Datenschutzerklärung

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
AOS Digital
Fleischerstraße 30, 73054 Eislingen
E-Mail: info@aos-digital.de

Ein Datenschutzbeauftragter ist nicht zu benennen: Bei uns sind weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst, es findet keine Verarbeitung statt, die nach Art. 35 DSGVO eine Folgenabschätzung erfordert, und es gibt keine geschäftsmäßige Übermittlung zum Zweck der Übermittlung oder der Markt- und Meinungsforschung (§ 38 Abs. 1 BDSG). Fragen zum Datenschutz richtest du an die oben genannte Adresse.

Rechnungslotse ist so gebaut, dass ohne Konto keine Rechnungsdaten gespeichert werden. Wenn du den Assistenten ohne Anmeldung nutzt, bleiben deine Eingaben in deinem Browser (lokale Speicherung) und werden nur zum Erzeugen der Dateien an den Server übertragen. Nach dem Erzeugen und Validieren werden sie dort nicht abgelegt. Die einzige Ausnahme wählst du selbst: Mit „Konto anlegen und Rechnung sichern“ halten wir die erzeugte Rechnung bis zu 24 Stunden für dein neues Konto bereit (siehe Abschnitt 5).

Wir setzen keine Werbenetzwerke und keine Cookies von Drittanbieternein. Schriften und Skripte liegen auf unserem eigenen Server; es werden keine Inhalte von Content-Delivery-Netzwerken nachgeladen. Für die Reichweitenmessung betreiben wir eine eigene Matomo-Instanz. Sie zählt Seitenaufrufe cookiefrei; Cookies setzt sie erst nach deiner Einwilligung (siehe Abschnitt 4).

Beim Aufruf der Seiten verarbeitet unser Server technisch notwendige Daten: gekürzte IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Status und übertragene Datenmenge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb.

Rechnungsinhalte und personenbezogene Daten aus Formularen werden nicht protokolliert. Logdateien werden nach 7 Tagen gelöscht.

Die Protokolldateien des Reverse Proxy werden nach 7 Tagen automatisch überschrieben; es gibt kein längeres Archiv und keine Zusammenführung mit anderen Daten. Ausgewertet wird nur anlassbezogen bei einer konkreten Störung oder einem Angriffsversuch.

Anonyme Tageszähler. Für unsere eigene Betriebsübersicht zählen wir je Tag, wie viele Belege entstanden sind, und dazu vier grobe Merkmale: über welchen Weg ein Beleg erzeugt wurde (Assistent, Portal, Schnittstelle, Serienlauf, Konverter), ob die Anfrage technisch von einem Browser, einem Skript, einem Bot oder einem KI-Assistenten kam, in welcher Zeitspanne ein Formular ausgefüllt wurde (unter zehn Sekunden bis über 30 Minuten) und in welche Betragsklasse der Bruttobetrag fällt. Dazu kommen die Tagessumme und der höchste Einzelbetrag eines Tages.

Gespeichert wird dabei ausschließlich eine Zahl je Tag und Merkmal. Kein Zeitpunkt innerhalb des Tages, keine IP-Adresse, kein Browser-Kennzeichen, keine Konto- oder Rechnungsnummer, kein Rechnungsinhalt und keine Verknüpfung dieser Zähler untereinander. Das Browser-Kennzeichen wird bei der Anfrage einmal in eine von fünf Klassen übersetzt und danach verworfen; es wird weder gespeichert noch protokolliert. Ein Rückschluss auf eine Person oder auf einen einzelnen Vorgang ist aus diesen Zählern nicht möglich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es zu erkennen, ob der Dienst normal arbeitet und ob er missbraucht wird. Auf deinem Gerät wird dafür nichts gespeichert und nichts ausgelesen, § 25 TDDDG ist nicht berührt.

Technisch notwendige Cookies setzen wir ohne Einwilligung; sie sind nach § 25 Abs. 2 Nr. 2 TDDDG erlaubt, weil der Dienst ohne sie nicht funktioniert:

Einwilligungspflichtige Cookies setzt ausschließlich unsere Reichweitenmessung. Wir betreiben dafür eine eigene Matomo-Instanz auf unserem Server in Deutschland. Matomo vergibt Cookies (typischerweise _pk_id und _pk_ses), um wiederkehrende von neuen Besuchen zu unterscheiden und Sitzungen zusammenzufassen. Verarbeitet werden dabei aufgerufene Seiten, Verweisquelle, ungefährer Standort auf Basis der gekürzten IP-Adresse, Zeitpunkt sowie Browser- und Geräteangaben, soweit sie aus der Browserkennung hervorgehen. Die Einwilligung betrifft nur diese Cookies: Gerätemerkmale wie Bildschirmgröße, installierte Erweiterungen oder die erweiterten Browserangaben (Client Hints) fragt Matomo auch mit Einwilligung nicht ab.

