What sources does Taxxa search?

Taxxa searches a continuously updated collection of more than one million pages from tax authorities, government publications, legislation and case law across the European jurisdictions it covers. Every response cites the underlying material, so a professional can inspect the rule, its jurisdiction and whether it is current before relying on the result.

Can Taxxa work with a team’s own documents?

Yes. Research can combine the public knowledge base with a team’s own PDF, DOCX, CSV and TXT files in one workspace. That makes it possible to compare a client document with the relevant guidance, trace a conclusion to its source and prepare a draft without losing the evidence that supports it.

Who is Taxxa built for?

Accountants, auditors, tax advisors, payroll specialists, bookkeepers and advisory teams working across European jurisdictions. Shared workspaces keep research available to colleagues, and citations make review easier.

Where is customer data stored, and is it used to train models?

Customer data stays in the European Union and is never used to train language models.

Does Taxxa replace professional judgement?

No. Taxxa is a research and drafting workspace. It helps professionals reach an informed starting point faster; the professional still reviews the evidence and makes the final decision. It does not file returns, post bookkeeping entries or give legal advice.

DenmarkDatatilsynet

Alvorlig kritik af bilforhandler efter brud på 48.000 data

Et ransomwareangreb blotlagde oplysninger om over 48.000 personer – herunder 25.000–30.000, hvis oplysninger skulle have været slettet år tidligere fra et udfaset serverdrev.

By Taxxa AI OyPublished 9 November 2026

IT, Cybersecurity & Data

Industry: Across industries

Den danske databeskyttelsesmyndighed DatatilsynetDatatilsynet har udtalt alvorlig kritikDatatilsynet af bilforhandleren Jan NygaardDatatilsynet efter et ransomwareangreb, der kompromitterede personoplysningerDatatilsynet om mere end 48.000 personerDatatilsynet, de fleste kunder. Sagen handlede om oplysninger, der slet ikke burde have været der: personoplysninger om mellem 25.000 og 30.000 kunder lå fortsat på et serverdrevDatatilsynet, som ikke længere var tiltænkt opbevaring af personoplysningerDatatilsynet.

Angriberen trængte ind via forhandlerens terminalserverDatatilsynet i slutningen af december 2024, eskalerede sine rettigheder og efterlod en kryptering og et løsesumsnotat, som blev opdaget, efter at virksomheden fandt sine systemer utilgængelige den 5. januar 2025. Forhandleren anmeldte bruddet til Datatilsynet den 6. januar 2025. De stjålne oplysninger omfattede navne, adresser, telefonnumre og e-mailadresser, og for mindre grupper personnumre, kørekortoplysninger herunder fotos i få tilfælde, årsopgørelser, økonomiske oplysninger og, for medarbejdere, lønsedler i nogle tilfælde. Alle berørte blev underrettet senest den 9. april 2025.

De kompromitterede oplysninger lå på et serverdrev, der blev brugt mellem 2009 og 2022. Efter at virksomheden var gået over til SharePoint, burde opbevaringen på drevet være ophørt, serveren burde have været nedlagt, og oplysningerne slettet i 2018Datatilsynet. Forhandleren forklarede Datatilsynet, at en personaleinstruks fra 2018 havde sagt, at personoplysninger ikke længere måtte opbevares på drevet, men at medarbejderne af vane blev ved med at gemme oplysninger der, og at ingen i virksomheden havde ansvaret for oplysningerne på drevet. Datatilsynet godtog ikke den forklaring som afgørendeDatatilsynet: det fandt, at de skriftlige instrukser fortsat tillod opbevaring på et »fællesdrev«Datatilsynet, så medarbejderne med rimelighed kunne opfatte det kompromitterede serverdrev som et tilladt opbevaringsstedDatatilsynet.

Forhandleren havde en organisatorisk foranstaltning (regler for opbevaring) og en teknisk foranstaltning (automatisk sletning i SharePoint, hvor oplysningerne rettelig skulle have ligget). Men fra 2018 og frem til bruddet gennemførte den aldrig en procedure for regelmæssig afprøvning, vurdering og evaluering af, om foranstaltningerne virkedeDatatilsynet, sådan som databeskyttelsesforordningens artikel 32, stk. 1, litra d, forudser. Den opdagede derfor aldrig, at der fortsat hobede sig oplysninger op på det gamle drevDatatilsynet, og at foranstaltningerne ikke havde den tilsigtede virkningDatatilsynet.

Datatilsynets konklusion er, at forhandleren overtrådte opbevaringsbegrænsningen i databeskyttelsesforordningens artikel 5, stk. 1, litra eDatatilsynet og pligten til behandlingssikkerhed i artikel 32, stk. 1Datatilsynet. Afgørelsen understreger et punkt, der rækker ud over denne forhandler: fortegnelser over behandling efter artikel 30 og løbende kontrol med sikkerhedsforanstaltninger er ikke formelle krav, men forudsætningen for at efterleve de grundlæggende principper i praksisDatatilsynet. Brud, der først opdages, når et angreb lykkes, rammer langt flere personer, end de ville have gjort, hvis den dataansvarlige havde overholdt sine egne slettefrister. At nedlægge en server, der ikke bør indeholde personoplysninger, er i sig selv en af de mest effektive sikkerhedsforanstaltninger, bemærker afgørelsen.

Retsgrundlaget er forordning (EU) 2016/679Datatilsynet, artikel 5, stk. 1, litra e (opbevaringsbegrænsning) og artikel 32, stk. 1 (behandlingssikkerhed), med artikel 30 (fortegnelser over behandling) og artikel 32, stk. 1, litra d (regelmæssig afprøvning og evaluering) som støtte for begrundelsen.

Find udfasede drev og servere med efterladte personoplysninger, nedlæg opbevaring, der ikke længere er brug for, og kontrollér løbende, at slettefrister og sikkerhedsforanstaltninger virker i praksis.

Sources