Datenschutzerklärung

Stand: November 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
khuwawa-invent GmbH
vertreten durch den Geschäftsführer Alf Kraus
Pfälzer Ufer 4
06108 Halle (Saale)
E-Mail: info@khuwawa-invoice.com

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website und unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung personenbezogener Daten erfolgt regelmäßig nur nach Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO), zur Erfüllung eines Vertrags mit dem Nutzer (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) oder auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO).

3. Bereitstellung der Website, Server-Log-Dateien

Beim Aufruf unserer Website erhebt unser Hosting-Anbieter automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch übermittelt (u. a. IP-Adresse, Datum und Uhrzeit der Anfrage, Browsertyp und -version, verwendetes Betriebssystem, Referrer-URL). Diese Daten werden verarbeitet, um die technisch fehlerfreie Darstellung und die Sicherheit des Angebots zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO) und nicht mit anderen Datenquellen zusammengeführt.

Zum Schutz vor Missbrauch (etwa dem Durchprobieren von Passwörtern oder dem massenhaften Auslösen von E-Mails) zählen wir Anmeldeversuche und das Absenden der Formulare für Registrierung, Passwort-Reset, Benachrichtigung und Kündigung. Dafür speichern wir zu jedem Versuch einen Zeitpunkt sowie einen nicht umkehrbaren Prüfwert (Hash) Ihrer IP-Adresse bzw. des eingegebenen Benutzernamens oder der E-Mail-Adresse, nicht diese Angaben selbst. Die Einträge werden nach spätestens zwei Tagen gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit des Angebots und am Schutz Dritter vor unerwünschten E-Mails (Art. 6 Abs. 1 lit. f DSGVO).

4. Cookies

Nach dem Login setzt unser Anmeldesystem ein technisch notwendiges Session-Cookie, um Sie während Ihres Besuchs angemeldet zu halten. Dieses Cookie enthält keine Werbe- oder Tracking-Informationen, wird nicht zu Analysezwecken genutzt und ist zur Bereitstellung des Dienstes zwingend erforderlich (Art. 6 Abs. 1 lit. b, f DSGVO, § 25 Abs. 2 Nr. 2 TTDSG). Eine Einwilligung ist hierfür nicht erforderlich.

Zum Schutz Ihres Kontos legt die Anmeldeseite außerdem ein Cookie „khw_device“ mit einer zufälligen Kennung Ihres Browsers an (Speicherdauer bis zu 400 Tage). Melden Sie sich in einem Browser an, den Ihr Konto noch nicht kennt, informieren wir Sie per E-Mail, damit Sie eine fremde Anmeldung sofort bemerken. Dafür speichern wir zu Ihrem Konto einen nicht umkehrbaren Prüfwert dieser Kennung, eine grobe Gerätebezeichnung (z. B. „Chrome auf Windows“) sowie den Zeitpunkt der ersten und letzten Anmeldung; Einträge, die ein Jahr lang nicht genutzt wurden, löschen wir automatisch. Das Cookie dient allein der Sicherheit des von Ihnen genutzten Kontos und ist dafür erforderlich (Art. 6 Abs. 1 lit. b, f DSGVO, § 25 Abs. 2 Nr. 2 TTDSG).

5. Registrierung und Nutzerkonto

Zur Nutzung des Dienstes ist die Registrierung eines Nutzerkontos erforderlich. Dabei erheben wir E-Mail-Adresse, ein verschlüsselt gespeichertes Passwort sowie die von Ihnen angegebenen Unternehmensdaten (z. B. Firmenname, Anschrift, Bankverbindung), soweit diese für die Rechnungserstellung benötigt werden. Die Verarbeitung erfolgt zur Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Schalten Sie in den Einstellungen die Zwei-Faktor-Anmeldung ein, speichern wir dafür einen geheimen Schlüssel verschlüsselt sowie Prüfwerte Ihrer Ersatzcodes, aus denen sich die Codes selbst nicht zurückgewinnen lassen. Die Daten dienen allein dem Schutz Ihres Kontos und werden gelöscht, sobald Sie die Zwei-Faktor-Anmeldung ausschalten oder wir sie auf Ihre Bitte hin zurücksetzen (Art. 6 Abs. 1 lit. b DSGVO).

