Datenschutz bei Kundenakten

Diese Hinweise beschreiben die Verarbeitung einer Finanzierungsakte im Startbetrieb von fynbase und die bewusste spätere Übergabe an einen externen Berater.

1. Verantwortlicher im Startbetrieb

Marco Beyfuß
handelnd unter der Geschäftsbezeichnung fynbase
Langobardenstraße 2b
81545 München
Deutschland

E-Mail: marco.beyfuss@fynbase.de
Datenschutz: datenschutz@fynbase.de
Telefon: 0178 5676567

Marco Beyfuß verfügt über eine Erlaubnis nach § 34i Abs. 1 GewO (Registernummer D-W-155-E8VT-74). fynbase gibt keine individuelle Produkt-, Bank- oder Beraterempfehlung ab und trifft keine Kreditentscheidung.

2. Zweck und Leistungsgrenze

fynbase verarbeitet Angaben und Unterlagen, um eine mögliche Finanzierungsakte strukturiert aufzunehmen, eine dynamische Unterlagenliste zu erzeugen, Dokumente abzulegen und zuzuordnen, Text und Feldwerte zu erkennen, eine strukturierte Selbstauskunft vorzubereiten und Vollständigkeit sowie Plausibilität technisch zu prüfen.

OCR-, Klassifikations- und Plausibilitätsergebnisse sind technische Vorschläge. Sie können falsch oder unvollständig sein, ersetzen keine fachliche Prüfung und lösen weder eine Kreditentscheidung noch eine Beratung, Vermittlung oder Weitergabe automatisch aus.

3. Daten und Quellen

Je nach Vorgang können Identitäts-, Kontakt-, Haushalts- und Beschäftigungsdaten, Angaben zu Einkommen, Vermögen, Ausgaben, Verbindlichkeiten und Immobilien, hochgeladene Dokumente und abgeleitete Inhalte sowie Bearbeitungsstände, Herkunftsnachweise, Korrekturen, Freigaben und Übergabeprotokolle verarbeitet werden. Quellen sind Kunden und Mitantragsteller, hochgeladene Dokumente und erst nach autorisierter Aktivierung konkret benannte Drittsysteme.

4. Rechtsgrundlagen

Die Aktenvorbereitung erfolgt zur Durchführung vorvertraglicher Maßnahmen beziehungsweise des vom Kunden gewünschten Aktenservices auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Sicherheits-, Missbrauchsabwehr- und Nachweisvorgänge können auf Art. 6 Abs. 1 lit. f DSGVO beruhen.

Die konkrete Weitergabe erfolgt ausschließlich aufgrund eines gesonderten, informierten und protokollierten Übermittlungsauftrags des Kunden zur Durchführung der gewünschten Übergabe nach Art. 6 Abs. 1 lit. b DSGVO. Soweit ausnahmsweise besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO enthalten und für die Übergabe erforderlich sind, wird vorab eine ausdrückliche Einwilligung eingeholt; andernfalls werden solche Angaben nicht übermittelt beziehungsweise geschwärzt.

5. Empfänger und bewusste Übergabe

Es gibt kein festes Beratungsunternehmen als allgemeinen Empfänger. Sobald ein konkreter Empfänger ausgewählt ist, werden dem Kunden vor dem Übermittlungsauftrag mindestens Unternehmensname, Ansprechpartner, Kontaktdaten, Anschrift, Zweck und Umfang der vorgesehenen Weitergabe sowie ein Verweis auf die Datenschutzhinweise des Empfängers angezeigt.

Eine Exportvorschau oder Downloadvorbereitung ist noch keine Übermittlung. Nach Erhalt ist der konkrete Empfänger für seine anschließende Beratung, Vermittlung oder Kreditprüfung grundsätzlich eigenständig Verantwortlicher und stellt eigene Datenschutzhinweise bereit.

6. Dienstleister und Dokumentanalyse

Für den produktiven Startbetrieb werden Google Cloud Run und private Google-Cloud-Storage-Bereiche in Frankfurt, Google Document AI in der EU-Multiregion, Supabase Auth und PostgreSQL in Frankfurt sowie STRATO für den Versand der fallbezogenen Einladungs-E-Mail eingesetzt. Hochgeladene Dokumente durchlaufen zunächst eine getrennte Quarantäne und Malwareprüfung. Erst anschließend werden geeignete Dokumente der Inhaltsanalyse zugeführt. Technische Dienstleister werden, soweit sie im Auftrag tätig werden, nach Art. 28 DSGVO verpflichtet. Kundendaten werden nicht für Werbung, Profilbildung oder das Training von Anbieter- oder KI-Modellen verwendet.

7. Löschung

Der persönliche Kundenzugang ist grundsätzlich 72 Stunden gültig und kann vorher widerrufen oder durch einen neuen Link ersetzt werden. Dateien in der Upload-Quarantäne werden spätestens nach einem Tag, technisch abgelehnte Dokumente spätestens nach sieben Tagen gelöscht. Bereinigte Dokumente und daraus abgeleitete Arbeitsdaten werden grundsätzlich 30 Tage nach dokumentiertem Fallabschluss, Widerruf oder Vertragsende gelöscht, sofern kein dokumentierter Legal Hold oder eine gesetzliche Pflicht entgegensteht. Gelöschte Primärdaten können bis zum Ablauf der Backupfrist von höchstens 35 Tagen in gesicherten Backups enthalten sein. Eine längerfristige Bereithaltung für spätere Vorhaben wird im aktuellen Live-Pilot nicht angeboten. Eine spätere erneute Weitergabe benötigt in jedem Fall eine neue konkrete Bestätigung.

8. Rechte

Anfragen zu Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch oder Widerruf richten Sie an datenschutz@fynbase.de. Nach einer Übergabe ist für die anschließende eigenständige Verarbeitung zusätzlich der konkret benannte externe Berater zuständig.

9. Späteres B2B-SaaS-Modell

Legt künftig ein Beratungsunternehmen eigene Fälle in fynbase an, ist es für diese Fälle grundsätzlich verantwortlich und fynbase Auftragsverarbeiter. Dieses getrennte Modell wird nur mit eindeutigem Mandantenbezug, eigenen Hinweisen des Unternehmens und geschlossenem AVV aktiviert. Es gilt nicht automatisch für von Marco Beyfuß/fynbase selbst gewonnene Leads.

Stand: 6. Oktober 2026