Datenschutzerklärung

Stand: 2026-09-07

Diese Erklärung beschreibt, welche personenbezogenen Daten die Rechnungs-App unter rechnung.regulario.de verarbeitet, wozu, auf welcher Grundlage und wie lange. Sie beschreibt die tatsächliche Arbeitsweise dieses Dienstes, nicht ein allgemeines Muster.

1. Verantwortlicher

Lotus Ion LLC, Limited Liability Company nach dem Recht des Staates Florida, USA
2880 W Oakland Park Blvd, Suite 225C
Fort Lauderdale, FL 33311
United States
Vertreten durch: Oliver Tim Schröder
E-Mail: info@regulario.de
Telefon: +49 171 7800467

Der Verantwortliche hat seinen Sitz außerhalb der Europäischen Union. Ein Vertreter in der Union nach Art. 27 DSGVO ist derzeit nicht benannt. Sie können Ihre Rechte jederzeit direkt gegenüber dem Verantwortlichen unter der genannten E-Mail-Adresse geltend machen.

2. Der Grundsatz: Ihre Rechnungen bleiben bei Ihnen

Die Rechnungs-App ist eine einzelne Webseite, die in Ihrem Browser läuft. Die Rechnungen, die Sie schreiben, die Kunden, die Sie anlegen, Ihre Einstellungen (Absenderprofil, Logo, Unterschrift), der aktuelle Entwurf und Ihr Zugangsschlüssel werden in Ihrem Browser gespeichert (im sogenannten localStorage). Rechnungen und Kunden werden nicht an unseren Server übertragen, und wir können sie nicht einsehen. Zwei Ausnahmen: die verschlüsselte Sicherungskopie in Abschnitt 6, die Sie selbst einrichten und die wir nicht lesen können — und, nur wenn Sie DocuSign anbinden, die Angaben neuer Unterzeichner, die kurz auf unserem Server zwischenlagern (Abschnitt 7).

3. Aufruf der Seite

Beim Aufruf überträgt Ihr Browser technisch bedingt Ihre IP-Adresse an unseren Server, damit dieser die Seite ausliefern kann. Der Webserver führt kein Zugriffsprotokoll; die IP-Adresse wird im Regelbetrieb nicht gespeichert. Bei Störungen — etwa während eines Neustarts des Dienstes — kann der Webserver einzelne Fehlermeldungen mit IP-Adresse und aufgerufener Adresse in das Systemjournal schreiben (Abschnitt 9). Die Verbindung ist verschlüsselt (HTTPS). Rechtsgrundlage für die Verarbeitung der IP-Adresse beim Aufruf: Art. 6 Abs. 1 lit. f DSGVO — ohne sie kann keine Seite ausgeliefert werden.

Rufen Sie die App mit Ihrem Zugang auf, vermerkt der Dienst das im Betriebsprotokoll mit Ihrer Zugangskennung und dem Zeitpunkt (Abschnitt 9) — nicht mit Ihrer IP-Adresse.

Die App lädt keine Inhalte von fremden Servern — keine Schriften, keine Skripte, keine Analysewerkzeuge. Schriften und Stilvorlagen sind in die Seite eingebettet; die Startseite lädt ihre Schrift von unserem eigenen Server. Es gibt keine Nutzungsanalyse und kein Tracking. Der Dienst vermerkt zu Ihrem Zugang lediglich taggenau das Datum, an dem die App zuletzt geöffnet wurde (Abschnitt 4) — ohne Uhrzeit, ohne Verlauf und ohne Auswertung Ihres Verhaltens.

Das gilt auch für das Druckfenster: Rechnungen, die noch über die frühere Vorlage „Standard“ drucken, luden bis zum 7. September 2026 die Schrift „Inter“ von Google Fonts nach. Seitdem entfernt die App diesen Abruf vor dem Drucken; das Blatt wird mit der Schrift Ihres Geräts gedruckt, der Inhalt bleibt gleich.

4. Registrierung und Zugang

Welche Daten: Name Ihres Betriebs, Ihre E-Mail-Adresse, ein zufällig erzeugter Zugangsschlüssel, eine daraus abgeleitete Zugangskennung (aus dem Betriebsnamen gebildet, bei Selbstregistrierung mit vier Zufallszeichen), Zeitpunkt der Anlage und gegebenenfalls der Selbstregistrierung, Status des Zugangs (aktiv, freigeschaltet, gegebenenfalls Ende einer Probezeit) sowie das Datum, an dem Sie die App zuletzt geöffnet haben — taggenau, ohne Uhrzeit und ohne Verlauf; es wird bei jedem Öffnen überschrieben, nicht ergänzt. Zweck ist allein der Betrieb: zu erkennen, welche Zugänge noch genutzt werden. Richten Sie DocuSign ein (Abschnitt 7), kommen das dafür erzeugte Geheimnis und Zeitpunkt und Ergebnis der letzten DocuSign-Meldung hinzu.

