Datenschutzerklärung

Stand: 23.10.2026

Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn Sie unsere Website rechnungsklar.de besuchen oder unser Portal app.rechnungsklar.de nutzen. Sie gilt für beides. „Wir“ ist der unter Abschnitt 2 genannte Verantwortliche.

1. Auf einen Blick

• Verantwortlich ist Piotr Hajdas (RechnungsKlar). Für Fragen zum Datenschutz erreichen Sie uns unter legal@rechnungsklar.de. Alle Angaben stehen in Abschnitt 2.
• Diese Erklärung gilt für die Website und für das Portal.
• Website: Ohne Ihre Einwilligung setzen wir keine Cookies. Google Analytics läuft nur, wenn Sie im Cookie-Hinweis auf „Akzeptieren“ klicken.
• Portal: Für Ihr Konto, Ihre Anmeldung und den Vertrag mit Ihnen sind wir verantwortlich. Rechnungen, Angebote und Kunden, die Sie im Portal anlegen, verarbeiten wir in Ihrem Auftrag. Dafür bleiben Sie als Betrieb verantwortlich.
• Wir nutzen die Inhalte unserer Kunden nicht für eigene Zwecke. Keine Werbung, keine Auswertung.
• Unser Server und unsere Datenbank stehen in Deutschland (Hetzner). Dateien und Sicherungskopien speichern wir bei Cloudflare in der EU. Einige Dienstleister haben ihren Sitz in den USA. Welche das sind und auf welcher Grundlage: Abschnitt 7.1.
• Ihre Rechte: Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Widerspruch. Details in Abschnitt 9, das Widerspruchsrecht in Abschnitt 9.1.

2. Verantwortlicher und Kontakt

Verantwortlich für die Verarbeitung Ihrer Daten auf der Website und im Portal ist:

Piotr Hajdas
Fronwieserstraße 3
86956 Schongau
Deutschland

E-Mail (allgemein): info@rechnungsklar.de
E-Mail für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte: legal@rechnungsklar.de

Einen Datenschutzbeauftragten haben wir nicht benannt.

3. Wofür wir verantwortlich sind — und wofür unsere Kunden

„Kunde“ ist in dieser Erklärung der Betrieb, der mit uns einen Vertrag über das Portal hat. „Nutzer“ sind die Personen, die sich im Portal anmelden.

Dafür sind wir Verantwortlicher im Sinne der DSGVO:

• Besuch der Website, Kontaktformular, Downloads, Newsletter
• Prüfwerkzeug für E-Rechnungen auf der Website
• Konto und Anmeldung des Inhabers, der den Vertrag mit uns schließt
• Vertrag, Testphase und Abrechnung
• Support und Feedback
• Statusseite

Das verarbeiten wir im Auftrag unseres Kunden; der Kunde ist dafür Verantwortlicher:

• alle Inhalte, die der Kunde und seine Nutzer im Portal anlegen: Empfänger von Rechnungen und Angeboten, Ansprechpartner, Projektbeteiligte, Gebäude und Objekte, Freitexte, Dateien
• die Konten der Nutzer, die der Kunde in sein Portal einlädt, mit deren Anmelde- und Protokolldaten
• das Änderungsprotokoll des Portals (wer hat wann was geändert)

Grundlage ist der Vertrag zur Auftragsverarbeitung, Anlage 1 unserer AGB. Was das für Sie bedeutet, steht in Abschnitt 6.

4. Besuch der Website

4.1 Aufruf der Website

Wenn Sie rechnungsklar.de aufrufen, übermittelt Ihr Browser technische Daten. Ohne sie lässt sich keine Seite ausliefern.

• Welche Daten: IP-Adresse, aufgerufene Adresse, Zeitpunkt, Angaben zu Browser und Betriebssystem (User-Agent), die zuvor besuchte Seite (Referrer).
• Wozu: Auslieferung der Website, verschlüsselte Verbindung, Schutz vor Angriffen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine funktionierende und geschützte Auslieferung der Website.
• Wer die Daten erhält: Cloudflare, Inc. betreibt für uns das Hosting der Website (Cloudflare Pages), die Namensauflösung (DNS) und den vorgeschalteten Proxy. Cloudflare ist unser Auftragsverarbeiter. Sitz in den USA, siehe Abschnitt 7.1.
• Wie lange: Wir selbst speichern keine Zugriffsprotokolle der Website. Die Seiten werden fertig gebaut ausgeliefert, ein eigener Webserver mit Protokoll ist nicht beteiligt. Cloudflare bewahrt für uns keine vollständigen Zugriffsprotokolle auf. Statistiken und Sicherheitsereignisse zu unserer Website, darunter IP-Adressen, hält Cloudflare 31 Tage vor. Darüber hinaus speichert Cloudflare Verbindungsdaten nach eigenen Angaben nur so lange, wie es für die Erbringung seiner Leistung nötig ist.
• Pflicht oder freiwillig: Die Übermittlung ist technisch notwendig. Ohne sie ist kein Seitenaufruf möglich.

