Datenschutzerklärung für InvoPlanner

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Einen Datenschutzbeauftragten haben wir nicht bestellt, da die gesetzlichen Voraussetzungen hierfür, insbesondere nach § 38 BDSG, derzeit nicht vorliegen. Datenschutzanfragen richten Sie bitte an die oben genannte E-Mail-Adresse.

2. Rollen bei der Verarbeitung

Für das InvoPlanner-Nutzerkonto, die Anmeldung, unsere Verträge und Abrechnungen, den Schutz des Dienstes sowie die Bearbeitung von Anfragen und Meldungen sind wir selbst Verantwortlicher. Dazu gehören auch die Nachweise über angenommene Vertragsfassungen und die unten beschriebene Beweissicherung bei konkreten Missbrauchs- oder Sicherheitsfällen.

Eigene Zwecke verfolgen wir bei solchen Inhaltsdaten nur, soweit dies zur Prüfung einer Meldung oder zur begrenzten Beweissicherung erforderlich ist. Diese Ausnahmen sind unter „Kontakt, Meldungen und Beweissicherung“ beschrieben. Kundendaten verwenden wir nicht für Werbung oder zum Training von KI-Modellen.

3. Rechtsgrundlagen und erforderliche Angaben

Für Verarbeitungen in eigener Verantwortung gelten je nach Zweck:

• Vertrag oder vorvertragliche Anfrage (Art. 6 Abs. 1 lit. b DSGVO): Einrichtung und Nutzung des Kontos, Bereitstellung der vereinbarten Funktionen, Abonnement, Abrechnung und vertragsbezogener Support, soweit die betroffene Person selbst Vertragspartei ist.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Kommunikation und Kontoverwaltung für Ansprechpartner und Beschäftigte unserer Unternehmenskunden, sicherer und stabiler Betrieb, Abwehr von Missbrauch, Fehleranalyse sowie Nachweis und Durchsetzung vertraglicher Rechte. Die Interessen werden bei den jeweiligen Funktionen erläutert.
• Gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO): insbesondere Aufbewahrung nach § 147 AO, § 257 HGB und § 14b UStG, Dokumentation der Auftragsverarbeitung nach Art. 28 Abs. 3 und 9 DSGVO, Bearbeitung von Datenschutzrechten sowie gesetzlich vorgeschriebene Melde- und Begründungsverfahren nach Art. 16 bis 18 des Digital Services Act (DSA).
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): nur, wenn wir für eine bestimmte Verarbeitung ausdrücklich darum bitten. Die Annahme von AGB und AVV ist keine Einwilligung in Werbung oder Tracking.

Für ein Konto sind eine E-Mail-Adresse und eine funktionierende Anmeldung erforderlich; für einen neuen Arbeitsbereich zusätzlich Firmenname und Annahme der Vertragsdokumente. Für kostenpflichtige Leistungen benötigen wir die erforderlichen Rechnungs- und Zahlungsangaben. Ohne diese Angaben können wir die jeweilige Leistung nicht bereitstellen. Google-Anmeldung, Zwei-Faktor-Anmeldung, eigenes SMTP-Postfach und Exportfreigaben sind wählbare Funktionen. Die Pflichtangaben der Formulare sind dort gekennzeichnet.

Die Rechtsgrundlage für die im Auftrag verarbeiteten Daten bestimmt der jeweilige Unternehmenskunde. Technisch erforderliche Zugriffe auf den Browser-Speicher richten sich zusätzlich nach § 25 Abs. 2 Nr. 2 TDDDG.

4. Bereitstellung von Website, App und API

Beim Aufruf von InvoPlanner werden Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angefragte Adresse, HTTP-Methode und Status, Browser- und Betriebssystemangaben, gegebenenfalls die verweisende Seite sowie technische Fehler- und Anfragekennungen. Das ist notwendig, um Inhalte auszuliefern, Anfragen zu bearbeiten, Angriffe abzuwehren und Störungen zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; bei der Bereitstellung vertraglicher Funktionen ergänzend lit. b im oben erläuterten Umfang.

Website und API nutzen Cloudflare, Inc., USA. Cloudflare Pages liefert die Website aus; Workers verarbeiten API-Anfragen, D1 speichert Anwendungsdaten, und Durable Objects koordinieren geplante Versandaufträge. D1 und die verwendeten Durable Objects sind auf die EU-Jurisdiktion eingerichtet. Dies begrenzt nicht sämtliche Cloudflare-Verarbeitung auf die EU: Netzwerk-, Worker-, Sicherheits- und Diagnosedienste können weltweit einschließlich der USA betrieben werden.

Im API-Dienst sind automatische Protokolle für jeden einzelnen Aufruf mit vollständiger Anfrage-URL deaktiviert. Technische Fehler- und Betriebsmeldungen werden weiterhin protokolliert. Für eigene Betriebsübersichten verarbeiten wir außerdem Kennungen, Status, Fehlercodes und Anzahlen etwa von Nutzern, Kunden und Belegen je Arbeitsbereich, soweit dies für Betrieb, Kapazitätsplanung und Support erforderlich ist. Dafür werden keine Belegtexte ausgewertet.

Technische Protokolle bewahren wir grundsätzlich höchstens sieben Tage auf, bei einem konkreten Sicherheitsvorfall nur so lange darüber hinaus, wie dessen Aufklärung es erfordert. Gesonderte Fristen für Anmeldung, Vertragsnachweise und Meldungen stehen unter „Speicherdauer und Löschung“.

