Entwurf. Dieser Text ist noch nicht anwaltlich geprüft. Angaben in eckigen Klammern sind Platzhalter. Die Anschrift und ein zweiter Kontaktweg werden vor dem öffentlichen Start ergänzt, die übrigen Angaben spätestens vor dem zahlenden Betrieb.

Datenschutzerklärung

Stand: 18.10.2026 · Entwurf

Diese Erklärung beschreibt, welche personenbezogenen Daten bei der Nutzung von kontura verarbeitet werden, wofür, auf welcher Rechtsgrundlage und wie lange. Sie gilt für die Website, das Konto und die Anwendung.

1. Verantwortlicher

Florian van der Galiën
[Straße Hausnummer]
[PLZ Ort]
Deutschland
E-Mail: hallo@flori.dev

Ein Datenschutzbeauftragter ist nicht benannt, weil keine Pflicht dazu besteht (§ 38 BDSG, Art. 37 DSGVO). Fragen zum Datenschutz richtest du an die E-Mail-Adresse oben.

2. Überblick

  • Zwei Rollen. Für dein Konto, die Anmeldung und den Betrieb der Website sind wir Verantwortlicher. Für die Daten, die du in einer Organisation erfasst (Unternehmensdaten, Kunden, Rechnungen, Ereignisprotokoll, Rechnungsversand), verarbeiten wir in deinem Auftrag. Dafür schließt du beim Anlegen einer Organisation den Auftragsverarbeitungsvertrag ab. Verantwortlicher für diese Daten bist du.
  • Keine Speicherung hochgeladener Rechnungen. Die kostenlose Rechnungsprüfung verwirft die Datei mit der Antwort (Abschnitt 3).
  • Keine Tracker. Wir setzen keine Analyse-, Werbe- oder Tracking-Werkzeuge ein, keine Social-Media-Plugins und keine Inhalte von fremden Servern wie Schriften oder CDNs.
  • Cookies nur für die Anmeldung. Siehe Abschnitt 4.
  • Datenstandort. Anwendung und Datenbank laufen bei IONOS in Deutschland [bestätigen].

3. Aufruf der Website und Server-Logs

Beim Aufruf jeder Seite verarbeitet der Server technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, HTTP-Methode und Statuscode, übertragene Datenmenge und die Kennung des Browsers (User-Agent). Der vorgeschaltete Reverse-Proxy schreibt diese Angaben in Zugriffsprotokolle.

  • Zweck: Auslieferung der Seiten, Sicherheit, Abwehr von Angriffen, Fehlersuche.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.
  • Speicherdauer: Zugriffsprotokolle mit IP-Adressen werden kurzfristig gelöscht, die Frist wird vor dem Start festgelegt [prüfen]. Die Protokolle der Anwendung enthalten keine Rechnungsinhalte und werden nach Größe rotiert.

Zum Schutz vor Missbrauch begrenzen wir Anmeldeversuche und andere Anfragen. Dafür zählen wir Anfragen je IP-Adresse und je E-Mail-Adresse in Zeitfenstern von höchstens einer Stunde. Die Anmeldesoftware speichert für ihre Zähler die IP-Adresse zusammen mit der aufgerufenen Adresse im Klartext. Unsere eigenen Zähler speichern IP- und E-Mail-Adressen nur als Hashwert und zählen nur innerhalb des Zeitfensters. Die Einträge beider Zähler löschen wir automatisch, spätestens 24 Stunden nach der letzten gezählten Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Kostenlose Rechnungsprüfung

Auf der Seite E-Rechnung prüfen kannst du ohne Konto eine E-Rechnung (XML oder ZUGFeRD-PDF) hochladen und gegen die Regeln der EN 16931 prüfen lassen. Die Datei wird im Arbeitsspeicher unseres Servers geprüft und mit der Antwort verworfen. Wir speichern weder die Datei noch ihren Inhalt noch das Ergebnis und protokollieren keine Rechnungsinhalte. Die Datei kann personenbezogene Daten enthalten, etwa Namen und Anschriften von Rechnungsempfängern; für deren Verarbeitung bist du als Hochladende oder Hochladender verantwortlich. Anzahl der Prüfungen zählen wir je IP-Adresse wie oben beschrieben, als Hashwert und in Zeitfenstern von höchstens zehn Minuten.

  • Zweck: Bereitstellung der von dir angestoßenen Prüfung.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Prüfung, Art. 6 Abs. 1 lit. f DSGVO für die Zählung zum Schutz vor Missbrauch.
  • Speicherdauer: Die Datei nur für die Dauer der Anfrage, die Zähler wie oben.

