Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Kristian Költzsch
Sollner Straße 6
81479 München
Deutschland

Telefon: +49 (89) 41 17 06 01
E-Mail: datenschutz@koeltzsch.com

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen nach § 38 BDSG nicht vorliegen (weniger als 20 Personen sind ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt). Anfragen zum Datenschutz richten Sie bitte direkt an die verantwortliche Stelle (Abschnitt 1).

3. Zuständige Aufsichtsbehörde

Da der Verantwortliche seinen Sitz in Bayern hat, ist zuständige Aufsichtsbehörde:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Telefon: +49 (981) 180093-0
E-Mail: poststelle@lda.bayern.de
Web: www.lda.bayern.de

Sie haben das Recht, sich bei der Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO).

4. Zwecke der Verarbeitung und Rechtsgrundlagen

Wir verarbeiten Ihre personenbezogenen Daten nur, soweit eine gesetzliche Rechtsgrundlage dies erlaubt. Im Einzelnen verarbeiten wir folgende Daten zu folgenden Zwecken:

4.1 Benutzerkonto und Anmeldung

Daten: Vor- und Nachname, E-Mail-Adresse, Passwort (gehasht), optionale 2FA-Konfiguration, Rollen- und Berechtigungszuweisungen
Zweck: Authentifizierung, Identifikation des Nutzers, Zugriffssteuerung
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / Nutzungsvertrag)

4.2 E-Mail-Versand (TAN, Passwort-Reset, Benachrichtigungen)

Daten: E-Mail-Adresse, Vor-/Nachname, Inhalt der jeweiligen Nachricht
Zweck: Versand von Authentifizierungs-Codes (TAN), Einladungs- und Passwort-Reset-Links sowie Benachrichtigungen an Kontoinhaber
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kontosicherheit)
Versand-Infrastruktur: Der Versand erfolgt über einen SMTP-Server, dessen Konfiguration in den Anwendungseinstellungen hinterlegt ist. Empfänger der E-Mail (Sie als Nutzer) und die Inhaltsdaten werden an diesen SMTP-Server übermittelt.

4.3 Schutz vor Missbrauch und Bot-Erkennung

Daten: IP-Adresse, User-Agent, Zeitstempel, abgeleitete Geo-Daten (Land, Region, Stadt, ISP)
Zweck: Erkennung und Sperrung automatisierter Angriffe (Brute-Force, Scraping, Bot-Traffic), Schutz der Anmeldemaske
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit und Verfügbarkeit der Anwendung)

4.4 Audit-Trail (Nachvollziehbarkeit von Änderungen)

Daten: Benutzer-ID, Zeitstempel, Art der Änderung, geänderte Datensätze
Zweck: Revisionssicherheit, Nachvollziehbarkeit administrativer Eingriffe
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit und Beweisbarkeit)

4.5 DSGVO-Einwilligung

Daten: Datum der Zustimmung, akzeptierte Version der Datenschutzerklärung
Zweck: Nachweis der erteilten Einwilligung gemäß Art. 7 Abs. 1 DSGVO
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung zur Nachweisführung)

5. Empfänger und Übermittlung in Drittländer

Personenbezogene Daten werden grundsätzlich nicht an Dritte weitergegeben. Eine Ausnahme bildet die folgende Verarbeitung, bei der eine Übermittlung an einen Dienstleister außerhalb des Europäischen Wirtschaftsraums (EWR) stattfindet:

5.1 Geolokalisierung von IP-Adressen (ipinfo.io)

Empfänger: IPinfo.io (ipinfo.io), 535 Mission Street, 14th Floor, San Francisco, CA 94105, USA
Übermittelte Daten: Die IP-Adresse des Anfragenden
Zweck: Anreicherung der IP-Adresse mit Land, Region, Stadt und Provider-Informationen, um die Bot-Erkennung (Abschnitt 4.3) bewerten zu können
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit)
Drittlandtransfer: Die Übermittlung erfolgt in die USA. Eine Übermittlungsgrundlage besteht über die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Hinweis: Trotz dieser Garantien kann das in den USA bestehende Datenschutzniveau im Einzelfall hinter dem EU-Niveau zurückbleiben; insbesondere können US-Behörden unter bestimmten Voraussetzungen Zugriff auf Daten verlangen.
Widerspruchsrecht: Sie können dieser Verarbeitung jederzeit nach Art. 21 DSGVO widersprechen (siehe Abschnitt 9).

Eine darüber hinausgehende Übermittlung an Dritte findet nur statt, wenn Sie ausdrücklich eingewilligt haben, eine gesetzliche Verpflichtung dazu besteht oder die Weitergabe zur Rechtsverfolgung oder zur Wahrung berechtigter Interessen erforderlich ist.

6. Hosting und technischer Betrieb

Die Anwendung wird auf einer eigenen Infrastruktur des Verantwortlichen am Sitz in München (Deutschland) betrieben. Es kommt kein externer Hosting-Dienstleister zum Einsatz. Damit findet beim Hosting selbst keine Übermittlung personenbezogener Daten an Dritte oder in Drittländer statt.

