Datenschutzerklärung für Faktano
Fassung 2026-10-01-v2. Verantwortlich für den Betrieb von faktano.de, eigene Vertrags-, Zahlungs- und Abrechnungsdaten ist die vayoblue GmbH, Steigerstraße 57, 66292 Riegelsberg, Deutschland, vertreten durch Geschäftsführer Stefan Thömmes. Kontakt für Datenschutzanfragen: kontakt@vayoblue.com. Soweit geschäftliche Nutzer Daten ihrer Rechnungspartner verarbeiten, handeln diese grundsätzlich als Verantwortliche und vayoblue als Auftragsverarbeiter nach der AVV.
1. Website und technische Sicherheit
Bei einem Aufruf fallen IP-Adresse, Zeitpunkt, Pfad, Antwortstatus, Browserkennung sowie Sicherheits- und Fehlerdaten an. Bunny.net übernimmt öffentliche Auslieferung und Edge-Schutz; ein Scaleway-Tunnelserver leitet zur eigenen Acton-Infrastruktur mit Anwendung und Datenbank. Zwecke sind Auslieferung, Stabilität, Fehlersuche und Missbrauchsschutz. Rechtsgrundlage für eigene Betriebsdaten ist Art. 6 Abs. 1 lit. f DSGVO. IP-basierte Limits nutzen auf der Anwendungsebene gesalzene Kennungen. Protokollfristen der einzelnen Infrastruktur- und Dienstanbieter können voneinander abweichen; Daten werden gelöscht, wenn sie für diese Zwecke nicht mehr erforderlich sind, soweit keine gesetzliche Aufbewahrungspflicht besteht.
2. Rechnungen lesen und kostenlos erstellen
Hochgeladene XML- und PDF-Dateien werden für die angeforderte Analyse verarbeitet. Unterstützte strukturierte Rechnungsdaten werden technisch gelesen; soweit KI-Extraktion benötigt wird, können Inhalte an Mistral AI übertragen werden. Ein Anthropic-Fallback ist nur bei ausdrücklich aktivierter Konfiguration möglich. Beim kostenlosen Erstellen eines Rechnungs-, Kleinbetrags- oder Angebots-PDF werden eingegebene Aussteller-, Empfänger-, Positions- und Steuerdaten auf dem Acton-Server verarbeitet und die Datei zum Download ausgegeben. Für diese kostenlosen Dateien gibt es im Anwendungspfad keine dauerhafte Abrufablage. Nutzer müssen die Richtigkeit des Ergebnisses selbst prüfen.
Soweit Daten des Nutzers betroffen sind, dient die Verarbeitung seiner angeforderten Leistung (Art. 6 Abs. 1 lit. b DSGVO) und der technischen Sicherheit (Art. 6 Abs. 1 lit. f DSGVO). Für Daten Dritter bestimmt der Nutzer als Verantwortlicher seine Rechtsgrundlage. Die Verarbeitung beim KI-Anbieter und in technischen Protokollen kann eigenen Anbieterfristen unterliegen.
3. Bezahlte E-Rechnung und Zahlung
Für eine XRechnung oder ZUGFeRD-Datei werden Rechnungsdaten und eine Zahlungskennung verarbeitet. Mollie B.V. wickelt die Zahlung ab; Faktano erhält Zahlungsstatus und Kennung, nicht die vollständigen Karten- oder Kontodaten. Die Kennung und ihre Einlösung werden zum Schutz gegen Mehrfachnutzung und zur Abrechnung gespeichert. Die angegebene E-Mail-Adresse dient der Zustellung der Datei und des eigenen Faktano-Entgeltbelegs über Lettermint. Der Entgeltbeleg wird für gesetzliche Buchführungs- und Steuerpflichten getrennt gespeichert. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und, für Aufbewahrungspflichten, lit. c DSGVO. Mollies eigene Zahlungsdatenverarbeitung richtet sich zusätzlich nach dessen Datenschutzhinweisen.
4. Optionale Abrufablage
Nur bei ausdrücklicher Auswahl wird das Ergebnisdokument verschlüsselt mit AES-256-GCM in der Faktano-Datenbank gespeichert. Der zufällige Abruf-Token liegt dort nur als Hash. Nach spätestens 30 Tagen endet der Abruf; ein separater Löschlauf entfernt abgelaufene Einträge. Technische Sicherungen können für einen begrenzten Wiederherstellungszeitraum Kopien enthalten. Der eigene Entgeltbeleg bleibt hiervon unberührt. Ohne gewählte Ablage ist der Browser-Download beziehungsweise die Zustell-E-Mail selbst zu sichern.