5. Registrierung, Anmeldung und Zwei-Faktor-Schutz

Für Anmeldung, E-Mail-Bestätigung und Passwortzurücksetzung setzen wir Firebase Authentication von Google ein. Dabei werden insbesondere E-Mail-Adresse, Nutzerkennung, Anmeldeverfahren, Bestätigungsstatus, Anmeldezeitpunkte, Authentifizierungstoken, IP-Adresse und Browserkennung verarbeitet. Bei der Anmeldung mit einem Google-Konto erhalten wir außerdem die von Google bereitgestellten Profilangaben wie Anzeigename und gegebenenfalls Profilbild. Bei E-Mail/Passwort verwaltet Firebase das Passwort; wir speichern es nicht in unserer Anwendungsdatenbank.

Google erbringt Firebase Authentication als Dienstleister für unsere Kontoverwaltung. Vertragspartner nach den für Deutschland geltenden Google-Cloud-Bedingungen ist Google Cloud EMEA Limited, Irland; an der Verarbeitung beteiligt ist Google LLC, USA. Firebase Authentication verarbeitet die Anmeldedaten in den USA. Die EU-Einstellung unserer Cloudflare-Datenbank ändert daran nichts. Weitere Angaben enthält Google zum Datenschutz bei Firebase.

Die zusätzliche Anmeldung mit einem Google-Konto ist freiwillig. Für das Google-Konto und seine eigenen Identitätsdienste handelt Google selbst als Verantwortlicher; dafür gelten die Datenschutzhinweise von Google. Stattdessen ist eine Anmeldung mit E-Mail und Passwort möglich. Teile der Anmeldeabwicklung laufen unter unserer Domain; dies verhindert die zur Authentifizierung erforderliche Übermittlung an Google nicht.

In unserer Datenbank speichern wir Nutzerkennung, E-Mail-Adresse, Anzeigename, Kontostatus und die Zuordnung zu Arbeitsbereichen. Ein neuer Arbeitsbereich entsteht erst nach bestätigter E-Mail-Adresse, Angabe des Firmennamens und Annahme der aktuellen AGB und AVV.

Freiwillige Zwei-Faktor-Anmeldung per E-Mail

Sie können in den Sicherheitseinstellungen einen zusätzlichen E-Mail-Code aktivieren. Wir speichern die dafür bestätigte E-Mail-Adresse, den Aktivierungsstatus, einen geschützten Prüfwert des Codes, Zweck, Erstellungs- und Ablaufzeit sowie Fehlversuche. Der Versand erfolgt über unseren Maildienst. Ein Code gilt zehn Minuten; seine Datensätze werden spätestens nach einem Tag gelöscht. Die Bestätigung einer Anmeldung speichern wir bis zu 30 Tage. Ein neuer Anmeldevorgang erfordert bei aktivierter Funktion erneut einen Code.

Die Verarbeitung dient der Kontobereitstellung nach Art. 6 Abs. 1 lit. b DSGVO beziehungsweise der Verwaltung betrieblicher Zugänge und dem Schutz vor unbefugtem Zugriff nach Art. 6 Abs. 1 lit. f DSGVO.

6. Annahme von AGB und AVV

Wenn ein Inhaber für einen Arbeitsbereich AGB oder AVV annimmt, führen wir einen Nachweis über die angenommenen Fassungen. Er enthält Arbeitsbereich, Firmenname, Nutzerkennung, E-Mail-Adresse, Anzeigename und Rolle der handelnden Person, Anlass und Zeitpunkt der Annahme, Versionsnummern und Prüfsummen der Dokumente, den Wortlaut der Bestätigung, einen geschützten Prüfwert der IP-Adresse sowie die Browserkennung. Diese Prüfwerte sind pseudonymisierte personenbezogene Daten, keine anonymen Daten.

Die Bestätigung wird per E-Mail mit den Vertragsdokumenten versandt; dabei speichern wir Versandstatus und erforderliche Wiederholungsversuche. Berechtigte Nutzer können die Nachweise in der App einsehen und eine AVV-Ausfertigung mit den hinterlegten Firmendaten herunterladen.

Unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO ist, Abschluss und Inhalt des Vertrags sowie die Vertretung des Unternehmens nachweisen und Ansprüche klären zu können. Für die Dokumentation der Vereinbarung zur Auftragsverarbeitung gilt zusätzlich Art. 6 Abs. 1 lit. c in Verbindung mit Art. 28 Abs. 3 und 9 DSGVO.

Die Nachweise bleiben während des Vertrags bestehen. Nach Löschung des Arbeitsbereichs werden sie getrennt von dessen Inhaltsdaten bis zum Ende des dritten auf das Löschjahr folgenden Kalenderjahres aufbewahrt.

7. Bot-Schutz durch Cloudflare Turnstile

Bei der Registrierung sowie in Kontakt- und Meldeformularen verwenden wir Cloudflare Turnstile. Der Dienst prüft, ob eine Anfrage von einem Menschen oder einem automatisierten Programm stammt. Dabei werden insbesondere IP-Adresse, Browser- und Geräteinformationen, technische Merkmale der Anfrage und das Prüfergebnis an Cloudflare übermittelt. Unsere API prüft das Ergebnis, bevor sie die Anfrage weiterverarbeitet.

Die Prüfung schützt Konten, Formulare und Mailversand vor automatisiertem Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Soweit hierfür Informationen auf dem Endgerät gespeichert oder ausgelesen werden, dient dies der sicheren Bereitstellung der ausdrücklich angeforderten Funktion (§ 25 Abs. 2 Nr. 2 TDDDG). Scheitert die Prüfung, kann das betroffene Formular nicht abgesendet werden; Sie können uns über die angegebene Kontaktadresse erreichen.

Informationen zur Verarbeitung durch Cloudflare stehen in der Cloudflare-Datenschutzerklärung. Zu Übermittlungen außerhalb des EWR siehe „Drittlandübermittlungen“.

8. Nutzung der App und Workspace-Daten

Im Auftrag des jeweiligen Unternehmens verarbeiten wir Daten, die berechtigte Nutzer eingeben, importieren oder mit InvoPlanner erzeugen:

• Arbeitsbereich, Mitgliedschaften, Rollen, Berechtigungen und Einstellungen.
• Unternehmens- und Absenderdaten, darunter Name, Anschrift, Kontaktwege, Rechtsform, Vertretung, Registerangaben, Steuer- und Bankdaten, Logo, Sprache sowie PDF- und E-Mail-Vorlagen.
• Kunden- und Ansprechpartnerdaten wie Name, Anschrift, E-Mail, Telefon, Funktion, USt-ID, Zahlungsbedingungen, Zuordnungen und Notizen.
• Rechnungen, Angebote, Aufträge, Auftragsbestätigungen, Lieferscheine, Mahnungen, Stornos und Gutschriften einschließlich Positionen, Leistungsbeschreibungen, Beträgen, Steuerdaten und Freitexten.
• Zahlungen mit Betrag, Datum, Methode, Referenz und Notizen.
• Geplante und wiederkehrende Versandaufträge, Empfänger, Versand- und Fehlerstatus sowie erforderliche Wiederholungsinformationen.
• Auswertungen, Exporte sowie Aktivitäts- und Audit-Einträge.

Diese Funktionen dienen der Kundenverwaltung, Belegerstellung, Geschäftsabwicklung und Nachvollziehbarkeit. Die Rechtsgrundlagen und Weisungen kommen vom verantwortlichen Unternehmenskunden; wir handeln nach Art. 28 DSGVO. Für unsere eigenen Konto-, Vertrags-, Abrechnungs- und Sicherheitsdaten gelten die gesonderten Abschnitte dieser Erklärung.

9. Teammitglieder und Einladungen

Berechtigte Personen eines Unternehmens können weitere Personen einladen und deren Rollen verwalten. Die E-Mail-Adresse der eingeladenen Person erhalten wir dabei von der einladenden Person. Wir verarbeiten sie zusammen mit Arbeitsbereich, Rolle, Einladungsstatus, Bestätigungskennung, Ablaufzeit und Angaben zur einladenden Person, um die Einladung zuzustellen und den richtigen Zugriff einzurichten.

Mitgliedschaften und Berechtigungen werden im Auftrag des Unternehmens verwaltet. Das persönliche Anmeldekonto und dessen Absicherung verarbeiten wir in eigener Verantwortung wie unter „Registrierung, Anmeldung und Zwei-Faktor-Schutz“ beschrieben. Berechtigte Teammitglieder sehen Name, E-Mail-Adresse, Rolle und die für ihre Aufgaben freigegebenen Daten.

10. PDF-Erzeugung bei Datalix

Für Beleg-PDFs und Vertragsausfertigungen übermittelt unsere API die erforderlichen Daten an den von uns betriebenen PDF-/Mail-Dienst auf einem gemieteten Server bei Florian Kolb (Datalix), Theodor-Heuss-Str. 1, 97230 Estenfeld, Deutschland. Der dafür verwendete Server steht in Frankfurt am Main, Deutschland.

Je nach Dokument werden Unternehmens-, Kunden-, Ansprechpartner-, Adress-, Bank-, Steuer-, Positions- und Zahlungsdaten sowie Texte, Logo und Layoutangaben verarbeitet. Bei der AVV-Ausfertigung kommen Firmendaten, Vertretungsangaben und Angaben zur Annahme hinzu. PDFs werden im Arbeitsspeicher erzeugt und zur Anzeige, zum Download oder als E-Mail-Anhang zurückgegeben. Der Backenddienst führt dafür kein dauerhaftes Dokumentenarchiv.

Wenn ein Unternehmen eine externe Logo- oder Bildadresse hinterlegt, kann der Backenddienst das Bild dort abrufen. Der externe Host erhält die angefragte Adresse und Verbindungsdaten des Servers, insbesondere dessen IP-Adresse. Eine hinterlegte URL kann selbst personenbezogene Angaben enthalten. Auf die Verarbeitung durch einen vom Unternehmen ausgewählten Bildanbieter haben wir keinen Einfluss.

Kundenbelege erstellen wir im Auftrag des Unternehmens nach Art. 28 DSGVO. Unsere eigenen Rechnungen und Vertragsdokumente verarbeiten wir für Vertragsdurchführung, gesetzliche Dokumentation und Vertragsnachweise auf den hierfür beschriebenen Rechtsgrundlagen.

