Der Schutz Ihrer personenbezogenen Daten ist uns ein wichtiges Anliegen. Wir verarbeiten Ihre Daten ausschließlich auf Grundlage der gesetzlichen Bestimmungen. Nachfolgend informieren wir Sie über die wesentlichen Aspekte der Datenverarbeitung im Rahmen unserer Website und der DocuBill-Anwendung.

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

DocuPuls GmbH
Brigittenauer Lände 148-154/13/18, 1200 Wien, Österreich
E-Mail: datenschutz@docubill.de

2. Welche Daten wir verarbeiten

Je nach Nutzung verarbeiten wir folgende Kategorien personenbezogener Daten:

Konto- & Stammdaten: Name, E-Mail-Adresse, Unternehmen, Rolle und Passwort (ausschließlich verschlüsselt) bei Registrierung und Anmeldung.
Inhaltsdaten: die von Ihnen in der Anwendung erfassten Inhalte wie Kunden, Angebote, Aufträge, Rechnungen, Belege und Zahlungsvorgänge.
Technische Daten: IP-Adresse, Browsertyp, Zeitpunkt des Zugriffs und Server-Logdaten, die beim Aufruf automatisch anfallen.
Kommunikationsdaten: Angaben, die Sie uns per E-Mail oder über die Terminbuchung übermitteln.

3. Zwecke und Rechtsgrundlagen

Bereitstellung und Verwaltung Ihres Nutzerkontos und der vereinbarten Leistungen (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung);
Gewährleistung von Sicherheit und Stabilität des Betriebs (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse);
Beantwortung von Anfragen (Art. 6 Abs. 1 lit. b und f DSGVO);
Erfüllung gesetzlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).

4. Verarbeitung im Auftrag unserer Kunden

Soweit Sie DocuBill als Kunde einsetzen, verarbeiten wir die von Ihnen eingestellten personenbezogenen Daten — etwa Daten Ihrer Rechnungsempfänger — ausschließlich in Ihrem Auftrag. Sie bleiben dafür Verantwortlicher im Sinne der DSGVO, wir sind Auftragsverarbeiter. Grundlage ist ein gesondert zu schließender Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, den wir Ihnen auf Anfrage unter datenschutz@docubill.de bereitstellen.

Anbindung eigener Postfächer (optional)

Kunden können in DocuBill ihr eigenes E-Mail-Postfach verbinden: Microsoft 365 und Outlook.com, Gmail und Google Workspace (nur Versand), Postfächer anderer Anbieter per IMAP und SMTP. Nur wenn ein Kunde das tut, versendet DocuBill seine Rechnungen, Angebote, Mahnungen und SEPA-Mandate über seinen E-Mail-Anbieter aus diesem Postfach; die Nachrichten liegen danach in seinem Ordner „Gesendet“. Schaltet der Kunde zusätzlich das Lesen ein, erfährt DocuBill von neuen Nachrichten im Posteingang und lädt ausschließlich Nachrichten mit Anhängen im Format PDF, XML, JPG oder PNG, um daraus Belege zu erstellen. Gespeichert werden dann Absender, Empfänger, Betreff, diese Anhänge und die Original-Nachricht als Beleg-Nachweis; Nachrichten ohne solche Anhänge speichert DocuBill nicht. Im Postfach wird nichts verschoben, markiert oder gelöscht.

Die Zugangsdaten (Zugriffstokens bzw. bei IMAP ein vom Kunden angelegtes App-Passwort) speichert DocuBill verschlüsselt (AES-256-GCM) auf Servern in der EU; der Schlüssel wird getrennt von der Datenbank aufbewahrt. DocuBill nutzt sie nur für diese Funktionen. Trennt der Kunde das Postfach, löscht DocuBill die Zugangsdaten sofort. DocuBill handelt dabei als Auftragsverarbeiter des Kunden (Abschnitt 4); für die Verarbeitung beim E-Mail-Anbieter gilt der Vertrag des Kunden mit diesem Anbieter.

