Datenschutzerklärung

Diese Datenschutzerklärung beschreibt die Verarbeitung personenbezogener Daten auf rechnungs-kontor.de sowie durch die Plattform Rechnungs-Kontor (Registrierung, Mandanten- Verwaltung, Rechnungseingang per E-Mail oder Hochladen-Link).

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten ist:
Hugo Marinho, Farnsburgerstrasse 44, 4052 Basel, Schweiz.
E-Mail: kontakt@rechnungs-kontor.de

1.1 Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nach Art. 37 Abs. 1 DSGVO sowie § 38 BDSG nicht erforderlich. Das Unternehmen beschäftigt nicht in der Regel mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten, nimmt keine Verarbeitungen vor, die eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erfordern würden, und übt keine Kerntätigkeit aus, die in einer umfangreichen regelmässigen und systematischen Überwachung besteht. Anfragen zum Datenschutz richten Sie bitte direkt an die unter Abschnitt 1 angegebenen Kontaktdaten.

1.2 Auftragsverarbeitungsvereinbarung (AVV)

Wenn Sie Rechnungs-Kontor als Steuerberatung für die Verarbeitung von Mandantendaten einsetzen, gilt zwischen Ihnen (Verantwortlicher) und uns (Auftragsverarbeiter) ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Den vollständigen Vertragstext mit Subprozessoren-Liste, detaillierten technischen und organisatorischen Massnahmen und Unterschriftsfeldern finden Sie unter rechnungs-kontor.de/avv. Sie können ihn dort als PDF ausdrucken und uns unterschrieben zurücksenden.

2. Anwendbares Recht

Es gelten die Datenschutz-Grundverordnung (DSGVO) sowie das revidierte Schweizer Datenschutzgesetz (revFADP). Zwischen der Europäischen Union und der Schweiz besteht ein Angemessenheitsbeschluss; ein Datentransfer zwischen den beiden Rechtsräumen ist ohne zusätzliche Standardvertragsklauseln zulässig.

3. Hosting und Datenstandort

Sämtliche persistenten Daten der Anwendung (Konten, Mandantenstammdaten, Rechnungen, Audit-Log) liegen auf Servern der Hetzner Online GmbH am Standort Nürnberg, Deutschland:

Die operative Datenbank (PostgreSQL) läuft auf einer Cloud-Instanz im Hetzner-Rechenzentrum Nürnberg. Der Datenbankport ist nicht öffentlich erreichbar; der Zugriff durch unsere Anwendung erfolgt ausschliesslich über einen verschlüsselten Cloudflare-Tunnel. Die Datenbankablage selbst liegt verschlüsselt im Ruhezustand (LUKS2 mit AES-XTS-512 auf einer dedizierten Hetzner-Cloud-Volume).
Das Rechnungsarchiv liegt in einem privaten Hetzner Object Storage Bucket im selben Rechenzentrum (Nürnberg, network zone eu-central). Dateien werden inhaltsadressiert über ihren SHA-256-Hash gespeichert. Server-seitige Verschlüsselung durch den Anbieter (Hetzner) ist aktiv; eine zusätzliche client-seitige Verschlüsselung mit kundenkontrollierten Schlüsseln wird im Zuge der nächsten Hardening-Stufe ergänzt.
Tägliche off-box-Sicherungen werden vor Übertragung lokal mit GnuPG (AES-256, symmetrisch, Schlüssel ausschliesslich bei der Verantwortlichen) verschlüsselt und in einen separaten Bucket geschrieben. Wöchentliche Wiederherstellungstests stellen sicher, dass die Sicherungen tatsächlich wiederherstellbar sind.
Die Integrität des Audit-Logs wird täglich zusätzlich kryptographisch extern verankert (OpenTimestamps mit Bitcoin- Verankerung): jede nachträgliche Manipulation der Audit-Kette ist gegenüber Aufsichtsbehörden und Auditor:innen ohne zusätzliches Vertrauen in den Auftragsverarbeiter überprüfbar. Sämtliche Anker mit Anleitung zur Selbstüberprüfung sind öffentlich abrufbar unter rechnungs-kontor.de/integrity.

Die Auslieferung der Website und die Ausführung der Anwendungs-Logik (Login, Dashboard, Validierung eingehender Rechnungen) erfolgt am Cloudflare-Edge in Europa, insbesondere am Standort Frankfurt; auf dieser Schicht werden keine personenbezogenen Daten dauerhaft gespeichert. Es findet keine Datenübertragung in die USA oder andere Drittländer statt.

4. Verarbeitete Daten und Zwecke

4.1 Warteliste

Wenn Sie sich auf die Warteliste eintragen, verarbeiten wir Ihre E-Mail-Adresse, den Zeitpunkt der Anmeldung, Ihre IP-Adresse, Ihren User-Agent sowie den Wortlaut der erteilten Einwilligung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO bzw. die entsprechende Bestimmung des revFADP. Sie können Ihre Einwilligung jederzeit unter kontakt@rechnungs-kontor.de widerrufen.

4.2 Konto und Anmeldung

Bei der Registrierung einer Kanzlei verarbeiten wir Kanzleiname, Ihren Namen (optional), Ihre E-Mail-Adresse und Ihr Passwort (PBKDF2-SHA256 gehasht, 100.000 Iterationen). Bei Anmeldung speichern wir eine serverseitige Session-ID, die Sitzungslaufzeit, Ihre aktuelle IP-Adresse sowie den User-Agent. Diese Daten werden verarbeitet zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

4.3 Mandanten und Rechnungen

Sie erfassen pro Mandant einen Namen sowie eine systemgenerierte Eingangs-Adresse. Eingehende Rechnungen (XRechnung XML, ZUGFeRD PDF, reine PDF oder Foto) werden inhaltlich ausgewertet, mit SHA-256 hashiert, in einer revisionssicheren Hash-Chain protokolliert und strukturiert archiviert. Rechnungen enthalten in der Regel personenbezogene Daten (Geschäftspartner). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsverarbeitung mit Ihrer Kanzlei) sowie Art. 28 DSGVO (Auftragsverarbeitung im Verhältnis zu Ihren Mandanten).

Information nach Art. 14 DSGVO für indirekt erfasste Daten. Eingehende Rechnungen enthalten typischerweise personenbezogene Daten Dritter, die nicht unmittelbar bei uns angemeldet sind: Lieferanten und deren Ansprechpersonen, Mitarbeitende des Mandanten, Geschäftspartner. Datenkategorien: Namen, Geschäftsanschriften, Telefonnummern, E-Mail-Adressen, Bankverbindungen, Umsatzsteuer-Identifikationsnummern. Quelle der Daten ist die jeweilige Rechnung, weitergeleitet vom Mandanten an Ihre Kanzlei. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsverarbeitung mit Ihrer Kanzlei) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflicht nach § 147 AO, § 14b UStG, § 257 HGB). Eine direkte Information aller betroffenen Dritten wäre nach Art. 14 Abs. 5 lit. b DSGVO mit unverhältnismässigem Aufwand verbunden; die Information erfolgt mittelbar durch diese Datenschutzerklärung sowie durch die Datenschutzhinweise der jeweiligen Kanzlei gegenüber ihren Mandanten und deren Geschäftspartnern.

Aufbewahrungsdauer: zehn Jahre nach Ablauf des Kalenderjahres, in dem die letzte Eintragung erfolgte (gesetzliche Frist nach § 147 Abs. 3 AO, § 14b Abs. 1 UStG, § 257 Abs. 4 HGB). Empfänger der Daten: ausschliesslich die Mitarbeiter Ihrer Kanzlei sowie unsere Auftragsverarbeiter gemäss Abschnitt 5.

4.4 Bestätigungs-E-Mails

Bei Registrierung versenden wir eine Bestätigungs-E-Mail an die angegebene Adresse. Die Versandadresse und der Versandzeitpunkt werden zur Missbrauchsabwehr in einem Audit-Log gespeichert.

4.5 Kategorien von Service-E-Mails

Wir unterscheiden zwischen zwei Kategorien von E-Mails:

