Datenschutzerklärung
Parsurai („wir“) betreibt die API und das Dashboard unter parsurai.com. Diese Erklärung beschreibt, welche Daten wir erheben, warum wir sie erheben und welche Rechte Sie haben.
Zuletzt aktualisiert: 21. September 2026
Owner-approved wording. Externe anwaltliche Prüfung wurde nicht durchgeführt; eine externe rechtliche Prüfung bleibt vor wesentlicher Enterprise-Nutzung, erheblicher Skalierung oder einem materiellen Streit empfohlen.
Welche Daten wir erheben
Wir erheben: (a) Kontodaten — E-Mail, gehashter API-Key-Präfix, Stripe-Kundenkennung, gehashte E-Mail-Bestätigungs-Token mit Ablauf- und Verwendungszeitpunkten und ausgehende Webhook-Konfigurationen (URLs, Beschreibungen und verschlüsselte Geheimnisse); (b) Rechnungsinhalte — von Ihnen übermittelte Texte, Dateien oder URLs. An die Extraktions-API gesendete Inhalte werden transient verarbeitet und nicht über den Request hinaus gespeichert, sofern Sie nicht ausdrücklich Rechnungshistorie aktivieren; Dokumente aus Kreditoren-Workflows werden für den Aufbewahrungszeitraum Ihres Tarifs gespeichert, siehe Abschnitt Aufbewahrung; (c) Nutzungsmetadaten — Zeitstempel, Endpunkt, Statuscode, Plan-Tier und Protokolle ausgehender Webhooks (Zustellungsstatus, Antwortcodes, Latenz); (d) Cookies und lokaler Speicher — ausschließlich technisch notwendige Sitzungs-, Sicherheits- und Oberflächen-Einstellungswerte, vollständig aufgeführt in der Cookie-Erklärung.
Rechtsgrundlagen der Verarbeitung
Die Kontoerstellung, Dokumentenextraktion und Abonnementverwaltung erfolgen zur Erfüllung unseres Vertrags mit Ihnen, Art. 6 Abs. 1 lit. b DSGVO. Die Aufbewahrung von Abrechnungsunterlagen für gesetzliche Steuerfristen beruht auf unserer rechtlichen Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO. Die Servicesicherheit, Missbrauchsverhinderung, Ratenbegrenzung und Fehlerdiagnose beruhen auf unserem berechtigten Interesse an einem zuverlässigen und sicheren Betrieb, Art. 6 Abs. 1 lit. f DSGVO. Soweit Parsurai personenbezogene Daten Dritter in vom Kunden übermittelten Dokumenten ausschließlich zur Erbringung der beauftragten Extraktions- und Workflow-Dienste verarbeitet, handelt der Kunde als Verantwortlicher und Parsurai als Auftragsverarbeiter; diese Verarbeitung richtet sich nach der einbezogenen Vereinbarung über die Auftragsverarbeitung (AVV).
Erforderlichkeit der Bereitstellung
Die Angabe einer E-Mail-Adresse und eines Passworts ist im Sinne des Art. 13 Abs. 2 lit. e DSGVO für den Vertrag erforderlich: Ohne sie kann kein Konto angelegt und der Vertrag nicht erfüllt werden. Für ein kostenpflichtiges Abonnement benötigen wir zusätzlich Ihren Firmennamen, einen Ansprechpartner, eine geschäftliche E-Mail-Adresse und Ihre Postanschrift — vertraglich erforderlich und für die von uns ausgestellten Rechnungen zugleich gesetzlich nach § 14 UStG; ohne diese Angaben kommt kein kostenpflichtiges Abonnement zustande. Die Inhalte der von Ihnen übermittelten Dokumente stellen Sie freiwillig bereit, Sie entscheiden über den Upload; ohne sie kann die Extraktion jedoch nicht erbracht werden. Eine gesetzliche Pflicht, uns Daten bereitzustellen, besteht nicht; die einzige Folge einer Nichtbereitstellung ist, dass der betreffende Teil des Dienstes nicht genutzt werden kann.
Wie wir die Daten nutzen
Wir nutzen eigene Konten-, Vertrags-, Abrechnungs-, Sicherheits- und Nutzungsdaten zur Bereitstellung und Absicherung des Dienstes. Personenbezogene Daten in Kundendokumenten verarbeiten wir ausschließlich zur Erbringung der vom Kunden beauftragten Funktionen und nach dessen dokumentierten Weisungen. Wir verkaufen keine personenbezogenen Daten und verwenden Kunden-Rechnungsinhalte nicht zum kundenübergreifenden Modelltraining.
