Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Matthias Engelien
Hurreler Str. 7, 27798 Hude, Deutschland
E-Mail: info@facturify.de

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen hierfür (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen.

2. Rolle: Verantwortlicher und Auftragsverarbeiter

Facturify erzeugt aus den von Ihnen übergebenen Daten elektronische Rechnungen (XRechnung/ZUGFeRD). Hinsichtlich der Inhalte der von Ihnen übermittelten Rechnungsdaten (einschließlich etwaiger personenbezogener Daten Ihrer Rechnungsempfänger) handeln wir gegenüber unseren Geschäftskunden als Auftragsverarbeiter nach Art. 28 DSGVO; Grundlage ist ein Auftragsverarbeitungsvertrag (AVV). Verantwortlich für diese Inhalte bleibt der jeweilige Kunde. Für die Daten, die zur Bereitstellung des Dienstes selbst anfallen (Konto-, Vertrags-, Abrechnungs- und Nutzungsdaten sowie diese Website), sind wir Verantwortlicher im Sinne der DSGVO. Diese Erklärung beschreibt primär die Verarbeitung in unserer Rolle als Verantwortlicher.

3. Verarbeitete Daten, Zwecke und Rechtsgrundlagen

  • Konto- und Stammdaten (Name, Unternehmens-/Absenderdaten, E-Mail-Adresse, gehashtes Passwort, verschlüsseltes 2FA-Geheimnis): zur Registrierung, Authentifizierung und Vertragsdurchführung – Art. 6 Abs. 1 lit. b DSGVO.
  • Übergebene Rechnungsdaten (Eingangs-Payloads) und erzeugte Artefakte (XRechnung-/ZUGFeRD-Dateien): zur Erbringung des Dienstes; Verarbeitung im Auftrag des Kunden (Art. 28 DSGVO). Diese Inhalte werden verschlüsselt gespeichert und nach spätestens 7 Tagen automatisch gelöscht.
  • Nutzungs- und Abrechnungsdaten (Anzahl erzeugter Rechnungen, Zahlungsstatus): zur Vertragsdurchführung und Abrechnung – Art. 6 Abs. 1 lit. b DSGVO – sowie zur Erfüllung steuer-/handelsrechtlicher Pflichten – Art. 6 Abs. 1 lit. c DSGVO.
  • Server-Logfiles (IP-Adresse, Zeitpunkt, angeforderte Ressource, Statuscode, User-Agent) sowie technische Job-/Audit-Metadaten: zum sicheren Betrieb, zur Missbrauchs- und Angriffsabwehr und zur revisionssicheren Protokollierung – berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO.
  • Kontaktformular (Name, E-Mail-Adresse, Nachricht): zur Bearbeitung Ihrer Anfrage – Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

4. Empfänger und Auftragsverarbeiter

Zur Bereitstellung des Dienstes setzen wir sorgfältig ausgewählte Dienstleister ein, mit denen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO bestehen:

  • Uberspace (Jonas Pasche), Kaiserstr. 15, 55116 Mainz – Hosting, Datenbank, Backups und E-Mail-Versand. Die Datenverarbeitung erfolgt ausschließlich in Rechenzentren in Deutschland bzw. der EU/des EWR.
  • Stripe (Stripe Payments Europe, Ltd., Irland; ggf. Stripe, Inc., USA) – Zahlungsabwicklung der nutzungsbasierten Abrechnung. Übermittelt werden Abrechnungs-/Zahlungsmetadaten (u. a. Stripe-Kunden-ID, aggregierte Rechnungsanzahl, Zahlungsstatus); keine Rechnungsinhalte. Rechtsgrundlage für eine etwaige Übermittlung in die USA sind die EU-Standardvertragsklauseln (Art. 46 DSGVO). Einzelheiten: stripe.com/privacy.

5. Übermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in Länder außerhalb der EU/des EWR findet nur im Rahmen der Zahlungsabwicklung über Stripe statt und wird durch die EU-Standardvertragsklauseln sowie ergänzende Schutzmaßnahmen abgesichert. Die Rechnungsinhalte selbst werden ausschließlich in Deutschland/der EU verarbeitet.

6. Speicherdauer

  • Eingangs-Payloads und erzeugte Artefakte: maximal 7 Tage, anschließend automatische Löschung.
  • Konto-/Stammdaten: für die Dauer des Vertragsverhältnisses; danach bis zum Ablauf gesetzlicher Aufbewahrungsfristen (z. B. 6 bzw. 10 Jahre nach HGB/AO für abrechnungsrelevante Unterlagen).
  • Server-Logfiles: kurzfristig zu Sicherheitszwecken, danach Löschung bzw. Anonymisierung.
  • Kontaktanfragen: bis zur abschließenden Bearbeitung, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Cookies und Session

Wir verwenden ausschließlich ein technisch notwendiges Sitzungs-Cookie zur Authentifizierung angemeldeter Nutzer (HttpOnly, SameSite=Lax, im Betrieb zusätzlich Secure). Dieses ist für den Betrieb erforderlich (§ 25 Abs. 2 TDDDG) und bedarf keiner Einwilligung. Es findet kein Tracking, keine Reichweitenmessung und keine Einbindung von Diensten Dritter zu Analyse- oder Werbezwecken statt.

8. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

  • Strikte Mandantentrennung auf Datenbankebene (Row-Level-Security).
  • Verschlüsselung sensibler Daten und Artefakte (AES-256-GCM); Transportverschlüsselung via TLS.
  • Verpflichtende Zwei-Faktor-Authentifizierung (TOTP), Passwort-Hashing mit Argon2id.
  • Manipulationssicheres, append-only Audit-Log mit Hash-Kette.
  • Datenminimierung und kurze Aufbewahrung personenbezogener Inhalte.

9. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Bei Daten, die wir im Auftrag eines Kunden verarbeiten, richten Sie Betroffenenanfragen bitte an den jeweiligen Verantwortlichen (unseren Kunden); wir unterstützen diesen gemäß AVV.

Ihnen steht ferner ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Für uns zuständig ist:
Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, lfd.niedersachsen.de.

10. Kontakt in Datenschutzfragen

E-Mail: info@facturify.de · Kontaktformular

Zum Impressum →