Datenschutzerklärung

Verantwortlicher

Matthias Meier
Schliemannstraße 41
10437 Berlin
Deutschland

E-Mail für Datenschutzanfragen: datenschutz@e-rechnung-validator.de

Allgemeines

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist.

Hosting & Serverstandort

Die Website und der XRechnung-Validator werden auf einem dedizierten Server der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, mit Serverstandort Wien (Österreich) betrieben. netcup verarbeitet Daten für uns nach Art. 28 DSGVO. netcup gehört zur Anexia-Unternehmensgruppe und setzt die in deren Unterauftragnehmerliste bezeichneten Unternehmen ein; alle haben ihren Sitz in der EU. Ein administrativer Infrastrukturzugriff lässt sich technisch nicht vollständig ausschließen. Rechnungsdateien werden nicht an externe Analyse-, KI-, OCR- oder Parsingdienste übermittelt.

Zugriffsdaten beim Besuch der Website

Beim Aufruf dieser Website werden automatisch Server-Logfiles erfasst. Gespeichert werden die vollständige IP-Adresse, Datum und Uhrzeit, die aufgerufene Seite, der HTTP-Statuscode, die übertragene Datenmenge, die verweisende Seite und die Browserkennung (User Agent).

Die Speicherung der vollständigen IP-Adresse ist erforderlich, um den Betrieb der Website sicherzustellen und Angriffe sowie missbräuchliche automatisierte Zugriffe erkennen und abwehren zu können. Ohne sie ließe sich eine schädigende Zugriffsquelle nicht von regulären Besuchern unterscheiden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Sicherheit, Stabilität und Verfügbarkeit des Dienstes.

Diese Protokolldaten werden nach sieben Tagen automatisch gelöscht. Eine längere Aufbewahrung erfolgt nur, soweit sie im Einzelfall zur Untersuchung eines konkreten Sicherheitsvorfalls erforderlich ist; die betroffenen Einträge werden dann gesondert aufbewahrt und nach Abschluss der Untersuchung gelöscht. Eine Zusammenführung dieser Daten mit anderen Datenquellen oder eine Auswertung zu Werbe- oder Analysezwecken findet nicht statt.

Technische Zugriffsdaten und Schutz vor missbräuchlicher Nutzung

Bei Nutzung unseres Online-Validators werden technisch erforderliche Zugriffsdaten verarbeitet. Hierzu gehören insbesondere Zeitpunkt und Art des Zugriffs, technische Angaben zum verwendeten Client (User Agent) sowie Informationen darüber, ob der Aufruf über unsere Weboberfläche oder über eine automatisierte Schnittstelle erfolgt.

Die IP-Adresse wird benötigt, um die Verbindung zum Dienst herzustellen sowie Nutzungsbegrenzungen durchzusetzen und den Dienst vor missbräuchlicher oder außergewöhnlich intensiver automatisierter Nutzung zu schützen.

Für die Nutzungsbegrenzung wird aus der IP-Adresse eine tagesbezogene pseudonyme Kennung mittels HMAC-SHA256 gebildet. Der hierfür verwendete geheime Schlüssel wird täglich gewechselt und ausschließlich im Arbeitsspeicher gehalten. Eine dauerhafte Protokollierung der vollständigen IP-Adresse für reguläre Zugriffe erfolgt nicht. Auch die Namen hochgeladener Dateien werden nicht protokolliert; stattdessen wird je Vorgang eine zufällige Kennung vergeben.

Bei sicherheitsrelevanten oder auffälligen Zugriffen — etwa wenn eine Nutzungsgrenze überschritten wird — kann die vollständige IP-Adresse vorübergehend in Sicherheitsprotokollen gespeichert werden. Diese Daten werden spätestens nach sieben Tagen gelöscht, sofern eine längere Aufbewahrung nicht im Einzelfall zur Untersuchung eines konkreten Sicherheitsvorfalls erforderlich ist.

Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen liegen in der Gewährleistung der Sicherheit, Stabilität und Verfügbarkeit unseres Dienstes, der Verhinderung missbräuchlicher automatisierter Nutzung sowie der sachgerechten Festlegung der Nutzungsgrenzen unseres kostenlosen Angebots.

Eine Nutzung dieser Daten zur personenbezogenen Werbung oder zur Erstellung tageübergreifender Nutzungsprofile erfolgt nicht.

Verarbeitung hochgeladener Rechnungsdateien

Die von Ihnen hochgeladenen Rechnungsdateien werden ausschließlich zu den von Ihnen angeforderten Zwecken verarbeitet: zur Validierung und, wenn Sie es wählen, zur Anzeige der Rechnung als lesbare Ansicht (Übersicht, Positionen, Informationen, Anhänge). Die Datei wird dabei nur für die Dauer der Prüfung oder Anzeige vorgehalten — im Arbeitsspeicher des Servers, als Datei in einem flüchtigen Dateisystem, weil die Prüfsoftware einen Dateipfad benötigt — und unmittelbar nach Abschluss gelöscht. Eine Kopie wird nicht angefertigt, eine darüber hinausgehende Speicherung findet nicht statt. Das Prüfergebnis und die Ansicht werden in der Antwort ausgegeben und nicht für einen späteren Abruf gespeichert; der Prüfbericht der Weboberfläche wird in Ihrem Browser erzeugt. Eine Verwendung zu Werbe- oder Trainingszwecken oder eine inhaltliche Auswertung Ihrer Rechnungsdaten findet nicht statt.

Geprüft und angezeigt wird mit Open-Source-Software, die wir auf demselben Server selbst betreiben: dem KoSIT-Validator, dem frei verfügbaren Prüfprogramm der Koordinierungsstelle für IT-Standards (KoSIT), sowie Mustang und veraPDF. Es handelt sich um Software, nicht um Dienste Dritter; die Rechnungsdatei wird dafür an keinen weiteren Empfänger übermittelt, auch nicht an die KoSIT.

Beim kostenlosen Validator führen wir eine anonyme Fehlerstatistik, um auswerten zu können, welche Validierungsfehler am häufigsten auftreten, und daraus Hilfestellungen zu erarbeiten. Gezählt werden ausschließlich Kennzahlen des Prüflaufs: Regel-Codes wie BR-CO-09, der Dateityp (XML oder PDF), die Profilkennung der geprüften Rechnung sowie die Zahl der Prüfungen und gültigen Ergebnisse je Tag. Gespeichert werden dabei reine Tageszähler — keine Rechnungsinhalte, keine Dateinamen, keine IP-Adressen und nichts, was sich einem einzelnen Prüfvorgang oder einer Person zuordnen ließe. Ein Personenbezug besteht nach unserer Einschätzung nicht (Erwägungsgrund 26 DSGVO). Beim entgeltlichen API-Dienst findet auch diese Zählung nicht statt.

Enthält eine Rechnungsdatei personenbezogene Daten, hängt die Rechtsgrundlage vom genutzten Angebot ab:

• Kostenloser Validator: Wir verarbeiten die Rechnungsinhalte in eigener Verantwortung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Bereitstellung des angeforderten Prüf- und Anzeigedienstes; das Interesse der hochladenden Person an der Prüfung und Ansicht ihrer Rechnung tritt hinzu. Es findet keine gesonderte Auftragsverarbeitungsvereinbarung statt. Die oben beschriebenen Maßnahmen — Löschung unmittelbar nach der Prüfung oder Anzeige, keine Kopie, Zweckbindung, keine inhaltliche Auswertung — gelten unverändert; siehe auch den Haftungsausschluss. Eine Information der in der Rechnung genannten Personen ist uns nicht möglich, da wir weder über Kontaktdaten verfügen noch die Daten über die Prüfung hinaus vorhalten (Art. 14 Abs. 5 lit. b DSGVO).
• Entgeltlicher API-Dienst: Hier verarbeiten wir die Rechnungsinhalte als Auftragsverarbeiter nach den dokumentierten Weisungen des Kunden. Vor der ersten Übermittlung wird ein individueller Auftragsverarbeitungsvertrag geschlossen. Er regelt Zweck, Datenkategorien, Betroffene, Löschung, technische Maßnahmen und die weiteren Auftragsverarbeiter. Die Rechtsgrundlage für die Verarbeitung bestimmt insoweit der Kunde als Verantwortlicher.