Beim Aufruf der Website setzen wir ohne Ihre Einwilligung keine Cookies. Schriften und Bilder liefern wir von unseren eigenen Adressen aus. Vor Ihrer Einwilligung lädt die Website keine Inhalte von fremden Servern. Einzige Ausnahme ist das Prüfverfahren nach Abschnitt 4.5 auf den Seiten mit einem Formular.

4.2 Kontaktformular

• Welche Daten: Name, E-Mail-Adresse, Telefonnummer (freiwillig), Betreff, Ihre Nachricht. Dazu läuft die Prüfung auf automatisierte Zugriffe nach Abschnitt 4.5.
• Wozu: Beantwortung Ihrer Anfrage.
• Rechtsgrundlage: Betrifft Ihre Anfrage einen Vertrag mit uns oder dessen Anbahnung, Art. 6 Abs. 1 lit. b DSGVO. Sonst Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Anfragen zu beantworten.
• So läuft es ab: Ihre Angaben gehen an unseren Server bei Hetzner. Von dort werden sie als E-Mail über Acumbamail in unser Postfach bei Microsoft (Microsoft 365) zugestellt. Wir speichern Anfragen nicht in einer Datenbank.
• Wer die Daten erhält: Hetzner Online GmbH (Server), Acumbamail, S.L.U. (E-Mail-Versand), Cloudflare, Inc. (Durchleitung und Prüfung nach 4.5), Microsoft Ireland Operations Limited (Postfach, Microsoft 365). Einzelheiten in Abschnitt 7.
• Wie lange: 12 Monate ab Eingang. Danach wird der Versandeintrag auf unserem Server automatisch gelöscht; die E-Mail im Postfach löschen wir im selben Zeitraum. Wird aus Ihrer Anfrage geschäftliche Korrespondenz, zum Beispiel weil ein Vertrag zustande kommt, bewahren wir sie 6 Jahre auf (Abschnitt 5.6).
• Pflicht oder freiwillig: Freiwillig. Ohne Name, E-Mail-Adresse und Nachricht können wir nicht antworten.

4.3 Downloads per E-Mail

Auf einigen Seiten bieten wir Unterlagen zum Herunterladen an. Den Link schicken wir Ihnen per E-Mail.

• Welche Daten: E-Mail-Adresse, gewählte Unterlage, Seite, von der Sie sie angefordert haben, Zeitpunkt. Keine IP-Adresse. Die Prüfung nach Abschnitt 4.5 lädt erst, wenn Sie das Formular öffnen.
• Wozu: Zusendung des Download-Links. Kein Newsletter, keine Werbung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; wir erfüllen Ihre Anforderung.
• Wer die Daten erhält: Hetzner Online GmbH (Server), Acumbamail, S.L.U. (E-Mail-Versand), Cloudflare, Inc. (Durchleitung und Prüfung nach 4.5).
• Wie lange: Der Eintrag und die Versand-E-Mail werden 30 Tage nach der Anforderung automatisch gelöscht.
• Pflicht oder freiwillig: Freiwillig. Ohne E-Mail-Adresse können wir den Link nicht zusenden.

4.4 Reichweitenmessung mit Google Analytics (nur mit Einwilligung)

Google Analytics lädt erst, wenn Sie im Cookie-Hinweis auf „Akzeptieren“ klicken. Vorher geht keine Anfrage an Google. Klicken Sie auf „Ablehnen“, wird Google Analytics nie geladen.

Ihre Einwilligung umfasst außerdem, dass wir an den Link „Kostenlos testen“ die Adresse der Seite anhängen, auf der Sie gerade sind, siehe Abschnitt 5.1.

• Anbieter: Google Ireland Limited, Dublin, Irland, ist unser Vertragspartner. Daten werden auch von Google LLC in den USA verarbeitet. Google ist für die Reichweitenmessung unser Auftragsverarbeiter.
• Welche Daten: aufgerufene Seiten, Angaben zu Gerät und Browser, Cookie-Kennungen, die IP-Adresse beim Abruf. Nach Angaben von Google speichert Google Analytics IP-Adressen von Nutzern aus der EU nicht, sondern nutzt sie nur kurz zur groben Bestimmung des Standorts.
• Wozu: Reichweitenmessung, Verbesserung der Website.
• Rechtsgrundlage: Ihre Einwilligung. Für den Zugriff auf Ihr Gerät § 25 Abs. 1 TDDDG, für die Auswertung Art. 6 Abs. 1 lit. a DSGVO.
• Unsere Einstellungen bei Google: Nutzerdaten werden in Google Analytics nach 2 Monaten gelöscht. Google-Signale, Anzeigenpersonalisierung und die Verknüpfung mit Google Ads sind abgeschaltet.
• Cookies: _ga und _ga_<ID>, siehe Abschnitt 8.
• Übermittlung in die USA: siehe Abschnitt 7.1.
• Widerruf: Sie können Ihre Einwilligung jederzeit widerrufen. Klicken Sie dazu auf „Cookie-Einstellungen“ in der Fußzeile jeder Seite und wählen Sie „Ablehnen“. Der Widerruf gilt für die Zukunft; die Verarbeitung bis dahin bleibt rechtmäßig. In einem bereits geöffneten Fenster endet die Messung mit dem nächsten Seitenwechsel.
• Pflicht oder freiwillig: Freiwillig. Ohne Einwilligung können Sie die Website in vollem Umfang nutzen.

