Rechtliches

Datenschutzerklärung

Diese Erklärung informiert gemäß Art. 13 DSGVO darüber, welche personenbezogenen Daten wir bei der Nutzung von normbill verarbeiten, auf welcher Rechtsgrundlage — und welche Daten wir bewusst nicht speichern.

Stand: 2026-09-24

1. Verantwortlicher

VIBOA UG (haftungsbeschränkt)
Kopernikusstr. 14
30167 Hannover
E-Mail: support@normbill.com

2. Grundsatz: Rechnungsinhalte werden nicht gespeichert

normbill ist bewusst so gebaut, dass die Inhalte der über die API übermittelten Rechnungen (Namen, Adressen, Beträge, Bankverbindungen Ihrer Kunden und Lieferanten) nicht gespeichert werden. Rechnungsdaten werden ausschließlich flüchtig im Arbeitsspeicher verarbeitet, um das angeforderte Dokument zu erzeugen bzw. zu validieren, und mit der Antwort verworfen. Request- und Response-Inhalte sowie der Authorization-Header werden aus den Server-Logs ausgeschlossen (Log-Redaktion). Gespeichert werden lediglich Konto-, Schlüssel- und Nutzungsmetadaten (z. B. Zählerstände pro Monat). Rechnungsinhalte erscheinen auch in keiner der unten beschriebenen E-Mails oder Benachrichtigungen.

3. Kontodaten (Registrierung und Login)

Bei der Registrierung verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und Ihr Passwort (ausschließlich als kryptographischer Hash) sowie den Namen Ihrer Organisation. Die Authentifizierung erfolgt über eine selbst betriebene Login-Lösung (Better Auth) in unserer eigenen Datenbank; es findet keine Weitergabe an Login-Drittanbieter statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Freiwillig können Sie bei der Registrierung angeben, wie Sie auf normbill aufmerksam geworden sind (Auswahlliste). Wir nutzen diese Angabe, um zu erkennen, über welche Kanäle Nutzer zu uns finden; sie erscheint auch in unserer internen Benachrichtigung über neue Konten (Ziffer 3e). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bewertung unserer Marketingkanäle).

3a. E-Mails zu Ihrem Konto

An die Adresse Ihres Kontos senden wir die E-Mails, die für das Konto erforderlich sind: die Bestätigung Ihrer E-Mail-Adresse (der Link ist 24 Stunden gültig), das Zurücksetzen Ihres Passworts sowie Mitteilungen, zu denen wir vertraglich oder gesetzlich verpflichtet sind (z. B. über Änderungen der AGB). Diese E-Mails enthalten keine Werbung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei gesetzlich vorgeschriebenen Mitteilungen Art. 6 Abs. 1 lit. c DSGVO. Alle weiteren E-Mails erhalten Sie nur mit Ihrer Einwilligung (Ziffern 3b bis 3d).

3b. Newsletter „normbill Insights“ und Entwickler-Checkliste (Double-Opt-In)

Wenn Sie auf unserer Website die Entwickler-Checkliste anfordern, verarbeiten wir Ihre E-Mail-Adresse, die gewählte Sprache und das Formular, über das Sie sich angemeldet haben. Die Anmeldung wird erst wirksam, wenn Sie den Link in unserer Bestätigungs-E-Mail öffnen und die Anmeldung auf der folgenden Seite bestätigen (Double-Opt-In). Um Ihre Einwilligung nachweisen zu können (Art. 7 Abs. 1 DSGVO), speichern wir den Zeitpunkt der Anmeldung und der Bestätigung sowie die Fassung des Einwilligungstextes, dem Sie zugestimmt haben; außerdem halten wir fest, welche E-Mail Ihnen wann zugestellt wurde (Versandprotokoll ohne Inhalt).