Neue Nachrichten in IMAP-Postfächern ruft ein Abrufdienst ab, den wir auf Servern der Hetzner Online GmbH (Gunzenhausen) in Rechenzentren in Deutschland betreiben. Eine abgerufene Nachricht liegt dort nur bis zur Verarbeitung zwischengespeichert vor.

Gmail und Google Workspace (nur Versand). Verbindet ein Kunde ein Gmail- oder Google-Workspace-Konto, erhält DocuBill von Google ausschließlich die E-Mail-Adresse des Kontos, eine Konto-Kennung und die Berechtigung „E-Mails in Ihrem Namen senden“ (gmail.send). DocuBill nutzt sie nur, um Belege, die der Kunde versendet oder automatisch versenden lässt, aus diesem Postfach zu senden. Mit dieser Berechtigung kann DocuBill keine E-Mails lesen, ändern oder löschen. Belege aus Gmail erreichen DocuBill nur, wenn der Kunde sie an seine Beleg-Adresse weiterleitet oder das Postfach gesondert per IMAP mit App-Passwort verbindet.

Die von Google erhaltenen Daten gibt DocuBill nicht an Dritte weiter und verwendet sie nicht für Werbung und nicht zum Training oder zur Verbesserung von KI- oder Machine-Learning-Modellen. Mitarbeitende von DocuBill sehen sie nur ein, wenn der Kunde ausdrücklich darum bittet, wenn es zur Sicherheit nötig ist oder wenn das Gesetz es verlangt. Beim Trennen widerruft DocuBill den Zugriff auch bei Google, sofern dasselbe Google-Konto nicht noch in einer anderen DocuBill-Organisation verbunden ist; unabhängig davon lässt er sich jederzeit unter myaccount.google.com/connections entziehen. Die Nutzung und Übermittlung von Informationen, die DocuBill über Google-APIs erhält, an andere Apps erfolgt gemäß der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen. „DocuBill's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.“

5. Eingesetzte Auftragsverarbeiter & Empfänger

Zum Betrieb von DocuBill setzen wir sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein. Mit allen genannten Anbietern bestehen entsprechende Verträge.

Der Kern Ihrer Daten wird ausschließlich auf Servern innerhalb der EU verarbeitet und gespeichert: die Datenbank mit sämtlichen Kunden-, Angebots-, Rechnungs- und Belegdaten sowie alle von Ihnen hochgeladenen Dokumente liegen in einem Rechenzentrum in der Europäischen Union. Lediglich ergänzende Dienste für Authentifizierung verarbeiten Daten auch in den USA; dies ist nachfolgend transparent ausgewiesen und durch geeignete Garantien abgesichert.

Datenbank & Dateispeicher: Supabase (Serverstandort eu-central-1, Frankfurt am Main).
Anwendungs-Hosting: Vercel (Serverstandort EU). Beim Aufruf fallen technisch notwendige Server-Logdaten an (IP-Adresse, Zeitpunkt, angefragte Ressource, Browsertyp).
Authentifizierung & Nutzerverwaltung: Clerk (USA). Verarbeitet Name, E-Mail-Adresse, Anmeldedaten und technische Sitzungsdaten.
Terminbuchung (Produktdemos): Cal.com (Serverstandort EU). Die Schaltfläche „Demo buchen“ ist ein gewöhnlicher Verweis — auf unseren Seiten wird kein Skript und kein Cookie von Cal.com geladen. Erst wenn Sie dem Link folgen, verarbeitet Cal.com die dort von Ihnen eingegebenen Daten (Name, E-Mail-Adresse, Wunschtermin) auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).
E-Mail-Versand und Beleg-Eingang: Lettermint B.V. (Niederlande, Server in der EU). Verarbeitet E-Mail-Adresse, Versandzeitpunkt und Zustellstatus der über uns versendeten Nachrichten (Newsletter, Systemnachrichten, Belegversand der Kunden) sowie die Nachrichten, die an die Beleg-Adressen der Kunden gesendet werden.
Abruf verbundener IMAP-Postfächer: Hetzner Online GmbH (Deutschland, Rechenzentren in Deutschland). Betrieb des Servers, der neue Nachrichten aus IMAP-Postfächern abruft, die Kunden zum Lesen von Belegen verbunden haben.