Wenn Sie ein neues Passwort festlegen, prüfen wir, ob es in bekannten Datenlecks vorkommt, und lehnen es in diesem Fall ab. Dazu senden wir nur die ersten fünf Zeichen eines Prüfwerts (SHA-1-Hash) des Passworts an den Dienst „Have I Been Pwned“ (Troy Hunt, Australien, bereitgestellt über Cloudflare). Das Passwort selbst und sein vollständiger Prüfwert verlassen unseren Server nicht; aus den fünf Zeichen lässt sich weder das Passwort noch Ihre Person ableiten. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit Ihres Kontos (Art. 6 Abs. 1 lit. f DSGVO).

6. Rechnungs- und Kundendaten (Auftragsverarbeitung)

Im Rahmen der Nutzung des Dienstes geben Sie Daten Ihrer eigenen Kunden ein (z. B. Name, Anschrift, Leistungs- und Zahlungsdaten), um Rechnungen und vergleichbare Dokumente zu erstellen und zu versenden. Hinsichtlich dieser Daten sind Sie als Nutzer selbst datenschutzrechtlich Verantwortlicher im Sinne der DSGVO; wir verarbeiten diese Daten ausschließlich in Ihrem Auftrag und nach Ihrer Weisung, um den Dienst bereitzustellen (Auftragsverarbeitung gemäß Art. 28 DSGVO).

Auf Anfrage schließen wir mit Ihnen einen gesonderten Auftragsverarbeitungsvertrag (AVV) ab. Sie können unser AVV-Muster hier herunterladen, ausfüllen und uns unterschrieben zusenden; alternativ kontaktieren Sie uns unter der oben genannten E-Mail-Adresse.

AVV-Muster herunterladen (PDF)

7. Zahlungsabwicklung

Für die Abwicklung kostenpflichtiger Abonnements setzen wir den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland, bzw. Stripe, Inc., USA) ein. Hierbei werden die zur Zahlungsabwicklung erforderlichen Daten (z. B. Name, Zahlungsinformationen, Rechnungsdaten) an Stripe übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen entnehmen Sie der Datenschutzerklärung von Stripe unter stripe.com/de/privacy.

8. Versand von E-Mails

Für den automatisierten Versand von Rechnungs-E-Mails (z. B. bei wiederkehrenden Rechnungen) nutzen wir den E-Mail-Versanddienst Resend (Resend, Inc., San Francisco, USA). Dabei werden die E-Mail-Adresse des Empfängers sowie der E-Mail-Inhalt (einschließlich der Rechnung als Anhang) an Resend übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8a. Startbenachrichtigung („Benachrichtigen Sie mich")

Wenn Sie sich für die Benachrichtigung zum Start eintragen, speichern wir Ihre E-Mail-Adresse, die gewählte Sprache und den Zeitpunkt Ihrer Eintragung. Wir versenden zunächst ausschließlich eine Bestätigungs-E-Mail (Double-Opt-in). Erst wenn Sie den darin enthaltenen Link anklicken, ist Ihre Adresse bestätigt; ohne Bestätigung erhalten Sie keine weitere E-Mail.

Mit der Bestätigung speichern wir zusätzlich den Zeitpunkt der Bestätigung und die dabei verwendete IP-Adresse. Diese Angaben dienen allein dem Nachweis Ihrer Einwilligung und werden nicht zu anderen Zwecken ausgewertet. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) sowie unser berechtigtes Interesse an der Nachweisbarkeit dieser Einwilligung (Art. 6 Abs. 1 lit. f DSGVO).

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, formlos per E-Mail an die oben genannte Adresse. Wir löschen Ihre Daten spätestens drei Monate nach dem Start des Dienstes, nicht bestätigte Eintragungen bereits nach Ablauf des Bestätigungslinks (7 Tage).

8b. E-Rechnungs-Prüfer

Unter /e-rechnung-pruefen können Sie eine E-Rechnung ohne Anmeldung auf Konformität prüfen lassen. Laden Sie eine PDF hoch, liest Ihr Browser die darin eingebettete Rechnungs-XML selbst aus; die PDF-Datei wird nicht an uns übertragen. Übertragen werden nur die Rechnungs-XML sowie technische Angaben zur PDF (Name und Kennzeichnung der eingebetteten Datei, PDF/A- und ZUGFeRD-Metadaten).