Routinemitteilungen (z. B. Empfangsbestätigung eines hochgeladenen Belegs, Benachrichtigung über neu eingegangene Belege eines Mandanten). Diese können Sie jederzeit global über den Abmelde-Link in jeder solchen Nachricht deaktivieren. Wir führen dazu eine technische Suppressionsliste (Tabelle notification_suppressions). Eine Abmeldung gilt unverzüglich; weitere Routinemails an die abgemeldete Adresse unterbleiben.
Transaktionale Mitteilungen / Service-kritische Informationen. Hierzu zählen ausschliesslich Nachrichten, die unmittelbar Ihre vertragliche Geschäftsbeziehung zu uns betreffen und ohne die Sie einen Nachteil erleiden würden. Konkret:
- Bestätigung der Konto-Registrierung
- Verifizierung einer neuen E-Mail-Adresse nach Adressänderung
- Erneuter Versand des Verifizierungslinks auf Ihre Anforderung
- Link zum Zurücksetzen des Passworts auf Ihre Anforderung
- Bestätigung der Passwort-Änderung (Sicherheitshinweis, damit Sie unbefugte Änderungen erkennen können)
- Einladung in eine bestehende Kanzlei (für eingeladene Mitarbeiter)
- Hinweis auf gesperrten Belegeingang wegen einer Abrechnungsstörung (Test-Limit erreicht, Abonnement beendet, fehlgeschlagene Zahlung)
Diese Mitteilungen sind keine Werbung im Sinne des § 2 Abs. 1 Nr. 7 UWG und kein Marketing. Sie werden auch dann zugestellt, wenn Sie sich von Routinemitteilungen abgemeldet haben, weil sie für die Erfüllung des Vertragsverhältnisses erforderlich sind (Art. 6 Abs. 1 lit. b DSGVO). Der Versand jeder transaktionalen Mitteilung wird im Audit-Log mit dem Vermerk bypassed_suppression: true | false protokolliert.

Eine vollständige Einstellung sämtlicher E-Mails ist nur möglich durch Kündigung des Kontos. Sehen Sie hierzu Abschnitt 8 (Ihre Rechte).

4.6 Sicherheit und Missbrauchsabwehr

Wir verarbeiten zusätzlich technische Daten zur Aufrechterhaltung der Sicherheit unserer Systeme: fehlgeschlagene Anmeldeversuche (E-Mail-Adresse, Zeitpunkt, Grund, IP-Adresse, Browser-Kennung login_attempts), Rate-Limit-Ereignisse am Cloudflare-Edge, die Hash-Kette unseres Audit-Logs sowie HMAC-Signaturen eingehender Webhooks (Mailgun, Stripe). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Unser berechtigtes Interesse besteht im Schutz der Konten unserer Kunden, der Integrität der archivierten Belege und der Verfügbarkeit der Plattform; eine Interessenabwägung ergibt, dass die betroffenen Personen mit dieser Verarbeitung rechnen und keine schutzwürdigen entgegenstehenden Interessen überwiegen. Diese Daten werden ausschliesslich zu Sicherheitszwecken verwendet und nicht zur Profilbildung oder zu Marketingzwecken.

5. Auftragsverarbeiter

Für den Betrieb der Plattform setzen wir folgende Dienstleister ein. Mit jedem dieser Anbieter besteht oder wird ein Vertrag zur Auftragsverarbeitung gemäss Art. 28 DSGVO geschlossen.

Dienst	Zweck	Standort
Hetzner Online GmbH	Operative Datenbank (PostgreSQL) und Rechnungsarchiv (Object Storage)	Nürnberg, Deutschland
Cloudflare, Inc.	Auslieferung der Website und Anwendungs-Edge (Pages, Functions, DNS, eingehender Mail-Forward für hugo@/kontakt@). Keine dauerhafte Speicherung personenbezogener Daten auf dieser Schicht.	EU-Edge (Frankfurt)
Mailgun Technologies (Sinch)	Eingehende Mandantenrechnungen empfangen, parsen und an die Plattform weiterleiten	EU-Region (Belgien)
Resend Inc.	Versand von Bestätigungs- und Kontomails	EU-Region (Irland)
Mistral AI	Texterkennung (OCR) und Bildverstehen (Pixtral) für eingereichte Rechnungen, die keine maschinenlesbare Textebene enthalten (z. B. eingescannte oder fotografierte Belege). Zusätzlich Klassifikation des Kontierungsvorschlags (SKR03/SKR04) für Belege, die nicht über eine deterministische Heuristik klassifiziert werden konnten. Verarbeitung nur für die Dauer der Extraktion / Klassifikation, keine Speicherung beim Anbieter, keine Modelltrainings-Nutzung gemäss Mistral DPA.	Paris, Frankreich
Stripe Payments Europe Limited	Abrechnung des Abonnements (Stripe Checkout, Stripe Customer Portal). Verarbeitete Daten: Name, E-Mail, Rechnungsadresse, Umsatzsteuer-Identifikationsnummer (B2B), Zahlungsmittel-Token. Kartendaten erreichen die Server von Rechnungs-Kontor zu keinem Zeitpunkt; sämtliche Zahlungsmittel-Verarbeitung erfolgt PCI-DSS Level 1 konform direkt zwischen Ihrem Browser und Stripe. Stripe Tax berechnet die Umsatzsteuer aufgrund der bei Stripe hinterlegten Adresse.	Dublin, Irland

