DSGVO-Rechte und Datenschutz

Rechnungs-Kontor ist von Grund auf datenschutzfreundlich gebaut: alle Daten in Deutschland, alle Auftragsverarbeiter in der EU, keine Tracking-Cookies, kein Werbeprofiling. Diese Anleitung erklaert, wie Sie Ihre Rechte als betroffene Person nach DSGVO direkt in der Anwendung wahrnehmen koennen.

Datenexport (Art. 15 und Art. 20 DSGVO)

Auskunft ueber gespeicherte Daten und Datenuebertragbarkeit sind in der Anwendung als Selbstbedienung verfuegbar:

1. Einstellungen oeffnen

   Klicken Sie im Dashboard auf Einstellungen und in der linken Spalte unter Datenschutz auf Datenexport & Konto schliessen.

2. Datenexport herunterladen

   Ein Klick auf Datenexport herunterladen erzeugt eine JSON-Datei mit:

   • Ihrem Profil (Konto, Rolle, Anmeldezeitpunkte)
   • der Kanzlei (Name, Slug, Abonnement-Status)
   • Inhaber: allen Mandanten und Beleg-Metadaten der Kanzlei
   • dem Sicherheits-Protokoll (Audit-Log)
   • Ihren Anmeldeversuchen der letzten 90 Tage

3. Einzelne Belegdateien

   Originaldateien (PDF, XML, JPG, PNG) sind nicht in der JSON-Datei enthalten, da sie pro Beleg mehrere Megabyte gross sein koennen und teilweise personenbezogene Daten Dritter enthalten. Jede Originaldatei ist separat unter /app/invoices/<id> als Download verfuegbar.

Konto schliessen (Art. 17 DSGVO)

Die Inhaberin einer Kanzlei kann das Konto jederzeit selbst schliessen. Der Pfad ist identisch (Einstellungen → Datenschutz → Konto schliessen). Vor dem unwiderruflichen Schliessen erscheint ein Bestaetigungs-Dialog mit den Konsequenzen.

Friktion ist Absicht. Der Dialog verlangt zur Bestätigung das aktuelle Passwort. Wenn Zwei-Faktor aktiviert ist, zusätzlich den 6-stelligen Code aus der Authenticator-App oder einen Notfallcode. Der Schliessen-Knopf bleibt sichtbar deaktiviert, bis beide Felder ausgefüllt sind. Ein gestohlener Sitzungs-Cookie allein reicht damit nicht aus, um das Konto zu schliessen.

Was beim Schliessen passiert

• Alle Teammitglieder werden sofort ausgeloggt.
• Ein laufendes Abonnement wird gekuendigt (Stripe).
• Ihre Login-E-Mail wird anonymisiert, damit Sie sich spaeter ggf. mit derselben Adresse erneut registrieren koennen.
• Eingangs-Adressen Ihrer Mandanten antworten ab sofort mit "Empfaenger unbekannt".

Was erhalten bleibt

Bereits verarbeitete Rechnungen und der Audit-Verlauf bleiben nicht loeschbar: die gesetzliche Aufbewahrungspflicht von zehn Jahren (§ 147 AO, § 14b UStG, § 257 HGB) geht dem allgemeinen Loeschungsanspruch nach Art. 17 Abs. 3 lit. b DSGVO vor. Auch die Hash-Kette des Audit-Logs muss erhalten bleiben, damit die nachtraegliche Manipulationssicherheit gewaehrleistet ist.

Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Wenn Sie Rechnungs-Kontor als Kanzlei einsetzen, gilt zwischen Ihnen und uns ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Den vollstaendigen Vertragstext mit Subprozessoren-Liste, technischen und organisatorischen Massnahmen und Unterschriftsfeldern finden Sie unter rechnungs-kontor.de/avv. Drucken Sie die Seite (Browser: Drucken → Als PDF speichern) und senden Sie uns das unterschriebene Dokument zurueck.

Was Rechnungs-Kontor von sich aus tut

• Hosting in Deutschland: Datenbank und Belegarchiv ausschliesslich bei Hetzner in Nuernberg. Kein Datentransfer in die USA.
• EU-Auftragsverarbeiter: Mailgun (Belgien), Resend (Irland), Mistral AI (Paris), Stripe Payments Europe (Dublin). Die vollstaendige Liste mit Anschrift und Zweck steht in der Datenschutzerklaerung.
• Keine Tracking-Cookies: weder Analytics noch Werbenetzwerke. Nur die technisch notwendige Sitzungs-Cookie und die optionale "Diesem Geraet 30 Tage vertrauen"-Cookie bei der Zwei-Faktor-Authentifizierung.
• Hash-Kette mit Bitcoin-Verankerung: jeder sicherheitsrelevante Zugriff wird im Audit-Log mit SHA-256-Verkettung protokolliert. Einmal taeglich wird der aktuelle Kettenkopf als 32-Byte-Hash an die OpenTimestamps-Kalender uebertragen und dort als OP_RETURN in der Bitcoin-Blockchain veroeffentlicht. Jeder Pruefer kann unter rechnungs-kontor.de/integrity ohne Zutun von uns nachweisen, dass die Kette nicht nachtraeglich umgeschrieben wurde.
• 72-Stunden-Meldekette: bei einer Datenschutzverletzung benachrichtigen wir Sie unverzueglich, spaetestens nach 48 Stunden (vor Ablauf der 72-Stunden-Frist, die Sie gegenueber der Aufsichtsbehoerde haben).

Was Sie selbst tun

Als Verantwortlicher gegenueber Ihren eigenen Mandanten:

• Stellen Sie sicher, dass Ihre Mandanten in Ihrer eigenen Datenschutzerklaerung ueber die Verarbeitung ihrer Daten durch Rechnungs-Kontor informiert werden, soweit eine Informationspflicht besteht.
• Unterschreiben Sie den AVV-Vertrag und senden Sie ihn uns zurueck.
• Halten Sie Ihre eigenen technischen und organisatorischen Massnahmen aktuell (sichere Passwoerter, optional Zwei-Faktor, regelmaessige Pruefung der Mitglieder Ihrer Kanzlei).

Kontakt

Fragen oder Anfragen zum Datenschutz richten Sie bitte per E-Mail an kontakt@rechnungs-kontor.de. Wir antworten in der Regel innerhalb eines Werktages.