Der Zugriff auf die Anwendung erfolgt ausschließlich über eine TLS-/SSL-verschlüsselte Verbindung (HTTPS), um die Vertraulichkeit und Integrität der übertragenen Daten zu gewährleisten.

Sämtliche eingesetzten Schriftarten, Icons und sonstigen statischen Ressourcen werden lokal von unserem Server ausgeliefert. Es findet keine Einbindung externer Content-Delivery-Networks (CDN) statt, sodass beim Seitenaufruf keine IP-Adressen an Dritte (z. B. Google Fonts, jsDelivr) übermittelt werden.

7. Cookies und ähnliche Technologien

Diese Anwendung verwendet ausschließlich technisch notwendige Cookies, die für den Betrieb der Anwendung zwingend erforderlich sind. Dazu zählen insbesondere:

Authentifizierungs-Cookie: Hält Ihre Anmeldung über die Dauer der Sitzung aufrecht.
Antiforgery-Cookie: Schutz vor Cross-Site-Request-Forgery (CSRF).
Session-Cookies: Verwaltung der aktiven Sitzung (Blazor Server Circuit).

Für diese Cookies ist nach § 25 Abs. 2 Nr. 2 TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) keine Einwilligung erforderlich, da sie für die Bereitstellung des vom Nutzer ausdrücklich gewünschten Dienstes unbedingt erforderlich sind.

Zusätzlich setzen wir ein Reichweitenmessungs-Cookie ein, das ausschließlich zur Erstellung anonymer Nutzungsstatistiken (Anzahl eindeutiger Sitzungen, aufgerufene Pfade) dient:

xinvoices_sess: Zufällige, nicht personenbezogene Sitzungs-ID. Wird beim ersten Aufruf gesetzt und gilt nur für die Dauer der Browser-Sitzung (kein Expires-Datum, kein dauerhafter Wiedererkennungswert). Speichert ausschließlich die Information, dass eine eindeutige Sitzung besteht; es findet keine Verknüpfung mit personenbezogenen Daten und keine Weitergabe an Dritte statt.

Rechtsgrundlage für dieses Cookie ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der statistischen Auswertung der Reichweite zur Optimierung der Anwendung). Klassische Tracking-, Marketing- oder Profiling-Cookies werden nicht eingesetzt.

8. Speicherdauer

Wir speichern personenbezogene Daten grundsätzlich nur so lange, wie es zur Erfüllung der jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es vorsehen. Im Einzelnen gelten folgende Fristen:

Benutzerkonto-Daten (Abschnitt 4.1): Werden gespeichert, solange das Konto besteht. Eine automatische Löschung inaktiver Konten erfolgt nicht; Sie können Ihre Löschung jederzeit nach Art. 17 DSGVO beantragen (siehe Abschnitt 9).
IP-Tracking-Einträge (Abschnitt 4.3): Maximal 90 Tage. Anschließend werden die Einträge automatisch gelöscht.
Audit-Trail (Abschnitt 4.4): Wird für den Lebenszyklus des betroffenen Datensatzes aufbewahrt, längstens jedoch im Rahmen handels- und steuerrechtlicher Aufbewahrungsfristen (bis zu 10 Jahre nach § 147 AO).
DSGVO-Einwilligungen (Abschnitt 4.5): Drei Jahre nach Widerruf oder Beendigung der Nutzung, zum Nachweis der Einwilligung.
E-Mail-Versand-Daten (Abschnitt 4.2): Der Versand erfolgt transient; Versand-Logs werden in der Anwendung selbst nicht dauerhaft gespeichert.

9. Ihre Rechte als betroffene Person

Nach der DSGVO stehen Ihnen folgende Rechte zu:

Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft darüber verlangen, welche Daten wir über Sie verarbeiten.
Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
Löschungsrecht / „Recht auf Vergessenwerden" (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine Aufbewahrungspflichten entgegenstehen.
Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können verlangen, dass wir die Verarbeitung einschränken.
Datenübertragbarkeit (Art. 20 DSGVO): Sie können verlangen, dass wir Ihnen Ihre Daten in einem strukturierten, gängigen, maschinenlesbaren Format zur Verfügung stellen.
Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten, die auf einem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO) beruht, jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Dies betrifft insbesondere die in Abschnitt 4.3 (Bot-Erkennung) und Abschnitt 5.1 (ipinfo.io) beschriebenen Verarbeitungen.
Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
Beschwerderecht (Art. 77 DSGVO): Sie können sich bei der zuständigen Aufsichtsbehörde beschweren (siehe Abschnitt 3).

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an die in Abschnitt 1 genannten Kontaktdaten.

10. Aktualität dieser Erklärung

Diese Datenschutzerklärung wird laufend an Änderungen der Rechtslage sowie an Änderungen unserer Dienste und der Datenverarbeitung angepasst. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar.