Dienst: ELSTER BOT — elster.steuer-online.de
Stand: 30. September 2026
Steuer-Online MF GmbH (Gesellschaft zur Entwicklung von Software fuer steuerberatende Berufe mbH)
Wallstr. 7
66740 Saarlouis
Deutschland
Vertreten durch: Martin Frankenreiter
Handelsregister: HRB 108 426, Amtsgericht Saarbruecken
USt-IdNr.: DE 351 567 389
E-Mail: info@steuer-online.de
Der Dienst „ELSTER BOT" bietet eine technische Schnittstelle zur elektronischen Uebermittlung von Steuererklaerungen an die Finanzverwaltung (ELSTER) ueber die offizielle ERiC-Schnittstelle.
Die Verarbeitung personenbezogener Daten erfolgt aufgrund folgender Rechtsgrundlagen:
| Kategorie | Inhalt | Speicherdauer |
|---|---|---|
| Steuerdaten (in Verarbeitung) | Vom Nutzer uebermittelte Daten der Steuererklaerung (Steuernummer, IdNr, Betraege, Adressdaten, weitere fachliche Angaben je nach Steuerart) waehrend Validierung und Versand. | Verarbeitung nur fuer die Dauer der Uebermittlung. Eine vorgemerkte Versand-Anfrage (Phase 1) wird nach 10 Minuten automatisch geloescht, sofern keine Bestaetigung erfolgt. |
| Transfertickets | Die von ELSTER zurueckgemeldete Versand-Quittung (z.B. eh11410u5...). |
10 Jahre (§ 147 AO, GoBD). |
| Versandprotokolle | Pro erfolgreichem Versand wird ein revisionssicheres Protokoll erzeugt: versandte ElsterXML,
SHA-256-Hash, ERiC-Empfangsbestaetigung (server_response), Zeitstempel, verwendeter API-Key,
Mandanten-Kennung (sofern uebergeben), Cert-Typ. Der Protokollinhalt dient dem Nachweis
ordnungsgemaesser elektronischer Uebermittlung gegenueber Steuerpflichtigen und Finanzverwaltung.
Zugriff: Empfaenger des Versands (API-Key, der den Versand ausgeloest hat — Scope „nur eigene Protokolle"), autorisierte Administratoren der Steuer-Online MF GmbH (Vier-Augen-Pruefung dokumentiert), auf Anforderung die zustaendige Finanzbehoerde / Pruefer. |
10 Jahre (§ 147 AO, GoBD), zzgl. 30 Tage Grace-Period. Danach automatische Loeschung durch den Retention-Watchdog. |
| Belegnachreichung (Anhänge) | Bei der Belegnachreichung übermittelte Dokumente (PDF/Bilder, z.B. Spendenquittungen, Rechnungen). Diese können besonders sensible Daten enthalten. Die Belege werden ausschließlich für die Übermittlung an das Finanzamt verarbeitet. | Beleg-Inhalte werden nicht dauerhaft gespeichert. Im Versandprotokoll verbleiben nur Metadaten (Dateiname, Typ, Größe, SHA-256-Prüfsumme), nicht die Belege selbst. Vorgemerkte, nicht bestätigte Nachreichungen werden nach 10 Minuten gelöscht. |
| Protokoll-Zugriffs-Audit | Jeder Zugriff auf ein Versandprotokoll (JSON oder PDF) sowie jede Listenabfrage und jede DSGVO-Auskunft wird mit Zeitstempel, Abrufer (Admin-Username oder API-Key-Name), Aktionstyp und auf /24 anonymisierter Client-IP protokolliert. Dient dem Nachweis der Zugriffskontrolle nach Art. 32 Abs. 1 lit. d DSGVO und der Erkennung unbefugter Zugriffsversuche. | 10 Jahre (parallel zur Aufbewahrung der Protokolle), append-only. |
| Zertifikate | Beim User-Cert-Upload: das hochgeladene PFX-Zertifikat im fluechtigen Session-Speicher. | Max. 1 Stunde, dann automatische Loeschung. |
| Logdaten | IP-Adresse, Zeitstempel, API-Pfad, HTTP-Status. KEINE Steuerdaten in Logs. | Max. 90 Tage, dann automatische Loeschung. |
| Adminkonto-Daten | Bei autorisierten Verwaltern: E-Mail, TOTP-Geheimnis (verschluesselt), Login-Zeitpunkte. | Solange das Adminkonto besteht. |
Es findet KEINE Uebermittlung in Drittlaender ausserhalb der EU statt.
Der durch die Finanzverwaltung erlassene Steuerbescheid wird ausschliesslich an den Steuerpflichtigen versandt (postalisch an die im Steuerfall hinterlegte Adresse oder elektronisch in dessen persoenliches ELSTER-Postfach). Steuer-Online MF GmbH erhaelt keinen Steuerbescheid und hat keinen Einblick in den Inhalt des Bescheides. Wir uebermitteln ausschliesslich die Erklaerung — der Ruecklauf erfolgt direkt zwischen Finanzverwaltung und Steuerpflichtigem.
Der Dienst „ELSTER BOT" ist ausdruecklich keine Steuerberatung im Sinne des Steuerberatungsgesetzes (StBerG). Wir leisten ausschliesslich die technische Uebermittlung der Daten an die Finanzverwaltung. Die fachliche Richtigkeit der Daten verantwortet der jeweilige Steuerpflichtige bzw. dessen Steuerberater.
Sie haben folgende Rechte gegenueber uns:
Anfragen bitte schriftlich an: info@steuer-online.de. Wir antworten binnen eines Monats.
Spezielles zur Auskunft ueber Versandprotokolle (Art. 15 DSGVO): Wir koennen anhand Ihrer Steuernummer, Identifikationsnummer (IdNr) oder einer von uns intern verwendeten Mandanten-Kennung alle Sie betreffenden Versandvorgaenge ermitteln. Die Auskunft wird durch einen autorisierten Mitarbeiter im Vier-Augen-Prinzip geprueft und als signiertes PDF ueber einen verifizierten Kanal (Brief oder verschluesselte E-Mail) versandt. Eine direkte Self-Service-Abfrage ueber das Internet besteht aus Schutz vor Identitaetsdiebstahl bewusst nicht.
Wir verwenden keine Tracking-Cookies. Im Admin-Bereich wird ein einzelnes, technisch notwendiges
Session-Cookie (elster_admin_session) zur Aufrechterhaltung der Anmeldung gesetzt
(HttpOnly, Secure, SameSite=Lax). Ohne dieses Cookie ist eine Bedienung des Admin-Dashboards nicht moeglich.
Für die Steuersoft GmbH und die Steuer-Online MF GmbH ist folgender externer Datenschutzbeauftragter benannt:
Nina Rümmele
Perfekter Datenschutz (OT) GmbH
Am Paradeplatz 20, 69126 Heidelberg
E-Mail: Kunden@perfekter-datenschutz.de
Telefon: 069 2475 10 260
Wir behalten uns vor, diese Datenschutzerklaerung anzupassen, sofern dies durch Aenderungen der Rechtslage oder unseres Dienstes erforderlich wird. Die jeweils aktuelle Version ist unter elster.steuer-online.de/datenschutz abrufbar.