4. Cookies und lokaler Speicher

Wir setzen nur Cookies, die für die Anmeldung technisch erforderlich sind:

  • ein Sitzungs-Cookie, solange du angemeldet bist (höchstens 7 Tage ohne Nutzung),
  • kurzlebige Cookies während einer Anmeldung mit Zwei-Faktor-Authentifizierung oder Passkey.

Die Cookies sind für Skripte nicht lesbar (HttpOnly) und werden nur über HTTPS an kontura übertragen. Von anderen Websites aus sendet der Browser sie nur mit, wenn du einem Link zu kontura folgst, nicht bei eingebetteten Inhalten oder Formularen fremder Seiten (SameSite=Lax). Außerdem speichert der Browser im lokalen Speicher deine Darstellungseinstellungen (helles oder dunkles Farbschema, eingeklappte Navigation) und die zuletzt gewählte Organisation. Diese Einträge verlassen dein Gerät nicht.

Rechtsgrundlage für das Speichern und Auslesen ist § 25 Abs. 2 Nr. 2 TDDDG, weil es für den von dir gewünschten Dienst unbedingt erforderlich ist. Die anschließende Verarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO. Eine Einwilligung ist dafür nicht nötig, deshalb gibt es kein Cookie-Banner.

5. Konto und Anmeldung

  • Daten: Name, E-Mail-Adresse, Passwort (nur als Hashwert), Zeitpunkt der E-Mail-Bestätigung. Wenn du sie einrichtest: das Geheimnis für Einmalcodes und Backup-Codes für die Zwei-Faktor-Authentifizierung (verschlüsselt gespeichert) sowie Passkeys (öffentlicher Schlüssel und Gerätebezeichnung, nie biometrische Daten). Zu jeder Sitzung speichern wir IP-Adresse und User-Agent. Außerdem speichern wir, welche Fassung der AGB du bei der Registrierung oder später in der App bestätigt hast, mit dem Zeitpunkt.
  • Zweck: Registrierung, Anmeldung, Schutz des Kontos, Passwort-Zurücksetzung.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag nach den AGB), für die Sitzungsdaten zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Kontos).

6. Organisationen

Wenn du eine Organisation anlegst, speichern wir ihren Namen, ihre Kennung, deine Mitgliedschaft mit Rolle und den Zeitpunkt, zu dem du den Auftragsverarbeitungsvertrag abgeschlossen hast, mit deiner E-Mail-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für den Nachweis des Vertragsschlusses Art. 6 Abs. 1 lit. c und f DSGVO (Nachweispflicht nach Art. 5 Abs. 2 und Art. 28 DSGVO).

7. Rechnungs- und Kundendaten im Auftrag

In einer Organisation erfasst du Unternehmensdaten (zum Beispiel Name, Anschrift, Steuernummer, IBAN), Kunden mit Ansprechpartnern und E-Mail-Adressen, Rechnungsentwürfe und ausgestellte Rechnungen. kontura erzeugt daraus PDF- und XML-Dateien, prüft sie, archiviert sie unveränderbar und protokolliert die Vorgänge in einem Ereignisprotokoll.

Diese Daten verarbeiten wir ausschließlich nach deinen Weisungen auf Grundlage des Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Welche Rechtsgrundlage du für die Verarbeitung der Daten deiner Kunden hast, bestimmst du als Verantwortlicher, in der Regel Art. 6 Abs. 1 lit. b und c DSGVO.

Für Kundinnen und Kunden unserer Nutzer: Wenn du eine Rechnung erhalten hast, die mit kontura erstellt wurde, ist das Unternehmen, das dir die Rechnung gestellt hat, für deine Daten verantwortlich. Bitte richte Anfragen zu deinen Daten an dieses Unternehmen. Erreicht uns eine solche Anfrage, leiten wir sie an das Unternehmen weiter.

8. E-Mail-Versand

Wir versenden E-Mails über den Dienst Lettermint ([Firmierung und Anschrift von Lettermint]):

  • E-Mails an dich zur Bestätigung der E-Mail-Adresse und zum Zurücksetzen des Passworts. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
  • Rechnungen, die du aus kontura an deine Kunden sendest, mit PDF und XML im Anhang. Diesen Versand führen wir in deinem Auftrag aus (Abschnitt 7).

Lettermint verarbeitet dafür Absender- und Empfängeradresse, Betreff, Inhalt und Anhänge sowie Zustellprotokolle in unserem Auftrag (Art. 28 DSGVO). [Speicherdauer der Zustellprotokolle bei Lettermint und Serverstandort vor Veröffentlichung prüfen.]

9. KI-Assistenten über MCP

Du kannst einen KI-Assistenten über das Model Context Protocol (MCP) mit einer Organisation verbinden. Die Anmeldung läuft über OAuth 2.1 in deinem Browser.