Diese Cookies werden erst gesetzt, nachdem du zugestimmt hast. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen – über „Cookie-Einstellungen“ im Fußbereich, etwa ganz unten auf dieser Seite. Die Ablehnung hat keinerlei Nachteil; alle Funktionen bleiben nutzbar.

Wie wir fragen.Solange du nicht entschieden hast, steht am unteren Bildschirmrand eine Leiste mit der Frage und zwei gleichwertigen Knöpfen, „Ablehnen“ und „Erlauben“. Sie sperrt nichts: Die Seite ist ohne Entscheidung vollständig nutzbar, und bis dahin zählen wir ohne Cookies. Auf den Seiten zum Anmelden, zum Erstellen einer Rechnung und zu den Preisen öffnet sie sich nicht von selbst, sondern erst auf der nächsten anderen Seite. Erst dein Klick legt das Cookie rl_einwilligung mit deiner Entscheidung an; vorher setzen wir keines.

Ohne deine Zustimmung zählen wir cookiefrei. Matomo läuft dann in einer eingeschränkten Betriebsart: Es legt nichts auf deinem Gerät ab (disableCookies) und fragt auch nichts von ihm ab (disableBrowserFeatureDetection – ohne diesen Schalter würde Matomo Bildschirmauflösung und installierte Erweiterungen auslesen). Verarbeitet wird, was dein Browser bei jedem Aufruf ohnehin mitsendet: die aufgerufene Seite, die Verweisquelle, der Zeitpunkt, die Browserkennung und die IP-Adresse, aus der Matomo serverseitig einen Tagesschlüssel bildet und die für die Standortbestimmung gekürzt wird.

Weil dabei weder etwas gespeichert noch etwas ausgelesen wird, greift § 25 Abs. 1 TDDDG nicht (so die Orientierungshilfe der Datenschutzkonferenz für Telemedien, Fassung 1.2 vom November 2024). Rechtsgrundlage ist unser berechtigtes Interesse an einer Reichweitenmessung nach Art. 6 Abs. 1 lit. f DSGVO. Sendet dein Browser die Kopfzeile „Do Not Track“, zählen wir dich auch cookiefrei nicht.

Verweildauer und Ereignisse. Verlässt du eine Seite oder wechselst du den Tab, nachdem seit dem letzten Aufruf mindestens 15 Sekunden vergangen sind, schickt Matomo einen weiteren Aufruf (Heartbeat). Nur so lässt sich messen, wie lange eine Seite gelesen wurde; ohne ihn gilt jeder Besuch mit einer einzigen Seite als null Sekunden lang. Außerdem meldet die Seite einzelne Schritte als Ereignis, etwa einen Schritt im Rechnungsassistenten, eine erzeugte Rechnung oder einen angeforderten Anmeldelink. Übertragen wird dabei nur, welcher Schritt erreicht wurde, bei manchen mit einer groben Einordnung wie dem gewählten Dateiformat; nie ein Name, eine Anschrift, ein Betrag oder eine Rechnungsnummer. Heartbeat und Ereignisse laufen in derselben Betriebsart wie die übrige Zählung, ohne deine Zustimmung also ohne Cookies.

Widerspruch nach Art. 21 DSGVO.Gegen die cookiefreie Zählung kannst du jederzeit widersprechen: über „Cookie-Einstellungen“ im Fußbereich, dort „Messung ganz abschalten“. Danach wird das Zählskript gar nicht mehr geladen.

Die Messdaten verlassen unsere Infrastruktur nicht. Es findet keine Übermittlung an Dritte, keine Zusammenführung mit anderen Quellen und keine Weitergabe an Werbenetzwerke statt.

Was Matomo konkret setzt. Erst nach deiner Zustimmung werden diese Cookies gesetzt:

Wie die Instanz eingestellt ist. Sie verwirft die letzten zwei Byte jeder IP-Adresse vor dem Speichern – aus 203.0.113.42 wird 203.0.0.0 –, respektiert „Do Not Track“ des Browsers und anonymisiert Nutzerkennungen. Die Rohdaten der Besuche werden nach 425 Tagen automatisch gelöscht, der Löschlauf läuft wöchentlich; erhalten bleiben nur zusammengefasste Berichte ohne Einzelbezug. Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist dafür nicht erforderlich: es gibt keine Profilbildung, keine Zusammenführung mit anderen Quellen und keine Weitergabe.