11. E-Mail-Versand und eigene Postfächer

InvoPlanner versendet Kundenbelege und geplante Nachrichten im Auftrag des jeweiligen Unternehmens. Hinzu kommen eigene Systemnachrichten, etwa Einladungen, Sicherheitscodes, Vertragsbestätigungen, Abrechnungsinformationen und Hinweise auf Exportfreigaben oder Sperren.

Dabei verarbeiten wir Absender, Antwortadresse, Empfänger einschließlich gegebenenfalls CC/BCC, Betreff, Nachrichtentext, Signatur, Anhänge, Versandzeitpunkt, Versandauftrag sowie Zustell- oder Fehlerstatus. Für den Transport nutzt unser Backend bei Datalix standardmäßig IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland. Dieser Versand und die dafür verwendeten Postfächer erfolgen in der EU/im EWR. Die Nachricht gelangt anschließend zum Mailanbieter des Empfängers.

Optionaler Versand über Ihr eigenes SMTP-Postfach

Ein Unternehmen kann für Kundenmails einen eigenen Mailserver einrichten. Dafür speichern wir Serveradresse, Port, Sicherheitsart, Benutzername, Absendername und -adresse, Signatur sowie das verschlüsselte SMTP-Passwort. Das Passwort wird nur für die Verbindung zum gewählten Mailserver entschlüsselt und nicht im Datenexport ausgegeben. Status und Zeitpunkt einer Verbindungsprüfung oder eines Fehlers werden ebenfalls gespeichert.

Der Versand läuft über unseren Backenddienst an den gewählten Mailserver. Scheitert er, wird die Nachricht nicht ersatzweise über IONOS versandt. Die Mailanbieter und Verarbeitungsorte dieses Weges bestimmt das Unternehmen mit seiner Konfiguration. Für Systemnachrichten verwenden wir weiterhin unseren eigenen Maildienst. Zu den Sicherheitsmaßnahmen gehört eine verschlüsselte SMTP-Verbindung zum unmittelbar verwendeten Mailserver; daraus folgt keine Ende-zu-Ende-Verschlüsselung der Nachricht.

Unzustellbarkeitsmeldungen und Antworten an unsere technische Absenderadresse können in unserem Postfach eingehen. Wir nutzen sie zur Erkennung von Zustellfehlern und löschen sie spätestens nach 30 Tagen. Kundendaten, die in einer Support-Anfrage enthalten sind, werden spätestens 30 Tage nach Abschluss der Anfrage gelöscht.

Den Belegversand und die SMTP-Konfiguration verarbeiten wir nach Weisung des Unternehmens. Eigene Systemnachrichten dienen Vertrag und Kontosicherheit (Art. 6 Abs. 1 lit. b beziehungsweise f DSGVO). Versandzähler, Hinweise auf missbräuchliche Absendernamen und begründete Versandsperren dienen dem Schutz der Empfänger und unseres Dienstes nach Art. 6 Abs. 1 lit. f DSGVO.

12. Kontakt, Meldungen und Beweissicherung

Über das Kontaktformular, das Meldeformular oder per E-Mail können Sie uns Anfragen und Hinweise auf rechtswidrige Inhalte senden. Wir verarbeiten E-Mail-Adresse, gegebenenfalls Name und Betreff, Nachricht und bei Meldungen zusätzlich Grund, Fundstelle und die Erklärung zur Richtigkeit der Angaben. Hinzu kommen Vorgangsnummer, Zeitpunkt, ein geschützter Prüfwert der IP-Adresse, Zustellstatus, Bearbeitungsstatus, Entscheidung und Begründung.

Die E-Mail-Adresse wird für Rückfragen, Eingangsbestätigung und Antwort benötigt. Bei gesetzlich vorgesehenen Meldungen zu Straftaten nach Art. 3 bis 7 der Richtlinie 2011/93/EU ist eine Meldung ohne Namen und E-Mail-Adresse möglich. Ohne Kontaktadresse können wir keine Eingangsbestätigung oder Entscheidung zustellen. Geben Sie nur die für die Prüfung notwendigen Angaben zu sich und anderen Personen an.

Die Eingaben werden in unserer Datenbank und als Nachricht im Betreiberpostfach gespeichert. Ein Mensch bearbeitet Anfragen, Meldungen und Widersprüche. Soweit zur Klärung nötig, beziehen wir betroffene Unternehmenskunden ein; ihnen übermitteln wir die erforderlichen Tatsachen und Gründe einer Maßnahme. Die Identität einer meldenden Person geben wir nicht ohne Erforderlichkeit oder rechtliche Grundlage weiter. Bei einer gesetzlichen Pflicht erhalten zuständige Behörden die erforderlichen Informationen.

Vertragsbezogene Anfragen bearbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, sonstige Anfragen und die Abwehr von Missbrauch auf Grundlage von lit. f. Gesetzlich vorgeschriebene Meldeverfahren, Begründungen und Behördenmeldungen beruhen auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 bis 18 DSA. Unser berechtigtes Interesse umfasst die sorgfältige Prüfung, den Schutz Betroffener und die nachvollziehbare Bearbeitung von Streitfällen.

