zuletzt genutzte Apps, bereits gesehene Hinweise, Ton),
• die Einrichtung der Ablage, falls Sie die Ablage am Server einrichten (das Zugangstoken liegt nur im Sitzungsspeicher und endet mit dem Fenster),
• ein Merker, falls Sie den Hinweis „Zum Startbildschirm hinzufügen“ ablehnen.

Diese Daten verlassen Ihr Gerät nicht, und wir haben keinen Zugriff darauf. Ausnahmen sind nur die Funktionen, die Sie ausdrücklich einrichten und freigeben (Abschnitt 7).

Service Worker und Cache Storage. Beim Aufruf von /app/ registriert Ihr Browser einen Service Worker (sw.js), nicht erst bei einer Installation als Web-App. Er legt im Cache Storage Ihres Browsers Programmdateien der App ab, damit sie auch ohne Netz startet, außerdem die Startseite, Schriften, Symbole und Bilder sowie die von Ihnen besuchten Seiten dieser Website. Das sind öffentliche Programm- und Seitendateien, keine Ihrer Daten.

Rechtsgrundlage und Löschen. Das Speichern und Auslesen auf Ihrem Endgerät ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, weil es unbedingt erforderlich ist, damit wir den von Ihnen ausdrücklich gewünschten Dienst bereitstellen können: die Seite in Ihrer gewählten Sprache und Darstellung sowie die App mit Ihrem Arbeitsstand, Ihrer Lizenz und dem Betrieb ohne Netz. Die Daten verlassen Ihr Gerät nicht. Deshalb gibt es keinen Cookie- oder Einwilligungsbanner. Soweit dabei personenbezogene Daten verarbeitet werden, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Sie können alles jederzeit in den Browsereinstellungen löschen (Websitedaten von maehr-bs.de); gelöschte Arbeitsstände lassen sich nicht wiederherstellen.

5. Bestellformular

Wenn Sie über das Formular auf der Startseite bestellen, verarbeiten wir folgende Angaben:

• Ihre Auswahl: Stufe, Anzahl der Gesellschaften, KI-Zusatz (solange er noch nicht freigeschaltet ist, als Vormerkung) und Zahlweise,
• Angaben zu Ihrem Unternehmen und zu Ihnen: Firma, Rechtsform, Ansprechpartner, E-Mail-Adresse, Anschrift (Straße und Hausnummer, Postleitzahl, Ort, Land) und, falls angegeben, USt-IdNr.,
• Ihre Nachricht, falls Sie eine schreiben, und die Sprache der Seite,
• Ihre Bestätigungen (Bestellung als Unternehmer nach § 14 BGB mit Sitz in Deutschland; AGB und Datenschutzhinweise gelesen) mit dem Zeitpunkt des Eingangs,
• im weiteren Verlauf: Rechnungen (Nummer, Datum, Zeitraum, Beträge, Zahlungseingang), die ausgestellten Lizenzschlüssel, die Rechnungsanschrift sowie ein Bearbeitungsverlauf und interne Notizen.

Das Formular sendet Ihre Angaben verschlüsselt an ein Skript auf unserem Webserver. Das Skript prüft die Angaben und leitet sie als E-Mail an unser Postfach weiter; es speichert die Inhalte nicht. Zur Begrenzung von Massenanfragen verarbeitet das Skript Ihre IP-Adresse (Schutz vor Missbrauch, höchstens fünf Anfragen je IP-Adresse und Stunde). Dabei wird nur ein mit einem geheimen Zufallswert gebildeter Hashwert der IP-Adresse zusammen mit dem Zeitpunkt abgelegt und nach spätestens einer Stunde gelöscht; die IP-Adresse selbst wird nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Ist das Skript nicht erreichbar, öffnet sich Ihr eigenes E-Mail-Programm mit einer vorbereiteten E-Mail mit denselben Angaben; erst wenn Sie diese absenden, erreicht uns die Bestellung.

