Datenschutzhinweise
zum internen Verwaltungsportal „ASP Control Center“
1. Verantwortlicher
Steuersoft GmbH
Wallstraße 7, 66740 Saarlouis
E-Mail: info@steuersoft.de
2. Datenschutzbeauftragter
Für die Steuersoft GmbH und die Steuer-Online MF GmbH ist folgender externer Datenschutzbeauftragter benannt: Nina Rümmele, Perfekter Datenschutz (OT) GmbH, Am Paradeplatz 20, 69126 Heidelberg, E-Mail Kunden@perfekter-datenschutz.de, Telefon 069 2475 10 260
3. Zweck und Nutzerkreis
Das ASP Control Center ist ein internes Verwaltungswerkzeug für den Betrieb der ASP-Plattform der Steuersoft GmbH. Es steht ausschließlich namentlich freigeschalteten Beschäftigten der Steuersoft GmbH zur Verfügung, die mit der Administration der Plattform betraut sind. Eine Nutzung durch Kunden oder Dritte ist nicht vorgesehen – mit einer Ausnahme: Berater unserer Kunden rufen einmalig die Einladungsseite auf, um ihr Kennwort festzulegen (siehe unten).
Die Verarbeitung dient der sicheren Anmeldung, der Durchführung der administrativen Aufgaben sowie der Nachvollziehbarkeit aller Eingriffe in die Plattform (Informationssicherheit, Missbrauchserkennung).
4. Welche Daten verarbeitet werden
Anmeldung per Anmeldelink
Die Anmeldung erfolgt ohne Kennwort. Nach Eingabe der dienstlichen E-Mail-Adresse wird – nur wenn die Adresse freigeschaltet ist – ein Anmeldelink an diese Adresse verschickt. Der Link gilt 15 Minuten und nur ein einziges Mal. Gespeichert werden dazu die Kennung des Links, die E-Mail-Adresse, Erzeugungs-, Ablauf- und Einlösezeitpunkt sowie die IP-Adresse, von der der Link angefordert bzw. eingelöst wurde.
Zweiter Faktor (Einmalcode)
Nach dem Anmeldelink ist ein Einmalcode aus einer Authenticator-App einzugeben (Verfahren nach RFC 6238). Dafür wird ein persönliches Geheimnis gespeichert, außerdem ob die Einrichtung bestätigt wurde und welcher Code zuletzt verwendet wurde, damit ein Code nicht zweimal gilt. Der QR-Code zur Einrichtung wird auf unserem eigenen Server erzeugt; das Geheimnis wird an keinen fremden Dienst übermittelt.
Benutzerkonto
E-Mail-Adresse, gegebenenfalls Name, Zeitpunkt der Anlage und der letzten Anmeldung.
Handlungsprotokoll
Jede Anmeldung, Abmeldung und jede Handlung im Portal wird protokolliert: Zeitpunkt, handelnde Person, Art der Handlung, betroffenes Objekt, Einzelheiten zum Vorgang, IP-Adresse und ob die Handlung erfolgreich war. Protokolliert werden auch fehlgeschlagene Anmeldeversuche; wird dabei eine nicht freigeschaltete Adresse eingegeben, wird diese Eingabe mit festgehalten, um Angriffsversuche erkennen zu können. Das Protokoll ist nur für die berechtigten Beschäftigten einsehbar.
Schutz gegen Durchprobieren
Zur Abwehr automatisierter Angriffe wird je Anmeldeversuch die IP-Adresse mit Zeitpunkt gezählt. Nach mehreren Versuchen in kurzer Zeit wird die Anmeldung vorübergehend gesperrt. Diese Zählerdaten werden nach 24 Stunden gelöscht.
Cookies
Das Portal setzt ausschließlich technisch notwendige Cookies: ein signiertes Anmelde-Cookie, das 12 Stunden gilt und nur verschlüsselt übertragen wird (HttpOnly, Secure, SameSite=Lax), sowie ein Sitzungs-Cookie, das den Zwischenstand des Anmeldevorgangs und Bildschirmhinweise enthält und mit dem Schließen des Browsers endet. Eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
Zugriffsprotokolle des Webservers
Beim Aufruf der Seiten protokolliert der Webserver Zeitpunkt, die aufgerufene Adresse, den Statuscode, die übertragene Datenmenge und die Browserfamilie. Die IP-Adresse wird dabei nur gekürzt gespeichert (letzter Block auf 0 gesetzt), sodass kein Rückschluss auf einzelne Personen möglich ist. Die Anmeldewege selbst werden gar nicht protokolliert. Die Protokolle werden regelmäßig rotiert und nach kurzer Frist gelöscht.