Begrenzte Beweissicherung bei gesperrten Arbeitsbereichen

Bei konkreten Hinweisen auf einen Vertragsverstoß dürfen wir die zur Aufklärung und Rechtsverteidigung erforderlichen Konto- und Anmeldedaten, Versandprotokolle und betroffenen Belege als Kopie sichern. Ab diesem Zeitpunkt verarbeiten wir diese Kopie in eigener Verantwortung nach Art. 6 Abs. 1 lit. f DSGVO. Wir informieren den Kunden über die gesicherten Daten und löschen sie, sobald der Zweck entfällt, insbesondere bei nicht bestätigtem Verdacht, spätestens nach drei Jahren. Bei einem kompromittierten Zugang oder einer sonstigen Sicherheitsgefahr betrifft diese Sicherung nur Versandprotokolle und höchstens 90 Tage.

Die allgemeinen Fristen für Formulare und Sperrnachweise stehen unter „Speicherdauer und Löschung“. Gegen eine Entscheidung zu einer Meldung oder Sperre können Kunde und meldende Person innerhalb von sechs Monaten an anfrage@digital-e.org schreiben. Ein Mensch prüft den Widerspruch erneut.

13. Abonnements und Zahlungen über PayPal

Für kostenpflichtige Abonnements verarbeiten wir Rechnungsname und -anschrift, gegebenenfalls Steuerangaben, Tarif, Abrechnungsintervall, Betrag, Währung, Laufzeit, Zahlungsstatus, Rechnungen sowie Abonnement- und Transaktionsreferenzen. Diese Daten erhalten wir von Ihnen, aus der Vertragsabwicklung und über Statusmeldungen von PayPal.

Die Zahlung erfolgt über PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. Wenn Sie ein kostenpflichtiges Abonnement abschließen oder einen bestätigungspflichtigen Tarifwechsel vornehmen, leiten wir Sie zur Freigabe auf PayPal weiter. Wir übermitteln die für Bestellung und Zuordnung erforderlichen Angaben und erhalten Bestätigung, Kennungen sowie Zahlungs- und Abonnementstatus zurück. Vollständige Karten- oder Bankzugangsdaten werden nicht in unserer App gespeichert.

PayPal handelt für seine Zahlungsdienste als eigener Verantwortlicher. Es ist kein Unterauftragsverarbeiter für Ihre in InvoPlanner verwalteten Kundenbelege. Auf der PayPal-Seite gelten dessen eigene Verfahren zu Authentifizierung, Cookies, Betrugsprüfung, Aufbewahrung und internationalen Datenübermittlungen; Einzelheiten stehen in der PayPal-Datenschutzerklärung.

Unsere Verarbeitung dient Vertragsdurchführung und Rechnungsstellung nach Art. 6 Abs. 1 lit. b DSGVO, bei Unternehmensansprechpartnern Art. 6 Abs. 1 lit. f DSGVO, sowie gesetzlichen Aufbewahrungspflichten nach Art. 6 Abs. 1 lit. c DSGVO. Status- und Fehlerereignisse dienen außerdem der korrekten Zuordnung, Vermeidung doppelter Buchungen und Klärung von Zahlungsstreitigkeiten (Art. 6 Abs. 1 lit. f DSGVO).

14. Aktivitätsprotokoll, Audit-Trail und Sperrnachweise

InvoPlanner protokolliert relevante Änderungen mit Arbeitsbereich, betroffenen Datensatzkennungen, Aktion, Zeitpunkt, handelnder Person, E-Mail-Adresse, Anzeigename und Rolle sowie technischen Kennungen und Prüfwerten. Der Audit-Trail verknüpft Einträge durch Hashwerte, damit unbemerkte Änderungen erkennbar werden. Die Einträge sind personenbezogen und nur für entsprechend berechtigte Nutzer und befugte Personen im Betrieb oder Support zugänglich.

Das Protokoll der Geschäftsabläufe führen wir im Auftrag des Unternehmens. Neue Einträge zu Kunden, Ansprechpartnern und Notizen enthalten Kennungen und die Namen geänderter Felder; Empfängeradressen, Telefonnummern und Bankverbindungen werden dort unkenntlich gemacht. Ältere Einträge aus der Zeit vor AVV 2.0 können noch Notiztexte, Namen und Anschriften enthalten. Sie werden in den Aktivitätsverläufen nicht mehr angezeigt, bleiben aber in der Audit-Kette, der Audit-Ansicht und dem Datenexport enthalten, bis sie gelöscht werden.

Für neue IP-Prüfwerte wird ein geheimer Schlüssel verwendet (HMAC). Ältere Audit-Einträge enthalten stattdessen einen gekürzten Hashwert mit festem Zusatzwert; eine Zuordnung zur ursprünglichen IP-Adresse ist dabei mit vertretbarem Aufwand möglich. Beide Formen behandeln wir als personenbezogene Daten und löschen sie mit dem jeweiligen Eintrag.

Gesondert verarbeiten wir Protokolle zu unseren eigenen Abonnements, Rechnungen und Rechnungsprofilen sowie Vertragsnachweise und Sicherheitsfälle als Verantwortlicher. Dafür gelten Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Aufbewahrungspflichten bestehen, und lit. f für Vertragsnachweis, Missbrauchsschutz und Rechtsverteidigung.

Um die Umgehung einer begründeten Versandsperre zu verhindern, kann nach Löschung eines gesperrten Arbeitsbereichs ein Sperrnachweis mit Arbeitsbereich, Inhaberkennung und -adresse, Grund und Zeitpunkt verbleiben. Er wird mit Inhabern neu angelegter Arbeitsbereiche abgeglichen. Über eine daraus übernommene Versandsperre werden die Inhaber informiert; sie können eine Prüfung durch einen Menschen verlangen. Die Frist beträgt höchstens drei Jahre nach Löschung des gesperrten Arbeitsbereichs.