Übermittlung in Drittländer (Art. 44 ff. DSGVO): Clerk (Authentifizierung) verarbeitet Daten auch in den USA. Weitere Anbieter sind zwar auf EU-Regionen konfiguriert, gehören aber zu US-Mutterkonzernen — insbesondere Vercel und Cal.com — und unterliegen dadurch potenziell US-Recht. Für alle diese Verarbeitungen stützen wir uns auf geeignete Garantien nach Art. 46 DSGVO (EU-Standardvertragsklauseln bzw. Zertifizierung nach dem EU-US Data Privacy Framework). Auf Anfrage stellen wir Informationen zu diesen Garantien bereit.

6. Newsletter

Für unseren Newsletter verwenden wir das Double-Opt-in-Verfahren: Nach der Anmeldung erhalten Sie eine Bestätigungs-E-Mail; erst mit dem Klick auf den Bestätigungslink ist die Anmeldung wirksam. Gespeichert werden Ihre E-Mail-Adresse, die Zeitpunkte von Anmeldung, Bestätigung und ggf. Abmeldung, die Anmeldequelle (z. B. Blog oder Startseite) sowie technische Bestätigungs- und Abmelde-Kennungen.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit über den Abmeldelink am Ende jeder Newsletter-E-Mail widerrufen; der Versand endet dann sofort. Nach der Abmeldung speichern wir die Adresse mit Abmeldevermerk weiter, um den Nachweis der Einwilligung führen und die Abmeldung dauerhaft beachten zu können (Art. 6 Abs. 1 lit. c und f DSGVO). Versendet werden die Newsletter über unseren Auftragsverarbeiter Lettermint (siehe Abschnitt 5).

7. Cookies & lokale Speicherung

DocuBill verwendet ausschließlich technisch notwendige Cookies für die Sitzungsverwaltung (Authentifizierung über Clerk) sowie den lokalen Speicher Ihres Browsers für die gewählte Darstellung (hell/dunkel). Auf unseren öffentlichen Seiten werden keine Drittinhalte eingebunden. Ein Tracking zu Werbezwecken sowie eine Sitzungsaufzeichnung finden nicht statt; ein Einwilligungs-Banner ist daher nicht erforderlich.

8. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen dies vorschreiben. Für Rechnungsdaten gelten die abgaben- und unternehmensrechtlichen Aufbewahrungsfristen — in Österreich insbesondere §§ 131, 132 BAO, in Deutschland die entsprechenden Fristen der Abgabenordnung. Danach werden die Daten gelöscht oder anonymisiert.

9. Datensicherheit

Alle Verbindungen zu DocuBill sind per TLS verschlüsselt. Der Zugriff auf Mandantendaten ist auf Datenbankebene durch zeilenbasierte Zugriffsregeln (Row Level Security) getrennt und zusätzlich nach Rollen abgestuft (Besitzer, Administration, Buchhaltung, Mitarbeitende, Beobachtende). Festgeschriebene Rechnungen sind technisch gegen nachträgliche Änderung gesperrt. Die Datenbank wird regelmäßig gesichert.

10. Keine automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

11. Ihre Rechte

Ihnen stehen nach der DSGVO insbesondere folgende Rechte zu:

Recht auf Auskunft (Art. 15 DSGVO)
Recht auf Berichtigung (Art. 16 DSGVO)
Recht auf Löschung (Art. 17 DSGVO)
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine Nachricht an datenschutz@docubill.de.

12. Beschwerderecht

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist die österreichische Datenschutzbehörde, www.dsb.gv.at.

13. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich die eingesetzten Dienste, die Verarbeitungszwecke oder die rechtlichen Anforderungen ändern. Maßgeblich ist die jeweils hier veröffentlichte Fassung.