Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und im Dienst ZUGFeRD-Bereit ist: Radom UG (haftungsbeschränkt) Telemannstr. 2 60323 Frankfurt am Main Deutschland E-Mail: support@zugferd-bereit.de

Bei Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter dieser E-Mail-Adresse oder über unser Kontaktformular.

2. Hosting und Server-Logfiles

Wir hosten unsere Website und den Dienst bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Die Server stehen im Rechenzentrum in Nürnberg, Deutschland. Hetzner verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).

Beim Aufruf unserer Website verarbeitet unser Webserver (nginx) technisch notwendige Zugriffsdaten wie Ihre IP-Adresse, den Zeitpunkt des Zugriffs, die aufgerufene Adresse und die Kennung Ihres Browsers (Server-Logfiles). Wir nutzen die Server-Logfiles für den Betrieb und zur Abwehr von Missbrauch; sie werden täglich rotiert und nach 14 Tagen gelöscht.

Verstößt eine Seite gegen unsere Content-Security-Policy, sendet Ihr Browser automatisch einen Bericht an unseren Server (/api/csp-report); davon protokollieren wir nur die betroffene Richtlinie und den Host der blockierten Ressource, nicht die Adresse der aufgerufenen Seite; die Zählung zur Missbrauchsabwehr erfolgt nur im Arbeitsspeicher und wird stündlich verworfen (Art. 6 Abs. 1 lit. f DSGVO).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb des Dienstes.

3. Technisch notwendige Cookies und Speicher

Für die von Ihnen angeforderten Funktionen verwenden wir technisch notwendige Cookies und Einträge im Speicher Ihres Browsers:

• Anmelde-Cookie von next-auth (Sitzungstoken): wird gesetzt, wenn Sie die Anmeldung nutzen, und hält Sie bis zu 30 Tage nach der letzten Aktivität angemeldet.
• Sicherheits-Cookies von next-auth (CSRF-Token und Rücksprungadresse): Session-Cookies, die gesetzt werden, wenn Sie die Anmeldung nutzen, und beim Schließen des Browsers gelöscht werden.
• Sprach-Cookie NEXT_LOCALE: ein Session-Cookie, das die Sprache speichert, in der Sie die Website nutzen.
• Ihre Auswahl zur Reichweitenmessung im localStorage Ihres Browsers (zugferd_analytics_consent_v1), damit das Einwilligungsbanner nicht bei jedem Aufruf erneut erscheint. Der Eintrag bleibt bestehen, bis Sie Ihre Auswahl ändern oder den Browserspeicher löschen.
• Wenn Sie auf der Anmeldeseite „Passwort vergessen?“ wählen: die eingegebene E-Mail-Adresse im sessionStorage Ihres Browsers (zugferd-reset-email), damit sie im Formular zum Zurücksetzen bereits eingetragen ist. Der Eintrag wird nach dem Absenden gelöscht, spätestens beim Schließen des Tabs.

Diese Cookies und Speichereinträge sind unbedingt erforderlich, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen; sie werden nicht zum Tracking verwendet. Hierfür ist keine Einwilligung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage für die anschließende Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionsfähigen Website).

4. Nutzerkonto

Wenn Sie ein Konto anlegen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Ihr Passwort und den Status Ihres Tarifs. Das Passwort speichern wir ausschließlich als bcrypt-Hash, nicht im Klartext.

Die Kontodaten liegen in einer SQLite-Datenbank auf unserem Server bei Hetzner. Wir sichern die Datenbank täglich und legen eine Sicherungskopie, über eine verschlüsselte Verbindung übertragen, auf einem zweiten Server von Hetzner in Nürnberg ab. Beide Sicherungen werden 14 Tage aufbewahrt.

Wir speichern Ihre Kontodaten, solange Ihr Konto besteht. Nach der Löschung des Kontos verbleiben sie bis zu 14 Tage in den Sicherungen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos und des gewählten Tarifs). Die Datensicherung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz vor Datenverlust.

5. Kontingente und Missbrauchsschutz

Wenn Sie den Dienst ohne Konto nutzen, bilden wir aus Ihrer IP-Adresse (bei IPv6 aus dem /64-Netz) mit einem geheimen Schlüssel eine Kennung und speichern dazu die Zahl Ihrer Konvertierungen und Dateianalysen im jeweiligen Kalendermonat. Die IP-Adresse selbst speichern wir dabei nicht. Bei Nutzung mit Konto ordnen wir diese Zähler Ihrem Konto zu; die Nutzung im kostenlosen Kontingent und in einem kostenpflichtigen Tarif zählen wir getrennt.

Für die Anmeldung sowie das Anfordern und Zurücksetzen von Passwörtern zählen wir Versuche in gehashter Form, um Missbrauch zu verhindern.

Die Zähler löschen wir 30 Tage nach der letzten Nutzung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer fairen Verteilung der kostenlosen Kontingente und in der Sicherheit des Dienstes.