4.5 Schutz vor automatisierten Zugriffen (Cloudflare Turnstile)

Unsere Formulare und die Anmeldung schützen wir mit Cloudflare Turnstile. Das Verfahren prüft, ob eine Anfrage von einem Menschen oder von einem automatisierten Programm kommt.

• Wo: Kontaktformular, Download-Formular und Prüfwerkzeug für E-Rechnungen auf der Website; Registrierung, Anmeldung und „Passwort vergessen“ im Portal.
• Welche Daten: IP-Adresse, Merkmale von Browser und Verbindung (unter anderem TLS-Fingerabdruck und User-Agent), die aufgerufene Seite, ein einmaliges Prüf-Token.
• Wozu: Abwehr automatisierter Zugriffe und Missbrauch der Formulare und Konten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz der Formulare und der Konten unserer Nutzer.
• Wer die Daten erhält: Cloudflare, Inc., USA. Für die Prüfung ist Cloudflare unser Auftragsverarbeiter. Die Merkmale verarbeitet Cloudflare zusätzlich in eigener Verantwortung, um seine Erkennung automatisierter Zugriffe zu verbessern.
• Wie lange: Wir selbst speichern weder die Merkmale noch das Prüf-Token. Für die Merkmale nennt Cloudflare keine feste Frist; Cloudflare speichert sie nach eigenen Angaben nur so lange, wie es für die Prüfung und die Verbesserung der Erkennung nötig ist. Sicherheitsereignisse zu unserer Website hält Cloudflare 31 Tage vor (Abschnitt 4.1).
• Cookies: In unserer Einstellung setzt Cloudflare keine Cookies.
• Übermittlung in die USA: siehe Abschnitt 7.1.
• Pflicht oder freiwillig: Ohne die Prüfung lässt sich kein Formular absenden und keine Anmeldung abschließen.

4.6 Statusseite

• Statusseite: Unter status.rechnungsklar.de zeigen wir, ob Website und Portal erreichbar sind. Diese Seite betreibt Better Stack. Wenn Sie sie aufrufen, geht Ihre IP-Adresse an Better Stack.
• Anbieter: Better Stack, Inc., Delaware, USA. Nach Angaben des Anbieters werden die Daten standardmäßig in Rechenzentren in der EU gespeichert.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Sie über Störungen und die Erreichbarkeit von Website und Portal zu informieren.
• Wie lange: Better Stack speichert die Daten nach seinem Vertrag mit uns für die Dauer unserer Zusammenarbeit; eine feste Frist nennt der Anbieter nicht. Mehr zur Verarbeitung durch Better Stack: betterstack.com/privacy.
• Übermittlung in die USA: siehe Abschnitt 7.1.

4.7 Prüfwerkzeug für E-Rechnungen

Unter rechnungsklar.de/e-rechnung-pruefen können Sie eine E-Rechnung (ZUGFeRD-Rechnung als PDF oder XRechnung als XML-Datei) hochladen und technisch prüfen lassen.

• Welche Daten: die hochgeladene Datei. Sie enthält in der Regel Angaben zum Rechnungsaussteller und zum Rechnungsempfänger, zum Beispiel Name, Anschrift, Umsatzsteuer-Identifikationsnummer und Bankverbindung, sowie die Inhalte der Rechnung. Betroffen sein können also auch Personen, die das Werkzeug nicht selbst nutzen, etwa Rechnungsempfänger. Dazu Ihre IP-Adresse und die Prüfung auf automatisierte Zugriffe nach Abschnitt 4.5.
• Wozu: Durchführung der von Ihnen angeforderten Prüfung und Schutz des Werkzeugs vor Missbrauch, unter anderem durch die Grenze von einer Prüfung pro Tag.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, ein kostenloses Prüfwerkzeug anzubieten und unsere Systeme vor Missbrauch zu schützen.
• So läuft es ab: Die Datei geht verschlüsselt über Cloudflare an unseren Server bei Hetzner und wird dort mit Prüfprogrammen geprüft, die auf diesem Server laufen. An weitere Dienstleister geht sie nicht.
• Wer die Daten erhält: Hetzner Online GmbH (Server), Cloudflare, Inc. (Durchleitung und Prüfung nach 4.5). Einzelheiten in Abschnitt 7.
• Wie lange: Die Datei wird nur im Arbeitsspeicher oder in einem flüchtigen Zwischenspeicher verarbeitet und nach der Prüfung gelöscht, in der Regel nach wenigen Sekunden. Wir speichern weder die Datei noch ihren Inhalt noch das Ergebnis, und wir protokollieren weder Inhalte noch Dateinamen. Für die Tagesgrenze halten wir Ihre IP-Adresse für den laufenden Kalendertag im Arbeitsspeicher; danach wird sie verworfen. Für die Protokolle des Servers gilt Abschnitt 5.7.
• Übermittlung in die USA: siehe Abschnitt 7.1.
• Pflicht oder freiwillig: Freiwillig. Ohne Datei ist keine Prüfung möglich; alternativ können Sie die Beispielrechnung ansehen.
• Hinweis für Personen, deren Daten in einer hochgeladenen Rechnung stehen: Eine einzelne Benachrichtigung wäre unmöglich oder unverhältnismäßig, denn wir halten die Daten nach der Prüfung nicht mehr (Art. 14 Abs. 5 lit. b DSGVO). Stattdessen stellen wir diese Informationen hier öffentlich bereit. Ihr Recht auf Beschwerde bei einer Aufsichtsbehörde (Abschnitt 9.2) bleibt unberührt.