Für ein Konto benötigen wir deine E-Mail-Adresse. Die Anmeldung erfolgt über einen einmaligen Anmeldelink; ein Passwort speichern wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Im Konto verarbeiten wir zusätzlich die von dir eingegebenen Stammdaten (Firmenangaben, Steuernummer oder USt-IdNr., Bankverbindung, Logo), deine Kunden- und Artikeldaten, die von dir erfassten Leistungen sowie die erstellten Rechnungen samt erzeugter Dateien. Änderst du deine Zugangsadresse, speichern wir die neue Adresse bis zu ihrer Bestätigung; bestätigst du nicht, wird der Eintrag nach einer Stunde gelöscht.

Rechnung ins Konto übernehmen.Hast du ohne Konto eine Rechnung erzeugt und tippst danach auf „Konto anlegen und Rechnung sichern“, speichern wir ihre Daten (Absender, Empfänger, Positionen, Beträge, Rechnungsnummer) bis zu 24 Stunden. So kann die Rechnung nach der Anmeldung in dein Konto übernommen werden, auch wenn du den Anmeldelink auf einem anderen Gerät öffnest. Der Zugriff darauf hängt an einem Schlüssel, der im Anmeldelink mitreist und sich nur einmal verwenden lässt. Nach der Übernahme, spätestens nach 24 Stunden, löschen wir den Datensatz. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Die Speicherung geschieht auf deine Anfrage vor Vertragsschluss.

E-Mails zu deinem Konto. Nach dem Anlegen des Kontos schicken wir dir eine Begrüßung mit den Angaben zur Testphase und drei Tage vor dem Ende der siebentägigen Testphase eine Erinnerung. Beide gehören zum Vertrag und sind keine Werbung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Leistungserfassung. Erfasst du Leistungen, um sie später gesammelt abzurechnen, speichern wir dazu den Tag der Leistung, eine Bezeichnung, Menge und Einheit, einen freien Vermerk sowie Preis und Steuersatz als Momentaufnahme des Erfassungszeitpunkts – späteres Ändern deiner Preise wirkt nicht auf bereits erfasste Leistungen zurück. Der Vermerk erscheint im Leistungsnachweis für deinen Kunden, nicht auf der Rechnungsposition; er ist ein freies Textfeld, in das nichts gehört, was über den Leistungsinhalt hinausgeht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Anmeldeverlauf. Wir halten fest, wann sich jemand an deinem Konto angemeldet hat, auf welchem Weg (Anmeldelink oder Passwort), mit welcher gekürzten Herkunftsadresse (etwa 85.214.132.x) und mit welcher groben Gerätebeschreibung (etwa „Chrome auf Windows“). Die vollständige IP-Adresse und die vollständige Browserkennung speichern wir dafür nicht – beide wären als Fingerabdruck geeignet, und für den Zweck genügt die gekürzte Angabe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Sicherheit deines Kontos. Du siehst den Verlauf selbst unter Einstellungen → Sicherheit; Einträge werden nach 90 Tagen gelöscht.

Zugänge für fremde Systeme. Du kannst Schlüssel erzeugen, mit denen andere Programme – etwa ein Shop-Plugin – in deinem Namen auf dein Konto zugreifen. Von diesen Schlüsseln speichern wir nur eine Prüfsumme, die vergebenen Rechte, den Zeitpunkt der letzten Nutzung und die Anzahl der Aufrufe. Über einen solchen Schlüssel eingestellte Daten verarbeiten wir wie alle anderen in deinem Auftrag; für die Vergabe und Sperrung der Schlüssel und für das System, dem du sie überlässt, bist du zuständig – siehe den Auftragsverarbeitungsvertrag. Neben dem Schlüssel gibt es den Weg über eine Verbindung, mit der du eine Anwendung an dein Konto bindest – siehe Abschnitt 6.

Du kannst eine Anwendung mit deinem Konto verbinden – zum Beispiel einen KI-Assistenten, der dann Rechnungen für dich lesen oder erzeugen kann. Der Ablauf ist derselbe wie bei anderen Diensten: Die Anwendung schickt dich auf eine Seite bei uns, dort steht, wer fragt und was er darf, und erst dein Klick erteilt die Verbindung (OAuth 2.1).