15. Auswertungen, Datenexport und Exportfreigaben

Berechtigte Nutzer können Umsatz-, Kunden-, Steuer-, Zahlungs- und Audit-Auswertungen sowie PDF- und CSV-Dateien herunterladen. Inhaber und Administratoren können außerdem einen vollständigen maschinenlesbaren JSON-Export des Arbeitsbereichs erstellen. Er enthält insbesondere Stammdaten, Kunden, Ansprechpartner, Notizen, Belege, Positionen, Zahlungen, Versandaufträge, Team- und Einladungsdaten, Einstellungen, Audit-Daten, Abrechnungsdaten und Vertragsnachweise. Passwörter für Anmeldung und SMTP werden nicht exportiert.

Für einen Anbieterwechsel oder einen beauftragten Dritten kann eine berechtigte Person einen widerruflichen Exportschlüssel mit einer Laufzeit von einem bis 90 Tagen erstellen. Wer einen gültigen Schlüssel erhält, kann den vollständigen Export des Arbeitsbereichs abrufen. Teilen Sie ihn deshalb nur mit dem vorgesehenen Empfänger. Die Freigabe setzt fortbestehende Inhaber- oder Administratorrechte der erstellenden Person voraus; die Inhaber erhalten bei Erstellung eine Benachrichtigung.

Wir speichern einen Prüfwert des Schlüssels, dessen Bezeichnung, Arbeitsbereich, erstellende Person und E-Mail-Adresse, Erstellungs-, Ablauf- und Widerrufszeitpunkt sowie letzte Nutzung und Abrufanzahl. Abrufe werden im Audit-Protokoll erfasst, einschließlich eines geschützten IP-Prüfwerts. Die Schlüsseldatensätze werden 90 Tage nach Ablauf oder Widerruf gelöscht; der Audit-Eintrag folgt der Frist des Arbeitsbereichs.

Die Übermittlung der Inhaltsdaten erfolgt auf Weisung des verantwortlichen Unternehmens im Rahmen der Auftragsverarbeitung. Die Exportfunktionen dienen auch dem vertraglichen Anbieterwechsel und den Pflichten nach Kapitel VI der Verordnung (EU) 2023/2854 (Data Act). Eigene Sicherheits- und Zugriffsprüfungen stützen wir auf Art. 6 Abs. 1 lit. f DSGVO. Nach Download oder Weitergabe bestimmt das Unternehmen die weitere Verwendung und Aufbewahrung beim Empfänger.

16. Browser-Speicher, Cookies und ähnliche Technologien

InvoPlanner verwendet keine Marketing-Tracker oder Reichweitenanalyse wie Google Analytics. Für die gewünschte Nutzung speichern wir notwendige Angaben im Browser:

• invoplanner_theme und invoplanner_language Local Storage für die von Ihnen gewählte Darstellung und Sprache; bleibt bis zur Änderung oder Löschung der Browserdaten gespeichert.
• invoplanner_tenant_id Local Storage für den ausgewählten Arbeitsbereich; wird bei Wechsel aktualisiert und bei Abmeldung entfernt.
• invoplanner_tenant_reloaded Session Storage zur Vermeidung wiederholter Neuladungen bei der Anmeldung; spätestens mit Ende der Browsersitzung entfernt.
• Firebase-Anmeldestatus Insbesondere IndexedDB und Local Storage für die fortbestehende Anmeldung und die Verwaltung von Authentifizierungstoken; bis zur Abmeldung oder Löschung durch Sie beziehungsweise den Browser.

Die Speicherung ermöglicht den ausdrücklich gewünschten Anmeldezustand, die gewählten Einstellungen und die sichere App-Nutzung. Dafür gilt § 25 Abs. 2 Nr. 2 TDDDG; für die personenbezogene Verarbeitung gelten Art. 6 Abs. 1 lit. b beziehungsweise f DSGVO. Sie können die Angaben über Ihren Browser entfernen; dadurch kann eine erneute Anmeldung erforderlich werden und Einstellungen können verloren gehen.

Firebase und die freiwillige Google-Anmeldung sowie Cloudflare Turnstile können für ihre Anmelde- und Sicherheitsfunktionen weitere Browsertechnologien einsetzen. Die Hinweise dazu stehen in den jeweiligen Abschnitten. PayPal wird erst im Zahlungsablauf als eigene Seite aufgerufen; dessen Browser-Speicherungen richten sich nach den dortigen Hinweisen.

17. Schriftarten

Die Schriftarten von InvoPlanner werden selbst gehostet. Beim Laden einer Schrift wird keine Verbindung zu Google Fonts oder einem anderen externen Schriftanbieter hergestellt.

