Datenschutzhinweise

1. Verantwortlicher

[Angabe fehlt: Name bzw. Firma], [Angabe fehlt: Anschrift], [Angabe fehlt: PLZ] [Angabe fehlt: Ort]
E-Mail: [Angabe fehlt: Kontakt-E-Mail für Datenschutzanfragen]

Datenschutzbeauftragte(r): [Angabe fehlt: falls benannt bzw. gesetzlich erforderlich – vom Betreiber zu prüfen]

2. Überblick

Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb dieser Website, die Bearbeitung von Unternehmensanfragen und die Bereitstellung der Rechnungsanwendung erforderlich ist. Es gibt keine Analyse-, Werbe- oder Tracking-Dienste und keine eingebundenen Drittanbieter-Inhalte. Wir verkaufen keine Daten und treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO.

3. Aufruf der Website

Beim Aufruf verarbeitet der vorgeschaltete Webserver technisch notwendige Zugriffsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Statuscode und die Kennung Ihres Browsers. Zweck ist die Auslieferung der Seiten sowie die Sicherheit und Stabilität des Betriebs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Angebot).

Speicherdauer der Zugriffsprotokolle: [Frist festlegen und technisch umsetzen (derzeit schreibt der Webserver in das Container-Protokoll; eine automatische Rotation ist einzurichten)].

4. Cookies

Wir setzen ausschließlich eigene Cookies ein, die für die Anmeldung, die Zwei-Faktor-Anmeldung, die Firmenauswahl, das Ausblenden des Cookie-Hinweises und – nur wenn Sie es bei der Anmeldung ausdrücklich auswählen – für „Diesem Gerät 90 Tage vertrauen“ erforderlich sind. Rechtsgrundlage für das Speichern im Browser ist § 25 Abs. 2 Nr. 2 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Einzelheiten mit Laufzeiten: Cookie-Informationen.

5. Unternehmensanfrage

Wenn Sie über das Formular einen Zugang anfragen, verarbeiten wir Firmenname, Ansprechpartner, E-Mail-Adresse sowie – freiwillig – Telefonnummer und Nachricht. Zusätzlich speichern wir zum Schutz vor Missbrauch einen pseudonymisierten Hashwert Ihrer IP-Adresse und zählen Anfragen je IP-Hash und je E-Mail-Adresse für begrenzte Zeit. Ein Benutzerkonto entsteht dabei nicht.

Zweck: Bearbeitung Ihrer Anfrage, persönliche Kontaktaufnahme und Entscheidung über die Einrichtung eines Zugangs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen), soweit Sie selbst Vertragspartner werden möchten (z. B. als Einzelunternehmen); im Übrigen Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse, Anfragen von Unternehmen zu bearbeiten. Eine Einwilligung ist dafür nicht erforderlich.

Bei Eingang erhält der Betreiber eine E-Mail mit Firmenname, Ansprechpartner und einem Link zum geschützten Vorgang; Kontaktdaten und Nachricht stehen nur im passwort- und zweifaktorgeschützten Betreiberbereich. Sie erhalten keine automatische Bestätigungsmail.

Speicherdauer: Abgelehnte oder nicht weiterverfolgte Anfragen löschen wir, sobald sie für die Bearbeitung nicht mehr benötigt werden, spätestens [Frist festlegen, Vorschlag: 6 Monate nach Abschluss]. Bei Freigabe werden Firmenname und Kontaktdaten in die Firmenstammdaten und die Einladung übernommen; die Anfrage bleibt zur Nachvollziehbarkeit verknüpft, solange die Firma besteht.

6. Benutzerkonto, Anmeldung und Zwei-Faktor-Anmeldung

Für jedes Konto verarbeiten wir Name, E-Mail-Adresse und einen Passwort-Hash (Argon2id, kein Klartext). Die Zwei-Faktor-Anmeldung ist für alle Konten verpflichtend. Dafür speichern wir:

• das Geheimnis Ihrer Authenticator-App – ausschließlich verschlüsselt (AES-256-GCM, der Schlüssel liegt getrennt in der Serverkonfiguration),
• den zuletzt verwendeten Zeitschritt (Schutz gegen Wiederverwendung von Codes),
• nur Hashwerte der Wiederherstellungscodes und deren Verwendungszeitpunkt,
• je Anmeldung bzw. Anmeldevorgang: Zeitpunkte, einen pseudonymisierten IP-Hash und die Browserkennung (User-Agent),
• Zähler fehlgeschlagener Code-Eingaben je Konto (15 Minuten bzw. 24 Stunden) und je IP-Hash (15 Minuten),
• nur wenn Sie „Diesem Gerät 90 Tage vertrauen“ wählen: einen Hashwert des im Browser gespeicherten Nachweises, eine aus der Browserkennung abgeleitete Bezeichnung (z. B. „Firefox unter Windows“), Zeitpunkt der Bestätigung, Ablauf, letzte Nutzung und gegebenenfalls den Widerruf,
• ein Sicherheitsprotokoll über Einrichtung, Wechsel und Wiederherstellung sowie vorübergehende Sperren – ohne Passwörter, Codes oder Geheimnisse.

