Datenschutzerklärung

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten bei der Nutzung der ZUGFeRD-Plattform unter zugferd-invoice.attrian.de und der Stripe App „ZUGFeRD E-Invoicing“ (gemeinsam „Dienst“).

1. Verantwortlicher und Kontakt

BrainWave Software GmbH, Heilig-Kreuz-Straße 24, 86152 Augsburg, Deutschland. Weitere Angaben im Impressum (/impressum).

Datenschutzanfragen: zugferd-support@brainwave-software.de oder an die oben genannte Anschrift.

2. Rollen: Verantwortlicher und Auftragsverarbeiter

Für die Daten der Nutzerkonten unserer Kunden (Anmeldung, Unternehmensprofil) sind wir Verantwortlicher.

Die Rechnungsdaten, die unsere Kunden über Stripe verarbeiten — insbesondere Daten ihrer Rechnungsempfänger — verarbeiten wir als Auftragsverarbeiter im Auftrag des jeweiligen Kunden (Art. 28 DSGVO). Verantwortlicher für diese Daten ist der Kunde. Betroffene Rechnungsempfänger wenden sich bitte zunächst an das Unternehmen, das ihnen die Rechnung gestellt hat. Zum Auftragsverarbeitungsvertrag siehe Abschnitt 11.

3. Welche Daten wir verarbeiten

• Kontodaten: Benutzername, E-Mail-Adresse, Rolle, Passwort (nur als bcrypt-Hash gespeichert), Organisationszugehörigkeit.
• Unternehmensprofil des Kunden: Firmenname, Anschrift, USt-IdNr., Steuernummer, Bankverbindung (IBAN, BIC, Kontoinhaber), Logo. Diese Angaben werden teils beim Einrichten aus dem Stripe-Konto übernommen (Name, E-Mail, Steuer-ID, Support-Adresse) und erscheinen auf den erzeugten Rechnungen.
• Rechnungsdaten aus Stripe: Rechnungsnummer, Datum, Positionen, Beträge, Steuersätze, Währung sowie Daten des Rechnungsempfängers (Name, Anschrift, E-Mail-Adresse, USt-IdNr.).
• Erzeugte Dokumente: ZUGFeRD-/XRechnung-XML, PDF/A-3-Dateien, Validierungsberichte.
• Stripe-Verbindungsdaten: Stripe-Konto-ID und — sofern Kunden diese hinterlegen — API-Schlüssel und Webhook-Geheimnisse; Einstellungen für E-Mail- und PEPPOL-Versand.
• API-Schlüssel für die externe API (nur als Hash gespeichert) und Zeitpunkt der letzten Nutzung.
• Zugriffsanfragen (Titel, Beschreibung, Begründung, Status, Admin-Notizen).
• Technische Daten: Sitzungsdaten, Server-Protokolle (Zeitpunkt, aufgerufener API-Pfad, Statuscode, Dauer, gekürzte Antwortinhalte), IP-Adresse (nur im Arbeitsspeicher zur Begrenzung von Anfragen, nicht dauerhaft gespeichert).

4. Zwecke und Rechtsgrundlagen

• Bereitstellung des Dienstes (Konvertierung von Stripe-Rechnungen in ZUGFeRD/XRechnung, Validierung, Archivierung, optionaler Versand): Art. 6 Abs. 1 lit. b DSGVO (Vertrag) bzw. im Auftrag des Kunden nach Art. 28 DSGVO.
• Anmeldung, Sitzungsverwaltung und Single Sign-on: Art. 6 Abs. 1 lit. b DSGVO.
• Sicherheit des Dienstes, Missbrauchsabwehr, Fehleranalyse (Protokolle, Begrenzung von Anfragen): Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und stabile Betrieb.
• Erfüllung gesetzlicher Aufbewahrungspflichten unsererseits: Art. 6 Abs. 1 lit. c DSGVO.

Wir verwenden keine Daten zu Werbezwecken, verkaufen keine Daten und setzen keine Analyse- oder Tracking-Werkzeuge ein.

Die Angabe der Konto- und Unternehmensdaten ist für den Vertragsschluss und die Nutzung des Dienstes erforderlich; ohne sie können wir den Dienst nicht bereitstellen. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

5. Stripe und die Stripe App

Wenn Sie die Stripe App installieren oder Ihr Stripe-Konto verbinden, liest der Dienst über die Stripe-API: Rechnungen und Rechnungs-PDFs, Kunden (Name, E-Mail, Anschrift, Steuer-IDs), Steuersätze, Kontoangaben (Unternehmensname, E-Mail, Steuer-ID, Support-Adresse) und Branding (Logo). Anfragen aus dem Stripe-Dashboard werden über die von Stripe signierte Anfrage authentifiziert. Wir empfangen Stripe-Webhooks zu App-Installation/-Deinstallation sowie zu finalisierten und bezahlten Rechnungen.

Die Datenverarbeitung durch Stripe selbst richtet sich nach Ihrem Vertrag mit Stripe und der Datenschutzerklärung von Stripe (stripe.com/privacy). Vertragspartner von Kunden im EWR ist in der Regel die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland.