Ablauf: Wenn Sie sich selbst registrieren, senden wir Ihnen einen Bestätigungslink. Bis Sie diesen Link anklicken, legen wir nichts dauerhaft an — kein Eintrag, keine Datei; nur der Zähler aus Abschnitt 8 hält Ihre Adresse kurz im Arbeitsspeicher. Ihre E-Mail-Adresse und der Betriebsname stecken bis dahin nur im signierten Link selbst. Erst mit dem Klick legen wir den Zugang an.

Zweck und Rechtsgrundlage: Bereitstellung Ihres persönlichen Zugangs und der Anmeldung per E-Mail-Link — Art. 6 Abs. 1 lit. b DSGVO (Vertrag beziehungsweise vorvertragliche Maßnahme auf Ihre Anfrage).

Speicherdauer: Bis Ihr Zugang gelöscht wird (Abschnitt 10). Ein Zugang, dessen Probezeit abgelaufen ist oder der stillgelegt wurde, ruht: Ansehen, Drucken und Sichern bleiben möglich, Neues anlegen nicht. Er wird nicht von selbst gelöscht — weil Ihre Rechnungen zehn Jahre aufzubewahren sind —, sondern auf Ihre Anfrage oder wenn der Betreiber ihn nach Ankündigung schließt.

5. E-Mails und das Anmelde-Cookie

E-Mails: Wir senden Ihnen Bestätigungs- und Anmelde-Links sowie Antworten auf Ihre Anfragen und Mitteilungen, die diesen Vertrag betreffen — keine Werbung. Die Bestätigungs-Mail ist ein fester Text; die Anmelde-Mail nennt zusätzlich Ihren Betriebsnamen und enthält den Link mit Ihrem Zugangsschlüssel. Für den automatischen Versand nutzen wir den Dienstleister Resend (Resend, Inc., USA). An Resend übermitteln wir Empfängeradresse, Betreff und Text der jeweiligen Mail. Mit Resend besteht ein Vertrag zur Auftragsverarbeitung; für die Übermittlung in die USA gelten die Standardvertragsklauseln der Europäischen Kommission — eine Kopie erhalten Sie beim Betreiber unter der Kontaktadresse in Abschnitt 1. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Postausgang: Jede Mail wird vor dem Versand als Auftrag auf dem Server abgelegt (Empfängeradresse, Betreff, Text — bei Anmelde-Mails also auch Betriebsname und Zugangsschlüssel) und nach erfolgreichem Versand sofort wieder gelöscht. Schlägt der Versand fehl, bleibt der Auftrag liegen, bis der Betreiber ihn in der Verwaltung versendet oder verwirft.

Cookie: Nach dem Klick auf den Anmelde-Link setzt der Server ein Cookie namens rechnungsapp_zugang, das Ihren Zugangsschlüssel trägt. Es sorgt dafür, dass Sie beim nächsten Aufruf angemeldet bleiben, ohne den Link erneut zu brauchen — der ausdrücklich gewünschte Dienst „Anmeldung ohne Passwort“. Es ist für Skripte nicht auslesbar (HttpOnly), nur über HTTPS gültig und wird nach 365 Tagen ungültig; kein Tracking, keine Weitergabe. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b DSGVO. Wollen Sie das Cookie nicht, löschen Sie es in Ihrem Browser; die App merkt sich den Zugang dann nur im localStorage dieses Browsers, und Sie melden sich mit dem Lesezeichen aus der Anmelde-Mail an. Ein zweites Cookie (rechnungsapp_verwaltung, 12 Stunden) betrifft nur den Verwaltungsbereich des Betreibers, nicht Sie.