6. Verarbeitung von Rechnungsdaten

Wenn Sie den Generator nutzen, verarbeiten wir die von Ihnen hochgeladenen Quelldateien und eingegebenen Rechnungsdaten, um daraus E-Rechnungen zu erzeugen. Rechnungen können personenbezogene Daten enthalten, etwa Namen, Anschriften und Bankverbindungen von Rechnungssteller und Rechnungsempfänger.

Bei geschäftlicher Nutzung sind Sie für die Rechnungsdaten Verantwortlicher; wir verarbeiten sie ausschließlich in Ihrem Auftrag und nach Ihren Weisungen (Auftragsverarbeitung, siehe nächster Abschnitt).

Quelldateien und erzeugte Ergebnisse werden unter einer Kennung ohne Namen oder E-Mail-Adresse gespeichert; die Dateiinhalte bleiben unverändert. Wir bewahren sie auf, um Rückfragen zu beantworten und Verarbeitungsfehler im Rahmen des Auftrags zu beheben: 7 Tage bei Nutzung als Gast, 90 Tage bei Nutzung mit Konto. Danach werden sie automatisch gelöscht. Eine frühere Löschung können Sie jederzeit über support@zugferd-bereit.de anfordern.

Die Prüfung der erzeugten E-Rechnungen und PDF/A-Dateien (Validierung) läuft lokal auf unserem eigenen Server; dabei werden keine Daten an Dritte übermittelt.

Wenn Sie unser kostenloses Werkzeug „E-Rechnung prüfen & anzeigen“ nutzen, wird die hochgeladene Datei nur für die Prüfung und die Anzeige des Ergebnisses auf unserem eigenen Server verarbeitet und danach verworfen, also weder aufbewahrt noch an die KI-Auslesung oder an Dritte übermittelt; zur Missbrauchsabwehr zählen wir nur die Zahl der Prüfungen, wie im Abschnitt „Kontingente und Missbrauchsschutz“ beschrieben.

Soweit wir Rechnungsdaten ausnahmsweise als Verantwortlicher verarbeiten (z. B. Gastnutzung durch Privatpersonen), ist Rechtsgrundlage Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

7. Auftragsverarbeitung für Geschäftskunden

Für die geschäftliche Nutzung gilt unsere Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO (AVV). Sie ist Bestandteil unserer AGB und wird mit der Zustimmung zu den AGB geschlossen: bei der Registrierung, bei bestehenden Konten bei der nächsten Nutzung.

Als Unterauftragsverarbeiter setzen wir ein:

• Hetzner Online GmbH (Hosting, Deutschland)
• Microsoft Ireland Operations Ltd. (Azure OpenAI, Region Sweden Central)
• Google Ireland Limited (Google Workspace; nur, wenn Sie uns Dateien oder Rechnungsdaten per E-Mail an den Support schicken)

Google nutzen wir für unsere eigene E-Mail-Kommunikation und, wie oben genannt, für E-Mails an den Support; Stripe nutzen wir nur für die Abrechnung unserer Tarife.

8. KI-gestützte Auslesung von Rechnungen (Microsoft Azure OpenAI)

Wenn Sie eine einzelne Datei hochladen und konvertieren, können Dateiname und Dateiinhalt an den Microsoft Azure OpenAI Service der Microsoft Ireland Operations Ltd. übermittelt werden, um die Rechnungsfelder auszulesen. Das betrifft PDF-Dateien und Bilder, CSV- und Excel-Dateien, bei denen die automatische Spaltenerkennung nicht greift, sowie XML-Dateien, die nicht als ZUGFeRD/Factur-X-XML (CII) erkannt werden, z. B. XRechnung im UBL-Format.

Die Verarbeitung erfolgt über eine Azure-OpenAI-Ressource in der Region Sweden Central (EU). Microsoft ist dabei nach seinen Datenschutzbestimmungen unser Auftragsverarbeiter bzw. bei geschäftlicher Nutzung Unterauftragsverarbeiter (Art. 28 DSGVO). Die übermittelten Inhalte werden nach den Vertragsbedingungen von Microsoft nicht zum Training verwendet. Microsoft kann Eingaben und Ausgaben zur Missbrauchserkennung bis zu 30 Tage speichern und in Verdachtsfällen durch autorisierte Mitarbeiter prüfen lassen.

Die Stapelverarbeitung von CSV- und Excel-Dateien nutzt keine KI.

Bei geschäftlicher Nutzung erfolgt diese Verarbeitung in Ihrem Auftrag; soweit wir als Verantwortlicher handeln, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO.