Was eine verbundene Anwendung darf, entscheidest du bei der Zustimmung. Zur Wahl stehen drei Rechte: Prüfen (Dateien gegen die Norm prüfen), Lesen (Betrieb, Kunden und Belege lesen) und Schreiben (Rechnungen erzeugen, Zahlungen erfassen). Deine Stammdaten – Anschrift, Steuernummer, Bankverbindung – stehen bewusst nicht zur Wahl: Über eine Verbindung lassen sie sich nicht ändern, weil an ihnen die Gültigkeit jeder Rechnung hängt. Jede Verbindung gilt außerdem für genau einen Betrieb; weitere Betriebe deines Kontos sieht sie nicht.

Wie lange sie gilt. Der Zugriffsschlüssel läuft nach einer Stunde ab. Bittet die Anwendung um dauerhaften Zugang, erhält sie zusätzlich einen Erneuerungsschlüssel mit einer Laufzeit von 90 Tagen; er wird bei jeder Erneuerung gegen einen neuen getauscht, sodass ein abgefangener alter Schlüssel nichts mehr wert ist. Von beiden speichern wir nur eine Prüfsumme.

Wie du sie wieder loswirst. Im Portal unter Einstellungen, Bereich „Schnittstelle“, steht jede Verbindung mit Anwendung, Betrieb, Rechten und dem Zeitpunkt der letzten Nutzung; ein Klick trennt sie. Damit werden alle Schlüssel dieser Verbindung sofort unwirksam. Die Belege in deinem Konto bleiben unverändert – sie gehören zu deinem Rechnungswesen und nicht zur Verbindung.

Was wir dabei nicht sehen. Wir sehen die Abrufe, die uns die Anwendung schickt, und beantworten sie. Deine Unterhaltung mit dem Assistenten – deine Eingaben und seine Antworten – läuft nicht über uns; wir kennen sie nicht und speichern sie nicht. Umgekehrt richtet sich nach der Datenschutzerklärung des Anbieters, den du gewählt hast, was dieser mit den bei uns abgerufenen Daten macht: Die Verbindung erteilst du ihm.

Über eine Verbindung eingestellte oder abgerufene Daten verarbeiten wir wie alle anderen in deinem Auftrag; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für Erteilung, Umfang und Trennung bist du zuständig – siehe den Auftragsverarbeitungsvertrag. Erteilen kann eine Verbindung jede Person, die an deinem Konto angemeldet ist; einem Lesezugang deiner Steuerkanzlei entziehen wir dabei das Recht zum Schreiben.

Erstellte Rechnungen werden im Konto gespeichert, inklusive der ausgelieferten Dateien und ihrer Prüfsummen (SHA-256). Das dient der Nachvollziehbarkeit im Sinne der GoBD.

Aufbewahrung: Rechnungen werden nicht gelöscht, sondern storniert; eine Korrektur ist eine eigene Rechnung mit Bezug auf die ursprüngliche. Wir bewahren sie für die Dauer der handels- und steuerrechtlichen Aufbewahrungsfristen auf (grundsätzlich 8 Jahre für Rechnungen nach § 147 Abs. 3 AO in der ab 2025 geltenden Fassung). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

Beachte: In deinen Rechnungen verarbeitest du Daten deiner eigenen Kundinnen und Kunden. Dafür bist du der Verantwortliche und wir dein Auftragsverarbeiter – siehe den Auftragsverarbeitungsvertrag.

Im Posteingang nimmst du Rechnungen entgegen, die deine Lieferanten dir schicken. Damit verarbeiten wir Daten Dritter, die du nicht selbst erhoben hast: Firmenname, Anschrift, Steuermerkmale, Bankverbindung und die Inhalte des Belegs sowie Absenderadresse, Betreff und Nachrichtenkennung der E-Mail. Für diese Daten bist du der Verantwortliche und wir dein Auftragsverarbeiter – siehe den Auftragsverarbeitungsvertrag.

Wie der Weg läuft. Auf Wunsch erzeugen wir je Betrieb eine eigene Empfangsadresse (Form re-…@…). Alle diese Adressen laufen in ein gemeinsames Sammelpostfach bei IONOS in Deutschland; es ist damit ein eigener Speicherort neben unserer Datenbank und dem Archiv. Wir holen es alle fünf Minuten ab. Die Zuordnung zu deinem Konto erfolgt ausschließlich über den zufälligen Teil der Empfängeradresse, nie über den Absender: Eine E-Mail ist nicht authentifiziert, jeder kann jeden Absender behaupten.

