Datenschutzerklärung

1. Verantwortlicher

EDVLINE, Michael Dettmann
Herrenbergerstraße 62, 71069 Sindelfingen
Telefon: +49 (7031) 68 11 80 · E-Mail: info@edvline.de

Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen (§ 38 BDSG) nicht vorliegen.

2. Grundsatz

Wir verarbeiten personenbezogene Daten nur, soweit das für den Betrieb von Blitzbeleg erforderlich ist. Es findet keine Weitergabe zu Werbezwecken statt, es gibt kein Nutzertracking, keine Statistikdienste, keine Werbenetzwerke und keine von fremden Servern nachgeladenen Inhalte (Schriften, Skripte, Bilder).

3. Aufruf der Webseite

Beim Aufruf speichert der Webserver Zugriffsdaten in einer Protokolldatei: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, verweisende Seite und Browserkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren Betrieb und in der Abwehr von Angriffen. Die vollständige IP-Adresse steht höchstens sieben Tage in den Protokollen, danach wird sie gekürzt; die gekürzten Protokolle löschen wir nach spätestens fünf Wochen. Wiederholte Angriffsmuster (etwa massenhafte Fehlanmeldungen) führen zu einer vorübergehenden Sperre der IP-Adresse.

4. Konto und Nutzung der Anwendung

Für ein Konto verarbeiten wir Name, E-Mail-Adresse, Passwort (als Hashwert nach Argon2id), die Angaben zu deiner Firma sowie die von dir eingegebenen Geschäftsdaten – Kunden, Belege, Zahlungen und Dateien. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Bei der Registrierung speichern wir Zeitpunkt und Fassung der Bedingungen, denen du zugestimmt hast.

Sicherheit und Nachvollziehbarkeit. Anmeldeversuche und Registrierungen (E-Mail-Adresse, IP-Adresse, Zeitpunkt, Erfolg) speichern wir 90 Tage, um Angriffe und Missbrauch zu erkennen. Änderungen an Belegen und Einstellungen halten wir in einem Änderungsprotokoll fest, wie es die GoBD verlangen; die Einträge bleiben so lange wie die zugehörigen Unterlagen, die IP-Adresse darin entfernen wir nach 90 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f und c DSGVO.

Angemeldete Geräte. Damit du sehen und beenden kannst, wo du angemeldet bist, speichern wir je Anmeldung eine grobe Gerätebezeichnung (z. B. „Chrome auf Windows"), die auf /24 bzw. /48 gekürzte IP-Adresse, den Zeitpunkt der Anmeldung und der letzten Aktivität sowie eine verschlüsselte Kennung der Sitzung – keinen Ort. Meldest du dich von einem Gerät an, das in den letzten 90 Tagen nicht vorkam, schicken wir dir eine Hinweis-Mail mit einem Link, um das Konto sofort überall abzumelden. Die Einträge löschen wir 90 Tage nach der letzten Aktivität und beim Löschen des Kontos. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO (Sicherheit deines Zugangs, Art. 32 DSGVO).

Demo. Für das Ausprobieren ohne Anmeldung legen wir ein Wegwerf-Konto mit erfundenen Daten an. Um Missbrauch zu begrenzen, speichern wir die IP-Adresse dazu 90 Tage. Das Demo-Konto samt allem, was du darin eingibst, löschen wir nach sieben Tagen; E-Mails verschickt die Demo nicht.

Benachrichtigungen. Wir schicken dir E-Mails, die zur Nutzung gehören – etwa wenn ein Kunde ein Angebot annimmt oder einen Beleg erstmals öffnet. Inhaber erhalten außerdem montags einen Wochenrückblick mit den Zahlen der Firma; er lässt sich unter „Mein Konto" oder über den Link in jeder Mail abbestellen. Dass ein Rückblick verschickt wurde, vermerken wir ein Jahr lang, damit er nicht doppelt kommt. Neue Konten bekommen in den ersten zehn Tagen drei kurze Starttipps zur Bedienung; auch die lassen sich jederzeit abbestellen.

Empfehlungsprogramm. Registrierst du dich über einen Empfehlungslink, verknüpfen wir dein Konto mit der empfehlenden Firma (siehe Abschnitt 8). Um Selbstempfehlungen zu erkennen, vergleichen wir dabei deine IP-Adresse mit denen der empfehlenden Firma und vermerken einen Treffer im Änderungsprotokoll (Art. 6 Abs. 1 lit. f DSGVO).

Kundenstimmen. Etwa 30 Tage nach der Registrierung fragen wir in der Anwendung, wie zufrieden du bist. Die Antwort ist freiwillig. Wir speichern Sterne, deinen Text und das Datum zusammen mit deinem Konto, um Blitzbeleg zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Auf blitzbeleg.de veröffentlichen wir eine Bewertung nur, wenn du ausdrücklich zustimmst – mit dem von dir gewählten Anzeigenamen und der Branche, Text unverändert (Art. 6 Abs. 1 lit. a DSGVO). Die Zustimmung kannst du jederzeit unter „Mein Konto" widerrufen; die Stimme verschwindet dann sofort. Mit dem Löschen des Kontos löschen wir auch deine Antworten.

5. Speicherdauer und Kontolöschung

Solange dein Konto besteht, speichern wir deine Daten. Kündigst du einen bezahlten Tarif, läuft das Konto kostenlos im Tarif Start weiter – deine Daten bleiben erhalten und du kannst sie jederzeit exportieren.

Löschst du dein Konto (unter „Mein Konto" oder auf blitzbeleg.de/konto-loeschen), entfernen wir deine Anmeldedaten sofort. Ist eine Firma danach ohne Inhaber, wird sie geschlossen: Was keiner Aufbewahrungspflicht unterliegt – Entwürfe, Kunden ohne fertige Belege, Artikel, Vorlagen, Logo, Textbausteine, Mail-Protokoll –, löschen wir sofort. Fertige Belege, Zahlungen, Ausgaben mit ihren Belegdateien, Kassenbuch, Bankumsätze und das Änderungsprotokoll bewahren wir gesperrt auf, weil das Steuerrecht es verlangt (§ 147 AO, § 14b UStG). Niemand hat darauf Zugriff. Mit Ablauf des zehnten Jahres nach dem jüngsten dieser Vorgänge löschen wir die Firma vollständig; gibt es keine solchen Unterlagen, nach 30 Tagen. Bitte exportiere deine Daten vor dem Löschen – danach ist kein Zugriff mehr möglich.

Weitere Fristen: Mail-Protokoll 180 Tage, Anmeldeversuche 90 Tage, angemeldete Geräte 90 Tage nach letzter Aktivität, Nutzungszähler der Belegerkennung zwei Jahre. Gelöschte Daten können noch bis zu zwölf Monate in unseren Sicherungen enthalten sein (siehe Abschnitt 12) und verschwinden dann mit deren Ablauf.

6. Daten deiner Kunden und das Kundenportal

Die Angaben, die du zu deinen eigenen Kunden erfasst, verarbeiten wir ausschließlich in deinem Auftrag. Dafür gilt der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, der mit Vertragsschluss einbezogen wird. Verantwortlich für diese Daten bleibst du.

Jeder versendete Beleg hat einen persönlichen, nicht erratbaren Link, unter dem der Empfänger ihn ohne Konto ansehen kann. Öffnet der Empfänger den Link erstmals, speichern wir den Zeitpunkt und zeigen ihn der absendenden Firma beim Beleg an, auf Wunsch auch per E-Mail (abschaltbar unter Einstellungen → Module); automatische Linkprüfer von Mailprogrammen zählen nicht. Nimmt der Empfänger ein Angebot an oder lehnt es ab, speichern wir Name, Zeitpunkt und IP-Adresse als Nachweis der Erklärung beim Angebot. Die Seiten werden von Suchmaschinen nicht erfasst, nicht zwischengespeichert und geben die Adresse nicht an andere Seiten weiter.

Briefversand per Post (LetterXpress)

Wer den Briefversand unter Einstellungen → Module einrichtet, kann Belege und Mahnungen als Brief verschicken. Dafür nutzt die Firma ihr eigenes Konto bei LetterXpress, einem Angebot der A&O Fischer GmbH & Co. KG, Maybachstraße 9, 21423 Winsen (Luhe), Deutschland. Nur wenn die Firma einen Brief ausdrücklich auslöst, übermitteln wir das PDF des Belegs (mit Empfängeranschrift und Belegdaten) über die Schnittstelle an LetterXpress. Die Firma beauftragt LetterXpress selbst und schließt mit LetterXpress einen eigenen Vertrag zur Auftragsverarbeitung; LetterXpress ist daher kein Unterauftragsverarbeiter von uns. Die Zugangsdaten speichern wir verschlüsselt. Den Versandnachweis (Empfänger, Seitenzahl, Status, Kosten) bewahren wir zwei Jahre auf.

7. Cookies und lokale Speicherung

Wir setzen ein technisch notwendiges Cookie für die Sitzung (Name „blitzbeleg", gültig bis zum Schließen des Browsers). Es dient allein der Anmeldung. Eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Zusätzlich merkt sich dein Browser lokal, ob du die helle oder dunkle Darstellung gewählt hast – diese Angabe erreicht unseren Server nicht.

8. Empfehlungslink

Öffnest du bewusst einen Empfehlungslink (Adresse blitzbeleg.de/e/…), speichern wir für 30 Tage ein Cookie „bb_empfehlung", das nur den Empfehlungscode enthält. Registrierst du dich in dieser Zeit, ordnen wir dein Konto der empfehlenden Firma zu, damit beide die Gutschrift aus dem Empfehlungsprogramm erhalten (Art. 6 Abs. 1 lit. b DSGVO); das Cookie wird danach gelöscht. Die empfehlende Firma sieht nur die Anzahl, nicht wer sich angemeldet hat.

9. E-Mail-Versand und Virenprüfung

Nachrichten von Blitzbeleg – etwa Rechnungen an deine Kunden – versenden wir über einen eigenen Mailserver auf unserem Server beim Hoster. Die Verbindung zum empfangenden Server ist verschlüsselt (TLS), soweit dieser es unterstützt. Zu jedem Versand speichern wir Empfänger, Betreff, Zeitpunkt und Ergebnis 180 Tage, damit du nachsehen kannst, was wann an wen ging. Hinterlegst du einen eigenen SMTP-Zugang oder verbindest du Microsoft 365, läuft der Versand über den von dir gewählten Anbieter; die Zugangsdaten beziehungsweise das Zugriffsmerkmal speichern wir verschlüsselt.

Hochgeladene Dateien prüfen wir auf Schadsoftware. Die Prüfung läuft auf unserem eigenen Server (ClamAV); dabei verlässt keine Datei den Server.

Belege per E-Mail

Schaltest du den E-Mail-Einwurf ein, bekommt deine Firma eine persönliche Adresse. Mails an diese Adresse landen in einem Postfach auf unserem Mailserver; Blitzbeleg holt sie alle paar Minuten ab, prüft die Anhänge wie einen Upload, legt die Belege mit Absenderadresse, Absendername, Betreff und Eingangszeit in deinem Eingang ab und löscht die Mail danach vom Server. Den Mailtext speichern wir nicht; Links darin rufen wir nicht ab. Mails an unbekannte Adressen werden ungelesen verworfen. Nur eine Mail, die sich nicht verarbeiten lässt, bleibt zur Fehlersuche höchstens 30 Tage in einem gesonderten Ordner. Verworfene Belege löschen wir sofort samt Datei, den Eintrag nach 30 Tagen; übernommene Belege gehören danach zu deinen Ausgaben, der Eingangsvermerk wird nach 90 Tagen gelöscht.

10. Zahlungsabwicklung

Für kostenpflichtige Tarife nutzen wir Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Stripe ist dabei für die Zahlungsabwicklung eigenständig verantwortlich. Beim Buchen übermitteln wir Name, E-Mail-Adresse, Rechnungsanschrift und gegebenenfalls die USt-IdNr.; die Zahlungsdaten gibst du direkt bei Stripe ein, Kartendaten erreichen unsere Server nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Stripe kann Daten auch an die Stripe, Inc. in den USA übermitteln; Grundlage sind das EU-US Data Privacy Framework und Standardvertragsklauseln. Einzelheiten: stripe.com/de/privacy.

11. KI-Belegerkennung

Die automatische Belegerkennung ist standardmäßig ausgeschaltet und wird je Firma unter Einstellungen → Module eingeschaltet. Nur dann übertragen wir eine hochgeladene Belegdatei (Foto oder PDF) zur Auswertung an Anthropic PBC, 548 Market Street, San Francisco, USA. Die Übermittlung erfolgt auf deine Veranlassung (Art. 6 Abs. 1 lit. b DSGVO) auf Grundlage von Standardvertragsklauseln. Nach den Bedingungen des Anbieters werden über die Schnittstelle übermittelte Daten nicht zum Training von Modellen verwendet; die Speicherdauer beim Anbieter richtet sich nach dessen Bedingungen. E-Rechnungen (ZUGFeRD, XRechnung) liest Blitzbeleg dagegen selbst aus, ohne Übermittlung.

12. Hosting, Sicherungen und Auftragsverarbeiter

Die Anwendung läuft auf Servern in Deutschland. Hoster ist netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe; mit ihm besteht ein Vertrag nach Art. 28 DSGVO. Wir sichern die Daten täglich (Aufbewahrung 14 Tage), wöchentlich (8 Wochen) und monatlich (12 Monate). Die Sicherungen liegen außerhalb des Webbereichs und sind nur für Administratoren zugänglich; eine zweite Kopie liegt auf einem getrennten Server desselben Hosters in Deutschland.

Eine Übermittlung in Drittländer findet nur in den Fällen der Abschnitte 10 (Stripe) und 11 (Belegerkennung, nur wenn eingeschaltet) statt.

13. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, einer Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Es genügt eine formlose Nachricht an info@edvline.de. Die Daten zu deiner Person lädst du jederzeit selbst unter „Mein Konto → Meine Daten herunterladen" herunter, die Geschäftsdaten deiner Firma als Inhaber unter „Einstellungen → Sicherung".

14. Beschwerderecht

Du kannst dich bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart

15. Änderungen

Wir passen diese Erklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Es gilt jeweils die hier veröffentlichte Fassung.

Stand: 3. November 2026