Diese Erklärung gilt für invoiceapi.io — die öffentlichen Seiten und die Anwendung. Es gibt keine getrennte Erklärung für eine separate Website.Akbar Odilov. Anschrift und Kontakt stehen im Impressum. E-Mail: hallo@invoiceapi.io.Kontodaten (E-Mail-Adresse, Name, Organisation, Rolle), Rechnungsdaten (Verkäufer-, Käufer- und Positionsangaben, die Sie übermitteln), erzeugte Dokumente (PDF/A-3, XML, Prüfbericht), Zustelldaten (Empfängeradresse, Zustellstatus, Rückläufer), technische Protokolldaten (Zeitpunkt, Route, Request-ID, Statuscode) sowie die IP-Adresse (bei der Anmeldung und zur Missbrauchsabwehr, befristet gespeichert). Beim Aufruf der öffentlichen Seiten verarbeitet der vorgelagerte Server IP-Adresse, Zeitpunkt und aufgerufene Adresse in einem Zugriffsprotokoll; das geschieht unabhängig von einer Anmeldung.In Ihrem Auftrag (Art. 28 DSGVO): Erzeugung, Prüfung, Archivierung, Zustellung und Aufbewahrung Ihrer Rechnungen. Maßgeblich ist dafür die Rechtsgrundlage, auf die der Rechnungsaussteller als Verantwortlicher die Verarbeitung stützt; Aufbewahrungspflichten für diese Rechnungen, etwa nach § 147 AO oder § 14b UStG, treffen ihn, nicht uns. Für unsere eigenen Zwecke verarbeiten wir Ihre Kontodaten zur Vertragserfüllung oder für vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), soweit Sie selbst unser Vertragspartner sind oder werden wollen, etwa als Einzelunternehmer. Soweit Sie für einen anderen handeln, etwa für Ihren Arbeitgeber, verarbeiten wir Ihre Kontodaten auf Grundlage unseres berechtigten Interesses an Abschluss und Durchführung unseres Vertrags mit ihm (Art. 6 Abs. 1 lit. f DSGVO). Zur Betriebssicherheit und Missbrauchsabwehr, auch durch Protokollierung, verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses an diesen Zwecken (Art. 6 Abs. 1 lit. f DSGVO). Wann Nutzer zuletzt aktiv waren, entnehmen wir dem Zeitpunkt der letzten Aktualisierung ihrer jüngsten Sitzung und sehen es zusammen mit den Kontodaten in einer internen, passwortgeschützten Übersicht ein, um zu erkennen, ob und wie unsere Kunden den Dienst nutzen; Rechtsgrundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO).4. Rechnungsdaten: wir handeln in Ihrem Auftrag
Für die Daten, die Sie zur Rechnungserzeugung übermitteln, sind wir Ihr Auftragsverarbeiter nach Art. 28 DSGVO. Die Vereinbarung zur Auftragsverarbeitung beruht auf den Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/915); wir senden sie Ihnen mit den technischen und organisatorischen Maßnahmen auf Anfrage zu: hallo@invoiceapi.io.Hetzner Online GmbH (Hosting, Datenbank und Rechnungsarchiv in Falkenstein, verschlüsselte Sicherungen in Nürnberg; Deutschland), Amazon Web Services EMEA SARL (E-Mail-Versand über SES, Region eu-central-1, Frankfurt), Cloudflare, Inc., USA (Auslieferung und Schutz der Verbindung; für die Übermittlung in die USA gilt das EU-US Data Privacy Framework, ersatzweise die Standardvertragsklauseln der EU-Kommission), Stripe Payments Europe, Ltd., Irland (Zahlungsabwicklung). An Stripe übermittelt diese Anwendung keine personenbezogenen Daten; Zahlungsdaten geben Sie direkt auf den von Stripe gehosteten Seiten ein.Erzeugte Rechnungen und Prüfberichte bewahren wir in Ihrem Auftrag bis