Sie erhalten, was der Einwilligungstext bei Ihrer Anmeldung nennt: die Checkliste, bis zu vier kurze Folge-Mails und normbill Insights — etwa wöchentlich praktische Notizen zur E-Rechnung für Entwickler, auch zu Funktionen und Angeboten von normbill. Wer sich mit dem früheren Text angemeldet hat („die Checkliste und eine kurze Serie für Entwickler zur E-Rechnungspflicht 2027“), erhält nur die Checkliste und die kurze Serie (bis zu vier weitere E-Mails) und normbill Insights erst nach einer erneuten Einwilligung, etwa über den Schalter in den Einstellungen des Dashboards (Ziffer 3c). Die E-Mails versenden wir über Resend (Ziffer 6). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO): über den Abmeldelink in jeder E-Mail, in den Einstellungen Ihres normbill-Kontos (sofern es dieselbe Adresse nutzt) oder per E-Mail an support@normbill.com. Nach einer Abmeldung speichern wir Ihren Eintrag (Adresse, Zeitpunkt der Abmeldung, den Nachweis Ihrer Einwilligung und den Stand der E-Mail-Serie, Ziffer 7) weiter, damit Sie keine weiteren Werbe-E-Mails von uns erhalten (Sperrvermerk); diese Abmeldung gilt auch für ein normbill-Konto mit derselben Adresse. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Ihren Widerruf dauerhaft zu beachten und die Einwilligungslage nachweisen zu können).

3c. Einwilligung im Dashboard und E-Mail-Einstellungen

Angemeldete Nutzer mit bestätigter E-Mail-Adresse können normbill Insights auch im Dashboard abonnieren: Praxisnotizen zur E-Rechnung für Entwickler, etwa wöchentlich, einschließlich Neuigkeiten zu Funktionen und Angeboten von normbill und gelegentlicher persönlicher Nachrichten des Gründers mit Tipps zu Ihrer Integration (Ziffer 3d). Dafür setzen Sie selbst ein Häkchen (es ist nicht vorausgewählt) und bestätigen mit „Abonnieren“. Wir speichern den Zeitpunkt, die Fassung des Einwilligungstextes und die gewählte Sprache und legen für die Adresse Ihres Kontos einen bestätigten Newsletter-Eintrag an (Ziffer 3b). Wählen Sie „Nein, danke“, speichern wir diese Entscheidung mit Zeitpunkt, damit wir Sie nicht erneut fragen; sie gilt als Abmeldung von allen Werbe-E-Mails an die Adresse Ihres Kontos (Sperrvermerk, Ziffer 3b). In den Einstellungen des Dashboards können Sie normbill Insights jederzeit mit einem Klick ein- und ausschalten. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), für das Speichern einer Ablehnung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Ihre Entscheidung zu beachten).

3d. Nachrichten im Dashboard

Wir können Ihnen Nachrichten in Ihr Dashboard stellen, etwa Hinweise zur Einrichtung, Hilfe bei wiederholt fehlschlagenden API-Aufrufen oder die Bitte um eine Rückmeldung. Gespeichert werden Art, Titel und Text der Nachricht, wer sie bei uns verfasst hat, sowie die Zeitpunkte des Versands, des Lesens und des Ausblendens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Unterstützung bei der Nutzung des Dienstes) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Rückmeldungen zur Verbesserung des Dienstes).

Eine solche Nachricht senden wir Ihnen nur dann zusätzlich per E-Mail, wenn Sie im Dashboard in normbill Insights einschließlich gelegentlicher persönlicher Nachrichten eingewilligt (Ziffer 3c) und nicht widersprochen haben. Jede dieser E-Mails enthält einen Abmeldelink und einen Hinweis auf Ihr Widerspruchsrecht.

