Datenschutzerklärung
Stand: 01.11.2026
Betreiber:TexteFreigegeben=true freigeben.
1. Verantwortlicher
[Name bzw. Firma – in Betreiber:… eintragen], [Straße – in Betreiber:… eintragen], [PLZ und Ort – in Betreiber:… eintragen], E-Mail: [E-Mail-Adresse – in Betreiber:… eintragen]. Wir haben keinen Datenschutzbeauftragten bestellt, weil wir dazu nicht verpflichtet sind.
2. Wer was verantwortet
Für die Daten deines Kontos (Anmeldung, Nutzung der App, Support) sind wir Verantwortlicher. Für die Inhalte deines Workspaces – Postfächer, Rechnungen, Dokumente, Lieferanten – ist dein Unternehmen Verantwortlicher; wir verarbeiten sie nur in dessen Auftrag nach dem Vertrag zur Auftragsverarbeitung. Diese Erklärung beschreibt vor allem die Verarbeitung, für die wir selbst verantwortlich sind.
3. Hosting
RechnungBot läuft auf einem Server von [Hosting-Anbieter – in Betreiber:… eintragen] – Standort des Rechenzentrums: [Standort des Servers – in Betreiber:… eintragen]. Dort liegen Datenbank, Dokumente und Protokolle; mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung. Rechnungen und Dokumente werden nicht in Länder außerhalb der EU übermittelt.
4. Konto und Anmeldung
Bei der Registrierung bzw. Annahme einer Einladung speichern wir Vor- und Nachname, E-Mail-Adresse, ein Passwort (nur als Hash, nicht lesbar), Rolle und Rechte im Workspace, Zeitpunkt und Fassung der Zustimmung zu den Nutzungsbedingungen (ggf. Mitteilung und Widerspruch bei Änderungen), Sprache und Darstellungseinstellungen bei eingeschalteter Zwei-Faktor-Anmeldung deren geheimen Schlüssel und die ungenutzten Wiederherstellungscodes, sowie zur Sicherheit Fehlversuche, eine Sitzungskennung (ein Konto auf einem Gerät gleichzeitig) und den Zeitpunkt der letzten Anmeldung. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO), für die Sicherheitsangaben unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden gelöscht, wenn du dein Konto löschst bzw. der Workspace gelöscht wird.
5. Nutzung der App
RechnungBot liest die vom Workspace eingerichteten Postfächer nur lesend aus, nimmt hochgeladene Belege und Fotos entgegen, erkennt Rechnungen und speichert Originaldokument und erkannte Daten. Die Texterkennung für Scans und Fotos läuft auf unserem eigenen Server. Einen hochgeladenen Kontoauszug werten wir nur im Arbeitsspeicher aus und speichern ihn nicht. Dabei verarbeiten wir zwangsläufig Daten Dritter (Absender von Mails, Ansprechpartner und Bankverbindungen auf Rechnungen) – im Auftrag des Workspace-Inhabers. Mails ohne passenden Anhang und ohne Rechnung im Text (z. B. Newsletter) werden nicht gespeichert. Von Mails mit einem möglichen Rechnungsanhang speichern wir auch dann Absender, Betreff, Zeitpunkt und Ergebnis im Eingang, wenn keine Rechnung erkannt wurde – den Anhang selbst nicht. Das Postfach wird nicht verändert. Schickst du Mails an die Eingangsadresse deines Workspaces, nimmt sie unser eigener Server direkt an; bis zur Verarbeitung (meist wenige Sekunden) liegen sie dort zwischengespeichert und werden danach gelöscht. Von jeder solchen Mail steht Absender, Betreff, Zeitpunkt und Ergebnis im Eingang. Was du in der App tust (z. B. Rechnung bearbeitet, exportiert), steht im Protokoll des Workspaces und wird nach 90 Tagen gelöscht. Zugangsdaten zu Postfächern speichern wir verschlüsselt. Verbindest du ein Postfach über Microsoft oder Google, meldest du dich direkt beim Anbieter an – wir erhalten dein Passwort nicht, sondern einen Zugriff auf das Postfach, den du beim Anbieter jederzeit widerrufen kannst (verschlüsselt gespeichert, gelöscht mit dem Postfach). Während dieser Anmeldung setzen wir ein technisch notwendiges Cookie für höchstens 15 Minuten (siehe Cookies).
