Datenschutzerklärung

Fassung vom 16.10.2026

Diese Datenschutzerklärung informiert gemäß Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten bei der Nutzung der Software „Rechnungen“ (im Folgenden „App“) verarbeitet werden.

1. Verantwortlicher

Ing. Maurice Putz — MP ORG
Josef-Haydngasse 9, 7033 Pöttsching, Österreich
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt, da keine Pflicht dazu besteht (Art. 37 DSGVO). Anfragen zum Datenschutz richten Sie bitte an die oben genannte E-Mail-Adresse.

2. Rollenverteilung

Daten Ihres Kontos (Anmeldung, Profil, Tarif, Protokolle): Hier ist MP ORG Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO.
Daten Ihrer Kunden, die Sie in Kunden, Rechnungen und wiederkehrenden Rechnungen erfassen: Hier sind Sie als Nutzer Verantwortlicher; MP ORG verarbeitet diese Daten ausschließlich in Ihrem Auftrag. Grundlage ist der Auftragsverarbeitungsvertrag. Ihre Kunden informieren Sie selbst über die Verarbeitung.

3. Verarbeitete Daten, Zwecke und Rechtsgrundlagen

3.1 Aufruf der App

Beim Aufruf jeder Seite verarbeitet der Hosting-Anbieter technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser- und Betriebssystemangaben. Zweck ist die Auslieferung der App sowie die Erkennung und Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).

3.2 Bot-Schutz mit Cloudflare Turnstile

Ausschließlich auf den Seiten „Anmelden“ und „Passwort vergessen“ setzen wir den Dienst Turnstile von Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, ein. Turnstile prüft, ob eine Anfrage von einem Menschen oder einem automatisierten Programm stammt. Dabei verarbeitet Cloudflare insbesondere Ihre IP-Adresse sowie Browser- und Geräteinformationen. Auf allen anderen Seiten wird Turnstile nicht geladen.

Zweck ist der Schutz der Konten vor automatisierten Anmeldeversuchen und Missbrauch der Passwort-Funktion. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; der dafür erforderliche Zugriff auf Ihr Endgerät ist für den ausdrücklich gewünschten, sicheren Anmeldevorgang unbedingt erforderlich (§ 165 Abs. 3 TKG 2021). Eine Übermittlung in die USA ist möglich; Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der Europäischen Kommission, Art. 45 DSGVO).

3.3 Benutzerkonto und Anmeldung

Konten werden ausschließlich von einem Administrator angelegt oder per Einladung eröffnet; eine öffentliche Registrierung gibt es nicht. Verarbeitet werden:

E-Mail-Adresse und Name,
Passwort (ausschließlich als kryptografischer Hash gespeichert),
Passkeys (nur öffentlicher Schlüssel und Gerätebezeichnung) und, falls eingerichtet, der Faktor für die Zwei-Faktor-Authentifizierung (TOTP),
Sitzungsdaten, Anmeldezeitpunkte und die dabei verwendete IP-Adresse,
Kontostatus (aktiv/deaktiviert) und Rolle.

Für die Anmeldung per Link, die Einladung und das Zurücksetzen des Passworts erhalten Sie E-Mails an Ihre hinterlegte Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); die Protokollierung von Anmeldungen erfolgt zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Schutz vor unbefugtem Zugriff).

3.4 Profil und Rechnungsstellung

Für die Erstellung Ihrer Rechnungen speichern wir Ihre Absenderangaben: Name, Firma, Anschrift, E-Mail-Adresse, Telefonnummer, Website, UID-Nummer, Firmenbuchangaben, Bankverbindung (IBAN, BIC), Logo, Zahlungsziel, Rechnungsvorlage und Nummernkreis sowie Darstellungseinstellungen. Der QR-Code „Zahlen mit Code“ (EPC-QR) mit IBAN, Betrag und Rechnungsnummer wird von der App selbst erzeugt; es werden dafür keine Daten an Dritte übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

3.5 Kunden- und Rechnungsdaten

Kunden, Adressen, Rechnungen, Positionen und Vorlagen für wiederkehrende Rechnungen verarbeiten wir als Auftragsverarbeiter nach Ihren Weisungen (siehe Abschnitt 2). Eine Nutzung für eigene Zwecke findet nicht statt. Administratoren der App haben keinen Zugriff auf diese Daten.

3.6 E-Mail-Versand von Rechnungen

Rechnungen versendet die App über den SMTP-Server, den Sie in den Einstellungen hinterlegen. Ihr SMTP-Passwort wird mit AES-256-GCM verschlüsselt gespeichert und nur serverseitig für den Versand entschlüsselt. Zu jedem Versand protokollieren wir Zeitpunkt, Empfänger, BCC-Adresse, Betreff, Art des Versands (manuell oder automatisch) und gegebenenfalls Fehlermeldungen, damit Sie den Versand nachvollziehen können. Für den von Ihnen gewählten SMTP-Anbieter sind Sie selbst verantwortlich.

3.7 Tarif und Nutzungsumfang

Wir speichern Ihren Tarif sowie die für die Tariflimits nötigen Zählwerte (z. B. Anzahl der Rechnungen pro Monat). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

3.8 Zustimmung zu den Nutzungsbedingungen

Wir speichern, welche Fassung der AGB, dieser Datenschutzerklärung und des Auftragsverarbeitungsvertrags Sie wann angenommen haben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (Nachweis des Vertragsschlusses).