zum Ende des Kalenderjahres der Erstellung (oder des Rechnungsdatums, wenn es später liegt) zuzüglich acht oder zehn Jahren auf, nach Vertragsende so lange, wie mit Ihnen vereinbart. Die Aufbewahrungsfrist wählen Sie in den Einstellungen des Dashboards entsprechend den Aufbewahrungspflichten, die für Ihre Rechnungen gelten (voreingestellt sind zehn Jahre; verkürzen lässt sie sich dort nur, solange noch keine Live-Rechnung erzeugt wurde); sie wird bei der Erzeugung jeder Live-Rechnung festgelegt. Solange eine Aufbewahrungssperre besteht, die ein Inhaber Ihrer Organisation im Rechnungsarchiv gesetzt hat, wird kein Dokument der Organisation gelöscht, auch keines aus dem Testmodus. Dokumente aus dem Testmodus werden nach sieben Tagen gelöscht. Nach Fristablauf löscht ein nächtlicher Auftrag die Dateien; der Rechnungsdatensatz und seine Prüfsummen bleiben erhalten, damit die Integritätskette nachvollziehbar bleibt. Zustellnachweise bewahren wir als Nachweis des Rechnungsausgangs für die Dauer des Vertrags auf; danach gilt die Vereinbarung zur Auftragsverarbeitung. Sitzungen (mit IP-Adresse) und Einladungen (mit E-Mail-Adresse) entfernt die Datenbank nach Ablauf automatisch über eigene TTL-Indizes (session_expiresAt_ttl, invitation_expiresAt_ttl); auch die Datensätze der Ratenbegrenzung für die öffentliche API, die zum Schutz vor Missbrauch teils die IP-Adresse als Schlüssel verwenden, werden über eine eigene TTL automatisiert entfernt (apiRateLimit_ttl). Die Ratenbegrenzung der Anmeldung selbst hält ebenfalls IP-Adressen als Teil ihres Schlüssels; sie besitzt keinen eigenen TTL-Index; ihre abgelaufenen Einträge werden gelöscht, wenn nach Ablauf eines Zeitfensters eine neue Anmeldeanfrage eintrifft.Diese Anwendung setzt derzeit kein Analyse- oder Tracking-Werkzeug ein und bindet keine Dienste Dritter zur Reichweitenmessung ein. Ändert sich das, nennen wir an dieser Stelle vor der Aktivierung das Werkzeug, den Anbieter, den Verarbeitungsort, die erhobenen Ereignisse und die Rechtsgrundlage.Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie dem aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Für Daten, die wir im Auftrag unserer Kunden verarbeiten (Rechnungs- und Zustelldaten, erzeugte Dokumente), ist der Rechnungsaussteller der Verantwortliche; richten Sie Anfragen dazu bitte an ihn. Erreicht uns eine solche Anfrage, leiten wir sie unverzüglich an den Kunden weiter, in dessen Auftrag wir die Daten verarbeiten, und beantworten sie nicht selbst, es sei denn, er ermächtigt uns dazu. Aufbewahrungspflichten des Rechnungsausstellers, etwa nach § 147 AO, können der Löschung dieser Daten entgegenstehen. Für Daten, die wir für unsere eigenen Zwecke verarbeiten, wenden Sie sich an uns; steht ihrer Löschung eine Ausnahme nach Art. 17 Abs. 3 DSGVO entgegen, etwa eine Aufbewahrungspflicht nach dem Recht der EU oder eines Mitgliedstaats, teilen wir Ihnen das mit.Verbindungen sind mit TLS geschützt. API-Schlüssel werden ausschließlich als SHA-256-Hashwert gespeichert, Anmelde-Token nur als Hashwert. Sicherungen sind mit age (X25519) verschlüsselt. Die vollständige Darstellung der Datenstandorte und Maßnahmen finden Sie unter invoiceapi.io/legal/security.Stand: Oktober 2026