Belegerl
Zur Startseite
Sicherheit
Wo deine Rechnungen liegen, wer sie sehen kann, was die KI damit macht und wie du sie wieder löschst. In klaren Sätzen, ohne Kleingedrucktes.
Stand: 12. Oktober 2026
Das sind unsere eigenen Zusagen, keine Prüfzeichen Dritter. Weiter unten steht zu jeder, wie wir sie einhalten.
Jede Übertragung läuft über HTTPS. Deine Belegdateien liegen mit AES-256 verschlüsselt auf dem Server.
Gespeichert wird bei Hetzner in Nürnberg. Das Rechenzentrum ist nach ISO 27001 zertifiziert.
Zum Auslesen geht der Beleg an den KI-Dienst von Anthropic. Dass damit Modelle trainiert werden, ist vertraglich ausgeschlossen.
Jede Firma ist strikt getrennt. Mitarbeiter:innen sehen nur, was sie selbst hochgeladen haben.
Du exportierst alles mit einem Klick und löschst einzelne Belege oder dein ganzes Konto selbst.
Hinter Belegerl steht A2 Digital Works e.U. aus Wien, im Firmenbuch unter FN 689975w.
Vom Foto bis zur Ablage sind vier Stationen beteiligt.
Du fotografierst den Beleg oder lädst ein PDF hoch. Die Verbindung zu Belegerl ist verschlüsselt (HTTPS).
HTTPSCloudflare nimmt die Verbindung entgegen, wehrt Angriffe ab und reicht sie an unseren Server weiter.
HTTPSBelegerl speichert Foto und PDF verschlüsselt bei Hetzner in Deutschland und ordnet sie deiner Firma zu.
AES-256Der Beleg geht zum Auslesen an Anthropic. Zurück kommen Lieferant, Datum und Beträge. Kein Training, Löschung dort in der Regel binnen 30 Tagen.
HTTPS · USAUnterwegs: Jede Verbindung läuft über HTTPS. Aufrufe ohne Verschlüsselung leiten wir auf HTTPS um.
Am Server: Fotos, PDFs und Verträge werden vor dem Speichern mit AES-256-GCM verschlüsselt. Unsere täglichen Sicherungen sind ebenfalls verschlüsselt.
Passwörter speichern wir nur als Hash (scrypt), nie im Klartext.
App, Datenbank und Belegdateien liegen auf einem Server der Hetzner Online GmbH im Rechenzentrum Nürnberg.
Hetzner ist für seine Rechenzentren nach ISO/IEC 27001 zertifiziert. Das Zertifikat gehört Hetzner, nicht Belegerl.
Zum Auslesen schicken wir den Beleg an Anthropic (Modell Claude). Die Geschäftsbedingungen von Anthropic verbieten, mit Kundendaten Modelle zu trainieren.
Anthropic löscht Ein- und Ausgaben in der Regel innerhalb von 30 Tagen. Die Verarbeitung findet in den USA statt und ist über Standardvertragsklauseln abgesichert.
Im Verwaltungsbereich sehen wir Kennzahlen zu deiner Firma: Plan, Anzahl der Belege, Summen, die häufigsten Lieferanten und Kategorien. Belegbilder und PDFs zeigt er nicht.
Als Betreiber des Servers könnten wir technisch auf Dateien zugreifen. Das tun wir nur, wenn du uns zur Fehlersuche darum bittest oder ein Gesetz uns dazu verpflichtet.
Einzelne Belege löschst du in der App, dein ganzes Konto unter Einstellungen. Mit dem Konto verschwinden Firma, Belege und Dateien, sofern niemand anderer dort Inhaber:in ist.
Vorher kannst du alles exportieren: PDFs, Excel, CSV, DATEV, BMD.
A2 Digital Works e.U., Wien, Firmenbuch FN 689975w (Handelsgericht Wien), UID ATU83724267. Vollständige Angaben im Impressum.
Die Zahlung der Abos läuft über Stripe. Karten- und Kontodaten gibst du direkt dort ein; wir sehen sie nicht.
Belegerl betreiben wir nicht allein. Diese Unternehmen verarbeiten Daten in unserem Auftrag.
| Dienstleister | Wofür | Wo | Grundlage |
|---|---|---|---|
| Hetzner Online GmbHGunzenhausen, Deutschland | Server und Speicher für App, Datenbank und Belegdateien (Rechenzentrum Nürnberg), tägliche Server-Sicherung | Deutschland | Auftragsverarbeitung nach Art. 28 DSGVO; Rechenzentrum nach ISO/IEC 27001 zertifiziert |
| Cloudflare, Inc.San Francisco, USA | Schutz vor Angriffen und Auslieferung: nimmt jede Verbindung verschlüsselt entgegen und reicht sie an unseren Server weiter | weltweit, auch USA | Auftragsverarbeitung (Cloudflare DPA); EU-U.S. Data Privacy Framework, ersatzweise Standardvertragsklauseln |
| Anthropic Ireland, LimitedDublin, Irland – Verarbeitung auch durch Anthropic, PBC, USA | KI liest den Beleg aus (Lieferant, Datum, Beträge, Positionen); beantwortet Fragen in „Frag Belegerl“ | USA | Auftragsverarbeitung (Anthropic DPA) mit Standardvertragsklauseln; kein Training mit deinen Daten; Löschung in der Regel binnen 30 Tagen |
| Google Ireland LimitedDublin, Irland | E-Mail-Versand über Google Workspace: Bestätigungs- und Anmeldelinks, Mitteilungen, Monatsabschluss an die Steuerberatung | EU und weltweit | Auftragsverarbeitung (Google Cloud Data Processing Addendum) mit Standardvertragsklauseln |
| Stripe Payments Europe, Ltd.Dublin, Irland | Zahlung der Abos. Stripe bekommt Rechnungs- und Zahlungsdaten, aber keine Belege | EU | Stripe verarbeitet Zahlungsdaten in eigener Verantwortung und als Auftragsverarbeiter (Stripe DPA) |
Auf Belegen stehen oft Namen von Mitarbeiter:innen, Kund:innen oder Lieferanten. Für Betriebe gilt deshalb unser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, automatisch mit den AGB. Du kannst ihn lesen und als PDF speichern.
Wenn dir eine Sicherheitslücke auffällt, schreib uns bitte an [email protected], bevor du sie veröffentlichst. Wir antworten so schnell wie möglich und nennen dich auf Wunsch als Entdecker:in.