6. Verschlüsselte Sicherungskopie („Tresor“)

Optional können Sie in der App eine Sicherungskopie Ihres Bestands einrichten. Dabei wird Ihr Bestand in Ihrem Browser verschlüsselt (AES-256-GCM; der Schlüssel wird aus Ihrem Sicherungspasswort abgeleitet, PBKDF2 mit SHA-256) und erst dann zu unserem Server übertragen. Der Server kennt Ihr Passwort nicht und kann den Inhalt nicht lesen. Was er sieht, sind Zeitpunkt, Größe und Fassungsnummer jeder Kopie; daraus lässt sich ablesen, wie oft und wie umfangreich Sie sichern, nicht was. Wir speichern je Zugang bis zu 10 Fassungen von höchstens 8 MB (bis zur Freischaltung eines selbst registrierten Zugangs: 3 Fassungen, 1 MB). Hochgeladen wird automatisch, wenn sich Ihr Bestand ändert; heruntergeladen wird nur auf Ihren ausdrücklichen Klick.

Der verschlüsselte Bestand enthält Ihre Rechnungen und damit auch Daten Ihrer Kunden. Für diese Daten sind Sie der Verantwortliche; wir verarbeiten sie als Ihr Auftragsverarbeiter (Art. 28 DSGVO) — ohne sie lesen zu können; die Rechtsgrundlage für die Verarbeitung der Kundendaten ist Ihre. Da der Betreiber außerhalb der EU sitzt, ist diese Beauftragung zugleich eine Übermittlung in ein Drittland; sie stützt sich auf die Standardvertragsklauseln der Europäischen Kommission (Modul 2), die Bestandteil des Auftragsverarbeitungsvertrags sind — eine Kopie erhalten Sie beim Betreiber. Ein Muster des Vertrags stellen wir bereit (Abschnitt 11). Für Ihr eigenes Absenderprofil in der Kopie gilt Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: Bis Sie die Sicherung in der App löschen oder Ihr Zugang gelöscht wird; in den Server-Sicherungen und den Kopien beim Betreiber danach noch für die Fristen aus Abschnitt 9. Verlieren Sie Ihr Sicherungspasswort, können auch wir die Kopie nicht wiederherstellen.

7. DocuSign-Anbindung (optional)

Wenn Sie in Ihrem eigenen DocuSign-Konto eine Meldung an unseren Dienst einrichten, empfängt dieser bei einer abgeschlossenen Unterschrift die Angaben des Unterzeichners, die DocuSign mitschickt: Name, gegebenenfalls Firma, Anschrift, Land, E-Mail-Adresse, Telefonnummer und USt-IdNr., dazu die Kennung des DocuSign-Umschlags, die Empfängerkennung, die Art des Ereignisses und den Zeitpunkt. Diese Angaben liegen unverschlüsselt in einer Warteschlange auf dem Server, bis Ihre App sie beim nächsten Öffnen abholt. Meldungen ohne gültige Signatur werden abgewiesen. Einträge werden 7 Tage nach Eingang automatisch gelöscht — abgeholt oder nicht; die Löschung läuft beim Start des Dienstes und bei jeder Abholung, nicht nach einer Uhr. In den täglichen Server-Sicherungen (Abschnitt 9) können sie bis zu 21 Tage nach Eingang vorhanden sein. DocuSign ist dabei Ihr Vertragspartner, nicht unserer. Wir halten diese Angaben als Ihr Auftragsverarbeiter (Art. 28 DSGVO) bereit; die Rechtsgrundlage gegenüber dem Unterzeichner ist Ihre, für die Bereitstellung des Dienstes Ihnen gegenüber Art. 6 Abs. 1 lit. b DSGVO. Auch hier gilt die Drittland-Regelung aus Abschnitt 6.

8. Schutz vor Missbrauch (Drosseln)

Damit niemand über unseren Absender fremde Postfächer bombardiert oder Zugänge durchprobiert, begrenzen wir Registrierungen und Anmelde-Mails: höchstens eine Mail je 60 Sekunden und 3 Mails am Tag je E-Mail-Adresse, höchstens 5 Registrierungen je Stunde je Internetanschluss, 30 Versandaufträge je Stunde und 50 Registrierungen je Tag insgesamt. Dafür hält der Dienst Ihre IP-Adresse und Ihre E-Mail-Adresse nur im Arbeitsspeicher; gezählt wird je Zeitfenster (eine Stunde beziehungsweise ein Tag), abgelaufene Einträge werden beim nächsten Zugriff entfernt. Sie werden nicht auf die Festplatte geschrieben und sind nach einem Neustart des Dienstes weg. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse am Schutz des Dienstes und fremder Postfächer.

