Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und in der Anwendung invoice24 im Sinne von Art. 4 Nr. 7 DSGVO ist:

Benjamin Heim

Ernst-Heinkel-Straße 21

73630 Remshalden

E-Mail: kontakt@invoice-24.de

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht benannt. Die Voraussetzungen einer Benennungspflicht nach Art. 37 DSGVO und § 38 BDSG liegen nicht vor. Für alle Fragen zum Datenschutz wenden Sie sich bitte an den unter 1. genannten Verantwortlichen.

3. Welche Daten wir verarbeiten, wozu und auf welcher Grundlage

invoice24 ist ein Werkzeug zur Rechnungserstellung. Verarbeitet wird nur, was dafür gebraucht wird. Eine Nutzung ohne Konto ist für die öffentlichen Seiten (Startseite, Preise, Impressum, diese Erklärung) jederzeit möglich.

a) Konto und Anmeldung

Für ein Konto wird ausschließlich Ihre E-Mail-Adresse verarbeitet. Die Anmeldung erfolgt über einen einmaligen Anmeldelink („Magic Link“), der an diese Adresse verschickt wird. Es gibt kein Passwort und keine Anmeldung über Dritte — es werden also weder Passwörter noch Passwort-Hashes gespeichert. Zusätzlich speichert das Authentifizierungssystem technische Zeitstempel (Anlage des Kontos, letzte Anmeldung) sowie eine interne Benutzerkennung.

Zweck: Bereitstellung des Nutzerkontos und Zuordnung Ihrer Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen).

b) Firmenprofil

Damit Rechnungen die gesetzlichen Pflichtangaben tragen, speichern wir die Angaben, die Sie im Firmenprofil hinterlegen:

Firmenname, Rechtsform und Anschrift
Steuernummer und/oder Umsatzsteuer-Identifikationsnummer
Angabe, ob die Kleinunternehmerregelung nach § 19 UStG genutzt wird
Bankverbindung: IBAN, BIC und Kontoinhaber
ein optional hochgeladenes Logo sowie Farb- und Nummernkreis-Einstellungen

Zweck: Erstellung formal korrekter Rechnungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; soweit die Angaben zugleich Pflichtangaben einer Rechnung sind (§ 14 UStG), zusätzlich Art. 6 Abs. 1 lit. c DSGVO.

c) Ihre Kundendaten

Zu den Kunden, denen Sie Rechnungen stellen, speichern wir Name, Anschrift, optional E-Mail-Adresse und Umsatzsteuer-Identifikationsnummer sowie — bei öffentlichen Auftraggebern — die Leitweg-ID.

Für diese Daten sind Sie der Verantwortliche; wir verarbeiten sie ausschließlich weisungsgebunden für Sie. Es handelt sich um eine Auftragsverarbeitung nach Art. 28 DSGVO. Die Rechtsgrundlage für die Verarbeitung gegenüber Ihren Kunden bestimmen Sie selbst.

d) Rechnungen und Rechnungspositionen

Zu jeder Rechnung werden Rechnungsnummer, Rechnungs- und Leistungsdatum, Fälligkeit, Kopf- und Fußtext, eine etwaige Bestellreferenz, die Summen sowie sämtliche Positionen (Bezeichnung, Menge, Einheit, Einzelpreis, Steuersatz) gespeichert.

Beim Festschreiben wird zusätzlich ein unveränderlicher Abzug der Kunden- und der Ausstellerdaten in der Rechnung selbst abgelegt („Snapshot“). Das ist gewollt: Eine Rechnung muss auch dann noch zeigen, an wen sie ging, wenn der Kundendatensatz später geändert oder entfernt wurde.

Zweck: Erstellung und Archivierung von Rechnungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Erstellung, Art. 6 Abs. 1 lit. c DSGVO für die Aufbewahrung festgeschriebener Rechnungen (§ 147 AO, § 257 HGB, § 14b UStG).

e) Erzeugte Dokumente

Beim Festschreiben entstehen ein PDF und — im Pro-Tarif — zusätzlich eine E-Rechnung im XML-Format (ZUGFeRD/XRechnung). Beide enthalten die Rechnungsdaten einschließlich Anschriften, Steuernummern und Bankverbindung und werden in einem privaten Objektspeicher abgelegt — ebenso ein hochgeladenes Logo. Diese Ablagen sind nicht öffentlich erreichbar; der Zugriff erfolgt ausschließlich über kurzlebige, signierte Einzel-Links, die serverseitig für Ihr eigenes Konto erzeugt werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO wie unter d).

f) Betrieb der Website

Beim Aufruf der Seiten verarbeitet unser Hosting-Dienstleister die technisch notwendigen Verbindungsdaten (unter anderem IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browserkennung), um die Auslieferung zu ermöglichen und Angriffe abzuwehren.

Zweck und Rechtsgrundlage: Bereitstellung und Sicherheit des Dienstes, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am störungsfreien und sicheren Betrieb).

4. Cookies und lokale Speicherung

invoice24 setzt genau eine Art von Cookie: das Sitzungs-Cookie der Authentifizierung. Es heißt sb-<projektkennung>-auth-token und enthält Ihre Anmeldesitzung. Ist der Wert zu lang für ein einzelnes Cookie, wird er automatisch auf mehrere nummerierte Cookies aufgeteilt (…-auth-token.0, …-auth-token.1 und so fort). Ohne dieses Cookie ist eine Anmeldung technisch nicht möglich.

Es ist damit im Sinne von § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich, um den von Ihnen angeforderten Dienst zu erbringen — eine Einwilligung ist dafür nicht erforderlich, und deshalb gibt es hier auch kein Einwilligungsbanner.