18. Empfänger und Dienstleister

Je nach genutzter Funktion erhalten folgende Empfänger Daten:

• Cloudflare, Inc., USA: Website, API, Datenbank, Versandplanung, Netzwerkschutz, Turnstile und technische Diagnose.
• Google Cloud EMEA Limited, Irland, und Google LLC, USA: Firebase Authentication für unsere Kontoverwaltung. Bei der optionalen Anmeldung mit einem Google-Konto ist der Google-Identitätsdienst gesondert eigenständig verantwortlich.
• Florian Kolb (Datalix), Deutschland: Hosting unseres PDF-/Mail-Dienstes in Deutschland.
• IONOS SE, Deutschland: Standardversand, technische Rückläufer und Support-Postfächer in der EU/im EWR.
• PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg: als eigenständiger Verantwortlicher für Zahlungen unserer Abonnements.
• Vom Unternehmen ausgewählte SMTP-Anbieter, Empfänger und deren Mailanbieter, externe Logo-Hosts sowie Empfänger von freigegebenen Datenexporten.
• Berechtigte Teammitglieder im jeweiligen Arbeitsbereich und befugte Personen für Betrieb, Support und die Prüfung von Meldungen.
• Steuer- und Rechtsberater, Behörden und Gerichte, soweit dies für gesetzliche Pflichten oder die Durchsetzung oder Abwehr von Ansprüchen erforderlich ist.

Hosting-, Authentifizierungs- und Maildienstleister verarbeiten Auftragsdaten auf unsere Weisung nach Art. 28 DSGVO. Für Dienste, die das Unternehmen selbst auswählt, insbesondere das eigene Postfach, bestimmt es die vertraglichen Beziehungen und Empfänger. Angaben zu den für Kundendaten eingesetzten Unterauftragsverarbeitern stehen unter invoplanner.de/unterauftragsverarbeiter. Eigenständig verantwortliche Anbieter erteilen ergänzend eigene Datenschutzhinweise.

19. Drittlandübermittlungen

Firebase Authentication verarbeitet Anmeldedaten in den USA. Cloudflare kann Verbindungs-, Anfrage-, Sicherheits- und Diagnosedaten in seinem weltweiten Netzwerk einschließlich der USA verarbeiten. Die EU-Jurisdiktion von D1 und Durable Objects ist deshalb keine Zusage, dass sämtliche InvoPlanner-Daten ausschließlich in der EU verbleiben.

Für Übermittlungen an vom EU-US Data Privacy Framework erfasste US-Empfänger, darunter Google LLC und Cloudflare, Inc., ist der Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO maßgeblich, soweit die jeweilige Verarbeitung unter die Zertifizierung fällt. Für weitere relevante Drittlandübermittlungen sehen die Datenverarbeitungsbedingungen von Google und Cloudflare EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO vor. Cloudflares Verarbeitung in anderen Drittländern wird dadurch vertraglich abgesichert.

Informationen zu diesen Garantien finden Sie im Google Cloud Data Processing Addendum, im Cloudflare Data Processing Addendum und in den Cloudflare-Standardvertragsklauseln. Eine Kopie der einschlägigen Garantien oder nähere Auskunft erhalten Sie auf Anfrage an anfrage@digital-e.org; dabei können wir Geschäftsgeheimnisse und Daten anderer Personen schützen.

Für den PDF-/Mail-Server bei Datalix und unsere IONOS-Postfächer ist die beschriebene Verarbeitung in Deutschland beziehungsweise der EU/im EWR vorgesehen. Zusätzliche Empfänger außerhalb des EWR können sich aus einer vom Unternehmen gewählten SMTP-Konfiguration, einer externen Logo-Adresse, einem Mail-Empfänger oder einer Exportfreigabe ergeben. Die Auswahl und die erforderliche Rechtsgrundlage hierfür liegen beim verantwortlichen Unternehmen. Für PayPals eigene Datenverarbeitung gelten dessen Datenschutzhinweise.

20. Speicherdauer und Löschung

Wir speichern personenbezogene Daten so lange, wie sie für den jeweiligen Zweck benötigt werden. Danach werden sie gelöscht oder, soweit gesetzliche Pflichten oder konkrete Ansprüche entgegenstehen, für andere Zwecke gesperrt. Es gelten folgende Fristen:

Betriebliche Übersichten werden nur für den laufenden Betriebs- und Supportzweck verwendet. Für darin enthaltene personenbezogene Quelldaten gilt die jeweilige Kategorie oben. Auswertungen rechtfertigen keine zusätzliche unbegrenzte Speicherung.

21. Account- und Workspace-Löschung

Ein Inhaber kann den Arbeitsbereich in der App löschen. Dadurch werden insbesondere Kunden, Kontakte, Notizen, Belege, Zahlungen, Einladungen, Mitgliedschaften, Versandaufträge, Einstellungen und Exportfreigaben aus dem aktiven Bestand entfernt. Der im Auftrag geführte Audit-Trail wird ebenfalls gelöscht beziehungsweise um die zu löschenden Inhaltsdaten bereinigt, soweit eine gemeinsame Kette mit aufbewahrungspflichtigen eigenen Abrechnungsnachweisen besteht.

Unsere eigenen Rechnungen, erforderliche Abrechnungsnachweise, das Vertragsnachweisregister, begrenzte Sperrnachweise und erforderliche Beweiskopien können nach den oben genannten Fristen verbleiben. Die Löschung eines Arbeitsbereichs beendet nicht die gesetzlichen Aufbewahrungspflichten des Kunden; benötigte Daten sollte er zuvor exportieren.

Wenn die letzte Mitgliedschaft endet und das persönliche Konto gelöscht wird, wird auch der lokale Nutzerdatensatz entfernt. Die Löschung des getrennt bei Firebase verwalteten Anmeldekontos wird über die App angestoßen und kann eine erneute Anmeldung erfordern. Ist das nicht möglich oder wird noch eine Mitgliedschaft angezeigt, kontaktieren Sie uns bitte unter anfrage@digital-e.org. Für verbleibende Sicherungen und Authentifizierungsdaten gelten die gesonderten Fristen oben.

