Datenschutz

Diese Erklärung beschreibt, welche Daten bei der Nutzung von Rechnungsblatt anfallen, wozu sie verarbeitet werden und wie lange sie bleiben.

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht zu benennen: Der Betrieb beschäftigt nicht mehr als zwanzig Personen mit der Verarbeitung (§ 38 BDSG).

2. Was beim Aufruf der Seite anfällt

Der Server verarbeitet die Angaben, die jeder Browser beim Abruf übermittelt — darunter IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserkennung. Sie sind technisch notwendig, um die Seite ausliefern zu können.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am Betrieb und an der Sicherheit des Angebots.

3. Konto

Zu einem Konto werden gespeichert:

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrags.

Anmeldung

Eine Anmeldung setzt ein technisch notwendiges Cookie (rb_sitzung). Es enthält nur einen Zufallswert, keine Inhalte, gilt 30 Tage und wird beim Abmelden ungültig. Ohne dieses Cookie ist eine Anmeldung nicht möglich; eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

4. Rechnungsdaten — verschlüsselt

Die eingegebenen Rechnungsdaten, das Briefpapier und die erzeugten Belege liegen verschlüsselt auf dem Server. Der Schlüssel wird beim Anmelden aus dem Kennwort abgeleitet und nur für die Dauer der Sitzung gehalten; gespeichert wird er nicht.

Das hat eine Folge, die ausdrücklich genannt sei: Der Anbieter kann die Rechnungen nicht einsehen — auch nicht auf Bitte des Nutzers. Wer Kennwort und Wiederherstellungscode verliert, verliert den Zugang zu den Daten endgültig. Das ist der Preis dafür, dass niemand sonst hineinsehen kann.

Die Empfängerdaten in den Rechnungen verarbeitet der Nutzer als Verantwortlicher; der Anbieter ist insoweit Auftragsverarbeiter (Art. 28 DSGVO). Ein Vertrag zur Auftragsverarbeitung wird auf Anfrage gestellt.

5. Aufbewahrung

Rechnungen lassen sich nicht löschen, auch nicht auf Wunsch: Sie unterliegen der Aufbewahrungspflicht, und eine vergebene Rechnungsnummer darf nicht erneut verwendet werden. Das ist keine Bequemlichkeit des Anbieters, sondern eine Anforderung des Steuerrechts.

Am Ende des Vertrags werden die Daten gelöscht — nach einer Frist von sechs Monaten, in der sie noch abrufbar bleiben. Bis dahin sollte der Nutzer seine Belege gesichert haben, denn seine eigene Aufbewahrungspflicht läuft danach weiter.

6. Zahlungen über DiD0m und Stripe

Rechnungen für Guthaben und Abonnements stellt der Anbieter selbst aus — über seine Unternehmensverwaltung DiD0m, ein getrenntes System desselben Verantwortlichen unter did0m.dev. Dorthin werden beim Bezahlen die Kontonummer bei Rechnungsblatt, die E-Mail-Adresse, der gewählte Tarif bzw. Betrag sowie die Rücksprungadresse übermittelt. DiD0m führt daraus die Rechnung, die Zahlungseingänge und gegebenenfalls Zahlungserinnerungen und meldet an Rechnungsblatt zurück, ob gezahlt wurde und welcher Tarif gilt.

Eingezogen wird über Stripe (Stripe Payments Europe, Ltd., Dublin, Irland) als Zahlungsdienstleister. Stripe erhält E-Mail-Adresse, Betrag und eine Kundenkennung.

Kartendaten erreichen diesen Server nie. Sie werden ausschließlich bei Stripe eingegeben und dort verarbeitet. Gespeichert werden bei Rechnungsblatt nur Tarif, Guthaben, die gebuchten Beträge mit Rechnungsnummer und der Stand des Abonnements (etwa ein Kündigungsdatum) — keine Karten- oder Kontodaten. Rechnungen und Zahlungsbelege bewahrt DiD0m nach den steuerlichen Fristen auf (§ 147 AO, § 257 HGB: bis zu zehn Jahre).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), für die Aufbewahrung der Rechnungen Art. 6 Abs. 1 lit. c DSGVO. Stripes eigene Angaben: stripe.com/de/privacy.

7. Besucherzählung

Die Seitenaufrufe werden mit Plausible gezählt — einer selbst betriebenen Software auf demselben Server. Ohne Cookies und ohne Wiedererkennung. Aus IP-Adresse und Browserkennung wird mit einem täglich wechselnden Zusatzwert ein Kennzeichen gebildet, das nicht gespeichert wird; über den Tag hinaus lässt sich niemand wiedererkennen.

Es werden keine Daten an Dritte übertragen und keine Profile gebildet. Deshalb gibt es hier keinen Einwilligungsbanner — es gibt nichts einzuwilligen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer Reichweitenmessung ohne Personenbezug.

8. Keine fremden Dienste in der Seite

Schriften, Stilvorlagen und Skripte werden vom eigenen Server ausgeliefert. Es werden keine externen Dienste eingebunden — insbesondere keine Google Fonts, keine Auslieferungsnetze, keine sozialen Netzwerke, keine Werbenetzwerke. Beim Aufruf der Seite entsteht damit keine Verbindung zu Dritten.

9. E-Mails

Bestätigungscodes und Links zum Zurücksetzen des Kennworts werden über einen Mailanbieter versendet, der die übermittelten Adressen dabei verarbeitet. Ein Newsletter wird nicht versendet.

10. Meldungen aus dem Konto

Im Konto steht ein Formular, mit dem sich Fehler, Ungereimtheiten am Beleg und Wünsche melden lassen. Wird es abgeschickt, geht die Meldung an GitHub (GitHub B.V., Amsterdam, Niederlande; Muttergesellschaft GitHub, Inc., USA) und wird dort als Eintrag im Fehlerverzeichnis des Projekts angelegt.

Übermittelt werden: der geschriebene Text, angehängte Bildschirmfotos, die zuletzt aufgerufene Seite, die Browserkennung, der laufende Softwarestand und die Nummer des Kontos. Die E-Mail-Adresse wird nicht übermittelt — wer hinter einer Meldung steht, ist nur im Adminbereich zu sehen. Was im freien Text steht, entscheidet der Nutzer; das Formular weist ausdrücklich darauf hin, dort keine Namen von Kunden und keine Beträge hineinzuschreiben.

Die Bildschirmfotos liegen unverschlüsselt unter einer zufälligen, nicht erratbaren Adresse — anders könnte GitHub sie nicht anzeigen. Sie liegen getrennt von den Rechnungsdaten; wird das Konto gelöscht, werden sie mitgelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse daran, gemeldete Fehler nachvollziehen und beheben zu können. Übermittelt wird nur, was der Nutzer selbst abschickt. GitHubs eigene Angaben: docs.github.com – Privacy Statement.

11. Ihre Rechte

• Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen auf Grundlage von lit. f (Art. 21)

Eine Nachricht an d.dill@rechnungsblatt.de genügt. Die Belege eines Kontos lassen sich zudem jederzeit selbst am Stück herunterladen (Konto → Für die Betriebsprüfung) — das erfüllt Art. 20 ohne Umweg.

12. Beschwerderecht

Es besteht das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach.

Stand: September 2026. Weitere Angaben: Impressum · Allgemeine Geschäftsbedingungen