Was abgelegt wird. Übernommen werden Anhänge im Format XML oder PDF bis 15 MB – und zwar der Anhang und die rohe E-Mail als .eml. Auch der Umschlag ist ein Handelsbrief und damit aufbewahrungspflichtig (§ 147 Abs. 1 Nr. 2 AO). Aus dem Beleg lesen wir die Kopfdaten aus (Nummer, Datum, Fälligkeit, Beträge, Lieferant, IBAN, Verwendungszweck), soweit sie im Datensatz stehen; erfunden wird nichts.

Was gelöscht wird. Post an eine Adresse, zu der es kein Konto gibt, wird verworfen und aus dem Postfach gelöscht, ohne dass etwas abgelegt wird – das ist der Löwenanteil der Zuschriften an ein Sammelpostfach. Abgeholte und abgelegte Nachrichten werden ebenfalls aus dem Postfach entfernt; das Postfach ist eine Durchreiche, kein Archiv. Nachrichten, aus denen noch ein Beleg werden kann, bleiben dort liegen, bis das gelungen ist. Einen einmal abgelegten Beleg löschen wir nicht: Du musst ihn aufbewahren, nicht wir.

Im Protokoll landen nur Zähler – keine Absenderadresse, kein Betreff, kein Dateiname. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von dir gebuchten Leistung), für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.

Für den Zahlungsabgleich lädst du den Kontoauszug hoch, den deine Bank ohnehin anbietet (CAMT-XML oder CSV). Wir binden keine Bankschnittstelle an und haben keinen Dauerzugriff auf dein Konto.

Die hochgeladene Datei wird nicht gespeichert. Sie enthält deinen kompletten Zahlungsverkehr – Miete, Gehälter, Privatabbuchungen –, also weit mehr als die Handvoll Geldeingänge, um die es geht. Sie wird im Arbeitsspeicher gelesen, in Vorschläge umgesetzt und danach verworfen: kein Archiv, keine Datenbankspalte, keine Kopie. Das ist keine Absichtserklärung, sondern die Bauweise dieser Funktion und die Umsetzung der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO.

Dauerhaft gespeichert wird nur, was du bestätigst, und davon nur Betrag und Zahltag zur jeweiligen Rechnung (siehe Abschnitt 10). Auftraggeber und Verwendungszweck aus dem Auszug werden nicht übernommen. Im Protokoll steht allein die Anzahl der Vorschläge.

Zu jeder Rechnung führen wir ein Zahlungsjournal: Betrag in Cent, Tag des Geldeingangs und Zeitpunkt der Erfassung. Mehr steht dort nicht – kein Kontoinhaber, keine IBAN der Gegenseite, kein Verwendungszweck.

Daraus entstehen die Auswertungen in deinem Konto: offene Posten, Zahlungseingänge der letzten Tage und – wenn dein Betrieb nach vereinnahmten Entgelten versteuert (§ 20 UStG) – die Umsatzsteuer-Aufstellung nach Zahltag. Die Auswertungen rechnen über deine eigenen Belege; sie werden nicht mit anderen Konten zusammengeführt und verlassen unsere Infrastruktur nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.

Du kannst weitere Personen in dein Konto einladen. Von ihnen verarbeiten wir die E-Mail-Adresse, auf Wunsch einen Namen, die Rolle (Verwaltung oder Tagesgeschäft), den Zeitpunkt der Einladung und der Annahme sowie die Angabe, wer eingeladen hat.

Die Einladung geht per E-Mail mit einem Einmalschlüssel. Er gilt sieben Tage und wird beim Beitritt ungültig; ein Zugangslink, der danach weiter zieht, wäre ein zweiter Schlüssel im Umlauf. Entziehst du einer Person den Zugang, bleiben die von ihr angelegten Belege unverändert im Konto – sie gehören zum Rechnungswesen deines Betriebs und nicht zu ihrem Zugang.

Für die Daten der eingeladenen Person bist du der Verantwortliche; sie ist in der Regel eine Beschäftigte oder ein Beschäftigter deines Betriebs. Rechtsgrundlage uns gegenüber ist Art. 6 Abs. 1 lit. b DSGVO.