Es werden keine Cookies zu Analyse-, Reichweitenmess-, Werbe- oder Wiedererkennungszwecken gesetzt. invoice24 bindet keine Analysewerkzeuge, keine Werbenetzwerke und keine sozialen Netzwerke ein. Die ausgelieferten Seiten laden keinerlei Inhalte von fremden Servern nach.

5. Schriftarten

Alle Schriften werden von unserem eigenen Server ausgeliefert. Die Schriften der Oberfläche werden bereits beim Erstellen der Anwendung mitgebaut und liegen anschließend auf derselben Adresse wie die Seite selbst; die in die Rechnungs-PDFs eingebettete Schrift (Inter, SIL Open Font License 1.1) liegt als Datei im Projekt.

Ihr Browser stellt beim Laden der Schriften keine Verbindung zu Google Fonts oder einem anderen fremden Anbieter her. Es wird dabei also keine IP-Adresse an Dritte übermittelt.

6. Empfänger und Auftragsverarbeiter

Eine Weitergabe Ihrer Daten an Dritte findet nicht statt, außer an die folgenden technischen Dienstleister, die für uns weisungsgebunden tätig werden:

Supabase — Datenbank, Authentifizierung (Versand der Anmeldelinks) und Objektspeicher. Das Projekt liegt in der Region eu-central-1 (Frankfurt am Main).
Vercel — Hosting und Auslieferung der Anwendung. Die Auslieferung erfolgt aus der Region fra1 (Frankfurt am Main).

Soweit wir Ihre Kundendaten für Sie verarbeiten (Abschnitt 3 c), schließen wir mit Ihnen einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

7. Speicherort und Übermittlung in Drittländer

Datenbank, Objektspeicher und Auslieferung sind auf Rechenzentren in Frankfurt am Main innerhalb der Europäischen Union konfiguriert (siehe Abschnitt 6). Eine planmäßige Übermittlung Ihrer Daten in ein Drittland findet nicht statt.

Beide Anbieter gehören zu Unternehmensgruppen mit Sitz außerhalb der EU. Ein Zugriff aus einem Drittland — etwa im Rahmen von Wartung oder Support — lässt sich daher nicht generell ausschließen. Die Bedingungen und Garantien hierfür (Art. 44 ff. DSGVO) regeln die Verträge zur Auftragsverarbeitung mit den jeweiligen Anbietern.

8. Speicherdauer

Wie lange Daten bleiben, hängt davon ab, worum es sich handelt:

Rechnungsentwürfe können Sie jederzeit selbst löschen; sie werden dann vollständig entfernt.
Festgeschriebene Rechnungen sind unveränderlich. Das ist keine Zusage, sondern in der Datenbank erzwungen: Eine Sperre weist jede Änderung und jede Löschung einer festgeschriebenen Rechnung zurück — auch dann, wenn der Betreiber sie mit höchsten Rechten versucht. Diese Rechnungen unterliegen den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB, § 14b UStG) und bleiben für die Dauer der jeweiligen Frist erhalten — für Rechnungen als Buchungsbelege beträgt sie derzeit acht Jahre, gerechnet ab dem Ende des Kalenderjahres der Ausstellung.
Kundendatensätze werden vollständig gelöscht, solange keine Rechnung auf sie verweist. Existiert bereits eine Rechnung, wird der Datensatz nur als gelöscht markiert und aus Ihren Listen entfernt — die Angaben in der Rechnung selbst bleiben aufbewahrungspflichtig bestehen.
Konto und Firmenprofil bleiben gespeichert, solange das Konto besteht, und darüber hinaus, soweit sie Bestandteil aufbewahrungspflichtiger Rechnungen sind.
Erzeugte PDF- und XML-Dateien teilen die Aufbewahrungsfrist der zugehörigen Rechnung.

Ein automatisches Löschen des gesamten Kontos ist aus diesem Grund bewusst nicht vorgesehen — es würde an der Unveränderbarkeit festgeschriebener Rechnungen scheitern und wäre mit den Aufbewahrungspflichten unvereinbar. Wie ein Löschverlangen behandelt wird, steht in Abschnitt 9.

9. Ihre Rechte

Ihnen stehen gegenüber dem Verantwortlichen folgende Rechte zu:

Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Wie Sie diese Rechte ausüben: Es gibt in der Anwendung keine Selbstbedienungsfunktion dafür. Wenden Sie sich formlos an den in Abschnitt 1 genannten Verantwortlichen — eine E-Mail genügt, eine Begründung ist nicht erforderlich. Wir bearbeiten Ihr Anliegen innerhalb der gesetzlichen Fristen.

Zum Recht auf Löschung im Besonderen: Daten, die nicht aufbewahrungspflichtig sind, löschen wir. Für festgeschriebene Rechnungen und die darin enthaltenen Angaben besteht das Recht auf Löschung nach Art. 17 Abs. 3 lit. b DSGVO nicht, solange die gesetzliche Aufbewahrungsfrist läuft (siehe Abschnitt 8). Diese Daten werden in der Verarbeitung eingeschränkt und nach Ablauf der Frist entfernt.

10. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe steht Ihnen nach Art. 77 DSGVO das Recht zu, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart

11. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Ihre Daten werden nicht dazu verwendet, Ihr Verhalten zu bewerten oder vorherzusagen, und nicht mit Daten aus anderen Quellen zusammengeführt.

12. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert — etwa wenn ein weiterer Dienstleister hinzukommt. Es gilt jeweils die hier abrufbare Fassung.

Stand dieser Erklärung: 2026-07-27