4.8 Kostenlose Werkzeuge im Browser

Die folgenden Werkzeuge arbeiten vollständig in Ihrem Browser: Ihre Eingaben, Ihre Datei und deren Inhalt werden weder an uns noch an Dritte übertragen und nicht dauerhaft gespeichert; den Speicher Ihres Browsers (z. B. localStorage) nutzen wir dafür nicht. Die nötigen Programmteile und Schriften laden wir bei Bedarf über dieselben Server nach, über die wir die Website ausliefern (siehe Abschnitt 4.1), nicht von weiteren fremden Anbietern. Für den Aufruf der Seiten gilt Abschnitt 4.1; haben Sie in die Reichweitenmessung eingewilligt, gilt Abschnitt 4.4 — dabei werden keine Eingaben, keine Inhalte der Datei und kein Dateiname übermittelt.

Abschlagsrechnung-Rechner: Unter rechnungsklar.de/abschlagsrechnung-rechner berechnen Sie aus Ihren Eingaben die Beträge von Abschlagsrechnungen und Schlussrechnung.

E-Rechnungs-Viewer: Unter rechnungsklar.de/e-rechnung-anzeigen können Sie eine E-Rechnung (XRechnung als XML-Datei oder ZUGFeRD-Rechnung als PDF) lesbar anzeigen lassen.

E-Rechnung in PDF umwandeln: Unter rechnungsklar.de/e-rechnung-in-pdf-umwandeln können Sie eine E-Rechnung (XRechnung als XML-Datei oder ZUGFeRD-Rechnung als PDF) öffnen und als lesbares PDF speichern. Das PDF wird auf Ihrem Gerät erzeugt und dort gespeichert, wo Sie es ablegen; es wird weder an uns noch an Dritte übertragen. Sein Dateiname enthält keine Angaben aus der Rechnung (Vorgabe: Lesefassung-E-Rechnung.pdf).

5. Nutzung des Portals

Die Abschnitte 5.1 bis 5.9 gelten für den Inhaber, der den Vertrag mit uns schließt. Für Nutzer, die ein Kunde in sein Portal einlädt, laufen Registrierung, Anmeldung und E-Mails technisch gleich ab. Rechtlich verarbeiten wir deren Daten jedoch im Auftrag des Kunden, siehe Abschnitt 6.

Für den Aufruf des Portals gilt Abschnitt 4.1 entsprechend: Cloudflare liefert die Oberfläche aus und leitet Ihre Anfragen an unseren Server bei Hetzner weiter. Das Portal lädt Schriften und Bilder von unseren eigenen Adressen.