  • Daten: die Registrierung des Assistenten (Name, Client-ID, Weiterleitungsadressen, gegebenenfalls die Adresse seines Metadaten-Dokuments), deine Zustimmung mit Organisation, Berechtigungen und Zeitpunkt sowie Zugriffstoken (gültig eine Stunde) und Erneuerungstoken (gültig 30 Tage).
  • Zweck und Rechtsgrundlage: Bereitstellung der von dir gewünschten Verbindung, Art. 6 Abs. 1 lit. b DSGVO. Die Kunden- und Rechnungsdaten, die der Assistent abruft oder als Entwurf anlegt, verarbeiten wir im Auftrag (Abschnitt 7).
  • Wichtig: Daten, die der Assistent über MCP abruft, gelangen an den Anbieter des Assistenten, den du ausgewählt hast. Diese Übermittlung veranlasst du. Für die Verarbeitung beim Anbieter des Assistenten sind wir nicht verantwortlich. Prüfe deshalb, ob du mit diesem Anbieter einen eigenen Vertrag zur Auftragsverarbeitung brauchst.
  • Speicherdauer: bis du die Verbindung in kontura widerrufst. Widerruf, Passwort-Zurücksetzung und das Ende deiner Mitgliedschaft machen Token und Zustimmung ungültig.

10. Kontakt per E-Mail

Wenn du uns schreibst, verarbeiten wir deine Nachricht und deine Kontaktdaten, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage dein Konto betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Nachricht, wenn die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.

11. Empfänger

  • IONOS SE, Elgendorfer Str. 57, 56410 Montabaur: Hosting von Anwendung und Datenbank in Deutschland [bestätigen], als Auftragsverarbeiter.
  • Lettermint: E-Mail-Versand, als Auftragsverarbeiter (Abschnitt 8).
  • [Anbieter des Sicherungsspeichers]: Speicherung verschlüsselter Sicherungskopien, als Auftragsverarbeiter [ergänzen, sobald gewählt].
  • GitHub (GitHub, Inc., USA) speichert nur den Quellcode und das Container-Image von kontura. Dort liegen keine Daten von Nutzern oder ihren Kunden.

Darüber hinaus geben wir Daten nur weiter, wenn du es veranlasst (Rechnungsversand, KI-Assistent) oder wenn wir gesetzlich dazu verpflichtet sind.

12. Übermittlung in Drittländer

Wir übermitteln keine personenbezogenen Daten in Länder außerhalb der EU und des EWR [bestätigen, hängt vom Serverstandort von Lettermint ab]. Ausnahmen veranlasst nur du selbst, etwa wenn du eine Rechnung an einen Empfänger außerhalb der EU sendest oder einen KI-Assistenten mit Sitz in einem Drittland verbindest.

13. Speicherdauer

  • Konto: bis du dein Konto löschen lässt. Bis eine Löschfunktion in der App verfügbar ist, genügt eine E-Mail an uns.
  • Sitzungen: höchstens 7 Tage ohne Nutzung, danach ungültig. [Frist für das Löschen abgelaufener Sitzungsdaten festlegen.]
  • Daten in Organisationen: für die Laufzeit des Vertrags. Nach Vertragsende kannst du deine Daten 30 Tage lang exportieren, danach löschen wir sie. Aufbewahrungspflichten für deine Rechnungen (zum Beispiel acht Jahre nach § 147 AO und § 14b UStG, zehn Jahre nach § 257 HGB für Bücher) treffen dich, nicht uns. Exportiere deine Daten deshalb vor dem Ende des Abrufzeitraums. Eine längere Aufbewahrung durch uns gibt es nur, wenn wir sie gesondert vereinbaren.
  • Server-Logs: kurzfristig, die Frist wird vor dem Start festgelegt [prüfen].
  • Zähler zur Missbrauchsabwehr: zählen höchstens eine Stunde. Die Einträge werden spätestens 24 Stunden nach der letzten gezählten Anfrage automatisch gelöscht.
  • Sicherungskopien: werden nach [Frist] überschrieben.

14. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Ein Recht auf Löschung besteht nicht, soweit eine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 Abs. 3 lit. b DSGVO).

Widerspruchsrecht: Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Eine E-Mail an hallo@flori.dev genügt. Für Daten in einer Organisation, die wir im Auftrag verarbeiten, wende dich an den jeweiligen Verantwortlichen.

15. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist: [Name und Anschrift der Landesdatenschutzbehörde].

16. Weitere Hinweise

  • Die Angaben für Konto und Anmeldung brauchen wir, um den Vertrag zu erfüllen. Ohne sie kannst du kontura nicht nutzen.
  • Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO. Die Prüfung von Rechnungen gegen Formatregeln ist ein Hinweis an dich, keine Entscheidung über dich.
  • Ändern sich die Verarbeitungen, passen wir diese Erklärung an. Es gilt die jeweils hier veröffentlichte Fassung.