• Zweck: Prüfung der Bestellung, Rechnungsstellung, Versand des Lizenzschlüssels, Betreuung während der Laufzeit, Erfüllung gesetzlicher Aufbewahrungspflichten und Schutz des Formulars vor Missbrauch.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und Vertragsdurchführung), für Ansprechpartner Ihres Unternehmens ergänzend lit. f. Für die Aufbewahrung von Rechnungen und Buchungsbelegen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO, § 257 HGB und § 14b UStG. Für die Mengenbegrenzung über die IP-Adresse Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).
• Empfänger: GoDaddy (Formular-Skript), Brevo oder GoDaddy (Versand der E-Mail), Cloudflare (Weiterleitung) und Google (Postfach), siehe Abschnitt 3. Die Rechnungserstellung und Lizenzverwaltung erledigen wir mit einem eigenen Programm auf unserem Rechner, das nicht öffentlich erreichbar ist. Eine Weitergabe an weitere Dritte findet nicht statt, abgesehen von Steuerberatung und Buchhaltung, soweit gesetzlich nötig.
• Aufbewahrung: Rechnungen und Buchungsbelege bewahren wir aufgrund gesetzlicher Pflichten nach § 147 AO, § 257 HGB und § 14b UStG acht Jahren lang auf (Buchungsbelege seit 2025), Handels- und Geschäftsbriefe sechs Jahre. Die übrigen Vertrags- und Kontaktdaten speichern wir nach Vertragsende bis zum Ablauf der regelmäßigen Verjährungsfrist von drei Jahren (§ 195 BGB) zum Jahresende. Angaben zu Bestellungen, aus denen kein Vertrag wird, löschen wir nach sechs Monaten.
• Bereitstellung: Für die Bestellung sind Firma, Rechtsform, Ansprechpartner, E-Mail-Adresse und Anschrift sowie die beiden Bestätigungen erforderlich. Ohne sie können wir den Vertrag nicht abschließen. Der bloße Besuch der Website verlangt keine Angaben.

Auf der Danke-Seite nach der Bestellung werden nur die Angaben aus der Adresszeile (Sprache, Stufe, Weg der Bestellung) im Browser angezeigt. Es werden dabei keine personenbezogenen Daten gespeichert oder übertragen.

6. Kontaktformular und E-Mail

Wenn Sie uns über das Kontaktformular oder an [email protected] schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, den Inhalt der Nachricht und Ihre Bestätigung, die Datenschutzhinweise gelesen zu haben, um Ihr Anliegen zu bearbeiten. Das Kontaktformular nutzt dasselbe Skript wie das Bestellformular (Abschnitt 5, einschließlich der Mengenbegrenzung über die IP-Adresse). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag geht, sonst lit. f DSGVO. Wir löschen die Nachricht, wenn das Anliegen erledigt ist, spätestens nach sechs Monaten, soweit keine Aufbewahrungsfrist entgegensteht.

7. Die App unter /app

Die MAEHR BUSINESS SUITE läuft im Browser auf Ihrem Gerät. Salden, Belege und Ergebnisse werden dort verarbeitet und nicht an uns übertragen. Wir haben keinen Zugriff darauf. Was die App dafür in Ihrem Browser speichert, einschließlich der Programmdateien im Cache Storage, beschreibt Abschnitt 4.

Zwei Funktionen sollen künftig Daten übertragen, und zwar nur, wenn Sie sie ausdrücklich einrichten und freigeben: die Ablage am Server und der KI-Zusatz (Belegerfassung und Bescheidprüfung). Der KI-Zusatz ist noch nicht freigeschaltet: Vor der Freischaltung werden keine Daten an KI-Anbieter übermittelt. Mit der Freischaltung informieren wir Sie über Anbieter und Standort (vorgesehen sind Server in Deutschland oder der EU), schließen einen eigenen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO und ergänzen diese Erklärung. Eine Verarbeitung zum Training von KI-Modellen mit Ihren Daten findet nicht statt.

8. Ihre Rechte

Sie haben gegenüber uns folgende Rechte, soweit die gesetzlichen Voraussetzungen vorliegen:

• Auskunft über Ihre Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Mitteilung an Empfänger über Berichtigung, Löschung oder Einschränkung (Art. 19 DSGVO),
• Herausgabe Ihrer Daten in einem gängigen Format (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).

Widerspruchsrecht nach Art. 21 DSGVO: Wenn wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Schreiben Sie dazu an [email protected].

Beschwerde: Sie können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren. Zuständig für uns ist der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI), Häßlerstraße 8, 99096 Erfurt.

9. Automatisierte Entscheidungen und Pflicht zur Bereitstellung

Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen, und betreiben kein Profiling (Art. 22 DSGVO). Zur Bereitstellung personenbezogener Daten sind Sie nur verpflichtet, soweit Sie bestellen oder uns kontaktieren wollen (siehe Abschnitte 5 und 6).

10. Änderungen

Wir passen diese Erklärung an, wenn sich die Website, die Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.

Privacy notice

As of: 12 October 2026

The German version is legally binding. This English version is provided for convenience.