3e. Interne Benachrichtigungen und Übersicht der Konten

Damit wir neue Nutzer unterstützen und den Betrieb überwachen können, benachrichtigen wir uns intern per E-Mail über neue Registrierungen, bestätigte E-Mail-Adressen, den ersten API-Schlüssel einer Organisation sowie über Zahlungen, fehlgeschlagene Zahlungen und Kündigungen. Einmal täglich erhalten wir eine Zusammenfassung mit Kennzahlen (z. B. Anzahl neuer Konten, aktive Organisationen, Anteil erfolgreicher Prüfungen) und einer Liste der Konten, die Hilfe brauchen könnten oder länger inaktiv sind. Diese Benachrichtigungen enthalten nur E-Mail-Adresse, Zeitpunkte (z. B. Registrierung, Bestätigung, letzter API-Aufruf, nächster Zahlungsversuch), Anmeldeweg (E-Mail oder GitHub), ob die E-Mail-Adresse bestätigt ist, die freiwillige Herkunftsangabe (Ziffer 3), den Modus (Test oder Live) eines API-Schlüssels bzw. einer Zahlung, Tarif, Abrechnungsintervall, Betrag und Anlass einer Zahlung (z. B. Neuabschluss oder Verlängerung), bei Kündigungen die Stripe-Kundennummer, sowie Anzahlen (z. B. fehlgeschlagene Aufrufe, Zahlungsversuche) — keine IP-Adressen, keine Rechnungsadressen und keine Rechnungsinhalte. Sie werden über Resend (Ziffer 6) an unser eigenes Postfach gesendet.

In einem nur für uns zugänglichen Verwaltungsbereich sehen wir je Konto dieselben Metadaten: Registrierungs- und Bestätigungsstatus, API-Schlüssel (Anzahl, Modus, letzte Nutzung), tägliche Nutzungs- und Fehlerzähler (Ziffer 5), den Zeitpunkt der letzten Sitzung, den Einwilligungsstatus (Ziffern 3b, 3c) und die Nachrichten, die wir Ihnen gesendet haben (Ziffer 3d). Daraus leiten wir einen Nutzungsstand ab (z. B. „Schlüssel erstellt, noch kein Aufruf“, „aktiv“, „inaktiv“), um Ihnen gezielt Hilfe im Dashboard anzubieten; eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Rechtsgrundlage für Benachrichtigungen und Übersicht ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb, Support, Missbrauchserkennung und Steuerung unseres Angebots). Sie können dieser Verarbeitung widersprechen (Ziffer 8a).

3f. Kontakt- und Feedback-Formulare

Wenn Sie uns über das Kontaktformular oder das Feedback-Formular (auf der Website und im Dashboard) schreiben, verarbeiten wir die Angaben, die Sie machen — z. B. Name, E-Mail-Adresse, Unternehmen und Nachricht, bei Integrationsanfragen zusätzlich Produkt, Format und Wunschtermin, beim Feedback die Adresse der Seite, von der aus Sie schreiben. Die Formulare legen nichts in unserer Datenbank ab: Ihre Nachricht wird per E-Mail über Resend (Ziffer 6) an unser Postfach support@normbill.com weitergeleitet und dort bearbeitet. Ihre Adresse nutzen wir nur, um auf Ihr Anliegen zu antworten, nicht für Werbung.

Zur Missbrauchsabwehr begrenzen wir die Zahl der Anfragen je Absender (auch bei der Anmeldung zur Checkliste). Dafür speichern wir nicht Ihre IP-Adresse, sondern nur einen mit einem geheimen Schlüssel gebildeten Hashwert (Pseudonym) mit Zählerstand und Ende des Zählfensters. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Vertrag zielt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen und an der Abwehr von Missbrauch).

4. Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein: Session-Cookies, die für den Login und die Sicherheit des Kontos erforderlich sind, sowie ein Cookie zur Speicherung Ihrer Sprachwahl („nb_locale“, 12 Monate) (§ 25 Abs. 2 Nr. 2 TDDDG). Es kommen keine Tracking- oder Analyse-Cookies und keine Werbenetzwerke zum Einsatz; ein Cookie-Banner ist daher nicht erforderlich.