Zugang für deine Steuerkanzlei. In den kostenpflichtigen Tarifen kannst du zusätzlich bis zu zwei Zugänge für dein Steuerbüro vergeben; sie kosten nichts und zählen nicht gegen die Zahl der Mitarbeiterzugänge. Verarbeitet werden dabei dieselben Angaben wie bei jeder eingeladenen Person. Dieser Zugang darf lesen und exportieren, sonst nichts: Rechnungen, offene Posten, Ausgangsbuch und Archiv sind sichtbar und die Exporte laufen, aber Erzeugen, Stornieren, Versenden und jede Änderung an Stammdaten weist der Server ab – auch dann, wenn jemand die Bedienoberfläche umgeht. Nicht sichtbar sind ihm außerdem die Bereiche „Abo & Vertrag“, „Sicherheit“ und „Team“: also dein Tarif und deine Zahlungsdaten, dein Anmeldeverlauf und die Liste der übrigen Zugänge.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO – der Zugang gehört zu der von dir gebuchten Leistung, und die Einladung geht von dir aus. Eine offene Einladung verfällt nach sieben Tagen von selbst. Ein angenommener Zugang läuft, bis du ihn beendest; das geht jederzeit in den Einstellungen, ohne Rückfrage bei uns und ohne Zustimmung der Kanzlei. Der Eintrag zu diesem Zugang wird dabei gelöscht; die Belege in deinem Konto bleiben unverändert.

Kanzleigeführte Konten. Eine Steuerkanzlei kann Mandantenkonten auch selbst anlegen und führen. In einem so geführten Konto hat die Kanzlei vollen Zugriff: Sie arbeitet darin wie ein Kontoinhaber, erzeugt und versendet Rechnungen und pflegt die Stammdaten. Ein Lesezugang ist das ausdrücklich nicht. Von den Beschäftigten der Kanzlei verarbeiten wir dieselben Angaben wie von jeder anderen eingeladenen Person; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Verantwortlicher für die Daten in einem kanzleigeführten Konto ist uns gegenüber, wer den Auftragsverarbeitungsvertrag für dieses Konto geschlossen hat; wir sind Auftragsverarbeiter. Wie Kanzlei und Mandant die Verantwortung untereinander aufteilen, regeln die beiden miteinander – das prüfen wir nicht. Die Kanzlei kann ein von ihr geführtes Konto an den Mandanten übergeben: Dabei wird nichts gelöscht, nichts kopiert und nichts an einen Dritten übermittelt; das Konto besteht mit allen Belegen unverändert fort. Ab der Übergabe entscheidet der Mandant allein über den Zugang der Kanzlei und kann ihn jederzeit beenden. Ein beendeter Zugang wird nicht entfernt, sondern als beendet festgehalten: Wer wann Zugriff auf ein Konto hatte, muss sich später beantworten lassen. Gelöscht wird der Eintrag mit dem Konto, zu dem er gehört.

Verschickst du Rechnungen, Angebote oder Mahnungen über uns, kannst du je Betrieb ein unsichtbares Zählbild in diesen Mails einschalten. Es ist standardmäßig ausgeschaltet und muss bewusst aktiviert werden.

Gespeichert wird ausschließlich der erste Zeitpunkt der Anzeige und ein Zähler – am Beleg selbst, nicht als Liste einzelner Aufrufe. Keine IP-Adresse, keine Browserkennung, kein Ort, kein Gerät. Es entsteht dadurch kein Profil des Empfängers. Der Hinweis auf das Zählbild steht in jeder betroffenen Nachricht selbst; wer keine externen Bilder lädt, wird nicht gezählt.

Derselbe Schalter gilt für die Belegseite. Jede Rechnung und jedes Angebot hat eine eigene Adresse, unter der dein Kunde den Beleg im Browser ansehen kann. Ist die Messung eingeschaltet, halten wir auch dort den ersten Aufruf und einen Zähler fest – nach demselben Maß: kein Eintrag je Aufruf, keine IP-Adresse, keine Browserkennung. Ist sie ausgeschaltet, wird nichts gezählt, und die Seite funktioniert unverändert. Mitgezählt wird nur echte Navigation eines Browsers; die Vorschauabrufe von Mailfiltern und Sicherheitsdiensten bleiben außen vor, weil sie sonst eine Ansicht behaupten würden, die niemand hatte.

Rechtsgrundlage ist das berechtigte Interesse am Zugangsnachweis (Art. 6 Abs. 1 lit. f DSGVO) des Betriebs, der die Nachricht versendet. § 25 TDDDG greift nach hiesiger Auffassung nicht, weil beim Abruf eines Bildes nichts auf dem Gerät des Empfängers gespeichert und nichts von dort ausgelesen wird. Weil diese Auffassung nicht unbestritten ist, bleibt die Funktion abschaltbar – und ist es als Vorgabe.