5.1 Registrierung und Einrichtung

• Ablauf: Sie registrieren sich nur mit Ihrer E-Mail-Adresse. Wir schicken Ihnen einen Anmeldelink. Nach der ersten Anmeldung nehmen Sie im Schritt „Einrichtung abschließen“ die AGB einschließlich der Vereinbarung zur Auftragsverarbeitung an. Erst danach legen Sie Ihren Betrieb an.
• Bis zur Annahme der AGB: In dieser Zeit verarbeiten wir nur Ihre E-Mail-Adresse, den Anmeldelink, Ihre Sitzung (Abschnitt 5.2) und, falls vorhanden, die Herkunft der Anmeldung (unten). Zweck ist, Ihr Konto anzubahnen und Sie anzumelden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf Ihre Anfrage). Nehmen Sie die AGB nicht an, löschen wir das Konto mit diesen Daten automatisch 7 Tage nach der Registrierung.
• Bestätigung: Nach der Registrierung erhalten Sie eine E-Mail mit einem Anmeldelink. Der Link ist 15 Minuten gültig und nur einmal verwendbar. Abgelaufene und verwendete Links löschen wir stündlich.
• Welche Daten nach der Annahme der AGB:
  • Konto: E-Mail-Adresse, Zeitpunkt Ihrer Zustimmung zu den AGB, Version der AGB und Version des Vertrags zur Auftragsverarbeitung; auf Wunsch ein Passwort (nie im Klartext gespeichert, nur als nicht umkehrbarer Prüfwert, sogenannter Hash), Vorname, Nachname und ein Profilbild, die Sie in Ihrem Profil angeben.
  • Betrieb: Firmenname, Anschrift, USt-IdNr. oder Steuernummer, Kontakt-E-Mail und -Telefon, Bankverbindung, Ansprechperson des Betriebs (Name, E-Mail, Telefon).
  • Fragen bei der Einrichtung: Gewerk, Betriebsgröße, wie Sie auf uns aufmerksam wurden.
• Wozu: Konto anlegen und führen, Testphase und Vertrag durchführen. Die Testphase dauert 14 Tage ab dem Anlegen Ihres Betriebs.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für die Frage, wie Sie auf uns aufmerksam wurden, Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist zu wissen, über welche Wege Betriebe uns finden, um unser Angebot bekannt zu machen.
• Herkunft der Anmeldung: Klicken Sie auf unserer Website auf „Kostenlos testen“, enthält der Link die Adresse der Seite, auf der Sie gerade waren (zum Beispiel /funktionen), sofern Sie im Cookie-Hinweis auf „Akzeptieren“ geklickt haben. Registrieren Sie sich, speichern wir diese Angabe bei Ihrem Konto. Wir werten sie nur zusammengefasst nach Seiten aus, um zu sehen, welche Inhalte Betriebe zu uns führen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist zu wissen, welche Seiten unserer Website zu Registrierungen führen, um unser Angebot bekannt zu machen. Für das Anhängen der Seitenadresse an den Link gilt Ihre Einwilligung nach § 25 Abs. 1 TDDDG, siehe Abschnitt 4.4. Wir speichern die Angabe 12 Monate ab Registrierung; ein Konto ohne Annahme der AGB löschen wir mit dieser Angabe schon nach 7 Tagen (oben). Die Angabe ist für die Registrierung nicht nötig; Sie können sich auch ohne sie registrieren.
• Wer die Daten erhält: Hetzner Online GmbH (Server und Datenbank), Acumbamail, S.L.U. (Anmeldelink und Willkommens-E-Mail), Cloudflare, Inc. (Durchleitung und Prüfung nach Abschnitt 4.5).
• Wie lange: Nehmen Sie die AGB nicht an, 7 Tage ab Registrierung (oben). Sonst bis zur Löschung des Betriebs, siehe Abschnitt 5.9.
• Pflicht oder freiwillig: Ohne E-Mail-Adresse können wir kein Konto anlegen, ohne die Angaben zu Ihrem Betrieb den Vertrag nicht erfüllen. Name, E-Mail-Adresse und Telefonnummer einer Ansprechperson des Betriebs sind bei der Einrichtung Pflichtangaben; ohne sie können Sie die Einrichtung nicht abschließen. Passwort, Vorname, Nachname und Profilbild in Ihrem Profil, die Kontakt-Telefonnummer des Betriebs und die Frage, wie Sie auf uns aufmerksam wurden, sind freiwillig.

5.2 Anmeldung, Sitzung, Schutz des Kontos

• Sitzung: Nach der Anmeldung speichern wir eine Sitzungskennung, Ihre IP-Adresse, eine gekürzte Angabe zu Ihrem Browser und die Ablaufzeit. Die Sitzung läuft bis zu 30 Tage und endet sofort, wenn Sie sich abmelden. Abgelaufene Sitzungen löschen wir 7 Tage nach Ablauf.
• Anmeldeereignisse: Wer sich wann, auf welchem Weg, mit welcher IP-Adresse und welchem Browser angemeldet hat, speichern wir 90 Tage.
• Fehlversuche: Bei wiederholten Fehlversuchen sperren wir die Anmeldung vorübergehend. Das Zählfenster beträgt 15 Minuten; die Einträge werden stündlich bereinigt.
• Passwort vergessen: Der Link zum Zurücksetzen ist 10 Minuten gültig. Abgelaufene Links löschen wir stündlich.
• Wozu: Anmeldung, Schutz Ihres Kontos, Erkennen von Missbrauch.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Anmeldung als Teil des Vertrags; für die Schutzmaßnahmen Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Sicherheit Ihres Kontos.
• Wer die Daten erhält: Hetzner Online GmbH (Server und Datenbank), Cloudflare, Inc. (Durchleitung und Prüfung nach Abschnitt 4.5).
• Cookie: Die Sitzung hält ein Cookie namens rechnungsklar_session, siehe Abschnitt 8.
• Pflicht oder freiwillig: Ohne diese Daten ist keine Anmeldung möglich.