4a. Reichweitenmessung (Plausible Analytics)

Zur Verbesserung unseres Angebots werten wir die Nutzung der Website (einschließlich Login und Dashboard) mit Plausible Analytics statistisch aus — cookielos und ohne personenbezogene Daten: keine IP-Speicherung, kein Fingerprinting, kein seitenübergreifendes Tracking, keine Weitergabe an Werbenetzwerke. Erfasst werden lediglich aggregierte Seitenaufrufe, Referrer und einzelne aggregierte Ereignisse (z. B. Klick auf eine Schaltfläche, abgesendetes Formular, abgeschlossene Registrierung) — jeweils ohne Personenbezug und ohne Inhalte aus Formularen. Bevor eine Messung Ihren Browser verlässt, werden aus Seitenadresse und Referrer alle URL-Parameter außer Kampagnenangaben (utm_*, ref, source) sowie Sprungmarken (#…) entfernt, sodass z. B. ein Link zum Zurücksetzen des Passworts nicht übermittelt wird; Kontokennungen in Seitenadressen unseres Verwaltungsbereichs werden durch einen Platzhalter ersetzt. Anbieter ist die Plausible Insights OÜ, Tartu, Estland; die Verarbeitung erfolgt ausschließlich in der EU (Ziffer 6). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der statistischen Auswertung der Websitenutzung); ein Eingriff in Ihr Endgerät im Sinne des § 25 Abs. 1 TDDDG findet nicht statt.

5. API-Nutzung und Server-Logs

API-Schlüssel werden nur als SHA-256-Hash gespeichert; der Klartext-Schlüssel ist uns nach der Erstellung nicht mehr bekannt. Zur Betriebssicherheit und Abrechnung verarbeiten wir technische Metadaten (Zeitpunkt, Endpunkt, HTTP-Status, Antwortzeit, Zeitpunkt der letzten Nutzung eines Schlüssels, monatliche und tägliche Nutzungszähler je Organisation). Die täglichen Zähler halten auch fest, wie viele Prüfungen gültig oder ungültig waren und wie viele Erzeugungen fehlgeschlagen sind — nur als Anzahl, ohne Regelbezeichnungen, Feldwerte oder Rechnungsinhalte. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung und Abrechnung des Dienstes) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Missbrauchsvermeidung sowie daran, Ihnen bei wiederholt fehlschlagenden Aufrufen Hilfe anzubieten, Ziffer 3e).

6. Auftragsverarbeiter und Empfänger

Wir setzen folgende Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) bzw. Empfänger ein:

Rechnungsinhalte aus API-Aufrufen erreichen ausschließlich die API-Infrastruktur bei Hetzner in Deutschland und werden dort — wie in Ziffer 2 beschrieben — nicht gespeichert. Offsite- Backups (Hetzner Storage Box) enthalten ausschließlich Konto-, Schlüssel- und Nutzungsmetadaten sowie Abrechnungsdaten — niemals Rechnungsinhalte. An Stripe werden nur Abrechnungsdaten übermittelt.

6a. Eingebundene Drittinhalte und optionale Anmeldedienste

Auf der Seite /reference (interaktive API-Referenz) wird die Darstellungskomponente von einem Content Delivery Network (jsDelivr, betrieben von Prospect One sp. z o.o., Polen) nachgeladen. Dabei wird Ihre IP-Adresse technisch bedingt an das CDN übermittelt. Die Einbindung erfolgt integritätsgeprüft (Subresource Integrity) und dient der performanten Auslieferung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Zusätzlich wird auf allen Seiten das Zählskript der unter Ziffer 4a beschriebenen Reichweitenmessung von https://plausible.io/js/pa-4TeOn1Fa2pxYsYC18E_el.js nachgeladen; dabei wird Ihre IP-Adresse technisch bedingt an diesen Endpunkt übermittelt. Weitere Drittinhalte binden wir nicht ein — Schriftarten und Bilder werden von unseren eigenen Servern ausgeliefert, Google Fonts kommen nicht zum Einsatz.