9. Betriebsprotokoll und Server-Sicherung

Der Dienst schreibt ein Betriebsprotokoll: Zeitpunkt, Art des Vorgangs (zum Beispiel „App ausgeliefert“, „Anmeldung“, „Abholung“, „Sicherung abgelegt“), das Ergebnis und die Zugangskennung — sie ist aus Ihrem Betriebsnamen gebildet (Abschnitt 4). Daraus ergibt sich, wann Sie die App geöffnet und gesichert haben. Nicht im Protokoll stehen: E-Mail-Adressen, Zugangsschlüssel, IP-Adressen und Inhalte. Das Protokoll dient der Fehlersuche und dem Nachweis von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO); ausgewertet wird es nur anlassbezogen, wenn ein Fehler oder ein Missbrauchsverdacht vorliegt. Einträge werden vom System nach 90 Tagen gelöscht. Im selben Systemjournal landen Störungsmeldungen des Webservers, die eine IP-Adresse enthalten können (Abschnitt 3); für sie gilt dieselbe Frist.

Server-Sicherung: Der Server wird einmal täglich gesichert; die letzten 14 Sicherungen werden behalten, ältere überschrieben. Die Archive sind nur für den Administrator lesbar und enthalten alle Daten des Dienstes: Zugangsdaten, die verschlüsselten Tresore (auch dort nicht lesbar), die DocuSign-Warteschlange und liegengebliebene Postausgangs-Aufträge — die beiden letzten unverschlüsselt. Außerdem legt der Betreiber vor jedem Update des Dienstes eine Kopie desselben Stands auf seinem eigenen Rechner ab; davon werden die letzten 3 behalten. Der Betreiber sitzt außerhalb der EU (Abschnitt 1); diese Kopien sind damit eine Übermittlung in ein Drittland, die allein der Wiederherstellung nach einem fehlgeschlagenen Update dient. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit) beziehungsweise als Ihr Auftragsverarbeiter für die Tresore.

10. Löschung und Ihre Datei-Sicherung

Solange Ihr Zugang aktiv ist, können Sie Ihre verschlüsselte Sicherung jederzeit selbst in der App löschen; ruht der Zugang, veranlassen Sie die Löschung per E-Mail. Die Löschung Ihres gesamten Zugangs — Zugangsdaten, Sicherungen, bereitliegende DocuSign-Meldungen, Postausgang — veranlassen Sie per E-Mail an info@regulario.de; wir führen sie aus und bestätigen Ihnen das. Allein Ihre Zugangskennung bleibt in einer Sperrliste, damit sie nie erneut vergeben wird. In den Server-Sicherungen und den Kopien beim Betreiber (Abschnitt 9) können Ihre Daten nach der Löschung noch bis zu 14 Tage vorhanden sein, in den Kopien beim Betreiber bis zum dritten folgenden Update. Was in Ihrem Browser liegt (Ihre Rechnungen, Kunden und die Datei-Sicherung aus den Einstellungen), bleibt allein in Ihrer Hand; wir haben darauf keinen Zugriff.

11. Empfänger und Auftragsverarbeiter

• IONOS SE, Montabaur, Deutschland — Betrieb des Servers; der Server steht in einem Rechenzentrum in Spanien (EU). Auftragsverarbeiter nach Art. 28 DSGVO.
• Resend, Inc., USA — Versand der Bestätigungs- und Anmelde-Mails (Abschnitt 5). Auftragsverarbeiter; Übermittlung auf Grundlage der Standardvertragsklauseln.
• DocuSign — nur, wenn Sie es selbst anbinden, und dann als Ihr eigener Dienstleister (Abschnitt 7).

Andere Empfänger gibt es nicht. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Für die Daten Ihrer Kunden in der verschlüsselten Sicherung sind wir Ihr Auftragsverarbeiter; das Muster des Auftragsverarbeitungsvertrags erhalten Sie unter der Kontaktadresse.

12. Ihre Rechte

Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21). Wenden Sie sich dafür an info@regulario.de. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere bei der Behörde an Ihrem Wohn- oder Arbeitsort (Art. 77 DSGVO).

13. Freiwilligkeit, keine automatisierten Entscheidungen

Die Angabe von Betriebsname und E-Mail-Adresse ist für einen Zugang erforderlich; ohne sie können wir Ihnen keinen Anmelde-Link senden. Alles Weitere — Sicherung, DocuSign — ist freiwillig. Es findet keine automatisierte Entscheidungsfindung und kein Profiling statt.

14. Änderungen

Ändert sich die Arbeitsweise des Dienstes, passen wir diese Erklärung an; das Datum oben zeigt den Stand. Diese Erklärung beschreibt den Dienst so, wie er gebaut ist — jede technische Aussage ist im Quellcode nachvollziehbar.