6. Server-Protokolle
Zur Fehlersuche und Sicherheit protokolliert der Server Zeitpunkt, Benutzer- und Workspace-Kennung, ausgeführte Aktion, bei Anmeldung und Registrierung die E-Mail-Adresse, beim Abruf Betreff von Mails, Dateinamen und Eckdaten erkannter Rechnungen (Lieferant, Nummer, Betrag), Empfänger versandter Mails sowie je Seitenaufruf Pfad, Statuscode und Dauer. IP-Adressen, Passwörter und Zugangslinks werden nicht protokolliert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Löschung nach 30 Tagen. Zum Schutz vor dem Durchprobieren von Passwörtern zählt der Server Anmelde- und Formularversuche je IP-Adresse – nur im Arbeitsspeicher für höchstens 5 Minuten, ohne Speicherung (Art. 6 Abs. 1 lit. f DSGVO).
7. Cookies und Speicher im Browser
Wir setzen nur technisch notwendige Cookies – keine Analyse, kein Tracking, keine Werbung. Eine Einwilligung ist dafür nicht nötig (§ 25 Abs. 2 TDDDG).
| Name | Zweck | Dauer |
|---|---|---|
| .AspNetCore.Identity.Application | Anmeldung | Sitzung, mit „Angemeldet bleiben“ bis 14 Tage |
| .AspNetCore.Antiforgery.* | Schutz von Formularen vor Missbrauch | Sitzung |
| RechnungBot.Verdraengt | Hinweis nach Abmeldung durch ein anderes Gerät | 5 Minuten |
| RechnungBot.PostfachOAuth | Nur beim Verbinden eines Postfachs über Microsoft/Google: Schutz davor, dass dir jemand ein fremdes Postfach unterschiebt | 15 Minuten |
| .AspNetCore.Culture | Die gewählte Sprache – nach Auswahl im Sprachmenü oder beim Anmelden aus deinem Konto | 1 Jahr |
| RechnungBot.SystemDunkel | Nur bei Darstellung „Wie System“: ob dein Gerät hell oder dunkel eingestellt ist | 1 Jahr |
| localStorage „rb-hinweise-geschlossen“ | Welche Hinweise du weggeklickt hast (nur Nummern) | bis du ihn löschst |
| localStorage „rb-app-hinweis-aus“ | Ob du den Hinweis zum Installieren der App ausgeblendet oder die App installiert hast (nur der Wert 1) | bis du ihn löschst |
| Service Worker „rechnungbot-1“ | Installierbare App: speichert nur die Seite „Keine Verbindung“, keine Rechnungen oder persönlichen Daten | bis du die Website-Daten löschst |
Schriften und Skripte liefern wir selbst aus; beim Aufruf der Seiten werden keine Daten an Dritte übertragen.
8. E-Mails
Wir versenden Mails, die zum Dienst gehören: Bestätigung der Adresse, Passwort zurücksetzen, Einladungen, Berichte, Hinweise auf fällige Rechnungen und Störungen, Antworten auf Support-Anfragen, den vom Inhaber eingestellten Monatsversand der Belege an die von ihm genannte Adresse (z. B. Steuerberater) sowie Hinweise zum Dienst. Werbung verschicken wir nicht. Für den Versand nutzen wir [Mail-Dienst – in Betreiber:… eintragen] mit Servern in der EU; mit dem Dienst besteht ein Vertrag zur Auftragsverarbeitung.
