Verantwortlicher: Maksim Scerba, Seewiesenweg 40, 73734 Esslingen am Neckar, hello@xrechnung.dev (siehe Impressum).
1. Hochgeladene Rechnungen
Dateien, die Sie zur Prüfung oder zum Lesen hochladen oder per API senden, werden ausschließlich im Arbeitsspeicher verarbeitet, an das lokal betriebene Prüfmodul übergeben und nach der Antwort verworfen. Sie werden nicht gespeichert und nicht an Dritte übermittelt. Einzige Ausnahme: Schlägt das Erzeugen einer Rechnung über die API fehl, speichern wir die ersten drei Fehlermeldungen des Prüfmoduls (Regelcode, Meldungstext, Fundstelle) mit Ihrer Nutzungs-Kennung, um Fehler zu analysieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses).
2. Nutzungszähler
Für das monatliche Kontingent speichern wir einen gekürzten Hash Ihrer IP-Adresse (kostenlose Nutzung) bzw. Ihres API-Schlüssels zusammen mit einem Zähler pro Monat. Der Hash lässt keinen Rückschluss auf die IP-Adresse zu. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsschutz).
3. Server-Logs
Der Webserver protokolliert Zugriffe (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, Browser) für 14 Tage zur Sicherstellung des Betriebs und zur Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
3a. Hosting
Der Server steht in Frankfurt am Main (DigitalOcean, LLC, als Auftragsverarbeiter; mögliche Übermittlungen in die USA auf Basis der EU-Standardvertragsklauseln). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
4. Zahlungen (Stripe)
Kostenpflichtige Tarife werden über Stripe Payments Europe, Ltd., Dublin, Irland abgewickelt. Stripe verarbeitet Ihre Zahlungs- und Kontaktdaten als eigener Verantwortlicher; Einzelheiten unter stripe.com/de/privacy. Wir erhalten von Stripe Ihre E-Mail-Adresse, den gebuchten Tarif und den Abonnementstatus, um Ihren API-Schlüssel auszustellen und zu verwalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
5. E-Mail-Versand (Resend)
Transaktions-E-Mails (z. B. Zustellung des API-Schlüssels) versenden wir über Resend, Inc. (USA) auf Basis der EU-Standardvertragsklauseln; verarbeitet werden E-Mail-Adresse und Nachrichteninhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
5a. Newsletter „Regel-Updates“
Wenn Sie die Regel-Updates bestellen, speichern wir Ihre E-Mail-Adresse, den Zeitpunkt der Anmeldung und den Zeitpunkt Ihrer Bestätigung. Wir schreiben Ihnen etwa einmal im Monat über neue XRechnung-Versionen, geänderte Prüfregeln und Fristen der E-Rechnungspflicht und gelegentlich über Angebote von xrechnung.dev. Die Anmeldung wird erst wirksam, wenn Sie den Link in unserer Bestätigungs-E-Mail anklicken (Double-Opt-in); unbestätigte Adressen löschen wir nach 7 Tagen. Versand über Resend, Inc. (USA) auf Basis der EU-Standardvertragsklauseln. Rechtsgrundlage: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit widerrufen: über den Abmeldelink in jeder E-Mail oder per E-Mail an hello@xrechnung.dev. Ihre Adresse wird dann sofort gelöscht.
6. Anmeldung mit Google
Für das Kundenkonto (Tarif, Verbrauch, API-Schlüssel verwalten) können Sie sich freiwillig mit Ihrem Google-Konto anmelden. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; eine Übermittlung an Google LLC (USA) ist möglich, sie stützt sich auf das EU-US Data Privacy Framework. Bei der Anmeldung erhalten wir von Google Ihre E-Mail-Adresse, die Bestätigung, dass diese verifiziert ist, und Ihre Google-Konto-Kennung („sub“). Wir speichern davon nur E-Mail-Adresse, Google-Konto-Kennung und den Zeitpunkt der letzten Anmeldung; Name und Profilbild speichern wir nicht. Die E-Mail-Adresse dient dazu, Ihnen die zu dieser Adresse gebuchten API-Schlüssel zuzuordnen. Die Daten werden gelöscht, wenn Sie das Konto löschen lassen (E-Mail an die oben genannte Adresse). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kundenkontos). Datenschutzhinweise von Google: policies.google.com/privacy.
7. Cookies und Tracking
Nur wenn Sie sich anmelden, setzen wir zwei technisch notwendige Cookies: ein kurzlebiges Cookie zum Schutz des Anmeldevorgangs (10 Minuten) und ein Sitzungs-Cookie, das Sie 7 Tage angemeldet hält oder beim Abmelden gelöscht wird. Beide enthalten keine Tracking-Kennungen und sind für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Wir verwenden keine Analyse- oder Werbe-Tracker.
8. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde. Wenden Sie sich dazu an die oben genannte Adresse.
Stand: Oktober 2026