Datenhaltung für Kanzleien
Stand: 12.10.2026
Holdstamp verschlüsselt die Tresore Ihrer Mandanten auf Ihrem Gerät. Ohne Konto bleiben sie in Ihrem Browser. Mit Konto liegen bei uns verschlüsselte Datensätze und lesbar nur die Angaben, die Anmeldung, Rollen und einzelne Funktionen brauchen. Diese Seite nennt beides. Rechtsgrundlagen und Fristen im Einzelnen stehen in der Datenschutzerklärung, die Dienste mit Sitz und Ort unter Subunternehmer.
Ohne Konto: nur auf Ihren Geräten
Jeder Mandant hat einen eigenen Tresor mit eigenem Schlüssel. Öffnen lässt er sich nur mit dem Tresor-Passwort oder dem Wiederherstellungsschlüssel; beide verlassen Ihr Gerät nie.
| Daten | Wo | Für Holdstamp lesbar |
|---|---|---|
| Tresor je Mandant: Vorgänge, Zuordnungen, Wallet-Adressen, Rückfragen, Einstellungen | Im Browser des Geräts (IndexedDB), verschlüsselt | Nein |
| Belege und Originaldateien der Importe | Im Tresor auf dem Gerät, verschlüsselt; nie im Abgleich zwischen Geräten | Nein |
| Kanzlei-Übersicht und Arbeitsstand (Bearbeitungsstand, Notiz, Abgabefrist) | Im Browser, verschlüsselt mit dem Kanzlei-Schlüssel, den nur das Kanzlei-Passwort öffnet | Nein |
| Namen der Tresore, Bearbeiter und Kanzlei des Geräts | Im Browser, unverschlüsselt, damit sich ein Tresor vor dem Entsperren wählen lässt | Nein, sie verlassen das Gerät nicht |
| Backups | Verschlüsselte Datei, die Sie selbst ablegen; Belege nur im Backup „mit Belegen“ | Nein |
| Anschaffungsnachweise, Steuerberichte, Übergabepakete (PDF, CSV) | Unverschlüsselt dort, wo Sie sie speichern | Nein; für einen Zeitstempel geht nur die Prüfsumme über unsere Website, gespeichert wird sie dort nicht |
Mit Konto: verschlüsselt bei Supabase
Ein Konto braucht es für den Abgleich zwischen Geräten, gemeinsame Tresore mit Mandanten, die Kanzlei-Übersicht auf mehreren Geräten und das Kanzlei-Team. Die App verschlüsselt jeden Datensatz vor dem Hochladen; die Schlüssel kennt der Server nicht.
| Daten | Wo | Für Holdstamp lesbar |
|---|---|---|
| Datensätze der abgeglichenen Tresore | Supabase, Frankfurt am Main | Nein, nur verschlüsselt; Namen als Prüfsumme (HMAC). Lesbar sind Zahl, Größe und Zeitpunkt der Datensätze, ihre laufende Nummer und ob einer gelöscht ist |
| Schlüssel eines abgeglichenen Tresors | Supabase, Frankfurt am Main | Nein; er liegt dort nur mit dem Tresor-Passwort und dem Wiederherstellungsschlüssel verpackt. Sein Schutz hängt an der Stärke des Passworts |
| Kanzlei-Übersicht: Zusammenfassung je Mandant (Name des Tresors, Zähler, Fristen, Stände) und Arbeitsstand mit Zuständigkeit | Supabase, Frankfurt am Main | Nein, verschlüsselt mit dem Kanzlei-Schlüssel. Lesbar ist, wie viele Mandanten-Tresore die Kanzlei führt |
| Name der Kanzlei, Mitgliederliste mit Namen, Lizenz der Kanzlei | Supabase, Frankfurt am Main | Nein, verschlüsselt mit dem Kanzlei-Schlüssel |
| Konten: E-Mail-Adresse, Rolle im Kanzlei-Team, Zeitpunkte von Einladung und Beitritt, einladendes Konto | Supabase, Frankfurt am Main | Ja |
| Welche Konten zu welcher Kanzlei und zu welchem gemeinsamen Tresor gehören; bei vertraulichen Mandanten, wer eingetragen ist | Supabase, Frankfurt am Main | Ja, ohne Namen von Mandanten. Teilt ein Mandant seinen Tresor mit der Kanzlei, ist die Verbindung zwischen seinem Konto und der Kanzlei damit erkennbar |
| Protokoll der Mitgliedschaften: Vorgang, Zeitpunkt, E-Mail-Adressen, Rolle; Anfragen der Notfall-Vertretung mit Frist | Supabase, Frankfurt am Main | Ja, ohne Mandanten; Einträge im Protokoll werden nach 24 Monaten gelöscht |
| Anmeldeprotokolle: Zeitpunkt und IP-Adresse | Supabase, Frankfurt am Main | Ja; in unserer Datenbank nach 30 Tagen gelöscht |
| Fristen-Erinnerung per E-Mail, nur wenn eingeschaltet: Tage, an denen Haltefristen enden | Supabase, Frankfurt am Main | Ja, ohne Coins und Mengen |
Unser Vertragspartner ist Supabase Pte. Ltd., Singapur; die Datenbank läuft in Frankfurt am Main (Amazon Web Services, eu-central-1). Für Betrieb und Support kann Supabase aus Singapur und den USA zugreifen. Anmeldecodes und E-Mails verschickt Mailjet, App und Website liefert Vercel aus. Supabase hält Anmeldungen zusätzlich in eigenen Betriebsprotokollen fest. Alles Übrige bleibt, bis das Konto oder die Kanzlei gelöscht wird; gelöschte Daten können noch in Sicherungskopien von Supabase stehen, bis diese überschrieben sind.