6. Cookies und Tracking

Die öffentlichen Seiten (Landingpage, Werkzeug, Impressum, Datenschutz) setzen keine Cookies. Innerhalb des angemeldeten Bereichs setzen wir genau ein technisch notwendiges Session-Cookie (rk_session, HttpOnly, Secure, SameSite=Lax). Es enthält ausschliesslich eine zufällige Sitzungs-ID und keine personenbezogenen Daten. Es wird mit der Abmeldung oder spätestens nach 30 Tagen gelöscht. Es findet kein Analyse- oder Tracking-Cookie-Einsatz statt.

7. Aufbewahrung und Löschung

Rechnungen und Buchungsbelege werden gemäss § 147 Abs. 1 Nr. 4 und Abs. 3 AO, § 14b Abs. 1 UStG sowie § 257 Abs. 4 HGB für die regulatorische Frist von zehn Jahren revisionssicher in Deutschland (Hetzner, Nürnberg) aufbewahrt. Die Aufbewahrung erfolgt nach den Grundsätzen zur ordnungsmässigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form (GoBD, BMF-Schreiben vom 28. November 2019 in der Fassung der 2. Änderung vom 14. Juli 2025).

Konto- und Anmeldedaten werden so lange gespeichert, wie Sie ein aktives Konto bei uns unterhalten. Nach Vertragsbeendigung werden Konto- und Sitzungsdaten innerhalb von 30 Tagen gelöscht; Rechnungs- und Audit-Log-Daten verbleiben bis zum Ablauf der oben genannten gesetzlichen Aufbewahrungsfrist.

8. Ihre Rechte als betroffene Person

Sie haben gegenüber dem Anbieter folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

Auskunft über die gespeicherten Daten und die Modalitäten ihrer Verarbeitung (Art. 15 DSGVO).
Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO).
Löschung Ihrer Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO). Für aufbewahrungspflichtige Daten gilt § 147 AO / § 14b UStG / § 257 HGB vorrangig.
Einschränkung der Verarbeitung in den in Art. 18 DSGVO genannten Fällen.
Datenübertragbarkeit: Bereitstellung Ihrer Daten in einem strukturierten, maschinenlesbaren Format (Art. 20 DSGVO).
Widerspruch gegen eine Verarbeitung, die auf berechtigtes Interesse gestützt ist (Art. 21 DSGVO).
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft.
Keine automatisierte Entscheidung im Einzelfall (Art. 22 DSGVO): der vom System erzeugte Kontierungs- vorschlag entfaltet keine rechtliche Wirkung, bis ein Mitglied Ihrer Kanzlei ihn aktiv akzeptiert oder überschreibt. Wir treffen keine vollautomatisierten Entscheidungen, die Sie oder Ihre Mandanten in ihrer Rechtsposition betreffen.
Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO): in Deutschland an die jeweils zuständige Landes-Datenschutzbehörde oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI), in der Schweiz an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

Wir bearbeiten Auskunftsersuchen nach Art. 15 DSGVO innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO), verlängerbar um zwei weitere Monate bei komplexen Anfragen. Ein Auskunftsersuchen kann formlos per E-Mail erfolgen; aus Sicherheitsgründen werden wir die anfragende Person über die mit ihrem Konto verknüpfte E-Mail-Adresse verifizieren, bevor wir Daten herausgeben.