6. Hosting, Speicherung und Empfänger

• Hosting: Anwendung und PostgreSQL-Datenbank laufen auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Nürnberg (Deutschland).
• Objektspeicher: Erzeugte PDF-, XML- und Berichtsdateien werden in einem von uns selbst betriebenen S3-kompatiblen Objektspeicher (s3.attrian.de) abgelegt, im selben Hosting wie die Anwendung. Die Dateien werden mit AES-256 verschlüsselt gespeichert.
• E-Mail-Versand: Rechnungen werden nur versandt, wenn der Kunde den E-Mail-Versand aktiviert hat. Dabei wird die Rechnung als PDF an die E-Mail-Adresse des Rechnungsempfängers gesendet, über den SMTP-Dienst Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich).
• Single Sign-on: Die Anmeldung „Login with ATTRIAN“ nutzt einen von uns betriebenen Keycloak-Server (auth.attrian.de). Übernommen werden E-Mail-Adresse, Benutzername und Name; beim ersten Login wird ein Konto angelegt.
• PEPPOL: Nur wenn ein Kunde den PEPPOL-Versand konfiguriert, wird die Rechnungs-XML an den vom Kunden angegebenen Zugangspunkt übermittelt; zur Empfängersuche werden Verzeichnisdienste des PEPPOL-Netzwerks abgefragt.
• Netzwerk und Schutz vor Angriffen: Der Zugriff auf den Dienst läuft über das Netzwerk von Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA (Reverse-Proxy, DDoS-Schutz). Cloudflare verarbeitet dabei die übertragenen Daten einschließlich IP-Adressen, um sie an unsere Server weiterzuleiten. Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag.
• Stripe: siehe Abschnitt 5.

Eine Übermittlung in ein Drittland außerhalb des EWR findet nur durch Cloudflare, Inc. (USA) statt. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung beruht auf dem Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Ergänzend gelten die Standardvertragsklauseln im Auftragsverarbeitungsvertrag mit Cloudflare. Alle übrigen Empfänger verarbeiten die Daten in der EU bzw. im EWR.

7. Cookies und lokaler Speicher

Wir verwenden ausschließlich technisch erforderliche Speicherungen (§ 25 Abs. 2 Nr. 2 TDDDG):

• Cookie „sessionId“: Sitzungs-Cookie für die Anmeldung, 24 Stunden gültig, HttpOnly, in Produktion nur über HTTPS. Die Sitzung wird in unserer Datenbank gespeichert.
• Cookie „sidebar_state“: merkt sich, ob die Seitenleiste eingeklappt ist, 7 Tage.
• Lokaler Speicher „language“ (gewählte Sprache) und „cookie_consent“ (Ihre Auswahl im Cookie-Hinweis).
• Sitzungsspeicher „pkce_code_verifier“ und „oauth_state“: nur während der Single-Sign-on-Anmeldung.

Schriftarten werden von unserem eigenen Server geladen; es werden keine Inhalte Dritter (CDNs, Analyse, Werbung) im Browser nachgeladen.

8. Speicherdauer

• Kontodaten, Unternehmensprofil, Rechnungsdaten und erzeugte Dokumente werden für die Dauer des Vertragsverhältnisses gespeichert.
• Bei Deinstallation der Stripe App wird das Konto deaktiviert und alle Sitzungen werden beendet; die Daten bleiben für eine erneute Installation erhalten. Auf Anfrage an zugferd-support@brainwave-software.de löschen wir die Daten innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Sitzungen laufen nach 24 Stunden ab.
• Server-Protokolle werden nur auf unseren Servern gespeichert und fortlaufend überschrieben, sobald die vorgesehene Speichergröße erreicht ist; eine feste Löschfrist gibt es derzeit nicht.

Hinweis: Die gesetzlichen Aufbewahrungspflichten für Rechnungen treffen den Rechnungsaussteller; Rechnungen sind nach § 14b UStG und § 147 AO grundsätzlich 8 Jahre aufzubewahren (GoBD beachten). Der Dienst ersetzt kein revisionssicheres Archiv; Kunden sollten die erzeugten Dokumente selbst archivieren.

9. Sicherheit

Übertragungen erfolgen verschlüsselt über HTTPS. Passwörter und API-Schlüssel werden nur als bcrypt-Hash gespeichert. Erzeugte Dateien sowie hinterlegte Stripe-Schlüssel und Zugangstoken werden mit AES-256 verschlüsselt gespeichert. Die Daten der Mandanten sind in der Datenbank durch Row-Level-Security voneinander getrennt; der Zugriff ist rollenbasiert. Anmeldeversuche und Anfragen der Stripe App sind in der Anzahl begrenzt. Die Anmeldung per Single Sign-on setzt eine bestätigte E-Mail-Adresse voraus.

10. Ihre Rechte

• Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20).
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

Anfragen richten Sie an die in Abschnitt 1 genannte Adresse.

11. Auftragsverarbeitungsvertrag (AVV)

Kunden, die personenbezogene Daten ihrer Rechnungsempfänger über den Dienst verarbeiten, schließen mit uns einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; er ist Bestandteil der Nutzungsbedingungen (Ziffer 10). Die Liste der Unterauftragsverarbeiter steht unter /zugferd/support. Eine gegengezeichnete Fassung erhalten Sie auf Anfrage an zugferd-support@brainwave-software.de.

12. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 11. November 2026