Datenschutzerklärung

Stand: 17. Oktober 2026 · Fassung 2026-10-17.3 · Gemäß DSGVO und BDSG

1. Verantwortlicher und Kontakt

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Plattform ist Urban Operations (SimplyTax), Güntherstrasse 10, 60528 Frankfurt am Main, E-Mail: support@taxfile24.com. Der Inhaber und weitere Angaben stehen im Impressum. Ein Datenschutzbeauftragter ist nicht benannt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen; Fragen zum Datenschutz richten Sie bitte an die genannte E-Mail-Adresse.

2. Überblick

Wir verarbeiten nur die Daten, die zur Erstellung und Übermittlung Ihrer Einkommensteuererklärung und zum Betrieb des Dienstes nötig sind. Wir setzen keine Analyse-, Werbe- oder Tracking-Dienste ein und betreiben kein Profiling. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung für Sie findet nicht statt (Art. 22 DSGVO).

3. Welche Daten wir verarbeiten und warum

3.1 Konto und Anmeldung

Bei der Registrierung erheben wir Name, E-Mail-Adresse und ein Passwort. Das Passwort speichern wir ausschließlich als bcrypt-Hash; wir sehen es nie im Klartext. Außerdem speichern wir Ihre Spracheinstellung und Ihre Einstellungen zu Erinnerungs-E-Mails. Ihre E-Mail-Adresse bestätigen wir per Bestätigungslink. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Angabe dieser Daten ist für die Nutzung erforderlich.

3.2 Steuerdaten

Alle Daten, die Sie für Ihre Steuererklärung eingeben (Einkünfte, Abzüge, persönliche Angaben) und die daraus berechneten Ergebnisse speichern wir in Ihrem Konto. Sie sind nur in Ihrem Konto sichtbar. Die Datenbank wird vom Hosting-Anbieter auf Speicherebene verschlüsselt, die Übertragung erfolgt per TLS. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für besondere Kategorien siehe 3.3.

3.3 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Ihre Einwilligung

Ihre Steuererklärung kann Angaben enthalten, die besonders geschützt sind, zum Beispiel zur Religionszugehörigkeit und zur Kirchensteuer sowie zu Krankheits-, Pflege- und Behinderungsaufwendungen. Diese Angaben sind freiwillig, aber ohne sie lässt sich die Erklärung gegebenenfalls nicht vollständig erstellen. Wir verarbeiten sie ausschließlich zur Erstellung und Übermittlung Ihrer Steuererklärung und nur auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO).

Die Anwendung holt diese Einwilligung einmalig ein, bevor Daten geladen oder eingegeben werden. Wir speichern sie mit Zeitpunkt, Sprache und Fassung dieser Datenschutzerklärung (Nachweis nach Art. 7 Abs. 1 DSGVO). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Ihr Konto in der Anwendung löschen oder uns an support@taxfile24.com schreiben. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Ohne Einwilligung kann die Anwendung nicht genutzt werden.

3.4 Hochgeladene Belege

Dokumente, die Sie hochladen (zum Beispiel Lohnsteuerbescheinigungen), liegen in einem privaten, zugriffsgeschützten Speicher. Der Abruf erfolgt nur über kurzlebige, signierte Links. Sie werden gelöscht, wenn Sie Ihr Konto löschen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für besondere Kategorien Ihre Einwilligung (3.3).

3.5 KI-gestützte Belegerkennung (Anthropic)

Wenn Sie eine Lohnsteuerbescheinigung zur automatischen Erkennung hochladen, wird ihr Inhalt zu diesem alleinigen Zweck an unseren Dienstleister Anthropic (USA) übermittelt, damit die enthaltenen Werte in die passenden Felder übernommen werden können. Lohnsteuerbescheinigungen enthalten auch Angaben zur Religionszugehörigkeit. Deshalb holen wir vor jedem Hochladen Ihre ausdrückliche Bestätigung ein; Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO). Die Nutzung ist freiwillig; Sie können alle Werte jederzeit stattdessen manuell eintragen, ohne dass etwas an Anthropic übermittelt wird.

Für die Übermittlung in die USA stützen wir uns auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) als Teil unseres Auftragsverarbeitungsvertrags mit Anthropic. Nach den vertraglichen Bedingungen werden die Inhalte nur zur Verarbeitung Ihrer Anfrage genutzt, nicht zum Training von KI-Modellen verwendet und nach der dort genannten kurzen Frist gelöscht. Details dazu stehen in der Datenschutzerklärung von Anthropic.

3.6 ELSTER-Zertifikat und Zertifikats-PIN

Für die Übermittlung an das Finanzamt laden Sie Ihr persönliches ELSTER-Zertifikat (Zertifikatsdatei) hoch und geben Ihre Zertifikats-PIN ein. Was wir damit tun:

• Zertifikatsdatei: Wir speichern sie verschlüsselt (AES-256-GCM). Zusätzlich speichern wir den Dateinamen, den Namen des Zertifikatsinhabers, das Ablaufdatum und den Zeitpunkt des Hochladens, damit wir Ihnen den Status anzeigen können.
• Zertifikats-PIN: Wir speichern sie nicht, auch nicht verschlüsselt. Sie wird nur einmalig beim Hochladen im Arbeitsspeicher verwendet, um zu prüfen, ob Datei und PIN zusammenpassen, und danach verworfen. Für jede Übermittlung geben Sie die PIN neu ein; sie wird nur für diese Übermittlung im Arbeitsspeicher genutzt.
• Kurzzeitige Kopie bei der Übermittlung: Für die Dauer einer Übermittlung legen wir eine entschlüsselte Kopie der Zertifikatsdatei in einem nur für den Server lesbaren, temporären Speicher ab, weil die ELSTER-Schnittstelle sie als Datei benötigt, und löschen sie unmittelbar nach der Übermittlung.
• Zweck: ausschließlich die von Ihnen ausgelöste Übermittlung Ihrer Steuererklärung in Ihrem Namen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Löschung: Sie können das Zertifikat jederzeit in der Anwendung entfernen; mit der Löschung Ihres Kontos wird es ebenfalls gelöscht. Ohne Zertifikat können wir Ihre Erklärung nicht übermitteln.

3.7 Übermittlung an die Finanzverwaltung

Wenn Sie Ihre Steuererklärung übermitteln, geben wir die Daten auf Ihre Veranlassung über die ELSTER-Schnittstelle (ERiC) an die zuständige Finanzbehörde weiter. Die Übermittlung erfolgt mit Ihrem eigenen Zertifikat. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für besondere Kategorien Ihre Einwilligung (3.3). Ab dem Eingang bei der Finanzverwaltung gelten deren Datenschutzbestimmungen; Änderungen an übermittelten Daten sind danach nur noch über das Finanzamt möglich. Die Steuerverwaltung weist auf Folgendes hin:

„Mit dieser Software werden personenbezogene Daten im Sinne des Art. 4 Nr. 1 Datenschutzgrundverordnung (DSGVO) und Art. 9 Abs. 1 DSGVO zum Zwecke der Verarbeitung erhoben. Neben den reinen Daten, die zur Steuerveranlagung benötigt werden, erhebt die Software Daten über die Art des Betriebssystems des Nutzers und übermittelt diese an die Finanzverwaltung. Diese Daten werden benötigt, um die ordnungsgemäße Verarbeitung der Daten sicherzustellen und Fehlern im Verarbeitungsprozess vorzubeugen. Die Nutzung der Daten erfolgt im Rahmen des Art. 6 Abs. 1 UAbs. 1 Buchst. e i. V. m. Abs. 3 UAbs. 1 Buchst. b DSGVO i. V. m. bundes- bzw. landesgesetzlicher Steuergesetze durch die Finanzverwaltung und nur für den genannten Zweck.“

Die ELSTER-Schnittstelle läuft bei uns auf dem Server; die Angabe zum Betriebssystem betrifft deshalb unser Serversystem, nicht Ihr Gerät. Allgemeine Informationen der Steuerverwaltung nach Art. 12 bis 14 DSGVO: Informationen der Steuerverwaltung zu Art. 12 bis 14 DSGVO.

Nachweis der Übermittlung. Zu jeder Übermittlung speichern wir einen Nachweis: Zeitpunkt, Steuerjahr, Prüfsummen, Rückmeldung der Finanzverwaltung (Transferticket) und eine Kopie der freigegebenen Daten. Er dient dem Nachweis, welche Daten in Ihrem Auftrag übermittelt wurden, und der Abwehr von Ansprüchen (Art. 6 Abs. 1 lit. f DSGVO). Er bleibt auch bei Löschung Ihres Kontos bis zum Ablauf der Frist in Abschnitt 5 erhalten.

3.8 Zahlung

Sie zahlen über PayPal oder per Karte über Stripe. Wir übermitteln dem Zahlungsdienstleister die für die Zahlung erforderlichen Daten (Betrag, Währung, Bestellkennung) und erhalten die Bestätigung über den Zahlungseingang, aber keine Kartennummer und keine Kontodaten. Wir speichern Bestell- bzw. Sitzungskennung, Betrag, Währung, Status und Zeitpunkt. PayPal und Stripe verarbeiten Ihre Zahlungsdaten als eigenständig Verantwortliche nach ihren Datenschutzerklärungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Aufbewahrung der Belege: Art. 6 Abs. 1 lit. c DSGVO.

3.9 Bestellung, Einwilligungsnachweis und Bestätigungs-E-Mail

Bei jeder Bestellung protokollieren wir Ihre beiden Bestätigungen (Annahme der AGB und Verlangen des sofortigen Beginns der Leistung) mit Zeitpunkt, Sprache, Zahlungsart und der Fassung der Texte. So können wir nachweisen, dass Sie ordnungsgemäß belehrt wurden (Art. 6 Abs. 1 lit. c und f DSGVO). Nach der Zahlung senden wir Ihnen die Bestellbestätigung mit Vertragsinhalt, Widerrufsbelehrung und Muster-Widerrufsformular per E-Mail (Art. 6 Abs. 1 lit. b und c DSGVO).

3.10 Widerruf

Erklären Sie über die Schaltfläche „Vertrag widerrufen“ einen Widerruf, verarbeiten wir die dafür nötigen Daten: Name, E-Mail-Adresse, Steuerjahr, Bestellreferenz, Anmerkung, den Zeitpunkt des Eingangs, die zugeordneten Zahlungen und den Bearbeitungsstatus. Wir bestätigen den Eingang per E-Mail mit Inhalt, Datum und Uhrzeit und benachrichtigen uns selbst, um den Widerruf zu bearbeiten und zu erstatten. Erklären Sie den Widerruf angemeldet, sperren wir die noch nicht übermittelte Erklärung. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b, c und f DSGVO.

3.11 E-Mails

Wir senden Ihnen E-Mails, die für den Dienst notwendig sind: Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Sicherheitshinweise (zum Beispiel bei Datenexport oder Kontolöschung), Bestellbestätigung, Eingangsbestätigung eines Widerrufs und, sofern Sie sie nicht abgeschaltet haben, Erinnerungen zu bezahlten, noch nicht übermittelten Erklärungen. Wir versenden keine Newsletter und keine Werbung. Versanddienstleister ist Brevo (Frankreich), mit dem wir einen Auftragsverarbeitungsvertrag haben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.12 Anfragen an den Support

Wenn Sie uns an support@taxfile24.com schreiben, verarbeiten wir Ihre Nachricht und Ihre E-Mail-Adresse, um Ihr Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b und f DSGVO). Das Postfach wird bei einem E-Mail-Anbieter betrieben, mit dem ein Auftragsverarbeitungsvertrag besteht.

3.13 Sicherheits- und Nachweisprotokoll, Server-Protokolle

In unserer Datenbank protokollieren wir sicherheits- und nachweisrelevante Ereignisse mit Zeitpunkt, aber ohne IP-Adresse: Registrierung, Anmeldung, Änderung der E-Mail-Adresse, Zurücksetzen des Passworts, Zahlungen, Übermittlungen, Einwilligungen, Widerrufe, Exporte und Löschanträge (Art. 6 Abs. 1 lit. f DSGVO: Sicherheit und Nachweis). Die Server unserer Hosting-Anbieter erfassen beim Aufruf technische Daten (IP-Adresse, Zeitstempel, aufgerufene Adresse, Statuscode), um den Betrieb zu sichern und Missbrauch abzuwehren (Art. 6 Abs. 1 lit. f DSGVO).

4. Empfänger und Übermittlung in Drittländer

Wir setzen die folgenden Dienstleister ein. Mit Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO; sie handeln nur nach unserer Weisung.

Auch bei Standardvertragsklauseln lässt sich nicht ausschließen, dass Behörden in den USA Auskunftsersuchen an einen Dienstleister richten und so auf personenbezogene Daten zugreifen können. Die Schwelle dafür ist in den USA niedriger als in der EU, und Ihre Rechte gegenüber diesen Behörden lassen sich dort unter Umständen schwerer durchsetzen.

5. Speicherdauer

Gesetzliche Aufbewahrungspflichten und die Abwehr von Rechtsansprüchen (Art. 17 Abs. 3 DSGVO) können eine frühere Löschung ausschließen.

6. Cookies und lokale Speicherung

Wir verwenden keine Tracking- und keine Werbe-Cookies. Wir speichern nur, was für den Dienst technisch notwendig ist oder von Ihnen ausdrücklich gewünscht wird. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG; die weitere Verarbeitung beruht auf Art. 6 Abs. 1 lit. b und f DSGVO.

Weitere Schlüssel mit dem Präfix „klarsteuer-“ (Konten, Daten, Sitzung) werden nur im lokalen Testmodus ohne Serververbindung verwendet; in der Produktivversion legt die Anwendung darin nichts ab.

7. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte, die Sie an support@taxfile24.com richten können:

• Auskunft (Art. 15) und Datenübertragbarkeit (Art. 20): Sie können Ihre Daten in der Anwendung selbst exportieren.
• Berichtigung (Art. 16): Bis zur Übermittlung ändern Sie Ihre Angaben selbst. Danach sind Änderungen nur über das Finanzamt möglich.
• Löschung (Art. 17) und Einschränkung (Art. 18), soweit keine Aufbewahrungspflicht entgegensteht (Abschnitt 5).
• Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage berechtigter Interessen.
• Widerruf von Einwilligungen (Art. 7 Abs. 3) jederzeit mit Wirkung für die Zukunft.
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77), zum Beispiel beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit (datenschutz.hessen.de).

Die Bereitstellung Ihrer Daten ist für die Erstellung der Steuererklärung erforderlich; ohne sie ist die Nutzung nur eingeschränkt oder nicht möglich.

8. Konto löschen und Daten exportieren

In der Anwendung können Sie jederzeit Ihre Daten exportieren und Ihr Konto löschen (jeweils nach erneuter Eingabe Ihres Passworts). Bei der Löschung entfernen wir Ihr Konto, Ihre Steuererklärungen, hochgeladene Belege und Ihr ELSTER-Zertifikat. Es bleiben nur die in Abschnitt 5 genannten Nachweise bis zum Ablauf ihrer Fristen, ohne Zuordnung zu Ihrem Konto, soweit nicht ausdrücklich anders angegeben.

9. Sicherheit

Die Übertragung ist TLS-verschlüsselt. Passwörter werden nur als Hash gespeichert. Das ELSTER-Zertifikat wird zusätzlich mit AES-256-GCM verschlüsselt, die PIN nie gespeichert. Belege liegen in einem privaten Speicher mit kurzlebigen Links. Jedes Konto sieht nur seine eigenen Daten. Sicherheitsrelevante Ereignisse werden protokolliert, und Sie werden bei Datenexport und Kontolöschung per E-Mail benachrichtigt.

10. Minderjährige

SimplyTax richtet sich an Personen ab 18 Jahren.

11. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unsere Dienste oder die Rechtslage ändern. Die aktuelle Fassung steht stets unter dieser Adresse. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail.

Privacy Policy

As of 17 October 2026 · version 2026-10-17.3 · under GDPR and the Federal Data Protection Act

1. Controller and contact

The controller for the processing of personal data on this platform is Urban Operations (SimplyTax), Güntherstrasse 10, 60528 Frankfurt am Main, Germany, e-mail: support@taxfile24.com. The owner and further details are given in the legal notice (Impressum). No data protection officer has been appointed because the legal requirements are not met; please send data protection questions to the e-mail address above.

2. Overview

We process only the data needed to prepare and transmit your income tax return and to run the service. We use no analytics, advertising or tracking services and do no profiling. There is no decision based solely on automated processing with legal effect for you (Art. 22 GDPR).

3. Which data we process and why

3.1 Account and sign-in

When you register we collect name, e-mail address and a password. We store the password only as a bcrypt hash; we never see it in plain text. We also store your language setting and your settings for reminder e-mails. We confirm your e-mail address with a confirmation link. Legal basis: Art. 6(1)(b) GDPR (performance of the contract). Providing this data is required to use the service.

3.2 Tax data

All data you enter for your tax return (income, deductions, personal details) and the results calculated from it are stored in your account. They are visible only in your account. The database is encrypted at storage level by the hosting provider and transmission uses TLS. Legal basis: Art. 6(1)(b) GDPR; for special categories see 3.3.

3.3 Special categories of personal data (Art. 9 GDPR) and your consent

Your tax return can contain particularly protected information, for example on religious affiliation and church tax, and on illness, care and disability expenses. This information is voluntary, but without it the return may not be complete. We process it only to prepare and transmit your tax return and only on the basis of your explicit consent (Art. 6(1)(a) and Art. 9(2)(a) GDPR).

The application asks for this consent once, before any data is loaded or entered. We store it with the time, the language and the version of this privacy policy (proof under Art. 7(1) GDPR). You can withdraw the consent at any time with effect for the future by deleting your account in the application or by writing to support@taxfile24.com. The lawfulness of the processing carried out until then is not affected. Without the consent the application cannot be used.

3.4 Uploaded documents

Documents you upload (for example wage tax certificates) are kept in private, access-protected storage. They are retrieved only through short-lived signed links. They are deleted when you delete your account. Legal basis: Art. 6(1)(b) GDPR, for special categories your consent (3.3).

3.5 AI-assisted document recognition (Anthropic)

If you upload a wage tax certificate for automatic recognition, its content is transmitted for that sole purpose to our service provider Anthropic (USA) so that the values it contains can be entered into the right fields. Wage tax certificates also contain information on religious affiliation. We therefore ask for your explicit confirmation before every upload; the legal basis is your consent (Art. 6(1)(a) and Art. 9(2)(a) GDPR). Use is voluntary; you can enter all values manually instead, without anything being sent to Anthropic.

For the transfer to the USA we rely on standard contractual clauses (Art. 46(2)(c) GDPR) as part of our data processing agreement with Anthropic. Under the contractual terms the content is used only to process your request, is not used to train AI models and is deleted after the short period stated there. Details are in Anthropic’s privacy policy.

3.6 ELSTER certificate and certificate PIN

To transmit to the tax office you upload your personal ELSTER certificate (certificate file) and enter your certificate PIN. What we do with them:

• Certificate file: we store it encrypted (AES-256-GCM). We also store the file name, the name of the certificate holder, the expiry date and the upload time so that we can show you its status.
• Certificate PIN: we do not store it, not even encrypted. It is used once, in memory, when you upload, to check that file and PIN fit together, and is then discarded. You enter the PIN again for every transmission; it is used in memory for that transmission only.
• Short-lived copy during transmission: for the duration of a transmission we place a decrypted copy of the certificate file in temporary storage that only the server can read, because the ELSTER interface needs it as a file, and we delete it immediately after the transmission.
• Purpose: only the transmission of your tax return in your name that you trigger. Legal basis: Art. 6(1)(b) GDPR.
• Deletion: you can remove the certificate in the application at any time; it is also deleted when you delete your account. Without a certificate we cannot transmit your return.

3.7 Transmission to the tax administration

When you transmit your tax return, we pass the data on at your request through the ELSTER interface (ERiC) to the competent tax authority. The transmission uses your own certificate. Legal basis: Art. 6(1)(b) GDPR, for special categories your consent (3.3). From receipt by the tax administration its data protection rules apply; after that, changes to transmitted data are possible only through the tax office. The tax administration gives the following notice (German original on the German version of this page, which prevails):

“This software collects personal data within the meaning of Art. 4(1) and Art. 9(1) of the General Data Protection Regulation (GDPR) for the purpose of processing. Besides the data needed for the tax assessment, the software collects data about the type of operating system of the user and transmits it to the tax administration. This data is needed to ensure proper processing and to prevent errors in the processing. The tax administration uses the data within the scope of Art. 6(1) first subparagraph point (e) in conjunction with Art. 6(3) first subparagraph point (b) GDPR and federal or state tax laws, and only for the stated purpose. (Official notice of the tax administration, reproduced in German on the German version of this page, which prevails.)”

The ELSTER interface runs on our server; the information on the operating system therefore concerns our server system, not your device. General information from the tax administration under Art. 12 to 14 GDPR: Tax administration information on Art. 12 to 14 GDPR (German).

Proof of transmission. For every transmission we store a record: time, tax year, checksums, the tax administration’s acknowledgement (transfer ticket) and a copy of the approved data. It proves which data were transmitted on your behalf and serves the defence of claims (Art. 6(1)(f) GDPR). It also remains after deletion of your account until the period in section 5 has expired.

3.8 Payment

You pay through PayPal or by card through Stripe. We pass the data needed for the payment (amount, currency, order reference) to the payment provider and receive the confirmation of payment, but no card number and no account data. We store the order or session reference, amount, currency, status and time. PayPal and Stripe process your payment data as independent controllers under their own privacy policies. Legal basis: Art. 6(1)(b) GDPR; retention of records: Art. 6(1)(c) GDPR.

3.9 Order, proof of consent and confirmation e-mail

For every order we log your two confirmations (acceptance of the terms and request for immediate start of the service) with time, language, payment method and the version of the texts. This lets us prove that you were properly informed (Art. 6(1)(c) and (f) GDPR). After payment we send you the order confirmation with contract content, withdrawal notice and model withdrawal form by e-mail (Art. 6(1)(b) and (c) GDPR).

3.10 Withdrawal

If you declare a withdrawal through the “Withdraw contract” button, we process the data needed for it: name, e-mail address, tax year, order reference, comment, the time of receipt, the matched payments and the processing status. We confirm receipt by e-mail with the content, date and time and notify ourselves to process the withdrawal and refund. If you declare the withdrawal while signed in, we block the return that has not yet been transmitted. Legal bases: Art. 6(1)(b), (c) and (f) GDPR.

3.11 E-mails

We send you e-mails that are necessary for the service: confirmation of your e-mail address, password reset, security notices (for example on data export or account deletion), order confirmation, confirmation of receipt of a withdrawal and, unless you switched them off, reminders about paid returns that are not yet transmitted. We send no newsletters and no advertising. The sending provider is Brevo (France), with which we have a data processing agreement. Legal basis: Art. 6(1)(b) GDPR.

3.12 Support requests

If you write to support@taxfile24.com, we process your message and e-mail address to handle your request (Art. 6(1)(b) and (f) GDPR). The mailbox is run by an e-mail provider with which a data processing agreement exists.

3.13 Security and evidence log, server logs

In our database we log security- and evidence-relevant events with the time but without an IP address: registration, sign-in, change of e-mail address, password reset, payments, transmissions, consents, withdrawals, exports and deletion requests (Art. 6(1)(f) GDPR: security and evidence). The servers of our hosting providers record technical data when you access the service (IP address, time stamp, address requested, status code) to secure operation and prevent abuse (Art. 6(1)(f) GDPR).

4. Recipients and transfers to third countries

We use the following service providers. With processors we have contracts under Art. 28 GDPR; they act only on our instructions.

Even with standard contractual clauses it cannot be ruled out that authorities in the USA address information requests to a service provider and thereby gain access to personal data. The threshold for this is lower in the USA than in the EU, and enforcing your rights against those authorities may be harder there.

5. Retention

Statutory retention duties and the defence of legal claims (Art. 17(3) GDPR) can rule out earlier deletion.

6. Cookies and local storage

We use no tracking or advertising cookies. We store only what is technically necessary for the service or expressly requested by you. The legal basis is § 25(2) No. 2 TDDDG; further processing is based on Art. 6(1)(b) and (f) GDPR.

Other keys with the prefix “klarsteuer-” (accounts, data, session) are used only in the local test mode without a server connection; in the production version the application stores nothing in them.

7. Your rights

Under the GDPR you have the following rights, which you can address to support@taxfile24.com:

• Access (Art. 15) and data portability (Art. 20): you can export your data yourself in the application.
• Rectification (Art. 16): until transmission you change your entries yourself. After that, changes are possible only through the tax office.
• Erasure (Art. 17) and restriction (Art. 18), unless a retention duty prevents it (section 5).
• Objection (Art. 21) to processing based on legitimate interests.
• Withdrawal of consent (Art. 7(3)) at any time with effect for the future.
• Complaint to a data protection supervisory authority (Art. 77), for example the Hessian Commissioner for Data Protection and Freedom of Information (datenschutz.hessen.de).

Providing your data is necessary to prepare the tax return; without it use is limited or not possible.

8. Deleting your account and exporting your data

In the application you can export your data and delete your account at any time (each after re-entering your password). On deletion we remove your account, your tax returns, uploaded documents and your ELSTER certificate. Only the records named in section 5 remain until their periods expire, without link to your account unless stated otherwise.

9. Security

Transmission is TLS-encrypted. Passwords are stored only as hashes. The ELSTER certificate is additionally encrypted with AES-256-GCM, the PIN is never stored. Documents are in private storage with short-lived links. Each account sees only its own data. Security-relevant events are logged, and you are notified by e-mail of data export and account deletion.

10. Minors

SimplyTax is intended for persons aged 18 or over.

11. Changes to this policy

We adapt this policy when our services or the legal situation change. The current version is always available at this address. For material changes we inform registered users by e-mail.