5. Freiwillige Adressprüfung
Soweit die Google Address Validation API technisch aktiviert ist und Nutzer die Prüfung ausdrücklich auswählen, übermittelt Faktano die eingegebene Anschrift an Google Maps Platform. Rechnungspositionen und Steuerbeträge gehören nicht zur Adressanfrage. Das Ergebnis ist nur ein Plausibilitätshinweis, keine Garantie für Identität oder Zustellbarkeit. Ohne Auswahl findet diese Übermittlung nicht statt; die Rechnung kann trotzdem erstellt werden. Für eigene Nutzerdaten beruht die freiwillige Anfrage auf Art. 6 Abs. 1 lit. a DSGVO; bei Daten Dritter muss der geschäftliche Nutzer die zulässige Weisung sicherstellen. Eine bereits übermittelte Anfrage kann nicht zurückgerufen werden. Ergänzend gelten die Google-Datenschutzhinweise.
6. Freiwilliger Absender-Cookie
Nach aktiver Zustimmung speichert Faktano Name oder Firma, Anschrift und Steuerkennung des Absenders für höchstens 180 Tage in einem Cookie auf dem verwendeten Gerät. Die Website ist ohne diesen Cookie nutzbar. Über „Cookieauswahl“ im Fußbereich kann die Auswahl geändert und das Cookie gelöscht werden. Grundlage für das Speichern und Auslesen ist die Einwilligung nach § 25 TDDDG, für personenbezogene Inhalte Art. 6 Abs. 1 lit. a DSGVO. Ein technisch nötiger Auswahl-Cookie hält die Ablehnung oder Zustimmung fest.
7. Empfänger und mögliche Drittlandübermittlungen
Je nach gewählter Funktion sind Bunny.net (Edge), Scaleway (Tunnel), Mistral AI (KI-Extraktion), Mollie (Zahlung), Lettermint (E-Mail) und nach gesonderter Auswahl Google Maps Platform beteiligt. Ein Anthropic-Fallback kommt nur bei ausdrücklicher technischer Aktivierung hinzu. Die eigene Acton-Infrastruktur ist kein fremder Auftragsverarbeiter. Wir behaupten nicht, dass sämtliche Anbieter oder Unterauftragnehmer ausschließlich im EWR verarbeiten. Soweit ein Drittlandtransfer stattfindet, muss er auf einer zulässigen Grundlage nach Kapitel V DSGVO beruhen.
8. Speicherdauer und Rechte
Kostenlos erzeugte Dateien werden nicht als Abrufdokument abgelegt. Optional abgelegte Ergebnisdateien sind höchstens 30 Tage abrufbar. Die protokollierte Zustimmung zu AGB und gegebenenfalls AVV enthält Fassung, Zeitpunkt, Nutzungsart und einen Hash des zufälligen Tokens; ungebundene Einträge laufen nach sieben Tagen ab, an eine Bestellung gebundene nach drei Jahren. Der Absender-Cookie gilt höchstens 180 Tage oder bis zum Widerruf. Eigene Entgeltbelege und Zahlungsnachweise werden nach den jeweils geltenden gesetzlichen Pflichten aufbewahrt. Für Sicherheitsprotokolle, KI-Verarbeitung und Sicherungen gelten zweckbezogene und anbieterspezifische Fristen; Auskunft hierzu kann über den Kontakt oben angefragt werden.
Betroffene können nach Maßgabe der DSGVO Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch verlangen sowie eine Einwilligung für die Zukunft widerrufen. Bei Daten, die ein geschäftlicher Nutzer als Verantwortlicher eingibt, ist er zunächst Anlaufstelle; vayoblue unterstützt ihn nach der AVV. Es besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Eine ausschließlich automatisierte Entscheidung mit Rechtswirkung nach Art. 22 DSGVO ist nicht vorgesehen. Die Bereitstellung von Verbindungsdaten ist technisch notwendig; Rechnungsangaben sind für die gewählte Erstellung erforderlich. E-Mail und Zahlung sind nur für die bezahlte Funktion nötig, Cookie und Adressprüfung bleiben freiwillig.