In brief

• This website sets no cookies, uses no tracking and loads no fonts or scripts from third-party servers.
• The website remembers your language and light or dark mode only if you choose them yourself. The app at /app stores working data, licence, profile and client list in your browser. This information does not leave your device.
• The app at /app runs in your browser. Your accounting data is not transmitted to us.
• We process personal data only when you open the site (server log files), when you place an order and when you write to us through the contact form or by email.

1. Controller

The controller for data processing on this website is Loris Mähr, acting on behalf of maehrsteuern UG (haftungsbeschränkt), currently being formed, Krumme Gasse 71, 99330 Geratal OT Gossel, Germany. Contact: [email protected] or the contact form. Further details are in the legal notice.

2. Data protection officer

We have not appointed a data protection officer because there is no obligation to do so (Art. 37 GDPR, sec. 38 BDSG). For data protection questions please use the address above.

3. Hosting, email and server log files

This website and the form script are hosted by GoDaddy (GoDaddy.com, LLC and affiliated companies of the GoDaddy group, USA). Name resolution (DNS) for the domain maehr-bs.de and the forwarding of incoming emails to our mailbox are handled by Cloudflare (Cloudflare, Inc., USA); the mailbox itself is provided by Google (Gmail, Google LLC, USA). We send messages from the forms through the email service Brevo (Sendinblue GmbH, Berlin) or through GoDaddy's mail server. When a page is requested, the server processes technically necessary connection data: IP address, date and time, requested address, status code, amount of data transferred, browser identifier and referring page. The purpose is to deliver the page, keep it stable and fend off attacks.

• Legal basis: Art. 6(1)(f) GDPR. Our legitimate interest is the secure and reliable operation of the website.
• Processing on our behalf: GoDaddy, Cloudflare and Brevo process the data on our behalf under Art. 28 GDPR on the basis of their data processing addenda, which form part of their respective terms. Google processes emails in our mailbox under Google's terms of service and privacy policy.
• Transfer to third countries: As GoDaddy, Cloudflare and Google are based in the USA, data may be transferred to a third country. This relies on the adequacy decision for the EU-US Data Privacy Framework where the recipient is certified under it, and otherwise on the European Commission's standard contractual clauses (Art. 46(2)(c) GDPR).
• Retention: the hosting provider deletes log files automatically according to its own rules; Cloudflare does not store forwarded emails permanently; we do not analyse the log files ourselves and do not combine them with other data.
• We do not use analytics or statistics services.

4. Browser storage (website and app)

Website. The website (home page, legal notice, privacy notice, terms) stores something in your browser's local storage (localStorage) only if you trigger it yourself: the language when you use the language selector, and the colour scheme when you switch between light and dark. Without such an action the storage stays empty. A preselection based on your browser language or an address parameter (?sprache=) applies to the current view only and is not stored.

App at /app. The app is served from the same origin as the website and stores data in your browser so that your work is kept. localStorage and the browser database IndexedDB hold, by category:

• working data and entries of the modules (for example balances, fixed assets, provisions),
• the list of your clients (legal entities) and your profile (how the app is tailored),
• your licence key,
• imported raw files such as exports and vouchers (IndexedDB),
• interface settings (for example view, expanded and collapsed areas, recently used apps, notices already seen, sound),
• the storage set-up, if you set up storage on a server (the access token is kept only in session storage and ends with the window),
• a marker if you decline the prompt “Add to home screen”.

This data does not leave your device, and we have no access to it. The only exceptions are the functions you expressly set up and approve (section 7).

Service worker and cache storage. When you open /app/, your browser registers a service worker (sw.js), not only when you install the app as a web app. It stores program files of the app in your browser's cache storage so that the app starts without a network, together with the home page, fonts, icons and images and the pages of this website you have visited. These are public program and page files, not your data.

Legal basis and deletion. Storing and reading information on your end device is permitted without consent under sec. 25(2) no. 2 TDDDG because it is strictly necessary for us to provide the service you expressly requested: the site in your chosen language and appearance, and the app with your working data, your licence and operation without a network. The data does not leave your device. For this reason there is no cookie or consent banner. Where personal data is processed in this context, the legal basis is Art. 6(1)(f) GDPR. You can delete everything at any time in your browser settings (site data of maehr-bs.de); deleted working data cannot be restored.

5. Order form

When you order through the form on the home page, we process the following details:

• your selection: tier, number of legal entities, AI add-on (as a pre-registration for as long as it is not yet activated) and payment interval,
• details about your company and yourself: company, legal form, contact person, email address, address (street and house number, postcode, town, country) and, if given, VAT ID,
• your message, if you write one, and the language of the page,
• your confirmations (ordering as a business under sec. 14 BGB with its registered office in Germany; terms and privacy notice read) with the time of receipt,
• in the course of the contract: invoices (number, date, period, amounts, receipt of payment), the licence keys issued, the billing address, as well as a processing history and internal notes.