Automatisierte Entscheidungsfindung
Eine automatisierte Entscheidungsfindung einschließlich Profiling, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet im Sinne des Art. 22 Abs. 1 DSGVO nicht statt. Unsere Modelle extrahieren, klassifizieren und trennen Dokumentinhalte und weisen auf Auffälligkeiten hin; jede Ausgabe erhält einen Konfidenzwert, bleibt bearbeitbar und wird vor der Verwendung von Ihnen oder Ihrem Team geprüft. Entscheidungen über Ihr Konto, Ihren Preis oder Ihre Berechtigung trifft kein Modell. Die automatisierte Missbrauchsabwehr (Cloudflare Turnstile, Ratenbegrenzung) kann eine einzelne Anfrage an die öffentliche Demo oder die API blockieren; darüber wird nichts zu Ihrem Vertrag entschieden. Wird eine Anfrage zu Unrecht blockiert, erreichen Sie uns unter contact@parsurai.com.
Drittlandübermittlungen
Einige Unterauftragsverarbeiter verarbeiten Daten außerhalb der EU/des EWR. Die nach Art. 46 DSGVO herangezogene Übermittlungsgarantie ist je Anbieter in der Tabelle der Auftragsverarbeiter auf dieser Seite und auf unserer Seite zu Unterauftragsverarbeitern angegeben. Wird eine Garantie als „steht noch aus" ausgewiesen, wurde sie mit dem betreffenden Anbieter noch nicht vereinbart und befindet sich weiterhin in rechtlicher Prüfung.
Empfänger
Wenn Sie die öffentliche Demo nutzen, erhält Cloudflare Turnstile Ihre IP- und Browserdaten zur Verifikation. Dokumente, die Sie an einen Kreditoren-Workflow übermitteln, werden in unserem Auftrag von Cloudflare R2 gespeichert. Fehlerereignisse aus dem Backend werden zur Fehlerüberwachung an Sentry übermittelt. Wir teilen Ihre Dokumente weder mit Identitätsanbietern noch mit Turnstile.
Aufbewahrung
Kontodaten: Laufzeit des Kontos plus 30 Tage nach Kündigung. An die Extraktions-API übermittelte Rechnungsinhalte: transient verarbeitet und nach der Extraktion verworfen, sofern Rechnungshistorie nicht aktiviert ist. Dokumente aus Kreditoren-Workflows: das von Ihnen hochgeladene Ausgangsdokument sowie die daraus erzeugten Artefakte werden in einem Objektspeicher abgelegt und für den Aufbewahrungszeitraum Ihres Tarifs vorgehalten — 0 Tage bei Free, Hobby und Starter, 30 Tage bei Pro, 90 Tage bei Business — und danach gelöscht. Webhook-Zustellungsprotokolle: aufbewahrt gemäß Ihren Plan-Limits (30 Tage für Pro, 90 Tage für Business) und automatisch bereinigt. Getrennt davon speichern wir folgende betrieblichen und infrastrukturellen Aufzeichnungen, unabhängig von den oben genannten Konto-, Vertrags-, Rechnungs- und gesetzlichen Aufbewahrungsfristen: Anwendungs- und Betriebsprotokolle für bis zu 7 Tage; Fehlerüberwachungsdaten für bis zu 30 Tage; E-Mail-Zustellungsprotokolle für bis zu 30 Tage; sowie Datenbank-Point-in-Time-Recovery-Verlauf für bis zu 6 Stunden. Wir können diese betrieblichen Aufzeichnungen früher löschen, wenn sie für die oben genannten Zwecke nicht mehr erforderlich sind, und können sie verlängern, soweit dies zur Erfüllung einer gesetzlichen Verpflichtung, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, zur Untersuchung von Sicherheitsvorfällen, zur Betrugsprävention oder für einen anderen rechtmäßigen Zweck erforderlich ist. Nachweis erteilter Zustimmungen nach Kontolöschung: Wenn Sie Ihr Konto löschen, löschen wir Ihre Kontodaten wie oben beschrieben. Davon ausgenommen ist ein eng begrenzter Nachweis darüber, dass Sie die zur Nutzung erforderlichen Rechtsdokumente akzeptiert haben. Aufbewahrt wird je ursprünglicher Zustimmung genau ein Datensatz, der ausschließlich Folgendes enthält: eine interne Kontokennung, die Art des Dokuments (Nutzungsbedingungen, Datenschutzerklärung, B2B-Bestätigung oder AVV), dessen Version, den Zeitpunkt Ihrer Zustimmung sowie das Ablaufdatum dieser Aufbewahrung. Nicht aufbewahrt werden Ihr Name, Ihre E-Mail-Adresse, Rechnungsinhalte oder sonstige Kontodaten. Rechtsgrundlage ist Art. 17 Abs. 3 lit. e DSGVO (Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen); die Dauer orientiert sich an der regelmäßigen Verjährungsfrist der §§ 195, 199 Abs. 1 BGB, die mit dem Schluss des Jahres beginnt, in dem der Anspruch entstanden ist. Die Aufbewahrung endet mit Ablauf des 31. Dezember des dritten Kalenderjahres nach der Löschung des Kontos. Nach Ablauf dieser Frist wird auch dieser Nachweis gelöscht.
