Ihre Rechnungen, unser Auftrag. Nicht mehr.

Sie laden Rechnungen als PDF hoch, und wir machen daraus E‑Rechnungen (ZUGFeRD und XRechnung). Dafür verarbeiten wir die personenbezogenen Daten in Ihren Rechnungen ausschließlich in Ihrem Auftrag:

• Lesen jeder Angabe durch eine KI, bei gescannten Seiten zusätzlich per Texterkennung
• Prüfen der Angaben nach EN 16931 und den offiziellen Prüfregeln, USt-IdNr. über die Bestätigungsstelle der EU-Kommission (VIES)
• Anzeigen, damit Sie die Angaben korrigieren und bestätigen
• Erstellen der E‑Rechnungen und Bereitstellen zum Herunterladen
• Löschen nach den Fristen dieses Vertrags

Zweck

Umwandlung Ihrer Rechnungen in E‑Rechnungen

Dauer

Bis zur Löschung Ihrer Sitzung, höchstens 48 Stunden nach der Zahlung

Betroffene Personen

• Ihre Kundschaft, also wer Ihre Rechnungen erhält, und die Ansprechpersonen dort
• Sie selbst, wenn Sie Ihr Unternehmen allein führen, und Ihre Beschäftigten, soweit die Rechnung sie nennt
• weitere Personen, die auf einer Rechnung stehen, etwa wer eine Lieferung erhält

Arten von Daten

• Namen, Anschriften, E‑Mail-Adressen und Telefonnummern
• USt-IdNr., Steuernummern, Käuferreferenz und Leitweg-ID
• Bankverbindungen
• Rechnungs-, Bestell- und Kundennummern, Daten, Positionen, Mengen und Beträge
• was sonst auf Ihren Rechnungen steht, einschließlich Anhängen
• Angaben, die Ihr Browser auf Ihren Wunsch als Hinweis mitschickt: Ihre Firmendaten und Angaben zu Ihrer Kundschaft

Besondere Kategorien

Rechnungen können Gesundheitsdaten oder andere besondere Kategorien nach Art. 9 DSGVO enthalten, etwa die Rechnung einer Physiotherapiepraxis, die behandelte Person und Behandlung nennt. Sie dürfen solche Rechnungen hochladen. Unsere Maßnahmen sind so gewählt, dass sie auch für diese Daten genügen: Kein Mensch liest Ihre Rechnungen, die KI liest im versiegelten Bereich, und die Fristen sind kurz.

Unterliegen Sie einer beruflichen Schweigepflicht, etwa in einer ärztlichen oder therapeutischen Praxis, verpflichten wir alle, die bei uns mit Ihren Daten in Berührung kommen können, zur Geheimhaltung nach § 203 Abs. 4 StGB.

Wir verarbeiten Ihre Daten nur auf Ihre dokumentierte Weisung. Ihre Weisungen sind dieser Vertrag und was Sie in Rechnungsruhe tun: hochladen, korrigieren, bestätigen, verwerfen, bezahlen und herunterladen. Weitere Weisungen können Sie uns in Textform geben, per E‑Mail an hello@openformation.io.

Verlangt das Recht der EU oder Deutschlands eine andere Verarbeitung von uns, teilen wir Ihnen das vorher mit, sofern das Gesetz es nicht verbietet. Halten wir eine Weisung für rechtswidrig, sagen wir es Ihnen unverzüglich und dürfen sie aussetzen, bis Sie sie bestätigen oder ändern.

Für eigene Zwecke verwenden wir Ihre Daten nicht. Insbesondere trainieren weder wir noch unsere Subunternehmen KI-Modelle mit Ihren Rechnungen, und wir geben sie nicht weiter, außer an die unten genannten Subunternehmen und an VIES.

Sie beauftragen uns, aus jeder ausgestellten E‑Rechnung anonyme Zahlen zu bilden: Netto-, Steuer- und Bruttobetrag mit Währung, Monat, Rechnungsart und erstellender Software, ohne Bezug zu Sitzung, Rechnung, Ihnen oder Ihrer Kundschaft. Diese Zahlen sind keine personenbezogenen Daten mehr; wir verwenden sie, um unser Angebot zu verbessern.

Ob Sie wiederkommen, messen wir in eigener Verantwortung, wie in unserer Datenschutzerklärung beschrieben. Aus Daten Ihrer Kundschaft bilden wir dabei nie einen Schlüssel.

Wer bei uns mit Ihren Daten in Berührung kommen kann, ist schriftlich zur Vertraulichkeit verpflichtet, auch über das Ende der Zusammenarbeit hinaus, und kennt die Regeln des Datenschutzes. Im laufenden Betrieb liest kein Mensch Ihre Rechnungen; Protokolle und Fehlerberichte enthalten keine Rechnungsinhalte.

Wir schützen Ihre Daten nach Art. 32 DSGVO mit diesen Maßnahmen. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt; wesentliche Änderungen dokumentieren wir in einer neuen Fassung dieses Vertrags.

Sie genehmigen, dass wir diese Subunternehmen einsetzen:

Edgeless Systems betreibt Privatemode in Rechenzentren zweier eigener Subunternehmen, die Rechenleistung mit Confidential Computing in der EU bereitstellen: Scaleway SAS, 8 Rue de la Ville l’Évêque, 75008 Paris, Frankreich, und Lyceum Technology Germany GmbH, Ackerstraße 39, 10115 Berlin. Auch sie sehen Ihre Daten nie im Klartext und speichern sie nicht.

Ihnen gegenüber verpflichten wir jedes Subunternehmen vertraglich auf dieselben Pflichten zum Datenschutz wie uns selbst. Erfüllt ein Subunternehmen sie nicht, haften wir Ihnen dafür wie für eigenes Handeln.

Wenn sich etwas ändert

Ein neues oder anderes Subunternehmen setzen wir nur mit einer neuen Fassung dieses Vertrags ein. Jede neue Fassung müssen Sie beim nächsten Upload ausdrücklich bestätigen, auch in einer laufenden Sitzung. Stimmen Sie nicht zu, laden Sie nichts mehr hoch; was bereits hochgeladen ist, verarbeiten wir weiter nach der Fassung, der Sie zugestimmt haben.

Keine Subunternehmen

Die Bestätigungsstelle der EU-Kommission (VIES) erhält zur Prüfung nur USt-IdNr. Sie ist eine Behörde und kein Subunternehmen. Stripe wickelt die Zahlung ab und erhält dabei keine Rechnungsinhalte; die Daten der Zahlung betreffen Sie, nicht Ihre Kundschaft, und stehen in unserer Datenschutzerklärung.

Ausschließlich in der EU: unsere Server und Sicherungen in Deutschland, die KI in Frankreich und Deutschland. Eine Übermittlung in ein Drittland findet nicht statt. Sollte sich das ändern, nur mit einer neuen Fassung dieses Vertrags und unter den Voraussetzungen der Art. 44 ff. DSGVO.

Wendet sich eine betroffene Person mit ihren Rechten an Sie, etwa auf Auskunft oder Löschung, helfen wir Ihnen dabei. Wendet sie sich an uns, leiten wir sie an Sie weiter. Viele Anfragen erledigen sich durch unsere kurzen Fristen von selbst; eine Rechnung können Sie in Ihrer Sitzung auch jederzeit verwerfen, dann löschen wir sie sofort.

Ebenso unterstützen wir Sie bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei einer Datenschutz-Folgenabschätzung und bei der Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO), soweit es unsere Verarbeitung betrifft.

Werden uns eine Verletzung des Schutzes Ihrer Daten oder ein begründeter Verdacht bekannt, informieren wir Sie unverzüglich, spätestens 24 Stunden danach. Wir benachrichtigen Sie auf der Seite Ihrer Sitzung, solange sie besteht, per E‑Mail, wenn Sie bei der Zahlung eine Adresse angegeben haben, und sonst auf unserer Website.

Soweit wir es wissen, nennen wir:

• was geschehen ist, welche Arten von Daten betroffen sind und wie viele Personen und Datensätze ungefähr
• die wahrscheinlichen Folgen
• was wir dagegen getan haben und was wir Ihnen empfehlen
• wen Sie bei uns erreichen

Was wir noch nicht wissen, liefern wir nach, sobald wir es wissen. Die Meldung an die Aufsichtsbehörde und an betroffene Personen bleibt Ihre Aufgabe; wir helfen Ihnen dabei.

Ihre Daten löschen wir automatisch: ohne Zahlung 24 Stunden nach dem Upload, nach der Zahlung 24 Stunden nach dem ersten Download, spätestens 48 Stunden nach der Zahlung, eine verworfene Rechnung sofort. Nach dem Download löschen Sie alles auch selbst, sofort. Zurück erhalten Sie Ihre Daten als E‑Rechnungen, die Sie bis dahin herunterladen. Aus den Sicherungen verschwinden gelöschte Daten spätestens sieben Tage später.

Was danach bleibt, enthält keine Rechnungsinhalte: der Nachweis Ihrer Zustimmung zu diesem Vertrag, bei einer bezahlten Sitzung die Bestellung, und die anonymen Zahlen.

Ohne Zahlung

24 Stunden nach dem Upload

Nach der Zahlung

24 Stunden nach dem ersten Download, spätestens nach 48 Stunden

Auf Ihren Wunsch

Sofort, auf der Seite zum Herunterladen

Verworfene Rechnung

Sofort

Sicherungen

Überschrieben nach 7 Tagen

Wir weisen Ihnen nach, dass wir diesen Vertrag einhalten. Auf Anfrage erhalten Sie dazu eine aktuelle Beschreibung unserer Maßnahmen und die Nachweise unserer Subunternehmen, etwa Zertifikate nach ISO 27001 oder BSI C5.

Genügt Ihnen das nicht, können Sie uns selbst oder durch eine zur Verschwiegenheit verpflichtete Prüfstelle kontrollieren, nach Anmeldung mit angemessener Frist, während unserer Geschäftszeiten und ohne den Betrieb zu stören. Die Kosten einer solchen Kontrolle tragen Sie. Kontrollen der Aufsichtsbehörde unterstützen wir.

Für die Haftung gelten unsere AGB; Art. 82 DSGVO bleibt unberührt. Widersprechen sich dieser Vertrag und die AGB beim Datenschutz, geht dieser Vertrag vor.

Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Änderungen bedürfen der Textform.

Ändern wir diesen Vertrag, entsteht eine neue Fassung, und wir fragen Sie beim nächsten Upload erneut. Für Ihre Sitzung gilt die Fassung, der Sie zugestimmt haben.

Stand

23. Oktober 2026

Kennung dieser Fassung

2026-10-21