5.3 Newsletter

• Anmeldung: Nur über das eigene, nicht vorausgewählte Kästchen im Schritt „Einrichtung abschließen“ nach Ihrer ersten Anmeldung, mit dem Wortlaut „Ja, ich möchte den Newsletter mit Tipps rund um Rechnung & Handwerksalltag erhalten.“ Danach schicken wir Ihnen eine Bestätigungs-E-Mail. Erst wenn Sie den Link darin anklicken, sind Sie angemeldet (Double-Opt-in). Der Link ist 7 Tage gültig.
• Welche Daten: E-Mail-Adresse, Status der Anmeldung, Quelle, Wortlaut der Einwilligung, Zeitpunkte von Anforderung, Bestätigung und Abmeldung. Keine IP-Adresse.
• Wozu: Versand des Newsletters und Nachweis Ihrer Einwilligung.
• Rechtsgrundlage: Für den Versand Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Für den Nachweis der Einwilligung nach einer Abmeldung Art. 6 Abs. 1 lit. c in Verbindung mit Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO, denn wir müssen eine Einwilligung nachweisen können, sowie Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, uns gegen Ansprüche wegen früher versandter Newsletter verteidigen zu können.
• Widerruf: Jederzeit über den Abmeldelink in jeder Newsletter-E-Mail. Der Widerruf gilt für die Zukunft; die Verarbeitung bis dahin bleibt rechtmäßig.
• Wer die Daten erhält: Hetzner Online GmbH (Datenbank), Acumbamail, S.L.U. (Versand).
• Wie lange: Bestätigte Anmeldungen bis zu Ihrer Abmeldung. Unbestätigte und abgemeldete Einträge löschen wir zusammen mit der Bestätigungs-E-Mail nach 30 Tagen. Hatten Sie die Anmeldung bestätigt, bewahren wir dabei einen Nachweis Ihrer Einwilligung auf: E-Mail-Adresse, Wortlaut der Einwilligung, Quelle und die Zeitpunkte von Anforderung, Bestätigung und Abmeldung, keine IP-Adresse. Wir nutzen ihn nur, um die Einwilligung belegen zu können, und löschen ihn automatisch zum Ende des dritten Kalenderjahres nach Ihrer Abmeldung.
• Pflicht oder freiwillig: Freiwillig. Ohne Newsletter können Sie das Portal in vollem Umfang nutzen.

5.4 E-Mails an Nutzer

• Welche E-Mails: Anmeldelink zur Registrierung und Anmeldung, Zurücksetzen des Passworts, Einladung in einen Betrieb, Hinweise zur Testphase, Hinweise zur Löschung.
• Versand: über Acumbamail, S.L.U., Spanien, von der Absenderdomain mail.rechnungsklar.de.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Wie lange: Den Versandverlauf (Empfänger, Betreff, Zeitpunkt, Ergebnis) bewahren wir bis zur Löschung des Betriebs auf. Anhänge entfernen wir nach dem Versand.
• Rechnungen und Angebote, die Sie über das Portal an Ihre eigenen Kunden senden, verarbeiten wir in Ihrem Auftrag, siehe Abschnitt 6.

5.5 Vertrag und Abrechnung

• Welche Daten: Stammdaten des Betriebs, gewählter Tarif, Laufzeit, Abrechnungszeitraum, Stand Ihrer Zahlungen.
• Wozu: Abrechnung des Vertrags. Wir rechnen per Rechnung und Überweisung ab; einen Zahlungsdienstleister setzen wir nicht ein.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Abrechnung, Art. 6 Abs. 1 lit. c DSGVO für die gesetzliche Aufbewahrung.
• Wer die Daten erhält: unsere Steuerberatung und unsere Bank (Zahlungseingang). Ein externes Rechnungswerkzeug setzen wir nicht ein.
• Wie lange: Rechnungen und Buchungsbelege 8 Jahre ab Ende des Jahres, in dem die Rechnung ausgestellt wurde oder der Beleg entstanden ist (§ 14b Abs. 1 UStG, § 147 Abs. 3 und 4 AO). Geschäftliche Korrespondenz 6 Jahre ab Ende des Jahres, in dem sie empfangen oder abgesandt wurde (§ 147 Abs. 1 Nr. 2 und 3, Abs. 3 und 4 AO). Eine frühere Löschung ist in dieser Zeit ausgeschlossen (Art. 17 Abs. 3 lit. b DSGVO).
• Pflicht oder freiwillig: Für den Vertrag erforderlich. Die Aufbewahrung ist gesetzlich vorgeschrieben.

5.6 Support, Feedback, E-Mail-Kontakt

• Welche Daten: Inhalt Ihrer Nachricht, Absender, Ihre Kontaktdaten. Feedback aus dem Portal kommt als E-Mail bei uns an. Eine Datenbank oder ein Ticketsystem gibt es dafür nicht.
• Rechtsgrundlage: Bei Kunden Art. 6 Abs. 1 lit. b DSGVO. Sonst Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Anfragen zu beantworten.
• Wer die Daten erhält: Acumbamail, S.L.U. (Weiterleitung des Feedbacks aus dem Portal), Microsoft Ireland Operations Limited (Postfach, Microsoft 365).
• Wie lange: Allgemeine Anfragen 12 Monate. Geschäftliche Korrespondenz mit Kunden 6 Jahre (§ 147 AO).
• Einsicht zur Fehlersuche: Müssen wir zur Behebung eines Fehlers Inhalte in Ihrem Portal ansehen, geschieht das in Ihrem Auftrag, siehe Abschnitt 6.

5.7 Protokolle des Servers

Unser Server schreibt zur Fehlersuche und zur Sicherheit Protokolle. Darin stehen unter anderem E-Mail- und IP-Adressen. Wir bewahren sie nur so lange auf, wie wir sie für Fehlersuche und Sicherheit brauchen. Ältere Einträge werden automatisch überschrieben, spätestens bei der nächsten Aktualisierung der Software.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Fehler zu beheben und Angriffe zu erkennen.
• Ort: Hetzner Online GmbH, Deutschland.

