Datenschutzerklärung

Verantwortlicher

Dmytro Yalanskyi Ladoz'ka street 19-126, Zaporizhzhia 69121 Ukraine E-Mail: datenschutz@normapi.de

Hosting

Diese Website und die Prüf-API werden von der Railway Corporation, 548 Market St PMB 68956, San Francisco, Kalifornien 94104, USA, in der Region EU West (Amsterdam, Niederlande) betrieben. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Der Anbieter hat seinen Sitz in den Vereinigten Staaten. Eine Übermittlung personenbezogener Daten in die USA ist daher nicht ausgeschlossen. Grundlage einer solchen Übermittlung sind die Standardvertragsklauseln der Europäischen Kommission (Modul 2, Verantwortlicher an Auftragsverarbeiter) nach Art. 46 Abs. 2 lit. c DSGVO.

Server-Logfiles

Beim Aufruf dieser Website verarbeitet der Webserver technisch notwendige Zugriffsdaten: Datum und Uhrzeit, angeforderte Seite, HTTP-Statuscode, übertragene Datenmenge, Referrer und User-Agent. Diese Daten sind für den sicheren und stabilen Betrieb erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am sicheren Betrieb der Website. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt.

Rechnungsprüfung

Hochgeladene Rechnungen werden ausschließlich im Arbeitsspeicher geprüft und unmittelbar nach der Prüfung verworfen. Es findet keine Speicherung des Rechnungsinhalts statt, und die Daten werden nicht an Dritte weitergegeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO — Durchführung der von Ihnen angeforderten Prüfung.

Benachrichtigung bei Regelwerks-Änderungen

Auf Wunsch informieren wir Sie per E-Mail über neue Fassungen des XRechnung-Regelwerks. Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Ihre Adresse wird erst gespeichert, nachdem Sie den Bestätigungslink angeklickt haben. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit widerrufen — über den Abmeldelink in jeder E-Mail oder per Nachricht an die oben genannte Adresse.

Die Verteilerliste führen wir selbst, auf unseren eigenen Servern in der Europäischen Union. Gespeichert werden Ihre E-Mail-Adresse sowie Zeitpunkt von Anmeldung und Bestätigung — der Nachweis der Einwilligung, den Art. 7 Abs. 1 DSGVO verlangt. Nach einer Abmeldung bleibt Ihre Adresse ausschließlich zu dem Zweck gespeichert, Sie nicht versehentlich erneut anzuschreiben.

Für den Versand nutzen wir Mailjet, einen Dienst der Mailjet SAS, 13-13 bis rue de l'Aubrac, 75012 Paris, Frankreich. Die Verarbeitung erfolgt in der Europäischen Union; mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Klick- und Öffnungs-Tracking sind abgeschaltet: Links in unseren E-Mails führen direkt zum Ziel und werden nicht über einen Zwischenserver geleitet.

Partner-Konto (Anmeldung und API-Schlüssel)

Für Design-Partner bieten wir einen zugangsbeschränkten Konto-Bereich an. Bei der Registrierung und Nutzung verarbeiten wir: Ihre E-Mail-Adresse, den gewählten Anmeldeweg, einmalige Anmelde-Token (Gültigkeit 24 Stunden) sowie die von Ihnen angelegten API-Schlüssel — von diesen speichern wir ausschließlich einen kryptographischen Hash, nie den Schlüssel selbst. Zur Abrechnung und Missbrauchskontrolle führen wir tagesgenaue Nutzungszähler je Schlüssel (Endpunkt, Statuscode, Anzahl der Aufrufe); Rechnungsinhalte werden dabei nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — Bereitstellung des Kontos im Rahmen des Design-Partner-Programms.

Zusätzlich zu diesen Tageszählern führen wir ein Aufruf-Protokoll, das einzelne Aufrufe festhält — Schlüsselname, Endpunkt, Statuscode, Dauer und Zeitpunkt. Es dient der Fehlersuche: eine abgelehnte Anfrage lässt sich damit nachvollziehen, was ein Tageszähler nicht kann. Weder Anfrage- noch Antwortinhalte, weder Header noch Rechnungsdaten werden darin gespeichert. Einträge werden nach sieben Tagen gelöscht.

Die Anmeldung per E-Mail-Link wird über Mailjet versendet, einen Dienst der Mailjet SAS, 13-13 bis rue de l'Aubrac, 75012 Paris, Frankreich. Dabei werden Ihre E-Mail-Adresse und der einmalige Anmeldelink verarbeitet; Klick- und Öffnungs-Tracking sind für diese E-Mails deaktiviert. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung, die Verarbeitung erfolgt in der EU. Wählen Sie die Anmeldung über GitHub, übermittelt uns GitHub Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA, die in Ihrem GitHub-Profil hinterlegte E-Mail-Adresse; für die Verarbeitung bei GitHub gilt deren eigene Datenschutzerklärung.

Kontodaten speichern wir, bis Sie das Konto löschen. Das können Sie jederzeit selbst tun — im Konto-Bereich unter „Einstellungen“, sofort und ohne Rückfrage; gelöscht werden dabei Schlüssel, Nutzungszähler, Aufruf-Protokoll und der Kontodatensatz selbst. Dort können Sie Ihre Daten auch als JSON-Datei exportieren (Art. 20 DSGVO). Eine formlose Nachricht an die oben genannte Adresse genügt selbstverständlich weiterhin.

Reichweitenmessung

Um zu verstehen, welche Seiten genutzt werden, setzen wir PostHog ein — in einer Betriebsart ohne Cookies. Es werden weder Cookies gesetzt noch Daten im Local Storage oder Session Storage Ihres Geräts gespeichert oder ausgelesen. Eine Einwilligung nach § 25 TDDDG ist deshalb nicht erforderlich; einen Cookie-Banner gibt es aus demselben Grund nicht.

Verarbeitet werden aufgerufene Seite, Referrer, ungefährer Standort auf Landesebene, Gerätetyp und Browser sowie einige wenige von uns benannte Ereignisse — etwa, dass eine Rechnung geprüft wurde, mit welchem Ergebnis und wie viele Regeln angeschlagen haben. Inhalte Ihrer Rechnung werden dabei nicht übermittelt: weder Feldwerte noch Dateinamen noch Ausschnitte des Dokuments. Ihre IP-Adresse wird nicht gespeichert. Zur Unterscheidung von Besuchen dient ein serverseitig gebildeter Hash-Wert, der täglich wechselt; eine geräteseitige Wiedererkennung über den Tag hinaus findet nicht statt.

Anbieter ist die PostHog, Inc., San Francisco, USA. Die Verarbeitung erfolgt auf der EU-Cloud in Frankfurt am Main; es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO) — eine formlose Nachricht an die oben genannte Adresse genügt.

Cookies

Der öffentliche Teil dieser Website setzt keine Cookies. Die oben beschriebene Reichweitenmessung arbeitet ohne Cookies und ohne Speicherung auf Ihrem Gerät. Schriftarten werden von unserem eigenen Server ausgeliefert; es besteht keine Verbindung zu Google Fonts oder anderen Drittanbietern. Ausschließlich im Konto-Bereich setzen wir technisch notwendige Sitzungs-Cookies für die Anmeldung (§ 25 Abs. 2 Nr. 2 TDDDG); Tracking-Cookies gibt es auch dort nicht.

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht (Art. 21). Zudem steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Wenden Sie sich für alle Anliegen an die oben genannte E-Mail-Adresse.