Stand: August 2026
1. Verantwortlicher
Christian Gerloff, Kaupmanns Kamp 5, 33775 Versmold, Deutschland — E-Mail: contact@tirodocs.com
2. Hosting
Website, App und Datenbanken betreiben wir auf Servern unseres Auftragsverarbeiters Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland; Serverstandort ist Deutschland. Beim Aufruf unserer Seiten verarbeitet der Server technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Kennung) in Protokollen, um den Betrieb sicherzustellen, Fehler zu analysieren und Angriffe abzuwehren. Diese Protokolle werden spätestens nach 7 Tagen automatisch gelöscht — nur bei sicherheitsrelevanten Vorfällen können betroffene Einträge bis zur Klärung aufbewahrt werden — und nicht mit anderen Daten zusammengeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).
3. Konto und Anmeldung
Für dein Konto speichern wir deine E-Mail-Adresse und Zeitstempel der Anmeldung. Die Anmeldung erfolgt passwortlos über einen Code, den wir dir per E-Mail senden; Codes und Sitzungs-Tokens speichern wir ausschließlich gehasht. Für die Sitzung setzen wir ein technisch notwendiges Cookie (httpOnly, Laufzeit ca. 30 Tage). Tracking- oder Werbe-Cookies setzen wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes). Bei der Registrierung speichern wir zusätzlich, über welchen Weg du auf Tiro aufmerksam geworden bist (z. B. Suchmaschine oder Werbekampagne) — dazu wertet die Seite während deines Besuchs Kanal, verweisende Domain und Einstiegsseite aus. Auf deinem Gerät wird dafür nichts gespeichert (keine Cookies, keine Klick-IDs, keine Weitergabe an Dritte). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Wirksamkeit unserer Kanäle zu verstehen).
Freiwillig kannst du in deinem Profil Name, Unternehmen und den geplanten Verwendungszweck (Dokumentart) angeben. Wir nutzen diese Angaben ausschließlich, um dich persönlich zu kontaktieren und zu unterstützen; du kannst sie jederzeit in den Einstellungen ändern oder löschen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an persönlichem Support). Produkt-Neuigkeiten per E-Mail senden wir nur, wenn du dem ausdrücklich zustimmst (Art. 6 Abs. 1 lit. a DSGVO); wir speichern den Zeitpunkt der Einwilligung, und du kannst sie jederzeit in den Einstellungen widerrufen.
4. Hochgeladene Dokumente und Ergebnisse
Von dir hochgeladene Dokumente und die daraus extrahierten Ergebnisse verarbeiten und speichern wir, um dir den Dienst bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO). Die Aufbewahrung steuerst du pro Inbox: von „sofort nach Export löschen“ bis zur gewählten Frist (im kostenlosen Plan höchstens 90 Tage); nach Ablauf werden Datei, Metadaten und Ergebnis automatisch gelöscht. Du kannst Dokumente außerdem jederzeit selbst löschen; dein Konto samt zugehöriger Daten löschen wir auf Anfrage an privacy@tirodocs.com. Gelöschte Daten können in automatischen Sicherungskopien für bis zu 7 weitere Tage enthalten sein; Sicherungen verwenden wir ausschließlich zur Wiederherstellung des Betriebs. Unsere technischen Protokolle enthalten keine Dokumentinhalte.
5. KI-gestützte Extraktion (AWS Bedrock)
Zur Extraktion der Daten übermitteln wir das jeweilige Dokument an unseren Auftragsverarbeiter Amazon Web Services (Amazon Web Services EMEA SARL, Luxemburg) und erhalten das strukturierte Ergebnis zurück. Die Verarbeitung erfolgt über den Dienst Amazon Bedrock mit KI-Modellen von Anthropic in der AWS-Region Frankfurt (Deutschland). Mit AWS besteht ein Auftragsverarbeitungsvertrag (AWS Data Processing Addendum); deine Dokumente werden weder von AWS noch von Anthropic zum Training von KI-Modellen verwendet. Die Verarbeitung erfolgt ausschließlich in EU-Rechenzentren; eine Übermittlung in Drittländer findet grundsätzlich nicht statt. Für den Ausnahmefall eines Zugriffs aus den USA ist Amazon unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die EU-Standardvertragsklauseln als Bestandteil des AWS Data Processing Addendum. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Nicht jedes Dokument geht an die KI: Liegt für das Layout ein Template deiner Inbox vor, lesen wir die Daten regelbasiert aus der Textschicht des Dokuments aus; bei Scans und Fotos erkennen wir den Text zuvor per Texterkennung (OCR, Software Tesseract). Textschicht-Auslesen und OCR laufen vollständig auf unseren eigenen Servern in Deutschland — dabei wird kein weiterer Auftragsverarbeiter eingesetzt. Den erkannten Text speichern wir zusammen mit dem Dokument und löschen ihn mit diesem.
6. E-Mail-Versand
Anmelde-Codes und Konto-Benachrichtigungen versenden wir über das E-Mail-System unseres Auftragsverarbeiters Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland); die Verarbeitung erfolgt auf Servern in Deutschland. Verarbeitet werden dabei deine E-Mail-Adresse sowie der Inhalt der jeweiligen Nachricht (z. B. dein Anmeldecode). Mit Hetzner besteht ein Auftragsverarbeitungsvertrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes).
7. E-Mail-Eingang
Jede Inbox hat auf Wunsch eine eigene E-Mail-Adresse, an die du Dokumente senden oder weiterleiten kannst. Eingehende E-Mails nehmen wir auf unserem eigenen Server in Deutschland entgegen (verschlüsselte Übertragung per STARTTLS, soweit der absendende Server sie unterstützt) — ein weiterer Auftragsverarbeiter ist dafür nicht beteiligt. Verarbeitet werden die vollständige Nachricht samt Absenderadresse, Betreff, Text und Anhängen; die Anhänge und, je nach Einstellung, der Nachrichtentext werden wie hochgeladene Dokumente behandelt (Abschnitte 4 und 5). Die Nachricht unterliegt der Aufbewahrungsfrist der jeweiligen Inbox und wird mit den daraus entstandenen Dokumenten gelöscht. E-Mail-Inhalte werden nicht protokolliert; Antworten an Absender versendet der E-Mail-Eingang nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Da du auch E-Mails Dritter weiterleiten kannst, bist du für die Zulässigkeit dieser Weiterleitung verantwortlich.
8. Web-Analyse (Umami)
Für die Reichweitenmessung der öffentlichen Website setzen wir die selbst gehostete Open-Source-Software Umami ein. Umami arbeitet ohne Cookies, bildet keine personenbezogenen Profile und verfolgt Besucher nicht über Websites oder Geräte hinweg; alle Daten verbleiben auf unseren eigenen Systemen und werden nicht an Dritte übermittelt. Neben Seitenaufrufen zählen wir anonyme Nutzungsereignisse (z. B. „Abschnitt gesehen“, „Button geklickt“, „Anmeldecode angefordert“) — ohne E-Mail-Adressen oder andere personenbezogene Angaben. Der angemeldete App-Bereich wird nicht gemessen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datenschutzfreundlichen Reichweitenmessung). Du kannst dieser Messung jederzeit formlos widersprechen (Art. 21 DSGVO): privacy@tirodocs.com.
9. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Wende dich dafür formlos an privacy@tirodocs.com. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren.