Auftragsverarbeitung
Wer Rechnungsdaten über diese API verarbeitet, verarbeitet personenbezogene Daten — Namen, Anschriften und Kontaktdaten von Geschäftspartnern. Dafür ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. Den stellen wir jedem Kunden zur Verfügung, in jedem Tarif und ohne Aufpreis.
Wer welche Rolle hat
Für die Rechnungsdaten, die Sie an die API senden, sind Sie der Verantwortliche und Ahmad Al Hayawi der Auftragsverarbeiter. Diese Daten werden ausschließlich nach Ihrer Weisung verarbeitet — die Weisung ist der API-Aufruf selbst. Eine eigene Verwendung, eine Auswertung oder eine Weitergabe findet nicht statt.
Für Ihre eigenen Kontodaten — E-Mail, Name, Organisation, Nutzungszähler — sind wir dagegen selbst verantwortlich. Was damit geschieht, steht in der Datenschutzerklärung.
Gegenstand, Art und Zweck
Gegenstand ist die Erzeugung, Prüfung, Umwandlung und Darstellung elektronischer Rechnungen. Die Verarbeitung erfolgt automatisiert, ausschließlich innerhalb der jeweiligen Anfrage und ausschließlich zu dem Zweck, das angeforderte Ergebnis zurückzugeben.
Kategorien betroffener Personen und Daten
Betroffene Personen: Ansprechpartner Ihrer Kunden und Lieferanten sowie natürliche Personen, die selbst Rechnungsempfänger oder -aussteller sind.
Datenarten: Name und Firmierung, Anschrift, Kontaktdaten, Steuer- und Umsatzsteuer-Identifikationsnummer, Bankverbindung, Leistungsbeschreibungen und Beträge — jeweils nur, soweit sie in der übermittelten Rechnung enthalten sind.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind für den Dienst nicht vorgesehen und sollten nicht übermittelt werden.
Dauer und Löschung
Rechnungsinhalte werden nicht gespeichert. Ein Dokument entsteht während der Anfrage, wird zurückgegeben und danach verworfen — es liegt weder auf einer Festplatte noch in einem Zwischenspeicher. Eine Löschung nach Vertragsende erübrigt sich damit für die Auftragsdaten: es existiert keine Kopie.
Dauerhaft gespeichert werden nur Konto, API-Schlüssel, Nutzungszähler und Änderungsprotokoll. Diese können Sie jederzeit selbst löschen; mit dem Ende des Vertrages werden sie in jedem Fall entfernt. In den Sicherungskopien verschwinden sie spätestens nach 30 Tagen, wenn die letzte Sicherung mit ihnen abläuft.
Unterauftragsverarbeiter
Diesen Dienstleistern ist die Verarbeitung im Rahmen des Betriebs allgemein gestattet. Weitere kommen nur nach vorheriger Ankündigung hinzu — Sie können widersprechen.
Hetzner Online GmbH
Betrieb der Server und der Datenbank
Industriestr. 25, 91710 Gunzenhausen, Deutschland · Verarbeitung in Deutschland
ALL-INKL.COM — Neue Medien Münnich
Versand von System-E-Mails (Anmeldung, Passwort, Benachrichtigungen)
Hauptstraße 68, 02742 Friedersdorf, Deutschland · Verarbeitung in Deutschland
Mit beiden bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Übermittlung in Drittländer findet nicht statt; es gibt keinen Cloud-Dienst, keinen Analysedienst und kein Content-Delivery-Netz außerhalb dieser Liste.
Technische und organisatorische Maßnahmen
Nach Art. 32 DSGVO. Die Angaben beschreiben den tatsächlichen Stand des Systems, nicht eine Absicht:
Vertraulichkeit
- Zugang zum Server ausschließlich über SSH mit Schlüsselpaar; Passwort-Anmeldung ist abgeschaltet.
- Zugriff auf die Produktivsysteme hat allein der Betreiber. Es gibt keine weiteren Konten.
- Passwörter werden als Argon2id-Hash gespeichert und sind auch für den Betreiber nicht lesbar.
- API-Schlüssel werden nur als Hash gespeichert; der Schlüssel selbst wird genau einmal angezeigt.
- Jede Anfrage ist auf die eigene Organisation begrenzt; es gibt keine Abfrage über Mandanten hinweg.
Integrität
- Transportverschlüsselung mit TLS 1.2 und 1.3, HSTS mit einem Jahr Gültigkeit.
- Jede Änderung an Konto, Schlüsseln und Organisation wird revisionssicher protokolliert und ist im Dashboard einsehbar.
- Erzeugte Dokumente werden gegen die amtlichen Regelwerke geprüft, bevor sie ausgeliefert werden.
Verfügbarkeit und Belastbarkeit
- Nächtliche, überprüfte Sicherung der Datenbank; Aufbewahrung 30 Tage, ausschließlich in Deutschland.
- Überwachung der Dienste über Health-Checks; automatischer Neustart bei Ausfall eines Containers.
- Begrenzung der Anfragen je Zugang, um Überlast und missbräuchliche Nutzung abzuwehren.
Datenminimierung
- Rechnungsinhalte werden nicht gespeichert — sie entstehen in der Anfrage und werden mit ihr verworfen.
- Die Nutzungsaufzeichnung enthält nur die Form der Arbeit: Vorgang, Format, Dauer, Zeitpunkt.
- IP-Adressen werden nicht dauerhaft gespeichert. Sie werden allein für die Begrenzung der Anfragerate im Arbeitsspeicher gehalten.
- Protokolle enthalten keine Rechnungsdaten; USt-IdNr., IBAN und Parteiangaben werden vor dem Schreiben entfernt.
Unterstützung, die wir schulden
Betroffenenrechte: Wendet sich eine betroffene Person direkt an uns, verweisen wir sie an Sie und unterrichten Sie darüber. Soweit Auskunft, Berichtigung oder Löschung technisch bei uns ansetzen müssten, unterstützen wir Sie dabei.
Datenschutzverletzungen: Wird eine Verletzung des Schutzes personenbezogener Daten bekannt, melden wir sie Ihnen unverzüglich mit allem, was Sie für Ihre eigene Meldung nach Art. 33 DSGVO brauchen.
Nachweise: Sie können die Einhaltung dieser Pflichten überprüfen. In aller Regel genügt dafür diese Seite samt Auskunft in Textform; eine Prüfung vor Ort ist nach Ankündigung möglich.
AVV anfordern
Schreiben Sie uns kurz, auf welche Firma der Vertrag lauten soll — Sie erhalten ihn unterschriftsfertig zurück, üblicherweise am nächsten Werktag.
Oder direkt per E-Mail an app@invoapi.de.
Diese Seite beschreibt die Verarbeitung und ersetzt den Vertrag nicht. Maßgeblich ist allein der unterzeichnete Auftragsverarbeitungsvertrag.
Stand: 22. August 2026