Der E-Rechnungs-Validator nimmt eine Datei entgegen, prüft sie im Arbeitsspeicher und löscht sie unmittelbar nach der Prüfung. Es wird weder die Datei noch ihr Inhalt gespeichert; im Protokoll landen nur die Anzahl der Prüfmeldungen und die Dauer.

Der Kleinunternehmer-Rechner und der Pflichtangaben-Checker rechnen im Browser beziehungsweise verarbeiten die Eingaben nur für die Dauer der Anfrage.

Terminanfrage. Fragst du über das Formular auf der Preisseite oder der Seite für Steuerkanzleien einen Termin an, verarbeiten wir deinen Namen, den Namen des Betriebs oder der Kanzlei, deine E-Mail-Adresse, auf Wunsch deine Telefonnummer, das gewählte Zeitfenster und deine Nachricht. Die Angaben gehen per Mail an unsere Postfächer (bei IONOS und bei Microsoft 365, siehe Abschnitt 14), damit wir den Termin bestätigen können. Du bekommst eine Eingangsbestätigung, die nichts von deinen Eingaben enthält. In einer Datenbank speichern wir die Anfrage nicht; ins Protokoll gehen nur Anlass und Ausgang. Gegen Missbrauch zählen wir Anfragen je IP-Adresse und je E-Mail-Adresse, beides nur als Prüfwert (HMAC), nicht im Klartext. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage einen Vertrag mit dir vorbereitet, im Übrigen unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Mail, sobald wir sie dafür nicht mehr brauchen und keine Aufbewahrungspflicht entgegensteht.

Wir setzen folgende Dienstleister ein, jeweils mit Auftragsverarbeitungsvertrag:

Die Reichweitenmessung läuft über eine selbst betriebene Matomo-Instanz auf unserer eigenen Infrastruktur in Deutschland. Es findet keine Übermittlung an Dritte statt; Matomo ist kein Auftragsverarbeiter, weil die Daten unser Haus nicht verlassen. Die Verarbeitung stützt sich in der cookiefreien Betriebsart auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) und, sobald Cookies gesetzt werden, auf deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Bei Stripe kann eine Übermittlung in die USA stattfinden. Stripe Payments Europe ist in Irland ansässig; für Übermittlungen an die US-Muttergesellschaft bestehen Standardvertragsklauseln, ergänzt um das EU-US Data Privacy Framework. Für Microsoft gilt dasselbe. Dort liegen zweierlei: die Terminanfragen, die in unserem Postfach bei Microsoft 365 eingehen (Abschnitt 13), und eine verschlüsselte Kopie der nächtlichen Sicherung. Die Kopie wird auf unserem Server gegen einen öffentlichen Schlüssel verschlüsselt, bevor sie ihn verlässt; der private Gegenschlüssel liegt nicht auf dem Server und nicht bei Microsoft. Microsoft kann ihre Inhalte damit nicht lesen. Die Kopien werden dort nach 90 Tagen gelöscht. Rechnungsdaten aus deinem Konto gehen nur in dieser verschlüsselten Form zu Microsoft.

Andere Empfänger als die oben genannten gibt es nicht. Insbesondere setzen wir keine Werbenetzwerke, keine Einbettungen von Drittanbietern und keine externen Schriften oder Content-Delivery-Netze ein. Die Reichweitenmessung läuft auf unserem eigenen Server und ist deshalb keine Auftragsverarbeitung. Die Umwandlung nach PDF (Gotenberg) und die Prüfung gegen EN 16931 (Mustangproject) laufen in Containern auf demselben Server, die keine Verbindung ins Internet aufbauen können.

Kein KI-Dienst von unserer Seite. Wir übergeben deine Rechnungs-, Kunden- und Belegdaten an kein Sprachmodell und an keinen KI-Anbieter; auch die Rechtschreibprüfung läuft gegen ein Wörterbuch auf unserem Server. Wovon das zu unterscheiden ist: Du selbst kannst einen KI-Assistenten mit deinem Konto verbinden (Abschnitt 6). Dann ruft dieser Daten über die Schnittstelle ab – auf deine Anweisung, in dem Umfang, dem du zugestimmt hast, und beim Anbieter deiner Wahl. Empfänger ist in diesem Fall er und nicht wir; wir stellen die Daten nur bereit und kennen weder deine Eingaben noch seine Antworten.

Du hast jederzeit das Recht auf:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) – im Konto als vollständiger Export
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)

Wende dich dafür an info@aos-digital.de. Außerdem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO).