Selbstbedienung in der Anwendung. Für angemeldete Nutzer stehen folgende Funktionen unter Einstellungen → Datenschutz-Rechte direkt zur Verfügung:

Datenexport (Art. 15 / Art. 20 DSGVO): Sie erhalten eine maschinenlesbare JSON-Datei mit Ihrem Profil, der Kanzlei, allen Mandanten und Beleg-Metadaten, dem Audit-Verlauf und den Anmeldeversuchen der letzten 90 Tage. Originaldateien einzelner Belege können Sie jeweils unter /app/invoices/<id> herunterladen.
Konto schliessen (Art. 17 DSGVO): Die Inhaberin einer Kanzlei kann das Konto sofort schliessen. Dabei wird die Login-E-Mail anonymisiert, alle Sitzungen werden beendet und ein laufendes Abonnement wird gekündigt. Bereits verarbeitete Rechnungen und der Audit-Verlauf bleiben gemäss § 147 Abs. 1 Nr. 4 und Abs. 3 AO, § 14b Abs. 1 UStG sowie § 257 Abs. 4 HGB für zehn Jahre erhalten; diese gesetzliche Aufbewahrungspflicht geht dem allgemeinen Löschungsanspruch nach Art. 17 Abs. 3 lit. b DSGVO vor.

9. Datenpannen und Meldepflichten

Im Falle einer Verletzung des Schutzes personenbezogener Daten gemäss Art. 4 Nr. 12 DSGVO melden wir den Vorfall innerhalb von 72 Stunden ab Kenntnisnahme der zuständigen Aufsichtsbehörde nach Art. 33 DSGVO. Wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat, benachrichtigen wir die betroffenen Personen unverzüglich nach Art. 34 DSGVO. Wir dokumentieren jeden Vorfall, seine Auswirkungen und die ergriffenen Abhilfemassnahmen schriftlich (Art. 33 Abs. 5 DSGVO).

10. Internationale Übermittlungen

Der vertragliche Datenfluss bleibt innerhalb der EU bzw. der EU-/EWR-Drittländer mit Angemessenheitsbeschluss (Schweiz nach Durchführungsbeschluss (EU) 2024/2691, abgelöst). Konkret:

Persistente Speicherung (Datenbank, Object Storage): ausschliesslich Hetzner Nürnberg, EU.
Edge-Auslieferung: Cloudflare, EU-Edge (Frankfurt).
Eingehende und ausgehende E-Mail-Dienste: Mailgun (EU, Belgien), Resend (EU, Irland).
OCR und Klassifikation: Mistral AI (Paris, Frankreich).
Abrechnung: Stripe Payments Europe Limited (Dublin, Irland). Stripe kann zur Verfolgung von Betrug und zur Einhaltung gesetzlicher Pflichten Daten an die US-Muttergesellschaft Stripe, Inc. übermitteln; in diesem Fall geschieht dies auf Grundlage der EU Standardvertragsklauseln gemäss Durchführungsbeschluss (EU) 2021/914 sowie der Stripe DPA.

US-Muttergesellschaften der EU-Anbieter. Mehrere der oben genannten Auftragsverarbeiter haben eine US-amerikanische Muttergesellschaft, betreiben jedoch ausschliesslich EU-Datenebenen: Cloudflare, Inc. (San Francisco) mit EU-Edge in Frankfurt; Mailgun Technologies, Inc. (San Antonio) mit EU-Servicebetrieb in Belgien; Resend, Inc. (San Francisco) mit EU-Servicebetrieb in Irland. Für etwaige konzernweite Datenübermittlungen an die jeweilige US-Muttergesellschaft (z. B. zur Durchsetzung von Sicherheitsrichtlinien) gilt jeweils die Standardvertragsklausel gemäss Durchführungsbeschluss (EU) 2021/914 in Verbindung mit dem jeweiligen Data Processing Agreement des Anbieters. Wir haben in der Anbieter-Konfiguration die EU-Datenebene aktiv gewählt; eine routinemässige US-Übermittlung findet nicht statt.

Sie als Auftraggeber bleiben in Ihrer Eigenschaft als Verantwortlicher gegenüber Ihren eigenen Mandanten für die vertragliche Absicherung dieser Übermittlung verantwortlich. Unsere Auftragsverarbeitungsvereinbarung (Art. 28 Abs. 3 DSGVO) verpflichtet uns, die hier beschriebene Verarbeitungskette einzuhalten und Sie über jede beabsichtigte Änderung vorab zu informieren. Den vollständigen Vertragstext finden Sie unter rechnungs-kontor.de/avv.

11. Kontakt

Anfragen zu diesen Bestimmungen, zu Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit oder Widerspruch richten Sie bitte an: kontakt@rechnungs-kontor.de.

Stand: Mai 2026.

Zurück zur Startseite