Was Holdstamp nie erhält
- Tresor-Passwörter, Wiederherstellungsschlüssel, Kanzlei-Passwörter und private Schlüssel im Klartext
- Einladungscodes; der Server kennt nur ihre Prüfsumme
- Inhalte der Tresore: Vorgänge, Bestände, Wallet-Adressen, Belege
- Namen von Mandanten und Tresoren im Klartext; lesbar ist nur die E-Mail-Adresse eines Mandanten, der selbst ein Konto hat
- Seeds und Private Keys: Holdstamp fragt sie nie ab und speichert sie nicht
Verbindungen vom Gerät
Einige Abrufe schickt die App direkt von Ihrem Gerät an öffentliche Dienste, ohne Umweg über uns. Diese Dienste erhalten Ihre IP-Adresse und die Anfrage:
- Explorer der Blockchains, wenn Sie ein Wallet abrufen: mempool.space und blockstream.info (Bitcoin), litecoinspace.org (Litecoin), eth.blockscout.com (Ethereum), auf Wunsch base.blockscout.com, arbitrum.blockscout.com, polygon.blockscout.com, explorer.optimism.io und gnosisscan.io. Sie erhalten die Adressen des Wallets, bei einem xpub die daraus abgeleiteten; die EVM-Explorer zusätzlich die Adresse der App.
- Kraken (api.kraken.com): Kurse aller Handelspaare für den Marktwert, nur nach Ihrer Zustimmung; auf Wunsch Tageskurse einzelner Coins und Tage, wenn einem Vorgang ein Wert fehlt, ohne Mengen.
- Europäische Zentralbank (data-api.ecb.europa.eu): Wechselkurse für einen Zeitraum, nur auf Wunsch.
- Unsere Website holdstamp.de: Lizenz, Hinweise für alle Nutzer, Meldungen, Nutzungszählung und die Prüfsumme für einen Zeitstempel, nie Daten aus dem Tresor.
Die vollständige Liste zeigt die App unter Einstellungen → „Verbindungen“.
Kauf und Lizenz
Lizenzen verkauft Paddle als Händler in eigener Verantwortung (Merchant of Record); Name, Zahlungs- und Rechnungsdaten verarbeitet Paddle. Wir erhalten die Kennung des Abonnements, den Plan, die Laufzeit und die E-Mail-Adresse, um den Lizenzschlüssel zu schicken. Den signierten Schlüssel prüft die App auf dem Gerät, ohne Verbindung. Vor Ablauf fragt sie unsere Website mit dem Schlüssel nach einem verlängerten; nach der Anmeldung fragt sie, ob zur Adresse des Kontos eine gekaufte Lizenz gehört. Im Kanzlei-Team liegt die Lizenz verschlüsselt bei der Kanzlei.
Nutzungszählung
Die App meldet, wenn ein Tresor geöffnet, eine Datei importiert oder ein Anschaffungsnachweis erstellt wird, je Ereignis höchstens einmal am Tag, und wenn jemand das Beispiel ansieht, mit der Art des Plans und ohne Kennung. Gespeichert wird je Tag nur eine Summe. Abschalten lässt sich die Zählung in den Einstellungen unter „Nutzungszählung“.
Vertrag und Grenzen
Für Konto, Abgleich und Kanzlei-Team schließt Ihre Kanzlei mit uns einen Vertrag zur Auftragsverarbeitung und eine Vereinbarung zur Verschwiegenheit nach § 62a StBerG, bevor dort Daten von Mandanten liegen: in der App, die den vollständigen Wortlaut vorher zeigt, mit Bestätigung und beiden Dokumenten per E-Mail. Zum Vertrag gehören die technischen und organisatorischen Maßnahmen und die Liste der Subunternehmer. Fragen dazu an kanzleien@holdstamp.de. Ohne Konto erreicht uns nichts aus den Tresoren.
Holdstamp leistet keine Steuerberatung; die steuerliche Würdigung bleibt bei Ihrer Kanzlei. Fragen zur Datenhaltung beantworten wir unter kanzleien@holdstamp.de.