E-Mail-Benachrichtigungen
Anmeldelinks sowie betriebliche Meldungen (z. B. zu Wartungsläufen) werden per E-Mail an die dienstlichen Adressen der zuständigen Beschäftigten versandt.
Berater der Kunden (Einladung und Zugang)
Für die Berater unserer Kunden (Lohnsteuerhilfevereine) legen die berechtigten Beschäftigten im Portal einen Zugang an. Dazu werden Vorname, Nachname, E-Mail-Adresse, der Verein, ein daraus gebildeter Anmeldename sowie Zeitpunkte von Anlage, Freischaltung, Sperre und Löschung gespeichert. Der Berater erhält per E-Mail einen Einladungslink (24 Stunden gültig, nur einmal verwendbar), über den er sein Kennwort selbst festlegt. Das Kennwort wird im Portal nicht gespeichert, sondern verschlüsselt an den Verzeichnisdienst der Plattform weitergereicht und ist für Steuersoft nicht einsehbar. Beim Einlösen des Links werden Zeitpunkt und IP-Adresse protokolliert.
Aus den Zeitpunkten von Freischaltung und Sperre ergibt sich die monatliche Lizenzliste. An den Lizenzgeber wird nur die Anzahl der Nutzer gemeldet, keine Namen.
5. Rechtsgrundlagen
Die Verarbeitung erfolgt zur Durchführung des Beschäftigungsverhältnisses nach Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit Art. 88 DSGVO und § 26 BDSG. Anmeldesicherung, Handlungsprotokoll, Fehlversuchszähler und Zugriffsprotokolle dienen darüber hinaus der Sicherheit der Verarbeitung (Art. 32 DSGVO) und unserem berechtigten Interesse an einem sicheren, nachvollziehbaren und vor Missbrauch geschützten Betrieb der Plattform (Art. 6 Abs. 1 lit. f DSGVO).
6. Empfänger und Auftragsverarbeiter
Das Portal wird bei der Hetzner Online GmbH in Rechenzentren in Deutschland betrieben. Der E-Mail-Versand erfolgt über die IONOS SE. Mit beiden Anbietern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Übermittlung in Drittländer findet nicht statt.
Das Portal lädt keine Inhalte von fremden Servern (keine externen Schriftarten, Skripte oder Content-Delivery-Netzwerke) und verwendet keine Analyse- oder Tracking-Werkzeuge. Alle Verbindungen sind per TLS verschlüsselt.
7. Speicherdauer
Benutzerkonten bestehen, solange die Zugangsberechtigung besteht; wird sie entzogen, wird das Konto einschließlich des Geheimnisses für den zweiten Faktor gelöscht. Die Zählerdaten gegen Durchprobieren werden nach 24 Stunden gelöscht, das Anmelde-Cookie verfällt nach 12 Stunden. Wird der Zugang eines Beraters gelöscht, werden sein Konto im Verzeichnisdienst, sein Konto am Beraterzugang einschließlich des zweiten Faktors und seine E-Mail-Adresse gelöscht; Name, Anmeldename und Freischaltungszeiträume bleiben nur so lange erhalten, wie sie für die Nachweise zur Lizenzmeldung aufbewahrt werden müssen. Handlungsprotokoll und Anmeldelink-Datensätze werden aufbewahrt, solange sie zur Nachvollziehbarkeit administrativer Eingriffe und zur Aufklärung von Sicherheitsvorfällen erforderlich sind, und anschließend gelöscht.
8. Pflicht zur Bereitstellung, automatisierte Entscheidungen
Ohne die genannten Anmeldedaten ist eine Nutzung des Portals nicht möglich. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Das Handlungsprotokoll wird nicht zur Leistungs- oder Verhaltenskontrolle ausgewertet, sondern dient der Sicherheit und Nachvollziehbarkeit des Plattformbetriebs.
9. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, der Verarbeitung auf Grundlage berechtigter Interessen aus Gründen, die sich aus Ihrer besonderen Situation ergeben, zu widersprechen (Art. 21 DSGVO). Wenden Sie sich dazu an den Verantwortlichen oder an den Datenschutzbeauftragten.
Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren, zum Beispiel beim Unabhängigen Datenschutzzentrum Saarland.
Stand: 30.09.2026