Cookies & Einwilligungen

Für den Betrieb notwendige Cookies setzen wir auf Grundlage berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) ein. Analyse-Cookies (Google Analytics) werden nur nach ausdrücklicher Einwilligung über das Cookie-Banner aktiviert. Die Einwilligung kann jederzeit in den Einstellungen widerrufen werden.

Google Analytics

Bei Einwilligung verwenden wir Google Analytics (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). IP-Adressen werden anonymisiert gespeichert. Die erhobenen Daten werden nach 14 Monaten automatisch gelöscht. Du kannst die Erhebung jederzeit über das Cookie-Banner oder das Browser-Add-on deaktivieren.

DNS-Verwaltung

Die Verwaltung der DNS-Einträge für die Domain e-rechnung-validator.de erfolgt über Dynadot LLC, 210 S. Ellsworth Ave #345, San Mateo, CA 94401, USA. Beim DNS-Auflöser werden technische Verbindungsdaten (z. B. IP des anfragenden Resolvers) verarbeitet. Rechtsgrundlage der Einbindung ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der zuverlässigen Erreichbarkeit der Domain. Eine Übermittlung in die USA erfolgt nur auf Grundlage eines geprüften Mechanismus nach Art. 44 ff. DSGVO. Rechnungsinhalte oder andere personenbezogene Daten unserer Nutzer werden Dynadot nicht übermittelt.

E-Mail-Kommunikation

Unsere geschäftliche E-Mail-Korrespondenz wird über Google Workspace abgewickelt (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Verarbeitet werden dabei Absender- und Empfängerangaben, Betreff, Inhalt und Anhänge Ihrer Nachricht sowie technische Übertragungsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogener Korrespondenz, im Übrigen Art. 6 Abs. 1 lit. f DSGVO an einer funktionsfähigen Geschäftskommunikation.

Bitte senden Sie uns keine Rechnungsdateien als E-Mail-Anhang. Für die Prüfung nutzen Sie die Weboberfläche oder die Schnittstelle — nur dort wird die Datei nach der Prüfung sofort gelöscht. Eine E-Mail bleibt dagegen im Postfach liegen. Erreicht uns eine Rechnungsdatei dennoch per E-Mail, löschen wir die Nachricht nach Klärung Ihres Anliegens.

Vertrags-, Kontakt- und Abrechnungsdaten

Für Angebot, Vertragsschluss, Bereitstellung und Verwaltung von Zugangsschlüsseln, Support, Abrechnung und Rechtsdurchsetzung verarbeiten wir Stamm- und Kontaktdaten des Kunden und seiner Ansprechpartner, Vertragsdaten, Kontokennung, Kommunikationsinhalte sowie Nutzungs- und Abrechnungsdaten. Rechtsgrundlage ist bei natürlichen Personen Art. 6 Abs. 1 lit. b DSGVO, bei Ansprechpartnern juristischer Personen Art. 6 Abs. 1 lit. f DSGVO und für die gesetzlich erforderliche Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den einschlägigen handels- und steuerrechtlichen Vorschriften.

Ereignisbezogene Abrechnungsdaten enthalten Kontokennung, Zeitpunkt, Dateityp, Dateigröße und technisches Ergebnis, jedoch keine Rechnungsinhalte, keine IP-Adresse und keine Dateinamen. Sie werden 90 Tage nach Rechnungsstellung gelöscht oder zu nicht personenbezogenen Monatswerten verdichtet. Rechnungen und sonstige aufbewahrungspflichtige Geschäftsunterlagen werden nur für die jeweils gesetzlich vorgeschriebene Dauer aufbewahrt.

Rechte der betroffenen Personen

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie den Widerruf erteilter Einwilligungen. Wende dich dazu an datenschutz@e-rechnung-validator.de.

Beschwerderecht

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren. Zuständig ist insbesondere die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin.

Stand: Oktober 2026