Die Rechnungs-XML enthält in der Regel Namen, Anschriften und Bankverbindungen der beteiligten Unternehmen. Sie wird ausschließlich zur Durchführung der Prüfung verarbeitet, an unseren Prüfdienst (gehostet bei Railway in einem Rechenzentrum in der EU, siehe Nr. 9) weitergegeben und unmittelbar nach der Prüfung verworfen. Wir speichern weder die Datei noch das Prüfergebnis; zum Schutz vor Missbrauch wird Ihre IP-Adresse für höchstens zehn Minuten im Arbeitsspeicher gehalten, um die Zahl der Prüfungen zu begrenzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von Ihnen angeforderten Prüfung) bzw. für die Missbrauchsbegrenzung Art. 6 Abs. 1 lit. f DSGVO. Bitte laden Sie nur Rechnungen hoch, zu deren Weitergabe Sie berechtigt sind.

9. Empfänger und Auftragsverarbeiter

Zum Betrieb des Dienstes setzen wir folgende Auftragsverarbeiter bzw. Dienstleister ein, mit denen jeweils Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO bestehen: Vercel Inc. (Hosting der Anwendung), Neon Inc. (Datenbankhosting), Railway Corporation (Hosting der PDF-Erzeugung und des E-Rechnungs-Prüfers, jeweils in einem Rechenzentrum in der EU), Stripe (Zahlungsabwicklung, siehe Nr. 7) und Resend, Inc. (E-Mail-Versand, siehe Nr. 8).

10. Datenübermittlung in Drittländer

Einzelne der oben genannten Dienstleister verarbeiten Daten auch in den USA. Soweit dies der Fall ist, stützen wir die Übermittlung auf geeignete Garantien im Sinne von Art. 46 DSGVO, insbesondere die EU-Standardvertragsklauseln, oder auf einen Angemessenheitsbeschluss der EU-Kommission (z. B. das EU-U.S. Data Privacy Framework), soweit der jeweilige Anbieter zertifiziert ist.

11. Speicherdauer und Kontolöschung

Wir speichern personenbezogene Daten nur so lange, wie dies für die Bereitstellung des Dienstes erforderlich ist. Gesetzliche Aufbewahrungspflichten (z. B. § 257 HGB, § 147 AO) gelten für den Nutzer als Rechnungsaussteller — nicht für uns als technischen Dienstleister. Die Verantwortung für die gesetzlich vorgeschriebene Aufbewahrung von Belegen (insbesondere § 14b UStG: 10 Jahre) liegt beim Nutzer selbst.

Löschung auf Anfrage: Nutzer können ihr Konto jederzeit selbst in den Einstellungen löschen. Nach Bestätigung per E-Mail-Link wird das Konto gesperrt und alle gespeicherten Daten — einschließlich Rechnungen, Kundendaten und Artikeln — werden nach Ablauf einer technischen Rückhaltefrist von 30 Tagen unwiderruflich und vollständig gelöscht. Innerhalb dieser 30 Tage ist eine Wiederherstellung durch den Nutzer selbst (über die Einstellungen) oder auf Anfrage an info@khuwawa-invoice.com möglich. Nach Ablauf der Frist ist eine Wiederherstellung ausgeschlossen.

Hinweis vor der Löschung: Nutzer sind verpflichtet, ihre Rechnungsdaten vor der Löschung eigenverantwortlich zu sichern (z. B. durch den integrierten Datenexport), sofern gesetzliche Aufbewahrungspflichten bestehen. Nach der endgültigen Löschung kann der Anbieter keine Wiederherstellung der Daten vornehmen. Eine Neuregistrierung mit derselben E-Mail-Adresse ist nach vollständiger Löschung jederzeit möglich.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Bitte wenden Sie sich hierzu an die oben genannte E-Mail-Adresse.

13. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben unbeschadet anderweitiger Rechtsbehelfe das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist der Landesbeauftragte für den Datenschutz Sachsen-Anhalt.

14. Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten gegen zufällige oder vorsätzliche Manipulationen, Verlust, Zerstörung oder unberechtigten Zugriff zu schützen. Die Übertragung erfolgt verschlüsselt über TLS, Passwörter werden ausschließlich in gehashter Form gespeichert.

15. Änderung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.