5.8 Speicherorte und Sicherungskopien

• Server und Datenbank: Hetzner Online GmbH, Rechenzentrum Falkenstein, Deutschland.
• Rechnungs-PDFs (mit eingebetteter XML-Datei): Cloudflare R2, Speicherort EU. Nicht öffentlich abrufbar.
• Bilder (Firmenlogo, eigene Bilder, Profilbilder): Cloudflare R2, Speicherort EU. Diese Dateien sind über cdn.rechnungsklar.de öffentlich abrufbar, wenn jemand die genaue Adresse kennt.
• Sicherungskopien: Jede Nacht sichern wir die Datenbank und die Rechnungs-PDFs verschlüsselt. Den Schlüssel hat Cloudflare nicht. Die Sicherung liegt bei Cloudflare R2 (EU); dort ist sie 30 Tage unveränderbar und wird nach 37 Tagen gelöscht. Eine zusätzliche Kopie der Datenbank liegt bei Hetzner und wird nach 3 Tagen gelöscht. Bilder werden nicht gesichert.
• Cloudflare, Inc. ist ein Unternehmen mit Sitz in den USA, auch wenn die Daten in der EU gespeichert werden. Siehe Abschnitt 7.1.

5.9 Löschung nach Vertragsende oder Kontolöschung

• Kontolöschung durch Sie: Sie exportieren zuerst Ihre Daten und bestätigen die Löschung mit einem Code. Alle Nutzer des Betriebs werden sofort gesperrt. 14 Tage nach der Bestätigung löschen wir alle Daten des Betriebs.
• Testphase ohne Tarif: Nach Ende der Testphase können Sie Ihre Daten nur noch lesen und exportieren. Wir erinnern Sie 8 und 4 Wochen vorher. 90 Tage nach Ende der Testphase löschen wir alle Daten des Betriebs.
• Kündigung: Nach Vertragsende können Sie Ihre Daten 90 Tage lang lesen und exportieren. Wir erinnern Sie 8 und 4 Wochen vor der Löschung. 90 Tage nach Vertragsende löschen wir alle Daten des Betriebs.
• Sicherungskopien: Gelöschte Daten sind in Sicherungskopien noch höchstens 37 Tage enthalten (Abschnitt 5.8).
• Aufbewahrungspflichten: Für Ihre Rechnungen gelten gesetzliche Aufbewahrungsfristen. Diese erfüllen Sie als Betrieb mit dem Export Ihrer Daten.
• Ausnahme: Unsere eigenen Abrechnungsunterlagen zu Ihrem Vertrag bewahren wir nach Abschnitt 5.5 6 beziehungsweise 8 Jahre auf.
• Newsletter-Nachweis: Haben Sie sich mehr als 30 Tage vor der Löschung vom Newsletter abgemeldet, bleibt der Nachweis Ihrer Einwilligung nach Abschnitt 5.3 bis zum Ende seiner Frist erhalten.

6. Daten, die Sie im Portal verwalten (Auftragsverarbeitung)

Was Sie und Ihre Nutzer im Portal eingeben, verarbeiten wir in Ihrem Auftrag. Das betrifft Empfänger von Rechnungen und Angeboten, Ansprechpartner, Projektbeteiligte, Gebäude und Objekte, Freitexte und Dateien. Ebenso die Konten der Nutzer, die Sie in Ihr Portal einladen.

• Verantwortlicher für diese Daten sind Sie als Betrieb. Grundlage ist der Vertrag zur Auftragsverarbeitung, Anlage 1 unserer AGB.
• Keine eigenen Zwecke: Wir nutzen diese Daten nicht für eigene Zwecke. Keine Werbung, keine Auswertung.
• Weitere Auftragsverarbeiter, die wir dafür einsetzen: Hetzner Online GmbH, Cloudflare, Inc. und Acumbamail, S.L.U. Einzelheiten in Abschnitt 7.
• Speicherdauer: Die bestimmen Sie. Vereinbart ist die Löschung nach Abschnitt 5.9.

Wenn ein Betrieb Ihre Daten bei uns verwaltet — zum Beispiel, weil Sie von ihm eine Rechnung erhalten haben: Ihr Ansprechpartner für Auskunft, Berichtigung oder Löschung ist dieser Betrieb. Wenden Sie sich an uns, leiten wir Ihre Anfrage an den Betrieb weiter und unterstützen ihn bei der Antwort.

7. Dienstleister und Empfänger

Diese Empfänger erhalten personenbezogene Daten von uns. Hetzner, Cloudflare, Acumbamail, Google, Better Stack und Microsoft sind an unsere Weisungen gebunden; mit jedem von ihnen besteht ein Vertrag zur Auftragsverarbeitung. Ausnahme ist der in Abschnitt 4.5 beschriebene Teil, den Cloudflare in eigener Verantwortung verarbeitet. Unsere Steuerberatung und unsere Bank erhalten nur die Daten, die für unsere Buchhaltung und den Zahlungseingang nötig sind.

Acumbamail setzt für den Versand Unterauftragnehmer in Italien, Spanien und Luxemburg ein.