The form sends your details in encrypted form to a script on our web server. The script checks the details and forwards them by email to our mailbox; it does not store the content. To limit mass requests the script processes your IP address (protection against misuse, at most five requests per IP address per hour). Only a hash of the IP address formed with a secret random value is stored together with the time and deleted after one hour at the latest; the IP address itself is not stored. The legal basis is Art. 6(1)(f) GDPR. If the script cannot be reached, your own email program opens with a prepared email containing the same details; the order reaches us only once you send it.

• Purpose: reviewing the order, invoicing, sending the licence key, support during the term, meeting statutory retention duties and protecting the form against misuse.
• Legal basis: Art. 6(1)(b) GDPR (pre-contractual steps and performance of the contract); for contact persons at your company additionally point (f). For retaining invoices and accounting records Art. 6(1)(c) GDPR in conjunction with sec. 147 AO, sec. 257 HGB and sec. 14b UStG. For limiting the number of requests via the IP address Art. 6(1)(f) GDPR (protection against misuse).
• Recipients: GoDaddy (form script), Brevo or GoDaddy (sending the email), Cloudflare (forwarding) and Google (mailbox), see section 3. We prepare invoices and manage licences with our own program on our computer, which is not publicly accessible. We do not pass data on to other third parties, except to tax advisers and accountants where legally required.
• Retention: we keep invoices and accounting records for eight years because of statutory duties under sec. 147 AO, sec. 257 HGB and sec. 14b UStG (accounting records since 2025), commercial and business letters for six years. We keep the remaining contract and contact details after the end of the contract until the regular limitation period of three years (sec. 195 BGB) has expired at the end of the year. Details of orders that do not lead to a contract are deleted after six months.
• Provision of data: company, legal form, contact person, email address and address as well as the two confirmations are required to order. Without them we cannot conclude the contract. Merely visiting the website requires no details.

On the thank-you page after ordering, only the details from the address line (language, tier, ordering route) are shown in your browser. No personal data is stored or transmitted in the process.

6. Contact form and email

When you write to us through the contact form or to [email protected], we process your name, your email address, the content of your message and your confirmation that you have read the privacy notice in order to handle your request. The contact form uses the same script as the order form (section 5, including the limit via the IP address). The legal basis is Art. 6(1)(b) GDPR where a contract is concerned, otherwise point (f). We delete the message once the matter is settled, at the latest after six months, unless a retention period applies.

7. The app at /app

The MAEHR BUSINESS SUITE runs in the browser on your device. Balances, vouchers and results are processed there and are not transmitted to us. We have no access to them. What the app stores in your browser for this purpose, including the program files in cache storage, is described in section 4.

Two functions are intended to transmit data in future, and only if you expressly set them up and approve them: storage on a server and the AI add-on (document capture and tax assessment check). The AI add-on has not been activated yet: before activation no data is transmitted to AI providers. On activation we will inform you about the provider and location (servers in Germany or the EU are planned), conclude a separate data processing agreement under Art. 28 GDPR and update this notice. Your data is not used to train AI models.

8. Your rights

You have the following rights against us, provided the legal requirements are met:

• access to your data (Art. 15 GDPR),
• rectification of inaccurate data (Art. 16 GDPR),
• erasure (Art. 17 GDPR),
• restriction of processing (Art. 18 GDPR),
• notification of recipients about rectification, erasure or restriction (Art. 19 GDPR),
• receiving your data in a common format (Art. 20 GDPR),
• objection to processing (Art. 21 GDPR).

Right to object under Art. 21 GDPR: Where we process data on the basis of legitimate interests (Art. 6(1)(f) GDPR), you may object at any time on grounds relating to your particular situation. Write to [email protected].

Complaint: You may lodge a complaint with a data protection supervisory authority under Art. 77 GDPR. The authority competent for us is the Thuringian State Commissioner for Data Protection and Freedom of Information (TLfDI), Häßlerstraße 8, 99096 Erfurt, Germany.

9. Automated decisions and obligation to provide data

We make no decisions based solely on automated processing and do not carry out profiling (Art. 22 GDPR). You are obliged to provide personal data only if you want to order or contact us (see sections 5 and 6).

10. Changes

We will update this notice when the website, the services or the law change. The version published here applies.