Bei sicherheitsrelevanten Änderungen (Einrichtung, Wechsel der App, Verwendung oder Neuerzeugung von Wiederherstellungscodes, Sperre nach Fehlversuchen, Notfall-Reset) erhalten Sie eine Benachrichtigung per E-Mail.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Zugangs) sowie Art. 6 Abs. 1 lit. f i. V. m. Art. 32 DSGVO (Schutz der Konten und der darin verarbeiteten Daten). Speicherdauer: Sitzungen enden spätestens nach 12 Stunden bzw. 60 Minuten Inaktivität und werden danach regelmäßig gelöscht; Anmelde-Zwischenschritte nach 5 bzw. 15 Minuten; Fehlversuchszähler mit Ablauf ihres Zeitfensters; Nachweise vertrauenswürdiger Browser 30 Tage nach Ablauf (höchstens 90 Tage) oder Widerruf. Kontodaten und die Zwei-Faktor-Einrichtung bestehen bis zur Löschung des Kontos; ein ersetzter Faktor wird sofort gelöscht. Sicherheitsprotokoll: [Aufbewahrungsfrist festlegen].

7. Rechnungsanwendung und Auftragsverarbeitung

Personenbezogene Daten, die Kundenunternehmen in der Anwendung über ihre eigenen Kunden und Geschäftsvorfälle erfassen (z. B. Rechnungsempfänger, Ansprechpartner), verarbeiten wir im Auftrag des jeweiligen Unternehmens. Verantwortlich ist insoweit das Kundenunternehmen; Grundlage ist eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO [Auftragsverarbeitungsvertrag erstellen und bereitstellen].

8. E-Mail-Versand

Einladungen, Sicherheitsbenachrichtigungen, die Betreiberbenachrichtigung über neue Anfragen sowie von Kunden ausgelöste Rechnungs- und Mahnungs-E-Mails versenden wir über einen Versanddienstleister: SMTP-Versanddienst für Transaktions-E-Mails (in der Betriebsdokumentation als Beispiel: Brevo) – Anbieter vom Betreiber zu bestätigen. [Anbieter, Sitz und Auftragsverarbeitungsvertrag bestätigen]

9. Hosting und Empfänger

Anwendung, Datenbank und Dokumentenspeicher werden betrieben bei: IONOS Cloud (Server, verwaltete PostgreSQL-Datenbank und Object Storage, Standort Berlin) – laut Betriebsdokumentation, vom Betreiber zu bestätigen. [Anbieter, Standort und Auftragsverarbeitungsvertrag bestätigen]

Eine Übermittlung in Länder außerhalb der EU bzw. des EWR ist nicht vorgesehen. [für alle tatsächlich eingesetzten Dienstleister bestätigen]

10. Löschung von Firmen und Konten

Wird eine Firma auf Wunsch gelöscht, entfernt die Anwendung die Firmendaten einschließlich Kunden, Rechnungen und gespeicherter Dokumente (auch ältere Dateiversionen) aus der Datenbank und dem aktiven Dokumentenspeicher. Nutzerkonten, die ausschließlich zu dieser Firma gehörten, werden ebenfalls gelöscht. Erhalten bleiben ein Löschnachweis und Einträge im Betreiberprotokoll ohne Rechnungsinhalte.

Gesetzliche Aufbewahrungspflichten für Rechnungen treffen das jeweilige Kundenunternehmen. Wir bewahren gelöschte Rechnungen nicht stellvertretend auf; vor einer Löschung sollten Kunden ihre Daten über den Export sichern. Datensicherungen des Hosting-Anbieters werden nach dessen Sicherungsfristen überschrieben [Sicherungsfristen des Hosters bestätigen und hier nennen].

11. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), z. B. bei der für den Sitz des Betreibers zuständigen Behörde [zuständige Aufsichtsbehörde nennen].

12. Pflicht zur Bereitstellung

Für eine Anfrage benötigen wir Firmenname, Ansprechpartner und E-Mail-Adresse; ohne diese Angaben können wir die Anfrage nicht bearbeiten. Für die Nutzung der Anwendung sind ein eigenes Passwort und die Zwei-Faktor-Anmeldung erforderlich.