Rechtliches

Datenschutzerklärung

Diese Erklärung informiert gemäß Art. 13 DSGVO darüber, welche personenbezogenen Daten wir bei der Nutzung von normbill verarbeiten, auf welcher Rechtsgrundlage — und welche Daten wir bewusst nicht speichern.

Stand: 2026-07-19

1. Verantwortlicher

VIBOA UG (haftungsbeschränkt)
Kopernikusstr. 14
30167 Hannover
E-Mail: support@normbill.com

2. Grundsatz: Rechnungsinhalte werden nicht gespeichert

normbill ist bewusst so gebaut, dass die Inhalte der über die API übermittelten Rechnungen (Namen, Adressen, Beträge, Bankverbindungen Ihrer Kunden und Lieferanten) nicht gespeichert werden. Rechnungsdaten werden ausschließlich flüchtig im Arbeitsspeicher verarbeitet, um das angeforderte Dokument zu erzeugen bzw. zu validieren, und mit der Antwort verworfen. Request- und Response-Inhalte sowie der Authorization-Header werden aus den Server-Logs ausgeschlossen (Log-Redaktion). Gespeichert werden lediglich Konto-, Schlüssel- und Nutzungsmetadaten (z. B. Zählerstände pro Monat).

3. Kontodaten (Registrierung und Login)

Bei der Registrierung verarbeiten wir Ihre E-Mail-Adresse und Ihr Passwort (ausschließlich als kryptographischer Hash) sowie den Namen Ihrer Organisation. Die Authentifizierung erfolgt über eine selbst betriebene Login-Lösung (Better Auth) in unserer eigenen Datenbank; es findet keine Weitergabe an Login-Drittanbieter statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

4. Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein: Session-Cookies, die für den Login und die Sicherheit des Kontos erforderlich sind, sowie ein Cookie zur Speicherung Ihrer Sprachwahl („nb_locale“, 12 Monate) (§ 25 Abs. 2 Nr. 2 TDDDG). Es kommen keine Tracking- oder Analyse-Cookies und keine Werbenetzwerke zum Einsatz; ein Cookie-Banner ist daher nicht erforderlich.

4a. Reichweitenmessung (Plausible Analytics)

Zur Verbesserung unseres Angebots werten wir die Nutzung der Website mit Plausible Analytics statistisch aus — cookielos und ohne personenbezogene Daten: keine IP-Speicherung, kein Fingerprinting, kein seitenübergreifendes Tracking, keine Weitergabe an Werbenetzwerke. Erfasst werden lediglich aggregierte Seitenaufrufe und Referrer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der statistischen Auswertung der Websitenutzung); ein Eingriff in Ihr Endgerät im Sinne des § 25 Abs. 1 TDDDG findet nicht statt.

5. API-Nutzung und Server-Logs

API-Schlüssel werden nur als SHA-256-Hash gespeichert; der Klartext-Schlüssel ist uns nach der Erstellung nicht mehr bekannt. Zur Betriebssicherheit und Abrechnung verarbeiten wir technische Metadaten (Zeitpunkt, Endpunkt, HTTP-Status, Antwortzeit, monatliche Nutzungszähler je Organisation). Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung und Abrechnung des Dienstes) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Missbrauchsvermeidung).

6. Auftragsverarbeiter und Empfänger

Wir setzen folgende Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) bzw. Empfänger ein:

Rechnungsinhalte aus API-Aufrufen erreichen ausschließlich die API-Infrastruktur bei Hetzner in Deutschland und werden dort — wie in Ziffer 2 beschrieben — nicht gespeichert. Offsite- Backups (Hetzner Storage Box) enthalten ausschließlich Konto-, Schlüssel- und Nutzungsmetadaten sowie Abrechnungsdaten — niemals Rechnungsinhalte. An Stripe werden nur Abrechnungsdaten übermittelt.

6a. Eingebundene Drittinhalte und optionale Anmeldedienste

Auf der Seite /reference (interaktive API-Referenz) wird die Darstellungskomponente von einem Content Delivery Network (jsDelivr, betrieben von Prospect One sp. z o.o., Polen) nachgeladen. Dabei wird Ihre IP-Adresse technisch bedingt an das CDN übermittelt. Die Einbindung erfolgt integritätsgeprüft (Subresource Integrity) und dient der performanten Auslieferung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Zusätzlich wird auf allen Seiten das Zählskript der unter Ziffer 4a beschriebenen Reichweitenmessung von https://plausible.io/js/pa-4TeOn1Fa2pxYsYC18E_el.js nachgeladen; dabei wird Ihre IP-Adresse technisch bedingt an diesen Endpunkt übermittelt. Weitere Drittinhalte binden wir nicht ein — Schriftarten und Bilder werden von unseren eigenen Servern ausgeliefert, Google Fonts kommen nicht zum Einsatz.

Sofern wir die Anmeldung über GitHub anbieten und Sie diese nutzen, verarbeitet die GitHub B.V. / GitHub, Inc. die für den Login erforderlichen Kontodaten (E-Mail-Adresse, Konto-ID). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Anmeldung per E-Mail und Passwort ist jederzeit ohne Drittanbieter möglich.

7. Speicherdauer

• Rechnungsinhalte: keine Speicherung (nur flüchtige Verarbeitung pro Anfrage).
• Kontodaten: bis zur Löschung des Kontos; anschließend Löschung, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. § 147 AO für Abrechnungsunterlagen) entgegenstehen.
• Nutzungszähler und Abrechnungsdaten: für die Dauer gesetzlicher Aufbewahrungsfristen.
• Technische Server-Logs (ohne Rechnungsinhalte): kurzfristig, zu Sicherheitszwecken.

8. Ihre Rechte

Ihnen stehen als betroffene Person folgende Rechte zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21 DSGVO),
• Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO).

Ihr Konto können Sie jederzeit selbst in den Einstellungen des Dashboards löschen; damit werden Ihre Kontodaten entfernt, soweit keine gesetzlichen Aufbewahrungspflichten bestehen. Für alle Anliegen erreichen Sie uns unter support@normbill.com.

9. Auftragsverarbeitung für Geschäftskunden

Soweit Sie als Kunde über die API personenbezogene Daten Dritter (z. B. Ihrer Kunden) verarbeiten lassen, handeln wir als Ihr Auftragsverarbeiter. Es gilt unser Auftragsverarbeitungsvertrag (AVV), der mit Vertragsschluss als vereinbart gilt.

10. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.