Geht es um Daten, die ein anderes Unternehmen in seinem Arbeitsbereich über Sie verwaltet, wenden Sie sich an dieses Unternehmen als Verantwortlichen. Wir unterstützen es bei der Bearbeitung von Berichtigungs-, Auskunfts- und Löschanfragen.

22. Datensicherheit

Wir schützen die Verarbeitung durch verschlüsselte Übertragung, Rollen- und Berechtigungsprüfungen, abgesicherte Zugangsdaten, begrenzte Anfrageraten und Maßnahmen gegen missbräuchlichen Versand. Dazu gehören auch die freiwillige Zwei-Faktor-Anmeldung, die verschlüsselte Speicherung von SMTP-Passwörtern und geschützte Prüfwerte in Nachweisregistern. Personenbezogene Daten bleiben auch nach Pseudonymisierung dem Datenschutz unterworfen.

Beschränken Sie Teamrechte und Exportfreigaben auf die erforderlichen Personen, halten Sie Zugänge geheim und prüfen Sie Empfänger und Inhalte vor dem Versand. Informationen zum eigenen Postfach und zu dessen Verschlüsselung stehen im Abschnitt „E-Mail-Versand“.

23. Besonders geschützte Daten

InvoPlanner ist nicht für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO wie Gesundheitsdaten, religiöse oder politische Angaben oder biometrische Identifikationsdaten ausgelegt. Auch Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO dürfen nach den Nutzungsbedingungen nicht in den Arbeitsbereichen erfasst werden. Freitexte, Notizen und Belegtexte sollten auf die für die Geschäftsabwicklung nötigen Angaben beschränkt sein.

Eine gesetzlich vorgesehene Meldung rechtswidriger Inhalte ist davon zu unterscheiden. Bitte übermitteln Sie dort nur die zur Prüfung erforderlichen Informationen. Soweit eine Meldung besonders geschützte Daten enthält, verarbeiten wir sie nur bei Vorliegen der zusätzlich erforderlichen gesetzlichen Voraussetzungen, insbesondere für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen nach Art. 9 Abs. 2 lit. f DSGVO.

24. Betroffenenrechte

Betroffene Personen haben nach Maßgabe der DSGVO insbesondere folgende Rechte:

Zur Ausübung dieser Rechte genügt eine Nachricht an anfrage@digital-e.org. Wir müssen die Identität der anfragenden Person prüfen, bevor wir Daten herausgeben oder ändern. Soweit wir Daten nur als Auftragsverarbeiter für einen Nutzer/Mandanten verarbeiten, leiten wir Anfragen grundsätzlich an den jeweils verantwortlichen Mandanten weiter oder unterstützen diesen bei der Bearbeitung.

Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Ein Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen ist im folgenden Abschnitt erläutert.

25. Widerspruchsrecht nach Art. 21 DSGVO

26. Beschwerderecht bei einer Aufsichtsbehörde

Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn sie der Ansicht sind, dass die Verarbeitung ihrer personenbezogenen Daten gegen Datenschutzrecht verstößt.

Für uns zuständig ist:

Betroffene können sich auch an jede andere zuständige Datenschutzaufsichtsbehörde wenden.

27. Automatische Schutzmaßnahmen und menschliche Prüfung

InvoPlanner verwendet keine automatisierte Bonitätsbewertung und kein Profiling für Werbung. Automatische Prüfungen begrenzen Anfragen und Mailmengen, prüfen Anmeldecodes und Bot-Signale, verhindern unzulässige Absendernamen und gleichen neue Arbeitsbereiche mit bestehenden Versandsperren ihrer Inhaber ab. Dadurch kann eine einzelne Aktion abgelehnt, ein Versand verschoben oder eine Versandsperre übernommen werden.

Eine allgemeine automatische Bewertung der Kundenbelege findet nicht statt. Meldungen zu rechtswidrigen Inhalten und Widersprüche gegen Maßnahmen werden von einem Menschen geprüft. Bei einer unzutreffenden Sperre können Sie Ihren Standpunkt darlegen, die Entscheidung beanstanden und eine menschliche Überprüfung über anfrage@digital-e.org verlangen. Ihre gesetzlichen Rechte nach Art. 22 DSGVO bleiben unberührt.

Für eigenständige Betrugs- und Risikoprüfungen von PayPal ist PayPal verantwortlich. Dessen Hinweise zu Entscheidungen und Rechten finden Sie in der verlinkten PayPal-Datenschutzerklärung.

28. Minderjährige

InvoPlanner richtet sich an Unternehmen, Unternehmer und deren Beschäftigte für geschäftliche Zwecke, nicht an Kinder. Werden in den Geschäftsunterlagen eines Unternehmens Daten Minderjähriger verarbeitet, ist dieses Unternehmen für die erforderliche Rechtsgrundlage und den Schutz dieser Daten verantwortlich.

29. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die App, eingesetzte Dienste, Datenflüsse, Rechtslage oder Anbietervereinbarungen ändern. Es gilt die jeweils auf digital-e.org veröffentlichte Fassung, auf die von invoplanner.de aus verwiesen wird.