3.9 Protokollierung sicherheitsrelevanter Aktionen

Administrative und datenschutzrelevante Aktionen (z. B. Anlegen, Sperren und Löschen von Konten, Zurücksetzen der Zwei-Faktor-Authentifizierung, Datenexport, Kontolöschung) werden mit Zeitpunkt, handelnder Person und betroffenem Konto protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit und IT-Sicherheit) bzw. Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht).

3.10 Anfragen per E-Mail

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b DSGVO bei Vertragsbezug, sonst lit. f DSGVO).

4. Cookies und lokale Speicherung

Die App verwendet ausschließlich technisch notwendige Cookies für die Anmeldung (Sitzung) sowie den lokalen Speicher Ihres Browsers für das gewählte Farbschema. Es gibt kein Tracking, keine Analyse- oder Werbe-Cookies, keine Social-Media-Einbindungen und keine von Dritten geladenen Schriften oder Skripte — mit Ausnahme von Cloudflare Turnstile auf den in Abschnitt 3.2 genannten Seiten. Eine Einwilligung ist daher nicht erforderlich (§ 165 Abs. 3 TKG 2021).

5. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister ein, die Daten in unserem Auftrag verarbeiten (Art. 28 DSGVO):

Hosting der App: Netlify, Inc., 101 2nd Street, San Francisco, CA 94105, USA; Serverstandort: globales CDN/Edge-Netzwerk; Datenübermittlung in die USA auf Grundlage des EU-U.S. Data Privacy Framework und der EU-Standardvertragsklauseln.
Datenbank, Authentifizierung und Dateispeicher: Supabase, Inc., [OFFEN: Anschrift laut Supabase-DPA]; Serverstandort: EU — [OFFEN: Region des Supabase-Projekts, z. B. Frankfurt]. Die Daten werden in der EU gespeichert. Soweit im Rahmen von Wartung und Support ein Zugriff aus Drittländern möglich ist, erfolgt dieser auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Bot-Schutz: Cloudflare, Inc. (siehe Abschnitt 3.2).
System-E-Mails (Anmeldelink, Einladung, Passwort): [OFFEN: SMTP-Anbieter für System-E-Mails (Anmeldelink, Einladung, Passwort)].

Eine Weitergabe an sonstige Dritte erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind (z. B. gegenüber Behörden oder Gerichten). Ihre Daten werden nicht verkauft und nicht für Werbung genutzt.

6. Speicherdauer

Konto-, Profil- und Geschäftsdaten: bis zur Löschung Ihres Kontos.
Sitzungen: höchstens 24 Stunden, danach ist eine erneute Anmeldung nötig.
Server- und Zugriffsprotokolle: [OFFEN: Speicherdauer der Server- und Zugriffsprotokolle].
Protokoll sicherheitsrelevanter Aktionen: 24 Monate, danach automatische Löschung. Der Eintrag über eine Kontolöschung bleibt für diesen Zeitraum als Nachweis erhalten.
Datensicherungen: [OFFEN: Backup-Intervall, Aufbewahrungsdauer und Speicherort der Sicherungen].

Wichtig: Als Unternehmer sind Sie selbst verpflichtet, Ihre Rechnungen sieben Jahre aufzubewahren (§ 132 BAO). Mit der Kontolöschung werden alle Rechnungen unwiderruflich entfernt. Exportieren Sie Ihre Daten daher vorher unter Einstellungen → Datenschutz und bewahren Sie Ihre Rechnungen (PDF) gesondert auf.

7. Datensicherheit

Wir schützen Ihre Daten durch technische und organisatorische Maßnahmen nach Art. 32 DSGVO, unter anderem: verschlüsselte Übertragung (TLS), strikte Trennung der Daten je Nutzer auf Datenbankebene (Row Level Security), Passkeys und optionale Zwei-Faktor-Authentifizierung, deren Nutzung bei eingerichtetem Faktor auch auf Datenbankebene erzwungen wird, verschlüsselte Speicherung von SMTP-Passwörtern (AES-256-GCM) sowie die Protokollierung administrativer Zugriffe. Details enthält der Auftragsverarbeitungsvertrag.

8. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

Auskunft (Art. 15 DSGVO),
Berichtigung (Art. 16 DSGVO),
Löschung (Art. 17 DSGVO),
Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit (Art. 20 DSGVO),
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).

Den Datenexport (maschinenlesbar als JSON) und die Löschung Ihres Kontos können Sie jederzeit selbst unter Einstellungen → Datenschutz durchführen. Für alle anderen Anliegen genügt eine E-Mail an [email protected]. Anfragen Ihrer Kunden zu deren Daten beantworten Sie als Verantwortlicher selbst; wir unterstützen Sie dabei.

9. Beschwerderecht

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, können Sie sich bei der Aufsichtsbehörde beschweren. In Österreich ist das die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, E-Mail: [email protected], Website: dsb.gv.at.

10. Bereitstellung und automatisierte Entscheidungen

Die Angabe von E-Mail-Adresse und Passwort ist für die Nutzung der App erforderlich; ohne diese Daten ist keine Anmeldung möglich. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

11. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die App oder die Rechtslage ändert. Über wesentliche Änderungen informiert die App bei der nächsten Anmeldung.