Zuständige Aufsichtsbehörde ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart. Du kannst dich dort jederzeit beschweren (Art. 77 DSGVO), ohne dich vorher an uns wenden zu müssen – auch wenn ein Hinweis an uns in der Regel schneller zu einer Lösung führt.

Du kannst die Löschung deines Kontos jederzeit verlangen und im Portal unter Einstellungen, Bereich „Abo & Vertrag“, selbst anstoßen. Sie geschieht nicht augenblicklich, sondern in zwei Schritten mit einer Bedenkzeit von 30 Tagen:

1. Du merkst die Löschung vor. Wir bestätigen das per E-Mail mit Datum und Umfang. Bis zum Ablauf der Frist ändert sich nichts, dein Konto arbeitet weiter wie bisher.
2. Es laufen 30 Tage Bedenkzeit. In dieser Zeit kannst du den Vorgang jederzeit mit einem Klick abbrechen und dir in Ruhe alle Daten herunterladen.
3. Erst nach Ablauf der Frist löscht ein zweiter, ausdrücklicher Klick Konto und Inhalte endgültig. Kein Zeitschalter tut das von selbst – ohne diesen Klick bleibt alles bestehen. Über den Vollzug informieren wir dich noch einmal per E-Mail.

Die Frist ist kein Selbstzweck: Gelöschte Belege lassen sich nicht zurückholen, und ein versehentlicher Klick darf keine Buchhaltung kosten. Länger als einen Monat darf sie nicht sein, weil deinem Verlangen nach Art. 12 Abs. 3 DSGVO innerhalb eines Monats zu entsprechen ist.

Hol dir vorher deine Daten. Bis zum Ablauf der Frist bleibt der vollständige Export abrufbar – Rechnungen als PDF und XML, die empfangenen Belege, die Prüfsummen und das Journal. Danach haben wir sie nicht mehr, auch nicht als Kopie.

Die Aufbewahrungspflicht bleibt bei dir. Rechnungen und Handelsbriefe musst du nach § 147 AO aufbewahren, nicht wir. Löschen wir dein Konto, endet damit nur unsere Verwahrung; die Pflicht gegenüber dem Finanzamt bleibt bestehen und lässt sich nur mit dem Export erfüllen, den du vorher ziehst. Deshalb löschen wir auch nichts von selbst, solange du es nicht verlangst.

Die nächtlichen Sicherungen laufen nach. Datenbank und Archiv werden jede Nacht gesichert, damit ein Serverausfall keine Buchhaltung kostet (Art. 32 Abs. 1 lit. c DSGVO). Ein gelöschtes Konto steckt deshalb noch in den Sicherungsständen, die vor der Löschung entstanden sind: bis zu 30 Tage in den Sicherungen auf dem Server und bis zu 90 Tage in der verschlüsselten Ablage außer Haus (OneDrive bei Microsoft und ein Webspace bei IONOS, siehe Abschnitt 14). Danach werden sie planmäßig gelöscht. Aus einer Sicherung wird nichts einzeln zurückgeholt – sie dient ausschließlich der Wiederherstellung des Gesamtbestands nach einem Ausfall.

Nicht gelöscht wird, was wir aus eigener gesetzlicher Pflicht behalten müssen. Das sind unsere eigenen Handelsunterlagen über die Geschäftsbeziehung mit dir: Kunden-, Rechnungs- und Zahlungsdaten deines Abonnements – Name, Rechnungsanschrift, Beträge, Zeitpunkte und unsere Rechnungen an dich. Sie liegen bei unserem Zahlungsdienstleister Stripe (siehe Abschnitt 14) und bleiben dort als unsere Buchhaltung bestehen, weil § 147 AO und § 257 HGB die Aufbewahrung an dieser Stelle uns auferlegen. Verwendet werden sie nur noch für Buchhaltung, Steuer und die Abwehr von Ansprüchen. Rechtsgrundlage der Löschung ist Art. 17 DSGVO, die der Ausnahmen Art. 17 Abs. 3 lit. b DSGVO.

Die Übertragung erfolgt ausschließlich verschlüsselt (TLS, HSTS erzwungen). Der Zugriff auf Rechnungen ist je Datensatz an das Eigentum des angemeldeten Kontos gebunden; Kennungen nach außen sind zufällige UUIDs. Uploads werden auf Typ, Größe und Inhalt geprüft und ausschließlich serverseitig verarbeitet.

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Die jeweils aktuelle Fassung findest du immer unter dieser Adresse; wesentliche Änderungen kündigen wir Kontoinhabern per E-Mail an.