7.1 Übermittlung in die USA

Für die Dienstleister mit Sitz in den USA gilt:

• Cloudflare, Inc.: Die EU-Kommission hat am 10.07.2023 entschieden, dass Unternehmen, die am EU-US Data Privacy Framework teilnehmen, ein angemessenes Datenschutzniveau bieten (Angemessenheitsbeschluss). Cloudflare ist in der Liste dieser Unternehmen eingetragen. Zusätzlich haben wir mit Cloudflare die Standardvertragsklauseln der EU-Kommission vereinbart.
• Google LLC: Derselbe Angemessenheitsbeschluss. Google LLC ist in der Liste eingetragen. Hilfsweise gelten die Standardvertragsklauseln der EU-Kommission.
• Better Stack, Inc.: Standardvertragsklauseln der EU-Kommission.
• Microsoft Corporation: Derselbe Angemessenheitsbeschluss. Microsoft Corporation ist in der Liste eingetragen. Zusätzlich gelten die Standardvertragsklauseln der EU-Kommission, die Microsoft in seinem Datenschutznachtrag mit uns vereinbart hat. Nach Angaben von Microsoft werden die Inhalte unseres Postfachs in der EU gespeichert; Zugriffe aus den USA bleiben für Support und Sicherheitsbetrieb möglich.

Fällt der Angemessenheitsbeschluss weg, gelten die vereinbarten Standardvertragsklauseln.

Die Liste der eingetragenen Unternehmen finden Sie unter dataprivacyframework.gov. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage an legal@rechnungsklar.de.

8. Cookies und Speicher im Browser

Cookies sind kleine Dateien, die eine Website in Ihrem Browser ablegt. Daneben gibt es den Browser-Speicher (Local Storage), der ähnlich funktioniert. Hier steht, was wir auf der Website und im Portal verwenden.

• Die Website setzt darüber hinaus keine Cookies. Das Portal nutzt nur das Sitzungscookie.
• Cloudflare setzt in unserer Einstellung keine Cookies. Die Prüfung nach Abschnitt 4.5 arbeitet mit einem einmaligen Prüf-Token.
• Einstellungen ändern, Einwilligung widerrufen: Klicken Sie auf „Cookie-Einstellungen“ in der Fußzeile jeder Seite der Website. Der Cookie-Hinweis öffnet sich dann erneut.
• Der Cookie-Hinweis erscheint nur auf der Website. Das Portal fragt keine Einwilligung ab, weil es nur das notwendige Sitzungscookie verwendet.

9. Ihre Rechte

Sie haben gegenüber uns folgende Rechte:

• Auskunft (Art. 15 DSGVO): Sie erfahren, welche Daten wir über Sie verarbeiten, wozu, wie lange und an wen wir sie weitergeben.
• Berichtigung (Art. 16 DSGVO): Falsche Daten korrigieren wir. Unvollständige Daten ergänzen wir.
• Löschung (Art. 17 DSGVO): Wir löschen Ihre Daten, wenn wir sie nicht mehr brauchen oder Sie Ihre Einwilligung widerrufen haben. Solange eine gesetzliche Aufbewahrungsfrist läuft (Abschnitt 5.5), ist eine Löschung ausgeschlossen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Wir sperren Ihre Daten, statt sie zu löschen, zum Beispiel solange eine Berichtigung geprüft wird.
• Datenübertragbarkeit (Art. 20 DSGVO): Daten, die wir aufgrund Ihrer Einwilligung oder eines Vertrags automatisiert verarbeiten, erhalten Sie in einem gängigen, maschinenlesbaren Format.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Jederzeit, mit Wirkung für die Zukunft. Die Verarbeitung bis zum Widerruf bleibt rechtmäßig.
• Widerspruch (Art. 21 DSGVO): siehe Abschnitt 9.1.
• Beschwerde (Art. 77 DSGVO): siehe Abschnitt 9.2.

So üben Sie Ihre Rechte aus: Schreiben Sie an legal@rechnungsklar.de oder per Post an die Anschrift in Abschnitt 2. Wir antworten spätestens innerhalb eines Monats. In Ausnahmefällen verlängern wir die Frist um bis zu zwei Monate und teilen Ihnen den Grund mit. Die Bearbeitung ist kostenlos. Haben wir Zweifel, wer anfragt, fragen wir nach, um Ihre Identität zu prüfen.

9.1 Widerspruchsrecht

9.2 Beschwerde bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Postanschrift: Postfach 1349, 91504 Ansbach
www.lda.bayern.de

Sie dürfen sich auch an jede andere Aufsichtsbehörde wenden, insbesondere an die an Ihrem Wohnort, an Ihrem Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes (Art. 77 Abs. 1 DSGVO).

10. Keine automatisierten Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen, und wir erstellen keine Profile (Art. 22 DSGVO).

11. Änderungen dieser Erklärung

Das Datum oben zeigt den Stand dieser Erklärung. Wir passen sie an, wenn sich unsere Verarbeitung ändert, zum Beispiel bei einem neuen Dienstleister oder einem neuen Zweck.

Über wesentliche Änderungen informieren wir registrierte Nutzer des Portals per E-Mail.

Frühere Fassungen dieser Erklärung bewahren wir auf.