9. Zahlungsabwicklung (Stripe)

Kostenpflichtige Tarife rechnen wir über Stripe Payments Europe, Ltd., Dublin, Irland, ab. Für die Bezahlseite übermitteln wir Stripe Ihre E-Mail-Adresse und eine interne Kennung Ihres Kontos. Ihre Zahlungsdaten, Ihre Rechnungsanschrift und, wenn Sie sie angeben, Ihre USt-IdNr. geben Sie auf der Bezahlseite von Stripe ein; aus Anschrift und USt-IdNr. berechnet Stripe die Umsatzsteuer (Stripe Tax). Stripe verarbeitet Zahlungsdaten nach seinen eigenen Bedingungen teils als eigenständiger Verantwortlicher und teils als Auftragsverarbeiter. Dabei kann Stripe Daten an die Stripe, Inc. in den USA übermitteln; dies erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln.

Von Stripe erhalten wir Informationen zum Status Ihres Abonnements, die wir Ihrem Konto zuordnen. Wenn Sie über „Abo verwalten“ das Kundenportal von Stripe öffnen, teilen wir Stripe dafür Ihre Stripe-Kundennummer mit; Zahlungsmittel, Rechnungen und Ihr Abonnement verwalten Sie dort bei Stripe.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Rechnungs- und Zahlungsbelege bewahren wir im Rahmen der gesetzlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB) acht Jahre auf, gerechnet ab dem Ende des Kalenderjahres, in dem sie entstanden sind; Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. c DSGVO.

10. Kontaktformular, Support und E-Mail-Versand (Google Workspace)

Wenn Sie uns über das Kontaktformular oder per E-Mail kontaktieren, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, Betreff und Nachricht), um Ihre Anfrage zu bearbeiten. Nachrichten aus dem Kontaktformular werden per E-Mail an unser Support-Postfach weitergeleitet.

Für den Support und für transaktionale E-Mails, etwa zum Zurücksetzen Ihres Passworts, nutzen wir Google Workspace von Google (Vertragspartner mit Sitz in Irland). Eine Übermittlung personenbezogener Daten an Google LLC in den USA kann nicht ausgeschlossen werden; sie erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage mit Ihrem Konto, einem Vertrag oder dessen Anbahnung zusammenhängt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Beantwortung der an uns gerichteten Anfragen. Wir löschen Anfragen nach abschließender Bearbeitung, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

11. Webanalyse nur mit Einwilligung (Umami und PostHog)

Analysedienste laden wir erst, nachdem Sie über unser Einwilligungsbanner zugestimmt haben. Sie helfen uns, Seitenaufrufe, Produktabläufe und Fehler zu messen. Wir haben die Dienste so eingerichtet, dass URL-Parameter, Dateinamen, E-Mail-Adressen und Rechnungsinhalte nicht an sie übermittelt werden.

Umami ist ein Analysewerkzeug, das ohne Cookies auskommt. Wir betreiben Umami selbst auf unserem eigenen Server bei Hetzner in Deutschland unter der Adresse analytics.konverter-pro.de. Die mit Umami erhobenen Daten der Reichweitenmessung (Seitenaufrufe, Ereignisse und Sitzungen) werden 14 Monate nach ihrer Erhebung automatisch gelöscht.

PostHog ist ein Dienst der PostHog Inc. Wir nutzen die EU-Cloud von PostHog (eu.i.posthog.com). Nach Ihrer Einwilligung speichern wir eine zufällige Kennung im sessionStorage Ihres Browsers (zb_ph_zugferd-bereit_sid), um die Ereignisse einer Sitzung zusammenzufassen; sie wird beim Schließen des Tabs gelöscht. Soweit eine Übermittlung in die USA stattfindet, erfolgt sie auf Grundlage des EU-US Data Privacy Framework oder von Standardvertragsklauseln der EU-Kommission.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über die Schaltfläche „Datenschutz-Einstellungen“ widerrufen.

12. Prüfung von USt-IdNrn. (VIES)

Wenn Sie unser Werkzeug zur Prüfung von Umsatzsteuer-Identifikationsnummern nutzen, fragen wir die eingegebene USt-IdNr. beim VIES-Dienst der Europäischen Kommission ab, um ihre Gültigkeit zu prüfen. Empfänger sind die Europäische Kommission (VIES) und die Steuerverwaltung des betroffenen Mitgliedstaats.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Ihnen die gewünschte Prüfung bereitzustellen.

13. Erforderliche Angaben

Für die Registrierung sind Name, E-Mail-Adresse und Passwort, für das Kontaktformular alle Pflichtfelder erforderlich; ohne diese Angaben können wir kein Konto anlegen bzw. Ihre Anfrage nicht bearbeiten. Im Übrigen sind Sie zur Bereitstellung nicht verpflichtet.

14. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte:

• Auskunft über die von uns verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO, Einzelheiten im folgenden Abschnitt)

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Wenden Sie sich dazu an support@zugferd-bereit.de oder nutzen Sie unser Kontaktformular.

16. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), zum Beispiel beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit, der für unseren Sitz in Frankfurt am Main zuständig ist.

17. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.