Benachrichtigungen aufs Handy oder den Computer gibt es nur, wenn du sie auf einem Gerät selbst einschaltest. Dann speichern wir für dieses Gerät die Adresse, die dein Browser dafür beim Push-Dienst seines Herstellers anlegt (Google, Apple, Mozilla oder Microsoft), zwei technische Schlüssel, eine Gerätebezeichnung wie „Chrome · Android“ und wann zuletzt etwas gesendet wurde, außerdem, worüber du benachrichtigt werden möchtest. Die Nachrichten (z. B. Lieferant und Betrag einer neuen Rechnung) gehen verschlüsselt über diesen Push-Dienst an dein Gerät; der Hersteller kann den Inhalt nicht lesen, sieht aber, dass und wann eine Nachricht an das Gerät geht – je nach Hersteller auch auf Servern außerhalb der EU. Ausschalten kannst du sie jederzeit unter Einstellungen → Profil & Workspace oder in den Einstellungen des Browsers; das Gerät wird dann gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
9. Support
Was du über „Hilfe & Feedback“ schickst (Text, angehängte Dateien und – nur wenn du zustimmst – technische Angaben wie Seite und Browser), speichern wir zur Bearbeitung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Löschung nach 12 Monaten.
Das Kontaktformular auf der Startseite schickt Name, E-Mail-Adresse und Nachricht per E-Mail an unser Support-Postfach; in RechnungBot selbst wird nichts davon gespeichert. Wir nutzen die Angaben nur für die Antwort. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. f DSGVO. Die E-Mail löschen wir, sobald die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.
10. Bezahlung
Kostenpflichtige Tarife bezahlst du über Stripe (Stripe Payments Europe, Ltd., Dublin, Irland). Zahlungsdaten gibst du direkt bei Stripe ein, sie erreichen uns nicht. Wir übermitteln die E-Mail-Adresse des Inhabers und die Workspace-Nummer und erhalten von Stripe den Stand des Abos. Stripe verarbeitet Zahlungs- und Rechnungsdaten auch in den USA. Rechnungen und Dokumente aus deinem Workspace erhält Stripe nicht. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); Abrechnungsbelege bewahren wir nach den gesetzlichen Fristen auf.
11. Speicherdauer im Überblick
- Rechnungen, Originalbelege und Eingangsprotokoll: solange der Workspace besteht; wird eine einzelne Rechnung endgültig gelöscht, verschwinden ihre Daten und der Originalbeleg; es bleibt nur eine Prüfsumme der Datei, aus der sich der Inhalt nicht zurückgewinnen lässt (Schutz vor doppeltem Import), sowie der Eintrag der Mail im Eingangsprotokoll
- Rechnungen im Papierkorb: 30 Tage
- Protokoll der Zugriffe und Aktionen des Betreibers (mit Workspace-Namen und Adressen möglich): 24 Monate, auch über die Löschung eines Workspaces hinaus (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO)
- Protokoll des Workspaces: 90 Tage; Server-Protokolle: 30 Tage; Support-Anfragen: 12 Monate
- Sicherungen: 14 Tage – gelöschte Daten verschwinden spätestens dann auch aus den Sicherungen
- Löscht der Inhaber den Workspace, wird er sofort gesperrt und nach 30 Tagen mit allen Daten und Konten endgültig gelöscht
12. Deine Rechte
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Schreib uns dazu an [E-Mail-Adresse – in Betreiber:… eintragen]. Geht es um Daten in einem Workspace, wende dich an dessen Inhaber – wir unterstützen ihn dabei. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. der für unseren Sitz zuständigen.
Die Angaben für das Konto brauchen wir für den Vertrag; ohne sie kannst du RechnungBot nicht nutzen. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO, die dir gegenüber rechtliche Wirkung entfalten, finden nicht statt; die Rechnungserkennung liest nur Belege aus. Eine Einwilligung, die du erteilt hast, kannst du jederzeit für die Zukunft widerrufen.
13. Sicherheit
Die Verbindung ist verschlüsselt (HTTPS). Zugangsdaten zu Postfächern speichern wir verschlüsselt; Workspaces sind strikt voneinander getrennt. Weitere Maßnahmen stehen im Vertrag zur Auftragsverarbeitung.