Wir wollen so wenig wie möglich über Sie wissen.

Ihre Rechnungen enthalten Daten Ihrer Kundschaft: Namen, Anschriften, USt-IdNr., Bankverbindungen, Positionen. Diese Daten verarbeiten wir ausschließlich in Ihrem Auftrag und nach Ihren Weisungen. Dafür schließen wir mit Ihnen beim Hochladen einen Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO, den Sie zusammen mit unseren AGB ausdrücklich bestätigen.

Für diese Rechnungsinhalte bleiben Sie verantwortlich. Diese Erklärung beschreibt die Daten, über die wir selbst entscheiden: was beim Besuch der Website anfällt, Ihren Vertrag mit uns, die Zahlung und unsere Statistik.

Beim Aufruf einer Seite verarbeitet unser Server die technisch nötigen Verbindungsdaten, um Ihnen die Seite auszuliefern. In unseren Zugriffsprotokollen behalten wir davon Zeitpunkt, Dauer, Art der Anfrage, Antwortstatus und Ihre IP-Adresse. Die aufgerufene Adresse schreiben wir nicht hinein, denn sie kann Ihren geheimen Sitzungslink enthalten.

Die IP-Adresse brauchen wir allein, um Angriffe abzuwehren. Schickt eine Adresse in kurzer Zeit sehr viele Anfragen und macht weiter, obwohl wir sie schon gebremst haben, sperren wir sie automatisch für einige Stunden. Die Grenzen liegen so hoch, dass gewöhnliche Nutzung sie nicht erreicht, auch wenn sich mehrere Menschen eine IP-Adresse teilen, etwa im Büro. Bei einem Angriff werten wir die Protokolle auch von Hand aus, sperren die angreifenden Adressen und melden sie dem Betreiber des Netzes. Nach sieben Tagen löschen wir die Protokolle. Auszüge bewahren wir nur auf, wenn wir einen Angriff zur Anzeige bringen, und nur so lange, wie das Verfahren es erfordert.

Schriften und alle anderen Bestandteile der Seite liefern wir selbst aus. Beim Besuch stellt Ihr Browser keine Verbindung zu Google, Werbenetzwerken oder anderen Dritten her.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO: ein sicherer, funktionierender Betrieb der Website und die Abwehr von Angriffen.

Speicherdauer

Zugriffsprotokolle mit IP-Adresse sieben Tage; Auszüge zu einem angezeigten Angriff bis zum Ende des Verfahrens.

Um zu verstehen, wie Menschen zu uns finden und wo sie hängen bleiben, zählen wir Besuche selbst. Dafür nutzen wir keinen Analysedienst, setzen keine Cookies und speichern nichts in Ihrem Browser. Ein Besuch ist eine zufällige Kennung, die nur im Arbeitsspeicher des geöffneten Tabs lebt und mit ihm verschwindet. Wir speichern weder IP-Adresse noch Browserkennung, und wir erkennen Sie bei einem späteren Besuch nicht wieder. Die Browserkennung sehen wir uns beim Eingang nur an, um Suchmaschinen und andere Programme von Menschen zu unterscheiden; behalten wird allein diese Unterscheidung.

Pro Besuch speichern wir:

• die Seite, auf der Sie angekommen sind, und die Domain der Seite, von der Sie kamen
• Kampagnenangaben aus dem Link (utm-Parameter), etwa wenn Sie über eine Anzeige kamen
• einzelne Schritte: Seite aufgerufen, Bedingungen bestätigt, Datei abgelegt, Upload gestartet
• freiwillig Ihre Antwort auf „Wie haben Sie von uns erfahren?“, ohne Bezug zu Ihrer Sitzung

Laden Sie eine Rechnung hoch, verknüpfen wir den Besuch mit dieser Sitzung, damit wir sehen, welche Kampagne zu einer Umwandlung geführt hat. Den geheimen Link Ihrer Sitzung erfassen wir dabei nie. Bezahlen Sie, ordnen wir die Firma, die die Rechnungen ausstellt, der Kampagne dieses ersten Kaufs zu, über denselben nicht umkehrbaren Schlüssel aus ihrer Umsatzsteuer-ID oder Steuernummer wie in unseren übrigen Kennzahlen; spätere Käufe zählen für diese Kampagne. Nach 24 Monaten ohne Kauf löschen wir den Schlüssel, die Summen je Kampagne bleiben.