Sofern wir die Anmeldung über GitHub anbieten und Sie diese nutzen, verarbeitet die GitHub B.V. / GitHub, Inc. die für den Login erforderlichen Kontodaten (E-Mail-Adresse, Konto-ID). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Anmeldung per E-Mail und Passwort ist jederzeit ohne Drittanbieter möglich.

7. Speicherdauer

• Rechnungsinhalte: keine Speicherung (nur flüchtige Verarbeitung pro Anfrage).
• Kontodaten: bis zur Löschung des Kontos; anschließend Löschung, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. § 147 AO für Abrechnungsunterlagen) entgegenstehen.
• Nachrichten im Dashboard (Ziffer 3d): bis zur Löschung des Kontos.
• Newsletter-Daten (Ziffern 3b, 3c): bis zu Ihrem Widerruf. Danach bleibt der Eintrag als Sperrvermerk und Einwilligungsnachweis gespeichert: Adresse, Sprache, Anmeldeformular, Zeitpunkte von Anmeldung, Bestätigung, letztem Versand und Abmeldung, Fassung des Einwilligungstextes, der zuletzt zugestellte Teil der E-Mail-Serie (damit Sie bei einer erneuten Anmeldung keine E-Mail doppelt erhalten) und ggf. die Verknüpfung mit Ihrem normbill-Konto.
• Versandprotokoll für Newsletter- und Nutzer-E-Mails (Empfänger, Art, Zeitpunkt, Zustellstatus, kein Inhalt): solange es zum Nachweis der Einwilligungs- und Versandlage erforderlich ist.
• Kontakt- und Feedback-Nachrichten sowie interne Benachrichtigungen (Ziffern 3e, 3f): in unserem Postfach, solange sie für die Bearbeitung, den Support und den Betrieb benötigt werden; geschäftliche Korrespondenz im Rahmen gesetzlicher Aufbewahrungsfristen.
• Nutzungszähler und Abrechnungsdaten: für die Dauer gesetzlicher Aufbewahrungsfristen.
• Technische Server-Logs (ohne Rechnungsinhalte): kurzfristig, zu Sicherheitszwecken.

8. Ihre Rechte

Ihnen stehen als betroffene Person folgende Rechte zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch (Art. 21 DSGVO, siehe Ziffer 8a),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO),
• Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO).

Ihr Konto können Sie jederzeit selbst in den Einstellungen des Dashboards löschen; damit werden Ihre Kontodaten entfernt, soweit keine gesetzlichen Aufbewahrungspflichten bestehen. Mit der Löschung des Kontos beenden wir zugleich ein Abonnement unseres Newsletters für diese Adresse (normbill Insights und Checkliste, Ziffern 3b, 3c); der Eintrag bleibt ohne Verknüpfung zu Ihrem Konto als Sperrvermerk gespeichert, ebenso das Versandprotokoll (Ziffer 7). Für alle Anliegen erreichen Sie uns unter support@normbill.com.

8a. Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Art. 6 Abs. 1 lit. f DSGVO beruht (Art. 21 Abs. 1 DSGVO). Wir verarbeiten diese Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Verarbeiten wir Ihre Daten, um Direktwerbung zu betreiben (z. B. normbill Insights), können Sie dem jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO); wir verarbeiten Ihre Daten dann nicht mehr für diesen Zweck (Art. 21 Abs. 3 DSGVO). Dafür genügt der Link „Abmelden“ in jeder E-Mail (mit einer Bestätigung auf der folgenden Seite), der Schalter in den Einstellungen des Dashboards oder eine formlose Nachricht an support@normbill.com.

9. Auftragsverarbeitung für Geschäftskunden

Soweit Sie als Kunde über die API personenbezogene Daten Dritter (z. B. Ihrer Kunden) verarbeiten lassen, handeln wir als Ihr Auftragsverarbeiter. Es gilt unser Auftragsverarbeitungsvertrag (AVV), der mit Vertragsschluss als vereinbart gilt.

10. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.