Ihre Rechte (DSGVO)
Sie können Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch verlangen. E-Mail: contact@parsurai.com. Wir antworten innerhalb von 30 Tagen. Sie haben zudem das Recht, sich bei einer Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Zur Löschung siehe die im Abschnitt „Aufbewahrung" beschriebene eng begrenzte Ausnahme für den Nachweis erteilter Zustimmungen.
Datenschutzbeauftragter
Wir haben keinen Datenschutzbeauftragten benannt. Die Voraussetzungen des Art. 37 Abs. 1 DSGVO sind nicht erfüllt — unsere Kerntätigkeit besteht weder in einer umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen noch in einer umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten — und der Schwellenwert des § 38 Abs. 1 BDSG von mindestens 20 ständig mit der automatisierten Verarbeitung beschäftigten Personen wird nicht erreicht. Die Prüfung ist dokumentiert und wird bei jeder Änderung der Verarbeitung wiederholt. Datenschutzanfragen richten Sie bitte unmittelbar an den Verantwortlichen: contact@parsurai.com.
Kontakt
Verantwortlicher: Dr. Sadjad Sadeghi, handelnd unter JadayLix Studio, Schieferkamp 41, 30455 Hannover, Deutschland. E-Mail: contact@parsurai.com. Fragen zu dieser Datenschutzerklärung, Ihren Rechten oder sonstigen Datenschutzthemen richten Sie an diese E-Mail-Adresse.
Auftragsverarbeiter
Wir setzen die folgenden Anbieter ein, die personenbezogene Daten in unserem Auftrag nach Art. 28 DSGVO verarbeiten. Diese Liste wird aus derselben Quelle erzeugt wie unsere Seite zu Unterauftragsverarbeitern, sodass beide keine unterschiedlichen Anbieter nennen können.
| Anbieter | Zweck | Verarbeitungsort | Übermittlungsgarantie (Art. 46) | Auftragsverarbeitungsvertrag (Art. 28) |
|---|---|---|---|---|
| OpenAI | LLM extraction, classification and anomaly detection | United States | EU Standard Contractual Clauses (2021/914) via the OpenAI DPA | unterzeichnet |
| Mistral | OCR and bounding-box extraction | EU (eu-west-3) | Not applicable — EU processing | unterzeichnet |
| Railway | Application hosting (api, worker, publisher) | EU | Not applicable — EU processing | unterzeichnet |
| Neon | PostgreSQL database hosting | EU (Frankfurt, eu-central-1) | Not applicable — EU processing | unterzeichnet |
| Vercel | Frontend hosting | EU (fra1) | Not applicable — EU processing | unterzeichnet |
| Upstash | Rate limiting and task broker | EU (eu-west-1) | Not applicable — EU processing | unterzeichnet |
| Resend | Transactional email | United States | EU Standard Contractual Clauses (2021/914) via the Resend DPA | unterzeichnet |
| Stripe | Subscription billing | United States | EU-U.S. Data Privacy Framework (certified), with EU Standard Contractual Clauses (2021/914) incorporated as fallback via Stripe's Data Transfers Addendum | unterzeichnet |
| Cloudflare | Abuse prevention (Turnstile) and object storage (R2) for workflow documents | United States | EU Standard Contractual Clauses (2021/914) via the Cloudflare Customer DPA | unterzeichnet |
| Sentry | Backend error monitoring (send_default_pii disabled) | EU (Frankfurt) event storage, with some US-based subprocessors (Twilio/SendGrid, Intercom) | EU-U.S. Data Privacy Framework (Sentry certified), with EU Standard Contractual Clauses (2021/914) incorporated as fallback via Sentry's DPA — also covers onward transfers to Sentry's non-EU subprocessors (Twilio/SendGrid, Intercom) despite EU-region event storage | unterzeichnet |