Kommen Sie über eine Google-Anzeige, verarbeitet Google den Klick auf eigener Seite und in eigener Verantwortung. Auf unserer Website läuft kein Code von Google; die von Google angehängte Klickkennung verwerfen wir.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO: unser Interesse, unser Angebot und unsere Werbung zu verbessern.

Speicherdauer

Ohne Personenbezug; unbefristet.

Sie brauchen kein Konto und keine E-Mail-Adresse. Mit dem ersten Upload entsteht eine Sitzung, erreichbar über einen geheimen, nicht erratbaren Link. Wir speichern nur einen kryptografischen Fingerabdruck dieses Links; selbst wir können ihn daraus nicht zurückgewinnen.

Was dabei geschieht

• Lesen. Unsere KI liest jede Angabe Ihrer Rechnung, gescannte Seiten erkennen wir zusätzlich per Texterkennung.
• Prüfen. Wir prüfen die Angaben nach EN 16931 und mit den offiziellen Prüfregeln. USt-IdNr. fragen wir bei der Bestätigungsstelle der EU-Kommission (VIES) ab.
• Bestätigen und herunterladen. Sie sehen jede Angabe, korrigieren sie bei Bedarf und laden nach der Zahlung Ihre E-Rechnung herunter.

Ihre Zustimmung zu Bedingungen und AVV

Beim Upload bestätigen Sie unsere Bedingungen und den AVV. Als Nachweis speichern wir den Zeitpunkt, die Versionen beider Texte und den Fingerabdruck Ihres Sitzungslinks, bei einer bezahlten Sitzung auch die zugehörige Bestellung. Name, Inhalte oder andere Angaben zu Ihrer Person enthält dieser Nachweis nicht.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO für die Umwandlung; Art. 6 Abs. 1 lit. f DSGVO für den Nachweis Ihrer Zustimmung.

Speicherdauer

Ohne Zahlung 24 Stunden nach dem Upload, nach der Zahlung 24 Stunden nach dem ersten Download, spätestens 48 Stunden, oder sofort auf Ihren Wunsch. Den Nachweis der Zustimmung länger, ohne Inhalte.

Für das Lesen Ihrer Rechnungen nutzen wir Privatemode der Edgeless Systems GmbH. Privatemode verarbeitet Daten in der EU in einem versiegelten Bereich (Confidential Computing): Ihre Rechnung wird in unserem Server verschlüsselt und erst innerhalb dieses Bereichs entschlüsselt.

Bevor wir etwas senden, prüft unser Server, dass der Bereich echt und unverändert ist. Schlägt diese Prüfung fehl, verlässt nichts unseren Server. Weder Edgeless Systems noch wer die Rechenzentren betreibt, kann mitlesen. Privatemode speichert Ihre Daten nicht und trainiert keine Modelle mit ihnen.

Die Zahlung wickelt Stripe ab. Auf der Bezahlseite von Stripe geben Sie Zahlungsdaten und Rechnungsanschrift an, auf Wunsch auch Ihre USt-IdNr. Diese Angaben verarbeitet Stripe; wir erhalten Ihre Kartendaten nicht. Ihre Quittung erstellt Stripe in unserem Auftrag.

Damit Sie nach der Zahlung zu Ihren Rechnungen zurückkommen, enthält die Rücksprungadresse zu uns Ihren Sitzungslink. Stripe hält ihn, solange der Bezahlvorgang offen ist.

Wir selbst behalten zur Bestellung nur, was Buchhaltung und Steuerrecht verlangen: Beträge, Zeitpunkt und die Kennungen von Stripe.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO; für Buchungsbelege Art. 6 Abs. 1 lit. c DSGVO.

Speicherdauer

Bestelldaten nach den gesetzlichen Aufbewahrungsfristen.

Nach einer bezahlten Sitzung fragen wir, ob sich Ihr Browser Ihre Angaben für das nächste Mal merken soll. Nur wenn Sie zustimmen, speichert er Ihre Firmendaten, Angaben zu Ihrer Kundschaft (Käuferreferenz, Leitweg-ID, E-Rechnungsadresse) und die Nummern bereits umgewandelter Rechnungen, damit wir Sie vor einer doppelten Umwandlung warnen können.

Diese Angaben liegen nur in Ihrem Browser, nicht auf unserem Server. Firmen- und Kundendaten schickt Ihr Browser bei einem Upload als Hinweis mit; wir ergänzen damit, was auf der Rechnung fehlt, und löschen sie mit der Sitzung. Die Rechnungsnummern verlassen Ihren Browser nie.

Unter Gemerkte Daten sehen, ändern und löschen Sie alles. Widerrufen Sie dort, löscht Ihr Browser alles Gemerkte.

Ohne Zustimmung speichert Ihr Browser nur, was für Ihre laufenden Sitzungen nötig ist, etwa welche Dateien Sie schon heruntergeladen haben und Ihre Bewertung einer Sitzung.

Rechtsgrundlage

§ 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung); für technisch Nötiges § 25 Abs. 2 Nr. 2 TDDDG.

Speicherdauer

Bis Sie die Angaben löschen oder Ihre Einwilligung widerrufen.

Um zu erkennen, ob Sie wiederkommen, bilden wir aus der USt-IdNr. oder Steuernummer des rechnungsstellenden Unternehmens einen Schlüssel, der sich nicht zurückrechnen lässt. Den dafür nötigen geheimen Wert verwahren wir getrennt von der Datenbank. Am Schlüssel hängt auch, über welche Kampagne Sie zum ersten Mal zu uns kamen. Aus Daten Ihrer Kundschaft bilden wir nie einen Schlüssel.

Für jede ausgestellte E-Rechnung behalten wir außerdem Netto-, Steuer- und Bruttobetrag mit Monat, Rechnungsart und erstellender Software, ohne jeden Bezug zu Sitzung, Rechnung oder rechnungsstellendem Unternehmen. Diese Zahlen sind anonym.

Namen, Anschriften, USt-IdNr., IBAN, Rechnungsnummern, Positionstexte und Dateinamen behalten wir nie über die Löschfristen hinaus.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO: unser Interesse, Kundenbindung und Werbung zu messen. Sie können widersprechen.

Speicherdauer

Schlüssel bis 24 Monate nach Ihrer letzten Umwandlung; danach bleiben nur anonyme Zahlen.

Schreiben Sie uns oder rufen Sie an, verarbeiten wir Ihre Angaben, um Ihr Anliegen zu bearbeiten: Name, Firma, Kontaktdaten und was Sie uns dazu mitteilen.

Bitten Sie über die Website um Rückruf, speichern wir Name, Firma, Telefonnummer und die gewünschte Tageszeit auf unserem Server, nur für den Rückruf. Kein anderes Unternehmen erhält sie, auch kein E-Mail- oder Chat-Dienst. Wir löschen die Anfrage 30 Tage nach Eingang.

Schreiben Sie uns aus der Anwendung, weil es nicht weitergeht, speichern wir Ihre Beschreibung, Ihre E-Mail-Adresse, an welcher Stelle es hakte und, wenn es um eine Datei geht, ihren Namen und eine Prüfsumme (SHA-256), nicht ihren Inhalt. Auch das bleibt auf unserem Server; wir antworten per E-Mail. Wir löschen die Anfrage 30 Tage, nachdem sie erledigt ist.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zu einem Vertrag, sonst Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer

Rückrufanfragen 30 Tage nach Eingang, Anfragen aus der Anwendung 30 Tage, nachdem sie erledigt sind. Sonst bis Ihr Anliegen erledigt ist, darüber hinaus nur nach gesetzlichen Pflichten.

Wir verkaufen keine Daten und geben sie nur an diese Stellen weiter, die wir für den Betrieb brauchen:

Mit allen Unternehmen, die in unserem Auftrag arbeiten, haben wir Verträge zur Auftragsverarbeitung geschlossen. Welche davon Ihre Rechnungen verarbeiten, steht in unserem AVV.

Rechnungsinhalte löschen wir nach festen Fristen, die Sie in Ihrer Sitzung auch sehen. Unsere Datenbank sichern wir laufend und verschlüsselt; jede Sicherung wird nach sieben Tagen überschrieben, sodass gelöschte Daten spätestens dann auch aus den Sicherungen verschwunden sind.

Sie haben jederzeit das Recht auf

• Auskunft über Ihre Daten (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO) und Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Sie können sich außerdem bei einer Aufsichtsbehörde beschweren, etwa bei der für uns zuständigen: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

Die KI liest und unsere Prüfung bewertet Ihre Rechnung, doch entschieden wird nichts über Sie: Sie sehen jede Angabe, korrigieren sie und bestätigen selbst. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Die Angaben, um die wir Sie bitten, sind für die Umwandlung nötig; ohne sie können wir keine gültige E-Rechnung erstellen.

Ändert sich etwas an unserem Angebot oder an den Regeln, passen wir diese Erklärung an. Es gilt die hier veröffentlichte Fassung.

Letzte Aktualisierung: 23. Oktober 2026. Ältere Fassungen sind nicht verfügbar.